每日安全简讯(20170429)

1.研究人员揭露黑客组织OilRig所用免杀手段

研究人员通过对OilRig在2016年6月和11月两次上传到反病毒测试平台的文件分析，可以看见在测试文件中使用的技术，同时可以得到以下观点：测试文件要么是按照序号递增方式的命名，要么是完全一致的命名；使用非常结构化的方法，采用基线测试样本，然后进行小范围的迭代更改；OilRig也尝试回到基准测试样本并继续测试；在几分钟内的更改包括有效载荷的移除或位置变更、诱饵内容和工作表名称的修改、函数和变量名的修改、删除整行代码、通过连接或替代编码（base64或十六进制）混淆字符串和重新排序代码中的函数；在许多情况下，测试文件不再被检测出，原因如下：移除所需组件、用无意义的值替换变量和使用编码的字符串无法解码；测试活动以非常低的反病毒检测频率进行；厂商检测样本数量的多少取决于黑客团体测试样本的哪些特征被检测触发。


http://researchcenter.paloaltone ... nt-testing-efforts/

---

2.研究表明安卓用户每天面对八千新恶意软件

Cybercriminals正在着眼于Android设备，在2017年第一季度发现了75万个新的Android恶意软件应用程序，这意味着每天都会发现近8,400个新的恶意软件实例。据G Data公司称，预计截至年底，将发现新的Android恶意软件样本数为350万件，高于去年发现的325万件。


http://news.softpedia.com/news/a ... ry-day-515229.shtml

---

3.以安全著称邮件服务商Nomx被发现安全漏洞

Nomx是一家创业公司，旨在通过设置自己的私人服务器来改变我们使用电子邮件的方式，宣称其产品“确保绝对的安全和隐私”。研究人员发现Nomx产品有很多问题，但或许最危险的一个事实是，其Web应用程序包含了一个漏洞，允许任何人通过简单的远程控制设备去访问恶意网站。结果是攻击者可以阅读，发送和删除电子邮件，甚至创建一个新的电子邮件地址。


http://news.softpedia.com/news/n ... o-hack-515238.shtml

---

4.安全公司称可在数秒内解密APT28 加密流量

在2016年年底，Redsocks的验证归属于APT28的过期域名的安全性。对APT28的域名sinkhole的努力受到加密通信的阻碍。虽然许多关于APT28的报告如ESET提到了RC4加密算法，但并没有详细介绍所使用的密钥细节和RC4实现的细节; 钥匙是否为静态的或者易破解的。在本报告中，目的是揭示我们对APT28的x-agent恶意软件的综合动态分析结果，以解密其流量。


http://securityaffairs.co/wordpr ... -apt28-traffic.html

---

5.以色列政府宣布挫败了一起重大的网络攻击

据网络防卫厅称，黑客假冒一个合法的无名组织开展钓鱼活动。网络钓鱼信息是假装从学术机构和私人公司的服务器发送的。网络钓鱼电子邮件针对120个以色列机构，政府和个人，攻击者使用Microsoft Word漏洞构造武器化文件实现网络攻击。


http://securityaffairs.co/wordpr ... r-cyber-attack.html

---

6.韩国比特币交易所Yapizon近4千比特币被盗

Yapizon交易所周六在社交媒体上发布的通知中表示，工作人员确认被盗窃了3,831个比特币，相当于总资产的37.08％。并决定将损失平摊给平台所有的用户。


https://cointelegraph.com/news/k ... o-pay-with-balances

---

以CV500视角看安天每日安全简讯
2017.4.29

今日安全简讯中提到的安全公司中，位列CV500的有2家：Palo Alto Networks（21）和 ESET（195）。

PaloAlto Networks公司今日的文章直观的揭示了一个看不见的暗战：与恶意代码的持续对抗，显然是动态的而不是静态的；反恶意代码组织在明处，恶意代码作者也是有组织的，但是在暗处；当下的反恶意代码的能力，恶意代码作者是能远程测试的，而恶意代码作者的能力却很难被反恶意代码组织感知或者测试（如果不是恶意代码作者没有修改目标文件的日期和时间等Metadata参数恐怕还很难将整个恶意代码作者的测试过程再现出来）。
根据本文的介绍：恶意代码组织在2个小时内更新其恶意代码10余次，并通过上传到VT等公开测试平台来测试其更新代码的有效性，直到满意为止（标准是检出率低）。
值得注意的是，这个恶意代码组织并不是针对某个具体的安全组织的安全工具或者检测引擎，而是全部或者主流的安全工具。如何能使得反恶意代码组织的能力无法准确远程感知，可能还不仅仅是某一个安全公司的问题，这是一个安全行业都需要思考的问题。Seak在419习总在网信工作座谈会一周年的焦点访谈节目中，提到了这种安全公司所应具备或者努力的方向。

针对APT的捕获、分析各家有各家的高招。ESET公司刚分析过APT28组织的加密算法，而另外一家荷兰网络安全公司RedSocks则从恶意代码的网络流量分析入手，实时、动态的截获恶意代码的真实流量，创新的提出了侦测APT28攻击的方法，摆脱对RC4等加密算法的纠缠。

相关链接：
a   Palo Alto Networks   http://researchcenter.paloaltone ... nt-testing-efforts/   
b   ESET     http://securityaffairs.co/wordpr ... -apt28-traffic.html


附件0：2016年安天移动安全年报 参见[20170414]
附件1：2016年安天威胁年报 参见 [20170413]
附件2：CV500 参见 [20170411]