每日安全简讯(20180628)

1 Rancor组织对东南亚进行针对性攻击

安全厂商PaloAlto近日公布了一个其命名为Rancor（意为“积怨”）的组织。该组织自2017年以来对东南亚地区实施了一系列高度定向的攻击活动，即被攻击的目标经过精心选择，恶意软件的传播也是高度定向的。分析认为，该组织与此前分析的KHRAT 木马相关。这些软件主要用于攻击新加坡和柬埔寨两国的政治实体。攻击活动以鱼叉式钓鱼邮件开始，投放的载荷属于此前未知的恶意软件家族：DDKONG和PLAINTEE。其中DDKONG自2017年2月以来一直使用；而PLAINTEE则于2017年10月首次观察到，到目前为止只发现了6个样本，其特异之处在于使用了一个定制的UDP协议与C＆C结点进行通信。PaloAlto的研究人员认为，在构造未知恶意软件的启发式检测时，可以考虑这一特点。


https://researchcenter.paloalton ... g-malware-families/

---

2 思科发布Thanatos勒索软件解密工具

思科Talos分析了勒索软件Thanatos的多个变种，并发布新的免费解密工具帮助受害者恢复文件。攻击者利用多个版本的Thanatos，表明这是一个持续开发、不断演变的威胁并且有多个版本流行。与通常勒索软件的分发不同的是，Thanatos不要求使用单一加密货币进行赎金支付，而是支持BCH，Zcash，以太坊等其他方式。


https://blog.talosintelligence.com/2018/06/ThanatosDecryptor.html

---

3 Windows10新文件格式被利用执行代码

SpecterOps的安全研究员Matt Nelson发现Windows 10增加的新文件格式可能被利用在用户计算机上执行恶意代码。文件类型为“.SettingContent-ms”，用于创建Windows 10设置页面的快捷方式。所有的SettingContent-ms文件都只不过是XML文档，其中包含一个<DeepLink>标签，当用户双击快捷方式时将打开Windows 10设置页的磁盘位置。但本月早些时候，Nelson发现他可以用本地系统中的任何其他可执行文件替换此DeepLink标记，包括执行shell命令的两个应用程序（如cmd.exe或PowerShell.exe）的二进制文件的链接。此外，还可以链接两条二进制路径并且一个接一个地执行它们。这意味着攻击者可以在后台创建诱饵 SettingContent-ms快捷方式运行恶意代码，然后显示预期的Windows设置页面，就像从未发生过任何事情。


https://www.bleepingcomputer.com ... tion-on-windows-10/

---

4 研究人员披露WordPress中存在漏洞

来自RIPS的安全研究人员今天披露了一个未修补的安全漏洞，这个漏洞影响了互联网最流行的内容管理系统（CMS）WordPress的所有版本，包括最新版本v4.9.6。该漏洞影响WordPress CMS的核心，而不是其插件或主题。更确切地说，这个漏洞是在一个PHP函数中发现的，这个PHP函数的功能是：删除上传到WordPress网站的图片的缩略图。


https://www.bleepingcomputer.com ... wordpress-cms-core/

---

5 Sophos已修补其产品中的特权升级漏洞

Nettitude的研究人员披露了在Windows上运行的SafeGuard Enterprise（SGN），SafeGuard Easy（SGE）和SafeGuard LAN Crypt（SGLC）客户端的所有配置中存在的特权升级漏洞。攻击者利用这些漏洞可在目标机器上运行恶意代码，并可能导致特权升级。此漏洞无法远程利用。Sophos已发布多套安全修补程序，以解决存在的安全问题。


https://community.sophos.com/kb/en-us/131934

---

6 FastBooking遭攻击致酒店客户信息泄露

本月中旬，酒店预订系统FastBooking 的服务器被黑客入侵，导致近千家使用该系统的酒店数据泄露，客户敏感信息失窃。攻击发生于6月14日，但19日才被发现，黑客利用FastBooking服务器上另一个应用程序中的漏洞，在服务器中安装了恶意软件，使其得以远程访问服务器并渗出客户数据。最先报告事故的是日本的Prince Hotels& Resorts 连锁酒店，在82家连锁店入住的124963名客户信息遭泄露。被窃数据包括客户姓名、国藉、邮件地址、酒店预订相关信息、支付卡信息等。FastBooking公司于26日向所有受害酒店发出电子邮件通告，遭入侵的酒店可能超过千家。目前尚不知道黑客的身份和意图，但其手法和窃取内容与本月初以人力资源管理软件PageUp为对象的另一起活动相似。


https://www.bleepingcomputer.com ... -software-provider/

---