每日安全简讯(20180629)

1 Necurs僵尸网络利用IQY文件逃避检测

趋势科技的研究人员发现，Necurs僵尸网络的新一轮垃圾邮件正在使用IQY文件逃避检测。攻击者利用特定格式的文本文件，IQY文件允许用户将外部来源的数据导入到Excel文档中，然后Windows会在Excel中自动执行它们。一旦执行，IQY文件将查询其代码中的URL以获取数据并将其插入到Excel工作表中。该数据包含一个脚本，该脚本利用Excel的动态数据交换（DDE）功能执行命令行并启动PowerShell进程，以在目标系统的内存中执行远程PowerShell脚本目录。该脚本下载一个远程访问木马应用程序和最终的有效载荷FlawedAMMYY后门。 后门借用了Ammyy Admin远程访问木马的代码。


https://blog.trendmicro.com/tren ... nternet-query-file/

---

2 黑客利用移动设备托管恶意僵尸程序

安全公司Distil Networks发现数以千万计的手机，平板电脑和其他无线移动设备正在被黑客利用进行犯罪活动，而这些设备的拥有者并不知情。黑客使用受感染的设备执行各种非法任务，例如账户接管，礼品卡欺诈，操纵票价，甚至在社交媒体上发布垃圾邮件。


https://www.nbcbayarea.com/news/ ... rime-486630651.html

---

3 加密货币挖矿僵尸程序瞄准运行SSH服务的设备

趋势科技最近检测到与IP地址192.158.228.46相关的挖矿僵尸程序，这个地址被用来搜索与SSH和IoT相关的端口，包括22，2222，502。然而，在这次特殊的攻击中，IP已经在22端口上登陆了SSH服务。该攻击针对所有正在运行的SSH服务的服务器和连接的设备。


https://blog.trendmicro.com/tren ... otential-scam-site/

---

4 新商业电子邮件诈骗活动瞄准全球商业公司

安全厂商Booz Allen的暗黑实验室最近发现了一个高度活跃的商业电子邮件诈骗组织（BEC），该组织至少从2016年起开始活动，对全球金融、航空、制造等多个领域进行了攻击，并数次成功骗取汇款。
在一次攻击活动中，该组织对一家《财富》50强企业使用＂虚假发票＂手法，冒充与之有长期业务的供应商，要求企业将一笔发票款项打入某个虚假账户。该组织使用与高度相似的仿冒邮件域，以及从LinkedIn之类公开信息源收集的真实信息诱骗目标。经分析，发现了该组织使用的580个仿冒邮件域。


https://www.boozallen.com/s/insi ... nies-worldwide.html

---

5 ProtonMail遭到疑似俄罗斯组织DDoS攻击

加密邮件服务提供商ProtonMail遭大规模DDoS攻击，攻击者疑与俄罗斯相关。ProtonMail 本周三上午通知用户，其网络遭持续攻击。虽然攻击导致邮件收发延迟，却没有丢失。一些用户报告说，ProtonVPN也受到攻击的影响。初始通知发出大约3小时后服务得到恢复。公司说：＂攻击持续了数小时，但服务中断持续时间短得多，最长的一次大约10分钟。公司称，攻击追踪到一个自称与俄罗斯相关的组织，攻击流量达500Gbps,最近一次对GitHub的DDOS攻击，峰值流量曾高达1.7Tbps。ProtonMail宣布攻击事件后仅几个小时，德国安全email 服务提供商Tutanota 也宣布遭DDoS攻击，目前尚不清楚两起事件是否相关。


https://www.infosecurity-magazin ... to-russia-attacked/

---

6 Ticketmaster遭数据泄露影响其5％的用户

票务服务Ticketmaster宣布了一项数据泄露事件，该事件影响了其大约5％的客户，泄露了客户数据，Ticketmaster登录信息和付款细节。Ticketmaster本身并没有发生数据泄露，而是Ticketmaster在一些全球的网站上部署的实时聊天小部件的供应商Inbenta。票务服务Ticketmaster称，6月23日，它发现这个实时聊天小部件被用来向Ticketmaster用户分发恶意软件。恶意软件正在记录和泄露客户详细信息。


https://www.bleepingcomputer.com ... rcent-of-all-users/

---