每日安全简讯(20181001)

1 暗网出现在线免费提供木马定制服务的Gazorp组织

9月17日，Check Point在暗网上发现一个新在线构建组织Gazorp。Gazorp组织构建了恶意软件Azorult的二进制文件，Azorult用于窃取用户密码、信用卡信息、加密货币相关数据等信息。当有攻击者提供C2地址后，Gazorp组织将免费提供创建新的Azorult样本和相应的面板服务器代码，然后将C2地址嵌入到二进制文件中，以供C2提供者的下一步的分发利用。Gazorp组织生产的每个版本Azorult都具有一个独特的互斥锁、使用带有密钥硬编码的简单XOR方法加密与C2服务器的连接、来自C2服务器的解密返回消息由标签组成等特征。目前已经生成包括3.0，3.1和3.2三个版本，最新3.2版本于2018年4月份发布，而已过时的3.0和3.1版本仍具有多种窃取功能。


https://research.checkpoint.com/ ... eb-azorult-builder/

---

2 Linux内核内存管理模块被发现获取root权限漏洞

Linux团队在近日发布其内核所存在的UAF漏洞CVE-2018-17182。这是在发现内核本地特权升级漏洞CVE-2018-14634之后，所发现的第二个内核相关漏洞。来自谷歌Project Zero的研究人员Jann Horn称，该漏洞源于溢出问题，存在于内核版本3.16到4.18.8的Linux内存管理中，并且可以通过多种的方式被利用。目前Linux团队在上游内核树中解决了该问题，但Android，Debian和Ubuntu用户仍处于危险之中。


https://threatpost.com/another-l ... root-access/137800/

---

3 美国23个州的投票机存在漏洞已达11年仍未修复

安全研究人员表示，美国23个州使用的M650高速投票机（投票扫描仪）中存在未经修正的安全漏洞，该漏洞在2007年前被发现，但仍未被修复。该投票机由美国领先的选举设备供应商Election Systems＆Software制造。该公司近日在一份声明中表示M650已于2008年停止生产这些机器，至今还有270台机器正在使用，并称该机器使用适当的物理控制，具有良好的，可靠的记录，在现实环境中难以被入侵。而安全人员表示M650程序的编写使用的是可移动的Zip磁盘，可以传输恶意软件，也可以通过内置的网络端口来感染机器。目前ES＆S没有对此作出回应。


https://www.securityweek.com/res ... anner-still-unfixed

---

4 Windows PureVPN客户端存在可泄露凭据的漏洞

安全厂商Trustwave的专家发现Windows PureVPN客户端所存在两个漏洞，并对它们进行了分析。这些漏洞可导致凭据泄露，其中一个漏洞可能允许本地攻击者，在不需要外部工具的情况下，检索出成功登录PureVPN服务的最后一个用户的存储密码。另一个漏洞导致PureVPN Windows客户端以明文形式存储登录凭据（用户名和密码），并且所有本地用户都可以读取此文件。目前该供应商已发布相关补丁。


https://www.trustwave.com/Resour ... ows-PureVPN-Client/

---

5 通信应用程序Telegram会默认泄漏用户的IP地址

研究人员发现并证明，Telegram Messenger在默认配置的情况下，会在用户拨打电话时泄露其IP地址。Telegram Messenger是一款通信应用程序，允许用户通过Internet与其他用户创建加密聊天和电话通话。导致该泄露的原因是在默认设置的情况下，会导致语音呼叫通过P2P进行，该缺陷被追踪为CVE-2018-17780 。用户可以通过修改默认设置，禁用P2P调用防止泄露发生。研究人员DHIRAJ发现 官方桌面Telegram（tdesktop）和Windows应用程序的Telegram Messenger并没有提供禁用P2P调用的功能。目前在1.3.17测试版和1.4.0版本的Tdesktop中得到修复。


https://www.bleepingcomputer.com ... n-initiating-calls/

---

6 FBI警告：通过RDP投送勒索软件的活动日渐猖獗

近日，联邦调查局（FBI）互联网犯罪投诉中心（IC3）和国土安全部（DHS）联合发布警告，越来越多的攻击者利用远程桌面协议（RDP）开展恶意活动，强调RDP作为攻击媒介的崛起。远程桌面协议（RDP）是一种广泛采用的远程管理协议，如果管理不当，包括使用使用弱密码、使用有缺陷的CredSSP的RDP版本、允许不受限制地访问默认RDP端口（TCP 3389）、允许对用户帐户进行无限次登录尝试等，进而使攻击者可以渗透建议远程桌面机器之间的连接，并将恶意软件或勒索软件注入远程系统，而且使用RDP协议的攻击不需要用户输入，所以使得入侵难以检测。


https://www.ic3.gov/media/2018/180927.aspx

---