每日安全简讯(20190202)

1 新MacOS恶意软件可窃取加密货币网站cookie

研究人员最近新发现了针对Mac平台的恶意软件CookieMiner，旨在通过收集用户凭证信息和挖掘加密货币来创造利润。CookieMiner配置要加载的受感染系统与XMRIG型挖矿软件相似，CookieMiner能够窃取与受害者访问的主流加密货币交换和钱包服务网站相关的浏览器cookie、Chrome中保存的密码和信用卡凭证、Mac上的iTunes备份的iPhone短信，通过这些方式的组合来绕过网站的多因素身份验证。CookieMiner使用名为“ harmlesslittlecode.py ” 的Python脚本，保存窃取的登录凭据和信用卡信息，滥用Google Chromium项目代码中的技术进行解密和提取操作，使用Python编写的EmPyre后门实现后期控制，如果主机正在运行Little Snitch防火墙软件，恶意软件将停止并退出。


https://unit42.paloaltonetworks. ... -exchanges-cookies/

---

2 安全厂商发现使用Golang语言编写的窃取程序

一种使用Golang（Go）语言编写的新恶意软件被研究人员捕获，该恶意软件是一个相对简单的窃取程序。恶意软件通过指向浏览器和桌面的路径中搜索文件，其中一条路径指向主要在俄罗斯广泛使用的Yandex浏览器，然后将数据压缩上传C2。恶意软件使用Go 1.2版本，进行UPX打包，其许多功能来自静态链接库，代码中使用了许多对加密货币钱包的引用。研究人员表示Golang作为一种相对较新的编程语言，与它相关的工具会日渐成熟。


https://blog.malwarebytes.com/th ... ler-written-golang/

---

3 研究人员发现针对意大利用户分发Ursnif活动

研究人员发现针对意大利用户和组织的攻击活动。攻击者首先分发以管理问题和新电子邮件发票义务为主题的电子邮件，邮件包含Excel附件，攻击文档明确针对意大利语用户设计，因为附件文档中的恶意宏代码仅当Office软件被设置为意大利语时才会执行。其后，恶意宏从图片中提取采用隐写技术保存的powershell代码，最终释放Ursnif家族的恶意软件感染受害主机。


https://blog.yoroi.company/warni ... o-fattura-corretta/

---

4 IoT僵尸网络TheMoon可被用于多种恶意服务

TheMoon是一个模块化的IoT僵尸网络，专门利用宽带网络中路由器的漏洞。安全团队通过研究发现了TheMoon的一个迭代，使用受感染的基于微处理器的设备作为代理服务，可以出售给其他攻击者，并将其用于凭证暴力破解，视频广告欺诈，流量混淆等一系列恶意服务。


https://www.netformation.com/our-pov/a-new-phase-of-themoon/

---

5 美国授权FBI搜查Joanap僵尸网络受害主机

美国司法部周三宣布，正在努力消除Joanap僵尸网络。Joanap是一种远程访问木马（RAT），自2009年开始存在，可通过使用恶意软件Brambul的在不受保护的网络传播。Brambul是一种SMB蠕虫，通过使用硬编码的登录凭证列表强制SMB共享，从而在网络中传播。2018年5月，美国政府将Joanap与Brambul归咎于朝鲜APT组织Lazarus。FBI和美国空军特别调查办公室（AFOSI）目前采用伪装成受僵尸网络感染计算机的方法，与其他真正的受害节点进行交互，获取信息。


https://www.securityweek.com/us- ... oreas-joanap-botnet

---

6 攻击者发起利用CoAP协议的DDoS攻击活动

安全厂商观察到攻击者从2019年1月中旬开始，利用CoAP协议发起的一系列DDoS攻击活动。CoAP协议是一种简单的UDP协议，适用于不可靠网络上的低功耗计算机，如物联网（IoT）或移动设备，这是目前中国移动电话主要使用的协议。此次攻击活动平均持续时间超过90秒，每秒产生大约100个数据包，且攻击目标在地理上和逻辑上分布良好，它们之间几乎没有共同点。


https://asert.arbornetworks.com/coap-attacks-in-the-wild/

---