每日安全简讯(20190223)

1 安全厂商披露WindShift攻击中东政府细节

APT组织WindShift在2018年1月至5月之间对中东政府展开了一系列的攻击活动。1月初，WindShift通过鱼叉式钓鱼邮件，然后使用zip附件中的Mac OSX应用程序包传播WindTail后门，使用的域与其特定域相关联，并且在后几个月内使用相同IP地址。研究人员发现WindShift与Hangover共用了同一IP地址，在WHOIS信息中使用相同名称XENEUROPE，这加强了WindShift与Hangover的关联性。


https://unit42.paloaltonetworks. ... astern-governments/

---

2 Separ窃取器使用LotL技术攻击多国公司

凭据窃取器Separ最新的活动中，使用LotL（living off the land）技术，攻击了东南亚、中东地区和北美在内的数百家商业公司。钓鱼邮件包含恶意附件，附件是一个自解压诱饵PDF文档，用户点击后，自解压程序就会调用wscript.exe来运行名为adobel.vbs的VB脚本。VB脚本调用第一个批处理脚本设置多个目录，将文件复制其中。然后启动第二个批处理脚本，重复执行恶意操作。攻击者没有使用任何混淆或逃避技术。Separ使用SecurityXploded中的密码转储工具、合法可执行文件（xcopy.exe、attrib.exe、sleep.exe和ancp.exe）和FTP服务，将窃取凭据上传到托管的服务器。目前该托管的服务器仍处于活跃中，表明攻击仍在继续。


https://www.deepinstinct.com/201 ... and-attack-methods/
A New Wave of the Separ Info-Stealer is Infecting Organizations through “Living.pdf (692.16 KB, 下载次数: 55)

2019-2-22 21:38 上传

点击文件名下载附件

---

3 网络钓鱼攻击仿冒联合国网站页面窃取凭据

研究人员发现了伪装成联合国Unite Unity登陆页面的网络钓鱼网站，旨在窃取联合国工作人员凭据。Unite Unity是联合国工作人员使用的单点登录（SSO）应用程序。当访问者登陆钓鱼页面时，被重定向到2018年9月在波兰驻平壤大使馆观看电影的邀请，但未发现感染恶意软件的情况。网络钓鱼网站服务器安装了自签名SSL/TLS证书，证书存在12个子域名，其中有6个子域名仿冒联合国、雅虎、AOL和163.com登录站点的页面，其中建立了包括针对购物、金融等领域的钓鱼网站。


https://www.anomali.com/blog/phi ... other-organizations

---

4 新勒索软件Cr1ptT0r利用NAS设备漏洞传播

新出现的勒索软件Cr1ptT0r针对嵌入式系统感染暴露于互联网的网络附加存储NAS设备。Cr1ptT0r利用D-Link DNS-320设备中的旧漏洞传播勒索软件，虽然该设备已停产，但是对使用低版本该设备的受害者仍然有效。感染成功后，勒索软件将释放赎金票据和Tor网络中存储对受害者提供支持的网站地址。Cr1ptT0r是ELF ARM二进制文件，使用了Sodium加密库和非对称加密，匹配在缺少受害者ID解锁数据的私钥时，通过强制执行来实现。该勒索软件的幕后开发者也为Synolocker提供解密密钥。


https://www.bleepingcomputer.com ... ts-d-link-nas-gear/

---

5 微软IIS服务器HTTP/2漏洞可导致DoS攻击

微软发布了一份安全公告，披露运行Internet信息服务（IIS）的Windows 服务器容易受到拒绝服务（DoS）攻击。Windows 10、Windows Server和Windows Server 2016的IIS服务器处理HTTP/2请求时会导致CPU使用率激增至100%，从而耗尽系统资源，关闭连接。微软目前通过允许IIS管理员定义请求中包含的HTTP/2设置数量的阈值来解决此问题。


https://www.securityweek.com/win ... cks-microsoft-warns

---

6 思科发布安全更新修复17个软件和产品漏洞

思科近日发布了安全更新，共修复了17个软件和产品漏洞。其中包含6个中等严重性漏洞，6个高严重性的漏洞，包括Cisco HyperFlex软件命令注入漏洞CVE-2018-1538，允许攻击者以root用户身份在受影响的主机上运行命令；Cisco HyperFlex软件未经身份验证的root访问漏洞CVE-2019-1664，允许攻击者获得对HyperFlex集群成员节点的root访问权限。目前还存在一个特别的漏洞CVE-2019-1700，攻击者通过从相邻子网发送恶意制作的网络数据包，将导致带有Cisco Firepower 2端口100G双宽度网络模块的Cisco Firepower 9000系列崩溃，因为这使机器FPGA失去控制并侧向填充。目前该漏洞还未被修复。


https://www.theregister.co.uk/2019/02/21/cisco_vulnerabilities/

---