每日安全简讯(20190421)

1 研究人员披露海莲花使用恶意软件格式细节

Malwarebytes在SAS大会上介绍了越南APT组织海莲花的一个案例中使用的恶意软件格式的技术细节。示例中钓鱼邮件时间为2017年6月10日，邮件附件为模仿PDF图标的恶意压缩可执行文件，运行后释放器将解压缩实际的有效载荷。主可执行文件提权运行，在默认级别绕过UAC，使用简单的Run键提供持久性。它使用UPX打包，此时释放的PE文件仅作为打包器。恶意软件核心功能隐藏在BLOB和CAB文件中，二者均使用XOR进行模糊处理，其自定义格式通过从PE格式转换来实现，但加载方式与PE文件不同。首先加载CAB文件，只是为了安装恶意软件，然后删除。所有与间谍相关的功能都由后加载的BLOB执行，并在加载程序的内存中保持持久性。


https://blog.malwarebytes.com/th ... ocean-lotus-sample/

---

2 IE中XXE注入0day漏洞允许攻击者窃取信息

趋势科技研究人员对存在IE浏览器中XML外部实体（XXE）注入的0day漏洞进行了具体分析。研究人员在最新版本的IE(11)和Windows 7、Windows 10以及Windows Server 2012 R2操作系统上测试了这个漏洞，发现其允许攻击者窃取机密信息或从受害者的机器中泄露本地文件，但该漏洞严重依赖于社会工程。首先攻击者需在超文本传输协议（HTTP）服务器中放置恶意XML文件，然后利用垃圾邮件附件或触发下载的网络钓鱼活动，诱使用户通过IE下载恶意.mht文件并手动触发本地设置。


https://blog.trendmicro.com/tren ... -files-system-info/

---

3 美国天气预报频道遭勒索软件攻击导致停播

美国早晨的天气频道电视节目美国早报总部（AMHQ）遭到了勒索软件攻击，导致其停播至少90分钟。该广播公司通过Twitter证实该事件是网络攻击中恶意软件造成的结果，IT人员使用备份恢复了正常操作。联邦执法部门立即开始对此案进行调查，确认该起袭击由勒索软件导致，动机可能是企图向广播公司勒索钱财。


https://securityaffairs.co/wordp ... somware-attack.html

---

4 黑客泄露墨西哥危地马拉大使馆数千份文件

一名黑客窃取了墨西哥驻危地马拉大使馆的数千份文件并在网上发布。泄露者表示发现了危地马拉一个与墨西哥大使馆有关的服务器存在漏洞可被入侵，在下载了所有文件和数据后，联系了墨西哥官员并试图获取，但没有得到恢复。所以该黑客公开了该数据，其包括超过4,800份文件，其中大部分涉及墨西哥驻危地马拉首都大使馆的内部运作，包括其领事活动，例如出生和死亡证明，处理被监禁或入狱的墨西哥公民，以及签发旅行证件。目前尚未确定这些数据是否包含墨西哥政府认为属于机密或秘密的任何内容。


https://techcrunch.com/2019/04/19/mexican-embassy-hack/

---

5 法国政府新安全消息应用程序可被黑客入侵

研究人员在法国政府新推出的消息应用程序Tchap中发现了安全漏洞，该漏洞允许攻击者入侵程序窃取机密对话信息。Tchap是法国为了保护对话免受黑客、私人公司和外国实体的攻击，只有官员和政客才能通过与政府身份相关的电子邮件帐户访问该应用程序。其使用Riot客户端构建的，Riot客户端是一种开源即时消息软件，可实现端到端加密通信的自托管Matrix协议。而研究人员发现没有官方地址的用户，通过电子邮件地址末尾添加官方结尾地址就可以通过Tchap应用程序注册帐户并访问群组和频道。目前Matrix团队已修复该漏洞，并表示与使用的识别系统有关。


https://thehackernews.com/2019/0 ... cure-messenger.html

---

6 数百万Instagram用户密码以明文形式存储

Facebook表示数百万Instagram用户的密码被意外地以可读格式存储在其服务器上。该问题是在1月份例行安全审查的一部分，但密码从未在Facebook以外的任何人看到，目前没有发现任何内部员工滥用或不正确地访问密码。Facebook迅速修复了该问题并通知了受影响的用户。


https://www.yahoo.com/entertainm ... each-205253616.html

---