每日安全简讯(20190601)

1 TA505组织新攻击活动针对智利金融机构

Cyberlnt研究人员发现了俄罗斯组织TA505针对智利金融机构的新攻击活动，攻击者利用MSI安装程序安装AMADAY恶意软件。AMADAY恶意软件可以窃取金融机构和零售商客户的电子邮件通信以及受害者的敏感信息，攻击者可以进一步窃取联系人列表。利用收集的信息，攻击者可以向更多组织发送看似合法的恶意电子邮件。Cyberlnt研究人员表示监测TA505的活动以预测进一步的攻击至关重要。一旦确定了针对智利的攻击模式，其他金融机构就可以加强其安全性从而避免遭到破坏。Cyberlnt将在6月4日至6日在伦敦的 Infosecurity Europe上展示更多有关TA505的信息。


https://finance.yahoo.com/news/c ... tors-163000014.html

---

2 朝鲜黑客针对韩国交易所UpBit进行攻击

5月28日朝鲜黑客针对韩国交易所UpBit的用户进行了网络钓鱼攻击，邮件包含一个付款文档，打开文档会运行恶意软件，收集用户计算机信息和登录凭据发送给攻击者，攻击者还可以通过C2远程访问用户计算机。分析攻击使用的攻击工具和恶意代码，East Security研究人员发现其特征指向朝鲜黑客组织Kim Soo-ki。


https://finance.yahoo.com/news/n ... ypto-022134465.html

---

3 Apache Tomcat服务器被利用传播挖矿软件

研究人员发现新的攻击方法利用Apache Tomcat Web服务器传播挖矿软件。Tomcat服务器管理页面使用了弱口令，攻击者进行撞库攻击获得管理员权限，从而上传名为admin-manager.war的.war文件，该文件只包含一个名为admin.jsp的恶意JSP文件。该文件可以生成系统分析信息、在Apache服务器上创建新文件以及使用Web服务器帐户的权限级别在服务器上执行命令。最终下载的挖矿软件有效载是一个RC4加密的二进制文件。


https://news.sophos.com/en-us/20 ... are-to-web-servers/

---

4 挖掘容器使用暴露的API定位Docker主机

趋势科技通过具有暴露的API模拟Docker主机发现了恶意容器的单个映像和快照。该容器来自名为zoolu2的公共（因此可访问）Docker Hub存储库，包含9个图像，包括定制的shell、Python脚本、配置文件，以及Shodan脚本和挖矿软件二进制文件。挖矿软件使用主机系统的资源来挖掘Monero币，并且通过Shodan API搜索其他具有暴露API的Docker主机。恶意软件还会检查目标主机是否已经运行了加密货币挖掘容器，如果找到则将其删除。


https://blog.trendmicro.com/tren ... additional-victims/

---

5 垃圾邮件在YouTube上传播Qulab窃取软件

研究人员观察到了在YouTube上推广比特币生成工具的垃圾邮件活动，最终投放信息窃取恶意软件Qulab。攻击者在YouTube上传一系列推广“比特币生成器”工具的视频，视频中包含下载工具的链接。链接会将用户重定向到提供Setup.exe文件的页面，执行该文件就会下载Qulab窃取软件。


https://cyware.com/news/youtube- ... ab-malware-2da5e85a

---

6 LandMark White受攻击再次发生数据泄露

上市估值公司LandMark White确认受到黑客破坏性攻击导致了数据泄露，并透露估值和相关商业文件已上传至国际文件共享网站SCRIBD。第一次数据泄露导致多达137,500名估值客户的个人和财务数据在暗网上出售，该公司在2月份进入交易暂停状态。此次数据泄露事件发生后，公司采取了措施锁定数据，进行调查，并且向澳大利亚信息专员办公室报告了此事件。


https://www.smh.com.au/business/ ... 0190530-p51sxo.html

---