每日安全简讯(20190929)

1 研究人员发现新模块化恶意软件Divergent

思科的研究人员最近发现了一个新的恶意软件下载器，利用以前的无文件恶意软件有效载荷Divergent来分发和感染系统。这种威胁使用NodeJS，一个在浏览器外部执行JavaScript的程序，以及合法的开源工具WinDivert用来促进Divergent恶意软件的一些功能。Divergent是一个恶意软件家族，旨在通过点击骗局为攻击者创造收入，类似于其他点击欺诈恶意软件，如Kovter。


https://blog.talosintelligence.c ... rgent-analysis.html

---

2 新WhiteShadow下载器使用Microsoft SQL检索恶意软件

在2019年8月，Proofpoint研究人员遇到了新的Microsoft Office宏，这些宏共同充当了一个分段下载器“ WhiteShadow”。自从首次在小型活动中观察到WhiteShadow的出现，导致感染了Crimson RAT实例以来，已经观察到了逃避检测技术的引入。这些更改包括各种代码行的顺序以及某些基本的混淆尝试。当收件人在这些活动中打开恶意文档附件并激活宏时，WhiteShadow通过对攻击者控制的Microsoft SQL Server数据库执行SQL查询来进行操作。恶意软件存储为数据库中ASCII编码的长字符串。一旦检索到，宏将对字符串进行解码，并将其作为Windows可执行文件的PKZip存档写入磁盘。一旦被宏提取，可执行文件就会在系统上运行并开始安装恶意软件，这是由攻击者存储在恶意Microsoft Office附件中配置的脚本确定的。


https://www.proofpoint.com/us/th ... ql-retrieve-malware

---

3 研究人员发布恶意软件Arcane Stealer V分析报告

在2019年7月，研究人员得到并开始分析Arcane Stealer V的样本。Arcane Stealer V是一种.net信息窃取恶意软件，其价格便宜且易于获取，并且不会基于地理区域或位置来限制操作和感染。成功感染后收集和提取的数据包括操作系统、浏览器信息、加密货币钱包和即时消息会话。8月初，在对Arcane Stealer V进行分析时，确定了多个即时通讯程序和社交媒体帐户，这些帐户与某个使用俄罗斯语的攻击者相关，可能与Arcane Stealer V的构建和发行有关。


https://www.fidelissecurity.com/ ... e/arcane-stealer-v/

---

4 间谍软件Masad Stealer利用Telegram窃取信息

研究人员发现了一种新的使用木马进行分发的间谍软件利用Telegram来窃取被盗信息。使用Telegram作为命令和控制（CnC）通道可以使恶意软件具有某种匿名性，因为Telegram是一个合法的消息传递应用程序，每月有2亿活跃用户。该恶意软件在黑市论坛上被称为“ Masad Clipper and Stealer”。它窃取浏览器数据，其中可能包含用户名、密码和信用卡信息。Masad Stealer还自动用自己的剪贴板替换加密货币钱包。Masad Stealer发送它收集的所有信息并从Telegram机器人接收命令，该机器人由攻击者部署的Masad实例控制。


https://forums.juniper.net/t5/Th ... elegram/ba-p/468559

---

5 研究人员披露与Simjacker相似的SIM卡攻击WIBattack

一个安全研究人员小组详细介绍了第二种基于SMS的攻击，该攻击可以通过滥用SIM卡上运行的鲜为人知的应用程序，使恶意攻击者可以跟踪用户的设备。这种称为WIBattack的新攻击与Simjacker相同，两种攻击均以相同的方式工作，并且它们对相似的命令授予访问权限，但它们针对的是SIM卡上运行的不同应用程序。主要是，Simjacker针对S@T浏览器应用程序运行命令，而WIBattack将命令发送至无线Internet浏览器（WIB）应用程序。


https://www.zdnet.com/article/ne ... milar-to-simjacker/

---

6 研究人员发现IOS设备存在硬件漏洞可导致永久越狱

一位安全研究人员发布了一项新越狱案，该案将影响2011年至2017年之间发布的所有运行A5至A11芯片的Apple产品，涵盖从iPhone 4S到iPhone 8和iPhone X的八代设备。越狱使用了一种名为Checkm8的新漏洞，该漏洞利用了Apple的Bootrom（安全启动ROM）中的漏洞，以授予手机所有者对其设备的完全控制权。在Twitter上，他将Checkm8描述为“永久的，不可修复的bootrom攻击”。


https://www.zdnet.com/article/ne ... ng-a5-to-a11-chips/

---