每日安全简讯(20191103)

1  疑似DarkHotel利用Chrome 0day漏洞进行水坑攻击

卡巴斯基监测到利用谷歌Chrome浏览器0day漏洞（CVE-2019-13720）的水坑攻击活动，并将该活动称为“Operation WizardOpium”。此次攻击针对韩语新闻门户网站，在其页面注入恶意JavaScript代码，然后从远程加载脚本，脚本检查谷歌浏览器版本是否大于等于65，如果是，向攻击者受控服务器执行许多AJAX请求，获取信息，下载加密的漏洞利用JavaScript代码，并检索RC4密钥解密。最终的有效载荷将作为加密的二进制文件下载，由shellcode解密后，作为updata.exe拖放到磁盘上并执行，并尝试从C2服务器下载下一阶段。研究人员目前还未将该活动与攻击组织建立明确的联系，但是使用的代码与Lazarus组织存在微弱联系，也有可能是攻击者使用的嫁祸手段，而此目标网站更符合早期的DarkHotel的攻击，并且该组织最近也部署了类似的嫁祸攻击。


https://securelist.com/chrome-0- ... -wizardopium/94866/

---

2 WIZARD SPIDER为Ryuk勒索软件添加新恶意功能

CrowdStrike研究人员发现了勒索软件Ryuk变种，WIZARD SPIDER组织为该变种添加了用于识别和加密局域网(LAN)主机上文件的新功能，该功能可用于针对最近处于备用电源状态的系统，以及局域网中的在线系统。第一个功能为通过发送一个Wake-on-LAN (WoL) magic包来唤醒处于备用电源状态的LAN主机。Ryuk读取主机地址解析协议（ARP）缓存中的条目来识别LAN上的计算机，数据包通过用户数据报协议(UDP)套接字发送，套接字选项SO_BROADCAST使用目标端口7。第二个功能为使用ARP ping扫描器来识别LAN上的主机。它会检查ARP缓存中的每个条目，以查看其中是否包含带有私有IP地址的子字符串，如果存在，将从该字符串值开始向类C网络中的所有IP地址发送ARP和PING请求，如果主机做出响应，Ryuk会尝试使用服务器消息块（SMB）将其安装为网络驱动器，并对其内容进行加密。


https://www.crowdstrike.com/blog ... to-ryuk-ransomware/

---

3 安全厂商揭露勒索软件运营团伙Truniger及活动细节

AdvIntel揭露勒索软件运营团伙Truniger及其活动细节。Truniger目前由10个人组成，在2018年通过与GandCrab运营团伙合作了解了勒索软件分发的策略后，开始运营。该团伙使用RDP暴力破解进入网络，依靠名为RDP Brute的自定义工具来完成。一旦建立了一个稳定的立足点，并对网络进行评估以确保尽可能多的计算机可以被感染，攻击者就可以在受害者的系统上执行文件加密恶意软件。2019年6月，该团伙改变了其攻击媒介，从利用RDP转变使用僵尸网络。攻击首先通过有针对性的钓鱼邮件，来投递加载器Amadey，然后投递僵尸网络，上传数据并进一步横向移动。


https://www.advanced-intel.com/p ... crab-paradigm-shift

---

4 安全厂商针对勒索软件Paradise发布免费解密工具

Emsisoft针对勒索软件Paradise发布了免费解密工具。Paradise于2017年9月首次被发现，可以使用Salsa20和RSA-1024进行加密，至今仍在积极分发，并且似乎被用作勒索软件即服务（RaaS）。Paradise已有超过50个已知的扩展名称，该解密对大多数的扩展名称都可以解密，但有些仍在开发中。


https://blog.emsisoft.com/en/345 ... aradise-ransomware/

---

5 Android系统漏洞允许黑客通过NFC植入恶意软件

研究人员在Android系统NFC Beam功能中发现一个漏洞（CVE-2019-2114），该漏洞允许黑客将恶意软件传播到附近的手机。使用Android系统设备之间的NFC应用程序传输会绕过某些安全控件，例如“安装未知应用程序”提示，而像支付终端之类的恶意设备可以利用这个漏洞感染恶意软件。该漏洞影响Android 8及更高版本，目前谷歌已修复该漏洞。


https://www.zdnet.com/article/an ... re-via-nfc-beaming/

---

6 智利国家警察局被黑客入侵导致超一万份文件泄露

智利国家警察局Carabineros de Chile遭黑客入侵，泄露了包括情报在内的一万多份文件。第一次泄密发生在10月25日，攻击者公开了一个包含所有警务人员的姓名、身份证账号（RTU）、性别、地区的警察局数据库，该数据库还附带可以进入该机构的电子文档平台（DOE）的密码。在第三次泄密中，攻击者曝光了一个重要的解密文本文件，其显示了在10月18日开始的社会反抗中的一些内部活动，其中最相关的一条是命令保护高层官员的住宅信息以及负责保卫这些权力的指挥官的手机号码。


https://www.databreaches.net/hac ... uding-intelligence/

---