每日安全简讯(20200109)

1 Lazarus开展针对加密货币的后续AppleJeus行动

卡巴斯基研究人员发现了Lazarus组织针对加密货币领域的后续AppleJeus行动。在该后续活动中，Lazarus开发了自定义macOS恶意软件，其使用Object-C框架，托管在GitHub上，并添加了一种身份验证机制，在不接触磁盘的情况下加载下一阶段有效载荷。针对Windows用户目标时，Lazarus建立了wfcwallet的虚假网站，并制定了多阶段感染程序，感染始于.NET恶意软件，其伪装成WFC钱包更新程序，执行后，将模仿连接到C2地址的钱包更新程序。然后，攻击者使用RasMan Windows服务通过持久性机制下载有效载荷。研究人员目前发现了在英国、波兰、俄罗斯和中国的几名受害者，大多都与加密货币业务实体有关。


https://securelist.com/operation-applejeus-sequel/95596/

---

2 研究人员发现带有挖矿功能新僵尸网络LiquorBot

Bitdefender研究人员在2019年5月发现名为LiquorBot的僵尸网络，至2019年10月期间共发现了另外12个版本的LiquorBot。LiquorBot使用Go编写，Go语言优于传统C语言的编程优势，例如内存安全性、垃圾回收、结构化类型、CSP风格的并发。LiquorBot被交叉编译为多种架构，其目标是从ARM和ARM64到x86、x64和MIPS的各种CPU架构，并带有挖矿功能，通过SSH暴力破解并利用某些路由器中未修补漏洞进行传播。LiquorBot使用了与Mirai相关的C2服务器，二者甚至在释放器脚本中一起出现，这意味着攻击者在各种活动中同时使用了LiquorBot和Mirai变种。


https://labs.bitdefender.com/202 ... rates-cryptomining/

---

3 研究人员发现针对企业网络的新勒索软件SNAKE

研究人员近日发现了针对企业网络的新勒索软件SNAKE，它由Golang编写，并且包含的混淆程度远高于Ryuk、Sodinokibi等相同类型的勒索软件。启动后，Snake将删除计算机的卷影副本，终止与SCADA系统、虚拟机、工业控制系统、远程管理工具、网络管理软件等有关的许多进程。然后，它会继续加密设备上的文件，同时跳过Windows系统文件夹和各种系统文件中的所有文件。加密文件时，它将在文件扩展名后附加5个字符，例如，被加密文件1.doc更名为1.docqkWbv。在每个加密的文件中，SNAKE都会添加如下所示的' EKANS '文件标记。目前仍在对该勒索软件进行分析，尚不清楚是否可以免费解密。


https://www.bleepingcomputer.com ... -business-networks/

---

4 网络钓鱼活动针对前苏联国家金融组织窃取凭据

Cofense检测到针对独联体国家知名金融组织窃取凭据的网络钓鱼活动。俄语钓鱼邮件仅包含PDF文件，使用的域包含有效证书，在2019年11月19日至12月1日之间进行注册。点击PDF文件后，显示图像和链接，要求用户点击链接查看文档，该链接将用户重定向到网络钓鱼站点，虚假的金融服务声称向符合条件的用户提供货币补偿，但是，他们只有有限的时间来注册其索赔，用户需要提交银行卡号和Voila（加密货币令牌）。提供信息后系统会提示用户先支付随机产生的费用，然后再获得补偿。


https://cofense.com/organization ... fed-phishing-email/

---

5 Microsoft Access存在可能泄露敏感数据的漏洞

Mimecast研究实验室在Microsoft Access数据库中发现可能泄露敏感数据的漏洞，该漏洞被称为MDB Leaker。该漏洞被追踪为CVE-2019-1463，与应用程序对系统内存的不当管理有关，可能导致系统内存中的敏感数据无意中保存在数据库文件中，泄露敏感信息。该漏洞会影响Office 2010、2013、2016、2019和365 ProPlus，可能使85,000家公司（其中近60％在美国）面临敏感数据泄漏的风险。该漏洞已于2019年12月份的微软安全更新中修复。


https://www.mimecast.com/blog/20 ... lity-cve-2019-1463/

---

6 谷歌发布1月安全更新修复40个Android漏洞

谷歌发布了2020年1月的安全更新，共修复了40个Android漏洞。该安全公告分为两个部分：第一部分解决了Framework、Media框架和系统中的7个漏洞，第二部分解决了内核、高通和高通闭源组件中的33个安全漏洞。在第一部分中，最严重的是Media框架中的漏洞，它可能允许使用特制文件的远程攻击者在特权进程的上下文中执行任意代码。第二部分中，最严重的是Realtek rtlwifi驱动程序中的漏洞，它可能导致远程执行代码。


https://www.securityweek.com/and ... -40-vulnerabilities

---