每日安全简讯(20200503)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 假冒来自美国劳工部的垃圾邮件分发TrickBot

IBM X-Force近日发现一项分发TrickBot木马的新垃圾邮件活动。垃圾邮件发件人假冒美国劳工部（DoL），主题为家庭医疗休假法（FMLA），该法案给予员工以COVID-19为背景的病假权利。邮件包含三个附件：us-logo.png，faq.png和Act 22.04.doc，其中.png文件为良性图片文件，.doc文档为恶意文档。恶意文档通过启用恶意宏来启动恶意脚本，以从攻击者的指定域中获取TrickBot木马。


https://securityintelligence.com ... of-labor-fmla-spam/

---

2 冠状病毒主题的钓鱼活动诱骗医疗设备供应商

FortiGuard Labs发现一项以COVID-19/冠状病毒为诱饵针对医疗设备供应商的新鱼叉式网络钓鱼活动。邮件中声称由于供应的高需求，正在查询应对COVID-19所需的各种材料，并包括一个令人信服的声明，称已经试图通过电话联系收件人。邮件内容包含多个拼写错误，附件word文档包含查询的详细信息。该文档利用CVE-2017-11882（Office公式编辑器）漏洞，打开后，将从预定义的URL下载名为pov.exe的文件，该文件是Agent Tesla信息窃取器。执行后，Agent Tesla将窃取信息发送到预定义C2中。


https://www.fortinet.com/blog/th ... ical-suppliers.html

---

3 网络钓鱼活动利用LokiBot下载Jigsaw勒索软件

研究人员发现了一个新网络钓鱼活动，其分发LokiBot信息窃取木马及第二个有效载荷Jigsaw勒索软件。Excel附件伪造为发票、银行转账、订单和业务查询，并使用LCG利用包进行武器化操作，得以利用Microsoft Office CVE-2017-11882远程代码执行漏洞。利用成功后，将从远程站点下载LokiBot木马并执行。LokiBot木马能够从各种浏览器、FTP、邮件和终端程序中窃取已保存的登录凭据，然后将其发送回C2服务器。此外，LokiBot还将下载并安装Jigsaw勒索软件变种，该变种使用了流行的Money Heist节目中的Salvadore Dali面具作为背景。


https://www.bleepingcomputer.com ... r-ransomware-punch/

---

4 开源SaltStack Salt管理框架中存在严重漏洞

F-Secure研究人员披露了存在SaltStack公司Salt管理框架中的高严重漏洞，允许攻击者以root身份劫持使用该框架的数据中心和云服务。第一个漏洞为身份验证绕过漏洞（CVE-2020-11651），该漏洞与ClearFuncs类有关，它暴露了_send_pub()和_prep_auth_info()方法，为远程未经身份验证的攻击者提供了与Salt管理员相同的root访问权限。另一个漏洞为目录遍历漏洞（CVE-2020-11652），该漏洞与Salt wheel模块有关，该模块包含用于特定目录路径下的读/写功能的命令，由于未能及时清理，导致攻击者有机会重写路径元素，令牌抓取类也通过ClearFuncs类漏洞暴露出来。以上两个漏洞允许攻击者连接到请求服务器的端口，以绕过验证检查和发布任意消息，以及访问主服务器的整个文件系统，窃取用于验证主服务器的密钥，并在主系统和所有连接到框架的minion代理程序上远程执行代码。SaltStack已在新版本中修复了以上漏洞。


https://www.zdnet.com/article/sa ... -hijacking-as-root/

---

5 Maze声称已从Banco BCR窃取数百万张信用卡

Maze勒索软件幕后组织声称已获得哥斯达黎加银行Banco BCR网络的访问权，并窃取了1100万张信用卡凭据。黑客表示在2019年8月入侵了Banco BCR的网络，并在加密文件之前先窃取其数据，包括超1100多万张信用卡凭据，其中超400万张是唯一的，14万张属于美国公民。黑客发布了240个信用卡号作为入侵的证明（他们删除了最后四位数字）以及相关的到期日期和信用卡验证码（CVC）。Banco BCR尚未对该事件做出任何回应。


https://securityaffairs.co/wordp ... ware-banco-bcr.html

---

6 法国日报《费加罗报》数据库暴露超8TB数据

法国日报《费加罗报》(《Le Figaro》)不安全数据库暴露超过8TB数据。该事件由于Elasticsearch服务器配置错误导致，暴露大约74亿条记录，其中包含记者和雇员以及至少42,000位用户的个人身份信息（PII）和API日志，还包括许多技术日志，其中包含有关后端服务器的信息以及其它信息。这些信息可能会使攻击者更容易获得信息，从而发起攻击。


https://www.bleepingcomputer.com ... sers-personal-info/

---