每日安全简讯(20221211)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 俄罗斯APT组织Callisto针对支援乌克兰的欧美私企发动网络攻击

俄罗斯APT组织 Callisto 的网络间谍组织针对多个为乌克兰提供战争支持的企业，包括美国和欧洲的私营公司。该组织至少从 2017 年开始活跃，也被追踪为 Blue Callisto、Coldriver、Seaborgium 和 Callisto Group。在 2022 年 2 月至 10 月期间，该组织瞄准了至少一家与物流相关的乌克兰私营公司，同时继续关注欧洲和美国的政府组织。

https://www.pwc.com/gx/en/issues/cybersecurity/cyber-threat-intelligence/blue-callisto-orbits-around-us.html

---

2 DeathStalker APT利用Janicab新变种攻击律师事务所

DeathStalker，又名 Evilnum，是 Evilnum 恶意软件背后的 APT 组织。近日，研究人员发现该组织攻击目标为律师事务所、金融机构，甚至旅行社。研究人员发现了一个 Janicab 新变种，该变种在整个 2020 年期间用于针对中东的律师事务所，可能在 2021 年活跃，并可能扩大可追溯到 2015 年初的广泛活动以及针对中东和欧洲的法律、金融和旅行社。

https://securelist.com/deathstalker-targets-legal-entities-with-new-janicab-variant/108131/

---

3 伊朗APT组织运营的Drokbk恶意软件滥用GitHub托管C2服务

伊朗 COBALT MIRAGE APT组织的一个子组织利用 Drokbk 恶意软件进行持久化。研究人员发现该恶意软件使用 GitHub 作为 DDR，托管 C2 服务。该恶意软件是用 .NET 编写的，由一个投放器和一个有效载荷组成。它的内置功能有限，主要执行来自命令和控制 (C2) 服务器的其他命令或代码。

https://www.secureworks.com/blog/drokbk-malware-uses-github-as-dead-drop-resolver

---

4 研究人员称Matrix协议存在可利用的加密漏洞

Matrix 是用于实时通信的开放标准和通信协议。它旨在通过允许在一个通信服务提供商处拥有帐户的用户与用户通信，使不同服务提供商之间的实时通信无缝工作。研究人员报告Matrix端到端加密中的几个实际可利用的加密漏洞，并描述了利用这些漏洞的概念验证攻击。当依赖于实现特定行为时，这些攻击针对由matrix-react-sdk和matrix-js-sdk库实现的 Matrix 标准。

https://nebuchadnezzar-megolm.github.io/

---

5 Zombinder服务可木马化合法的安卓应用程序

研究人员在在分析安卓银行木马 Ermac 的活动时，发现了一个使用多个木马并同时针对安卓和 Windows 用户的活动，以便尽可能多地感染目标。除了 Ermac 安卓银行木马外，该活动还涉及 Erbium、Aurora 窃取器和 Laplas“clipper”形式的桌面恶意软件。这场运动造成了数千名受害者，例如，Erbium 窃取者成功地从1300 多名受害者那里窃取了数据。研究人员发现暗网上的第三方服务Zombinder，该服务用于将恶意负载绑定到合法的 Android 应用程序。它用于将恶意负载绑定到合法应用程序，以诱骗受害者安装它。

https://www.threatfabric.com/blogs/zombinder-ermac-and-desktop-stealers.html

---

6 思科为公开披露的IP电话漏洞开发补丁

思科近日通知客户，正在为影响其部分 IP 电话的高危漏洞开发补丁。 该缺陷被追踪为CVE-2022-20968，影响 7800 系列和 8800 系列（8821 除外）Cisco IP 电话。没有解决方法，但思科提供了一种缓解措施，可以在公司发布补丁之前使用。 CVE-2022-20968 已描述为与发现协议处理功能相关的堆栈缓冲区溢出。 未经身份验证的相邻攻击者可以通过向目标设备发送特制的发现协议数据包来利用此漏洞。利用可能导致任意代码执行或拒绝服务 (DoS) 情况。

https://www.securityweek.com/cisco-working-patch-publicly-disclosed-ip-phone-vulnerability