IT资讯安全事件周报：恶意软件攻击大量基础设施、30 个最常被利用的漏洞

thesshell · 2021-08-09 18:30:05 · 热度: 15

报告编号：B6-2021-080201

报告来源：360CERT

报告作者：360CERT

更新日期：2021-08-02

事件导览

本周收录安全热点15项，话题集中在恶意软件、网络攻击方面，涉及的组织有：Microsoft、EA、Google、Transnet SOC等。恶意软件攻击大量基础设施。对此，360CERT建议使用360安全卫士进行病毒检测、使用360安全分析响应平台进行威胁流量检测，使用360城市级网络安全监测服务QUAKE进行资产测绘，做好资产自查以及预防工作，以免遭受黑客攻击。

事件目录

恶意程序
微软警告针对 Windows 和 Linux 系统的 LemonDuck 恶意软件
假 Windows 11安装程序在计算机上分发恶意软件
'Praying Mantis'组织攻击面向互联网的Windows服务器
LockBit 勒索软件通过组策略自动化 Windows 域加密
中国攻击者使用一种名为 THOR 的PlugX新变种攻击 Exchange 服务器
BlackMatter 勒索软件组织声称是 Darkside 和 REvil 的继任者
新型恶意软件Meteor wiper攻击伊朗铁路
PyPI 包被发现窃取信用卡号、Discord 令牌
专家发现与 WellMess 恶意软件相关的多个 C&C 服务器

数据安全
攻击者泄露了从 EA 窃取的数据，包括 FIFA 代码

网络攻击
南非物流公司 Transnet SOC 遭受勒索软件攻击
SolarWinds 黑客入侵 27 个州检察官办公室

其它事件
新的 PetitPotam NTLM 中继攻击让黑客接管 Windows 域
2020年30个最常被利用的漏洞
Linux eBPF 漏洞在 Ubuntu 上获得 root 权限 - 漏洞利用已发布

恶意程序

微软警告针对 Windows 和 Linux 系统的 LemonDuck 恶意软件

日期: 2021年07月26日
等级: 高
作者: Ravie Lakshmanan
标签: LemonDuck, Windows, Linux
行业: 信息传输、软件和信息技术服务业
涉及组织: microsoft

微软在7月21日发表的一篇技术文章中表示:“柠檬鸭(LemonDuck)是一种积极更新和强大的恶意软件，主要以其僵尸网络和加密货币挖掘目标而闻名。

如今，除了为传统的挖掘活动使用资源，LemonDuck还窃取证书、删除安全控制、通过电子邮件传播、横向移动。

详情

Microsoft Warns of LemonDuck Malware Targeting Windows and Linux Systems

https://thehackernews.com/2021/07/microsoft-warns-of-lemonduck-malware.html

假 Windows 11安装程序在计算机上分发恶意软件

日期: 2021年07月26日
等级: 高
来源: heimdalsecurity
标签: Windows 11, Fake, Malware
行业: 信息传输、软件和信息技术服务业
涉及组织: microsoft

最近，卡巴斯基的研究人员警告不要从未经验证的来源下载Windows11，因为安装程序很可能包含恶意软件。

网络攻击者发布了一个名为86307_windows11build21996.1x64+activator.exe的可执行文件。

文件大小高达1.75gb，看起来确实合理。但事实上，该空间的大部分由一个包含大量无用信息的dll文件组成。恶意安装程序还会下载并运行第二个安装程序，用于安装广告软件、潜在有害程序和恶意软件。

详情

Fake Windows 11 Installers Distribute Malware on Your Computer

https://heimdalsecurity.com/blog/fake-windows-11-installers-distribute-malware-on-your-computer/

'Praying Mantis'组织攻击面向互联网的Windows服务器

日期: 2021年07月27日
等级: 高
作者: Jonathan Greig
标签: Windows, Praying Mantis, malware
行业: 信息传输、软件和信息技术服务业

根据Sygnia事件响应小组的一份新报告，面向互联网的Windows服务器正被一种几乎完全在内存中运行的恶意软件攻击。

该报告称，攻击者名为“prayingmantis”或“TG1021”-主要使用的反序列化攻击来加载适用于WindowsIIS环境的自定义恶意软件平台。

TG1021使用了一个定制的恶意软件框架，为IIS服务器量身定做。

该工具反射加载到受感染机器的内存中，在受感染的目标上几乎没有痕迹。

详情

'Praying Mantis' threat actor targeting Windows internet-facing servers with malware

https://www.zdnet.com/article/praying-mantis-threat-actor-targeting-windows-internet-facing-servers-with-malware/

LockBit 勒索软件通过组策略自动化 Windows 域加密

日期: 2021年07月27日
等级: 高
作者: Lawrence Abrams
标签: lockbit, ransomware, Windows domain, group policies
行业: 信息传输、软件和信息技术服务业
涉及组织: microsoft

新版本的lockbit2.0勒索软件已经被发现，它使用活动目录组策略自动加密Windows域。

lockbit勒索软件行动于2019年9月启动，招募攻击者来入侵网络和加密设备。

详情

LockBit ransomware automates Windows domain encryption via group policies

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-automates-windows-domain-encryption-via-group-policies/

中国攻击者使用一种名为 THOR 的PlugX新变种攻击 Exchange 服务器

日期: 2021年07月28日
等级: 高
作者: Pierluigi Paganini
标签: pkplug, Exchange, Southeast Asia, thor
行业: 国际组织
涉及组织: microsoft, github

一个与中国有关的网络间谍组织被追踪为pkplug（又名mustangpanda和Honeymyte），该组织以东南亚为目标，利用微软Exchange服务器中的漏洞在受感染的系统上部署了以前未记录的plugx变体。

paloalto的研究人员将新版本的plugx恶意软件跟踪为thor。

thor变体还实现了新功能，例如增强的机制来传递恶意负载。

详情

Chinese cyberspies used a new PlugX variant, dubbed THOR, in attacks against MS Exchange Servers

https://securityaffairs.co/wordpress/120636/malware/chinese-cyberspies-thor-rat.html

BlackMatter 勒索软件组织声称是 Darkside 和 REvil 的继任者

日期: 2021年07月28日
等级: 高
作者: Pierluigi Paganini
标签: blackmatter, ransomware, revil
行业: 信息传输、软件和信息技术服务业

BlackMatter是一个新的勒索软件团伙，该网络犯罪团伙声称是Darkside和REvil团伙的继承者。

除了勒索软件外，BlackMatter还建立了泄漏站点，在加密系统之前，它会发布从受害者那里窃取的数据。

该组织正在招募能够访问年收入超过1亿美元或更大的大型企业网络的黑客，以扩展自己的勒索业务。

该集团正在美国、英国、加拿大或澳大利亚寻找目标。

BlackMatter勒索软件运营商宣布，他们不会针对医疗保健组织、关键基础设施、国防工业组织和非营利公司。

安全事件周报：恶意软件攻击大量基础设施、30 个最常被利用的漏洞

详情

BlackMatter ransomware group claims to be Darkside and REvil succesor

https://securityaffairs.co/wordpress/120611/malware/blackmatter-ransomware.html

新型恶意软件Meteor wiper攻击伊朗铁路

日期: 2021年07月29日
等级: 高
作者: Lawrence Abrams
标签: Meteor, Railway, Iron
行业: 交通运输、仓储和邮政业

在最近对伊朗铁路系统的攻击中发现了一种名为Meteor的新恶意软件。

2021年7月，伊朗交通部和国家火车系统遭受网络攻击，导致该机构的网站关闭并中断火车服务。

安全事件周报：恶意软件攻击大量基础设施、30 个最常被利用的漏洞

详情

New destructive Meteor wiper malware used in Iranian railway attack

https://www.bleepingcomputer.com/news/security/new-destructive-meteor-wiper-malware-used-in-iranian-railway-attack/

PyPI 包被发现窃取信用卡号、Discord 令牌

日期: 2021年07月30日
等级: 高
作者: Ax Sharma
标签: PyPI, Discord, Credit Card
行业: 信息传输、软件和信息技术服务业

PyPI删除了几个 Python 包，这些包旨在窃取用户的信用卡号、Discord令牌，并向攻击者授予代码执行能力。

根据研究人员的报告，这些恶意软件包在三个不同的PyPI帐户下发布，估计总共下载了30,000多次。

安全事件周报：恶意软件攻击大量基础设施、30 个最常被利用的漏洞

详情

PyPI packages caught stealing credit card numbers, Discord tokens

https://www.bleepingcomputer.com/news/security/pypi-packages-caught-stealing-credit-card-numbers-discord-tokens/

专家发现与 WellMess 恶意软件相关的多个 C&C 服务器

日期: 2021年07月30日
等级: 高
作者: Ravie Lakshmanan
标签: WellMess, COVID-19
行业: 跨行业事件

微软旗下的网络安全子公司RiskIQ的一份报告中表示，已经发现了30多台由俄罗斯外国情报机构运营的WellMess恶意软件的多个C&C服务器。

WellMess（又名WellMail）于2018年首次被日本的JPCERT/CC发现，其攻击英国、美国和加拿大的COVID-19研究和疫苗开发的多个组织。

英国国家网络安全中心(NCSC)在2020年7月发布的一份咨询报告中指出：“该组织使用各种工具和技术，主要针对政府、外交、智库、医疗保健和能源目标以获取情报。”

详情

Experts Uncover Several C&C Servers Linked to WellMess Malware

https://thehackernews.com/2021/07/experts-uncover-several-c-servers.html

数据安全

攻击者泄露了从 EA 窃取的数据，包括 FIFA 代码

日期: 2021年07月31日
等级: 高
作者: Pierluigi Paganini
标签: Electronic Arts
行业: 信息传输、软件和信息技术服务业
涉及组织: Electronic Arts

6月，黑客入侵了游戏巨头EA的网络，并声称窃取了大约780GB的数据。被盗数据包括游戏源代码、FrostBite游戏引擎和调试工具源代码、FIFA21匹配服务器代码、EA专有游戏框架、调试工具、SDK和API密钥、XBOX和SONY私有SDK和API密钥、XBPS和EApfx和带有密钥的crt，以及FIFA22API密钥和SDK和调试工具。2021年7月底，在与受害者谈判失败后，攻击者泄露了从公司窃取的完整数据。

详情

Threat actors leaked data stolen from EA, including FIFA code

https://securityaffairs.co/wordpress/120711/data-breach/ea-stolen-data-leaked.html

网络攻击

南非物流公司 Transnet SOC 遭受勒索软件攻击

日期: 2021年07月27日
等级: 高
作者: Pierluigi Paganini
标签: South Africa, Transnet SOC, ransomware
行业: 交通运输、仓储和邮政业
涉及组织: Transnet SOC

7月22日，南非大型铁路、港口和管道公司Transnetsoc有限公司宣布受到破坏性网络攻击，导致所有港口的运营中断。

由于这次攻击，transnetsocltd的网站瘫痪，该公司要求所有员工关闭所有笔记本电脑和台式机，并且不得访问他们的电子邮件。

详情

South Africa’s logistics company Transnet SOC hit by a ransomware attack

https://securityaffairs.co/wordpress/120596/cyber-crime/transnet-soc-cyber-attack.html

SolarWinds 黑客入侵 27 个州检察官办公室

日期: 2021年07月31日
等级: 高
作者: Pierluigi Paganini
标签: SolarWinds, Office 365, Attorney
行业: 租赁和商务服务业
涉及组织: microsoft

美国司法部透露，在SolarWinds袭击期间，27个州的美国律师事务所员工的microsoftoffice365电子邮件帐户遭到俄罗斯svr（又名apt29、cozybear和dukes）入侵。

涉及漏洞

CVE-2018-13379

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13379

CVE-2019-9670

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9670

CVE-2019-11510

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-11510

CVE-2019-19781

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-19781

CVE-2020-4006

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-4006

详情

SolarWinds hackers breached 27 state attorneys’ offices

https://securityaffairs.co/wordpress/120704/cyber-warfare-2/solarwinds-hackers-breached-state-attorneys-offices.html

其它事件

新的 PetitPotam NTLM 中继攻击让黑客接管 Windows 域

日期: 2021年07月26日
等级: 高
作者: Ravie Lakshmanan
标签: PetitPotam, NTLM, Windows, Domains, security flaw
行业: 制造业
涉及组织: microsoft

Windows操作系统中的新发现的安全漏洞可以被利用以强制远程Windows服务器，包括域控制器，以使用恶意目的地进行身份验证，从而允许对持续阶段进行对手并完全接管Windows域。

该问题被称为“Petitpotam”，由安全研究员GillesLionel分享了技术细节和概念证明（PoC）代码，指出该漏洞的工作原理是“Windows主机通过MS-EFSRPCEfsRpcOpenFileRaw函数对其他机器进行身份验证”。

详情

New PetitPotam NTLM Relay Attack Lets Hackers Take Over Windows Domains

https://thehackernews.com/2021/07/new-petitpotam-ntlm-relay-attack-lets.html

2020年30个最常被利用的漏洞

日期: 2021年07月28日
等级: 高
作者: Pierluigi Paganini
标签: vulnerabilities, 2020
行业: 信息传输、软件和信息技术服务业
涉及组织: cisa, acsc, ncsc

美国网络安全和基础设施安全机构(cisa)、澳大利亚网络安全中心(acsc)、英国国家网络安全中心(ncsc)和美国联邦调查局(fbi)发布了一份联合网络安全咨询，其中提供了2020年攻击者利用的前30个漏洞的详细信息。

该咨询包括每个漏洞的技术细节，包括入侵指标(iocs)，并为它们提供缓解措施。

涉及漏洞

cve-2021-26855

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-26855

等级: critical

类型: server-side_request_forgery

简介:

- URL: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

- Markdown: 可以通过以下Exchange HttpProxy日志进行检测：

%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging\HttpProxy

通过以下Powershell可直接进行日志检测：

Import-Csv -Path (Get-ChildItem -Recurse -Path “$env:PROGRAMFILES\Microsoft\Exchange Server\V15\Logging\HttpProxy” -Filter ‘*.log’).FullName | Where-Object {  $_.AuthenticatedUser -eq ” -and $_.AnchorMailbox -like ‘ServerInfo~*/*’ } | select DateTime, AnchorMailbox

如果检测到了入侵，可以通过以下目录获取攻击者采取了哪些活动

%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging

- Markdown: CVE-2021-26855: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

- URL: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

- Text: Exchange服务器端请求伪造（SSRF）漏洞，利用此漏洞的攻击者能够发送任意HTTP请求并通过Exchange Server进行身份验证。

cve-2021-26857

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-26857

等级: critical

类型: serialization

简介:

- URL: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

- Markdown: 该漏洞利用难度稍高，可利用以下命令检测日志条目

Get-EventLog -LogName Application -Source “MSExchange Unified Messaging” -EntryType Error | Where-Object { $_.Message -like “*System.InvalidCastException*” }

- Markdown: CVE-2021-26857: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857

- URL: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

- Text: 具有管理员权限的攻击者可以在Exchange服务器上以SYSTEM身份运行任意代码

cve-2021-26858

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-26858

等级: critical

类型: file_upload

简介:

- URL: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

- Markdown: 日志目录：C:\Program Files\Microsoft\Exchange Server\V15\Logging\OABGeneratorLog

可通过以下命令进行快速浏览：

findstr /snip /c:”Download failed and temporary file” “%PROGRAMFILES%\Microsoft\Exchange Server\V15\Logging\OABGeneratorLog\*.log”

写入的文件位于：%PROGRAMFILES%\Microsoft\Exchange Server\V15\ClientAccess\OAB\Temp 目录，注意检测该目录有没有webshell等恶意程序

- Markdown: CVE-2021-26858: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858

- URL: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

- Text: 经过身份验证的攻击者可以利用漏洞将文件写入服务器上的任意目录

cve-2021-27065

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-27065

等级: critical

类型: file_upload

简介:

- URL: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

- Markdown: 通过以下powershell命令进行日志检测，并检查是否遭到攻击:

Select-String -Path “$env:PROGRAMFILES\Microsoft\Exchange Server\V15\Logging\ECP\Server\*.log” -Pattern ‘Set-.+VirtualDirectory’

- Markdown: CVE-2021-27065: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065

- URL: https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

- Text: 经过身份验证的攻击者可以利用漏洞将文件写入服务器上的任意目录

cve-2021-22893

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-22893

等级: critical

类型: code_execution

简介:

- Text: service.response:"/dana-na/auth/url_default/welcome.cgi" OR product:"Pulse Secure VPN gateway http config"

- Text: Pulse Connect中存在一处严重漏洞，允许未通过身份验证的攻击者直接在系统中执行任意代码。

- URL: https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784

cve-2021-22894

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-22894

cve-2021-22899

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-22899

cve-2021-22900

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-22900

cve-2021-27101

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-27101

cve-2021-27102

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-27102

cve-2021-27103

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-27103

cve-2021-27104

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-27104

cve-2021-21985

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-21985

等级: critical

类型: code_execution

简介:

- Text: 该漏洞由于vCenter Server默认启用的插件Virtual SAN Health Check缺少输入验证导致的。能通过443端口访问到vSphere Client(HTML5)的攻击者，可以构造特殊的请求包在目标机器上执行任意代码。

- URL: https://www.vmware.com/security/advisories/VMSA-2021-0010.html

cve-2018-13379

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2018-13379

cve-2020-12812

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2020-12812

cve-2019-5591

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2019-5591

详情

US, UK, and Australian agencies warn of top routinely exploited issues

https://securityaffairs.co/wordpress/120644/hacking/top-routinely-flaws-exploited.html

Linux eBPF 漏洞在 Ubuntu 上获得 root 权限 - 漏洞利用已发布

日期: 2021年07月30日
等级: 高
作者: Ionut Ilascu
标签: Linux, eBPF
行业: 信息传输、软件和信息技术服务业

一位安全研究人员发布了Linux内核eBPF中一个高危漏洞的利用代码，该漏洞可以为攻击者提供更高的Ubuntu机器权限。

该漏洞被跟踪为CVE-2021-3490。其在5月份被披露，是一种权限提升漏洞，且需要在目标机器上进行本地执行。

相关Github:https://github.com/chompie1337/Linux_LPE_eBPF_CVE-2021-3490

涉及漏洞

cve-2021-3490

链接: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2021-3490

详情

Linux eBPF bug gets root privileges on Ubuntu - Exploit released

https://www.bleepingcomputer.com/news/security/linux-ebpf-bug-gets-root-privileges-on-ubuntu-exploit-released/

时间线

2021-08-02 360CERT发布安全事件周报

特制报告下载链接

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。

安全事件周报 (07.26-08.01)

http://certdl.qihucdn.com/cert-public-file/sirp_event_week/【360CERT】安全事件周报_07月26日-08月01日.pdf

猜你喜欢:

0 个赞 0 收藏

暂无回复。

需要登录后方可回复, 如果你还没有账号请点击这里注册。

IT资讯 安全事件周报：恶意软件攻击大量基础设施、30 个最常被利用的漏洞

事件导览

事件目录

恶意程序

微软警告针对 Windows 和 Linux 系统的 LemonDuck 恶意软件

假 Windows 11安装程序在计算机上分发恶意软件

'Praying Mantis'组织攻击面向互联网的Windows服务器

LockBit 勒索软件通过组策略自动化 Windows 域加密

中国攻击者使用一种名为 THOR 的PlugX新变种攻击 Exchange 服务器

BlackMatter 勒索软件组织声称是 Darkside 和 REvil 的继任者

新型恶意软件Meteor wiper攻击伊朗铁路

PyPI 包被发现窃取信用卡号、Discord 令牌

专家发现与 WellMess 恶意软件相关的多个 C&C 服务器

相关安全建议

数据安全

攻击者泄露了从 EA 窃取的数据，包括 FIFA 代码

相关安全建议

网络攻击

南非物流公司 Transnet SOC 遭受勒索软件攻击

SolarWinds 黑客入侵 27 个州检察官办公室

涉及漏洞

CVE-2018-13379

CVE-2019-9670

CVE-2019-11510

CVE-2019-19781

CVE-2020-4006

相关安全建议

其它事件

新的 PetitPotam NTLM 中继攻击让黑客接管 Windows 域

2020年30个最常被利用的漏洞

涉及漏洞

cve-2021-26855

cve-2021-26857

cve-2021-26858

cve-2021-27065

cve-2021-22893

cve-2021-22894

cve-2021-22899

cve-2021-22900

cve-2021-27101

cve-2021-27102

cve-2021-27103

cve-2021-27104

cve-2021-21985

cve-2018-13379

cve-2020-12812

cve-2019-5591

Linux eBPF 漏洞在 Ubuntu 上获得 root 权限 - 漏洞利用已发布

涉及漏洞

cve-2021-3490

相关安全建议

时间线

特制报告下载链接

IT资讯安全事件周报：恶意软件攻击大量基础设施、30 个最常被利用的漏洞