AG公司云
AG公司科技威胁情报周报（2020.06.15-2020.06.21）
2020-06-22
一、 热门资讯
1. Operation In(ter)ception针对着名航空航天和军事公司的攻击
【概述】
Operation In(ter)ception行动中攻击者建设伪造的LinkedIn帐户，冒充航空航天和国防工业中着名公司的HR代表，以着名职位的薪资信息为诱饵向目的公司员工分发恶意软件，并且试图通过商业电子邮件泄露（BEC）攻击来通过受害者的电子邮件帐户赚钱。
【参考链接】
https://www.welivesecurity.com/2020/06/17/operation-interception-aerospace-military-companies-cyberspies/
2. 攻击者针对美国抗议运动分发垃圾邮件
【概述】
攻击者使用一连的COVID-19大盛行以及美国和其他地方的众多抗议运动的全球新闻向目的用户发送垃圾邮件，并使用主题和发件人名称的变体来绕过垃圾邮件过滤器，诱使下载并翻开恶意附件以撒播Trickbot恶意软件，此次攻击运动的目的群体对“美国黑人之死”事务体现同情的人。
【参考链接】
https://www.fortinet.com/blog/threat-research/global-malicious-spam-campaign-using-black-lives-matter-as-a-lure
3. InvisiMole组织针对东欧军事部分和外交使团
【概述】
InvisiMole组织通过鱼叉式电子邮件举行分发恶意软件，使用RDP协议中BlueKeep误差，SMB协议中EternalBlue误差和使用木马文件和软件装置程序三种方法举行撒播，并使用DNS隧道手艺逃避检测，此次攻击针对东欧的军事部分和外交使团。
【参考链接】
https://www.welivesecurity.com/2020/06/18/digging-up-invisimole-hidden-arsenal/
4. 使用中印领土争端引诱受害者的定向攻击
【概述】
攻击者使用目今的印中领土争端，通过电子邮件附件向东南亚的清静剖析师发送了文件名为“ 印中领土张力.doc”的恶意诱饵文件。此次攻击是无文件的，没有在磁盘上写入任何有用载荷，也没有建设长期性，并且使用DKMC框架隐藏通讯。
【参考链接】
https://www.zscaler.com/blogs/research/targeted-attack-leverages-india-china-border-dispute-lure-victims
5. BITTER组织使用Google Play分发恶意程序针对宗教整体
【概述】
BITTER是一个恒久针对中国、巴基斯坦等国家举行攻击运动的APT组织，近期该组织以宗教群体为目的，通过伪装成真正的伊斯兰教或与斋马节相关的应用程序，以及常见应用程序的通用变体分发恶意软件。
【参考链接】
https://www.bitdefender.com/files/News/CaseStudies/study/352/Bitdefender-PR-Whitepaper-BitterAPT-creat4571-en-EN-GenericUse.pdf
6. Office 365网络垂纶运动滥用Adobe Campaign重定向机制
【概述】
攻击者使用牛津的电子邮件服务器发送垃圾邮件，用户单击电子邮件提醒的一个按钮后，通过三星域被重定向到伪装成Office 365登录页面的网络垂纶页面。攻击者滥用Adobe Campaign重定向机制，使其逃避清静软件的检测，此次攻击针对欧洲、亚洲和中东。
【参考链接】
https://research.checkpoint.com/2020/phishing-campaign-exploits-samsung-adobe-and-oxford-servers/
7. 多阶段APT攻击使用Cobalt Strik的Malleable C2功效
【概述】
攻击者通过鱼叉式网络垂纶电子邮件分发伪装成简历的恶意Word文档，该文档使用模板注入删除了.Net Loader，并且使用了Cobalt Strike的Malleable C2功效来下载最终的有用载荷并执行C2通讯。
【参考链接】
https://blog.malwarebytes.com/threat-analysis/2020/06/multi-stage-apt-attack-drops-cobalt-strike-using-malleable-c2-feature/
8. AcidBox恶意软件使用VirtualBox驱动程序误差针对俄罗斯
【概述】
AcidBox是一个重大的�？榛ぞ甙�，被用于定向攻击运动。在近期的攻击运动中AcidBox恶意软件使用已知VirtualBox驱动程序误差CVE-2008-3431来禁用Windows中的驱动程序署名执行，目的是位于俄罗斯的组织。
【参考链接】
https://unit42.paloaltonetworks.com/acidbox-rare-malware/
9. 针对澳大利亚政府和企业的网络攻击运动
【概述】
攻击者使用许多初始会见前言，通过在未修补版本的Telerik UI中使用远程代码执行误差，提倡针对澳大利亚政府和企业的网络攻击运动。攻击者大宗使用看法验证误差使用代码，Web Shell和其他源代码险些开放的工具。
【参考链接】
https://www.cyber.gov.au/threats/advisory-2020-008-copy-paste-compromises-tactics-techniques-and-procedures-used-target-multiple-australian-networks
10. 攻击者使用NetWire特工软件针对印度人权捍卫者
【概述】
近期有攻击者针对印度维权人士、状师、学者和新闻事情者发动鱼叉式网络垂纶攻击，通过发送包括恶意链接的电子邮件分发可商业使用的特工软件NetWire，一旦用户单击这些链接，将被安排特工软件NetWire，以破损目的盘算机来监视其行为和通讯。
【参考链接】
https://www.amnesty.org/en/latest/research/2020/06/india-human-rights-defenders-targeted-by-a-coordinated-spyware-operation/
11. 滥用正当软件举行dll挟制的攻击运动
【概述】
在近期的攻击运动中攻击者滥用两个正当的应用程序CrystalBit和Apple作为dll双重挟制攻击链的一部分，与广告软件和诓骗性软件举行捆绑，并且安排了应用程序的正当且经由署名的副本，最终向受害者分发挖矿程序。
【参考链接】
https://blog.morphisec.com/crystalbit-apple-double-dll-hijack
12. 攻击者使用FabulaTech误差伪造USB装备
【概述】
FabulaTech允许企业使用应用程序USB装备重定向到远程会话的端点，但其中的总线驱动程序允许低特权用户添加完全控制的软件USB装备。攻击者会使用该误差在某些常见情形下提升特权，如可以添加伪造的鼠标指针或键盘举行操作。
【参考链接】
https://labs.sentinelone.com/click-from-the-backyard-cve-2020-9332/
13. FTCode恶意软件通过垃圾邮件撒播
【概述】
FTCode恶意软件通过垃圾邮件举行撒播，垃圾邮件带有恶意链接，用户点击链接后重定向到恶意资源。FTCode可以获取Thunderbird和Outlook电子邮件客户端和Chrome、Internet Explorer和FireFox浏览器的凭证。
【参考链接】
https://cert-agid.gov.it/news/campagna-massiva-jasperloader-veicola-ftcode-via-pec/
