AG公司云
AG公司科技威胁情报周报（2020.06.22-2020.06.28）
2020-06-29
一、 威胁通告
Apache Dubbo Provider默认反序列化远程代码执行误差
【宣布时间】2020-06-23 17:00:00 GMT
【概述】
2020年6月23日，Apache Dubbo宣布清静通告披露Provider默认反序列化导致的远程代码执行误差（CVE-2020-1948），攻击者可以发送带有无法识别的服务名或要领名及某些恶意参数负载的RPC请求，当恶意参数被反序列化时将导致代码执行。
【链接】
http://blog.nsfocus.net/apache-dubbo-0623/
二、 热门资讯
1. 攻击者使用IndigoDrop针对南亚军事和政府组织
【概述】
近期以军事主题为诱饵的攻击运动，通过恶意Microsoft Office文档撒播包括完整RAT功效的Cobalt Strike，这些恶意文档使用恶意宏来举行多阶段和高度�？榛难�，并且使用公共服务器和私有服务器的组合来托管其恶意有用负载，IndigoDrop认真从下载URL获取最终的有用负载以举行安排，此次攻击针对南亚的军事和政府组织。
【参考链接】
https://blog.talosintelligence.com/2020/06/indigodrop-maldocs-cobalt-strike.html
2. XORDDoS和Kaiji僵尸网络变种针对Docker服务器
【概述】
XORDDoS和Kaiji是Linux僵尸网络恶意软件类型的变体，此次攻击是XORDDoS首次将Docker服务器作为目的。攻击者扫描袒露的Docker服务器通讯端口2375后使用僵尸网络执行暴力攻击 ；Kaiji僵尸网络同样扫描端口2375袒露的主机，对Docker服务器执行ping操作，然后安排执行Kaiji二进制文件的恶意ARM容器。
【参考链接】
https://blog.trendmicro.com/trendlabs-security-intelligence/xorddos-kaiji-botnet-malware-variants-target-exposed-docker-servers/
3. BRONZE VINEWOOD组织瞄准供应链机构
【概述】
BRONZE VINEWOOD，也被称为APT31、ZIRCONIUM，是一个至少从2016年活跃至今的威胁组织，该组织与中国有关。近期BRONZE VINEWOOD组织实验窃取凭证并使用正当的远程会看法决计划和协议等多种工具和手艺来会见情形，对软件提供商和其他供应链组织的攻击旨在会见客户的数据或网络。
【参考链接】
https://www.secureworks.com/research/bronze-vinewood-targets-supply-chains
4. 针对缅甸的网络特工攻击运动
【概述】
攻击者针对缅甸提倡鱼叉式垂纶攻击，向目的用户分发带有恶意LNK文件的电子邮件，恶意文件托管在Google云端硬盘中以逃避防病毒和清静扫描程序识别，该文件一旦执行，将在后台拖放并运行可执行文件，并使用工具Octopus举行下令和控制（C2）通讯。
【参考链接】
https://www.anomali.com/blog/unknown-china-based-apt-targeting-myanmarese-entities
5. Lucifer恶意软件使用误差熏染Windows装备
【概述】
Lucifer是加密挟制和DDoS恶意软件变体的团结，它使用旧误差在Windows平台上撒播和执行恶意运动，该恶意软件可以举行Monero的密码挟制，能够使用多个误差和凭证举行下令和控制（C2）操作以及自我撒播，并且针对内部易受攻击的目的熏染并运行EternalBlue，EternalRomance和DoublePulsar后门。
【参考链接】
https://unit42.paloaltonetworks.com/lucifer-new-cryptojacking-and-ddos-hybrid-malware/
6. FIN7组织使用Pillowmint恶意软件针对零售终端系统
【概述】
FIN7，是一个有财务念头的威胁组织，自2015年以来一直活跃，主要针对旅馆和餐饮业。近期FIN7组织使用Pillowmint恶意软件针对零售终端系统，通过恶意的shim数据库分发，能够捕获Track1和Track2信用卡数据。
【参考链接】
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/pillowmint-fin7s-monkey-thief/
7. 勒索软件CryCryptor伪装成COVID-19追踪应用撒播
【概述】
近期攻击者在攻击运动中将勒索软件CryCryptor伪装成官方COVID-19联系人追踪应用程序，通过两个恶意分发网站分发给位于加拿大的Android装备用户，并对设惫亓文件举行加密。
【参考链接】
https://www.welivesecurity.com/2020/06/24/new-ransomware-uses-covid19-tracing-guise-target-canada-eset-decryptor/
8. Hidden Cobra组织的新恶意工具
【概述】
Hidden Cobra组织在已往的十年中一直很活跃，今年5月美国政府机构宣布的报告中形貌Hidden Cobra组织的三个新恶意工具COPPERHEDGE、TAINTEDSCRIBE和PEBBLEDASH。
【参考链接】
https://blog.reversinglabs.com/blog/hidden-cobra
9. 使用Google Analytics服务窃取用户数据
【概述】
攻击者使用Google Analytics中的信托来使用Google Analytics API绕过内容清静战略（CSP），在线市肆网站使用Google Analytics服务跟踪会见者，因此，Google Analytics域在其CSP设置中列入了白名单，攻击者可以会见Google Analytics帐户中的被盗数据。
【参考链接】
https://securityaffairs.co/wordpress/105086/cyber-crime/google-analytics-e-skimming.html
10. DarkVision RAT�？榛褚馊砑诒黄鹁⑾�
【概述】
DarkVision RAT是一个远程会见工具(RAT)，接纳�？榛寮峁�，是一种简朴、易用和用户友好的工具包，具有系统控制，历程治理器，注册表编辑和文件治理器等功效。克日DarkVision RAT在网络犯法和黑客论坛中被起劲销售，尚有专门的销售网站。
【参考链接】
https://www.deepinstinct.com/2020/06/23/new-on-the-scene-darkvision-rat/
11. IcedID银行木马变种使用COVID-19诱饵撒播
【概述】
IcedID银行木马于2017年首次泛起在威胁领域，类似于其他金融木马，IcedID可提倡浏览器中的攻击，以及阻挡和窃取受害者的金融信息。近期IcedID银行木马新变种以COVID-19主题垃圾邮件撒播，新变种可窃听受害者的网络运动，此次攻击主要针对美国用户。
【参考链接】
https://securityaffairs.co/wordpress/105049/malware/icedid-banking-trojan-steganography.html
12. Trickbot使用Cobalt Strike攻击服务器
【概述】
Trickbot运营商使用服务器内部的PowerTrick和Cobalt Strike安排Anchor后门程序和RYUK勒索软件，使用许多开源剧本和工具来网络信息，并熏染转移到其他系统，TrickBot�？樵谑苎镜南低成贤绱笞谑�，并实验转到域控制器。
【参考链接】
https://labs.sentinelone.com/inside-a-trickbot-cobaltstrike-attack-server/
13. 使用EXIF元数据隐藏信用卡疏散器
【概述】
攻击者使用图像的“版权元数据”字段来加载其Web疏散器，由受到破损的在线市肆神秘加载，并且使用图像文件作为伪装举行撒播。此疏散器将捕获输入字段的内容，如在线购物者的姓名，账单地点和信用卡详细信息等数据。
【参考链接】
https://blog.malwarebytes.com/threat-analysis/2020/06/web-skimmer-hides-within-exif-metadata-exfiltrates-credit-cards-via-image-files/
