AG公司云
AG公司科技威胁情报周报（2020.07.27-2020.08.02）
2020-08-03
一、 威胁预警
攻击者使用新误差熏染TVT DVR装备
【宣布时间】2020-07-28 09:00:00 GMT
【概述】
近期 ，研究职员在排查AG公司威胁捕获系统相关日志的历程中发明 ，攻击者最先使用新的误差（已在github上果真 ，并无CVE编号）熏染TVT DVR装备 ，该误差具有较重大的攻击流程 ，对捕获系统交互要求极高；恶意载荷经由base64编码 ，很容易被清静团队遗漏；使用nc下令建设一个反向shell的攻击行为也很是少见。
【链接】
https://nti.nsfocus.com/threatWarning
二、 热门资讯
1. WebSphere Application Server高危远程代码执行误差
【概述】
北京时间2020年6月5日 ，IBM官方宣布通告修复了WebSphere Application Server（WAS）中的一个高危远程代码执行误差 ，误差形貌为IIOP协议上的反序列化误差 ，分派编号CVE-2020-4450 ，误差评分为9.8分 ，误差危害较高 ，影响面较大。
【参考链接】
http://blog.nsfocus.net/ibm-was-cve-2020-4450-0730/
2. Cisco SD-WAN高危误差
【概述】
克日 ，思科（Cisco）官方宣布通告称修复了Cisco SD-WAN vManager Software（CVE-2020-3374）和SD-WAN Solution Software(CVE-2020-3375)的2个高危误差。Cisco SD-WAN是一种清静的云规模架构 ，具有开放性 ，可编程性和可扩展性。 通过Cisco vManage控制台 ，您可以快速建设SD-WAN笼罩结构以毗连数据中心 ，分支机构 ，园区和主机托管设施 ，以提高网络速率 ，清静性和效率。
【参考链接】
http://blog.nsfocus.net/cisco-sdwan-0731/
3. Emotet银行木马
【概述】
Emotet具有用于举行银行诓骗的�？� ，主要针对欧洲、美洲等国家的银行举行攻击 ，多年来 ，该恶意软件被全球清静厂商归类为银行木马。近期AG公司格物实验室跟踪到Emotet银行木马的新样本 ，该木马以其�？榛芄购统て谛允忠兆琶� ，主要通过垂纶邮件的要领撒播。
【参考链接】
https://nti.nsfocus.com/
4. North Star运动针对航空航天和国防行业
【概述】
North Star运动是针对航空航天和国防行业的恶意网络运动 ，以国防承包商的职位宣布作为诱饵 ，使用鱼叉式网络垂纶邮件举行针对性攻击 ，旨在撒播恶意软件 ，网络有关军事和国防手艺的要害情报。
【参考链接】
https://www.mcafee.com//blogs/other-blogs/mcafee-labs/operation-north-star-a-job-offer-thats-too-good-to-be-true/
5. Lazarus组织使用VHD勒索软件的恶意运动
【概述】
近期Lazarus组织使用VHD勒索软件举行恶意运动 ，该勒索软件通过MATA框架举行安排。攻击者使用保存误差的VPN网络举行入侵 ，获取治理员权限 ，并安排VHD勒索软件 ，该勒索软件可获取所有毗连的磁盘以加密文件。Lazarus Group（又名HIDDEN COBRA、Guardians of Peace、ZINC和NICKEL ACADEMY）是一个威胁组织 ，归属于朝鲜政府 ，该组织至少从2009年以来一直活跃。
【参考链接】
https://securelist.com/lazarus-on-the-hunt-for-big-game/97757/
6. Ensiko有勒索软件功效的Webshell
【概述】
Ensiko是具有勒索软件功效的PHP Web Shell ，其目的是装置了PHP的任何平台 ，该恶意软件可以远程控制系统并接受shell下令以在受熏染机械上执行恶意运动 ，通过PHP反向shell将效果发送回攻击者 ，它能够扫描服务器上是否保存其他Web外壳 ，破损网站 ，发送大宗电子邮件 ，下载远程文件 ，披露有关受影响服务器的信息 ，针对文件传输协议（FTP） ，cPanel和Telnet的暴力攻击 ，笼罩文件具有指定的扩展名等。
【参考链接】
https://blog.trendmicro.com/trendlabs-security-intelligence/ensiko-a-webshell-with-ransomware-capabilities/
7. Blue Mockingbird组织使用印度服务器举行挖矿运动
【概述】
Blue Mockingbird组织近期在面向公众的服务器上使用误差来运行多组件恶意软件 ，其中有攻击者使用Progress Telerik UI CVE-2019-18935实现初始会见 ，执行PowerShell的有用负载 ，从而提供加密钱币恶意软件 ，影响系统性能、损害营业运营 ，还可以举行数据偷窃、勒索软件、银行木马攻击等运动 ，印度数百万服务器受到此次攻击运动的影响。
【参考链接】
https://www.seqrite.com/blog/blue-mockingbird-threat-group-targets-servers-in-india-for-cryptomining/
8. Android特工软件针对坦桑尼亚超等联赛
【概述】
近期发明新的Android特工软件 ，攻击者使用该特工软件伪装成Google Play中两个最著名足球俱乐部Simba SC和Yanga SC的官方Android应用程序误导用户下载使用 ，该特工软件具有阅读短信、获取联系人、录制音频、通话功效、会见实时位置 、读/写外部存储 、窃取照片、存取相机等功效。
【参考链接】
https://www.zscaler.com/blogs/research/android-spyware-targeting-tanzania-premier-league
9. RedDelta组织针对梵蒂冈和天主教机构
【概述】
RedDelta是一个针对与中国战略利益相关实体的活跃威胁组织 ，该组织以宗教整体为明确目的 ，使用以梵蒂冈和亚洲天主教新闻同盟有关为主题的网络垂纶诱饵 ，使用PlugX和Cobalt Strike等着名工具获取情报。
【参考链接】
https://go.recordedfuture.com/hubfs/reports/cta-2020-0728.pdf
10. H2Miner僵尸网络使用误差入侵Linux系统
【概述】
H2Miner是一个Linux下的大型挖矿僵尸网络 ，通过多个高危误差入侵Linux系统 ，并使用误差在企业内网或云服务器中横向扩散 ，并且下载恶意剧本及恶意程序举行挖矿牟利 ，同时具有卸载云服务器清静软件、删除云服务器镜像的能力。
【参考链接】
https://s.tencent.com//research/report/1062.html
11. GuLoader通过恶意垃圾邮件运动分发
【概述】
GuLoader是威胁加入者用来大规模分发恶意软件的下载程序 ，使用带有ISO文件类型附件的垃圾邮件分发 ，附件包括用Visual Basic编写的GuLoader可执行文件 ，通过驱动器翻开并执行。
【参考链接】
https://blog.malwarebytes.com/threat-analysis/2020/07/malspam-campaign-caught-using-guloader-after-service-relaunch/
12. 使用WordPress插件误差举行网络攻击
【概述】
WordPress是用于构建和托管网站的最盛行的开源软件 ，攻击者针对WordPress插件中的多个误差 ，如WooCommerce插件、Yoast SEO插件和All in One SEO Pack插件举行网络垂纶和诓骗运动。
【参考链接】
https://www.zscaler.com/blogs/research/cybercriminals-targeting-multiple-vulnerabilities-wordpress-plugins
13. Ngrok挖矿僵尸网络针对Docker服务器
【概述】
Ngrok僵尸网络使用Docker API端口举行攻击 ，攻击者滥用Docker设置功效以逃避标准容器限制并从主机执行种种恶意负载 ，还安排了网络扫描仪以查找其他潜在的易受攻击目的。
【参考链接】
https://www.intezer.com/container-security/watch-your-containers-doki-infecting-docker-servers-in-the-cloud/
