AG公司科技威胁情报周报（2020.08.03-2020.08.09）

2020-08-11

一、威胁通告

WebSphere远程代码执行误差（CVE-2020-4534）

【宣布时间】2020-08-10 12:00:00 GMT

【概述】

北京时间2020年7月31日，IBM官方宣布通告修复了WebSphere Application Server（WAS）中的一个远程代码执行误差（CVE-2020-4534）。该误差由于未准确处置惩罚UNC路径而导致，经由外地身份认证后，攻击者可以使用该误差完成代码执行，误差评分为7.8分。该误差（CVE-2020-4534）由AG公司科技伏影实验室发明并提交至IBM。经专家判断，该误差可以与此前AG公司科技提交至IBM的CVE-2020-4450组合使用，无需身份认证即可在目的服务端执行恣意代码，获取系统权限，进而接受服务器。

【链接】

http://blog.nsfocus.net/websphere-cve-2020-4534-0810/

二、热门资讯

1. 海莲花组织使用MsMpEng举行侧载攻击

【概述】

克日，AG公司威胁情报（NTI）发明了一起借用WindowsDefender主要组件MsMpEng.exe举行侧载攻击的事务。通过对本事务以及多个关联事务的剖析，确认该系列攻击事务的提倡者为海莲花（OceanLotus，APT32）组织。除通例手法之外，海莲花组织在这一再攻击中使用了一种新的混淆手艺，以及一款新的中心载荷。

【参考链接】

https://nti.nsfocus.com/

2. NetWalker勒索软件针对西欧国家和美国

【概述】

NetWalker勒索软件最初称为Mailto，最早在2019年8月被发明，自觉现以来针对许多差别的目的，主要位于西欧国家和美国。攻击运动中NetWalker勒索软件将随机扩展名附加到受熏染的文件中，并使用Salsa20加密，它使用一种新的防御规避手艺被称为反射DLL加载，用于从内存中注入DLL。

【参考链接】

https://www.mcafee.com//blogs/other-blogs/mcafee-labs/take-a-netwalk-on-the-wild-side/

3. TA551攻击组织分发IcedID银行木马

【概述】

TA551组织在近期的攻击运动中针对以英语为母语的目的，使用垃圾邮件分发IcedID银行木马，这些邮件附件是带有恶意宏的Word文档，一旦用户启用宏，HTTP通讯的TCP流可检索装置恶意程序DLL，由装置程序DLL建设IcedID的EXE文件。

【参考链接】

https://isc.sans.edu/diary/26438

4. 跨文工具包用于象形文字攻击以举行信用卡信息窃取

【概述】

攻击者近期使用象形文字攻击方法来窃守信用卡信息，此攻击手艺在具有IDN同形异义词攻击的网络垂纶诈骗中已经被使用了一段时间，使用看起来相同的字符来诱骗用户，有时字符来自差别的语言集。审查恶意基础机构（51.83.209[.]11），攻击者最近使用相同的象形文字手艺注册了多个域，此次攻击运动疑似有Magecart 组织有关。

【参考链接】

https://blog.malwarebytes.com/threat-analysis/2020/08/inter-skimming-kit-used-in-homoglyph-attacks/

5. TAIDOOR木马伪装为DLL文件熏染目的系统

【概述】

Taidoor木马作为服务动态链接库DLL装置在目的系统上，并且由两个文件组成，第一个文件是加载程序，作为服务启动，加载程序解密第二个文件，然后在内存中执行该文件，此文件是远程会见木马（RAT）。据称Taidoor木马至少从2008年活跃至今，主要目的针对IT服务提供商。

【参考链接】

https://us-cert.cisa.gov/ncas/analysis-reports/ar20-216a

6. Black Hat 2020:使用僵尸网络使用能源市场获取高额利润

【概述】

Black Hat 2020聚会中研究职员提到一类新型的僵尸网络可能会被编组起来，通过耗电的毗连装备（如空调、洗碗机、加热器、烘干机和数字恒温器等）使用能源市场，举行漫衍式拒绝服务攻击和地雷加密钱币，可能会导致能源股指数上升或下降，从而为有恶意妄想的运营商提供赚钱的时机。

【参考链接】

7. NSO特工软件攻击多哥

【概述】

NSO特工软件被攻击者使用攻击多哥公民社会，其中包括天主教主教、牧师和阻挡派政治家。NSO特工软件产品通常被称为Pegasus，是一种手机黑客工具，可获取对目的移动装备的完全会见权限，Pegasus允许攻击者提取密码、文件、照片、网络历史纪录、联系人以及身份数据等信息，Pegasus的目的包括亚洲，欧洲，中东和北美的数十个国家。

【参考链接】

https://citizenlab.ca/2020/08/nothing-sacred-nso-sypware-in-togo/

8. Canon遭勒索软件Maze攻击

【概述】

近期Canon集团遭受到勒索软件的Maze攻击，导致其在美国网站、电子邮件、协作平台和种种内部系统瘫痪。Maze勒索病毒（又名ChaCha）于2019年5月首次被发明，每次声称以窃取数据为目的，但受害者未支付赎金，通�；岜恍孤痘虺鍪勖舾惺�。

【参考链接】

https://threatpost.com/canon-ransomware-attack-employee-note/158157/

9. 网络垂纶邮件挟制Microsoft 365帐户

【概述】

网络罪犯越来越多地冒充受信托的SaaS平台和供应商。最近，在一起垂纶攻击运动中，电子邮件中有许多试图诱使收件人单击恶意链接，该链接指向包括凭证网络恶意软件的页面，攻击者使用受熏染的Microsoft 365帐户在几个小时内会见多个其他帐户。

【参考链接】

https://www.darktrace.com/en/blog/phishing-from-the-inside-microsoft-365-account-hijack/