AG公司云
AG公司科技威胁情报周报（2020.07.20-2020.07.26）
2020-08-17
一、 威胁通告
微软2020年8月清静更新多个产品高危误差通告
【宣布时间】2020-08-13 10:30:00 GMT
【概述】
北京时间2020年8月12日，微软宣布8月清静更新补丁，修复了120个清静问题，涉及Micros oft Windows、InternetExplorer、MicrosoftSQL Server、MicrosoftEdge、ChakraCore、.Net框架等普遍使用的产品，其中包括远程代码执行和权限提升等高危误差类型 。
【链接】
https://nti.nsfocus.com/threatWarning
Apache Struts误差处置惩罚手册
【宣布时间】2020-08-14 22:00:00 GMT
【概述】
2020年8月 13 日，Struts 官方宣布清静通告宣布了2个清静误差：S2-059（CVE-2019-0230）是一 个潜在的远程代码执行误差，S2-060（CVE-2019-0233）是一个拒绝服务误差 。S2-059（CVE-20 19-0230）源于ApacheStruts框架在被强制使用时，会对某些标签的属性举行二次求值，这可能导致远程代码执行，当在Struts标签属性中强制使用OGNL表达式并可被外部输入修改时， 攻击者可结构恶意的OGNL表达式触发误差 。S2-060（CVE-2019-0233）源于在上传文件时，攻击者可以通过结构特别的请求造成会见权限的过失，从而导致后续操作失败并报错，造成拒绝服务攻击 。
【链接】
https://nti.nsfocus.com/threatWarning
二、 热门资讯
1. Adobe 2020年8月清静更新
【概述】
外地时间2020年8月11日，Adobe官方宣布了8月清静更新，主要修复了Adobe Acrobat and Reader和Adobe Lightroom中的多个清静问题 。
【参考链接】
http://blog.nsfocus.net/adobe-security-update-0812/
2. Struts2 S2-059,S2-060误差
【概述】
北京时间2020年8月13日，Struts官方宣布新的清静通告，宣布了2个清静误差：S2-059（CVE-2019-0230）是一个潜在的远程代码执行误差，S2-060（CVE-2019-0233）是一个拒绝服务误差 。
【参考链接】
http://blog.nsfocus.net/struts-s2-0813/
3. DARKHOTEL之中心组件篇
【概述】
Darkhotel组织攻击链中使用的注入和中心下载组件，目的是为了获得下一阶段程序 。这类组件类型从可执行文件到剧本不等，通常包括大宗情形检测，以对抗调试情形和杀软 。Darkhotel还使用专门的升级工具，用于升级攻击链最后的RAT和窃密组件，这与古板RAT自身集成更新功效有所差别 。别的，使用熏染类和撒播类工具亦是Darkhotel的一大特色，这直接延升了该组织的攻击规模 。
【参考链接】
http://blog.nsfocus.net/darkhotel-2-0813/
4. 20GB英特尔内部文件泄露
【概述】
2020年8月7日，瑞文籍工程师Till Kottmann在推特上宣布了英特尔内部文件泄露的相关信息并将该起事务命名为神秘湖（exconfidential Lake），现在该推特账号已被冻结 。该工程师声称其于前一日收到了一封黑客的匿名邮件，并获取到这份泄密文件 。据称总泄露文件巨细约为90GB，现在网络上撒播的资料为第一部分（Intel exconfidential Lake drop 1）16.9GB和第二部分（Intel exconfidential Lake drop 1.5）412MB，剩余文件有待更新 。
【参考链接】
http://blog.nsfocus.net/intel-20gb-data-breach-0811/
5. PowerFall运动使用Internet Explorer误差和Windows误差针对韩国
【概述】
Operation PowerFall战争中攻击者使用两个0day误差针对韩国举行攻击，这两个误差划分：Internet Explorer的远程代码执行误差(CVE-2020-1380)，该误差在JavaScript引擎中攻击者能够远程执行恣意代码；Windows特权提升误差(CVE-2020-0986)，该误差在操作系统服务中被检测到，攻击者可以提升特权并执行未经授权的操作 。此次攻击运动以Windows10的最新版本为目的 。
【参考链接】
https://securelist.com/ie-and-windows-zero-day-operation-powerfall/97976/
6. 勒索软件Dharma针对中小企业的攻击运动
【概述】
勒索软件Dharma于2016年首次被发明，具有多个变种，其变种已成为勒索软件即服务RaaS运营的基础，该勒索软件提供商提供手艺专业知识和支持，操作支持勒索软件攻击的后端系统，网络犯法分子为RaaS的使用付费，并使用标准工具包自行举行针对性的攻击 。RDP攻击是约85％Dharma攻击乐成的因由 。近期攻击者使用Dharma勒索软件针对中小企业提倡攻击运动 。
【参考链接】
7. 新特工组织RedCurl以窃守信息为目的
【概述】
近期发明一个新的讲俄语的特工组织RedCurl，目的是全球规模窃取公司商业神秘和员工小我私家信息，已发明其针对14个目的的攻击运动，最早可追溯到2018年，受害人在各个国家和行业中各不相同，包括来自俄罗斯、乌克兰、加拿大、德国、挪威和英国等国家的修建公司、零售商、旅行社、包管公司、银行、执法和咨询公司 。RedCurl组织在攻击运动中并未使用重大的工具和手艺，而是严重依赖于鱼叉式网络垂纶举行初始会见 。
【参考链接】
https://www.group-ib.com/resources/threat-research/red-curl.html
8. Operation DreamJob- Lazarus组织针对以色列国防政府的行动
【概述】
Operation DreamJob运动在2020年6月到8月时代一直活跃，现在已乐成攻击以色列以致全球数十家公司和组织，主要目的是国防部、政府机构以及特定企业员工，目的系统的熏染和渗透通过社会工程学举行，其中包括侦探、建设虚拟的LinkedIn小我私家资料、向目的的小我私家地点发送电子邮件以及直接与目的举行WhatsApp对话在电话，随后网络受害企业或组织相关运动和财务状态的情报 。Lazarus Group（又名HIDDEN COBRA、Guardians of Peace、ZINC和NICKEL ACADEMY）是一个威胁组织，归属于朝鲜政府，该组织至少从2009年以来一直活跃 。
【参考链接】
https://www.clearskysec.com/operation-dream-job/
9. 银行木马Mekotio针对拉丁美洲银行和金融机构
【概述】
Mekotio是一个至少从2015年最先活跃的银行木马，主要针对巴西、智利、墨西哥、西班牙、秘鲁和葡萄牙，该木马家族的最新变种中最显著的功效是使用SQL数据库作为C&C服务器 。近期Mekotio木马在攻击运动中使用最新功效针对拉丁美洲银行和其他金融机构提倡攻击运动，通过使用运行键或在启动文件夹中建设LNK文件来确坚长期性，向受害者显示伪造的弹出窗口举行攻击，来诱使他们泄露敏感信息，包括防火墙设置、是否具有治理特权、装置Windows操作系统的版本、已装置反恶意软件解决计划列表等 。
【参考链接】
https://www.welivesecurity.com/2020/08/13/mekotio-these-arent-the-security-updates-youre-looking-for/
10. Bisonal后门针对东欧的金融和军事组织
【概述】
CactusPete，也被称为Karma Panda和Tonto Team，是一个至少从2013年活跃至今的威胁组织，恒久目的针对亚洲和东欧的军事、外交和基础设施 。近期CactusPete组织使用Bisonal后门新变种瞄准东欧的金融和军事部分，该组织通过带有恶意附件的鱼叉式网络垂纶邮件的方法来转达恶意软件Bisonal，该恶意软件以获取受害者的敏感数据的会见权限为目的 。
【参考链接】
https://securelist.com/cactuspete-apt-groups-updated-bisonal-backdoor/97962/
11. 基于剧本的恶意软件针对Windows操作系统用户
【概述】
近期研究职员通过Internet Explorer浏览器误差检测到重大基于剧本的恶意软件，这些恶意软件针对Windows操作系统用户，恶意剧本使用了CVE-2019-0752误差，其中一个JScript远程会见木马可以确保在目的系统上的长期性，然后毗连到远程服务器，攻击者可以在目的盘算上执行恣意下令，已举行完全控制，第二个AutoIT下载器使用网络毗连和剧本功效来下载和执行恶意软件 。
【参考链接】
https://unit42.paloaltonetworks.com/script-based-malware/
12. 使用COVID-19为诱饵的垂纶攻击运动依然活跃
【概述】
近期使用新型冠状病毒COVID-19主题作为诱饵的垂纶攻击运动依然活跃，其中有攻击者通过使用主题为"Covid-19基金救援奖"，或者滥用团结国的标记来诱导受害者；有的攻击运动以比特币窃取为目的，通过将受害者指导至垂纶页面以窃取比特币钱包以及账户凭证；尚有发明以"由于新型冠状病毒导致延迟付款"为主题，诱使受害者翻开附件，然后恶意文件将解压缩并从Google云盘下载有用负载NetWire 。
【参考链接】
https://www.fortinet.com/blog/threat-research/latest-covid-19-variants-from-the-ridiculous-to-the-malicious
