AG公司云
AG公司科技威胁情报月报（2020.11月）
2020-12-01
11月，AG公司科技威胁情报中心（NTI）宣布了多个误差和威胁事务通告，其中，Windows网络文件系统远程代码执行误差（CVE-2020-17051）以及Cisco IMC远程代码执行误差（CVE-2020-3470）影响较大。前者由于Windows NFS v3服务器中保存可远程使用的堆溢出误差。在nfssvr.sys文件的某函数中，某处字符串ANSI转换为UNICODE后，挪用了memcpy，从而造成了缓冲区溢出，攻击者可以使用此误差来会见系统，并通过全心制作的NFS数据包远程执行恶意代码；后者由于思科集成治理控制器（IMC）的API 中保存远程代码执行误差,对用户输入内容的验证缺乏，未经授权的攻击者可通过向受影响的系统发送特制的HTTP 请求，乐成使用此误差可使用治理员权限在系统上执行恣意代码。
另外，本次微软共修复了17个Critical级别误差，93个Important 级别误差，2个Low级误差。强烈建议所有用户尽快装置更新。
在本月的威胁事务中，云服务器成为了黑客进攻的重点，以此来抵达挖矿或入侵的目的；其次是使用美国大选作为诱饵实验的攻击。攻击手段方面，泛起了使用正当的清静软件供应链来撒播的新方法。攻击组织方面，疑似具有东北亚配景的Kimsuky组织使用美国大选举行的攻击以及xHunt组织的活跃需要引起关注。
以上所有误差情报和威胁事务情报、攻击组织情报，以及关联的IOC，均可在AG公司威胁情报中心获取，网址：https://nti.nsfocus.com/
一、 误差态势
2020年11月AG公司科技清静误差库共收录287个误差, 其中高危误差68个，微软高危误差38个。
* 数据泉源：AG公司科技威胁情报中心，本表数据阻止到2020.11.27
注：AG公司科技误差库包括应用程序误差、清静产品误差、操作系统误差、数据库误差、网络装备误差等；
二、 威胁事务
1. UNC1945针对Oracle Solaris操作系统
【标签】UNC1945
【时间】2020-11-01
【简介】
UNC1945针对Oracle Solaris操作系统，使用针对Windows和Linux操作系统的多种工具和适用程序，加载和运行自界说虚拟机，并接纳了逃避检测的手艺。UNC1945展示了对多种操作系统的攻击，工具和恶意软件的会见权限，对笼罩或使用其运动的严酷兴趣，并在交互操作历程中展示了高级手艺能力。
【参考链接】
https://www.fireeye.com/blog/threat-research/2020/11/live-off-the-land-an-overview-of-unc1945.html
【防护步伐】
AG公司威胁情报中心关于该事务提取8条IOC，其中包括2个IP和6个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
2. Kaiji DDoS木马通过SSH爆破入侵服务器
【标签】Kaiji DDos
【时间】2020-11-02
【简介】
对该事务举行溯源追查发明有疑似海内黑客开发的木马Kaiji通过22端口弱口令爆破入侵服务器。攻击者入侵云主时机下载二进制木马将自身装置到系统启动项举行长期化，并且可凭证C2服务器返回的指令举行DDoS攻击。
【参考链接】
https://s.tencent.com//research/report/1168.html
【防护步伐】
AG公司威胁情报中心关于该事务提取3条IOC，其中包括1个IP，1个域名和1个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
3. Kimsuky组织使用美国大选为诱饵举行APT攻击
【标签】Kimsuky
【时间】2020-11-03
【简介】
Kimsuky组织，又名Mystery Baby，Baby Coin，Smoke Screen，Black Banshe。疑似具有东北亚配景，主要针对韩国，俄罗斯举行攻击运动，最早由卡巴斯基披露。韩国清静公司以为其与Group123保存部分重叠。该组织最新发明以美国大选为诱饵的攻击样本，样本问题是美国总统大选展望，诱导受害者点击执行，同时接纳在HWP文档中嵌入VBS剧本方法，克日此样本未被多家杀软检测乐成。
【参考链接】
https://mp.weixin.qq.com/s?__biz=MzI2MDc2MDA4OA==&mid=2247492852&idx=1&sn=432d94f3c21dadcdeadc4ff24f465fd0&chksm=ea661383dd119a952382bda56656a72150814ec3cb581293c6ff0ea3aef693c516a14dc88b6c&mpshare=1&srcid=1106UVleCNSq9LDko1h4plzY&sharer_sharetime=1604639069343&sharer_shareid=158f29a22d03cd699e85703e07b247a8&scene=1&subscene=10000&clicktime=1604639474&enterid=1604639474&ascene=1&devicetype=android-23&version=3.0.31.2998&nettype=3gnet&abtest_cookie=AAACAA%3D%3D&lang=zh_CN&exportkey=AY2BjYF9SXirwzfEttxPlUY%3D&pass_ticket=yNhGtF2ABs5GiW6FVX4cyJIhDe1MVml2NA1olsj74EbIBEbwyG7axwg3mId1qNDT&wx_header=1&platform=win
【防护步伐】
AG公司威胁情报中心关于该事务提取11条IOC，其中包括5个域名和6个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
4. xHunt组织使用受熏染Exchange服务器举行攻击运动
【标签】xHunt
【时间】2020-11-08
【简介】
自2018年7月，xHunt组织一直很活跃，他的目的是科威特政府以及运输组织。最近视察到入侵了科威特一家机构的Microsoft Exchange Server，还不相识入侵的详细要领�；诨峒刂迫罩九涛�，能够判断攻击者已在2019年8月22日当天或之前获得了对Exchange服务器的会见权限。本次事务涉及两个后门其中一个称为TriFive，另一个称为Snugy也是CASHY200的变体一种Web Shell又叫BumbleBee。
【参考链接】
https://unit42.paloaltonetworks.com/xhunt-campaign-backdoors/
【防护步伐】
AG公司威胁情报中心关于该事务提取10条IOC，其中包括5个域名和5个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
5. 新挖矿木马LoggerMiner，攻击后可熏染Docker容器
【标签】LoggerMiner
【时间】2020-11-15
【简介】
挖矿木马LoggerMiner，该木马在云上主机中攻击撒播，会使用目今主机上的ssh账号信息对其他主机提倡攻击，以控制更多系统。并且，LoggerMiner还会实验对目今主机上的docker容器举行熏染。
【参考链接】
https://s.tencent.com//research/report/1177.html
【防护步伐】
AG公司威胁情报中心关于该事务提取9条IOC，其中包括2个IP，1个域名和6个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
6. Lazarus恶意软件通过韩国的供应链攻击举行撒播
【标签】supply-chain
【时间】2020-11-15
【简介】
研究职员最近发明，ESET遥测数据通过韩国的供应链攻击来安排Lazarus恶意软件。为了分发其恶意软件，攻击者使用了一种特殊的供应链机制，滥用了正当的韩国清静软件与窃取的两家公司数字证书。
【参考链接】
https://www.welivesecurity.com/2020/11/16/lazarus-supply-chain-attack-south-korea/
【防护步伐】
AG公司威胁情报中心关于该事务提取10条IOC，其中包括10个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
