AG公司云
【威胁通告】AG公司科技威胁情报周报（2021.3.1-3.7）
2021-03-08
一、 威胁通告
微软Exchange多个高危误差
【宣布时间】2021-03-03 09:00:00 GMT
【概述】
2021年3月2日 ，AG公司科技监测到微软宣布Exchange Server的紧迫清静更新 ，修复了7个相关误差 ，Exchange服务端请求伪造误差（CVE-2021-26855）：未经身份验证的攻击者能够结构HTTP请求扫描内网并通过Exchange Server举行身份验证。Exchange反序列化误差（CVE-202126857）：具有治理员权限的攻击者可以在Exchange服务器上以SYSTEM身份运行恣意代码。Exchange恣意文件写入误差（CVE-2021-26858/CVE-2021-27065）：经由身份验证的攻击者可以使用误差将文件写入服务器上的恣意目录 ，可团结CVE-2021-26855举行组合攻击。及3个Exchange远程代码执行误差（CVE-2021-26412/CVE-2021-26854/CVE-2021-27078）。
【链接】
https://nti.nsfocus.com/threatWarning
Apache Tomcat Session反序列化代码执行误差（CVE-2021-25329）
【宣布时间】2021-03-02 15:00:00 GMT
【概述】
2021年3月1日 ，AG公司科技监测到Apache软件基金会宣布清静通告 ，修复了一个通过会话长期性举行RCE的误差 ，此误差为CVE-2020-9484的补丁绕过 ，若是使用了Tomcat的session长期化功效 ，不清静的设置将导致攻击者可以发送恶意请求执行恣意代码。
【链接】
https://nti.nsfocus.com/threatWarning
二、 热门资讯
1. HAFNIUM组织针对有零日误差使用的Exchange Server
【概述】
Microsoft已检测到多个零日误差 ，可用于在有限且有针对性的攻击中对Microsoft Exchange Server的外地版本举行攻击。在视察到的攻击中 ，威胁行动者使用这些误差会见了外地Exchange服务器 ，从而可以会见电子邮件帐户 ，并允许装置其他恶意软件以增进对受害者情形的恒久会见。此次运动归功于HAFNIUM ，该组织主要针对美国多个行业的实体 ，包括熏染病研究职员、状师事务所、高等教育机构、国防承包商、政策智囊团和非政府组织。
【参考链接】
https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
2. 精准短信垂纶频发 ，已有多个银行用户中招
【概述】
2021年1月至今 ，AG公司科技应急响应团队监测到天下多个省份泛起多起仿冒银行域名的短信垂纶事务 ，其中垂纶剧本、攻击手法及垂纶网站页面均高度相似 ，可基本确认是统一黑产团伙所为。垂纶短信称受害者手机银行即将逾期或账户被冻结 ，并附带仿冒的垂纶网站域名。垂纶网站与目的手机银行登录界面高度相似 ，并诱导用户输入身份证号、手机号、手机银行登录密码、短信验证码、生意密码等敏感信息。
【链接】
https://nti.nsfocus.com/threatWarning
3. 以蓝军视角跟踪和剖析CANVAS攻击框架泄露事务
【概述】
3月3日 ，AG公司科技研究团队在对网络清静事务舆情监控中发明著名的商业渗透框架CANVAS系统源代码爆发泄露 ，AG公司科技M01N蓝军研究团队第一时间对该事务举行了跟踪 ，快速剖析了CANVAS的攻击框架、所涉及的误差和手艺细节。
【参考链接】
https://mp.weixin.qq.com/s/eQ-KDMoirOwx-pFxUcNjtQ
4. 牛津大学COVID-19实验室被黑客攻击
【概述】
牛津大学研究生物学要领以对抗COVID-19的实验室已成为黑客举行网络攻击运动的目的。牛津大学讲话人证实 ，被黑客入侵的该生物实验室系统不包括任何患者数据 ，并且不侵占患者的神秘性。
【参考链接】
https://www.welivesecurity.com/2021/02/26/oxford-university-covid19-laboratory-hack/
5. GenuGate防火墙要害身份绕过误差已修复
【概述】
总部位于德国的网络清静公司Genua已针对GenuGate防火墙中的严重缺陷迅速举行了修复。若是使用此误差 ，则外地攻击者可能会绕过身份验证步伐 ，并以最高级别的特权登录到公司内部网络。
【参考链接】
https://threatpost.com/firewall-critical-security-flaw/164347/
6. PrismHR遭勒索软件攻击
【概述】
PrismHR是一家以资助80,000多家小型企业治理人为、福利和人力资源的公司 ，该公司克日遭受了一连的勒索软件攻击 ，严重影响多项营业正常举行。
【参考链接】
https://krebsonsecurity.com/2021/03/payroll-hr-giant-prismhr-hit-by-ransomware/
7. Ryuk勒索软件新版本可举行蠕虫状的自我撒播
【概述】
Ryuk勒索软件新版本能够在外地网络中通过SMB共享和端口扫描举行自我复制 ，并读取受熏染装备的地点剖析协议（ARP）表 ，该表存储了与盘算机通讯的任何网络装备的IP地点和MAC地点。
【参考链接】
https://threatpost.com/ryuk-ransomware-worming-self-propagation/164412/
8. 通用医疗服务公司(UHS)遭攻击后面临巨额损失
【概述】
在2020年9月-10月时代针对通用医疗服务公司（UHS）的网络攻击事务使该公司遭受了高达6700万美元的损失 ，该公司是美国最大的医疗治理公司之一 ，报道指出该次网络攻击的罪魁罪魁是Ryuk勒索软件。
【参考链接】
https://threatpost.com/post-cyberattack-universal-health-services-faces-67m-in-losses/164424/
9. Clop勒索软件团伙泄露从网络清静公司Qualys窃取的数据
【概述】
Clop勒索软件团伙使用了Accellion FTA服务器中的零日误差窃取网络清静公司Qualys的数据 ，并在其泄露站点上共享了被盗文件的截图信息 ，泄露的数据包括发票、采购订单、税单和扫描报告等 ，受到同样攻击的尚有新南威尔士州的运输公司和庞巴迪公司。
【参考链接】
https://securityaffairs.co/wordpress/115250/data-breach/qualys-clop-ransomware.html
10. 2100万免费VPN用户数据遭泄露
【概述】
凌驾2100万移动VPN应用程序用户的详细凭证在网上出售 ，数据包括电子邮件地点、随机天生的密码字符串、付款信息以及属于三个VPN应用程序（SuperVPN、GeckoVPN和ChatVPN）用户的装备ID。
【参考链接】
https://blog.malwarebytes.com/cybercrime/privacy/2021/03/21-million-free-vpn-users-data-exposed/
