AG公司云
【威胁通告】AG公司科技威胁情报月报（2021年3月）
2021-04-07
3月，AG公司科技威胁情报中心（NTI）宣布了多个误差和威胁事务通告，其中，微软Exchange Server多个高危误差和GitLab远程代码执行误差影响较大。前者包括Exchange 服务端请求伪造误差（CVE-2021-26855）：未经身份验证的攻击者能够结构HTTP请求扫描内网并通过Exchange Server举行身份验证；Exchange 反序列化误差（CVE-2021-26857）：具有治理员权限的攻击者可以在Exchange服务器上以SYSTEM身份运行恣意代码；Exchange 恣意文件写入误差（CVE-2021-26858/CVE-2021-27065）：经由身份验证的攻击者可以使用误差将文件写入服务器上的恣意目录，可团结CVE-2021-26855举行组合攻击；及3个Exchange远程代码执行误差（CVE-2021-26412/CVE-2021-26854/CVE-2021-27078）；后者GitLab 代码执行误差保存社区版(CE)和企业版(EE)中，未授权但经由身份验证的攻击者通过使用可控的markdown渲染选项，结构恶意请求从而在服务器上执行恣意代码。
另外，本次微软共修复了14个Critical级别误差，75个Important 级别误差。强烈建议所有用户尽快装置更新。
在本月的威胁事务中，与中国有关的威胁组织相对活跃，其中包括HAFNIUM组织和RedDelta组织；由于本月微软披露Exchange Server的多个高危误差，针对云服务的攻击依然是攻击者的重点。同时，高频率更新的Sysrv-hello僵尸网络需要引起关注。
以上所有误差情报和威胁事务情报、攻击组织情报，以及关联的IOC，均可在AG公司威胁情报中心获取，网址：https://nti.nsfocus.com/
一、 误差态势
2021年03月AG公司科技清静误差库共收录452个误差, 其中高危误差38个，微软高危误差20个。
* 数据泉源：AG公司科技威胁情报中心，本表数据阻止到2021.04.02
注：AG公司科技误差库包括应用程序误差、清静产品误差、操作系统误差、数据库误差、网络装备误差等；
二、 威胁事务
1. HAFNIUM组织针对有零日误差使用的Exchange Server举行攻击
【标签】HAFNIUM
【时间】2021-03-02
【简介】
Microsoft已检测到多个零日误差，可用于在有限且有针对性的攻击中对Microsoft Exchange Server的外地版本举行攻击。在视察到的攻击中，攻击者使用这些误差会见了外地Exchange服务器，从而可以会见电子邮件帐户，并允许装置其他恶意软件以增进对受害者情形的恒久会见。此次运动归功于HAFNIUM，该组织主要针对美国多个行业的实体，包括熏染病研究职员、状师事务所、高等教育机构、国防承包商、政策智囊团和非政府组织。
【参考链接】
https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
【防护步伐】
AG公司威胁情报中心关于该事务提取8条IOC，其中包括8个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
2. Mirai新变种针对网络清静装备的攻击运动
【标签】Mirai
【时间】2021-03-15
【简介】
Mirai新变种针对网络清静装备的攻击运动中，使用了五个已知误差和三个未知误差，划分是CVE-2020-25506（D-Link DNS-320防火墙使用）、CVE-2020-26919（Netgear ProSAFE Plus误差）、CVE-2019-19356（Netis WF2419无线路由器误差）、CVE-2021-22502(Micro Focus Operation Bridge Reporter（OBR）中的远程执行代码误差)、CVE-2021-27561（Yealink装备治理预认证远程执行代码误差）和三个IoT误差，乐成使用后，将挪用wget适用程序以从恶意软件基础结构中下载Shell剧本，然后shell剧本将下载为差别架构编译的多个Mirai二进制文件，并逐一执行这些下载的二进制文件。
【参考链接】
https://unit42.paloaltonetworks.com/mirai-variant-iot-vulnerabilities/
【防护步伐】
AG公司威胁情报中心关于该事务提取86条IOC，其中包括86个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
3. Sysrv-hello僵尸网络在短时间集成14种误差攻击方法
【标签】Sysrv-hello
【时间】2021-03-15
【简介】
Sysrv-hello僵尸网络首次发明于2020年12月，之后更新频率极高。从目今捕获到的病毒版原来看，该僵尸网络蠕虫�？楣セ鞣椒ㄓ芍耙员乒セ魑鳌⑽蟛钍褂梦ㄗ湮涸椒⒁览滴蟛罟セ�，新变种在极短时间内向蠕虫撒播�？榧闪�14种新误差攻击方法。
【参考链接】
https://s.tencent.com/research/report/1272.html
【防护步伐】
AG公司威胁情报中心关于该事务提取9条IOC，其中包括6个IP和3个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
4. Operation Dianxun针对电信公司的网络特工运动
【标签】Operation Dianxun
【时间】2021-03-16
【简介】
OperationsDiànxùn是一起针对电信公司的网络特工运动，以窃取与5G手艺相关的敏感数据和商业神秘为目的，提倡此次攻击运动的威胁组织RedDelta疑似与中国有关。
【参考链接】
https://www.mcafee.com//blogs/other-blogs/mcafee-labs/operation-dianxun-cyberespionage-campaign-targeting-telecommunication-companies/
【防护步伐】
AG公司威胁情报中心关于该事务提取20条IOC，其中包括20个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
5. z0miner挖矿团伙使用多种误差对云主机举行攻击
【标签】z0miner
【时间】2021-03-26
【简介】
z0miner挖矿团伙使用多种误差对云主机举行攻击运动，误差攻击到手后会下载差别的恶意剧本执行，会竣事竞品挖矿木马历程，删除竞品挖矿木马文件，并实验添加妄想使命（目今捕获的版本载荷为空）。最后下载门罗币挖矿�？榫傩型诳笈趟�。z0miner挖矿团伙使用的误差包括Nexus3下令执行误差（CVE-2019-7238）、Confluence未授权模版注入/代码执行误差（CVE-2019-3396）、Weblogic未授权下令执行误差(CVE-2020-14882)、Jenkins未授权下令执行误差、Struts2下令执行误差（s2-016，s2-046）。
【参考链接】
https://s.tencent.com//research/report/1283.html
【防护步伐】
AG公司威胁情报中心关于该事务提取5条IOC，其中包括5个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
6. 通过PEC举行的新sLoad运动仍使用双ZIP附件手艺
【标签】sLoad
【时间】2021-03-29
【简介】
近期攻击者举行的垃圾邮件运动中，通过PEC恢复以使用合并的ZIP附件手艺传输sLoad恶意软件，并在其中嵌套一个特另外ZIP文件，该文件包括一个具有Dropper功效的WSF剧本，用于从远程存储库下载sLoad。
【参考链接】
https://cert-agid.gov.it/news/nuova-campagna-sload-via-pec-sfrutta-ancora-la-tecnica-del-doppio-allegato-zip/
【防护步伐】
AG公司威胁情报中心关于该事务提取3条IOC，其中包括3个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
