AG公司云
【威胁通告】AG公司科技威胁情报月报（2021年11月）
2021-12-01
11月，AG公司科技威胁情报中心（NTI）宣布了多个误差和威胁事务通告，其中，（Linux Kernel远程代码执行误差（CVE-2021-43267）和Microsoft Dynamics 365远程代码执行误差 （CVE-2021-42316）影响规模相对较大。前者由于TIPC功效� ？槎杂没峁┑� MSG_CRYPTO新闻类型巨细验证缺乏，造成 Linux 内核中的越界写入，从而导致攻击者使用该误差堆溢出实现外地或远程代码执行，CVSS评分为9.8；后者由于Microsoft Dynamics 365(外地安排)中的输入验证过失，经由身份验证的远程攻击者通过恶意请求，能在目的系统上执行恣意代，CVSS评分为8.7。
另外，本次微软共修复了55个误差，包括6个Critical级别误差，49个Important 级别误差，其中包括6个0day误差。强烈建议所有用户尽快装置更新。
在本月的威胁事务中，针对差别国家实体的攻击事务相对频仍，其中包括朝鲜的攻击组织Kimsuky使用恶意软件攻击韩国实体，一项由朝鲜Kimsuky APT组织运营的运动，该运动向韩国的高价值目的（即地缘政治和航空航天研究机构）提供恶意软件。至少自2021年6月以来，该运动一直很活跃，安排了一系列源自金龙/勇敢王子植入物系列的一直进化的植入物；以及攻击者使用域前端手艺通过Cobalt Strike攻击缅甸，研究职员发明一项使用混淆的Meterpreter stager安排Cobalt Strike信标的恶意运动。攻击者使用缅甸政府拥有和运营的域缅甸数字新闻网络作为其信标的域前端，其使用的恶意软件通常是一个在受害机械上运行的加载程序，通过反射注入解码并执行Cobalt Strike信标DLL。
以上所有误差情报和威胁事务情报、攻击组织情报，以及关联的IOC，均可在AG公司威胁情报中心获取，网址：https://nti.nsfocus.com/
一、 误差态势
2021年11月AG公司科技清静误差库共收录430个误差, 其中高危误差33个，微软高危误差18个。
* 数据泉源：AG公司科技威胁情报中心，本表数据阻止到2021.12.01
注：AG公司科技误差库包括应用程序误差、清静产品误差、操作系统误差、数据库误差、网络装备误差等；
二、 威胁事务
1. 攻击者通过巨型僵尸网络 Pink攻击mips 光猫装备
【标签】Pink
【时间】2021-11-04
【简介】
2019年11月21日，研究职员提供了一个全新的僵尸网络样本，相关样本中包括大宗以pink为首的函数名，以是我们称之为 PinkBot。Pinkbot 是六年以来视察到最大的僵尸网络，其攻击目的主要是 mips 光猫装备，在360Netlab的自力丈量中，总熏染量凌驾160万，其中96%位于中国；它的架构设计具备很好的结实性，它能够通过多种方法（通过第三方服务分发设置信息/通过 P2P 方法分发设置信息/通过 CNC 分发设置信息）自觉寻址控制端，并对控制端通讯有完整的校验，确保僵尸节点不会因某一个环节的阻杀而丧失或被接受，并且与我们常见到的botnet差别，PinkBot 为了坚持对熏染装备的绝对控制权，会在熏染光猫后，重新刷写原有的光猫固件，在刷写后的固件中，包括了PinkBot的下载器母体和配套的启动程序。攻击者使用这些特点对差别厂商举行过多次的攻防对抗。
【参考链接】
https://ti.nsfocus.com/security-news/IlN0d
【防护步伐】
AG公司威胁情报中心关于该事务提取69条IOC，其中包括6个IP，1个域名和62个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
2. 攻击者使用垃圾邮件发送恶意软件熏染系统
【标签】Qakbot,Cobalt Strike
【时间】2021-11-04
【简介】
最近，一种称为“SQUIRRELWAFFLE”的新威胁正在通过垃圾邮件运动更普遍地撒播，使用新的恶意软件加载程序熏染系统。SQUIRRELWAFFLE 为攻击者提供了对系统及其网络情形的起源驻足点，然后可以凭证攻击者选择实验将其会见钱币化的方法来增进进一步的破损或其他恶意软件熏染。在许多情形下，这些熏染还被用来传送和熏染其他恶意软件（如Qakbot和渗透测试工具Cobalt Strike）的系统。攻击者首先会发送一个垃圾电子邮件，当受害者会见包括在初始恶意垃圾邮件中的超链接时，他们会收到一个包括恶意Office文档的ZIP存档，虽然这些文档因广告运动而异，但在所有情形下，它们要么是 Microsoft Word 文档，要么是 Microsoft Excel 电子表格，而这些文档包括认真检索和执行下一阶段组件的恶意代码。
【参考链接】
https://ti.nsfocus.com/security-news/IlN0c
【防护步伐】
AG公司威胁情报中心关于该事务提取1366条IOC，其中包括501个域名和865个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
3. 攻击者使用银行木马攻击巴西组织
【标签】银行木马
【时间】2021-11-05
【简介】
自约莫2021年8月下旬以来，巴西有多达100个组织成为银行木马的目的，最近一次运动爆发在10月初。研究职员视察发明Msiexec.exe 试图从可疑URL下载名为mpr.dll的可疑文件复制到客户的情形中。进一步剖析批注，下载了五个文件，其中四个经由署名，看起来是正当的DLL文件，但名为mpr.dll的文件没有署名，关于一个588MB的单个DLL文件来说，其大得令人嫌疑。赛门铁克研究职员得出结论，这是一个\"拉丁美洲银行木马\"。而银行木马是一种恶意软件，旨在窃取受害者的网上银行信息，以便恶意行为者可以会见受害者的银行账户。一旦在机械上，恶意软件通常通过监控受害者正在会见的网站并将这些网站与硬编码列表举行较量来事情。若是受害者会见银行网站，特洛伊木马通�；嵩谡币趁嫔系牡龃翱谥邢允居掌锹家趁�，以试图获取受害者的银行凭证。这些弹出窗口通常是为了模拟特定银行的正当登录页面而制作的，并且通常很有说服力。
【参考链接】
https://ti.nsfocus.com/security-news/IlN0e
【防护步伐】
AG公司威胁情报中心关于该事务提取31条IOC，其中包括31个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
4. 攻击者使用Babuk勒索软件对Microsoft Exchange服务器提倡攻击
【标签】Babuk勒索软件
【时间】2021-11-11
【简介】
研究职员发明了一项使用Cisco Secure产品遥测手艺的恶意运动，该运动针对易受攻击的Microsoft Exchange 服务器，并试图使用ProxyShell 误差在受害者情形中安排Babuk勒索软件。攻击者使用了一种有点不寻常的熏染链手艺。熏染从受害者服务器上的下载器� ？樽钕�，最初的下载器是一个经由修改的EfsPotato误差使用程序，旨在针对proxyshell和PetitPotam误差。然后下载器运行嵌入式混淆 PowerShell 下令以毗连并从加入者的基础设施下载打包的下载器� ？�，该下令还会执行AMSI来绕过端点�；�。下载服务器使用恶意域 fbi.fund 和 xxxs.info托管，初始打包加载器� ？榘用艿� .NET 资源作为位图图像，解密后的内容是现实的Babuk勒索软件负载。为相识密息争压有用载荷，加载器毗连到包括中心解包器� ？榈� pastebin.pl上的URL，解包器� ？榻饷苣诖嬷星度氲� Babuk 勒索软件负载，并将其注入到新建设的历程 AddInProcess32 中。Babuk 勒索软件� ？樵诶� AddInProcess32 中运行，枚举受害者服务器上运行的历程，并实验禁用与备份产品相关的多个历程，例如 Veeam 备份服务。它还使用 vssadmin 适用程序从服务器中删除卷影服务 (VSS) 快照，以确保无法从其 VSS 副本恢复加密文件，勒索软件� ？槎允芎φ叻衿髦械奈募傩屑用�，并将文件扩展名 .babyk 附加到加密文件中，随后攻击者要求受害者支付10,000美元以获取解密密钥以重新获得他们的文件。
【参考链接】
https://ti.nsfocus.com/security-news/IlN1F
【防护步伐】
AG公司威胁情报中心关于该事务提取15条IOC，其中包括3个IP和12个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
5. 攻击者使用Snake恶意软件新变种窃取Windows用户的敏感信息
【标签】Snake恶意软件
【时间】2021-11-11
【简介】
研究职员最近从野外捕获了一个用于撒播恶意软件的Microsoft Excel样本。在研究了它的行为后，发明它是 Snake Keylogger恶意软件的一个新变种，是一种使用 .NET开发的恶意软件。它于2020年尾首次泛起，专注于从受害者装备中窃取敏感信息，包括生涯的凭证、受害者的按键、受害者屏幕截图和剪贴板数据。攻击者传入受害者的装备的Excel样本中包括恶意宏VBA代码，它会显示翻开时的屏幕截图，但它显示文档的模糊图片，并要求受害者单击黄色按钮以获得更清晰的图像， 一旦受害者点击黄色按钮“启用内容”，恶意VBA代码就会在后台执行。包括恶意VBA代码的恶意宏项目受密码�；�，因此剖析器无法审查，可是，研究职员体现能够通过修改其二进制文件以消除此限制。
【参考链接】
https://ti.nsfocus.com/security-news/IlN1E
【防护步伐】
AG公司威胁情报中心关于该事务提取2条IOC，其中包括2个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
6. 攻击者使用勒索软件Chaos Ransomware变体针对日本的 Minecraft 游戏玩家
【标签】Chaos Ransomware变体
【时间】2021-11-11
【简介】
研究职员发明Chaos Ransomware 运营商使用 Minecraft alt列表作为诱饵，以日本游戏玩家的Windows 装备为目的，并在游戏论坛上对其举行宣传�；棺⒅氐�，攻击中使用的Chaos勒索软件变种不但会加密某些文件，还会破损其他文件，使它们无法恢复，若是游戏玩家成为攻击的牺牲品，选择支付赎金仍可能导致数据丧失。并体现攻击者将Chaos 勒索软件变种隐藏在一个文件中，冒充包括“Minecraft Alt”帐户列表。在这种情形下，该文件是一个可执行文件，但它使用一个文本图标来诱骗潜在的受害者，使其误以为它是一个充满Minecraft已泄露用户名和密码的文本文件，翻开可执行文件后，恶意软件将被执行并在受熏染机械上搜索小于2,117,152字节的文件以对其举行加密。勒索软件将四个随机字符附加到加密文件的文件名中，这些字符选自“abcdefghijklmnopqrstuvwxyz1234567890”。 具有指定文件扩展名的大于2,117,152字节的文件被随机字节填充，这使得在不支付赎金的情形下无法恢复它们。与其他勒索软件一样，Chaos勒索软件的这种变体也会从受熏染的机械中删除卷影副本。
【参考链接】
https://ti.nsfocus.com/security-news/IlN1G
【防护步伐】
AG公司威胁情报中心关于该事务提取2条IOC，其中包括2个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
7. 黑客使用namesilo Parking和Google的自界说页面来撒播恶意软件
【标签】downloder
【时间】2021-11-18
【简介】
近期，研究职员发明一个GoELF可疑样本，剖析得知是一个downloder，主要撒播挖矿。黑客直接使用“用户自界说”的停放页面作为其控制通道，不需要有自己的机械和IP，就只用域名注册商提供的parking页面，以及google的自界说页面，便可以撒播自己的木马，这样还可以逃避跟踪。他们这样做一方面，不需要为恶意代码分发支付任何带宽和服务器本钱；另一方面，当机械人与域停放提供商和谷歌“攀谈”时，控制流量完全融合在一起，使其很难被监控和阻止。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5b
【防护步伐】
AG公司威胁情报中心关于该事务提取9条IOC，其中包括4个域名和5个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
8. 朝鲜的攻击组织Kimsuky使用恶意软件攻击韩国实体
【标签】Kimsuky
【时间】2021-11-18
【简介】
研究职员发明了由朝鲜Kimsuky APT组织运营的一项运动，该运动向韩国的高价值目的（即地缘政治和航空航天研究机构）提供恶意软件。至少自2021年6月以来，该运动一直很活跃，安排了一系列源自金龙/勇敢王子植入物系列的一直进化的植入物。最近，他们发明了一组由Kimsuky运营的新恶意博客，其中包括三个以前未知的起源组件：初始信标剧本、文件泄露器和植入工具。其中一个组件，即植入仪器，提供了另外三种类型的恶意软件，它们划分是信息网络� ？椤⒓碳吐寄 ？楹臀募⑷肫髂 ？�，将指定的有用负载注入良性历程。注入的负载是 Nirsoft WebBrowserPassview工具的木马化版本，旨在提取种种网站的登录凭证，如研究职员在2021年6月的报告中指出的那样，该运动始于恶意Microsoft Office文档 (maldoc)，其中包括向受害者提供的宏。熏染链导致恶意软件接触攻击者建设的恶意博客。这些博客为攻击者提供了更新博客中宣布的恶意内容的能力，详细取决于受害者对攻击者是否有价值。Kimsuky使用了种种各样的恶意软件，例如 Gold Dragon、Babyshark、Appleseed 等，它主要针对韩国的实体，从国防到教育和智囊团。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5d
【防护步伐】
AG公司威胁情报中心关于该事务提取16条IOC，其中包括16个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
9. 攻击者对常见的数据库和web服务器提倡DDoS攻击
【标签】Abcbot
【时间】2021-11-18
【简介】
研究职员共捕获了6个差别版本的abcbot样本,以 2021年10月30日的最新Abcbot样本为蓝图，该版本主要针对常见数据库和WEB服务器，使用弱密码和Nday误差实现蠕虫状撒播，主要针对DDoS，Abcbot使用标准的UPX外壳。当它在受熏染的装备中运行时，Abcbot 通过将自身复制到以下文件中来疑惑用户，然后启动 dockerlogger和iptablesupdate历程。该iptablesupdate历程认真扫描新的受熏染装备，将装备信息上报给C2，并期待C2发出DDoS下令执行。而dockerlogger历程认真将受熏染的装备酿成webserver，将装备信息上报给C2，最后通过“abc_hello_plugin_StartScan”函数认真熏染新装备。其逻辑是随机天生IP，检测IP上可被攻击的端口是否开放，然后通过对应的弱密码列表或使用Nday误差攻击服务。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5c
【防护步伐】
AG公司威胁情报中心关于该事务提取74条IOC，其中包括1个IP，54个域名和19个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
10. 攻击者使用域前端手艺通过Cobalt Strike攻击缅甸
【标签】Cobalt Strike
【时间】2021-11-25
【简介】
研究职员发明了一项使用混淆的 Meterpreter stager 安排Cobalt Strike信标的恶意运动。攻击者使用缅甸政府拥有和运营的域缅甸数字新闻网络作为其信标的域前端，其使用的恶意软件通常是一个在受害机械上运行的加载程序，通过反射注入解码并执行Cobalt Strike信标DLL。它在运行时加载多个库，并凭证嵌入的设置文件天生信标流量。设置文件包括与下令和控制 (C2) 服务器相关的信息，该服务器指示受害者的机械发送初始DNS请求，实验毗连到缅甸政府所有域名www.mdn.gov.mm的主机。该站点托管在Cloudflare内容交付网络之后，现实的C2流量凭证信标设置数据中指定的HTTP主机标头信息重定向到攻击者控制的服务器test.softlemon.net。凭证运动演变的研究批注，攻击者实验了差别的主机组合，目的是完善域前端手艺。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5U
【防护步伐】
AG公司威胁情报中心关于该事务提取6条IOC，其中包括1个IP，2个域名和3个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
