AG公司云
【威胁通告】AG公司科技威胁情报周报（2021.11.29-2021.12.05）
2021-12-08
一、 热门资讯
1. 黑客使用Tardigrade 恶意软件攻击生物制造设施
【概述】
研究职员发明一种高级一连威胁 (APT) 与今年在名为“ Tardigrade ”的自界说恶意软件加载程序的资助下爆发的两家生物制造公司的网络攻击有关。Tardigrade通过网络垂纶电子邮件或受熏染的USB驱动器撒播，是SmokeLoader的高级分支，SmokeLoader是一种基于Windows的后门程序，由Smoky Spider组织运营。该恶意软件充当其他恶意软件有用载荷的入口点，并且纵然在切断其下令和控制服务器以执行其恶意运动时也能自主运行。因此研究职员建议生物制造行业的组织应用软件更新、实验网络分段并测试要害生物基础设施的离线备份，以减轻威胁。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5F
2. 攻击者使用加密恶意软件Babadeda对NFT社区提倡垂纶攻击
【概述】
研究职员通过Discord渠道发明了一种新的加密恶意软件菌株，跟踪为Babadeda，针对加密钱币、不可替换令牌(NFT)和DeFi狂热者。攻击者正试图使用NFT和加密游戏蓬勃生长的市场。据研究职员称，Babadeda能够绕过防病毒解决计划，并且这种加密恶意软件最近被用于提供信息窃取程序、RAT 和LockBit等勒索软件的多项运动。大大都针对加密社区的攻击都基于Discord平台，攻击者通过Discord渠道共享下载链接。攻击者首先向用户发送了一条私人新闻，约请他们下载相关应用程序 ，该应用程序可能会授予用户会见新功效和/或特殊利益的权限，攻击者使用这些功效来垂纶受害者。由于攻击者在公司官方Discord频道上建设了一个Discord机械人帐户，因此他们能够乐成冒充该频道的官方帐户。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5u
3. 与朝鲜有关的APT组织冒充三星招聘职员攻击韩国清静公司
【概述】
研究职员报告说，与朝鲜有关联的APT组织冒充三星招聘职员，这是一场鱼叉式网络垂纶运动，目的是销售反恶意软件解决计划的韩国清静公司，该组织曾向多家销售反恶意软件解决计划的韩国信息清静公司的员工发送虚伪事情时机，而这些发送的电子邮件包括一份PDF，据称是三星某个职位的职位形貌；可是，PDF名堂过失，无法在标准 PDF 阅读器中翻开。当目的回复他们无法翻开职位形貌时，攻击者会回复一个指向恶意软件的恶意链接，该链接声称是存储在Google Drive中的。攻击者则使用恶意PDF自称是事情记述TI针对三星的作用，由于这个缘故原由，收件人无法翻开它，并联络，反过来给他提供了一个链接到一个“清静的PDF阅读器发送“ 应用程序。该应用程序存储在Google Drive中，是正当PDF阅读器PDFTron的受污染版本 。装置该应用程序后，会在受害者的装备上建设一个后门，从而允许攻击者接受目的的盘算机。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5s
4. 攻击者使用ANYDESK软件来撒播BABUK勒索软件
【概述】
研究职员发明了一种使用Anydesk软件虚伪网站撒播Babuk勒索软件的新要领。Anydesk 是一种远程控制工具，允许用户会见运行主机应用程序的远程盘算机和其他装备。当用户实验从未知的可疑链接下载Anydesk软件时，会泛起一个虚伪网站，允许您下载 Anydesk 软件。这个假网站看起来像原来的Anydes 网站。当用户点击下载 Anydesk 软件时，也会下载勒索软件BABUK，由于它以自解压存档的形式与Anydesk软件捆绑在一起（在这种情形下，它没有装置文件）。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5w
5. 黑客使用未修补的MS浏览器引擎缺陷提倡网络垂纶攻击
【概述】
研究职员体现，一名伊朗攻击者一直瞄准未能修补Microsoft浏览器引擎中的远程代码执行误差的用户，以监视讲波斯语的受害者�；怪赋瞿拷竦墓セ髟硕治霭旆ǎ菏紫冉ǘ褚釽ord附件的网络垂纶邮件发送给受害者，诱使受害者翻开邮件。研究职员视察到两个差别的Word文档——=使用MSHTML误差的Mozdor.docx 和 ?????? ????? ??.docx 或 Khamenei Crimes.docx，其中包括指向伊朗新闻网站 Hamshahri Online 和Twitter帐户的链接属于IranWire记者Aida Ghajar；然后Word文件使用MSHTML误差，毗连到恶意服务器，并将恶意DLL放入受害者Windows盘算机上的%temp%目录；最后恶意DLL执行PowerShortShell剧本，网络数据并将其泄露到攻击者的下令和控制服务器。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5G
6. 攻击者使用Chinotto特工软件攻击朝鲜潜逃者和人权运动家
【概述】
研究职员发明作为新一波针对性强的监视攻击的一部分，脱北者、报道朝鲜相关新闻的记者和韩国实体正受到民族国家支持的高级一连威胁 (APT) 的关注。并体现攻击者使用了三种具有相似功效的恶意软件：在PowerShell、Windows可执行文件和Android 应用程序中实验的版本。虽然针对差别的平台，但它们共享基于HTTP通讯的类似下令和控制计划。因此，恶意软件操作者可以通过一组下令和控制脚原来控制整个恶意软件家族。攻击者使用的Chinotto带有自己的Android变体，以实现监视用户的相同目的。恶意APK文件通过smishing攻击发送给收件人，在装置阶段提醒用户授予普遍的权限，使应用程序能够网络联系人列表、新闻、通话纪录、装备信息、录音和数据存储在华为驱动器、腾讯微信（又名微信）和 KakaoTalk 等应用程序中。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5J
7. 攻击者将新Magecart恶意软件隐藏在Cron作业中
【概述】
研究职员发明一种新的远程会见木马，它使用奇异的隐身手艺来资助它在受害者的基础设施上不被发明并隐藏magecart气概的恶意软件。它被称为 CronRAT，作为一项不保存日期的使命隐藏在Linux日历子系统中，例如2月31日。该恶意软件仍未被清静供应商检测到，并启用绕过基于浏览器的清静解决计划的服务器端 Magecart 数据窃取。该恶意软件添加了一个cron下令行适用程序，也称为cron作业或crontab，它是类Unix操作系统上的作业调理程序。CronRAT将种种使命添加到带有希奇日期规范的crontab：52 23 31 2 3。这些行是有用的，但它们在执行时会爆发运行时过失。
【参考链接】
https://ti.nsfocus.com/security-news/IlN5V
8. 黑客使用新RTF模板注入手艺提倡网络垂纶攻击
【概述】
研究职员发明攻击者接纳一种称为RTF（又名富文本名堂）模板注入的新要领作为其网络垂纶运动的一部分，以将恶意软件传送到目的系统。RTF 模板注入是一种新手艺，很是适合恶意网络垂纶附件，由于它很简朴，并且允许攻击者使用RTF文件从远程URL检索恶意内容。攻击的焦点是一个包括诱饵内容的RTF文件，该文件可以被使用以在翻开RTF文件时检索托管在外部URL上的内容，包括恶意负载。详细来说，它使用RTF模板功效使用十六进制编辑器通过指定URL资源而不是可从中检索远程有用负载的可会见文件资源目的来更改文档的名堂属性。
【参考链接】
https://ti.nsfocus.com/security-news/IlN6b
9. 攻击者使用新的EwDoor僵尸网络针对AT客户提倡攻击
【概述】
清静研究实验室的专家发明了一种名为EwDoor的新僵尸网络， 它针对使用果真袒露于 Internet 的 EdgeMarc 企业会话界线控制器 (ESBC) 边沿装备的 AT 客户。专家注重到 EwDoor对其C2使用了备份机制，并注册了一个备份下令和控制(C2)域 (iunno.se)来剖析受熏染装备的毗连。并且僵尸网络实验了一系列�；げ椒ヒ员苊馇寰沧业钠饰�，例如使用TLS协议避免通讯被阻挡，加密敏感资源使其难以逆向工程以及将C2移至云端并由BT跟踪器发送避免被IOC系统直接提取。
【参考链接】
https://ti.nsfocus.com/security-news/IlN69
10. Ubiquiti前雇员窃取公司数据并实验勒索
【概述】
12月1日，美国司法部宣布了一份起诉书，指控Nickolas Sharp窃取了其所在公司数千兆字节神秘文件，并以匿名攻击者身份勒索其公司近200万美元，在公司拒绝支付赎金后，还匿名举报公司导致公司股价大幅下降。约莫在2020年12月，Nickolas Sharp多次使用其权限下载公司神秘数据。这时代，Nickolas Sharp通过更他日志保存战略和其他文件以掩饰其运动，并对公司的盘算机系统造成损害。随后在2021年1月左右，Nickolas Sharp在修复团队中事情时，伪装成匿名的勒索软件攻击者，向公司发送了赎金通知书，声称自己未经授权会见了公司的盘算机网络。赎金通知书中要求公司以50比特币（其市价值190万美元）交流被盗数据及盘算机系统后门。在公司拒绝这一要求后，Nickolas Sharp在一个可果真会见的线上平台宣布了部分被盗文件。
【参考链接】
https://ti.nsfocus.com/security-news/IlN6o
