安全威胁情报周报（12.26~12.30）

去中心化多链加密钱包 BitKeep 遭到网络攻击，损失价值超900万美元

Tag：BitKeep，数字货币

事件概述：

去中心化多链加密钱包 BitKeep 于近日证实遭到网络攻击，黑客组织利用分发 Android 应用程序的欺诈版本，旨在窃取目标用户的加密货币。截至目前，价值900万美元的加密货币被盗。这不是 BitKeep 第一次加密货币被盗，早在今年10月18 日，它曾披露了另一起针对其 BitKeep Swap 服务的安全事件，该事件导致约 100 万美元的损失。

技术手法：

攻击者通过劫持托管在网站上的 Android 应用程序包 (.APK) 文件的 7.2.9 版本，修改 APK ，植入恶意代码，窃取目标用户私钥。然后在 BNB Chain、Ethereum、TRON 和 Polygon 链上窃取加密货币。

来源：
https://thehackernews.com/2022/12/bitkeep-confirms-cyber-attack-loses.html

巴基斯坦威胁组织 SideCopy 瞄准印度政府官员展开网络攻击

Tag：APT，印度，政府官员

事件概述：

近日，研究人员监测发现巴基斯坦背景的威胁组织 SideCopy 瞄准印度政府的新恶意攻击活动。攻击链感染始于针对性的网络钓鱼邮件，然后利用附件 .LNK 文件启动执行代码，最终下载并运行充当远程访问木马恶意载荷展开攻击。研究人员通过此次攻击活动的主要目标范围、有效载荷传递方式、可执行文件的相似性将此次活动归因于巴基斯坦威胁组织 SideCopy。

技术手法：

威胁组织通过投递一封包含压缩文件附件 (11222022.zip) 的网络钓鱼电子邮件。压缩文件包含一个快捷方式文件，旨在诱骗用户点击执行 mshta.exe 进程远程调用 .hta 文件，下载充当远程访问木马的二进制文件，执行 C2 命令、下载和执行其他载荷、桌面屏幕截图和文件泄露等。

来源：

https://www.securonix.com/blog/new-steppykavach-attack-campaign/

电力公司 Sargent & Lundy 遭到勒索软件攻击，敏感数据发生泄露

Tag：电力，能源

事件概述：

Sargent & Lundy 是一家致力于为电力和能源密集型客户提供服务的电力公司，设计了 900 多个发电站和 5,600 英里的输电/变电站系统，及958个发电厂单元和超过 6,200 英里的电力输送系统。近日，据美国有线电视新闻网报道，黑客利用 Black Basta 勒索软件瞄准电力公司 Sargent & Lundy 公司展开攻击。

Sargent & Lundy 在监测发现攻击行为后，第一时间采取行动控制勒索毒株感染范围。但据消息透露，黑客通过勒索软件窃取了 Sargent & Lundy 6,900 多人的个人数据。截至目前，Sargent & Lundy 尚未公开回应攻击事件细节及数据泄露波及范围。

来源：

https://www.bankinfosecurity.com/hackers-steal-power-utility-customer-data-a-20807?&web_view=true

LTE3301-M209 LTE 家用路由器被曝存在后门

Tag：路由器，后门

事件概述：

近日，安全研究员在 ZyXEL LTE3301-M209 LTE 室内路由器中发现了硬编码凭据漏洞 CVE-2022-40602，并向 Zyxel PSIRT 报告漏洞。V1.00(ABLG.4)C0 及更早版本受该漏洞影响。在之前的研究中，研究人员在 D-Link DWR-921 中发现了一个 Telnet 后门，该后门也存在于 ZyXEL LTE3301-M209 中。尽管研究人员没有在硬件固件的程序中找到 Telnet 凭据，但在 webUI 中发现了一个后门，解压 config.dat 将包含 Telnet 登录密码。攻击者可以通过 webUI 凭据或者 Telnet 凭据两种方式之一控制路由器。

截至目前，Zyxel 已为其 LTE 家用路由器 LTE3301-M209 发布了补丁，以解决预配置密码漏洞，并建议用户安装补丁以获得最佳保护。此外，Zyxel PSIRT 为防止出现大规模利用，决定不公开凭据。

来源：

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-pre-configured-password-vulnerability-of-lte3301-m209

微步发布《2022年攻防演练木马专项分析报告》

Tag：攻防演练，木马

事件概述：

HW2022期间，各类病毒木马层出不穷，红蓝对抗日益激烈。为提升病毒木马防护能力，蓝队根据往年防守经验研制出了各类木马，尤其是CobaltStrike木马的自动化检测方法，为攻击者的木马投递制造了不小的难度；而攻击者则致力于提升木马的反检测能力，通过选择多种编译语言，变换通信协议，修改原生木马和自写木马等方式，不断尝试绕过各类检测机制，红蓝双方斗得不亦乐乎，着实“战了个痛快”。

HW2022落下帷幕之际，微步在线样本分析团队对HW期间出现的各类病毒木马进行了汇总，从逆向分析角度遴选出技术价值更高的样本进行了深入分析，并据此总结了HW2022中木马的变化趋势：

编译语言方面，攻击者开始倾向于使用多种语言，可谓“百花齐放”：除了往年已出现过的Go语言样本之外，Rust、Nim等语言的样本也陆续出现。
通信协议方面，攻击者为躲避流量检测，可谓“瞒天过海”：木马反连时使用的网络协议渐趋多样化，ICMP隧道和DNS隧道通信样本均有出现。
对抗分析技术方面，攻击者采用更丰富的技术手段进行分析对抗，避免在分析环境中运行，可谓“如履薄冰”，判断父进程，判断是否有办公软件和时间检测等方式花样迭出。
对于HW中最为经典的CobaltStrike木马，攻击者也做了大量的创新，可谓“移花接木”：通过Hook技术修改反连C2、自定义Base64算法，Shellcode装载IPV4地址等方式令人耳目一新。

最后，HW期间出现了部分 “特马”，这些“特马”一般不属于任何已知病毒家族，是资深的攻击者自主设计编写，技术含量很高。我们预计各式各样的“特马”未来也将会不断涌现，可谓“方兴未艾”。更多内容需查看“2022年攻防演练木马专项分析报告”。

来源：
https://mp.weixin.qq.com/s/YmqnCCcwBNkvHOVBiwGgIg

Lazarus 组织使用签名的二进制文件绕过 Apple 安全机制，瞄准 macOS 用户

Tag：朝鲜，APT，Lazarus，Apple

事件概述：

近日，研究人员监测发现朝鲜背景威胁组织 Lazarus 的 In(ter)ception 活动，攻击者利用 Coinbase 的职位空缺来诱骗用户，后台恶意软件利用已签名的二进制文件来绕过 Apple 安全机制并感染 macOS 用户。

技术手法：

威胁组织通过使用签名的二进制恶意文件在目标主目录下放置包含 Coinbase 公司工作详细信息的 PDF 文件及其他3个文件。当恶意软件执行时，pdf 会在屏幕上弹出，与此同时，恶意软件会在后台开始其恶意操作，然后释放文件，使用函数创建 LaunchAgent，执行第二阶段的恶意载荷。恶意软件使用 getuid、getpwuid、getuname 等命令查询系统以获取有关受害者设备的信息。之后，恶意软件与 C2 进行通信，并将之前收集到的信息回传到 C2 服务器。

来源：

https://labs.k7computing.com/index.php/lazarus-apts-operation-interception-uses-signed-binary/

Linux 内核被曝严重漏洞，ksmbd 的 SMB 服务器受到影响

Tag：Linux，ksmbd，SMB

事件概述：

KSMBD 是一个 Linux 内核服务器，它在内核空间实现 SMB3 协议，用于通过网络共享文件。近期研究人员发现 KSMBD 存在严重的安全漏洞，该漏洞存在于 SMB2_TREE_DISCONNECT 命令的处理过程中，由于在对象执行操作之前没有验证对象的存在，攻击者可以利用此漏洞在受影响的 Linux 内核安装上执行任意代码，及泄露服务器内存。利用此漏洞不需要身份验证，但只有启用了 ksmbd 的系统才容易受到攻击，使用 Samba 的 SMB 服务器不受影响。建议使用 ksmbd 的管理员更新到 8 月发布的 Linux 内核版本5.15.61或更新版本可消除此漏洞带来的影响。

来源：

https://securityaffairs.co/140013/hacking/critical-linux-kernel-vulnerability.html

2022年12月28日

Intrado 电信公司疑似遭到 Royal 勒索软件攻击
外媒报道称 Intrado 电信公司疑似遭到 Royal 勒索软件攻击，部分数据发生泄露。攻击始于12月1日，勒索软件组织在窃取数据后，要求 Intrado 电信公司支付6000万美元作为赎金，否则将在数据泄露站点上公开声称窃取的内部文件、护照和员工驾照等数据信息。虽然 Intrado 已经恢复了大部分受影响的服务，但该公司部分医疗服务仍受到影响。
来源：
https://www.bleepingcomputer.com/news/security/royal-ransomware-claims-attack-on-intrado-telecom-provider/

2022年12月22日

警惕！冒充韩国著名银行应用程序的网络钓鱼攻击
研究人员指出从11月初开始检测到多起冒充 Naver Help 网络钓鱼攻击活动。这些电子邮件通过各种各样的主题来欺骗用户，包括更改联系方式的通知、创建新的一次性密码、从不熟悉的位置登录、完整的邮件存储和阻止访问尝试。截至目前，此次网络钓鱼活动的一些域仍然活跃，并且某些页面允许下载恶意 APK 文件。用户需格外警惕冒充韩国著名银行应用程序的网络钓鱼攻击。
来源：
https://asec.ahnlab.com/en/44680/