安全威胁情报周报（8.21~8.27）
2023-8-27 22:18:54 Author: 微步在线研究响应中心(查看原文) 阅读量:5 收藏

FBI：朝鲜黑客团伙盗取数亿美元加密货币

  Tag：加密货币盗窃

事件概述：

美国联邦调查局（FBI）发出告警，称近期区块链活动涉及数亿美元加密货币盗窃。过去24小时，FBI追踪到朝鲜民主主义人民共和国（DPRK）的TraderTraitor团伙（又称Lazarus Group和APT38）所盗取的加密货币。FBI担心朝鲜可能试图变现价值超过4000万美元的比特币。调查发现，与TraderTraitor团伙有关的人员转移了约1580枚比特币，目前将这些资金存放在以下的比特币地址中：

  • 3LU8wRu4ZnXP4UM8Yo6kkTiGHM9BubgyiG

  • 39idqitN9tYNmq3wYanwg3MitFB5TZCjWu

  • 3AAUBbKJorvNhEUFhKnep9YTwmZECxE4Nk

  • 3PjNaSeP8GzLjGeu51JR19Q2Lu8W2Te9oc

  • 3NbdrezMzAVVfXv5MTQJn4hWqKhYCTCJoB

  • 34VXKa5upLWVYMXmgid6bFM4BaQXHxSUoL

该团伙还涉嫌数起国际知名加密货币盗窃案，包括2023年6月22日从Alphapo盗取的6000万美元虚拟货币，同日从CoinsPaid盗取的3700万美元虚拟货币，以及2023年6月2日从Atomic Wallet盗取的1亿美元虚拟货币。FBI曾发布信息，披露他们袭击了Harmony的Horizon桥和Sky Mavis的Ronin桥，并就TraderTraitor发布了网络安全警报。同时，美国财政部外国资产控制办公室在2019年对Lazarus Group实施了制裁。
FBI呼吁私营部门关注与上述地址相关的区块链数据，警惕与这些地址直接或间接相关的交易。FBI将继续揭露并打击朝鲜利用非法活动获取收入，其中包括网络犯罪和虚拟货币盗窃。

来源：

https://www.fbi.gov/news/press-releases/fbi-identifies-cryptocurrency-funds-stolen-by-dprk

Snatch勒索软件组织疑似窃取了南非国防部机密数据

  Tag：Snatch，勒索

事件概述：
近期，Snatch勒索软件组织已将南非国防部门列入其数据泄露网站之中。该部门的职责在于根据南非法律、宪法以及国会和行政方向，提供与国家需求相符的国防能力。据传，该组织声称已窃取了高达1.6TB的军事合同、内部通信以及个人数据。若这一攻击得以确认，泄露机密信息或将严重危及与这些合同相关的组织。虽然泄露网站目前无法访问，然而这一事件引发了广泛的关切。
此外，该组织此前声称已于2022年10月入侵了法国的HENSOLDT France公司，后者专门从事军事和国防电子领域。Snatch勒索软件最早于2019年末被发现，研究人员发现其具备将被感染计算机重启至安全模式的能力，以规避现有的安全解决方案。这一持续的威胁表明，Snatch组织在不断演进，不断寻找新的漏洞来获得非法利益。

来源：
https://securityaffairs.com/149760/cyber-crime/snatch-ransomware-department-of-defence-south-africa.html?web_view=true

Anonymous组织针对日本核网站发动攻击，抗议日本核废水排放计划

  Tag：Anonymous， 核能

事件概述：
Anonymous集体发动“#OpFukushima”行动，以抗议日本政府计划将福岛核电站处理后的放射性废水排入海洋。最近，攻击频率急剧增加，特别是在国际原子能机构披露计划后。尽管该机构表示排放将符合全球安全标准，但NTT安全公司警告可能会出现进一步的攻击，敦促提高潜在目标的网络安全能力。Anonymous已发布“目标清单”，对日本核能机构实施攻击，其中包括日本原子能机构、日本原子力发电公司和日本原子能学会。目前，Anonymous主要通过分布式拒绝服务（DDoS）攻击来影响目标机构的网站。在这一行动中，Anonymous成员抨击日本政府的决策缺乏透明度，批评政府将海洋作为经济利益的“垃圾场”是不明智之举。这次攻击引发了人们对日本核废水政策的争议。

来源：
https://securityaffairs.com/149660/hacking/opfukushima-anonymous.html

思科修补了导致交换机、防火墙遭受 DoS 攻击的漏洞

  Tag：思科，交换机，DoS

事件概述：

近日，思科宣布为其产品发布了六个漏洞修复补丁，着重解决了NX-OS和FXOS软件中的三个高危漏洞，这些漏洞可能被恶意利用导致拒绝服务（DoS）攻击。其中，CVE-2023-20200是最严重的，影响FXOS软件，其涉及特定SNMP请求处理不当，允许经过认证的远程攻击者发送精心制作的请求，导致设备重新加载，从而引发DoS情况。而CVE-2023-20169漏洞则影响NX-OS软件，攻击者可以在未经认证的情况下发送恶意数据包，导致设备重新启动，进而可能引起DoS情况。另外，CVE-2023-20168漏洞在TACACS+和RADIUS远程认证中出现，未经认证的本地攻击者可通过输入精心制作的字符串来引发DoS情况。思科强调这些修复措施是为应对高危威胁，保障网络设备的安全性。
在2023年8月的半年度安全咨询捆绑包中，这三个高危漏洞得到修复，同时还包括两个中危漏洞的修复，以及针对文件覆盖的补丁。这次修复旨在提高网络设备的安全性和稳定性，以应对不断进化的网络威胁。
来源：
https://www.securityweek.com/cisco-patches-vulnerabilities-exposing-switches-firewalls-to-dos-attacks/

"游蛇"黑产团伙通过微信传播恶意代码

  Tag：游蛇，黑产

事件概述：
近期，“游蛇”黑产团伙再次引发关注，该团伙通过多种方式传播恶意程序。国内安全厂商监测到他们最近在微信上传播恶意代码的新攻击活动。在此攻击中，黑客使用微信传递Gh0st远程控制木马加载器，通过FTP服务器下载文件，然后使用侧加载和内存解密技术加载Gh0st远程控制木马，以获取远程权限。通过“代理人”招募成员，该团伙操作模式包括在境外社交软件中创建多个群组，诱使目标用户执行恶意程序，从而获取受害者主机的控制权，进行更加精准的钓鱼攻击。
技术手法：
攻击者通过微信传播恶意代码，包括几个步骤。他们投递Gh0st远程控制木马加载器，然后通过FTP服务器下载文件，使用内存解密技术加载Gh0st远程控制木马，从而获取控制权限。该木马除了远程控制功能外，还下载其他恶意代码，通过注册表启动项实现自启动和持久化。攻击者利用这些技术，窃取信息、传播恶意代码等操作。攻击者发现免杀失效后，会上传新的免杀程序。这种攻击模式对企业微信用户具有特定针对性，凸显了网络安全的重要性。
来源：
https://mp.weixin.qq.com/s/AcYNcThoAdK_saixteifSg

研究人员披露Andariel组织的攻击活动

  Tag：Andariel，APT

事件概述：
近期，研究人员曝光了Andariel组织最新的攻击行动，尤其引人注目的是该组织在此次攻击中广泛使用了Go语言开发的恶意代码。与此同时，该组织与Lazarus威胁组织之间的密切联系也得到了验证。这次攻击的主要目标集中在国防、政治组织、造船、能源、电信等与安全紧密相关的领域，同样也影响到了韩国的大学、交通和ICT公司等机构。初期的渗透手段包括鱼叉式网络钓鱼、水坑攻击以及供应链攻击等多种途径。在这些攻击中，Andariel组织广泛运用了多种后门恶意代码，其中包括Andaratm、Phandoor、Rifdoor、TigerRAT和MagicRAT等。这些后门恶意代码的存在使得Andariel组织能够获取未经授权的访问权限，进而窃取敏感数据并在受影响的系统内保持持久存在。
技术手法：
Andariel的攻击过程涵盖了多种恶意代码，其中包括了一系列早期和最近的攻击策略。在早期的攻击中，他们使用了使用Go语言开发的DurianBeacon和TigerRat后门，这些后门具备广泛的功能，例如命令执行、文件操作以及屏幕截图等。攻击者为了绕过网络检测，采用随机的字符串进行C&C服务器身份验证。另一个名为Black RAT的后门也用于支持文件下载和命令执行等操作。
此外，Andariel的攻击还利用了Innorix Agent的漏洞来分发恶意代码，其中包括了AndarLoader和Goat RAT等。在最近的攻击事件中，DurianBeacon恶意代码经过了Go和Rust语言的开发，其功能涵盖了命令执行和文件操作等。与C&C服务器的通信采用了SSL和XOR加密，以增加通信的隐蔽性和安全性。

来源：
https://asec.ahnlab.com/ko/56256/

黑客利用WinRAR的 0day 漏洞发动攻击

  Tag：WinRAR，0day 漏洞

事件概述：
2023年7月10日，Group-IB威胁情报部门在研究DarkMe恶意软件传播时，发现了一个WinRAR处理ZIP文件格式的未知漏洞。黑客通过利用这一漏洞，制作了带有各种恶意软件的ZIP压缩包。这些压缩包在交易论坛上进行分发，一旦被提取和执行，恶意软件允许黑客从经纪人账户中提取资金。
技术手法：
黑客通过伪造文件扩展名利用CVE-2023-38831漏洞，隐藏恶意代码的启动，制作了ZIP压缩包。受害者打开压缩包时，通常会看到一个图像文件和与图像文件同名的文件夹。当受害者点击图像伪装文件时，执行一个脚本，启动攻击的下一阶段。然后，攻击者通过注册COM对象和运行自定义ActiveX控件来实现后续恶意行为。


来源：
https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/

2023年8月21日

日本钟表制造商Seiko遭遇BlackCat勒索软件组织攻击

据报道，客团伙BlackCat/ALPHV声称已对日本手表制造商Seiko发动了网络攻击，并将该公司列入了其数据泄露网站上的受害者名单。在今年7月28日，Seiko集团公司确认可能存在数据泄露事件，一些未知身份的攻击者似乎未经授权地访问了至少一台服务器。为了进一步调查和评估情况，该公司在8月2日委托了外部网络安全专家团队。
据勒索软件团伙声称，他们已经从公司网络中窃取了一些数据样本，并在其网站上公布了这些样本，其中包括护照扫描和新手表项目。目前还不清楚黑客是否窃取了公司的商业机密或知识产权，例如用于其产品的专利技术。
来源：
https://securityaffairs.com/149734/cyber-crime/blackcat-alphv-ransomware-group-seiko.html

2023年8月17日

ESET揭示大规模Zimbra钓鱼攻击活动，涉及企业用户

ESET研究人员揭示了一起从2023年4月至今持续进行的大规模Zimbra钓鱼攻击。攻击旨在获取Zimbra协作平台用户的凭证。该攻击广泛传播，针对中小型企业和政府机构。攻击者通过发送虚假电子邮件，引诱目标点击附件中的链接，伪造Zimbra登录页面，以窃取凭证。攻击者甚至利用已被攻击的合法公司的账户发送后续的钓鱼邮件，攻击方式相对简单但却相当成功。

这起事件再次凸显了中小型企业和政府机构面临的网络安全挑战，尤其是在面对精心设计的钓鱼攻击时。为了防范此类威胁，加强员工的网络安全意识培训以及部署多层次的安全措施变得尤为重要。及早识别和阻止钓鱼攻击，对于保护企业的敏感信息和数据安全至关重要。

来源：

https://www.welivesecurity.com/en/eset-research/mass-spreading-campaign-targeting-zimbra-users/

---End---


文章来源: http://mp.weixin.qq.com/s?__biz=Mzg5MTc3ODY4Mw==&mid=2247502915&idx=1&sn=9cc4169fad382de82240cb3bd861a839&chksm=cfcaaf57f8bd2641f9d326f1ea4e968575fcbf354841ce2936ddc57cbce1ceb225ca77b6c3dc&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh