九游老哥云
九游老哥威胁情报周报（2020.03.02~2020.03.08）
2020-03-09
一、威胁通告
- V8类型混淆误差
【宣布时间】2020-03-04 20:00:00 GMT
【概述】2月25日 ，谷歌Chrome浏览器与微软Edge浏览器宣布了清静更新 ，在Google Chrome 浏览器80.0.3987.122以下与MicrosoftEdge浏览器80.0.361.62以下的版本中 ，开源 JavaScript和WebAssembly引擎V8中保存一个类型混淆误差（CVE-2020-6418） ，可能导致攻击者不法会见数据 ，从而执行恶意代码。有研究职员发明 ，在更新宣布前 ，该误差就已经被攻击者用于现实攻击。
http://blog.nsfocus.net/cve-2020-6418-2/
- Oracle Coherence反序列化远程代码执行误差
【宣布时间】2020-03-06 22:00:00 GMT
【概述】2020年1月15日 ，Oracle官方宣布了2020年1月要害补丁更新通告 ，修复了334个差别水平的误差。其中包括一个Oracle Coherence反序列化远程代码执行误差（CVE-2020-2555） ，CVSS评分为9.8；该误差允许未经身份验证的攻击者通过结构T3网络协议请求举行攻击 ，乐成使用该误差可实现在目的主机上执行恣意代码。使用了Oracle Coherence库的产品受此误差影响 ，在WebLogic Server 11g Release（10.3.4）及以上版本的装置包中默认集成了Oracle Coherence库。
http://blog.nsfocus.net/cve-2020-2555/
- Spring-cloud-config-server路径遍历误差
【宣布时间】2020-03-06 22:00:00 GMT
【概述】九游老哥科技清静研究员发明spring-cloud-config-server组件中保存路径遍历误差（CVE-2020-5405） ，2月26日Spring官方宣布了误差通告并致谢。攻击者使用此误差可以实现目录遍历 ，读取未授权文件的内容 ，请相关用户尽快升级spring-cloud-config-server至修复版本 ，对此误差举行防护。
http://blog.nsfocus.net/cve-2020-5405/
- Linux系统pppd远程代码执行误差
【宣布时间】2020-03-06 22:00:00 GMT
【概述】3月6日 ，US-CERT宣布了一个关于影响PPP daemon(pppd)软件的保存17年之久的远程代码执行误差的通告 ，影响险些所有基于Linux的操作系统以及网络装备固件。该误差为栈缓冲溢出误差(CVE-2020-8597) ，CVSS评分为9.8分；pppd中的eap.c在 eap_request和eap_response函数中rhostname参数保存缓冲区溢出 ，未经身份验证的攻击者发送恶意伪造的EAP包 ，可在受影响的系统中远程执行恣意代码。
http://blog.nsfocus.net/cve-2020-8597/
二、热门资讯
- Jackson-databind/Fastjson远程代码执行误差
【概述】克日 ，Jackson-databind修复了2个远程代码执行误差（CVE-2020-9547/CVE-2020-9548）。这2个误差源于2种新的组件（ibatis-sqlmap以及anteros-core）使用该误差可以绕过黑名单限制 ，在受害机械上远程执行代码。另外 ，fastjson在使用上述受影响组件时 ，若开启了autoType功效（autoType功效默认关闭） ，则也保存对应误差。
参考：https://github.com/FasterXML/jackson-databind/issues/2634
- Weblogic Coherence远程代码执行误差
【概述】克日 ，九游老哥科技检测到有外洋研究员宣布了关于Oracle Coherence反序列化远程代码执行误差（CVE-2020-2555）的细节报告。Oracle Coherence在Weblogic 12c后的版本中默认与Weblogic server一起装置。九游老哥科技研究员已复现该误差 ，虽然Oracle在今年1月份的要害补丁更新（Critical Patch Update）中已经修复了该误差 ，但鉴于危害较大 ，建议客户实时检查并装置补举行防护。
参考：https://www.zerodayinitiative.com/blog/2020/3/5/cve-2020-2555-rce-through-a-deserialization-bug-in-oracles-weblogic-server
- Molerats向政府和电信组织提供后门
【概述】Molerats威胁组织使用鱼叉式网络垂纶攻击向政府、电信组织提供Spark后门 ，该后门可让攻击者在受熏染系统上翻开应用程序并执行下令。Molerats(又名Gaza cybergang)是一个出于政治念头的威胁组织 ，自2012年以来一直活跃 ，该组织的受害者主要在中东、欧洲和美国。
参考：https://unit42.paloaltonetworks.com/molerats-delivers-spark-backdoor/
- APT34组织使用Karkoff针对黎巴嫩政府
【概述】近期APT34组织针对黎巴嫩政府举行网络特工运动 ，运动中使用新恶意软件Karkoff实现侦探逻辑 ，将最终的有用负载分派到特定目的 ，使用Microsoft Exchange Server作为通讯渠道 ，网络系统信息、域名、主机名和正在运行的操作系统。APT34是一个伊朗威胁组织 ，至少从2014年最先活跃 ，该组织在中东提倡攻击运动 ，主要针对金融、政府、能源、化工、电信和其他行业。凭证基础设施细节评估该组织为伊朗政府事情。
参考：https://blog.yoroi.company/research/karkoff-2020-a-new-apt34-espionage-operation-involves-lebanon-government/
- 朝鲜Kimsuky组织威胁韩国生长其TTP
【概述】Kimsuky ，也被称为Kimsuki、Velvet Chollima ，是一个归属于朝鲜的威胁组织 ，至少从2013年最先活跃 ，针对韩国智囊团、工业、核电运营商和统一部等举行特工运动。近期Kimsuky组织使用一种新恶意软件植入物对韩国发动系列攻击运动。
参考：https://blog.yoroi.company/research/the-north-korean-kimsuky-apt-keeps-threatening-south-korea-evolving-its-ttps/
- CIA攻击组织（APT-C-39）恒久对中国要害领域的网络渗透攻击
【概述】美国中央情报局CIA攻击组织（APT-C-39）对中国举行的长达十一年的网络攻击渗透。在此时代 ，中国航空航天、科研机构、石油行业、大型互联网公司以及政府机构等多个单位均遭到差别水平的攻击 ，并主要集中在北京、广东、浙江等省份。
参考：https://mil.huanqiu.com/article/3xHSlXNmuvU
