九游老哥云
九游老哥科技威胁情报周报（2020.08.03-2020.08.09）
2020-08-11
一、 威胁通告
WebSphere远程代码执行误差（CVE-2020-4534）
【宣布时间】2020-08-10 12:00:00 GMT
【概述】
北京时间2020年7月31日 ，IBM官方宣布通告修复了WebSphere Application Server（WAS）中的一个远程代码执行误差（CVE-2020-4534）。该误差由于未准确处置惩罚UNC路径而导致 ，经由外地身份认证后 ，攻击者可以使用该误差完成代码执行 ，误差评分为7.8分。该误差（CVE-2020-4534）由九游老哥科技伏影实验室发明并提交至IBM。经专家判断 ，该误差可以与此前九游老哥科技提交至IBM的CVE-2020-4450组合使用 ，无需身份认证即可在目的服务端执行恣意代码 ，获取系统权限 ，进而接受服务器。
【链接】
http://blog.nsfocus.net/websphere-cve-2020-4534-0810/
二、 热门资讯
1. 海莲花组织使用MsMpEng举行侧载攻击
【概述】
克日 ，九游老哥威胁情报（NTI）发明了一起借用WindowsDefender主要组件MsMpEng.exe举行侧载攻击的事务。通过对本事务以及多个关联事务的剖析 ，确认该系列攻击事务的提倡者为海莲花（OceanLotus ，APT32）组织。除通例手法之外 ，海莲花组织在这一再攻击中使用了一种新的混淆手艺 ，以及一款新的中心载荷。
【参考链接】
https://nti.nsfocus.com/
2. NetWalker勒索软件针对西欧国家和美国
【概述】
NetWalker勒索软件最初称为Mailto ，最早在2019年8月被发明 ，自觉现以来针对许多差别的目的 ，主要位于西欧国家和美国。攻击运动中NetWalker勒索软件将随机扩展名附加到受熏染的文件中 ，并使用Salsa20加密 ，它使用一种新的防御规避手艺被称为反射DLL加载 ，用于从内存中注入DLL。
【参考链接】
https://www.mcafee.com//blogs/other-blogs/mcafee-labs/take-a-netwalk-on-the-wild-side/
3. TA551攻击组织分发IcedID银行木马
【概述】
TA551组织在近期的攻击运动中针对以英语为母语的目的 ，使用垃圾邮件分发IcedID银行木马 ，这些邮件附件是带有恶意宏的Word文档 ，一旦用户启用宏 ，HTTP通讯的TCP流可检索装置恶意程序DLL ，由装置程序DLL建设IcedID的EXE文件。
【参考链接】
https://isc.sans.edu/diary/26438
4. 跨文工具包用于象形文字攻击以举行信用卡信息窃取
【概述】
攻击者近期使用象形文字攻击方法来窃守信用卡信息 ，此攻击手艺在具有IDN同形异义词攻击的网络垂纶诈骗中已经被使用了一段时间 ，使用看起来相同的字符来诱骗用户 ，有时字符来自差别的语言集。审查恶意基础机构（51.83.209[.]11） ，攻击者最近使用相同的象形文字手艺注册了多个域 ，此次攻击运动疑似有Magecart 组织有关。
【参考链接】
https://blog.malwarebytes.com/threat-analysis/2020/08/inter-skimming-kit-used-in-homoglyph-attacks/
5. TAIDOOR木马伪装为DLL文件熏染目的系统
【概述】
Taidoor木马作为服务动态链接库DLL装置在目的系统上 ，并且由两个文件组成 ，第一个文件是加载程序 ，作为服务启动 ，加载程序解密第二个文件 ，然后在内存中执行该文件 ，此文件是远程会见木马（RAT）。据称Taidoor木马至少从2008年活跃至今 ，主要目的针对IT服务提供商。
【参考链接】
https://us-cert.cisa.gov/ncas/analysis-reports/ar20-216a
6. Black Hat 2020:使用僵尸网络使用能源市场获取高额利润
【概述】
Black Hat 2020聚会中研究职员提到一类新型的僵尸网络可能会被编组起来 ，通过耗电的毗连装备（如空调、洗碗机、加热器、烘干机和数字恒温器等）使用能源市场 ，举行漫衍式拒绝服务攻击和地雷加密钱币 ，可能会导致能源股指数上升或下降 ，从而为有恶意妄想的运营商提供赚钱的时机。
【参考链接】
7. NSO特工软件攻击多哥
【概述】
NSO特工软件被攻击者使用攻击多哥公民社会 ，其中包括天主教主教、牧师和阻挡派政治家。NSO特工软件产品通常被称为Pegasus ，是一种手机黑客工具 ，可获取对目的移动装备的完全会见权限 ，Pegasus允许攻击者提取密码、文件、照片、网络历史纪录、联系人以及身份数据等信息 ，Pegasus的目的包括亚洲 ，欧洲 ，中东和北美的数十个国家。
【参考链接】
https://citizenlab.ca/2020/08/nothing-sacred-nso-sypware-in-togo/
8. Canon遭勒索软件Maze攻击
【概述】
近期Canon集团遭受到勒索软件的Maze攻击 ，导致其在美国网站、电子邮件、协作平台和种种内部系统瘫痪。Maze勒索病毒（又名ChaCha）于2019年5月首次被发明 ，每次声称以窃取数据为目的 ，但受害者未支付赎金 ，通� ；岜恍孤痘虺鍪勖舾惺�。
【参考链接】
https://threatpost.com/canon-ransomware-attack-employee-note/158157/
9. 网络垂纶邮件挟制Microsoft 365帐户
【概述】
网络罪犯越来越多地冒充受信托的SaaS平台和供应商。最近 ，在一起垂纶攻击运动中 ，电子邮件中有许多试图诱使收件人单击恶意链接 ，该链接指向包括凭证网络恶意软件的页面 ，攻击者使用受熏染的Microsoft 365帐户在几个小时内会见多个其他帐户。
【参考链接】
https://www.darktrace.com/en/blog/phishing-from-the-inside-microsoft-365-account-hijack/
10. PyPI官方客栈遭request恶意包投毒
【概述】
攻击者将request恶意垂纶包上传至PyPI官方客栈 ，并通过该垂纶包实验窃取用户敏感信息及数字钱币密钥、莳植长期化后门、远程控制等一系列攻击运动。
【参考链接】
https://s.tencent.com//research/report/1073.html
