鑽石舞台

本周收錄安全熱點49項，話題集中在惡意程序、網絡攻擊方面，涉及的組織有：BlackCat、Twitter、GwisinLocker、VMware等。對此，360CERT建議使用360安全衛士進行病毒檢測、使用360安全分析響應平台進行威脅流量檢測，使用360城市級網絡安全監測服務QUAKE進行資產測繪，做好資產自查以及預防工作，以免遭受黑客攻擊。

2022年7月下旬，一位來自意大利的少年將許多包含勒索軟件程序的惡意 Python 包發布到 Python 包索引 (PyPI)。這些包的名稱是「requesys」、「requesrs」和「requesr」，它們都是「requests」的典型拼寫錯誤，「requests」是 Python 的一個有效且廣泛使用的 HTTP 庫。而這一行為的目的是作為勒索軟件攻擊研究項目的一項非惡意實驗。根據在 PyPI 上發現惡意代碼的 Sonatype 研究人員的說法，其中一個包 (requesys) 被下載了大約 258 次。黑客 Discord 頻道上的信息顯示，至少有 15 名受害者安裝並運行了這些軟件包。Sonatype 於 7 月 28 日發現了該病毒，並立即向 PyPI 當局報告。其中兩個包隨後被刪除。域名仿冒是目前最流行的惡意軟件攻擊策略之一。開發人員在獲取軟件包並將其集成到他們的軟件版本中時應始終謹慎行事。安全研究人員表示，開源既是數字創新的必要燃料，也是軟件供應鏈威脅的有吸引力的目標。

詳情

http://urlqh.cn/n0z1c

自2022年6月中旬以來，一個名為「RapperBot」的新殭屍網絡一直在攻擊中使用，重點是暴力破解進入Linux SSH服務器，以在設備上建立立足點。研究人員表明，RapperBot基於Mirai木馬，但偏離了原始惡意軟件的正常行為，即不受控制的傳播到儘可能多的設備。相反，RapperBot受到更嚴格的控制，DDoS功能有限，其操作似乎面向初始服務器訪問，可能被用作網絡內橫向移動的墊腳石。自被發現以來的過去1.5個月中，新的殭屍網絡使用全球3，500多個唯一IP來掃描和嘗試暴力破解Linux SSH服務器。

詳情

http://urlqh.cn/n2j0j

2022年8月3日，Malwarebytes Labs 的研究人員發布報告稱，未知攻擊者使用新型惡意軟件 Woody RAT攻擊俄羅斯實體，攻擊者可以遠程控制和竊取受感染設備的信息。Woody Rat 具有廣泛的功能，並且已被用於攻擊至少一年。該惡意軟件目前通過兩種分發方法通過網絡釣魚電子郵件傳遞到目標的計算機：包含惡意負載的 ZIP 存檔文件或利用 Follina 漏洞丟棄負載的「信息安全備忘錄」Microsoft Office 文檔。根據黑客註冊的虛假域，Malwarebytes Labs 的研究人員發現他們試圖針對一個名為 OAK的俄羅斯航空航天和國防實體。

詳情

http://urlqh.cn/n1W3y

2022年8月1日，一名為 Dee 的惡意軟件研究人員披露了一個假冒 Atomic 錢包官方門戶網站的虛假網站，實際上正在分發 Mars Stealer 信息竊取惡意軟件的副本。Atomic是一個流行的去中心化錢包，也是一個加密貨幣交換門戶網站。截止2022年8月4日，該假冒網站仍然在線，提供惡意軟件Mars Stealer的副本。Mars Stealer 是2022年7月左右出現的信息竊取器，它針對存儲在 Web 瀏覽器、加密貨幣擴展和錢包以及雙因素身份驗證插件上的帳戶憑據。建議用戶在下載加密貨幣錢包時，務必確保使用的是官方下載門戶，並且永遠不要信任社交媒體或即時消息平台上提供的鏈接。

詳情

http://urlqh.cn/mZDZf

一位軟件工程師在8月3日發現數以千計的GitHub存儲庫被複製，其克隆被更改以包含惡意軟件。雖然克隆開源存儲庫是一種常見的開發實踐，甚至在開發人員中也受到鼓勵，但這種情況涉及威脅行為者創建合法項目的副本，但用惡意代碼污染這些項目，以針對毫無戒心的開發人員的惡意克隆。GitHub 在收到工程師的報告後清除了大多數惡意存儲庫。就這項活動的時間線而言，絕大多數分叉存儲庫在上個月的某個時候被惡意代碼更改，結果從六到十三天到二十天前不等。但是，確實觀察到一些存儲庫的惡意提交可以追溯到2015年。請記住使用官方項目存儲庫中的軟件，並注意潛在的拼寫錯誤或存儲庫分叉/克隆，這些分叉/克隆可能看起來與原始項目相同但隱藏了惡意軟件。

詳情

http://urlqh.cn/mZAFJ

奧地利政府在7月底表示，它正在調查一家位於該國境內的公司，該公司涉嫌針對至少三個國家的律師事務所，銀行和諮詢公司開發間諜軟件。這一消息是在微軟的威脅情報中心（MSTIC）表示發現2021年和2022年部署的名為Subzero（CVE-2022-22047）的惡意軟件幾天後發布的。根據這家科技巨頭的說法，Subzero是由總部位於維也納的DSIRF公司開發的（由微軟以代號KNOTWEED跟蹤），並通過各種方法進行部署，包括Windows和Adobe Reader中的0零日漏洞利用。微軟的公告已將該公司與用於未經授權監視的間諜軟件的銷售聯繫起來。

詳情

http://urlqh.cn/mZN1O

ALPHV勒索軟件團伙（又名BlackCat）7月底聲稱對中歐國家的天然氣管道和電力網絡運營商Creos Luxembourg S.A.的網絡攻擊負責。Creos的所有者Encevo在五個歐盟國家擔任能源供應商，他於7月25日宣布，他們在7月22日至23日遭受了網絡攻擊。雖然網絡攻擊導致Encevo和Creos的客戶門戶變得不可用，但所提供的服務沒有中斷。7月28日，該公司發布了有關網絡攻擊的最新消息，調查結果顯示，網絡入侵者已從訪問的系統中泄露了「一定數量的數據」。ALPHV / BlackCat勒索軟件組織7月30日將Creos添加到其勒索網站，威脅要發布180，000個被盜文件，總面積為150 GB，包括合同，協議，護照，賬單和電子郵件。雖然沒有宣布實現這一威脅的確切時間，但黑客將在8月1日將披露這一消息。

詳情

http://urlqh.cn/n0mv9

1. 在網絡邊界部署安全設備，如防火牆、IDS、郵件網關等

2. 做好資產收集整理工作，關閉不必要且有風險的外網端口和服務，及時發現外網問題

3. 及時對系統及各個服務組件進行版本升級和補丁更新

4. 包括瀏覽器、郵件客戶端、vpn、遠程桌面等在內的個人應用程序，應及時更新到最新版本

5. 各主機安裝EDR產品，及時檢測威脅

6. 注重內部員工安全培訓

7. 不輕信網絡消息，不瀏覽不良網站、不隨意打開郵件附件，不隨意運行可執行程序

8. 勒索中招後，應及時斷網，並第一時間聯繫安全部門或公司進行應急處理

印第安納州的一家神經病學診所正在通知大約363，000人，他們的個人數據在最近的勒索軟件攻擊中被泄露，其中一些被發布在暗網上。尚未知道哪個勒索軟件組或數據泄漏站點，但是，俄羅斯勒索軟件Hive（這是最近醫療保健行業聯邦顧問的主題）在攻擊中被暗示。Hive一直在瘋狂地攻擊美國醫療保健行業。在5月20日發現攻擊，該診所立即採取措施保護其系統，並進行了取證分析和事件響應公司。古德曼·坎貝爾也通知了聯邦調查局。對該案件的調查顯示，惡意第三方從該診所的系統獲取了信息。黑客沒有訪問電子病歷系統，而是訪問了內部網絡中其他位置的患者信息和記錄，例如預約時間表，保險資格文檔和轉診表格。在攻擊中受到損害的信息包括出生日期，姓名，電話號碼，地址，電子郵件ID，醫療記錄號碼，患者帳號，醫生姓名，服務日期，診斷和治療信息，保險信息和社會安全號碼。

詳情

http://urlqh.cn/n1IIg

2022年8月5日，社交媒體公司Twitter表示，2021年 Twitter 軟件中的一個漏洞使未確定數量的匿名賬戶所有者面臨潛在的身份泄露風險，而現已發現這個漏洞被黑客利用。而早在2021年1月，一名安全研究人員發現了該漏洞，並通知了 Twitter。2021年6月，Twitter在其軟件更新中修復了該漏洞。Twitter沒有證實報道中所稱的有 540 萬用戶的數據因此被在線出售，但表示全球用戶都受到了影響。該漏洞允許某人在登錄期間確定特定電話號碼或電子郵件地址是否與現有 Twitter 帳戶相關聯，從而揭示帳戶所有者。這個漏洞影響嚴重，因為包括人權活動家在內的許多 Twitter 帳戶所有者出於安全原因而不會在其個人資料中披露其身份。Twitter建議這類匿名用戶不要在其 Twitter 帳戶中添加公開的電話號碼或電子郵件地址。

詳情

http://urlqh.cn/n2dPA

導彈製造商MBDA證實了與其業務相關的數據泄露，但否認了其網絡受到損害的說法。該公司表示，網絡犯罪分子在線宣傳的信息來自外部硬盤驅動器。MBDA是一家總部位於法國的大型跨國國防公司，擁有13，000多名員工。在網絡犯罪論壇上的一篇文章中，一群自稱「Adrastea」的「網絡安全領域的獨立專家和研究人員」聲稱他們破壞了公司的網絡，獲得了有關該公司與歐盟國防部合作的員工和項目的信息。發帖人聲稱有60 GB的數據。MBDA在其網站上發布的一份聲明中表示，它正在與意大利警方合作調查針對該公司的勒索計劃。

詳情

http://urlqh.cn/n0KWI

1. 及時備份數據並確保數據安全

2. 合理設置服務器端各種文件的訪問權限

3. 嚴格控制數據訪問權限

4. 及時檢查並刪除外泄敏感數據

5. 發生數據泄漏事件後，及時進行密碼更改等相關安全措施

6. 強烈建議數據庫等服務放置在外網無法訪問的位置，若必須放在公網，務必實施嚴格的訪問控制措施

2022年8月7日，ReversingLabs 網絡情報小組發現了一個名為「GwisinLocker」的品牌勒索軟件系列。根據分析，該勒索軟件主要攻擊韓國的基礎設施，例如醫療保健、製藥公司以及具有 Windows 和 Linux 加密器的行業，包括對 VMware ESXi 服務器和虛擬機的加密支持。該惡意軟件被稱為 GwisinLocker，於2022年 7 月 19 日由 ReversingLabs 網絡情報組首次檢測到GwisinLocker 是一種升級的高級惡意軟件變體，由黑客組織「Gwisin」創建，可能來源韓國。該組織經常在公共假期和凌晨（韓國時間）發動攻擊。與 GwisinLocker.Linux 相關的贖金記錄包含來自受感染環境的詳細內部信息。加密文件使用定製的文件擴展名，例如受害者公司的名稱。

詳情

http://urlqh.cn/n3sMW

2022年7月下旬，朝鮮 Lazarus 黑客組織發起了一項新的社會工程活動，冒充 Coinbase（世界上最大的加密貨幣交易平台之一） 瞄準金融科技行業的員工。作為社會工程攻擊的一部分，Lazarus 黑客組織假裝來自 Coinbase，提供虛假的「產品安全工程經理」的工作機會，以與受害者進行進一步交流。當受害者下載他們認為是關於工作職位的 PDF 文件時，他們實際上是在使用 PDF 圖標獲取惡意可執行文件。在這種情況下，該文件被命名為「Coinbase_online_careers_2022_07.exe」，該文件在執行時會顯示如下所示的誘餌 PDF 文檔，同時還會加載惡意 DLL。一旦執行，惡意軟件將使用 GitHub 作為命令和控制服務器來接收命令以在受感染的設備上執行。

詳情

http://urlqh.cn/n1mMB

攻擊者在一系列網絡釣魚攻擊中濫用Snapchat和美國運通網站上的開放重定向，以竊取Microsoft 365憑據。開放重定向是 Web 應用的弱點，允許威脅參與者將受信任組織和網站的域用作臨時登錄頁面，以簡化網絡釣魚攻擊。它們在攻擊中用於將目標重定向到惡意站點，這些惡意站點將感染惡意軟件或誘使他們交出敏感信息（例如，憑據，財務信息，個人信息）。根據Inky研究人員的說法，Snapchat開放重定向被用於G Suite發送的6，812封網絡釣魚電子郵件中，Microsoft 365在兩個半月內被劫持。這些電子郵件冒充了Microsoft，DocuSign和FedEx，並將收件人重定向到旨在收集Microsoft憑據的登錄頁面。

詳情

http://urlqh.cn/n1iGp

Meta（Facebook）發布了2022年第二季度的對抗性威脅報告，其中的亮點是發現了兩個網絡間諜集群，這些集群與使用新的Android惡意軟件的黑客組織「Bitter APT」和APT36（又名「透明部落」）相連。這些網絡間諜特工使用Facebook等社交媒體平台來收集情報（OSINT）或使用虛假角色與受害者交朋友，然後將他們拖到外部平台下載惡意軟件。今年早些時候，APT36和Bitter APT都被觀察到在策劃網絡間諜活動。巴基斯坦國家贊助的演員APT36在一場使用MFA繞過工具針對印度政府的運動中被曝光。在2022年5月還觀察到了Bitter APT，針對孟加拉國政府使用具有遠程文件執行功能的新惡意軟件。在Bitter APT攻擊活動中，研究人員發現了新的Android惡意軟件，並稱之為「Dracarys」，它濫用可訪問性服務，在未經用戶同意的情況下為自己提供更高的權限。

詳情

https://t.co/kHI9unEMCl

德國工商會協會（DIHK）被迫關閉其所有IT系統，並關閉數字服務，電話和電子郵件服務器，以應對網絡攻擊。DIHK是一個由79個商會組成的聯盟，代表德國境內的公司，擁有超過300萬會員，包括從該國小商店到大型企業的企業。該組織處理法律代表，諮詢，外貿促進，培訓，區域經濟發展，並為其成員提供一般支持服務。網絡攻擊發生8月3日，DIHK網站上發布的一份簡短聲明將關閉描述為一種預防措施，也是讓IT團隊有時間開發解決方案和建立防禦的一種方式。雖然網絡攻擊帶有勒索軟件的跡象，系統被關閉以防止惡意軟件的傳播，但這尚未得到官方證實。

詳情

http://urlqh.cn/n2YLI

威脅參與者利用過時的Atlassian Confluence服務器中的安全漏洞，針對研究和技術服務領域的未命名組織部署了前所未有的後門。該攻擊發生在五月底，歸因於網絡安全公司Deepwatch跟蹤的威脅活動集群，稱為TAC-040。有證據表明，威脅行為者使用Tomcat9的父進程執行惡意命令.exe Atlassian的Confluence目錄中。威脅參與者運行了各種命令來枚舉本地系統，網絡和Active Directory環境。疑似已被利用的 Atlassian 漏洞是 CVE-2022-26134，這是一個對象圖導航語言 （OGNL） 注入漏洞，為在 Confluence 服務器或數據中心實例上執行任意代碼鋪平了道路。該攻擊鏈還值得一提的是，在受感染的服務器上部署了一個名為Ljl Backdoor的以前未記錄的植入物。根據對網絡日誌的分析，估計在受害者使服務器脫機之前，大約有700MB的存檔數據已被泄露。

詳情

http://urlqh.cn/mZ7uU

2022年8月3日，Zscaler 的 ThreatLabz 研究人員發現，新出現的針對 Microsoft 電子郵件服務憑據的大規模網絡釣魚活動，使用的是基於代理的自定義網絡釣魚工具包來繞過多因素身份驗證。研究人員認為，該活動的目標是破壞公司賬戶以進行 BEC（商業電子郵件泄露）攻擊，使用偽造文件將付款轉移到他們控制的銀行賬戶。網絡釣魚活動的目標包括美國、英國、新西蘭和澳大利亞的金融科技、貸款、會計、保險和聯邦信用合作社組織。研究人員報告說該操作仍在進行中，網絡釣魚攻擊者幾乎每天都會註冊新的網絡釣魚域。

詳情

http://urlqh.cn/n3VUW

在8月3日的一份聲明中，Solana表示，在UTC時間凌晨5點，這次攻擊影響了超過7，700個錢包，包括Slope和Phantom。據公開報道，Solflare和Trust Wallet用戶也受到了影響。對Solana區塊鏈平台的一夜之間攻擊耗盡了數千個價值數百萬美元的加密貨幣軟件錢包。該平台已開始調查，目前正在試圖確定惡意行為者如何設法耗盡資金。區塊鏈分析提供商Elliptic最近的一項統計（大約一小時前）顯示，受影響的錢包數量接近7，936個，加密資產（SOL，NFT，超過300個基於Solana的代幣）的損失達到520萬美元。Solana表示，在這次攻擊中受到影響的錢包應該被視為受到損害，應該被硬件變體 - 冷錢包所放棄，這些錢包似乎不受影響。此舉的建議是不要重複使用助記詞，並為硬件錢包創建一個新助記詞。

詳情

http://urlqh.cn/n0yrO

2022年8月2日，西班牙媒體報告稱，隸屬於西班牙科學與創新部的機構高級科學研究委員會 (CSIC) 於 2022年 7 月 16 日至 17 日受到了勒索軟件類型的網絡攻擊。網絡攻擊於 7 月 18 日被發現，西班牙網絡安全運營中心 (COCS) 和國家密碼中心 (CCN) 標記的協議立即被激活。為減小攻擊影響和保證數據安全，目前各個中心的網絡訪問被切斷。在沒有最終調查報告的情況下，專家們指出網絡攻擊的源頭來自俄羅斯，並表示迄今為止，尚未發現敏感或機密信息的丟失或綁架。

詳情

http://urlqh.cn/mZrI8

趨勢科技研究人員分析了一種新的SolidBit勒索軟件變體的樣本，該變體針對流行視頻遊戲和社交媒體平台的用戶。該惡意軟件被上傳到GitHub，在那裡它被偽裝成不同的應用程序，包括英雄聯盟帳戶檢查器工具和Instagram關注者機器人，以吸引受害者。GitHub 上的英雄聯盟帳戶檢查器與一個文件捆綁在一起，其中包含有關如何使用該工具的說明，但這就是偽裝的程度：它沒有圖形用戶界面 （GUI） 或與其假定功能相關的任何其他行為。當毫無戒心的受害者運行應用程序時，它會自動執行丟棄勒索軟件的惡意PowerShell代碼。勒索軟件附帶的另一個文件名為「源代碼」，但這似乎與編譯的二進制文件不同。

詳情

http://urlqh.cn/n102C

2022年8月1日，德國電力電子製造商Semikron發布聲明表示，該公司遭到勒索軟件攻擊，該公司的 IT 系統和文件被部分加密。Semikron是世界領先的電力工程部件製造商之一，每年安裝的風力渦輪機中有 35% 使用其技術運行。根據德國聯邦信息安全辦公室 (Bundesamt für Sicherheit in der Informationstechnik) 發出的警報，勒索軟件運營商LV正在勒索該公司，並威脅要泄露據稱被盜的數據。LV勒索軟件運營商稱竊取了 2TB 的文件。目前，Semikron與德國當局正在調查相關細節。

詳情

http://urlqh.cn/mZK3d

加利福尼亞州一家T-Mobile零售店的前老闆被判犯有2500萬美元的計劃，他非法訪問T-Mobile的內部系統以解鎖和解鎖手機。據稱，44歲的Argishti Khudaverdyan在2014年至2019年期間實施了一項計劃，他從供應商的蜂窩網絡中解鎖設備，並使人們能夠與其他電信提供商一起使用。該計劃影響了以特價甚至免費向客戶提供這些設備的移動運營商，通過將設備鎖定在網絡中一段時間來抵消成本。此外，Khudaverdyan解鎖了運營商阻止的設備，因為它們的合法所有者報告它們被盜或丟失。這種解鎖被盜手機的行為特別有害，因為它允許這些手機在黑市上出售，使設備的盜竊和轉售非常有利可圖。

詳情

http://urlqh.cn/n0KSA

今年第二季度開始，綠盟科技伏影實驗室發現APT組織Gamaredon開始頻繁使用多種不同類型的攻擊方式對烏克蘭赫爾松州、頓涅茨克州等地區的軍方和警方目標進行網絡攻擊。在該攻擊周期中，Gamaredon主要使用了惡意office文檔、惡意htm附件、惡意SFX文件等攻擊工具，配合精心設計的誘餌信息，組合成三類不同的攻擊流程。跟蹤分析發現，Gamaredon在7月下旬明顯增加了各類攻擊活動的頻度，誘餌投遞數量達到新的高峰。結合Gamaredon以往攻擊行為與時事發展，推測7月下旬的第二次攻擊高峰，可能標誌着俄軍新動作的到來。

詳情

http://urlqh.cn/n2EYs

兩家位於盧森堡的公司正在努力應對2022年7月下旬遭受的勒索軟件攻擊，這是涉及歐洲能源公司的一系列事件中的最新一起。Encevo Group 表示，其盧森堡實體 Creos（一家能源網絡運營商）和供應商 Enovos 於2022年7月22日晚遭受網絡攻擊，此次攻擊關閉了兩家公司的客戶門戶網站，但並未影響電力和天然氣的供應。專家表示，此次攻擊的幕後黑手是Alphv 勒索軟件組織。該組織聲稱竊取了 150 GB 的數據，這些數據包括合同、護照、賬單和電子郵件。針對歐洲能源公司的攻擊在2022年顯着增加，德國風電場運營商 Deutsche Windtechnik於 4 月因網絡攻擊而癱瘓，而德國風力渦輪機製造商 Nordex在 3 月 31 日遭受網絡攻擊後被迫關閉其多個地點和業務部門的 IT 系統。

詳情

http://urlqh.cn/n0G6i

1. 積極開展外網滲透測試工作，提前發現系統問題

2. 減少外網資源和不相關的業務，降低被攻擊的風險

3. 做好產品自動告警措施

4. 及時對系統及各個服務組件進行版本升級和補丁更新

5. 包括瀏覽器、郵件客戶端、vpn、遠程桌面等在內的個人應用程序，應及時更新到最新版本

6. 注重內部員工安全培訓

2022年8月5日，安全和應用交付解決方案提供商 F5 發布了 2022 年 8 月的季度安全通知，向客戶通報了影響 BIG-IP 和其他產品的 21 個漏洞。此次漏洞包含了十幾個高嚴重性漏洞以及8個中等嚴重性和1個低嚴重性漏洞。黑客可利用高嚴重性漏洞繞過安全限制、執行任意系統命令、導致拒絕服務 (DoS) 條件以及提升權限。超過一半的漏洞，可以在沒有身份驗證的情況下被遠程利用。其中一些漏洞與流量管理微內核 (TMM) 組件有關。中等嚴重程度的漏洞可能導致 DoS、信息泄露、流量攔截和安全繞過，但大多數都需要身份驗證和網絡訪問。建議組織審查 F5 的建議並安裝更新。

詳情

http://urlqh.cn/n2BFp

網絡安全和基礎設施安全局（CISA）已將Zimbra CVE-2022-27824漏洞添加到其「已知利用漏洞目錄」中，表明它在黑客攻擊中被積極利用。此高嚴重性漏洞允許未經身份驗證的攻擊者從 Zimbra 協作實例中竊取純文本形式的電子郵件帳戶憑據，而無需用戶交互。黑客可以通過CRLF注入執行Memcache中毒，並在合法用戶嘗試登錄時誘使軟件將所有IMAP流量轉發給攻擊者。SonarSource的研究人員於2022年3月11日發現了該漏洞，軟件供應商於2022年5月10日發布了一個修復程序，解決了這些問題，版本為ZCS 9.0.0 Patch 24.1和ZCS 8.8.15 Patch 31.1。CISA 將 CVE-2022-27824 添加到積極利用的漏洞目錄中，這促使美國所有聯邦機構有義務在 2022 年 8 月 25 日（即本案設定的截止日期）之前應用可用的安全更新。

詳情

http://urlqh.cn/n38XO

2022年8月4日，Trellix 的研究人員發現了一個嚴重的未經身份驗證的遠程代碼執行 (RCE) 漏洞，該漏洞影響了 DrayTek Vigor 系列商業路由器的 29 種型號。DrayTek Vigor 設備在疫情期間因「在家工作」而變得非常流行。全球有超過 700,000 台DrayTek Vigor在線設備，大部分位於英國、越南、荷蘭和澳大利亞。該漏洞被跟蹤為 CVE-2022-32548，CVSS v3 嚴重性評分最高為 10.0，將其歸類為嚴重。攻擊者不需要憑據或用戶交互即可利用該漏洞，默認設備配置使攻擊可以通過 Internet 和 LAN 進行。

詳情

http://urlqh.cn/n1pxA

思科修復了影響小型企業 VPN 路由器的關鍵安全漏洞（CVE-2022-20842和CVE-2022-20827），這兩個安全漏洞是在基於Web的管理界面和Web過濾器數據庫更新功能中發現的，並且都是由輸入驗證不足引起的。CVE-2022-20827 漏洞通過向 Web 篩選器數據庫更新功能提交精心編制的輸入，可以讓威脅參與者「以 root 權限在基礎操作系統上執行命令」。受這些錯誤影響的路由器的完整列表包括小型企業 RV160、RV260、RV340 和 RV345 系列 VPN 路由器（CVE-2022-20842 僅影響最後兩個）。這兩個缺陷都可以遠程利用，而無需在不需要用戶交互的攻擊中進行身份驗證。思科已經發布了軟件更新來解決這兩個漏洞，並表示沒有解決方法來消除攻擊媒介。

詳情

http://urlqh.cn/n31B3

2022年8月2日，VMware發布了一個緊急的高優先級補丁，以解決其 Workspace ONE Access、Identity Manager 和 vRealize Automation 產品中的身份驗證繞過漏洞，漏洞編號為 CVE-2022-31656。VMware Workspace ONE Access、Identity Manager 和 vRealize Automation 包含一個影響本地域用戶的身份驗證繞過漏洞，具有網絡訪問 UI 的惡意行為者可能無需進行身份驗證即可獲得管理訪問權限，CVSSv3 基本評分為 9.8，建議用戶立即修復。目前尚未發現該漏洞有在野利用，但VMware 確認此漏洞是先前修補的問題 (VMSA-2022-0014) 的變體，其中有公開可用的利用代碼。

詳情

http://urlqh.cn/n16hP

加密平台Nomad 8月1日晚上被搶走了超過1.56億美元的加密貨幣，此前數十名黑客發現並利用了最近更新中的漏洞。

Nomad是一家促進Avalanche（AVAX），以太坊（ETH），Evmos（EVMOS）等不同區塊鏈之間加密貨幣交易的公司，最近在其平台上進行了更新，導致了該漏洞。8月2日上午，該公司表示已通知執法部門，並聘請安全公司協助調查。這次攻擊還對其他加密平台產生了潛在的影響。區塊鏈安全公司Elliptic告訴The Record，它發現了40多個漏洞利用者和200多個惡意合同，以自動化漏洞利用。截至8月2日中午，Elliptic表示只剩下15，000美元的加密資產。

詳情

http://urlqh.cn/n0qXx

安全研究人員發現了一個名為ParseThru的新漏洞，該漏洞影響了基於Golang的應用程序，這些應用程序可能會被濫用以未經授權訪問基於雲的應用程序。由於使用了該語言中內置的不安全URL解析方法，新發現的漏洞允許威脅行為者在某些情況下繞過驗證，問題的核心是與Golang的URL解析邏輯（在「net/url」庫中實現）引入的更改引起的不一致有關。Oxeye表示，它在Harbor，Traefik和Skipper等開源項目中發現了ParseThru的幾個實例，這使得繞過現有的驗證並執行未經授權的行動成為可能。在向相關供應商負責任地披露後，這些問題已得到解決。這不是 URL 解析第一次帶來安全問題。今年一月早些時候，Claroty和Snyk披露了用C，JavaScript，PHP，Python和Ruby語言編寫的第三方庫中多達八個缺陷，這些缺陷源於URL解析中的混亂。

詳情

http://urlqh.cn/mZptR

1. 及時對系統及各個服務組件進行版本升級和補丁更新

2. 包括瀏覽器、郵件客戶端、vpn、遠程桌面等在內的個人應用程序，應及時更新到最新版本

2022年8月4日，網絡安全公司Mandiant發布報告，將7月中旬摧毀阿爾巴尼亞政府網絡並切斷公共服務的勒索軟件攻擊歸咎於伊朗黑客組織。2022 年 7 月中旬，Mandiant 發現了一個名為 ROADSWEEP 的新勒索軟件家族，該家族發布了一個以政治為主題的勒索字條，暗示它針對的是阿爾巴尼亞政府。2022 年 7 月 18 日，阿爾巴尼亞政府發表聲明，宣布由於破壞性網絡活動，它不得不「暫時關閉對在線公共服務和其他政府網站的訪問」。一個名為「HomeLand Justice」的組織聲稱對此次破壞性活動負責。以前未知的後門 CHIMNEYSWEEP 和 ZEROCLEAR 雨刷器的新變體也可能參與其中。Mandiant還稱這項活動是伊朗破壞性網絡行動的地理擴張，針對北約成員國進行。阿爾巴尼亞是北約成員國，黑客對中東目標關注不斷升級。

詳情

https://t.co/fG86aUhXtq

2022年8月4日，谷歌開源了一個名為Paranoid的新工具，可以用來檢查加密工件中的漏洞，如公鑰、數字簽名和一般偽隨機數。使用 Paranoid，可以測試任何加密工件，但其主要動機是檢測弱第三方硬件或軟件黑盒的使用情況。因此，即使是在無法檢查源代碼的情況下，也可以使用 Paranoid。Paranoid項目旨在檢測已知漏洞和未知漏洞。例如，Paranoid試圖識別由編程錯誤或使用弱專有隨機數生成器引起的漏洞。檢測新漏洞比檢測已知漏洞更加困難，因此這樣的檢測可能需要大量的偽像，或者僅以低概率找到弱偽像。

詳情

http://urlqh.cn/n2mId

2022年8月4日，Meta表示，在俄烏戰爭後幾天曝光的親俄巨魔行動背後的組織「Cyber Front Z」非常笨拙，不是「團隊」工作。Cyber Front Z 在 Telegram 上仍然很活躍，截至2022年 8 月 4 日有 110,692 名訂閱者。Meta將Cyber Front Z描述為「通過電報渠道公開協調的一次拙劣的嘗試，目的是通過使用假賬戶發布影響者和媒體對內容的親俄評論，營造一種草根在線支持俄羅斯入侵的感覺。」Meta該表示，最終該組織似乎並沒有那麼成功，並且似乎在後端偽造參與以糊弄他們的僱主。

詳情

http://urlqh.cn/n0fq8

2022年8月4日，美國網絡安全諮詢 (CSA) 由網絡安全和基礎設施安全局 ( CISA ) 和澳大利亞網絡安全中心 ( ACSC ) 發布聯合公告，提供了有關 2021 年觀察到的主要惡意軟件的詳細信息。2021 年排名靠前的惡意軟件包括：Agent Tesla、AZORult、Formbook、Ursnif、LokiBot、MOUSEISLAND、NanoCore、Qakbot、Remcos、TrickBot 和 GootLoader等。2021 年，最常見的惡意軟件包括遠程訪問木馬 (RAT)、銀行木馬、信息竊取程序和勒索軟件。大多數頂級惡意軟件已經使用了五年多，它們各自的代碼庫演變成多種變體。最多產的惡意軟件用戶是網絡犯罪分子，他們使用惡意軟件傳播勒索軟件或幫助盜竊個人和財務信息。

詳情

http://urlqh.cn/mZySp

安全研究人員發現了一種名為Dark Utilities的新服務，該服務為網絡犯罪分子提供了一種簡單而廉價的方式，可以為其惡意操作建立命令和控制（C2）中心。Dark Utilities 服務為威脅參與者提供了一個支持基於 Windows、Linux 和 Python 的有效負載的平台，並消除了與實現 C2 通信通道相關的工作。C2服務器是攻擊者在野外控制其惡意軟件，發送命令，配置和新有效負載以及接收從受感染系統收集的數據的方式。Dark Utilities運營是一個「C2即服務」（C2aaS），匿名的C2基礎設施和所有必需的附加功能，起價僅為9，99歐元。

詳情

http://urlqh.cn/n1JVz

大西洋兩岸的政界人士正在討論更強有力的反壟斷立法，以規範大型科技公司。這些法律是非常需要的，因為微軟阻止Tutanota用戶註冊團隊帳戶的例子證明了這一點。問題在於：大型科技公司擁有市場力量，可以通過一些非常簡單的步驟來傷害較小的競爭對手，例如拒絕小公司的客戶使用自己的服務。微軟正在積極阻止Tutanota電子郵件地址註冊Microsoft Teams帳戶。這種嚴重的反競爭做法迫使Tutanota的客戶註冊第二個電子郵件地址（ 可能是來自 Microsoft 自己的電子郵件地址） 來創建團隊帳戶。

詳情

http://urlqh.cn/n0sXI

2022年8月3日，美國國務院「網絡空間和數字政策大使」納撒尼爾·菲克（Nathaniel Fick）面臨參議院外交委員會的提問稱，如果得到確認，將制定一個範圍廣泛的議程。在政策方面，Nathaniel Fick表示，他將尋求「加強遵守聯合國概述的負責任的國家行為框架」，以應對網絡惡意行為，推廣基於規範的模式來阻止不良行為。同時將促進美國公司及其工作人員可以競爭的數字經濟——包括保護跨境數據的自由流動，保護用戶的隱私和信息的完整性。最後，還將「倡導數字自由的積極願景」，以對抗數字威權主義的興起。

詳情

http://urlqh.cn/n1g3Z

印度政府已經撤回了期待已久的《個人數據保護法案》（Personal Data Protection Bill），該法案引起了幾位隱私倡導者和科技巨頭的審查，他們擔心這項立法可能會限制他們管理敏感信息的方式，同時賦予政府廣泛的權力來訪問它。此舉令人驚訝，因為立法者最近表示，2019年公布的該法案可能很快就會看到「曙光」。新德里收到了來自一個議會小組的數十項修正案和建議，其中包括總理納倫德拉·莫迪（Narendra Modi）執政黨的立法者，這些修正案和建議「確定了許多相關但超出現代數字隱私法範圍的問題。《個人數據保護法案》旨在賦予印度公民與其數據相關的權利。印度是全球第二大互聯網市場，在過去十年中，隨着數百名公民首次上網並開始消費數十個應用程序，個人數據呈爆炸式增長。但是，個人、私營公司和政府機構對它擁有多大的權力一直存在不確定性。

詳情

http://urlqh.cn/mZaOj

2022年7月30日，KU Leuven 研究人員 Wouter Castryck 和 Thomas Decru發布論文稱，他們使用運行英特爾至強 CPU 的計算機在一小時內輕鬆破解了一種後期候選加密算法SIKE。SIKE是Supersingular Isogeny Key Encapsulation （超奇異同構密鑰封裝）的縮寫，它進入了美國商務部國家標準與技術研究院 (NIST)的第四輪後量子密碼學 (PQC) 標準化過程，旨在抵禦未來強大的量子計算機的解密。在單核上運行，附加的Magma代碼分別在大約 4 分鐘和 6 分鐘內打破了 Microsoft SIKE 挑戰$IKEp182 和 $IKEp217。SIKEp434 參數的運行，以前被認為符合 NIST 的量子安全級別 1，大約需要 62 分鐘，再次在單個核心上運行。除了 SIKE 之外，還有其他基於同源的密碼系統，例如B-SIDH也被破解了。研究人員表示，雖然可以更新 SIDH 以修復密鑰恢復攻擊的新線路，但預計需要一段時間做進一步分析和檢查。

詳情

http://urlqh.cn/n22GU

烏克蘭網絡警察（SSU）已經關閉了一個由100萬個機器人組成的大型機器人農場，這些機器人用於在社交網絡上傳播虛假信息。機器人農場的目標是詆毀來自烏克蘭官方來源的信息，破壞該國的社會和政治局勢的穩定，並製造內部衝突。機器人傳播的信息符合俄羅斯的宣傳，因此虛假信息機的操作員被認為是俄羅斯特種部隊的成員。被SSU拆除的機器人農場位於基輔，哈爾科夫和文尼察，依靠100萬個機器人傳播虛假信息。為了創建這個在線軍隊，威脅行為者使用5000張SIM卡來註冊新的社交媒體帳戶。此外，運營商使用了200個代理服務器，這些服務器欺騙了實際的IP地址，並逃避了社交媒體平台對欺詐活動和阻止的檢測。

詳情

http://urlqh.cn/n3BfS

2022年8月2日，Microsoft 已向 Beta 頻道發布了新的 Windows 11 版本，並改進了 Microsoft Defender for Endpoint 勒索軟件攻擊攔截功能。從構建22621.450 和 22622.450開始，企業端點安全平台在檢測和攔截 Redmond 的能力增強。新版本還增加了其他幾項改進，包括在低帶寬或擁塞的廣域網 (WAN) 上的存儲複製，以及在配置了服務器消息塊 (SMB) 壓縮的情況下的文件壓縮。

詳情

http://urlqh.cn/n16RO

2022年7月下旬，一群烏克蘭激進分子最近正在進行一種在俄羅斯傳播未經審查的信息的簡單但可能有效的方法：將種子與假裝包含安裝說明的文本和視頻文件捆綁在一起。該行動被命名為「真理的洪流」（Torrents of Truth），旨在幫助突破俄羅斯宣傳並讓人們了解烏克蘭正在發生的事情。種子文件包含一個文本文件，其中包含俄羅斯人可以信任的可信新聞來源列表以及下載和安裝 VPN 以確保 ISP 匿名的說明。目前，Torrents of Truth 已將 21 個種子與文本和視頻捆綁在一起，選擇剛上映的電影、熱門節目的最新劇集和專業級軟件工具。標題所承諾的實際內容也包含在洪流文件中，這些烏克蘭激進分子偷偷地將一些未過審新聞也包含在內，這也確保了他們的種子不會被識別為假貨並從跟蹤器中刪除。

詳情

http://urlqh.cn/n1jqt

網絡安全公司 CloudSEK檢查了大型應用程序集是否存在潛在數據泄漏後，發現 3,207 個應用程序泄露了 Twitter API 的有效消費者密鑰。這可能使黑客能夠接管與該應用程序關聯的用戶 Twitter 帳戶。CloudSEK 表示，API 密鑰的泄漏通常是由於應用程序開發人員將其身份驗證密鑰嵌入 Twitter API 但在發布移動設備時忘記刪除它們的錯誤造成的。在將移動應用程序與 Twitter 集成時，開發人員將獲得特殊的身份驗證密鑰或令牌，允許他們的移動應用程序與 Twitter API 交互。當用戶將其 Twitter 帳戶與此移動應用程序相關聯時，這些密鑰還將使應用程序能夠代表用戶執行操作，例如通過 Twitter 登錄、創建推文、發送 DM 等。由於訪問這些身份驗證密鑰可以允許任何人作為關聯的 Twitter 用戶執行操作，因此不建議將密鑰直接存儲在黑客可以找到的移動應用程序中。

詳情

http://urlqh.cn/n3r3A

2022年2月，以色列商業日報 Calcalist 發布報道稱，以色列警方使用了由以色列 NSO 集團開發的有爭議的技術 Pegasus 來監視公眾人物。Pegasus 是一個竊聽間諜軟件，可以滲透到目標的手機並掃描其內容，包括消息、照片、聯繫人和位置歷史記錄——而目標卻不知道或採取任何行動。報道發布後，以色列政府隨機開展調查。2022年8月1日，以色列政府表示，「沒有跡象表明」以色列警方在沒有司法命令的情況下使用先進技術侵入個人手機。但當警方使用該技術時，收到了搜查令未涵蓋的過多信息。雖然沒有跡象表明警方使用了過多的信息，但其獲取行為是「違反權威」。以色列民權協會表示，此次調查結果引發了公民對隱私和嫌疑人權利的擔憂。它呼籲當局禁止警方使用此類技術，直到實施詳細的立法來管理其使用。

詳情

http://urlqh.cn/mYu2B

烏克蘭和俄羅斯都已進入加密貨幣市場，為他們的軍事努力籌集資金。根據區塊鏈研究公司Chainalysis發布的一份報告，親俄團體主要在比特幣和以太坊上籌集了220萬美元，以幫助為戰爭提供資金。加密貨幣是俄羅斯一種有吸引力的交換媒介，在制裁和切斷國際支付系統接入之後，盧布的價值已經下降。數字貨幣也受到較少的監管，並允許人們從世界任何地方匿名快速轉移資金。根據Chainalysis的說法，這些資金被發送給54個親俄團體，這些團體主要利用這些捐款來資助親俄宣傳網站和購買軍事裝備，包括無人機，武器，防彈背心和通信設備。據稱，這些設備被運送到位於烏克蘭頓巴斯地區的俄羅斯軍隊，那裡正在發生激烈的戰鬥。

詳情

http://urlqh.cn/n2i9L

2022年7月下旬，印度尼西亞通信和信息技術部 Kominfo 規定禁止訪問未在 2022 年 7 月 27 日之前在該國新許可平台上註冊的互聯網服務和內容提供商，這些服務提供商包括雅虎、Steam 和 PayPal。印度尼西亞數百萬的玩家也不能訪問戰網、Epic Games 和其他遊戲門戶。由於此次限制訪問，印度尼西亞的許多 PayPal 用戶被鎖定在他們的賬戶和資金之外。2021年，印度尼西亞信息技術部推出的該項監管框架是作為內容控制系統提出的，據說是為了保護國家安全和防止假新聞傳播而引入的。該法規要求所有互聯網服務提供商強制註冊到一個新的許可平台，允許他們在該國合法運營。未註冊者將被視為非法實體，將被禁止訪問印尼互聯網。截至2022 年 7 月 27 日，大約有 200 家國際和 8,000 家印度尼西亞國內的在線服務提供商進行了註冊，包括谷歌、Meta、TikTok、Instagram 和 Spotify。

詳情

http://urlqh.cn/n161j

Raccoon Stealer還命名為Legion，Mohazo和Racealer，這是一種高風險的木馬類型的應用程序，可以攻擊系統並竊取個人憑據，並在網絡犯罪論壇上傳播第二個升級版本，為黑客提供了提升的密碼竊取功能和高級操作能力。該木馬的服務由黑客論壇上的各種黑客團體提供，當安裝在一個人的系統上時，可能會導致各種網絡問題。浣熊偷竊者行動於2022年3月被撤銷，當時其運營商報告說，該論壇的主要開發人員之一在俄羅斯入侵烏克蘭期間被殺。此外，該團隊承諾將推出具有更多功能的第二個升級版本。Raccoon Stealer 2.0使用虛假的Malwarebytes網站來竊取個人信息，包括基本系統指紋信息，瀏覽器密碼，Cookie，自動填充數據，保存的信用卡，瀏覽器密碼，Cookie和自動填充數據以及保存的信用卡。

詳情

http://urlqh.cn/n2eJu

安全研究人員通過在線和電話渠道發現了針對歐洲受害者的大規模投資欺詐活動。Ib集團看到的「巨大的網絡基礎設施」覆蓋了超過10，000個為英國，比利時，荷蘭，德國，波蘭，葡萄牙，挪威，瑞典和捷克共和國的用戶本地化的流氓網站。受害者首先被Facebook和YouTube等受感染的社交媒體帳戶上有關虛假投資計劃的帖子所吸引。通常使用本地或全球名人的圖像來使騙局看起來更合法。點擊帖子將把他們帶到一個虛假的經紀人網站，該網站將具有高質量的設計。一旦受害者登陸虛假經紀人網站，他們將看到各種虛假信息，這些人已經'成功'交易並正在兌現。目前參與該運動的11，197個域名中，有5000多個域名在撰寫本文時仍然活躍。

詳情

http://urlqh.cn/n0xlY

若想了解更多信息或有相關業務需求，可移步至http://360.net

360CERT的安全分析人員利用360安全大腦的QUAKE資產測繪平台(quake.360.cn)，通過資產測繪技術的方式，對該漏洞進行監測。可聯繫相關產品區域負責人或(quake#360.cn)獲取對應產品。

360安全大腦的安全分析響應平台通過網絡流量檢測、多傳感器數據融合關聯分析手段，對網絡攻擊進行實時檢測和阻斷，請用戶聯繫相關產品區域負責人或(shaoyulong#360.cn)獲取對應產品。

針對以上安全事件，360cert建議廣大用戶使用360安全衛士定期對設備進行安全檢測，以做好資產自查以及防護工作。

2022-08-08 360CERT發布安全事件周報

一直以來，360CERT對全球重要網絡安全事件進行快速通報、應急響應。為更好地為政企用戶提供最新漏洞以及信息安全事件的安全通告服務，現360CERT推出了安全通告特製版報告訂閱服務，以便用戶做資料留存、傳閱研究與查詢驗證。

今後特製報告將不再提供公開下載，用戶可掃描下方二維碼進行服務訂閱。