本周威脅情報2020/12/7-13(第329期)

補上本周

高級威脅分析

1、APT34/OilRig新的樣本以及歸因分析，「老籤名」對應疑似APT34人員「

Iamfarhadzadeh」。

https://www.telsy.com/when-a-false-flag-doesnt-work-exploring-the-digital-crime-underground-at-campaign-preparation-stage/

https://www.telsy.com/wp-content/uploads/ATR_82599-1.pdf

2、俄羅斯APT使用COVID-19誘餌釋放Zebrocy特馬，這個是Go版本的Zebrocy的COVID-19網絡釣魚誘餌，攻擊目標之一是中國的一家醫療疫苗公司

https://www.intezer.com/blog/research/russian-apt-uses-covid-19-lures-to-deliver-zebrocy/

3、Facebook追蹤越南的APT組織「 OceanLotus」,並關閉該組織多個favebook帳號，重點：Facebook表示，它已經發現先前歸因於OceanLotus的網絡攻擊與一家名為CyberOne Group的越南公司之間的聯繫，該公司在胡志明市商業區的一條路邊列出了一個地址。

https://www.reuters.com/article/facebook-vietnam-cyber-idCAKBN28L03Y

4、Domestic Kitten組織（APT-C-50）針對中東地區反政府群體的監控活動

    Domestic Kitten組織（APT-C-50）最早被國外安全廠商披露，自2016年以來一直在進行廣泛而有針對性的攻擊，攻擊目標包括中東某國內部持不同政見者和反對派力量，以及ISIS的擁護者和主要定居在中東某國西部的庫德少數民族。值得注意的是，所有攻擊目標都是中東某國公民。伊斯蘭革命衛隊（IRGC）、情報部、內政部等中東某國政府機構可能為該組織提供支持。

    2020年9月27日，亞美尼亞與亞塞拜然之間的衝突升級，在納戈爾諾-卡拉巴赫地區交戰，敵對雙方持續發生激烈戰鬥，並且造成數十人傷亡。亞美尼亞與亞塞拜然之間存在領土爭端多年，最近再次爆發了近年最嚴重的衝突。由於中東某國與衝突兩國的共同邊界，中東某國的角色和當局的決定對此次衝突來說非常敏感。儘管中東某國對最近的緊張局勢持中立態度以及外交部要求克制和和平解決衝突的堅定立場，但中東某國國內某些團體、民間社會組織和中東某國議會議員呼籲支持亞塞拜然。或許正是這些原因，為了防止可能對中東某國政權穩定構成威脅，我們觀察到Domestic Kitten組織再次發起了攻擊行動。

    Domestic Kitten組織此次攻擊活動中使用了移動端攻擊武器，偽裝成居魯士大帝和Mohsen Restaurant相關APP，從代碼結構和功能上與商業監控軟體KidLogger高度相似。我們在此次攻擊活動中發現了一名活動在中東某國的疑似受害者，其可能參與了反政府相關活動。

https://blogs.360.cn/post/APT-C-50.html

5、火眼被APT組織入侵

https://www.fireeye.com/blog/products-and-services/2020/12/fireeye-shares-details-of-recent-cyber-attack-actions-to-protect-community.html

洩露的紅隊工具

https://github.com/fireeye/red_team_tool_countermeasures

6、某兔攻擊分析

https://insight-jp.nttsecurity.com/post/102glv5/pandas-new-arsenal-part-3-smanager

7、與哈馬斯有關的黑客使用的新後門濫用Facebook、Dropbox

https://www.cybereason.com/hubfs/dam/collateral/reports/Molerats-in-the-Cloud-New-Malware-Arsenal-Abuses-Cloud-Platforms-in-Middle-East-Espionage-Campaign.pdf

https://threatpost.com/molerats-apt-espionage-facebook-dropbox/162162/

8、X兔

https://www.welivesecurity.com/2020/12/10/luckymouse-ta428-compromise-able-desktop/

9、X兔

https://decoded.avast.io/luigicamastra/apt-group-targeting-governmental-agencies-in-east-asia/

技術分享

1、C2-JARM TOOLS

https://github.com/cedowens/C2-JARM

2、Adrozek的新惡意軟體，該惡意軟體會感染設備並通過更改設置來劫持Chrome，Edge和Firefox瀏覽器。厲害了，除了做瀏覽器劫持做廣告，還可以獲取海量用戶瀏覽器隱私。

    文中技術分析還是不錯的。

https://www.microsoft.com/security/blog/2020/12/10/widespread-malware-campaign-seeks-to-silently-inject-ads-into-search-results-affects-multiple-browsers/

3、Palo Alto Networks 42部門的研究人員報告說，njRAT遠程訪問特洛伊木馬（RAT）（又名Bladabindi）背後的運營商正在利用Pastebin命令和控制隧道來避免檢測。，動式Pastebin C2隧道

https://www.hackread.com/hackers-pastebin-commands-njrat-bladabindi-trojan/

https://unit42.paloaltonetworks.com/njrat-pastebin-command-and-control/

4、利用CSS腳本釋放惡意軟體

https://www.zdnet.com/article/hackers-hide-web-skimmer-inside-a-websites-css-files/

5、PDF注射，可以XSS，利用PDF釣魚非常好用。惡意黑客能夠將PDF代碼注入「逃避對象，劫持連結，甚至執行任意JavaScript」到PDF文件中。

https://portswigger.net/research/portable-data-exfiltration

6、Microsoft詳細計劃提高Internet路由的安全性；1、RPKI（資源公鑰基礎結構）來源驗證；路線對象驗證；加強與對等網絡和註冊表的協作

https://azure.microsoft.com/en-us/blog/microsoft-introduces-steps-to-improve-internet-routing-security/

7、西門子樓漏洞本月的集合，非常不錯

https://www.se.com/ww/en/work/support/cybersecurity/security-notifications.jsp

漏洞相關

1、CVE-2020-29563，Western Digital My Cloud OS 5設備上發現一個問題。NAS Admin身份驗證繞過漏洞可能允許未經身份驗證的用戶訪問設備。

https://cvepremium.circl.lu/cve/CVE-2020-29563

2、牛逼工控漏洞，大網探測下？NI CompactRIO控制器漏洞可能導致生產中斷，在美國國家儀器公司的CompactRIO產品，堅固耐用，實時控制器，可提供高性能的處理能力，傳感器專用空調的I / O，以及一個緊密集成的軟體工具鏈，使它們非常適用於物聯網的產業網絡（IIoT），監控，和控制應用程式。CISA發布漏洞預警

https://us-cert.cisa.gov/ics/advisories/icsa-20-338-01

3、思科Jabber中的嚴重RCE漏洞。該漏洞會影響Windows，macOS和移動平臺的多個版本的Cisco Jabber。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-jabber-ZktzjpgO#details

4、Kerberos Bronze Bit攻擊CVE-2020-17049 POC釋放。可以繞過Windows環境中的Kerberos身份驗證協議

https://github.com/SecureAuthCorp/impacket/pull/1013

5、Apache Software Foundation發布Struts 2中與OGNL技術有關的遠程代碼執行漏洞解決方案。CVE-2020-17530。CVE-2019-0230與CVE-2020-17530類似

https://github.com/cellanu/cve-2019-0230

https://cwiki.apache.org/confluence/display/WW/S2-061

6、OpenSSL項目在TLS / SSL工具箱中披露了一個嚴重的安全漏洞，使用戶容易受到拒絕服務（DoS）攻擊

https://www.openssl.org/news/secadv/20201208.txt

7、Digital Defense的安全研究人員發現了D-Link VPN路由器中的三個漏洞，包括命令注入漏洞和經過身份驗證的crontab注入漏洞。

    專家最初發現了運行固件版本3.17的DSR-250路由器家族中的缺陷，進一步的調查使專家能夠確定這些漏洞還影響了其他設備，包括D-Link DSR-150，DSR-250，DSR-500和DSR。-1000AC VPN路由器，運行固件版本3.17和更低版本

https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10195

8、Microsoft Teams中可蠕蟲，跨平臺漏洞的技術詳細信息。

「重要的欺騙」-Microsoft Teams中的零點擊，可蠕蟲，跨平臺遠程代碼執行

https://github.com/oskarsve/ms-teams-rce/blob/main/README.md

9、思科發布了安全更新，修復了多個預身份驗證RCE漏洞，並利用了影響Cisco Security Manager的公共漏洞。Cisco Security Manager中的漏洞可能允許未經身份驗證的遠程攻擊者訪問受影響系統上的敏感信息。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-rce-8gjUz9fW

10、我們發現兩個最大的銷售點（PoS）供應商存在嚴重漏洞：Verifone和Ingenico。受影響的設備是Verifone VX520，Verifone MX系列和Ingenico Telium 2系列。

    通過使用默認密碼，我們能夠通過二進位漏洞（例如，堆棧溢出和緩衝區溢出）執行任意代碼。這些PoS終端漏洞使攻擊者能夠發送任意數據包，克隆卡，克隆終端並安裝持久性惡意軟體。

https://www.cyberdlab.com/research-blog/posworld-vulnerabilities-within-ingenico-telium-2-and-verifone-vx-and-mx-series-point-of-sales-terminals

數據洩露

1、世界第三大飛機製造商巴西航空工業公司洩漏數據，黑客勒索軟體利用漏洞攻擊。

https://www.prnewswire.com/news-releases/embraer-sa-material-fact-301182014.html

https://www.zdnet.com/article/hackers-leak-data-from-embraer-worlds-third-largest-airplane-maker/

網絡戰與網絡情報

1、智庫觀點：印度紀事：深入研究以服務印度利益為核心目標為期15年的針對歐盟和聯合國的服務項目。這算是印度的「遊說集團」，在國際上尋找符合印度利益的項目。有關部門可以注意下，X它？

https://www.disinfo.eu/publications/indian-chronicles-deep-dive-into-a-15-year-operation-targeting-the-eu-and-un-to-serve-indian-interests

2、國家安全局（NSA）警告稱，與俄羅斯有聯繫的黑客正在網絡間諜活動中利用VMware漏洞

https://us-cert.cisa.gov/ncas/current-activity/2020/11/23/vmware-releases-workarounds-cve-2020-4006

https://media.defense.gov/2020/Dec/07/2002547071/-1/-1/0/CSA_VMWARE%20ACCESS_U_OO_195076_20.PDF

3、美國網絡司令部和澳大利亞國防軍信息戰司（IWD）共同開發了虛擬網絡培訓平臺，美國和澳大利亞已經籤署了第一個網絡協議，以開發虛擬網絡培訓平臺，該項目將由美國網絡司令部（USCYBERCOM）和澳大利亞國防軍信息戰部（IWD）設計。五眼聯盟新合作。

https://www.cybercom.mil/Media/News/Article/2434919/us-and-australia-sign-first-ever-cyber-agreement-to-develop-virtual-training-ra/

4、美國與朝鮮半島的未來，來自美國國務院。

https://www.state.gov/the-future-of-the-united-states-and-the-korean-peninsula/

5、澳大利亞情報界尋求建立絕密雲，澳大利亞國家情報局呼籲供應商表達興趣，以為國家情報界構建高度安全的私有社區雲服務

https://www.zdnet.com/article/australian-intelligence-community-seeking-to-build-a-top-secret-cloud/