六方云知识库

安全态势周刊-六方云(AI基因·威胁免疫)——第180期

2021年12月27日 10:07

一、业界动态

安全漏洞后未及时报告,工信部暂停阿里云合作6个月

作为工信部网络安全威胁信息共享平台合作单位,阿里云公司由于发现阿帕奇Log4j2组件严重安全漏洞隐患后,未及时向电信主管部门报告,未有效支撑工信部开展网络安全威胁和漏洞管理,被工信部暂停作为合作单位6个月。暂停期满后,工信部将根据阿里云公司整改情况,研究恢复其上述合作单位。

https://www.ithome.com/0/593/978.htm

Conti团伙已武器化Log4Shell并建立完整的攻击链

安全公司Advanced Intelligence称Conti成为首个将Log4j2武器化的专业级勒索运营团伙,现已拥有完整的攻击链。截至12月20日,该团伙的该攻击链为:Emotet -> Cobalt Strike -> Human Exploitation -> 缺少ADMIN$共享 -> Kerberoast -> VMWare vCenter服务器。Conti自8月份开始进行了多次更新,包括使用新的后门和备份删除策略等。

https://threatpost.com/conti-ransomware-gang-has-full-log4shell-attack-chain/177173/

谷歌分析Apache Log4j漏洞的影响规模

研究人员发现,截至 2021 年 12 月 16 日,来自 Maven Central 的 35,863 个可用软件包依赖于存在漏洞的 log4j 代码。这意味着 Maven Central 上超过 8% 的软件包至少有一个版本受漏洞影响(此数字不包括所有 Java 软件包,例如直接分发的二进制文件)

https://mp.weixin.qq.com/s/xV4r8CDN2rhus0P-al5fEg

  

二、关键基础设施

趋势科技发现Tropic Trooper针对运输行业的攻击活动

趋势科技在12月14日发现间谍组织Tropic Trooper(也称Earth Centaur)针对运输行业的攻击活动。此次活动始于2020年7月,瞄准了运输行业的公司和官方机构。研究人员将入侵过程分为多个阶段:攻击存在漏洞的IIS服务器和Exchange并安装shell;利用该shell安装.NET加载程序Nerapack和第一阶段后门Quasar;然后,根据受害者类型分发第二阶段后门,包括ChiserClient和SmileSvr等;最后,还会试图破坏内网、转储凭据并清除日志。

https://www.trendmicro.com/en_us/research/21/l/collecting-in-the-dark-tropic-trooper-targets-transportation-and-government-organizations.html

 

三、安全事件

Symantec发现首个用Rust编写的勒索软件Noberus

Symantec在12月16日公开首个用Rust编写的勒索软件Noberus。可疑的攻击活动开始于11月3日,但勒索软件直到11月18日才被安装。该勒索软件利用了合法的远程访问程序ConnectWise,执行典型的双重勒索软件攻击,并为加密文件添加扩展名.sykffle。Symantec称,在此次攻击活动中总共发现了3个Noberus变体,已感染至少261台设备。

https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/noberus-blackcat-alphv-rust-ransomware

新的僵尸网络Abcbot主要针对中国的云服务提供商

12月21日,Cado Security发现新僵尸网络Abcbot在过去几个月主要针对中国云服务提供商,包括阿里云、百度、腾讯和华为云等。Abcbot首先会安装一个Linux bash脚本,来禁用SELinux安全保护,并创建后门。然后扫描目标主机中是否存在其它恶意软件,如果发现则会删除其它恶意软件的相关进程。除此之外,Abcbot还会删除SSH密钥并仅保留自己的密钥,以保证其对目标主机的独占访问。

https://securityaffairs.co/wordpress/125872/malware/abcbot-botnet-chinese-providers.html

美国西弗吉尼亚州医疗机构MHS称其遭到BEC攻击

美国西弗吉尼亚州的Monongalia Health System(MHS)在12月21日发布通告,称其遭到了BEC攻击。MHS开始并不知道其已遭到攻击,直到一家供应商称在今年7月28日没有收到付款,该机构才开始展开调查。调查发现,攻击者在5月10日至8月15日入侵了多个MHS员工的邮件帐户,并访问了邮件及其附件,然后使用某MHS承包商的帐户冒充MHS来骗取资金。此外,攻击还泄露了部分患者和员工的信息。

https://www.infosecurity-magazine.com/news/bec-attack-on-monongalia-health-1/

Clop团伙公开英国警务系统PNC中1300万公民的信息

每日邮报在12月19日报道,勒索运营团伙Clop已攻击IT公司Dacoll,其子公司NDI Technologies为英国90%的警察提供服务。攻击发生在10月5日,Clop入侵了Dacoll并获取了英国Police National Computer(PNC)的访问权限,其中涉及1300万公民的信息。因为Dacoll拒绝支付赎金,攻击者已在其数据泄露网站公开窃取的数据。

https://www.dailymail.co.uk/news/article-10325189/Russian-hackers-leak-confidential-UK-police-data-dark-web-ransom-rejected.html

  

四、漏洞事件

移动通信切换过程中的新漏洞影响2G以来的所有移动网络

研究人员在 2G、3G、4G 和 5G 移动通信网络的“切换程序”(handover)中发现了新漏洞,攻击者可以利用这些漏洞强制目标手机连接到伪基站并通信窃听。纽约大学阿布扎比分校的研究人员 Evangelos Bitsikas 和 Christina 的最新论文中披露这一安全漏洞,切换是现代移动蜂窝网络的基础机制,攻击者可以利用该机制使用低成本设备发起拒绝服务 (DoS) 和中间人 (MitM) 攻击。

https://mp.weixin.qq.com/s/S8LN5ypUCasRh9cMQ40RWg

 

 


more

手机扫码打开

logo