APT情报

1.疑似 KimsukyAPT 组织最新攻击活动样本分析

发布时间：2020年9月7日

情报来源：

964K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2S2L8Y4q4#2j5h3&6C8k6g2)9J5k6h3y4G2L8g2)9J5c8Y4m8G2M7%4c8Q4x3V1k6A6k6q4)9J5c8U0t1I4y4U0f1^5z5b7`.`.

情报摘要：

Kimsuky APT 是一个长期活跃的 APT 攻击组织，一直针对于韩国的智囊团,政府组织,新闻组织,大学教授等等进行活动.并且该组织拥有多平台的攻击能力,载荷便捷,阶段繁多。

该组织最近半年异常活跃。近日，国内安全研究人员在日常的样本追踪过程中发现了疑似该组织最新的攻击样本。分析可以看出最新的样本依然有多阶段方便攻击者重新组合攻击工具的特点。

2.疑似BITTER组织利用LNK文件的攻击活动分析

发布时间：2020年9月14日

情报来源：

e77K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8W2c8T1K9g2S2v1x3K6f1&6h3W2S2a6P5g2q4k6g2%4y4X3g2V1c8%4c8@1p5`.

情报摘要：

国内安全研究人员在日常高价值样本挖掘中，捕获了BITTER组织多个攻击样本，在此次攻击活动中，BITTER组织首次利用LNK文件作为攻击入口，从远程获取MSI文件执行，最终释放执行.NET恶意软件窃取受害者机器敏感信息。同时，其托管恶意软件的的服务器上存在多个BITTER组织攻击模块。

3.Lazarus使用招聘诱饵结合持续更新的网络武器

发布时间：2020年9月16日

情报来源：

fc6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8U0u0K6g2W2)9J5k6p5c8J5L8r3g2t1K9f1A6y4f1%4m8e0b7#2M7H3K9@1q4y4k6H3`.`.

情报摘要：

近几个月来，Lazarus组织常用航天，核工业，船舶工业等专业领域头部企业招聘信息为诱饵进行攻击活动，四月中旬国内安全团队曾披露过《Lazarus APT组织使用西方某航空巨头招聘等信息针对美韩的定向攻击事件分析》，该活动后续被某安全厂商归为北极星行动（OperationNorthStar）。

近日，国内安全研究人员在日常高价值样本挖掘过程，又捕获了一例该类型攻击样本，此次攻击活动中，Lazarus组织以通用（GDMS）公司高级业务经理招聘为诱饵，通过恶意宏释放执行后续Payload。Lazarus也在对其Crat木马架构进行快速迭代，目前已经相当成熟。

4.解读伊朗黑客利用VPN漏洞入侵全球企业内网事件

发布时间：2020年9月4日

情报来源：

f7fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2X3M7X3g2W2j5Y4g2X3i4K6u0W2j5$3!0E0i4K6u0r3N6Y4g2D9M7#2)9J5c8U0t1@1z5o6M7#2x3q4)9J5k6h3S2@1L8h3H3`.

情报摘要：

伊朗黑客组织攻击企业VPN，正打算通过地下论坛向其他黑客出售这些被入侵企业内部网络的权限，以此谋得巨额利益。他们针对的企业遍布IT、电信、油气、航空、政府和安全行业。

5.蔓灵花（APT-C-08）组织大规模钓鱼攻击活动披露

发布时间：2020年9月16日

情报来源：

2beK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8V1E0K6c8i4W2p5x3p5S2H3d9@1#2U0N6g2A6T1b7X3y4k6b7f1c8H3b7f1p5`.

情报摘要：

蔓灵花组织针对南亚地区发起了大规模的钓鱼窃密攻击活动，追踪溯源发现此次攻击行动的目标涉及包括我国和巴基斯坦在内的多个单位组织、政府机构，攻击活动一直持续活跃至今，本次攻击中继续沿用了之前仿冒目标邮箱系统钓鱼攻击的技战术，但其攻击规模和频次较之前大幅度增加，进一步针对部分重点目标还会以伪装会议文件或软件进行恶意载荷投递。

6.来自南亚APT组织“魔罗桫”的报复性定向攻击

发布时间：2020年9月17日

情报来源：

779K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8V1H3#2h3X3S2m8y4V1t1K6x3%4y4I4y4e0N6b7x3Y4N6W2d9r3I4@1z5s2M7`.

情报摘要：

“魔罗桫”APT团伙（国外安全厂商命名的Confucius）自2013年起活跃，近年来该组织对其内部攻击项目的命名：Project tibbar（提菩）。在提菩攻击活动中，攻击团伙使用了多种攻击手法：邮件结合钓鱼网站，邮件结合木马附件，单一投放木马，恶意安卓APK投放等等。其中值得注意的是，攻击团伙除了使用自定义的特种木马外，疑似还使用了一些商业、开源木马。

在分析攻击载荷过程中，国内安全研究人员发现该团伙不仅使用了高敏感性的、诱惑性的恶意文档名称，还使用了类似“商贸信”的攻击手法。这一点与以往传统的APT组织不太一致，这或许是该组织隐蔽自身攻击活动的方式，从而加大分析人员溯源的难度。

7.苦象组织近期网络攻击活动及泄露武器分析

发布时间：2020年9月17日

情报来源：

a28K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8U0x3I4K9V1y4$3h3i4W2K6b7V1E0g2c8$3k6E0k6i4c8F1P5h3g2H3x3q4p5`.

情报摘要：

来自南亚国家的APT组织注册多个域名，架设钓鱼网站，对国内重要的机构单位进行邮箱钓鱼攻击。相关钓鱼网站地址构造特点和攻击目标符合2019年曝光过的苦象组织对国内钓鱼攻击的特点。 

攻击者将载荷存放于攻陷网站，通过投递快捷方式格式的攻击诱饵向目标的机器植入载荷（组织特有的.NET远控木马）。通过此前对苦象组织泄露的控制后台源码和载荷分析，国内安全研究团队大致还原了该组织其中一常用木马的后台控制细节。

威胁事件情报

1.TikTok间谍软件分析

发布时间：2020年9月8日

情报来源：

5f5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2*7M7$3y4S2L8r3g2J5i4K6u0W2j5$3!0E0i4K6u0r3j5X3I4G2k6%4y4Q4x3V1k6J5k6i4y4W2j5i4u0U0K9q4)9J5c8Y4c8A6K9%4c8G2K9#2)9J5k6s2y4H3P5i4N6S2M7X3f1`.

情报摘要：

一个名为TikTokPro的假冒App，是一款功能强大的间谍软件，可以轻松监视受害者。安装后，该间谍软件会使用名称TikTokPro将自己描绘为TikTok  。用户尝试打开应用程序后，它将启动虚假通知，并且该通知以及应用程序图标将立即消失。这种伪造的通知策略用于重定向用户的注意力，同时该应用程序隐藏自身，使用户认为该应用程序有故障。

具有窃取短信、发送短信、窃取位置信息、拍摄照片、执行命令、截图、拨打电话、启动其他应用、窃取Facebook凭证等行为。

2.塞舌尔开发银行遭受勒索软件攻击

发布时间：2020年9月11日

情报来源：

a9bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2T1L8r3g2W2M7r3W2F1k6$3y4G2L8i4m8#2N6r3g2J5i4K6u0W2j5$3!0E0i4K6u0r3L8X3g2%4M7#2)9J5c8Y4y4W2j5%4g2J5K9i4c8&6i4K6u0r3k6r3g2$3k6h3I4G2M7r3#2W2L8Y4c8Q4x3X3c8T1j5h3&6C8i4K6u0V1L8$3k6Q4x3X3c8K6k6i4W2U0K9r3g2D9L8r3g2K6i4K6u0V1K9r3W2@1i4K6u0V1j5Y4W2Q4x3X3c8J5j5h3&6K6L8$3#2%4j5i4u0W2i4K6u0V1j5i4c8@1j5h3y4C8i4K6u0r3

情报摘要：

塞舌尔中央银行今天早些时候发表的一份新闻声明，塞舌尔开发银行（DBS）受到勒索软件的打击。目前还不清楚攻击者在加密银行系统之前是否窃取了数据，但根据攻击中使用的勒索软件应变，数据发生的可能性很高。

从2019年11月下旬的迷宫勒索软件开始，勒索软件运营商已经改变了他们的勒索策略，在加密受害者数据之前也窃取了受害者的文件，这些被盗的文件后来被用作迫使受害者支付赎金的杠杆。

3.Equinix 遭到 Netwalker 勒索软件攻击，被索 450 万美元赎金

发布时间：2020年9月12日

情报来源：

b22K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4c8G2N6i4c8A6j5h3!0Q4x3X3g2K6k6h3y4B7K9h3q4Q4x3X3g2U0L8$3#2Q4x3V1k6W2M7i4g2A6L8X3W2^5i4K6u0V1L8X3g2@1N6$3q4D9K9$3g2J5i4K6u0V1x3o6V1I4x3W2)9J5c8R3`.`.

情报摘要：

数据中心和主机托管巨头Equinix已遭到了Netwalker勒索软件攻击，威胁分子索要450万美元赎金，才肯交出解密工具，否则发布窃取的数据。Equinix是一家庞大的数据中心和托管服务提供商，在全球50多个地方建有数据中心。客户使用这些数据中心来放置设备或与其他ISP和网络提供商进行互连。

4.深入挖掘涉案金额上亿的黑色诈骗产业链

发布时间：2020年9月14日

情报来源：

8d3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2X3M7X3g2W2j5Y4g2X3i4K6u0W2j5$3!0E0i4K6u0r3j5i4u0@1K9h3y4D9k6i4y4Q4x3V1k6F1k6i4c8%4L8%4u0C8i4K6u0r3x3U0b7&6y4U0f1#2i4K6u0W2K9s2c8E0L8l9`.`.

情报摘要：

从利用木马病毒诈骗到网络刷单，匪夷所思的钓鱼诈骗产业链。 

5.bZx再次遭到黑客攻击，因为复制错误使协议中的用户存款损失800万美元

发布时间：2020年9月14日

情报来源：

956K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2V1K9h3N6A6N6r3q4D9L8h3q4J5K9$3g2@1L8X3g2%4M7#2)9J5k6h3y4G2L8g2)9J5c8X3u0*7P5q4)9J5k6r3S2S2j5$3E0W2k6q4)9J5k6r3q4Y4j5h3W2F1i4K6u0V1j5i4y4Q4x3X3c8V1N6i4m8D9K9h3y4S2N6r3W2G2L8W2)9J5k6r3u0#2k6#2)9J5k6r3y4G2M7%4c8K6i4K6u0V1M7s2u0G2N6r3!0U0L8$3I4Q4x3X3b7^5L8g2)9J5k6r3W2F1i4K6u0V1N6i4y4W2M7W2)9J5k6r3c8W2M7r3!0K6K9i4c8K6i4K6u0r3

情报摘要：

bZx遭到两个主要黑客攻击的七个月后，损失了超过$954K，在又一个漏洞被利用之后，它再次成为头条新闻。这次，用户存款损失高达800万美元，或bZX锁定总价值的30％。此事件再次提出了DeFi协议中用户资产的安全性问题。

6.Magento 在线商店迄今为止最大的营销活动被黑客攻击

发布时间：2020年9月14日

情报来源：

11aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2*7k6r3&6W2N6q4)9J5k6h3y4G2L8g2)9J5c8X3q4J5N6r3W2U0L8r3g2Q4x3V1k6E0j5h3N6W2L8Y4c8G2i4K6u0V1L8$3&6D9K9h3&6W2i4K6u0V1M7%4c8G2M7X3g2K6i4K6u0V1K9r3q4U0K9$3g2V1i4K6u0V1K9h3&6Q4x3X3c8D9j5i4u0Y4k6i4y4@1i4K6u0V1j5$3q4E0M7r3q4A6k6$3&6Q4x3X3c8@1L8#2)9J5k6r3c8S2N6r3g2Q4x3V1j5`.

情报摘要：

超过2000家Magento在线商店遭到黑客入侵，安全研究人员将其称为“ 有史以来规模最大的活动”。黑客入侵网站，然后在商店的源代码中植入恶意脚本，这些代码记录了购物者在结帐表格中输入的支付卡详细信息。

7.错误配置的Elasticsearch服务器负责泄露总计3.7亿条记录的数据

发布时间：2020年9月14日

情报来源：

93bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2Z5j5h3y4C8M7X3g2S2k6q4)9J5k6h3y4G2L8g2)9J5c8X3c8S2N6r3q4T1j5i4y4W2i4K6u0V1L8h3g2K6M7#2)9J5k6s2g2H3i4K6u0V1L8r3g2S2K9%4y4Q4x3X3c8W2j5$3!0E0L8h3g2J5j5$3g2Q4x3X3c8V1j5i4c8A6L8X3N6Q4x3X3c8K6K9i4c8W2M7#2)9J5k6r3c8S2N6r3q4Q4x3V1j5`.

情报摘要：

vpnMentor发布了一份新报告，该报告调查了70多个网站的新数据泄漏，这些网站主要属于社交应用，也包括电子商务网站。70个网站全部使用的是同一家名为Mailfire的电子邮件营销公司，该公司的Elasticsearch服务器无需任何身份验证即可找到。开放给所有人查看，包含882.1GB的数据，总计3.7亿条记录。

包括许多机密数据，包括全名，电子邮件地址，IP地址，个人资料图片和描述，性别，年龄，出生日期以及来自全球100多个国家的真实对话。

8.Dofloo（AESDDoS）僵尸网络正批量扫描、攻击Docker容器

发布时间：2020年9月17日

情报来源:

4beK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8X3y4W2e0X3k6h3f1X3&6W2c8@1N6u0K9$3u0r3e0%4q4u0N6q4f1I4x3h3M7`.

情报摘要：

腾讯安全威胁情报中心检测到Dofloo（AESDDoS）僵尸网络正批量扫描和攻击Docker容器。部分云主机上部署的Docker容器没有针对远程访问做安全认证，存在Remote API允许未授权使用漏洞且暴露在公网，导致黑客通过漏洞入侵并植入Dofloo僵尸网络木马。

Docker作为开源的引擎可以轻松地为任何应用创建一个轻量级的、可移植的、自给自足的容器，逐渐得到广泛应用。开发者在部署Docker时未对相关服务进行正确合理的配置导致其容易成为黑客入侵的路径之一。

漏洞情报

1.NetLogon特权提升漏洞利用工具公开，腾讯御界支持检测

发布时间：2020年9月15日

情报来源：

7daK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8Y4m8G2d9%4R3^5z5e0S2g2g2#2g2J5z5p5y4K9x3g2k6Z5d9Y4m8c8M7W2p5`.

情报摘要：

有关NetLogon特权提升漏洞（CVE-2020-1472）的详细技术分析、验证脚本、漏洞利用工具9月11日后在github陆续公开。

NetLogon特权提升漏洞（CVE-2020-1472）高度危险，漏洞利用代码公开意味着大规模的漏洞利用将很快到来。腾讯安全团队紧急响应，腾讯T-Sec高级威胁检测系统（御界）已率先支持检测NetLogon特权提升漏洞的攻击利用。

2.漏洞焦点：Nitro Pro PDF阅读器中的多个漏洞

发布时间：2020年9月15日

情报来源：

05cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6T1L8r3!0Y4i4K6u0W2N6r3q4D9L8%4y4A6L8Y4c8W2L8r3I4A6k6$3g2F1j5$3g2Q4x3X3g2U0L8$3#2Q4x3V1j5J5x3o6t1H3i4K6u0r3x3o6W2Q4x3V1k6$3N6h3I4F1i4K6u0V1M7%4m8G2N6r3I4A6k6$3S2@1i4K6u0V1L8X3W2@1M7X3!0Q4x3X3c8H3k6r3k6Q4x3X3c8K6k6i4m8@1i4K6u0V1x3U0l9J5x3q4)9J5k6h3S2@1L8h3H3`.

情报摘要：

思科Talos最近在Nitro Pro PDF阅读器中发现了多个代码执行漏洞。Nitro PDF允许用户在其计算机上保存，阅读，签名和编辑PDF。该软件包含的漏洞可能使对手以多种方式利用受害者的机器，最终使他们能够执行代码。

3.CVE-2020-16875:Microsoft Exchange远程代码执行漏洞通告

发布时间：2020年9月15日

情报来源：

26cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8W2A6Z5k6%4S2H3d9$3&6U0d9V1N6p5L8h3c8F1z5h3&6q4e0V1q4D9g2$3M7`.

情报摘要：

有安全人员公开了Exchange Server远程代码执行漏洞（CVE-2020-16875）的利用程序，此漏洞为微软在9月的安全更新补丁中披露；Microsoft Exchange在Internet Explorer处理内存中的对象时存在该漏洞。利用此漏洞需要具有以某个Exchange角色进行身份验证的用户权限，攻击者可通过向受影响的Exchange服务器发送包含特殊的cmdlet参数的邮件来触发此漏洞，成功利用此漏洞的攻击者可在受影响的系统上以system权限执行任意代码。

4.Jenkins多个插件漏洞风险通告（2020.9.16）

发布时间：2020年9月17日

情报来源：

109K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8X3p5J5c8r3R3K6x3e0l9I4x3%4k6c8e0#2)9#2k6U0q4#2K9g2u0r3x3f1D9$3k6H3`.`.

情报摘要：

Jenkins2020年9月16日发布安全公告，通报了多款Jenkins插件存在的安全漏洞。漏洞可能导致跨站脚本（XSS）攻击、跨站点请求伪造（CSRF）攻击、中间人攻击、任意命令执行或信息泄露。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课