近日，明朝萬達(dá)安元實驗室發(fā)布了2021年第二期《安全通告》，該份報告收錄了今年2月最新的網(wǎng)絡(luò)安全前沿新聞和最新漏洞追蹤，其中重點內(nèi)容包括：
網(wǎng)絡(luò)安全前沿新聞
2021/02
巴西最大電力公司遭遇勒索襲擊日期: 2021年02月05日
等級: 高
行業(yè): 電力、熱力、燃?xì)饧八a(chǎn)和供應(yīng)業(yè)
巴西兩大電力公司CentraisEletricasBrasileiras（Eletrobras）和CompanyhiaParanaensedeEnergia（Copel）遭受勒索軟件攻擊。勒索團(tuán)隊聲稱竊取了超過1000GB的數(shù)據(jù)，包括敏感的基礎(chǔ)設(shè)施訪問信息以及高層管理人員和客戶的個人詳細(xì)信息、網(wǎng)絡(luò)地圖、備份方案和時間表、Copel主站點的域區(qū)域和intranet域。他們還聲稱獲取了存儲ActiveDirectory（AD）數(shù)據(jù)的數(shù)據(jù)庫-NTDS.dit文件，其中包含有關(guān)域中所有用戶的用戶對象、組、組成員身份和密碼哈希的信息。
日期: 2021年02月01日
等級: 高
行業(yè): 跨行業(yè)事件
安全人員發(fā)現(xiàn)了一個新的Trickbot惡意軟件的組件，主要功能為執(zhí)行本地網(wǎng)絡(luò)偵察。該組件名為masrv，它包含了Masscan開源實用程序的一個副本，masrv將組件放到新感染的設(shè)備上，發(fā)送一系列Masscan命令，讓組件掃描本地網(wǎng)絡(luò)，并將掃描結(jié)果上傳到Trickbot命令和控制服務(wù)器。如果掃描發(fā)現(xiàn)內(nèi)部網(wǎng)絡(luò)中有敏感或管理端口未關(guān)閉的系統(tǒng)（這在大多數(shù)公司中非常常見），則Trickbot團(tuán)伙可以部署專門利用這些漏洞的其他模塊，并橫向移動以感染新系統(tǒng)。
日期: 2021年02月02日
等級: 高
行業(yè): 跨行業(yè)事件
勒索軟件團(tuán)伙正在濫用VMWareESXi產(chǎn)品中的漏洞，接管部署在企業(yè)環(huán)境中的虛擬機(jī)并加密其虛擬硬盤驅(qū)動器。攻擊者使用了VMwareESXi中的兩個漏洞CVE-2019-5544和CVE-2020-3992。如果公司依賴VMWareESXi來管理其虛擬機(jī)使用的存儲空間，請務(wù)必安裝必要的ESXi修補(bǔ)程序，或者禁用SLP支持以防止攻擊（如果不需要該協(xié)議）。
涉及漏洞
– CVE-2019-5544
– CVE-2020-3992
日期: 2021年02月03日
等級: 高
行業(yè): 跨行業(yè)事件
涉及組織: google
Chrome和Edge瀏覽器惡意擴(kuò)展劫持了搜索結(jié)果的頁面，并將其用作釣魚網(wǎng)站和廣告。惡意擴(kuò)展包括：
VideoDownloaderforFacebook,VimeoVideoDownloader,InstagramStoryDownloader,VKUnblock。
谷歌和微軟已經(jīng)關(guān)閉了所有后門瀏覽器加載項，以防止更多用戶從官方商店下載這些加載項。根據(jù)該公司收集的遙測數(shù)據(jù)，感染率最高的三個國家是巴西、烏克蘭和法國，其次是阿根廷、西班牙、俄羅斯和美國。
日期: 2021年02月03日
等級: 高
行業(yè): 跨行業(yè)事件
涉及組織: docker, Kubernetes
研究人員發(fā)現(xiàn)Hildegard的惡意軟件被TeamTNT威脅組織用來攻擊Kubernetes集群。攻擊者首先通過對配置錯誤的kubelet進(jìn)行遠(yuǎn)程代碼執(zhí)行攻擊，來獲得初始訪問權(quán)限，之后，攻擊者下載并運(yùn)行一個tmate，以便建立一個反向shell。然后，攻擊者使用masscanInternet端口掃描儀掃描Kubernetes的內(nèi)部網(wǎng)絡(luò)，并找到其他不安全的Kuberets，并部署一個惡意的加密挖掘腳本(xmr.sh)。
攻擊方式
– Hijack Execution Flow
相關(guān)安全建議1. 在網(wǎng)絡(luò)邊界部署安全設(shè)備，如防火墻、IDS、郵件網(wǎng)關(guān)等
2. 及時對系統(tǒng)及各個服務(wù)組件進(jìn)行版本升級和補(bǔ)丁更新
3. 包括瀏覽器、郵件客戶端、vpn、遠(yuǎn)程桌面等在內(nèi)的個人應(yīng)用程序，應(yīng)及時更新到最新版本
4. 各主機(jī)安裝EDR產(chǎn)品，及時檢測威脅
5. 勒索中招后，應(yīng)及時斷網(wǎng)，并第一時間聯(lián)系安全部門或公司進(jìn)行應(yīng)急處理
日期: 2021年02月04日
等級: 高
行業(yè): 信息傳輸、軟件和信息技術(shù)服務(wù)業(yè)
涉及組織: Stormshield
法國網(wǎng)絡(luò)安全公司Stormshield是法國政府安全服務(wù)和網(wǎng)絡(luò)安全設(shè)備的主要供應(yīng)商。該公司表示，一名黑客進(jìn)入其一個客戶支持門戶網(wǎng)站，竊取了客戶的信息。該公司還報告說，攻擊者成功竊取了Stormshield網(wǎng)絡(luò)安全（SNS）防火墻的部分源代碼，該產(chǎn)品經(jīng)認(rèn)證用于法國政府網(wǎng)絡(luò)。
日期: 2021年02月02日
等級: 高
行業(yè): 跨行業(yè)事件
ESET研究人員分析了針對高性能計算（HPC）集群的惡意軟件，該惡意軟件可移植到許多操作系統(tǒng)（包括Linux，BSD，Solaris，甚至可能是AIX和Windows）中。該惡意程序通過使用特定TCP源端口，連接到SSH服務(wù)器，來遠(yuǎn)程確定系統(tǒng)是否可以攻擊。因為它的代碼量很小且有許多技巧，將其命名為Kobalos。
攻擊方式
– Compromise Client Software Binary
– Traffic Signaling
– Indicator Removal on Host
– Encrypted Channel
– Proxy
日期: 2021年02月06日
等級: 高
行業(yè): 信息傳輸、軟件和信息技術(shù)服務(wù)業(yè)
涉及組織: Plex
PlexMedia應(yīng)用程序與Windows、Linux和macOS操作系統(tǒng)配合使用，通常允許用戶與其他設(shè)備共享視頻和其他媒體。NetScout的研究人員認(rèn)為，攻擊者正在濫用Plex媒體服務(wù)器應(yīng)用程序的某些版本來加強(qiáng)和放大各種DDoS攻擊，大約27000臺Plex媒體服務(wù)器容易受到DDOS攻擊。
相關(guān)安全建議
1. 做好資產(chǎn)收集整理工作，關(guān)閉不必要且有風(fēng)險的外網(wǎng)端口和服務(wù)，及時發(fā)現(xiàn)外網(wǎng)問題
2. 及時對系統(tǒng)及各個服務(wù)組件進(jìn)行版本升級和補(bǔ)丁更新
3. 包括瀏覽器、郵件客戶端、vpn、遠(yuǎn)程桌面等在內(nèi)的個人應(yīng)用程序，應(yīng)及時更新到最新版本
4. 如果允許，暫時關(guān)閉攻擊影響的相關(guān)業(yè)務(wù)，積極對相關(guān)系統(tǒng)進(jìn)行安全維護(hù)和更新，將損失降到最小
日期: 2021年02月19日
等級: 高
行業(yè): 科學(xué)研究和技術(shù)服務(wù)業(yè)
涉及組織: UL LLC
保險商實驗室（ULLLC）遭到勒索軟件攻擊，黑客對其服務(wù)器進(jìn)行加密，并導(dǎo)致服務(wù)器宕機(jī)。UL是美國最大、歷史最悠久的安全認(rèn)證公司，在40多個國家擁有14000名員工和辦事處。UL標(biāo)志遍布在各電器、筆記本電腦、電視遙控器、燈泡，甚至你的蘋果USB充電器的背面。據(jù)消息人士稱，UL決定不支付贖金，而是從備份中恢復(fù)系統(tǒng)。
日期: 2021年02月16日
等級: 高
行業(yè): 信息傳輸、軟件和信息技術(shù)服務(wù)業(yè)
涉及組織: google
一個下載超過10億次的Android應(yīng)用程序–SHAREit，包含未修補(bǔ)的漏洞。SHAREit是一款允許用戶與朋友或個人設(shè)備之間共享文件的移動應(yīng)用程序。攻擊者通過中間人網(wǎng)絡(luò)攻擊，可以向SHAREit應(yīng)用程序發(fā)送惡意命令，并劫持其合法功能來運(yùn)行自定義代碼、覆蓋應(yīng)用程序的本地文件，或者在用戶不知情的情況下安裝第三方應(yīng)用程序。
相關(guān)安全建議在網(wǎng)絡(luò)邊界部署安全設(shè)備，如防火墻、IDS、郵件網(wǎng)關(guān)等
條件允許的情況下，設(shè)置主機(jī)訪問白名單
及時對系統(tǒng)及各個服務(wù)組件進(jìn)行版本升級和補(bǔ)丁更新
包括瀏覽器、郵件客戶端、vpn、遠(yuǎn)程桌面等在內(nèi)的個人應(yīng)用程序，應(yīng)及時更新到最新版本
如果不慎勒索中招，務(wù)必及時隔離受害主機(jī)、封禁外鏈ip域名并及時聯(lián)系應(yīng)急人員處理
及時備份數(shù)據(jù)并確保數(shù)據(jù)安全
各主機(jī)安裝EDR產(chǎn)品，及時檢測威脅
日期: 2021年02月17日
等級: 高
行業(yè): 信息傳輸、軟件和信息技術(shù)服務(wù)業(yè)
涉及組織: Singtel
新加坡電信公司Singtel證實，12.9萬名客戶的個人數(shù)據(jù)被泄露，其中包括他們的身份證號碼以及其他一些數(shù)據(jù)，包括姓名、出生日期、手機(jī)號碼和實際地址。28名前Singtel員工的銀行賬戶信息和一家使用Singtel移動電話的企業(yè)客戶的45名員工的信用卡信息也被泄露。此外，包括供應(yīng)商、合作伙伴和企業(yè)客戶在內(nèi)的23家企業(yè)的“部分信息”也遭到泄露。
日期: 2021年02月17日
等級: 高
行業(yè): 制造業(yè)
SafetyDetections網(wǎng)絡(luò)安全團(tuán)隊調(diào)查顯示，嬰兒監(jiān)視器存在一個漏洞，這是由于其配置錯誤，可能會導(dǎo)致攻擊者未經(jīng)授權(quán)訪問攝像頭的視頻流。同時，不僅是嬰兒監(jiān)視器，其它使用RTSP的攝像機(jī)（如CCTV攝像機(jī)）已受此影響。這使攻擊者能夠接觸到他們孩子、臥室的實時影像。
漏洞描述
Apache Druid 是用Java編寫的面向列的開源分布式數(shù)據(jù)存儲，旨在快速獲取大量事件數(shù)據(jù)，并在數(shù)據(jù)之上提供低延遲查詢。近日，Apache Druid官方發(fā)布安全更新，修復(fù)了CVE-2021-25646 Apache Druid 遠(yuǎn)程代碼執(zhí)行漏洞。
漏洞評級
CVE-2021-25646 高危
影響版本
Apache Druid < 0.20.1
安全版本
Apache Druid 0.20.1
安全建議
升級至安全版本及其以上。
漏洞描述
SolarWinds Inc. 是一家美國公司，為企業(yè)提軟件以幫助管理其網(wǎng)絡(luò)，系統(tǒng)和信息技術(shù)基礎(chǔ)架構(gòu)。近日，國外安全研究團(tuán)隊披露SolarWinds多款產(chǎn)品存在高危漏洞。
CVE-2021-25274 SolarWinds Orion遠(yuǎn)程代碼執(zhí)行漏洞中，遠(yuǎn)程攻擊者可在無需認(rèn)證的情況下通過TCP 1801端口將惡意請求發(fā)送進(jìn)入MSMQ消息隊列，觸發(fā)反序列化，造成遠(yuǎn)程代碼執(zhí)行。
CVE-2021-25275 SolarWinds Orion敏感信息泄漏漏洞中，本地攻擊者可在無需特權(quán)的情況下直接訪問并控制SolarWinds Orion后端數(shù)據(jù)庫SOLARWINDS_ORION，導(dǎo)致敏感信息泄漏等。
CVE-2021-25276 SolarWinds Serv-U FTP （Windows）權(quán)限設(shè)置不當(dāng)漏洞中，任何經(jīng)過FTP認(rèn)證的用戶將具備對C盤的完全控制權(quán)限，可以讀取、替換其中的任意文件。
漏洞描述
CVE-2021-25275 高危
CVE-2021-25276 中危
CVE-2021-25276 中危
影響版本
SolarWinds Orion < 2020.2.4
SolarWinds ServU-FTP < 15.2.2 Hotfix 1
安全版本
SolarWinds Orion Platform 2020.2.4
SolarWinds ServU-FTP 15.2.2 Hotfix 1
安全建議
1. 將 SolarWinds 相關(guān)軟件升級至安全版本。
2. SolarWinds 為商業(yè)軟件，可聯(lián)系 swisupport#solarwinds.com 以獲取進(jìn)一步支持
漏洞描述
SonicWall SSL-VPN 是SonicWall公司旗下的VPN軟件。攻擊者可構(gòu)造惡意請求，利用SQL注入漏洞獲取當(dāng)前SonicWall SSL-VPN 登錄的Session，從而登錄進(jìn)入VPN。
漏洞評級
CVE-2021-20016 高危
影響版本
Sonic SMA < 10.2.0.5-d-29sv
安全版本
Sonic SMA 10.2.0.5-d-29sv
安全建議
升級到最新版本
漏洞描述
微軟官方于2021年2月10日發(fā)布安全更新，其中修復(fù)了多個高危嚴(yán)重漏洞。在CVE-2021-24074 TCP/IP遠(yuǎn)程執(zhí)行代碼漏洞中，攻擊者通過構(gòu)造并發(fā)送惡意的IPv4數(shù)據(jù)包，從而控制目標(biāo)主機(jī)。在 CVE-2021-24078 Windows DNS Server遠(yuǎn)程代碼執(zhí)行漏洞中，攻擊者通過構(gòu)造并發(fā)送惡意的DNS請求，可以在開啟了DNS服務(wù)的Windows Server上執(zhí)行任意代碼。同時微軟2月補(bǔ)丁中還涉及其他多個高危漏洞。
漏洞評級
CVE-2021-24074 嚴(yán)重
CVE-2021-24078 嚴(yán)重
影響版本
Windows Server 2019
Windows Server 2016
Windows Server 2012 R2
Windows Server 2012
Windows Server 2008 R2
Windows Server, version 20H2 (Server Core installation)
Windows Server, version 2004 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
安全建議
前往微軟官方下載相應(yīng)補(bǔ)丁進(jìn)行更新：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647
漏洞描述
VMware是一家云基礎(chǔ)架構(gòu)和移動商務(wù)解決方案廠商，提供基于VMware的虛擬化解決方案。2021年2月24日，VMware 官方發(fā)布安全公告，披露了多個高危嚴(yán)重漏洞：
在 CVE-2021-21972 VMware vCenter Server 遠(yuǎn)程代碼漏洞 中，攻擊者可直接通過443端口構(gòu)造惡意請求，執(zhí)行任意代碼，控制vCenter。
在 CVE-2021-21974 VMware ESXI 堆溢出漏洞 中，攻擊者可通過427端口構(gòu)造惡意請求，觸發(fā)OpenSLP服務(wù)中的堆溢出漏洞，并可能導(dǎo)致遠(yuǎn)程代碼執(zhí)行。
在 CVE-2021-21973 VMware vCenter Server SSRF漏洞 中，攻擊者可通過443端口發(fā)送惡意POST請求，發(fā)起內(nèi)網(wǎng)掃描，造成SSRF漏洞。
漏洞評級
CVE-2021-21972 VMware vCenter Server 遠(yuǎn)程代碼漏洞 嚴(yán)重
CVE-2021-21974 VMware ESXI 堆溢出漏洞 高危
CVE-2021-21973 VMware vCenter Server SSRF漏洞 中危
影響版本
VMware vCenter Server 7.0系列 < 7.0.U1c
VMware vCenter Server 6.7系列 < 6.7.U3l
VMware vCenter Server 6.5系列 < 6.5 U3n
VMware ESXi 7.0系列 < ESXi70U1c-17325551
VMware ESXi 6.7系列 < ESXi670-202102401-SG
VMware ESXi 6.5系列 < ESXi650-202102101-SG
安全版本
VMware vCenter Server 7.0.U1c
VMware vCenter Server 6.7.U3l
VMware vCenter Server 6.5 U3n
VMware ESXi ESXi70U1c-17325551
VMware ESXi ESXi670-202102401-SG
VMware ESXi ESXi650-202102101-SG
安全建議
1、升級VMware vCenter Server 與 VMware ESXi 至最新版本。
2、針對 CVE-2021-21972 VMware vCenter Server 遠(yuǎn)程代碼漏洞 與 CVE-2021-21973 VMware vCenter Server SSRF漏洞，可按照 https://kb.vmware.com/s/article/82374 相關(guān)措施進(jìn)行緩解。
3、針對 CVE-2021-21974 VMware ESXI 堆溢出漏洞，可按照 https://kb.vmware.com/s/article/76372 相關(guān)措施進(jìn)行緩解。
漏洞描述
SaltStack是基于Python開發(fā)的一套C/S架構(gòu)配置管理工具。2021年2月26日，SaltStack官方發(fā)布安全更新，修復(fù)了多個高危漏洞，其中：
在 CVE-2021-25283 SaltAPI 模板注入漏洞中，由于 wheel.pillar_roots.write 存在目錄遍歷，攻擊者可構(gòu)造惡意請求，造成jinja模板注入，執(zhí)行任意代碼。
在 CVE-2021-25281 SaltAPI wheel_async未授權(quán)訪問漏洞中，攻擊者可構(gòu)造惡意請求，通過wheel_async調(diào)用master的wheel插件。
在 CVE-2021-3197 SaltAPI SSH 命令注入中，由于Salt-API SSH 客戶端過濾不嚴(yán)，攻擊者可通過ProxyCommand等參數(shù)造成命令執(zhí)行。
漏洞評級
CVE-2021-25283 高危
CVE-2021-25281 高危
CVE-2021-3197 高危
影響版本
SaltStack < 3002.5
SaltStack < 3001.6
SaltStack < 3000.8
安全版本
SaltStack >= 3002.5
SaltStack >= 3001.6
SaltStack >= 3000.8
安全建議
1. 升級至安全版本及其以上，升級前建議做好快照備份措施。安全版本下載地址參考：https://repo.saltstack.com
2. 設(shè)置SaltStack為自動更新，及時獲取相應(yīng)補(bǔ)丁。
