明朝萬達(dá) 2021年網(wǎng)絡(luò)安全月報（12月）
昨日，明朝萬達(dá)安元實驗室發(fā)布了2021年第十二期《安全通告》。
該份報告收錄了2021年12月最新的網(wǎng)絡(luò)安全前沿新聞和最新漏洞追蹤，其中重點內(nèi)容包括：
美國 TRUE Health 遭到攻擊泄露超過 6 萬公民的信息
美國新墨西哥州的醫(yī)療保險公司 RUE Health 確認(rèn)其遭到網(wǎng)絡(luò)攻擊，泄露 62983 個公民的信息。攻擊發(fā)生在 10 月 5 日，未經(jīng)授權(quán)的第三方訪問了 True Health New Mexico 系統(tǒng)?？赡苄孤读诵彰⒊錾掌?、年齡、地址、郵件地址、保險信息、醫(yī)療信息、社會安全號碼、賬戶 ID，及供應(yīng)商信息、服務(wù)日期和供應(yīng)商識別號等。該公司將為所有可能受影響的個人提供為期 24 個月的補充信用監(jiān)控。
Fortinet發(fā)布2021 年威脅態(tài)勢演變趨勢的分析報告
11 月 26 日，F(xiàn)ortinet 發(fā)布 2021 年威脅態(tài)勢演變趨勢的分析報告。過去一年中，攻擊者不斷增加對關(guān)鍵基礎(chǔ)設(shè)施以及各行各業(yè)的攻擊力度，與此同時，也在持續(xù)改進(jìn)他們的攻擊方法。威脅態(tài)勢中出現(xiàn)的新趨勢包括，隨著 Linux 越來越流行，它逐漸成為攻擊者的主要目標(biāo)；當(dāng)攻擊者使用新的技術(shù)，如 RAT 和 rootkit 等，只要成功就立即會有其他攻擊者使用相同的方式發(fā)動攻擊。
APWG發(fā)布2021年Q3網(wǎng)絡(luò)釣魚活動趨勢的分析報告
APWG 在 11 月 22 日發(fā)布了 2021 年 Q3 網(wǎng)絡(luò)釣魚活動趨勢的分析報告。報告指出，APWG 在年 7 月份檢測到了 260642 次釣魚活動，是歷史上攻擊最多的一個月；自 2020年初以來，釣魚活動的數(shù)量翻了一番；針對金融機構(gòu)和支付服務(wù)商的攻擊占所有攻擊總數(shù)的 34.9%，針對加密貨幣目標(biāo)的釣魚占 5.6%；2021 年，受到攻擊的品牌數(shù)量有所增加從每月 400 多個增加到 700 多個；針對巴西的釣魚攻擊從 Q2 的 4275 次上升 7741 次。
Kaspersky披露APT37利用Chinotto攻擊韓國的活動
Kaspersky 在 11 月 29 日披露朝鮮黑客組織 APT37（又稱 ScarCruft 或Temp.Reaper）在近期的攻擊活動。ScarCruft 從 2012 年開始活躍，主要針對韓國的官方機構(gòu)或公司。此次活動開始于 2021 年 8 月，初始感染媒介是魚叉式釣魚活動，之后利用 IE 瀏覽器中的兩個漏洞在韓國的網(wǎng)站中安裝自定義惡意軟件 BLUELIGHT，發(fā)起水坑攻擊?；顒舆€利用了惡意軟件 Chinotto，它具有針對 PowerShell、Windows 和 Android 的多個變體。
Trend Micro發(fā)現(xiàn)利用合法RAT分發(fā)SpyAgent的活動
11 月 29 日，Trend Micro 公開了關(guān)于 SpyAgent 攻擊活動的研究。攻擊者首先會在虛假的加密貨幣相關(guān)網(wǎng)站分發(fā)偽造成加密貨幣錢包、礦工軟件或沖浪插件的 Dropper。此次活動中，SpyAgent 的新變體利用了俄羅斯合法的遠(yuǎn)程訪問工具 (RAT) Safib Assistant。此外，還利用了 DLL 側(cè)加載漏洞，通過惡意 DLL 篡改 RAT 調(diào)用的各種 API 函數(shù)，對用戶隱藏 RAT 窗口。之后，惡意 DLL 會返回 RAT 的 ID，攻擊者可以利用該 ID 連接并控制目標(biāo)設(shè)備。
研究團(tuán)隊稱超過30萬Google Play用戶已感染多個銀行木馬
安全公司 ThreatFabric 表示在 2021 年 8 月至 11 月期間，4 個不同的銀行木馬已感染超過 30 萬個 Google Play 用戶。研究人員稱，檢測到的惡意 dropper 偽裝 2FA 身份驗證器、二維碼掃描器和 PDF 文檔掃描儀等應(yīng)用，旨在安裝 Anatsa（又名TeaBot）、Alien、ERMAC 和 Hydra。這些木馬可以使用自動轉(zhuǎn)賬系統(tǒng) ATS，在用戶不知情的情況下竊取用戶密碼和基于 SMS 的 2FA 身份驗證代碼、屏幕截圖等信息，甚至竊取用戶銀行賬戶中資金。目前，這些應(yīng)用已從 Google Play 中刪除。暗網(wǎng)市場Cannazon遭到大規(guī)模DDoS攻擊后永久關(guān)閉2021 年 11 月 23 日，暗網(wǎng)市場 Cannazon 的管理員宣布將永久關(guān)閉該網(wǎng)站。據(jù)悉，該網(wǎng)站在 11 月初遭到了大規(guī)模 DDoS 攻擊，管理員通過減少訂單數(shù)量和關(guān)閉部分系統(tǒng)以緩解問題。但這在社區(qū)中引起了轟動，用戶擔(dān)心這是一場退出騙局。管理員在發(fā)布關(guān)閉通告時，對于這種處理方法表示歉意，稱沒有公開攻擊活動是為了保護(hù)用戶和社區(qū)，以防止供應(yīng)商試圖發(fā)動加密貨幣退出騙局。電信公司AT＆T大量ESBC設(shè)備遭到僵尸網(wǎng)絡(luò)EwDoor攻擊研究團(tuán)隊在 11 月 30 日公開新僵尸網(wǎng)絡(luò) EwDoor 的攻擊活動。此次活動主要針對電信公司 AT＆T EdgeMarc 企業(yè)會話邊界控制器(ESBC)邊緣設(shè)備，利用了 4 年前的命令注入漏洞（CVE-2017-6079）。在僵尸網(wǎng)絡(luò)切換到其它 C2 之前的短短 3 小時內(nèi)，共檢測到約5700 臺設(shè)備被感染。目前，研究人員已確認(rèn) EwDoor 的 3 個變體，可分為 DDoS 攻擊和Backdoor 兩大類，并推測其主要目的是 DDoS 攻擊，以及收集通話記錄等敏感信息。沃爾沃公司遭到Snatch的勒索攻擊導(dǎo)致研發(fā)數(shù)據(jù)泄露12 月 10 日，瑞典汽車制造商沃爾沃稱其服務(wù)器遭到勒索攻擊，部分研發(fā)數(shù)據(jù)已經(jīng)泄露。沃爾沃表示，目前正在對此事展開調(diào)查，客戶的個人數(shù)據(jù)并不會受到影響，但公司的運營可能受到影響。雖然該公司尚未透露有關(guān)此次事件的其它細(xì)節(jié)，但勒索運營團(tuán)伙 Snatch 已于 11 月 30 日將該公司添加到其數(shù)據(jù)泄露網(wǎng)站的目錄中，并公開了被盜文件的截圖和 35.9 MB 的數(shù)據(jù)。Wordfence發(fā)現(xiàn)針對160萬個 WordPress網(wǎng)站的大規(guī)模攻擊Wordfence 在 12 月 9 日公開了近期針對超過 160 萬個 WordPress 網(wǎng)站的大規(guī)模攻擊活動。這些攻擊主要針對 4 個插件（PublishPress Capabilities 和 Kiwi Social Plugin 等）和15 個 Epsilon 框架主題（Shapely 和 NatureMag Lite 等）。通過啟用 users_can_register 選項，并將 default_role 選項設(shè)置為管理員，攻擊者就可以注冊為管理員并接管該網(wǎng)站。研究人員建議用戶立即更新受影響插件，其中 NatureMag Lite 沒有可用補丁，需要立即卸載。Cofense發(fā)現(xiàn)針對德國金融行業(yè)的新一輪釣魚活動12 月 9 日，Cofense 發(fā)現(xiàn)在過去幾周中，利用二維碼針對德國金融行業(yè)的新一輪釣魚活動。此次活動使用的郵件中并沒有明文 URL，而是通過 QR 碼將用戶重定向到釣魚網(wǎng)站，以繞過安全軟件的檢測。因為 QR 碼的目標(biāo)是移動用戶，這些用戶很少受到安全工具的保護(hù)，這提高了攻擊的有效性。攻擊成功后，便會竊取目標(biāo)的銀行地址、代碼、用戶名和 PIN 等信息，主要針對的兩個金融機構(gòu)是 Sparkasse 和 Volksbanken Raiffeisenbanken。Lookout發(fā)現(xiàn)針對近400家金融機構(gòu)分發(fā)Anubis的活動12 月 14 日，Lookout 發(fā)現(xiàn)了針對 394 家金融機構(gòu)分發(fā) Android 銀行木馬 Anubis 的活動。Anubis 于 2016 年首次出現(xiàn)，作為開源銀行木馬在俄羅斯黑客論壇上發(fā)布。在此次活動中，攻擊者冒充法國電信公司 Orange SA 的帳戶管理應(yīng)用，瞄準(zhǔn)大通銀行、富國銀行、美國銀行和第一資本等金融機構(gòu)的客戶。研究人員稱，此次攻擊不僅僅針對大型銀行的客戶，還針對虛擬支付平臺和加密錢包，該活動目前仍處于測試和優(yōu)化階段。VulcanForge聲稱其遭到攻擊損失高達(dá)近1.4億美元
游戲公司 VulcanForge 在本周一稱其遭到了網(wǎng)絡(luò)攻擊，損失高達(dá) 1.35 億美元。該公司稱，攻擊者已經(jīng)獲得了 96 個錢包的私鑰，并竊取了 450 萬 PYR（VulcanForge 的代幣，可在其整個游戲系統(tǒng)中使用）。此外，攻擊者出售了大量 PYR，使 PYR 的價格下跌 22%（從 31 美元降到 24 美元）。這是近十幾天內(nèi)發(fā)生的第三起加密貨幣失竊事件，三次攻擊造成的總損失金額約為 4.04 億美元。
亞馬遜AWS云服務(wù)再次宕機影響Twitch 和 Zoom等應(yīng)用12 月 15 日，亞馬遜 AWS 云服務(wù)再次宕機。此中斷開始于太平洋時間上午 7:43 左右，主要影響了 US-WEST-1 和 US-WEST-2 區(qū)域，導(dǎo)致 Twitch、Zoom、PSN、Xbox Live、Doordash、Quickbooks Online 和 Hulu 等大量平臺和網(wǎng)站關(guān)閉。截至 12 月 15 日 11:27 ，亞馬遜稱Internet 連接的問題已經(jīng)解決，服務(wù)運行正常。12 月 7 日，亞馬遜 AWS 云服務(wù)宕機，影響了 Netflix、Roku 和 Amazon Prime 的等應(yīng)用。FBI稱攻擊者積極利用Zoho中漏洞CVE-2021-4451512 月 17 日，F(xiàn)BI 發(fā)布警報稱有 APT 組織自 10 月下旬開始一直在積極利用 Zoho 中的漏洞 CVE-2021-44515。這是 ManageEngine Desktop Central 中的身份驗證繞過漏洞，可用來繞過身份驗證并執(zhí)行任意代碼。FBI 稱，該團(tuán)伙入侵 Desktop Central 服務(wù)器后安裝覆蓋其合法功能的 webshell，然后下載利用工具，列舉域用戶和群組，進(jìn)行網(wǎng)絡(luò)偵察，最后試圖橫向移動和轉(zhuǎn)儲憑證。新的僵尸網(wǎng)絡(luò)Abcbot主要針對中國的云服務(wù)提供商12 月 21 日，Cado Security 發(fā)現(xiàn)新僵尸網(wǎng)絡(luò) Abcbot 在過去幾個月主要針對中國云服務(wù)提供商，包括阿里云、百度、騰訊和華為云等。Abcbot 首先會安裝一個 Linux bash 腳本，來禁用 SELinux 安全保護(hù)，并創(chuàng)建后門。然后掃描目標(biāo)主機中是否存在其它惡意軟件，如果發(fā)現(xiàn)則會刪除其它惡意軟件的相關(guān)進(jìn)程。除此之外，Abcbot 還會刪除 SSH 密鑰并僅保留自己的密鑰，以保證其對目標(biāo)主機的獨占訪問。Google發(fā)布12月份更新，修復(fù) chrome中的多個漏洞Google 在 12 月 6 日發(fā)布 chrome 安全更新，總計修復(fù) 22 個漏洞。其中較為嚴(yán)重的是 Web 應(yīng)用程序中的釋放后使用漏洞（CVE-2021-4052）、UI 組件中的釋放后使用漏洞（CVE-2021-4053）、WebRTC 中的越界寫入漏洞（CVE-2021-4079）以及 V8 中的類型混淆漏洞（CVE-2021-4078）。此外，還修復(fù)了擴展中的堆緩沖區(qū)溢出漏洞（CVE-2021-4055） 和 ANGLE 中的堆緩沖區(qū)溢出漏洞（CVE-2021-4058）等。SonicWall發(fā)布更新，修復(fù) SMA100系列中多個漏洞SonicWall 在 12 月 7 日發(fā)布更新，修復(fù) SMA 100 系列設(shè)備中的多個漏洞。此次修復(fù)的最為嚴(yán)重的漏洞是基于堆棧的緩沖區(qū)溢出漏洞（CVE-2021-20038），CVSS 評分為 9.8，由于設(shè)備的 Apache httpd 服務(wù)器中的 HTTP GET 方法的環(huán)境變量使用了 strcat()函數(shù)導(dǎo)致的；其次是緩沖區(qū)溢出漏洞（CVE-2021-20045），CVSS 評分 9.4。此外，還修復(fù)了緩沖區(qū)溢出漏洞（CVE-2021-20043）和認(rèn)證命令注入漏洞（CVE-2021-20039）等。西部數(shù)據(jù)發(fā)布更新修復(fù)SanDisk SecureAccess中漏洞Western Digital 在上周三發(fā)布安全更新，修復(fù) SanDisk SecureAccess 中的漏洞CVE-2021-36750。SanDisk SecureAccess（現(xiàn)在更名為 SanDisk PrivateAccess）用來在 SanDiskUSB 閃存驅(qū)動器上存儲和保護(hù)重要文件，其使用了單向加密 hash 和可預(yù)測 salt，這使其容易遭到字典攻擊；還使用了計算量不足的 hash，使用戶密碼易被暴力破解。公司稱這些問題已經(jīng)通過使用 PBKDF2-SHA256 和隨機 salt 修復(fù)，建議用戶立即更新。Google 發(fā)布緊急更新，修復(fù)Chrome中已被利用的漏洞12 月 13 日，Google 發(fā)布緊急更新，修復(fù)了 Chrome 中的 5 個漏洞。安全公告表示，此次修復(fù)的 V8 JavaScript 引擎中的釋放后使用漏洞（CVE-2021-4102）已被在野利用，可導(dǎo)致任意代碼執(zhí)行或沙箱逃逸。此外，還修復(fù)了 Mojo 中的數(shù)據(jù)驗證不足漏洞（CVE-2021-4098）和 Swiftshader 中的釋放后使用漏洞（CVE-2021-4099）等多個漏洞。由于該 0day 已被在野利用，研究人員強烈建議立即安裝 Chrome 補丁。Adobe發(fā)布12月更新，修復(fù)多個產(chǎn)品中超過60個漏洞12月14日，Adobe 發(fā)布本月的周二補丁，修復(fù)多個產(chǎn)品中超過 60 個漏洞。其中較為嚴(yán)重的是 Experience Manager 中的 XXE 漏洞（CVE-2021-40722），CVSS評分為9.8，可導(dǎo)致任意代碼執(zhí)行。此外，還修復(fù)了 Photoshop 中可導(dǎo)致任意代碼執(zhí)行越界寫入漏洞（CVE-2021-43018）和緩沖區(qū)溢出漏洞（CVE-2021-44184），以及 Media Encoder 中的越界讀?。–VE-2021-43757）等多個漏洞。
