九游老哥云
【威胁通告】九游老哥科技威胁情报月报（2021年1月）
2021-02-01
1月，九游老哥科技威胁情报中心（NTI）宣布了多个误差和威胁事务通告，其中，Windows NTFS 远程代码执行误差 CVE-2020-17096以及Linux sudo权限提升误差（CVE-2021-3156）影响较大。前者由于Windows NTFS 保存一个远程代码执行误差，外地攻击者可通过运行特制的应用程序，从而提升用户的权限，具有 SMBv2 会见权限的远程攻击者可以通过网络发送特制的请求，使用此误差在目的系统上执行代码；后者由于当sudo通过-s或-i下令行选项在shell模式下运行下令时，它将在下令参数中使用反斜杠转义特殊字符。但使用-s或 -i标记运行sudoedit时，现实上并未举行转义，从而可能导致缓冲区溢出。只要保存sudoers文件（通常是 /etc/sudoers），攻击者就可以使用外地通俗用户使用sudo获得系统root权限。
另外，本次微软共修复了9个Critical级别误差，73个Important 级别误差，1个Moderate级误差。强烈建议所有用户尽快装置更新。
在本月的威胁事务中，云服务器依然是黑客组织进攻的重点，受近期比特币暴涨发动数字虚拟币整体市值飙升影响，挖矿木马十分活跃。攻击手段方面，泛起了使用IRC举行通讯控制服务器组件僵尸网络，以及通过State Cashback电子支付工具举行恶意软件撒播的攻击方法。同时，incaseformat蠕虫病毒的再次活跃需要引起关注。
以上所有误差情报和威胁事务情报、攻击组织情报，以及关联的IOC，均可在九游老哥威胁情报中心获取，网址：https://nti.nsfocus.com/
一、 误差态势
2021年01月九游老哥科技清静误差库共收录375个误差, 其中高危误差46个，微软高危误差10个。
* 数据泉源：九游老哥科技威胁情报中心，本表数据阻止到2021.01.28
注：九游老哥科技误差库包括应用程序误差、清静产品误差、操作系统误差、数据库误差、网络装备误差等；
二、 威胁事务
1. TOPMiner挖矿木马通过SSH弱口令爆破攻击约1.5万台服务器
【标签】TOPMiner
【时间】2021-01-04
【简介】
挖矿木马TopMiner近期攻击十分活跃，该木马通过SSH弱口令爆破举行攻击入侵，会扫除竞品挖矿木马，同时会使用爆破工具在内网横向撒播。凭证其挖矿钱包收益估算，约有1.5万台服务器被该团伙控制挖矿。由于其使用的挖矿木马名为top，研究职员将其命名为TopMiner挖矿木马。
【参考链接】
https://s.tencent.com//research/report/1213.html
【防护步伐】
九游老哥威胁情报中心关于该事务提取10条IOC，其中包括1个IP，1个域名和8个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
2. 黑客通过State Cashback分发电子邮件撒播恶意软件的攻击运动
【标签】State Cashback
【时间】2021-01-05
【简介】
通过使用最近的现金退款妄想来举行电子垃圾邮件运动，以撒播恶意软件，该妄想用于使用电子支付工具（更名为State Cashback）举行的购置。
【参考链接】
https://cert-agid.gov.it/news/malware/falsa-comunicazione-cashback-di-stato-veicola-malware/
【防护步伐】
九游老哥威胁情报中心关于该事务提取5条IOC，其中包括2个域名和3个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
3. golang语言编写的剧本木马使用多个差别linux服务器组件的高危误差入侵云服务器
【标签】golang
【时间】2021-01-11
【简介】
受近期比特币暴涨发动数字虚拟币整体市值飙升影响，挖矿木马十分活跃。使用Redis未授权会见误差直接写入妄想使命，下载用golang语言编写的挖矿木马下载器superman，凭证挖矿算力推测该团伙已控制约1万台失陷系统举行门罗币挖矿。
【参考链接】
https://s.tencent.com//research/report/1219.html,https://paper.seebug.org/1440/
【防护步伐】
九游老哥威胁情报中心关于该事务提取3条IOC，其中包括1个IP和2个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
4. 新的Android特工软件针对巴基斯坦的用户窃取敏感数据的攻击运动
【标签】Android
【时间】2021-01-12
【简介】
现在有研究职员已发明一小群木马版本的Android应用程序，主要销售给栖身在巴基斯坦的人。有人修改了这些原本正当的应用程序（可从Google Play市肆下载正当版本），让此程序添加神秘监视和特工运动的恶意功效。
【参考链接】
https://news.sophos.com/en-us/2021/01/12/new-android-spyware-targets-users-in-pakistan/
【防护步伐】
九游老哥威胁情报中心关于该事务提取27条IOC，其中包括4个IP，4个域名和19个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
5. 甜睡多年的incaseformat蠕虫病毒被叫醒
【标签】incaseformat
【时间】2021-01-13
【简介】
2021年1月13日，九游老哥科技应急响应团队接到天下多个客户反响熏染所谓的incaseformat病毒，涉及政府、医疗、教育、运营商等多个行业，且熏染主机多为财务治理相关应用系统。熏染主机体现为所有非系统分区文件均被删除，由于被删除文件分区根目录下均保存名为incaseformat.log的空文件，因此网络上将此病毒命名为incaseformat。从搜索引擎效果来看，该病毒最早泛起时间为2009年，主流杀毒软件厂商均将此病毒命名为Worm.Win32.Autorun，从名称可以判断该病毒为Windows平台通过移动介质撒播的蠕虫病毒。病毒文件运行后，首先复制自身到Windows目录下，文件图标伪装为文件夹。病毒文件将在主机重启后运行，并最先遍历所有非系统分区下目录并设置为隐藏，同时建设同名的病毒文件。别的还会通过修改注册表，实现不显示隐藏文件及隐藏已知文件类型扩展名。最后对非系统分区下所有文件执行删除操作，并建设incaseformat.log文件。
【参考链接】
https://m.threatbook.cn/detail/3157
【防护步伐】
九游老哥威胁情报中心关于该事务提取558条IOC，其中包括558个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
6. TeamTNT 新变种使用IRC举行通讯控制服务器组建僵尸网络的攻击运动
【标签】TeamTNT
【时间】2021-01-14
【简介】
TeamTNT 变种使用IRC举行通讯控制肉鸡服务器组建僵尸网络，此次使用的IRC 接纳的是github开源的oragono，暂未检测到后门有执行拒绝服务（DoS）功效。
【参考链接】
https://s.tencent.com//research/report/1226.html
【防护步伐】
九游老哥威胁情报中心关于该事务提取11条IOC，其中包括3个IP，3个域名和5个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
7. RunMiner挖矿木马团伙使用新增误差攻击云主机举行挖矿
【标签】RunMiner
【时间】2021-01-19
【简介】
RunMiner挖矿木马团伙使用新增误差武器攻击云主机挖矿： 使用weblogic反序列化误差（CVE-2017-10271）对云主机提倡攻击，攻击乐成后执行恶意剧本对Linux、Windows双平台植入挖矿木马，举行门罗币挖矿操作。
【参考链接】
https://s.tencent.com//research/report/1229.html
【防护步伐】
九游老哥威胁情报中心关于该事务提取7条IOC，其中包括1个IP和6个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
8. Lazarus 组织针对误差清静研究员举行垂纶攻击
【标签】Lazarus
【时间】2021-01-26
【简介】
此次事务由Google清静团队披露。攻击者通过在Twitter建设多个清静研究者账号，宣布大宗的误差剖析文章吸引误差清静研究者的关注，同时建设了一个研究博客，宣布0day相关的误差研究及剖析。通过这一要领，筛选并找到潜在的目的，并与之互动。攻击者使用了研究者需要实时关注行业中误差披露状态的心理，乐成吸引了一些研究者的关注，并通过私信等方法，请求与研究者即潜在的攻击目的一起剖析所谓的0day，在研究者允许相助后，发送所谓的“POC”工程文件，该伪造的POC工程文件是一个VS Studio工程文件，其中嵌入了恶意代码。当研究职员翻开该工程文件后，恶意代码会连忙运行起来。凭证Google研究团队披露的信息，有些研究职员会见攻击者运营的研究博客时也熏染了病毒，但研究职员的Chrome浏览器为最新版本，由此推测可能保存浏览器0day。
【参考链接】
https://blog.google/threat-analysis-group/new-campaign-targeting-security-researchers/
【防护步伐】
九游老哥威胁情报中心关于该事务提取12条IOC，其中包括7个域名和5个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
