九游老哥云
【威胁通告】九游老哥科技威胁情报月报（2022.1）
2022-01-27
1月，九游老哥科技威胁情报中心（NTI）宣布了多个误差和威胁事务通告，其中，Apache Dubbo远程代码执行误差（CVE-2021-43297）和HTTP协议栈远程代码执行误差（CVE-2022-21907）影响相对较大 。前者由于在Dubbo的hessian-lite中保存反序列化误差，未经身份验证的攻击者可使用该误差在目的系统上远程执行恣意代码 。大大都 Dubbo 用户默认使用 Hessian2作为序列化/反序列化协议，在Hessian 捕获到异常时，Hessian将会注销一些用户信息，这可能会导致远程下令执行，CVSS评分9.8 。后者由于HTTP协议栈（HTTP.sys）中的HTTP Trailer Support功效保存界线过失可导致缓冲区溢出 。未经身份验证的攻击者通过向Web服务器发送特制的HTTP数据包，从而在目的系统上执行恣意代码，CVSS评分9.8 。
另外，本次微软修复了 497 个误差，包括 28 个 Critical 级别误差，207 个 Important 级别误差 。强烈建议所有用户尽快装置更新 。
在本月的威胁事务中，使用恶意木马程序提倡的垂纶攻击事务相比照频仍，其中包括APT组织EVILNUM使用隐写术、小火龙与AGENTVX木马程序提倡网络垂纶攻击，清静研究实验室捕获到多个以护照扫描文件作为诱饵的网络垂纶运动，经太过析，研究职员确认该运动来自APT组织Evilnum，是其恒久以来针对金融目的犯法运动的延续 。Evilnum攻击者在本次垂纶运动中构建了新型攻击流程，并通过NSIS包装、署名、隐写术等操作实现免杀，最终投递一种新型木马程序AgentVX，展现了较高的手艺水平；以及攻击者使用PyMICROPSIA双尾蝎的新型信息窃取木马提倡攻击，清静研究员捕获了以Python构建的攻击样本，该样本最早由外洋厂商发明并命名为PyMICROPSIA，它具有富厚的信息窃取和控制功效 。
以上所有误差情报和威胁事务情报、攻击组织情报，以及关联的IOC，均可在九游老哥威胁情报中心获取，网址：https://nti.nsfocus.com/
一、 误差态势
2022年01月九游老哥科技清静误差库共收录308个误差, 其中高危误差60个，微软高危误差28个 。
* 数据泉源：九游老哥科技威胁情报中心，本表数据阻止到2022.01.27
注：九游老哥科技误差库包括应用程序误差、清静产品误差、操作系统误差、数据库误差、网络装备误差等；
二、 威胁事务
1. APT组织EVILNUM使用隐写术、小火龙与AGENTVX木马程序提倡网络垂纶攻击
【标签】EVILNUM
【时间】2022-01-06
【简介】
近期，清静研究实验室捕获到多个以护照扫描文件作为诱饵的网络垂纶运动 。经太过析，研究职员确认该运动来自APT组织Evilnum，是其恒久以来针对金融目的犯法运动的延续 。Evilnum攻击者在本次垂纶运动中构建了新型攻击流程，并通过NSIS包装、署名、隐写术等操作实现免杀，最终投递一种新型木马程序AgentVX，展现了较高的手艺水平 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNe8
【防护步伐】
九游老哥威胁情报中心关于该事务共提取6条IOC，其中包括6个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
2. Donot APT组织近期对孟加拉国提倡垂纶攻击
【标签】Donot APT
【时间】2022-01-06
【简介】
克日，清静研究员在一样平常的威胁狩猎捕获一起 Donot APT 组织近期疑似针对孟加拉国攻击运动，在此攻击运动中，攻击者主要以”孟加拉国职业大学2021年电子工程专业演示文稿”为主题，将PPT诱饵文件通过垂纶邮件发送给受害者 。当受害者翻开诱饵文件并执行宏后，会上传盘算机和用户基本信息到远程服务器，并下载后续攻击�？榈酵獾刂葱� 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNe8
【防护步伐】
九游老哥威胁情报中心关于该事务共提取3条IOC，其中包括1个域名和2个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
3. 多个家族使用Log4j2误差撒播恶意样本
【标签】Log4j2误差
【时间】2022-01-06
【简介】
2021年12月11号，研究职员捕获到Muhstik僵尸网络样本通过Log4j2 RCE误差撒播 。2天后，陆续又捕获到其它家族的样本，现在，这个家族列表已经凌驾10个 。研究职员通过对扫描端口剖析发明，扫描目的端口主要是8081端口，且已经捕获凌驾1050个攻击源IP，主要来自于ALPHASTRIKE-RESEARCH，ASMK和DIGITALOCEAN-ASN 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNe7
【防护步伐】
九游老哥威胁情报中心关于该事务共提取819条IOC，其中包括819个IP；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
4. 攻击者使用云视频平台分发skimmer提倡供应链攻击
【标签】skimmer
【时间】2022-01-14
【简介】
最近，研究职员发明供应链攻击使用云视频平台分发 skimmer（又名formjacking）运动 。在skimmer攻击中，攻击者注入恶意JavaScript 代码来入侵网站并接受网站HTML表单页面的功效以网络敏感的用户信息 。在研究的攻击案例中，攻击者将撇取JavaScript代码注入到视频中，因此每当其他人导入视频时，他们的网站也会嵌入撇取代码 。借助Palo Alto Networks的自动监控和检测服务，研究者检测到了100 多个房地产网站，这些网站都受到了相同的撇渣器攻击 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNe3
【防护步伐】
九游老哥威胁情报中心关于该事务共提取0条IOC，其中包括；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
5. BlackTech组织使用新的恶意软件Flagpro对日本公司提倡攻击
【标签】Flagpro
【时间】2022-01-14
【简介】
研究职员在视察一些针对日本公司的攻击案例中发明，BlackTech 使用了一种新的恶意软件Flagpro提倡攻击 。攻击者将受密码�；さ拇娴滴募╖IP 或 RAR）附加到电子邮件中，并将其密码写入邮件中 。存档文件包括一个 xlsm名堂文件，内里包括一个恶意宏 。若是用户激活宏，恶意软件将被扬弃 。他们还将xlsm文件的内容调解为目的 。宏执行后，会在启动目录下建设一EXE文件 。这个EXE文件是“Flagpro” 。在大大都情形下，这个建设的EXE 文件被命名为“dwm.exe” 。下次系统启动时，会执行以“dwm.exe”的形式安排在启动目录中的Flagpro 。当Flagpro与 C服务器通讯，它从服务器吸收要执行的下令，或者 Flagpro 下载第二阶段的恶意软件然后执行它 。攻击者检查第一阶段的目的情形是否适合运行第二阶段恶意软件 。若是他们决议攻击目的，则会下载并执行另一个恶意软件样本 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNe5
【防护步伐】
九游老哥威胁情报中心关于该事务共提取14条IOC，其中包括5个IP，2个域名和7个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
6. 攻击者使用COVID Omicron 变体作为诱饵用于分发 RedLine Stealer
【标签】Omicron
【时间】2022-01-20
【简介】
研究职员最近发明了一个名为“Omicron Stats.exe”的希奇文件，经证实它是 Redline Stealer 恶意软件的变种 。由于攻击者将此恶意软件嵌入在由受害者翻开的文档中，因此研究职员得出结论，电子邮件也是此变体的熏染前言 。当用户执行 Omicron Stats.exe 后，它会使用密码模式 ECB 和填充模式 PKCS7 解压缩使用三重 DES加密的资源 。然后将解压缩的资源注入vbc.exe 。它将自身复制到 C:\\\\Users\\\\Username\\\\AppData\\\\Roaming\\\\chromedrlvers.exe 并建设妄想使命以举行长期性，然后，恶意软件会实验从 Windows Management Instrumentation (WMI) 中窃取系统信息：显卡名称、BIOS 制造商、识别码、序列号、宣布日期和版本、磁盘驱动器制造商、型号、总磁头数和署名及处置惩罚器 (CPU) 信息，例如唯一 ID、处置惩罚器 ID、制造商、名称、最大时钟速率和主板信息等 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNeN
【防护步伐】
九游老哥威胁情报中心关于该事务提取共20条IOC，其中包括10个IP和10个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
7. Donot Team使用yty 恶意软件框架提倡垂纶攻击
【标签】Donot Team
【时间】2022-01-24
【简介】
研究职员发明Donot Team 一直以每两到四个月一波带有恶意附件的鱼叉式垂纶电子邮件为目的，一直针对相同的实体，而能够检索和剖析的电子邮件并没有显示出诱骗的迹象 。通过鱼叉式网络垂纶电子邮件，攻击者使用恶意 Microsoft Office 文档来安排他们的恶意软件 。研究员已经视察到 Donot Team 至少使用了三种手艺 。第一种是 Word、Excel 和 PowerPoint 文档中的宏，第二种手艺是带有.doc扩展名的RTF 文件，使用公式编辑器中的内存损坏误差CVE-2017-11882，第三种手艺是远程RTF 模板注入，它允许攻击者在翻开 RTF 文档时从远程服务器下载有用负载 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNeQ
【防护步伐】
九游老哥威胁情报中心关于该事务共提取18条IOC，其中包括1个IP和17个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
8. SideCopy组织使用Python 打包的双平台攻击武器针对Linux平台提倡攻击
【标签】SideCopy
【时间】2022-01-24
【简介】
克日，研究职员在一样平常威胁狩猎中再次捕获到一例针对Linux平台的攻击样本 。与上次差别的是，此次捕获样本由Go语言编写而不是Python，该样本功效较为简单，仅实现了对目的受害者主机目录的扫描和窃取 。研究职员体现，从攻击流程来看，SideCopy组织使用207.180.243.186下发后续攻击组件 。而本次捕获的样本功效简朴，很像某条攻击链中使用的某一组件 。虽然《印度国防照料长坠机：SideCopy APT组织趁火掠夺》一文中披露的是针对Windows平台的攻击，但研究员推测该组织可能在统一时期最先策划针对Linux平台的攻击 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNeP
【防护步伐】
九游老哥威胁情报中心关于该事务共提取6条IOC，其中包括2个IP和4个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
9. 攻击者使用COVID-19 测试指令提倡网络垂纶攻击
【标签】COVID-19
【时间】2021-12-30
【简介】
最近，清静研究院视察到恶意软件垃圾邮件运动正起劲使用目今的COVID-19情形 。这些电子邮件是使用邮件程序剧本从受熏染的邮箱发送的 。新闻里包括一个指向Word文档的链接 。该电子邮件利COVID-19测试指令作为捏词，引诱毫无戒心的用户单击链接并下载文档 。研究职员体现最初下载的 Word 文档没有恶意代码 。可是一旦受害者翻开Word 文档，它就会实验从远程服务器检索启用了宏的恶意模板 。该手艺称为远程模板注入，通常用于逃避静态检测，而在加载远程模板后，它将提醒用户启用宏内容 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNbu
【防护步伐】
九游老哥威胁情报中心关于该事务共提取条8条IOC，其中包括5个样本和3个URL；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
10. 攻击者使用PyMICROPSIA双尾蝎的新型信息窃取木马提倡攻击
【标签】PyMICROPSIA
【时间】2021-12-30
【简介】
最近，清静研究员捕获了以Python构建的攻击样本，该样本最早由外洋厂商发明并命名为PyMICROPSIA，它具有富厚的信息窃取和控制功效 。双尾蝎是一个恒久针对中东地区的高级一连威胁组织，其最早于2017年被披露 。该组织至少2016年5月起，一连针对巴勒斯坦教育机构、军事机构等主要领域举行网络特工运动，以窃取敏感信息为主的网络攻击组织，开展了有组织，有妄想，有针对性的攻击 。双尾蝎组织具有Windows和Android双平台攻击武器，且仅Windows平台恶意代码就富厚多变，具有多种语言编译的后门 。
【参考链接】
https://ti.nsfocus.com/security-news/IlNbs
【防护步伐】
九游老哥威胁情报中心关于该事务共提取条7条IOC，其中包括3个URL，一个IP和3个样本；九游老哥清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力 。
