AG公司云
AG公司威胁情报周报（20200427~20200510）
2020-05-11
一、威胁通告
- Jenkins插件多个误差
【宣布时间】2020-05-08 18:00:00 GMT
【概述】5月6日，Jenkins官方宣布清静通告修复插件中的9个误差，有5个插件受到影响。其中SCM Filter Jervis插件保存远程代码执行误差（CVE-2020-2189），官方定级为高危。由于SCM Filter Jervis插件默认不设置YAML剖析器，导致用户可以使用过滤器设置项目，也可以操作SCM已存储设置过的项目内容。Credentials Binding 插件保存两个凭证泄露误差（CVE-2020-2181、CVE-2020-2182），Copy Artifact 插件保存权限校验不当误差（CVE-2020-2183），CVS 插件的跨站请求伪造误差（CVE-2020-2184）及Amazon EC2 插件中的4 个误差（CVE-2020-2185、CVE-2020-2186、CVE-2020-2187、CVE-2020-2188）。
【链接】http://blog.nsfocus.net/jenkins-0508/
二、热门资讯
- SaltStack多个误差
【概述】克日，服务器基础架构集中化治理平台SaltStack Salt被披露保存两个清静误差（CVE-2020-11651、CVE-2020-11652）�？聪钅縎alt是SaltStack公司产品的焦点，作为治理数据中心和云情形中服务器的设置工具，广受接待。SaltStack Salt保存的两个误差划分是身份验证绕过误差（CVE-2020-11651）和目录遍历误差（ CVE-2020-11652）。
【参考链接】http://blog.nsfocus.net/saltstack-0504/
- Weblogic远程代码执行误差
【概述】在Oracle官方宣布的2020年4月要害补丁更新通告CPU（Critical Patch Update）中，两个针对 WebLogic Server，CVSS 3.0评分为 9.8的严重误差（CVE-2020-2883、CVE-2020-2884），允许未经身份验证的攻击者通过T3协议网络会见并破损易受攻击的WebLogic Server，乐成的误差使用可导致WebLogic Server被攻击者接受，从而造成远程代码执行。误差保存于WebLogic Server焦点组件中，使用时无需身份认证及特殊交互，并且在Weblogic控制台开启的情形下默认开启T3协议，故影响面较大。
【参考链接】http://blog.nsfocus.net/weblogic-solution-0508/
- H2Miner僵尸网络使用SaltStack误差入侵服务器挖矿
【概述】H2Miner是一个linux下的挖矿僵尸网络，通过hadoop yarn未授权、thinkphp 5 RCE、confluence RCE、docker和Redis未授权等多种手段举行入侵，分发恶意程序举行挖矿获取利益。克日H2Miner僵尸网络使用SaltStack身份验证绕过误差（CVE-2020-11651）和目录遍历误差（ CVE-2020-11652）入侵企业主机举行挖矿。
【参考链接】https://s.tencent.com/research/report/976.html
- PerSwaysion运动滥用Microsoft文档共享服务
【概述】近期，多个网络犯法集团提倡一系列小型但有针对性的网络垂纶攻击，由于其滥用了Sway服务，这次行动被称为PerSwaysion，此次行动主要是通过滥用Microsoft的文件共享服务来实现的，攻击还接纳种种洗白手艺和反情报要领逃避检测，其目的是位于美国、加拿大、德国、英国、荷兰、香港和新加坡等全球和地区金融中心的中小型金融服务公司、状师事务所和房地产集团。
【参考链接】https://www.group-ib.com/blog/perswaysion
- Naikon组织使用新后门Aria-body针对亚太地区
【概述】Naikon组织针对亚太地区包括澳大利亚、印度尼西亚、菲律宾、越南、泰国、缅甸和文莱几个国家的政府实体举行监视和网络情报。该组织从受熏染的盘算机和政府部分的网络、可移动驱动器中定位和网络特定的文件、截屏和键盘纪录，还使用受熏染部分的服务器作为C2服务器来网络、转发和路由窃取的数据。此次攻击该组织使用了一个名为Aria-body的新后门，以控制受害者的网络，Aria-body使用特定加载器加载到盘算机中，并允许攻击者完全控制受害者的盘算机，执行文件和历程操作，执行shell下令，以及上传和下载数据和其他插件。
【参考链接】https://research.checkpoint.com/2020/naikon-apt-cyber-espionage-reloaded/
- OceanLotus组织滥用正当证书通过Android应用市场撒播恶意软件
【概述】OceanLotus组织通过官方和第三方市场撒播Android应用程序的恶意软件的行为可以追溯到2014年，近期OceanLotus组织使用了正当的数字证书对一些样本举行了署名，首先上传一个清洁的版本，然后添加恶意软件，通过Google Play和第三方市场举行撒播，此次攻击运动的目的受害者主要针对非洲和亚洲地区。OceanLotus，也被称为APT32、SeaLotus和Ocean Buffalo，是一个与越南有关的威胁组织。
【参考链接】https://labs.bitdefender.com/2020/05/android-campaign-from-known-oceanlotus-apt-group-potentially-older-than-estimated-abused-legitimate-certificate/
- Lazarus组织通过2FA应用程序分发Dacls木马
【概述】Lazarus组织自2009年以来从事网络特工和网络犯法运动，具有朝鲜配景，也被称为Hidden Cobra。Dacls是一种远程会见木马，是一种针对Windows和Linux平台的全功效隐藏远程会见木马。近期Lazarus组织使用Dacls远程会见木马的新变种，通过2FA应用程序分发，针对使用Mac操作系统的中国用户举行攻击，举行下令执行、文件治理、流量署理和蠕虫扫描等操作。
【参考链接】https://blog.malwarebytes.com/threat-analysis/2020/05/new-mac-variant-of-lazarus-dacls-rat-distributed-via-trojanized-2fa-app/
- 新恶意软件Kaiji通过SSH暴力破解撒播
【概述】近期一个新的僵尸网络运动使用自界说植入工具Kaiji，该恶意软件与中国有关，这个僵尸网络使用Golang编程语言从零最先构建，并通过SSH暴力破解目的服务器和物联网装备。
【参考链接】https://intezer.com/blog/research/kaiji-new-chinese-linux-malware-turning-to-golang/
- EVILNUM恶意软件针对全球金融业的攻击运动
【概述】EVILNUM恶意软件针对全球金融业，通过使用伪装成pdf和jpeg的木马文件举行撒播。当文件被翻开时，包括信用卡、驾照、护照和水电费的诱骗图像被显示给用户，同时漆黑挪用一个用headless Javascript编写的署理，这个署理针对Windows操作系统，允许攻击者上传下载文件、运行下令、窃取cookie和会见其他受�；さ氖�。
【参考链接】https://blog.prevailion.com/2020/05/phantom-in-command-shell5.html
- 新Aggah垃圾邮件运动分发多个远程会见木马
【概述】近期Aggah运动较量活跃，攻击者使用免费基础设施通过恶意垃圾邮件(malspam)附带恶意Microsoft Office文档，向目的用户的终端分发多阶段熏染，熏染的最终有用负载包括多个远程会见工具，Agent Tesla、njRAT和Nanocore RAT。
【参考链接】https://blog.talosintelligence.com/2020/04/upgraded-aggah-malspam-campaign.html
