AG公司云
AG公司威胁情报周报（20200511~20200517）
2020-05-18
一、威胁通告
- 微软2020年5月清静更新多个产品高危误差
【宣布时间】2020-05-13 10:00:00 GMT
【概述】北京时间5月13日 ，微软宣布5月清静更新补丁 ，修复了111个清静问题 ，涉及Microsoft Windows、InternetExplorer、MicrosoftEdge、.NET Framework、MicrosoftOffice、Visual Studio等普遍使用的产品 ，其中包括特权提升和远程代码执行等高危误差类型。 本月微软月度更新修复的误差中 ，严重水平为要害（Critical）的误差共有16个 ，主要（I mportant）误差有95个。
【链接】http://blog.nsfocus.net/ms-patchday-0513/
二、热门资讯
- Adobe5月清静更新
【概述】外地时间5月12日 ，Adobe官方宣布了5月清静更新 ，修复了Adobe多款产品的多个误差 ，包括Adobe DNG Software Development Kit (SDK)和Adobe Acrobat and Reader。
【参考链接】http://blog.nsfocus.net/
- SecureCRT内存损坏误差
【概述】SecureCRT最新版本8.7.2中修复了一个内存损坏误差（CVE-2020-12651） ，当CSI 函数吸收到一个大负数作为参数时 ，可能允许远程系统破损终端历程中的内存 ，最终导致恣意代码的执行或程序瓦解。攻击者可能通过类似SSH banner的方法使用该误差。
【参考链接】http://blog.nsfocus.net/securecrt-0515/
- Mozi 僵尸网络现状
【概述】作为物联网僵尸网络在P2P偏向延伸的代表 ，Mozi木马使用DHT协议组成网络结构 ，在DHT网络内部构建Mozi-DHT僵尸网络。自2019年被发明以来 ，Mozi至今依然在扩大其规模。AG公司伏影实验室发明 ，今年4月以来Mozi的日均可探索节点已经凌驾了10000个 ，占有了整个DHT网络规模的1%以上 ，这批注Mozi已生长成为中等规模的僵尸网络 ，可以对天下规模内的目的尤其是海内的网络节点发动有威胁的攻击。
【参考链接】http://blog.nsfocus.net/mozi-botnet-0513/
- 亚控科技组态王KingView多个误差
【概述】亚控科技组态王KingView部分版本中保存多个误差 ，包括实时数据库会见授权绕过误差和web数据传输服务保存拒绝服务误差。
【参考链接】http://blog.nsfocus.net/kingview-0515/
- 微软开源COVID-19 威胁情报
【概述】在以冠状病毒为主题的攻击数目一连增添的同时 ，微软宣布开放其COVID-19威胁情报的泉源 ，以资助用户消除这些威胁。
【参考链接】https://www.microsoft.com/security/blog/2020/05/14/open-sourcing-covid-threat-intelligence/
- Tropic Trooper组织使用USBferry针对物理隔离情形
【概述】Tropic Trooper组织善于使用已知的误差向目的发送带有恶意附件的鱼叉式垂纶邮件举行撒播 ，伺机举行信息偷窃和特工运动 ，其主要目的包括台湾、菲律宾和香港的政府、军事、医疗、交通和高科技工业。近期该组织通过USB恶意软件USBferry攻击台湾和菲律宾军方的物理隔离网络 ，该恶意软件可以对特定目的执行差别的下令 ，坚持隐身并通过USB存储窃取神秘信息或情报。
【参考链接】https://blog.trendmicro.com/trendlabs-security-intelligence/tropic-troopers-back-usbferry-attack-targets-air-gapped-environments/
- Hangover组织使用BackConfig木马针对南亚政府和军事
【概述】Hangover组织针对南亚的政府和军事组织提倡了鱼叉式垂纶攻击。此次攻击使用带有信件或政府表格文件引诱用户浏览受攻击的网站 ，这些网站里有携带BackConfig木马的Microsoft Excel文件 ，该恶意木马具有无邪的插件系统结构 ，可用于提供种种功效的组件 ，包括网络系统和键盘纪录信息以及上载和执行其他有用负载的能力。Hangover ，也被称为Patchwork、Dropping Elephant、VICEROY TIGER等 ，是一个与印度有关的威胁组织。
【参考链接】https://unit42.paloaltonetworks.com/updated-backconfig-malware-targeting-government-and-military-organizations/
- Lampion木马使用新冠疫情针对葡萄牙用户
【概述】Lampion木马通过仿冒葡萄牙政府提供的抗击新冠疫情的相关电子邮件举行分发 ，收件人单击电子邮件中的链接时 ，恶意软件将从在线服务器下载。该恶意软件网络系统页面、已装置软件、Web浏览器历史纪录等用户信息 ，还允许攻击者通过专门设计的Web界面会见和使用受熏染的盘算机。
【参考链接】https://seguranca-informatica.pt/trojan-lampion-is-back-after-3-months/#.Xrudm2gzaUl
- Ramsay网络特工工具针对物理隔离网络窃取敏感数据
【概述】Ramsay是一个新网络特工框架工具 ，能够在物理隔离网络情形中运行 ，用于窃取网络敏感文档数据 ，攻击运动中Ramsay使用CVE-2017-0199、CVE-2017-11882的恶意文档或虚伪7zip装置程序分发。Ramsay恶意软件与Darkhotel组织有关 ，该组织至少自2004年以来从事网络特工运动。
【参考链接】https://www.welivesecurity.com/2020/05/13/ramsay-cyberespionage-toolkit-airgapped-networks/
- 8220挖矿木马组建Tsunami僵尸网络举行DDoS攻击
【概述】“8220”挖矿木马善于使用误差入侵服务器 ，针对Windows系统和Linux系统 ，使用挖矿木马举行门罗币挖矿。近期该木马在攻击运动中通过Apache Struts远程代码执行误差（CVE-2017-5638）和Tomcat弱口令爆破植入多款门罗币挖矿木马并撒播Tsunami僵尸网络木马举行DDoS攻击。
【参考链接】https://s.tencent.com/research/report/978.html
- 攻击者使用JsOutProx木马针对印度政府和金融机构
【概述】攻击者针对印度政府机构和银行业 ，通过带有恶意附件的邮件撒播特殊恶意软件JsOutProx。JsOutProx是一个具有特殊远程会见功效的工具箱。JsOutProx通过对.NET插件的加载程序实现的共享接口与JavaScript内核疏散来实现自己的功效。
【参考链接】https://www.zscaler.com/blogs/research/targeted-attacks-indian-government-and-financial-institutions-using-jsoutprox-rat
