AG公司云
AG公司科技威胁情报周报（2020.05.18-2020.05.24）
2020-05-26
一、 威胁通告
Apache Tomcat Session反序列化远程代码执行误差
【宣布时间】2020-05-21 11:00:00 GMT
【概述】
北京时间5月20日 ，Apache官方宣布清静通告修复了Apache Tomcat Session反序列化远程代码执行误差（CVE-2020-9484） ，若是使用了Tomcat的session长期化功效 ，不清静的设置将导致攻击者可以发送恶意请求执行恣意代码。
【链接】
http://blog.nsfocus.net/apache-tomcat-cve-2020-9484-0521/
二、 热门资讯
1. SecureCRT内存损坏误差
【概述】
SecureCRT最新版本8.7.2中修复了一个内存损坏误差（CVE-2020-12651） ，当CSI函数吸收到一个大负数作为参数时 ，可能允许远程系统破损终端历程中的内存 ，最终导致恣意代码的执行或程序瓦解。攻击者可能通过类似SSH banner的方法使用该误差。
【参考链接】
http://blog.nsfocus.net/
2. Cisco Unified Contact Center Express反序列化代码执行误差
【概述】
克日 ，思科（Cisco）官方宣布通告称修复了一个Unified Contact Center Express（Unified CCX）中的高危误差（CVE-2020-3280）。该误差源于软件在反序列化操作时 ，没有对用户提供的输入举行足够的限制 ，攻击者可以在未授权的情形下发送一个恶意的Java工具来触发该误差 ，在受影响装备上以root权限执行恣意代码。
【参考链接】
http://blog.nsfocus.net/cisco-unified-ccx-cve-2020-3280-0522/
3. Greenbug组织针对南亚电信公司的攻击运动
【概述】
Greenbug组织通过发送包括恶意链接的电子邮件熏染目的 ，该链接指向受到攻击的网站 ，网站托管着一个包括恶意CHM文件的存档文件 ，在执行时装置有用负载 ，其中包括一个ADS用来隐藏其负载 ，攻击运动主要针对南亚的电信公司 ，旨在窃取凭证以及建设与数据库服务器的毗连。Greenbug威胁组织至少从2016年活跃至今 ，疑似来自伊朗。
【参考链接】
https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/greenbug-espionage-telco-south-asia
4. Chafer组织针对中东政府和航空运输业的运动
【概述】
Chafer是一个有伊朗配景的威胁组织 ，主要从事网络特工运动。近期Chafer组织针对中东 ，特殊是科威特和沙特阿拉伯撒播恶意软件 ，撒播途径通过鱼叉式垂纶邮件 ，其目的是为了网络情报。此次攻击中 ，攻击者使用常见的黑客工具SafetyKat、Metasploit和CrackMapExec ，以及自界说工具PLINK和用于网络扫描和凭证网络等多种功效的的Remexi恶意软件举行撒播和攻击。
【参考链接】
https://www.bitdefender.com/files/News/CaseStudies/study/332/Bitdefender-Whitepaper-Chafer-creat4491-en-EN-interactive.pdf
5. Winnti组织使用新后门PipeMon针对视频游戏公司
【概述】
Hangover组织针对南亚的政府和军事组织提倡了鱼叉式垂纶攻击。此次攻击使用带有信件或政府表格文件引诱用户浏览受攻击的网站 ，这些网站里有携带BackConfig木马的Microsoft Excel文件 ，该恶意木马具有无邪的插件系统结构 ，可用于提供种种功效的组件 ，包括网络系统和键盘纪录信息以及上载和执行其他有用负载的能力。Hangover ，也被称为Patchwork、Dropping Elephant、VICEROY TIGER等 ，是一个与印度有关的威胁组织。
【参考链接】
https://unit42.paloaltonetworks.com/updated-backconfig-malware-targeting-government-and-military-organizations/
6. APT15组织的新后门Ketrum
【概述】
Lampion木马通过仿冒葡萄牙政府提供的抗击新冠疫情的相关电子邮件举行分发 ，收件人单击电子邮件中的链接时 ，恶意软件将从在线服务器下载。该恶意软件网络系统页面、已装置软件、Web浏览器历史纪录等用户信息 ，还允许攻击者通过专门设计的Web界面会见和使用受熏染的盘算机。
【参考链接】
https://seguranca-informatica.pt/trojan-lampion-is-back-after-3-months/#.Xrudm2gzaUl
7. Amadey恶意软件新版本可分发Remcos木马
【概述】
Amadey恶意软件被熏染后会将用户数据发送到C&C服务器 ，并执行C&C服务器发回的其他使命。近期该恶意软件泛起新版本 ，通过著名的RIG Exploit Kit (RIG EK)交付 ，熏染后向用户盘算机分发Remcos木马。此次攻击主要针对加拿大的Windows 7系统。
【参考链接】
https://www.zscaler.com/blogs/research/latest-version-amadey-introduces-screen-capturing-and-pushes-remcos-rat
8. WolfRAT恶意软件针对泰国用户
【概述】
WolfRAT恶意软件基于DenDroid恶意软件家族泛起的 ，近期攻击者使用WolfRAT用作作情报网络工具或阻挡工具 ，其目的针对泰国的Android装备的通讯应用程序。WolfRAT疑似有黑客组织Wolf Research有关 ，该组织善于于开发窃密恶意软件。
【参考链接】
https://blog.talosintelligence.com/2020/05/the-wolf-is-back.html
9. 攻击者使用Mandrake特工软件举行网络垂纶攻击
【概述】
Android特工软件框架Mandrake从2016年以来就一直活跃 ，该特工软件并不致力于熏染更多的装备 ，而是旨在从用特定用户手机中窃取更多的数据 ，它可以调低手机音量、阻挡电话或信息、窃取证书、窃守信息举行转账和勒索并且实验垂纶攻击 ，受害者漫衍在澳大利亚、美国、加拿大和一些欧洲国家。
【参考链接】
https://www.bitdefender.com/files/News/CaseStudies/study/329/Bitdefender-PR-Whitepaper-Mandrake-creat4464-en-EN-interactive.pdf
10. 针对学术数据中心举行加密钱币挖矿
【概述】
攻击者使用受损的的SSH凭证从一个受害者跳到其他相关联受害者举行CPU挖矿运动 ，被熏染的主机分成三类：XMR挖掘主机、XMR署理主机、SOCKS署理主机和隧道主机 ，此次攻击针对中国、欧洲和北美的学术数据中心 ，这些数据中心都被用于正在举行COVID-19研究。
【参考链接】
https://csirt.egi.eu/academic-data-centers-abused-for-crypto-currency-mining/
