AG公司云
AG公司科技威胁情报周报（2020.06.29-2020.07.05）
2020-07-07
一、 威胁通告
Treck TCP/IP协议库“ Ripple20”误差
【宣布时间】2020-06-30 18:00:00 GMT
【概述】
克日 ，以色列网络清静公司JSOF的研究职员在Treck公司开发的底层TCP/IP软件库中发明了19个0day误差 ，包括 CVE-2020-11896、CVE-2020-11897、CVE-2020-11898、CVE-2020-11899、CVE-2020-11900、CVE-2020-11901、CVE-2020-11902、CVE-2020-11903、CVE-2020-11904、 CVE-2020-11905、CVE-2020-11906、CVE-2020-11907、CVE-2020-11908、CVE-2020-11909、CVE2020-11910、CVE-2020-11911、CVE-2020-11912、CVE-2020-11913、CVE-2020-11914。这些误差被JSOF命名为“Ripple20”。 TreckTCP/IP是专门为嵌入式系统设计的高性能TCP/IP协议套件 ，这一系列误差都为内存 损坏问题 ，源于使用差别协议（包括 IPv4 ，ICMPv4 ，IPv6 ，IPv6OverIPv4 ，TCP ，UDP ，ARP ，D HCP ，DNS或以太网链路层）在网络上发送的数据包的处置惩罚过失。“Ripple20”影响普遍领域的物联网装备 ，涉及HP、SchneiderElectric、Cisco、RockwellAutomation、Caterpillar、Baxter等众多供应商 ，可能导致loT装备受到拒绝服务和远程下令执行等攻击。
【链接】
http://blog.nsfocus.net/ripple-20-0630/
二、 热门资讯
1. Microsoft Windows编解码器库远程代码执行误差
【概述】
北京时间7月1日 ，微软宣布暂时通告称修复了2个Windows编解码器库（Microsoft Windows Codecs Library）中保存的远程代码执行误差（CVE-2020-1425,CVE-2020-1457）。攻击者可以通过一个特制的图像文件来触发该误差 ，从而执行代码。现在微软已经宣布补丁举行了修复。
【参考链接】
http://blog.nsfocus.net/ms-codecs-library-0701/
2. F5 BIG-IP TMUI 远程代码执行误差
【概述】
克日 ，F5官方宣布通告修复了一个流量治理用户界面（TMUI）保存一个远程代码执行误差（CVE-2020-5902）。此误差允许未经身份验证的攻击者或经由身份验证的用户通过BIG-IP治理端口和/或自身IP对TMUI举行网络会见 ，以执行恣意系统下令 ，建设或删除文件 ，禁用服务和/或执行恣意操作Java代码。此误差可能导致完整的系统危害。
【参考链接】
http://blog.nsfocus.net/f5-big-ip-tmui-0705/
3. WastedLocker勒索软件针对美国公司
【概述】
攻击者通过SocGholish恶意框架在伪装成软件更新的网站上举行撒播 ，获得受害者网络的会见权限后 ，使用Cobalt Strike工具和其他远程毗连工具来窃取凭证 ，升级特权并在网络上撒播安排WastedLocker勒索软件。WastedLocker勒索软件对美国公司 ，通过对大大都盘算机和服务器举行加密来削弱IT基础架构 ，以要求获得数百万美元的赎金。
【参考链接】
https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/wastedlocker-ransomware-us
4. PROMETHIUM组织使用StrongPity3恶意软件举行攻击
【概述】
PROMETHIUM组织通过Firefox浏览器、VPNpro客户端、DriverPack驱动程序和5kPlayer媒体播放器四个新的木马化装置文件撒播恶意软件StrongPity3 ，此次攻击运动针对哥伦比亚、印度、加拿大和越南。PROMETHIUM是一个至少从2012年最先活跃的威胁组织。
【参考链接】
https://blog.talosintelligence.com/2020/06/promethium-extends-with-strongpity3.html
5. Thanos勒索软件通过垂纶邮件撒播
【概述】
Thanos勒索软件主要通过以财务信息作为诱饵的网络垂纶电子邮件举行撒播 ，该软件在半年内举行快速迭代 ，增添了许多新功效 ，并且使用RIPlace手艺逃避清静检测。
【参考链接】
https://labs.sentinelone.com/thanos-ransomware-riplace-bootlocker-and-more-added-to-feature-set/
6. Firefox差别版本中发明mPath误差
【概述】
近期研究职员发明Mozilla Firefox版本76.0.2 x64和Firefox Nightly版本78.0a1 x64的URL mPath误差 ，攻击者使用此误差需要建设一个特制的网页 ，并让潜在的受害者通过浏览器举行会见。URL工具导致越界读取 ，并使攻击者能够使用走漏的内存来绕过ASLR和其他误差 ，并最终获得恣意代码执行。
【参考链接】
https://www.binarydefense.com/threat_watch/mpath-vulnerability-discovered-in-different-firefox-versions/
7. Outlaw僵尸网络攻击海内大宗企业
【概述】
Outlaw僵尸网络主要特征为通过SSH爆破攻击目的系统 ，同时撒播基于Perl的Shellbot和门罗币挖矿木马。克日Outlaw僵尸网络使用物联网（IoT）装备和Linux服务器上的常见下令注入误差举行熏染 ，熏染乐成后在Linux服务器上远程执行代码 ，海内大宗企业用户收到影响。
【参考链接】
https://s.tencent.com//research/report/1021.html
8. Agent Tesla通过网络垂纶邮件撒播
【概述】
Agent Tesla是一种可以窃取浏览器、FTP和邮件凭证等数据的特工软件 ，以RTF文件作为附件的网络垂纶电子邮件撒播 ，用户执行附件后会通过五个一连启用宏的请求诱导用户执行天生的Powershell代码下载该恶意软件。
【参考链接】
https://www.deepinstinct.com/2020/07/02/agent-tesla-a-lesson-in-how-complexity-gets-you-under-the-radar/
9. Ursnif恶意软件冒充税务局邮件撒播
【概述】
攻击者通过模拟税务局的电子邮件发送给用户 ，并诱导用户审查邮件中附加XLS文档以装置Ursnif恶意软件。
【参考链接】
https://cert-agid.gov.it/news/finta-comunicazione-dellagenzia-delle-entrate-veicola-il-malware-ursnif/
10. MyKings僵尸网络引用Corona病毒
【概述】
MyKings是一款破解SQL Server或使用EternalBlue误差熏染盘算机的僵尸网络 ，近期对其使用的EternalBlue� ？榫傩辛松倭扛� ，升级了更新机制 ，并且使用了对Corona病毒的引用。
【参考链接】
https://news.sophos.com/en-us/2020/07/02/mykings-jumps-on-the-corona-train/
11. 新勒索软件EvilQuest针对macOS用户
【概述】
新勒索软件EvilQuest旨在对macOS系统举行加密 ，与其他勒索软件差别的是 ，EvilQuest还装置了键盘纪录程序、反向外壳并从受熏染的主机上窃取加密钱币钱包。
【参考链接】
https://securityaffairs.co/wordpress/105419/malware/macos-evilquest-ransomware.html
