AG公司云
AG公司科技威胁情报周报（2020.07.06-2020.07.12）
2020-07-15
一、 威胁通告
F5 BIG-IP TMUI远程代码执行误差
【宣布时间】2020-07-12 13:00:00 GMT
【概述】
克日，AG公司科技监测到F5官方对流量治理用户界面（TMUI）远程代码执行误差（CVE-20 20-5902）的清静通告举行了更新。受影响的15.x版本变换为15.0.0-15.1.0，更新了可被绕过的暂时缓解步伐及验证要领；未经身份验证的攻击者通过BIG-IP治理端口或自身IP会见TMUI，可结构恶意请求获取目的服务器权限，CVSS评分为10分。
【链接】
http://blog.nsfocus.net/f5-big-ip-tmui-0705/
Citrix多个高危误差
【宣布时间】2020-07-12 14:00:00 GMT
【概述】
克日，Citrix宣布清静更新通告，体现已修复其Citrix ADC(以前称为NetScaler ADC)、Citrix Gateway?(以前称为NetScaler Gateway)和Citrix SD-WAN WANOP装备中的共11个误差。
【链接】
http://blog.nsfocus.net/citrix-0712/
二、 热门资讯
1. Evilnum组织针对金融科技公司
【概述】
Evilnum组织通过指向包括在Google云端硬盘中的ZIP文件的链接的鱼叉式电子邮件来撒播恶意软件，该组织的主要目的是监视某些金融科技公司并从目的公司及其客户那里获取财务信息，如带有客户清单、投资和生意操作的电子表格和文档，来自浏览器的Cookies、会话信息、客户信用卡信息和地点/身份证实文件等。
【参考链接】
https://www.welivesecurity.com/2020/07/09/more-evil-deep-look-evilnum-toolset/
2. Mirai新变种增添CVE-2020-10173误差使用
【概述】
Mirai新变种使用的误差由新旧团结组成，可资助构建笼罩差别类型毗连装备的普遍网络。近期攻击运动中使用的九个误差会影响IP摄像机、智能电视和路由器等的特定版本。值得一提的是其中CVE-2020-10173是在Comtrend VR-3033路由器中发明的多重身份验证下令注入误差，远程恶意攻击者可以使用此误差来破损路由器治理的网络。
【参考链接】
https://blog.trendmicro.com/trendlabs-security-intelligence/new-mirai-variant-expands-arsenal-exploits-cve-2020-10173/
3. Operation Honey Trap:APT36针对印度国防组织
【概述】
APT36针对印度国防组织和其他政府组织的职员发动Honey Trap行动，使用引诱性的虚伪资料诱使目的工具翻开电子邮件，或是在新闻转达平台上谈天，最终导致目的用户下载恶意软件。APT36，又名ProjectM、Transparent Tribe和TEMP.Lapis，是一个至少从2016年活跃至今的巴基斯坦威胁组织，主要针对印度政府、国防部和使馆。
【参考链接】
https://www.seqrite.com/blog/operation-honey-trap-apt36-targets-defense-organizations-in-india/
4. Lazarus组织使用Magecart攻击美国和欧洲电商
【概述】
Lazarus组织使用未经授权的会见将恶意剧本注入市肆结帐页面，客户完成生意后，通过Magecart阻挡的数据将发送到攻击者控制的收款服务器。攻击者使用鱼叉式攻击来获取零售职员的密码，修改运行在线市肆的盘算机代码完成对生意的阻挡，此次攻击运动主要针对美国和欧洲电商。Lazarus Group（又名HIDDEN COBRA、Guardians of Peace、ZINC和NICKEL ACADEMY）是一个威胁组织，归属于朝鲜政府，该组织至少从2009年以来一直活跃。
【参考链接】
https://sansec.io/research/north-korea-magecart#fn:hiddencobra
5. Lampion木马新变种针对葡萄牙
【概述】
Lampion木马新变体通过简朴的电子邮件模板分发，用户通过邮件在其中下载了内部包括VBS下载器的ZIP文件。攻击者使用伪造的网页分发了一个MSI文件，该文件使用了模拟葡萄牙政府的主题COVID-19，并在被执行后启动VBS文件下载恶意软件。
【参考链接】
https://seguranca-informatica.pt/new-release-of-lampion-trojan-spreads-in-portugal-with-some-improvements-on-the-vbs-downloader/#.XwPiOigzbIU
6. Joker新变体伪装成正当应用使用Google Play撒播
【概述】
近期研究职员在Google Play上发明Joker Dropper和Premium Dialer特工软件的新变体，其中Joker新变体能够将其他恶意软件下载到装备上，从而在用户不知情或未赞成的情形下向用户订阅了高级服务。Joker是Android上最著名的恶意软件之一，新变体将恶意dex文件隐藏为Base64编码的字符串，以阻止被Google检测到，同时使用Notification Listener服务和动态dex文件执行注册实现在未征得其用户知情或赞成的情形下向应用程序用户订阅高级服务的功效。
【参考链接】
https://research.checkpoint.com/2020/new-joker-variant-hits-google-play-with-an-old-trick/
7. 攻击者针对葡萄牙发动网络垂纶运动
【概述】
近期针对葡萄牙的网络垂纶运动中，攻击者分发垂纶邮件以账户被屏障或者账户分类不对理为诱饵指导受害者点击超链接，从而将其指导到响应的运动上岸页面，此次攻击运动旨在网络葡萄牙受害者的小我私家数据和信用卡信息。
【参考链接】
https://seguranca-informatica.pt/diversas-campanhas-de-phishing-em-curso-em-portugal-com-o-objetivo-de-exfiltrar-detalhes-dos-cartoes-de-credito-das-vitimas/#.XwaN5SgzbIU
8. 使用SaltStack误差提倡的恶意挖矿运动
【概述】
攻击者使用SaltStack上运行的ZeroMQ协议中的CVE-2020-11651和CVE-2020-11652误差举行攻击运动，这些误差将允许以root用户身份直接在目的系统上执行远程代码，从而以最高的系统特权乐成下载并执行剧本，剧本会扫除许多先前保存的挖矿软件和已知的清静工具和软件，然后下载自身恶意挖矿软件。
【参考链接】
https://www.darktrace.com/en/blog/speed-of-weaponization-from-vulnerability-disclosure-to-crypto-mining-campaign-in-a-week/
9. CracxStealer窃密木马滥用软件破解补丁撒播
【概述】
CracxStealer窃密木马近期通过境外软件破解补丁下载网站（cracx[.]com）撒播，该木马被植入网站提供下载的系统工具、媒体软件、办公软件、大型游戏、以及设计类等商业软件的破解补丁包中，一旦被熏染，用户的登录凭证、浏览器设置文件、加密钱币钱包账号等敏感信息会被打包发送至攻击者的下令和控制服务器。
【参考链接】
https://s.tencent.com//research/report/1034.html
10. Cerberus银行木马针对西班牙Android用户
【概述】
近期Cerberus木马在Google Play上伪装成正当应用程序Calculadora de Moneda（西班牙钱币转换器），以西班牙Android用户为目的，并被下载了10,000次以上。Cerberus木马可会见用户的银行营业详细信息、阅读短信、双因素身份验证详细信息等，并窃取所有会见数据。
【参考链接】
https://blog.avast.com/avast-finds-banking-trojan-cerberus-on-google-play-avast
