AG公司云
AG公司科技威胁情报周报（2020.07.13-2020.07.19）
2020-07-20
一、 威胁通告
Windows DNS服务器远程代码执行误差
【宣布时间】2020-07-15 12:00:00 GMT
【概述】
2020年7月15日，微软宣布7月清静更新补丁，其中修复了一个WindowsDNS服务器远程代码执行误差（CVE-2020-1350），代号为SigRed，此误差已保存17年之久，CVSS评分为10。默认设置下，未履历证的攻击者可以向WindowsDNS服务器发送恶意请求来使用此误差。
【链接】
https://nti.nsfocus.com/threatWarning
Weblogic多个远程代码执行误差
【宣布时间】2020-07-15 12:00:00 GMT
【概述】
2020年7月15日，Oracle官方宣布2020年7月要害补丁更新（CriticalPatchUpdate），修复了443个危害水平差别的清静误差。其中包括4个WebLogic的严重误差（CVE-2020-14625、CVE2020-14644、CVE-2020-14645、CVE-2020-14687），此4个误差均和T3、IIOP协议相关，未经身份验证的攻击者可通过此次的误差实现远程代码执行。CVSS评分均为9.8，使用重漂后低。
【链接】
https://nti.nsfocus.com/threatWarning
微软2020年7月清静更新
【宣布时间】2020-07-15 18:00:00 GMT
【概述】
北京时间2020年7月15日，微软宣布7月清静更新补丁，修复了124个清静问题，涉及Microsoft Windows、InternetExplorer、MicrosoftOffice、MicrosoftEdge、WindowsDefender、Visual Studio等普遍使用的产品，其中包括远程代码执行和权限提升等高危误差类型。本月微软月度更新修复的误差中，严重水平为要害（Critical）的误差共有18个，主要（Important）误差有106个。
【链接】
https://nti.nsfocus.com/threatWarning
二、 热门资讯
1. SAP NetWeaver AS Java严重误差
【概述】
外地时间2020年7月13日，SAP宣布清静更新体现，修复了一个保存于SAP NetWeaver AS Java（LM设置向导）7.30至7.50版本中的严重误差CVE-2020-6287。误差缘于SAP NetWeaver AS for Java Web组件中缺少身份验证，因此允许攻击者在受影响的SAP系统上举行高特权运动。
【参考链接】
http://blog.nsfocus.net/sap-netweaver-as-java-0714/
2. Oracle全系产品2020年7月要害补丁更新
【概述】
外地时间2020年7月14日，Oracle官方宣布了2020年7月要害补丁更新通告CPU（Critical Patch Update），清静通告以及第三方清静通告等通告内容，修复了443个差别水平的误差。
【参考链接】
http://blog.nsfocus.net/oracle-july-0715/
3. Adobe 2020年7月清静更新
【概述】
外地时间7月14日，Adobe官方宣布了7月清静更新，修复了Adobe 多款产品中的多个误差，包括Adobe Creative Cloud Desktop?Application、Adobe Media Encoder、Adobe Genuine Service、Adobe ColdFusion 和 Adobe Download Manager。
【参考链接】
http://blog.nsfocus.net/adobe-july-0715/
4. Cisco多款产品宣布清静更新
【概述】
外地时间2020年7月15日 ，Cisco为多款产品宣布了清静更新通告，共解决了5个评分9.8的Critical级别误差（CVE-2020-3330、CVE-2020-3323、CVE-2020-3144、CVE-2020-3331、CVE-2020-3140）。
【参考链接】
http://blog.nsfocus.net/cisco-0716/
5. APT29针对COVID-19疫苗开发组织的攻击运动
【概述】
APT29组织近期使用名为WellMess和WellMail的自界说恶意软件针对加拿大、美国和英国的加入COVID-19疫苗开发的各个组织，窃取与COVID-19疫苗的开发和测试有关的信息和知识产权。APT29(又名Cozy Bear、CozyDuke、The Dukes和YTTRIUM)是一个归属于俄罗斯政府的威胁组织，至少自2008年以来一直活跃。
【参考链接】
6. Welcome Chat恶意软件针对阿拉伯用户
【概述】
Welcome Chat看似一款功效强盛的谈天应用程序，实则是特工软件，可以监视受害者并免费获得其数据，该应用程序具有过滤已发送和已吸收的SMS新闻、通话纪录历史纪录、联系人列表、用户照片、已纪录的电话、GPS装备的位置以及装备信息的功效，近期Welcome Chat旨在被攻击者使用针对阿拉伯用户。此次攻击运动疑似与Molerats组织有关。
【参考链接】
https://www.welivesecurity.com/2020/07/14/welcome-chat-secure-messaging-app-nothing-further-truth/
7. Turla组织使用NewPass恶意软件针对外交领域
【概述】
NewPass是一个相当重大的恶意软件，它由滴管、加载器库和二进制文件组成，依赖一个编码的文件在相互之间转达信息和设置。滴管用于安排二进制文件，加载器库能够解码提取最后一个组件的二进制文件，认真执行特定的操作。Turla组织近期使用NewPass恶意软件针对至少一个欧友邦家的外交和外交事务部分。Turla是一个总部位于俄罗斯的威胁组织，自2004年以来一直活跃。
【参考链接】
https://www.telsy.com/turla-venomous-bear-updates-its-arsenal-newpass-appears-on-the-apt-threat-scene/
8. RATicate组织使用CloudEyE加载程序使恶意软件正当化
【概述】
RATicate组织至少从去年最先就撒播远程治理工具（RAT）和其他窃守信息的恶意软件。近期RATicate组织使用CloudEyE加载程序以更隐藏的方法解压缩和装置RAT和信息窃取程序的有用负载。CloudEyE是一个多阶段的加载器，也是一个恶意软件的加密器，带有以Visual Basic编写的包装器。它包括一个shellcode，该shellcode认真下载加密的有用负载并将其注入到远程历程中。RATicate是一个以窃守信息为目的的威胁组织，主要针对欧洲、中东和亚洲地区。
【参考链接】
https://news.sophos.com/en-us/2020/07/14/raticate-rats-as-service-with-commercial-crypter/
9. 巴西银行木马扩展到全球
【概述】
针对巴西的四大银行木马家族包括Guildma、Javali、Melcoz和Grandoreiro，近期它们的目的用户不但是巴西，并且扩展到拉丁美洲和欧洲举行攻击运动，这些银行木马家族通过使用DGA、加密有用载荷、历程空化、挟制DLL、大宗的LoLBins、无文件熏染和其他技巧逃避剖析和检测。
【参考链接】
https://securelist.com/the-tetrade-brazilian-banking-malware/97779/
10. Darkshades木马熏染Android装备
【概述】
Darkshades是一种以Android装备为目的的远程会见木马。它具有窃取联系方法、准确跟踪位置、窃取实时短信/彩信、获取卡证书、捕获截图、加密文件和提倡DDOS攻击的功效。Darkshades木马具有两种变种，区别在于有无卡凭证抓取功效。
【参考链接】
https://insights.oem.avira.com/in-depth-analysis-of-darkshades-a-rat-infecting-android-devices/
11. SLoad恶意软件通过垃圾邮件撒播
【概述】
近期攻击者提倡新的大规模垃圾邮件运动旨在撒播SLoad恶意软件，垃圾邮件通过受熏染的PEC转达，以虚拟发票的新闻作为诱饵，该发票包括附加的恶意ZIP存档，其中包括VBS文件和XML。
【参考链接】
https://cert-agid.gov.it/news/campagna-sload-v-2-9-3-veicolata-via-pec/
12. 新型银行木马BlackRock的攻击运动
【概述】
近期在攻击运动中发明LokiBot银行木马的新变种BlackRock，其攻击目的包括大宗社交、网络、通讯和约会应用程序，同时该木马具有笼罩攻击，发送垃圾邮件和窃取SMS新闻、屏幕锁定、窃取和隐藏通知、隐藏应用程序图标和避免被移除等功效。
【参考链接】
https://www.threatfabric.com/blogs/blackrock_the_trojan_that_wanted_to_get_them_all.html
