AG公司云
AG公司科技威胁情报月报（2020年9月）
2020-09-29
9月，AG公司科技威胁情报中心（NTI）宣布了多个误差和威胁事务通告，其中，Linux 内核权限提升误差（CVE-2020-14386）以及WebSphere XML 外部实体注入(XXE)误差（CVE-2020-4643）影响较大。前者由于net/packet/af_packet.c 在处置惩罚AF_PACKET 时保存整数溢出，导致可举行越界写从而实现权限提升，攻击者可以使用此误差从非特权历程获得系统root 权限；后者由于WAS 未准确处置惩罚XML 数据，攻击者可以使用 此误差远程获取服务器上的敏感信息。
另外，本月微软修复129个清静问题，Critical的误差共有23个，若干个Important级别，请相关用户实时更新补丁举行防护。
在本月的威胁事务中，针对国家和政府的攻击比重较大，政治色彩居多；其次是挖矿木马和针对电子邮件所举行的攻击。网络清静为人民，网络清静靠人民，攻击事务天天都在爆发，网络清静问题正引起更多的关注和重视。
以上所有误差情报和威胁事务情报、攻击组织情报，以及关联的IOC，均可在AG公司威胁情报中心获取，网址：https://nti.nsfocus.com/
一、 误差态势
2020年09月AG公司科技清静误差库共收录108个误差, 其中高危误差20个。
* 数据泉源：AG公司科技威胁情报中心，本表数据阻止到2020.09.28
注：AG公司科技误差库包括应用程序误差、清静产品误差、操作系统误差、数据库误差、网络装备误差等；
二、 威胁事务
1. 挖矿木马MrbMiner控制上千台服务器
【标签】MrbMiner
【时间】2020-09-01
【简介】
新型挖矿木马家族MrbMiner，该挖矿木马文件通过ZIP解压缩获得，并且会伪装成种种Windows系统服务。黑客通过SQL Server服务器弱口令爆破入侵，爆破乐成后在目的系统释放C#语言编写的木马assm.exe，进一步通过该木马与C2服务器通讯，然后下载门罗币挖矿木马并维持挖矿历程。MrbMiner挖矿木马会小心隐藏自身，阻止被治理员发明。
【参考链接】
https://s.tencent.com//research/report/1105.html
【防护步伐】
AG公司威胁情报中心关于该事务提取43条IOC，其中包括2个IP，2个域名和39个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
2. RCE误差针对vBulletin
【标签】RCE
【时间】2020-09-02
【简介】
针对盛行论坛软件vBulletin的一个远程代码执行（RCE）误差被发明为CVE-2019-16759。该误差使用绕过了先前误差CVE-2019-16759的修复，攻击者可以使用此误差发送带有指定模板名称和恶意PHP代码的全心设计的HTTP请求，并导致远程执行代码。在vBulletin上建设了凌驾100,000个站点，其中包括大型企业和组织的论坛 。
【参考链接】
https://unit42.paloaltonetworks.com/cve-2020-17496/
【防护步伐】
AG公司威胁情报中心关于该事务提取45条IOC，其中包括2个IP和38个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
3. URSA特洛伊木马针对使用重大加载程序的国家
【标签】URSA
【时间】2020-09-14
【简介】
URSA木马，一种衍生品，也被ESET 称为mispadu 恶意软件。该恶意软件是一种特洛伊木马恶意软件，当装置在受害者的装备上时，它会从浏览器以及盛行的软件（例如FTP和电子邮件服务）中网络密码，并执行银行浏览器笼罩，以诱使受害者在执行流程时引入银行凭证–分步举行–在犯法分子的后台。
【参考链接】
https://seguranca-informatica.pt/threat-analysis-the-emergent-ursa-trojan-impacts-many-countries-using-a-sophisticated-loader/#.X2RmWMEzaM9
【防护步伐】
AG公司威胁情报中心关于该事务提取24条IOC，其中包括14个IP和10个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
4. Dofloo僵尸网络针对Docker容器
【标签】Dofloo
【时间】2020-09-16
【简介】
Dofloo（AESDDoS）僵尸网络正批量扫描和攻击Docker容器。部分云主机上安排的Docker容器没有针对远程会见做清静认证，保存Remote API允许未授权使用误差且袒露在公网，导致黑客通过误差入侵并植入Dofloo僵尸网络木马。此次Dofloo僵尸网络入侵系统后，会搜集系统敏感信息并加密上传，吸收C&C服务器指令，执行种种DDoS攻击。
【参考链接】
https://s.tencent.com//research/report/1127.html
【防护步伐】
AG公司威胁情报中心关于该事务提取13条IOC，其中包括3个IP和10个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
5. Glupteba恶意软件攻击政府组织
【标签】Glupteba
【时间】2020-09-21
【简介】
攻击者使用Glupteba恶意软件，试图从浏览器中窃取敏感信息，例如密码和信用卡信息以及电子邮件帐户凭证。由于这些属于政府机构，以是攻击者获得用户的信息的效果很是严重。该恶意软件的新菌株还使用到了恶意广告，将用户定向到有数的端点并强制异常文件下载。下载此文件后，装备通过异常通讯通道启动了到可疑端点的进一步加密毗连。同时，装备会从具有异常用户署理“ CertUtil URL署理”的域中下载了另一个可执行文件。
【参考链接】
https://www.darktrace.com/en/blog/fast-and-stealthy-malware-attempts-to-steal-public-data-from-government-organization/
【防护步伐】
AG公司威胁情报中心关于该事务提取13条IOC，其中包括13个IP；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
6. MoDi RAT通过电子邮件撒播
【标签】MoDi RAT
【时间】2020-09-24
【简介】
SophosLabs的两位研究职员上个月在通过威胁遥测举行征采时无意发明了一种不寻常的反射式装载机攻击要领。攻击链始于包括一些仇视的VB剧本代码的恶意电子邮件，最后以交付名为MoDi RAT的商品远程会见木马为最后。该攻击代表了我们看到的大大都无文件攻击怎样起作用。AMSI为Sophos提供了自动�；た突馐芤幌盗欣嗨乒セ鞯哪芰�，而我们能够获得的遥测手艺使我们能够深入这些兔子洞，从而可以更有用地识别和增强�；�。
【参考链接】
https://news.sophos.com/en-us/2020/09/24/email-delivered-modi-rat-attack-pastes-powershell-commands/
【防护步伐】
AG公司威胁情报中心关于该事务提取7条IOC，其中包括1个域名和6个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
