AG公司云
【威胁通告】AG公司科技威胁情报月报（2021年2月）
2021-03-05
2月，AG公司科技威胁情报中心（NTI）宣布了多个误差和威胁事务通告，其中，Windows TCP&IP 远程代码执行误差（CVE-2021-24074）以及VMware多个高危误差影响较大。前者该误差位于IPv4源路由中，Windows默认设置下不启用此功效，攻击者可通过结构特殊的IP数据包，在目的主机上远程执行恣意代码。CVSS评分为9.8；后者是VMware官方披露vSphere Client、ESXi的两个高危误差：CVE-2021-21972：vSphere Client（HTML5）在vCenter Server插件vRealize Operations中包括一个远程执行代码误差，CVSSv3评分9.8，受影响的vRealize Operations插件为默认装置；CVE-2021-21974：ESXi中使用的OpenSLP保存堆溢出误差，CVSSv3评分8.8。与ESXi处于统一网段中且可以会见427端口的攻击者可触发OpenSLP服务中的堆溢出问题，从而导致远程执行代码。
另外，本次微软共修复了11个Critical级别误差，43个Important级别误差，2个Moderate级误差。强烈建议所有用户尽快装置更新。
在本月的威胁事务中，具有政府配景的威胁组织较活跃，其中包括朝鲜的Lazarus组织、俄罗斯的Turla组织、以及BlackTech威胁组织；随着比特币一连增添，发动数字虚拟钱币市值整体飙升，挖矿团伙也非�；钤�，包括TeamTNT、H2Miner团伙等；同时本月夏历春节时代，云服务是攻击者进攻的重点目的工具。
以上所有误差情报和威胁事务情报、攻击组织情报，以及关联的IOC，均可在AG公司威胁情报中心获取，网址：https://nti.nsfocus.com/
一、 误差态势
2021年02月AG公司科技清静误差库共收录262个误差, 其中高危误差53个，微软高危误差13个。
* 数据泉源：AG公司科技威胁情报中心，本表数据阻止到2021.02.28
注：AG公司科技误差库包括应用程序误差、清静产品误差、操作系统误差、数据库误差、网络装备误差等；
二、 威胁事务
1. Turla组织安排IronPython恶意软件加载程序
【标签】IronNetInjector
【时间】2021-02-19
【简介】
俄罗斯黑客组织Turla正在安排一个基于IronPython的恶意软件加载器，称为IronNetInjector，新的加载器通过使用IronPython直接使用.NET Framework API以及Python库的能力来提供ComRAT（一种远程会见木马），具有混淆恶意软件代码以及加密息争密NET注入器和有用载荷的功效。
【关联的攻击组织】
Turla Group是一个俄罗斯威胁组织，自2014年以来已熏染凌驾45个国家数台盘算机，其中包括政府、军事、外交、教育和医药行业。
【参考链接】
https://unit42.paloaltonetworks.com/ironnetinjector/
【防护步伐】
AG公司威胁情报中心关于该事务提取15条IOC，其中包括15个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
2. Lazarus使用Internet Explorer 0day误差攻击清静研究者的运动
【标签】Lazarus
【时间】2021-02-04
【简介】
近期，韩国清静公司ENKI披露了一起使用Internet Explorer 0day误差攻击清静研究者的运动。该运动是由谷歌发明的朝鲜组织针对清静职员攻击事务的一部分，攻击者已被确以为朝鲜APT组织Lazarus。在攻击运动中，Lazarus结构了一个带有诱饵内容和恶意链接的mht文件，称为“Chrome_85_RCE_Full_Exploit_Code.mht”，经由SNS等渠道发送给清静研究者，该mht文件携带恶意的JS内容，会通过指定url下载JS木马，最终投递带有Internet Explorer 0day误差的攻击载荷，将shellcode木马植入受害者主机当中。
【关联的攻击组织】
Lazarus Group（又名 HIDDEN COBRA、Guardians of Peace、ZINC 和 NICKEL ACADEMY）是一个威胁 组织，归属于朝鲜政府，该组织至少从 2009 年以来一直活跃。
【参考链接】
http://blog.nsfocus.net/stumpzarus-apt-lazarus/
https://enki.co.kr/blog/2021/02/04/ie_0day.html
https://blog.google/threat-analysis-group/new-campaign-targeting-security-researchers
【防护步伐】
AG公司威胁情报中心关于该事务提取5条IOC，其中包括5个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
3. KUBERNETES集群遭挖矿木马突袭
【标签】KUBERNETES
【时间】2021-02-23
【简介】
2021年年头，TeamTNT团伙被发明入侵了某Kubernetes集群，通过团结剧本和现有工具，最终在容器内植入门罗币挖矿木马。
【关联的攻击组织】
TeamTNT是一个主要入侵在线容器并通过挖矿和DDoS举行牟利的攻击团伙。
【参考链接】
http://blog.nsfocus.net/kubernetes%e9%9b%86%e7%be%a4%e9%81%ad%e6%8c%96%e7%9f%bf%e6%9c%a8%e9%a9%ac%e7%aa%81%e8%a2%ad/
【防护步伐】
AG公司威胁情报中心关于该事务提取31条IOC，其中包括7个IP，5个域名和19个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
4. Kasablanka组织针对Windows和Android平台的攻击运动
【标签】Kasablanka
【时间】2021-02-09
【简介】
LodaRAT新版本添加Android作为目的平台，并在针对Windows的新版本中添加等录音功效。近期Kasablanka组织使用LodaRAT新版本针对孟加拉国举行网络特工运动，旨从Android和Windows平台中网络敏感信息。
【关联的攻击组织】
Kasablanka，又名Kasablanca，是一个以信息窃取为目的的威胁组织。
【参考链接】
https://blog.talosintelligence.com/2021/02/kasablanka-lodarat.html
【防护步伐】
AG公司威胁情报中心关于该事务提取25条IOC，其中包括3个IP，8个域名和14个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
5. 攻击者使用BendyBear针对多个东亚政府组织
【标签】BendyBear
【针对行业】政府
【时间】2021-02-09
【简介】
近期攻击者使用BendyBear恶意软件针对多个东亚政府组织提倡攻击运动，此次攻击运动疑似有BlackTech组织有关，该组织最早可追溯到2014年。
【关联的攻击组织】
BlackTech是一个最早活跃于2014年7月的网络特工组织，主要针对东亚（尤其是台湾）举行特工运动。
【参考链接】
https://unit42.paloaltonetworks.com/bendybear-shellcode-blacktech/
【防护步伐】
AG公司威胁情报中心关于该事务提取7条IOC，其中包括7个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
6. 黑客使用Masslogger木马变种窃取用户凭证的攻击运动
【标签】Masslogger
【时间】2021-02-17
【简介】
Masslogger是一个用.NET编写的特工软件程序，主要是从浏览器中窃取用户凭证，还从一些盛行的新闻收发应用程序和电子邮件客户端中窃取用户凭证。
【参考链接】
https://blog.talosintelligence.com/2021/02/masslogger-cred-exfil.html
【防护步伐】
AG公司威胁情报中心关于该事务提取13条IOC，其中包括13个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
7. FreakOut使用最新误差建设僵尸网络
【标签】FreakOut
【时间】2021-02-19
【简介】
2021年1月上旬，CNCERT物联网威胁剖析团队通过实时运转的数据平台捕获到一种未知恶意程序out.py，它的典范撒播域名为gxbrowser.net。AG公司科技伏影实验室对该程序样本、撒播Payload等举行深入研究，并与开源情报举行比对，确认它是一种新型僵尸网络家族。1月中下旬，多家海内外公司也发明了这个恶意程序，由于它的名称为out.py，且关联到的攻击者代号为Freak，因此该家族被命名为FreakOut，该恶意程序在撒播中使用了CVE-2020-28188、CVE-2020-7961和CVE-2021-3007三个误差。
【参考链接】
https://research.checkpoint.com/2021/freakout-leveraging-newest-vulnerabilities-for-creating-a-botnet/
【防护步伐】
AG公司威胁情报中心关于该事务提取4条IOC，其中包括4个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
8. H2Miner挖矿团伙使用多个误差武器攻击云上主机
【标签】H2Miner
【时间】2021-02-22
【简介】
研究职员检测到春节时代H2Miner挖矿团伙异�；钤�，该团伙使用多个误差武器攻击云上主机挖矿，除使用该团伙习用的XXL-JOB未授权下令执行攻击之外，还使用了PHPUnit远程代码执行误差（CVE-2017-9841)、Supervisord远程下令执行误差（CVE-2017-11610）和ThinkPHP 5.X远程下令执行误差举行攻击扩散，最终投递名为kdevtmpfsi的XMR门罗币矿机组件挖矿牟利。
【参考链接】
https://s.tencent.com//research/report/1254.html
【防护步伐】
AG公司威胁情报中心关于该事务提取6条IOC，其中包括2个IP，1个域名和3个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
9. NightScou针对亚洲在线游戏社区的网络特工运动
【标签】NightScou
【针对行业】在线游戏社区
【时间】2021-02-01
【简介】
ESET的研究职员发明了一个供应链攻击，用于针对亚洲在线游戏社区的网络特工行动。2021年1月，该团队发明了一个新的供应链攻击，并且破损了NoxPlayer的更新机制，NoxPlayer是一个用于pc和mac的Android仿真器，是BigNox产品系列的一部分，在全球拥有凌驾1.5亿用户。
【参考链接】
https://www.welivesecurity.com/2021/02/01/operation-nightscout-supply-chain-attack-online-gaming-asia/
【防护步伐】
AG公司威胁情报中心关于该事务提取11条IOC，其中包括4个IP，3个域名和4个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
10. 攻击者使用Kobalos恶意软件针对高性能盘算集群（HPC）的攻击运动
【标签】Kobalos
【时间】2021-02-02
【简介】
ESET的研究职员剖析了针对高性能盘算（HPC）集群和其他高关注目的的恶意软件。他们对这个小而重大的恶意软件举行了反向工程，恶意软件可以移植到许多操作系统，包括Linux、BSD、Solaris，甚至AIX和Windows。他们将这个恶意软件命名为Kobalos。
【参考链接】
https://www.welivesecurity.com/2021/02/02/kobalos-complex-linux-threat-high-performance-computing-infrastructure/
【防护步伐】
AG公司威胁情报中心关于该事务提取10条IOC，其中包括10个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
11. 网络罪犯使用Accelion FTA举行数据偷窃和勒索的攻击运动
【标签】Accelion FTA
【时间】2021-02-22
【简介】
从2020年12月中旬最先，Mandiant在UNC2546跟踪的恶意行为者使用了Accellion的旧式文件传输装备（FTA）中的多个零日误差，装置了一个新发明的名为DEWMODE的Web Shell，在运行旧版FTA产品（如UNC2546）时使用Accellion FTA误差举行数据偷窃。
【参考链接】
https://www.fireeye.com/blog/threat-research/2021/02/accellion-fta-exploited-for-data-theft-and-extortion.html
【防护步伐】
AG公司威胁情报中心关于该事务提取8条IOC，其中包括6个IP和2个样本；AG公司清静平台与装备已集成响应情报数据，为客户提供相关防御检测能力。
