安全威胁情报周报（3.20~3.26）

黑客利用General Bytes比特币ATM机0day漏洞窃取了160万美元的加密货币

Tag：加密货币，0day漏洞

事件概述：

近日，比特币 ATM 制造商 General Bytes 透露，身份不明的攻击者利用其软件中的 0day 安全漏洞从热钱包中窃取了加密货币。General Bytes 虽没有透露黑客窃取资金的确切金额，但对黑客攻击中使用的加密货币钱包的分析发现收到了 56.283 BTC（150 万美元）、21.823 ETH（36,500美元）和1,219.183 LTC（96,500 美元），近160万美元的加密货币。早在2022年8月，General Bytes 曾因 ATM 服务器中的 0day 漏洞，导致客户加密货币失窃。在此次攻击中，General Bytes 表示其自己的云服务以及其他运营商的独立服务器已被渗透，服务已关闭，并敦促客户将他们的加密应用程序服务器 (CAS) 置于防火墙和 VPN 之后，此外还建议所有用户更换热钱包密钥。

技术手法：

攻击者通过终端上传视频的主服务接口远程上传自定义的 Java 应用程序，并使用‘batm’用户权限运行它，恶意 Java 应用程序上传到的服务器默认配置为启动部署文件夹中的应用程序。然后扫描 Digital Ocean 云托管 IP 地址，并在端口 7741 上运行 CAS 服务，访问数据库，读取和解密用于访问热钱包和交易所资金的 API 密钥；从钱包发送资金；下载用户名、密码哈希值，并关闭双因素身份验证 (2FA)；甚至访问终端事件日志等。

来源：

https://thehackernews.com/2023/03/hackers-steal-over-16-million-in-crypto.html

SideCopy APT 组织瞄准印度国防研究与发展组织展开攻击

Tag：SideCopy，APT，印度

事件概述：

SideCopy APT 是疑似来自巴基斯坦的威胁组织，自 2019 年以来一直活跃，主要针对南亚国家，尤其是印度和阿富汗。近日，研究人员监测发现 SideCopy 威胁组织正在瞄准印度政府“国防研究与发展组织” DRDO 展开攻击活动。DRDO 是一个政府机构，负责研究和开发供印度武装部队使用的先进技术。它的重点包括创建尖端防御系统，如导弹、雷达、电子战和通信系统、海军和航空航天系统。该机构在印度的国防工业中发挥着重要作用，为该国的军事实力和国防技术作出了巨大贡献。

技术手法：

最初的感染始于一封垃圾邮件，其中包含指向受感染网站上托管的恶意文件的链接。该链接诱导用户下载包含 LNK 文件的 ZIP 文件，执行 .lnk 文件触发启动 “mshta.exe” 与特定 URL 建立链接下载 .hta 文件。.hta文件执行后对Base64 格式编码的 PPT 文件进行解码解压后在后台执行恶意活动。此外，威胁组织还通过 WMI 检索系统中的防病毒产品信息，然后加载 DLL 文件根据安装在受害者机器上的防病毒软件的类型部署相应的信息窃取软件。最后，将收集到的有关受害者机器的信息、PDF 文档、Office/文本/数据库文件和图像，通过 HTTP 或 TCP 传输到命令和控制 (C&C) 服务器。

来源：

https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/

CISA 发布八项工业控制系统公告

Tag：CISA，工业系统

事件概述：

3月21日，美国网络安全与基础设施安全局（CISA）发布8个工业控制系统（ICS）安全公告，提醒企业和政府部门注意 ICS 网络安全风险。这些公告包括西门子、罗克韦尔等工控系统的安全漏洞、影响版本及修复措施。CISA建议企业应该采取措施加强ICS网络安全，包括实施多层次防御措施，安装最新的安全更新和补丁，对ICS网络进行定期漏洞扫描，并提高员工对网络安全的意识，旨在帮助企业保护ICS网络免受攻击和数据泄露的风险。部分工控漏洞信息如下：

Keysight Technologies 设备 N6854A 地理定位服务器存在漏洞 CVE-2023-1399，成功利用此漏洞可能允许攻击者在受影响设备的默认配置中提升权限，从而导致远程代码执行或删除系统文件和文件夹。
台达电子 InfraSuite Device Master 设备中存在的多个漏洞，包括不可信数据的反序列化、不当的访问控制、暴露的危险方法或功能、路径遍历、不正确的身份验证、命令注入、关键资源的错误权限分配、关键功能的身份验证缺失等漏洞。成功利用这些漏洞可能允许未经身份验证的攻击者获取对文件和凭据的访问权限、提升权限以及远程执行任意代码。
西门子多个产品系列存在的多个漏洞。其中包括检查时间使用时间 (TOCTOU) 竞争条件、具有无法到达的退出条件的循环（“无限循环”）漏洞。在受影响的产品上利用这些漏洞可能会导致系统崩溃或权限升级。
VISAM 设备 VBASE 存在多个XML外部实体引用限制不当漏洞，成功利用这些漏洞可能允许攻击者从目标设备获取敏感信息。

此外，CISA 公告中还提供了漏洞相应缓解措施，建议用户更新至最新版本，确保设备安全。

来源：

https://www.cisa.gov/news-events/alerts/2023/03/21/cisa-releases-eight-industrial-control-systems-advisories

Mispadu银行木马瞄准拉丁美洲，窃取90,000多份凭证

Tag：银行木马，数据泄露

事件概述：

近日，研究人员监测发现了针对玻利维亚、智利、墨西哥、秘鲁和葡萄牙等国家的多场垃圾邮件活动，其目的是投递 Mispadu 银行木马并窃取凭证。Mispadu 银行木马通过绕过各种安全软件的检测，并从超过 17,500 个独特的网站获取超过 90,000 个银行账户凭证。据研究人员指出，该项活动始于2022年8月，主要策略是破坏合法网站，搜索易受攻击的 WordPress 版本，将它们变成他们命令和控制服务器传播的恶意软件，过滤掉他们不想感染的国家，基于被感染国家释放不同类型的恶意软件，从而触发多阶段感染过程。

技术手法：

威胁组织通过向目标投递包含 HTML 附件的垃圾邮件，利用电子邮件消息敦促收件人打开附件，重定向到远程服务器以获取第一阶段的恶意软件。附件文档旨在利用流氓数字证书通过滥用合法的 certutil 命令行实用程序来解码和执行木马，一个是 Mispadu 恶意软件，另一个是 AutoIT 安装程序。其中 Mispadu 能够收集受感染主机上安装的防病毒解决方案列表，从 Google Chrome 和 Microsoft Outlook 窃取凭据，并检索其他恶意软件。然后利用恶意覆盖层屏幕来获取与在线银行门户和其他敏感信息相关的凭据。

来源：

https://www.metabaseq.com/mispadu-banking-trojan/

Winter Vivern APT 组织利用 Aperetif 恶意软件针对多国发起攻击

Tag：Winter Vivern，APT

事件概述：

Winter Vivern 也被称为 UAC-0114，于2021年首次公开曝光，主要针对印度、立陶宛、斯洛伐克和梵蒂冈政府组织展开间谍攻击，利用包含 XLM 宏的武器化 Microsoft Excel 文档在受感染主机上部署 PowerShell 植入程序，分发量身定制的有效负载访问敏感系统。近日，SentinelOne 研究人员监测发现威胁组织瞄准波兰政府机构、乌克兰外交部、意大利外交部以及印度政府内部个人的攻击活动，旨在传播一种名为 Aperetif 的恶意软件展开攻击。

技术手法：

威胁组织通过伪冒政府域向目标分发根据公开可用的真实政府文件制作或针对特定主题量身定制的恶意文件，利用包含 XLM 宏的武器化 Microsoft Excel 文档在受感染主机上部署 PowerShell 植入程序，利用伪装成病毒扫描程序的批处理脚本从攻击者控制的服务器下载并部署恶意软件 Aperetif ，然后收集受害者设备数据、维护后门访问持久性以及从命令和控制 (C2) 服务器接收下一步指令并检索额外的有效载荷。

来源：

https://thehackernews.com/2023/03/winter-vivern-apt-group-targeting.html

三星 Exynos 芯片中被曝存在 18 个严重安全漏洞

Tag：三星，漏洞

事件概述：

三星生产的 Exynos 芯片被曝存在一系列严重安全漏洞，影响广泛范围的智能设备，包括三星、Vivo、谷歌、使用 Exynos W920 芯片组的可穿戴设备以及配备 Exynos Auto T5123 芯片组的车辆。其中最严重的4个漏洞分别是CVE-2023-24033、CVE-2023-26496、CVE-2023-26497 和 CVE-2023-26498，允许攻击者在基带级别远程破坏手机，无需与用户交互，在知道受害者的电话号码的情况下悄无声息地远程破坏受影响的设备。其他 14 个相关漏洞（CVE-2023-26072、CVE-2023-26073、CVE-2023-26074、CVE-2023-26075、CVE-2023-26076 和其他 9 个尚未分配 CVE-ID 的漏洞），攻击者利用漏洞需要具备恶意移动网络运营商或具有本地设备访问权限，所以危害程度相较于前四个漏洞较低。

此外，建议受影响的用户尽快更新设备版本，以确保运行的是修复已公开和未公开安全漏洞的最新版本。同时，使用受影响设备的用户可以通过在其设备设置中关闭 Wi-Fi 呼叫和 LTE 语音 (VoLTE) 来保护自己免受本文中提到的基带远程代码执行漏洞的影响。

来源：
https://googleprojectzero.blogspot.com/2023/03/multiple-internet-to-baseband-remote-rce.html

2023年3月21日

法拉利遭勒索软件攻击，数据发生泄露
意大利跑车制造商法拉利在收到勒索软件组织的赎金信息后，披露了一起数据泄露事件。勒索软件组织声称窃取了法拉利某些客户的详细信息。该公司立即在第三方网络安全公司的支持下对事件展开调查，并通知了相关部门，调查发现法拉利 IT 系统遭到破坏，攻击者可以访问数量有限的系统。据该公司称，暴露的数据包括客户的姓名、地址、电子邮件地址和电话号码，付款明细和银行账户信息等财务数据未遭到黑客窃取。
截至目前，该公司尚未公开披露勒索的元凶及具体赎金金额。
来源：
https://securityaffairs.com/143784/data-breach/ferrari-confirms-data-breach.html

2023年3月17日

新的钓鱼攻击传播安卓恶意软件 FakeCalls
外媒报道一种名为 “FakeCalls” 的新型 Android 恶意软件正在韩国肆虐。这种恶意软件旨在通过语音网络钓鱼攻击窃取目标敏感的财务信息。攻击者会伪装成来自合法金融机构的虚假电话，以此诱骗用户泄露敏感的财务信息。事实上，语音网络钓鱼攻击已经成为全球移动银行客户面临的一个越来越严重的威胁。钓鱼攻击利用电话来欺骗人们泄露敏感信息，而且这些攻击通常采用复杂的社会工程技术来使电话看起来合法。因此，人们需要保持警惕，提高安全意识，以避免成为这种钓鱼攻击的受害者。
来源：
https://www.hackread.com/new-vishing-attack-spreading-fakecalls-android-malware/