安全威胁情报周报（06.19-06.25）

继内蒙古、青海之后，四川清理关停虚拟货币“挖矿”

Tag：虚拟货币，挖矿，关停

据澎湃新闻报道称，继内蒙古、青海等地关闭虚拟货币挖矿项目后，四川省发改委和能源局联合发布《关于清理关停虚拟货币“挖矿”项目的通知》文件关停虚拟货币挖矿。该文件要求：发电企业自查自纠，立即停止向虚拟货币“挖矿”项目供电，落实国家清理要求；各市(州)政府立即开展拉网式排查，对排查发现的虚拟货币“挖矿”项目务必立即关停；各地严禁以各类名义批复虚拟货币“挖矿”项目。

内蒙古为完成“十四五”能耗双控目标任务，首先实施了清理关停虚拟货币挖矿项目，内蒙古发改委在2月25日发布了《关于确保完成“十四五”能耗双控目标任务若干保障措施（征求意见稿）》，5月25日，发布惩戒虚拟货币“挖矿”行为的八项措施。继内蒙古实施关停挖矿项目后，青海省工信厅于6月9日下发《关于全面关停虚拟货币“挖矿”项目的通知》文件，云南省能源局办公室在6月12日确认根据《云南省能源局关于进一步加强比特币挖矿企业用电管理的通知》在今年6月底完成比特币挖矿企业用电清理整顿。四川省也于6月18日下发通知，加入整改关停虚拟货币“挖矿”项目的行列，对国网四川省电力公司目前已排查上报的26个虚拟货币“挖矿”项目完成重点对象甄别关停，于6月20日前完成甄别清理关停工作。

来源：

https://www.thepaper.cn/newsDetail_forward_13213513

Tag：虚拟货币，银行，支付宝

继诸多省市关停虚拟货币“挖矿”项目实施，矿机被地方政府直接断电后，中国央行约谈工行、建行、农行、支付宝等部分银行和支付机构，要求不得为虚拟货币交易炒作相关活动提供账户开立、登记、交易、清算、结算等产品或服务。随后，约谈的银行和支付机构快速的与虚拟货币“划清界限”，各大银行纷纷发布声明称“禁止使用公司服务开展比特币等虚拟货币交易，一经发现违规行为将立即采取暂停相关账户交易、终止金融服务等措施”。支付宝也发表声明称坚决不开展、不参与任何与虚拟货币相关的业务活动，不提供任何辅助性技术服务和能力，并从四个方面加大对相关交易的打击力度。继央行发布公告后，虚拟货币价格迅速跳水，比特币盘中跌幅一度逼近10%，市场爆仓人数超过17万人，爆仓金额超过65亿元。

来源：

http://www.p5w.net/weyt/202106/t20210622_2615398.htm

香港证券交易所在内的多家金融机构因网络服务中断遭受影响

Tag：证券，银行，航空公司

继云服务公司 Fastly 内容交付网络故障致使全球多家网站短暂下线后，香港证券交易所、美国主要航空公司（包括达美航空、美国航空、西南航空和美联航）、美国金融公司 Discover 和海军联邦信用合作社等多家公司因第三方供应商 Akamai Technologies 的内容交付网络问题遭受影响。澳大利亚联邦银行在遭受服务中断事件影响后，于6月14发表推文称服务正在恢复正常，但此次服务中断事件造成的技术问题产生了很大的影响。世界上最大证券交易所之一的香港证券交易所也于当天出现了技术问题。在全球多个机构因 Akamai Technologies 服务中断事件遭受影响后，该供应商表示此次中断事件是由于其中一个平台出现故障造成的，研究人员正在解决该问题并采取必要措施预防服务中断事件再次发生。

Tag：FIN7，APT，证券

近日，美国司法部的一份起诉文件称 FIN7 冒充美国证券委员会、餐厅顾客发起攻击活动，并将目标锁定于具有独特财务信息访问权限的特定个人。美国网络安全和基础设施安全局（CISA）表示该黑客组织内部成员分工明确，开发恶意软件、制作网络钓鱼邮件和从受害者那里收集资金都有专人负责。从检察官提供的 FIN7 组织的钓鱼页面截图显示，FIN7 组织伪装成美国证券交易所的邮件地址向一家上市公司里负责公司证券备案的法律顾问发送钓鱼邮件，且这位未透露姓名的律师“受到看似合法的电子邮件和所谓主题的诱导”，激活了附带的恶意软件。该组织还伪装成餐厅顾客向经理发送包含 .rtf 附件的钓鱼邮件。据检察官称，FIN7 组织发送的每条消息不仅针对特定业务量身定制，而且通常直接发送给提出此类请求的个人，并且该组织自2015 年以来盗窃金额超过10 亿美元。美国司法部还透露已经逮捕了该组织三名涉事成员。

来源：

https://www.cyberscoop.com/fin7-hacking-phishing-sec-restaurant/

Tag：Kimsuky，APT，韩国，国防安全

来源：

https://mp.weixin.qq.com/s/SLocYak45PoOwLtMCn0PFg

近日 Black Lotus Labs 报道，一个疑似与巴基斯坦有关联的威胁组织针对南亚和中亚地区的政府和能源组织开展攻击活动，在感染的 Windows 系统上部署新的远程访问木马 ReverseRat。攻击者将受感染网站的 URL 投递给攻击目标，目标一旦点击链接，则会下载一个包含 Microsoft 快捷方式文件 (.lnk) 和 PDF 文件的 .zip 文件，PDF 文件作为诱饵，快捷方式文件负责检索执行 HTA 文件（HTML 应用程序）。在感染的下阶段 HTA 文件会将 shellcode 注入正在运行的进程中，启动名为 preBotHta.pdb 的 .NET 程序执行 ReverseRat。ReverseRat 会枚举受感染的设备并通过 Windows Management Instrumentation (WMI) 获取设备信息（MAC 地址、物理内存、处理器、计算机名称等），然后将收集到的信息通过 RC4 加密回传给 C2 。此次攻击活动的感染链涉及采用了多种防御规避技术：

1）使用与目标实体位于同一国家/地区的受感染域来托管恶意软件；

2）初始接入后，有针对性的选择目标；

3）利用开源代码；

4）初始访问期间内使用内部组件；

5）修改注册表实现持久性。

根据另一家公司 MalBeacon 确定的攻击活动源 IP 是 巴基斯坦移动数据运营商 CMPak Limited 的 IP，以及 Black Lotus Labs 分析确定 ReverseRat C2 节点至少有两个由巴基斯坦 IP 控制等线索，Black Lotus Labs 将此次攻击活动背后的组织高度归因于巴基斯坦。

来源：

https://blog.lumen.com/suspected-pakistani-actor-compromises-indian-power-company-with-new-reverserat/

Tag：Zoll，Defibrillator Dashboard，严重漏洞

美国网络安全和基础设施局（CISA）发布“ ICS 医疗咨询”安全告警，称由医疗设备公司 Zoll 制造的 Defibrillator Dashboard 存在多个高风险漏洞。这些漏洞分别为无限制上传具有危险类型的文件漏洞（CVE-2021-27489）、使用硬编码的加密密钥漏洞（CVE-2021-27481）、敏感信息的明文存储漏洞（CVE-2021-27487）、跨站点脚本漏洞（CVE-2021-27487）、以可恢复格式存储密码漏洞（CVE-2021-27485）、不正确的权限管理漏洞（CVE-2021-27483）。CISA表示恶意攻击者如果成功利用这些漏洞可以实现远程代码执行，允许攻击者访问凭证，甚至可以影响应用程序的机密性、完整性和可用性。Defibrillator Dashboard 2.2以前的所有版本均受这些漏洞影响，但这些漏洞已在Defibrillator Dashboard的最新版本（2.22）中修复。Defibrillator Dashboard 被用于管理一系列除颤器，CISA还在报告中公开了 Defibrillator Dashboard 漏洞的缓解措施。

Tag：Vigilante，HOSTS，盗版网站

Sophos 研究人员于周四表示发现了一个不同寻常的恶意软件活动：Vigilante恶意软件通过修改受感染系统上的 HOSTS 文件，阻止受感染的用户访问大量专用于存储盗版软件的网站和下载盗版软件，并试图阻止未经授权的下载行为。虽然无法了解此恶意软件的来源，但可清晰的看到该恶意软件的动机，Vigilante的目的不是窃取密码或勒索赎金，而是阻止受感染的用户访问盗版网站。在此次攻击活动中，恶意软件将成百上千的 Web 域名添加到 HOSTS 文件中，并将这些网址指向本地主机地址 127.0.0.1 ，下载第二阶段有效载荷（一个名为 ProcessHacker.jpg 的可执行文件）。双击运行该恶意软件会弹出一条虚假错误的信息“因计算机缺少 MSVCR100.dll，程序无法启动，尝试重新安装程序以解决此问题”。该恶意软件还会检查出站的网络连接，并且会尝试连接 1fichier 的盗版克隆域名，奇怪的是，恶意软件会阻止用户访问 1fichier 合法域名。攻击活动中修改 HOSTS 文件是防止计算机访问 Web 地址的粗略但有效的方法，但无法保证持久性。据 Sophos 称，在某些情况下，攻击者将恶意代码伪装成来自 BitTorrent 上的流行文件共享帐户 ThePirateBay。Vigilante 恶意软件在遏制访问盗版网站的同时，也遏制访问 ThePirateBay 相关网址。

谷歌商店急速下架包含 Joker 间谍软件的8个 Android APP

国外安全研究团队最近在 Google 商店中发现了 8 个 含有 Joker 恶意软件的 APP。Joker 是一种木马间谍软件，以 APP 为媒介入侵用户设备，然后秘密收集受害者的 SMS 消息、联系人列表和设备信息，在受害者不知情的情况下为受害者订阅付费服务谋取利益。此次事件涉及的8个 APP 之一的 Element Scanner（元素扫描仪），该 APP 在启动时会请求通知访问权限， 获取感染设备的短信数据，请求读取联系人信息，并获取设置和管理电话呼叫的权限。该 APP 会在用户页面隐藏自己的恶意行为，在后台会从存储在谷歌商店原始应用程序的 URL 短链接下载有效载荷，然后再通过该有效载荷下载下一阶段的有效载荷。最终有效载荷释放包含通知访问代码和 onReceive 方法的 .mp3 文件，该文件用来接收 SMS 数据和检查 SIM 卡地区属性代码，并按照属性代码为用户订阅不同的优质服务。研究报告中还披露了其他包含 Joker 恶意软件的 APP ：Auxiliary Message、Fast Magic SMS、 Free CamScanner、 Super Message、  Go Messages、 Travel Wallpapers、Super SMS。在安全研究员向谷歌报告这些恶意 APP 后，谷歌商店现已做出删除处理 。

Proofpoint 研究人员于近期发现 TA402（又称为Molerats）威胁组织利用 LastConn 恶意软件开展攻击活动，其目标主要是中东政府机构及地缘政治相关的全球政府组织。TA402 组织继2020年后的针对性电子邮件攻击活动后，在2021年年初每周进行一次具有很强针对性的电子邮件攻击，向目标发送发送包含多个恶意链接或附件的鱼叉式网络钓鱼邮件，继今年3月份停止后，于6月再次恢复并继续使用 LastConn 恶意软件进行电子邮件攻击活动。恶意软件 LastConn 是 SharpStage 的变体或更新版本，具备多种功能。

TA402 组织在此次攻击活动中使用阿拉伯语言编写的电子邮件和 PDF文档，以影响中东的地缘政治话题（主题包括“哈马斯代表团会见叙利亚政权”和“哈马斯成员名单”）为诱饵内容，诱使用户点击恶意链接，重定向用户进行恶意操作。该恶意链接疑似具有“双重”重定向机制，通过判断源 IP 地理位置是否属于中东，如果源 IP 地理位置属于中东的目标国家/地区，恶意链接会将用户重定向到攻击者恶意文件，如果源 IP 地理位置与目标地址不符，链接会将用户重新定向到类似阿拉伯语新闻网站的良性诱饵网站。威胁组织还在受害者内部植入 LastConn 恶意软件，执行“RunFileOnes”函数并使用合法的 Dropbox API 和“txt_TokenRunOne”身份验证令牌将“txt_FileOpen”文件下载到“txt_PathDir”。

1、除中东地区地区外，TA402组织还经常针对以色列和巴勒斯坦的实体发起攻击活动，其目标行业涉及技术、电信、金融机构、学术机构、军事设施、媒体机构、政府办公室、金融等多个垂直领域。

2012年1月，破坏以色列消防网站。

2012年10月，“Molerats”活动。

2013年6月，针对中东和美国投放PIVY有效载荷的攻击活动。

2014年4月，针对美国金融机构和多个欧洲政府组织开展攻击。

2014年（夏天），针对以色列和巴勒斯坦的攻击活动。

2015年3月，Moonlight活动。

2015年12月， DustySky活动。

2016年4月，DustySky 活动第二部分。

2016年11月，针对阿拉伯新闻网站、政治人物和在巴勒斯坦领土和其他地区拥有影响力的国家开展攻击活动。

2017年中旬，入侵中东和北非的油气组织，窃取数据。

2017年9月，TopHat活动

2019年1月，Spark活动

2019年2月，360捕获针对中东攻击活动的诱饵文档。

2019年4月，SneakyPastes活动。

2019年12月，针对政府、电信、保险和零售业开展攻击活动。

2020年3月，Pierogi 活动。

Tag：APT34，军队，运营商 ，Exchange

自2021年以来，APT34 伪装成军事部门，以军队内部事务如海军战舰就绪清单、某军官解雇令为诱饵对目标发起定向攻击并植入木马。同时也常常伪装成一些国家重要企业的招聘信息发起攻击。APT34 组织最早披露于2016年，是一个来自伊朗的 APT 组织，其活跃时间最早可追溯于2014年。该组织攻击目标主要集中在中东及亚洲地区，涉及金融、政府、能源、化工、电信等行业。启明星辰于近日报告披露威胁组织在此次攻击活动中采用 Word 诱饵文档和窃取的Exchange 账户组合的方式入侵目标系统。攻击文档伪装成“黎巴嫩海军战舰就绪清单”、“Ntiva公司的招聘信息”（美国IT服务商）、“解雇令”等内容，并在文档正文中添加诱导性描述以诱使目标启用恶意宏代码，从而植入后门程序。此次攻击活动还窃取黎巴嫩军方和移动运营商账户作为本次攻击的控制与命令服务器。APT34 在此次活动中还做了大量的技术改进和升级，以提高攻击的匿名性、隐蔽性、可控性和安全性，更好的实现防御规避。

来源：

https://mp.weixin.qq.com/s/o_EVjBVN2sQ1q7cl4rUXoQ

Tag：WiFi，iPhone，漏洞

据外媒 BleepingComputer 报道称 iPhone 曝出新漏洞，该漏动仅限于用户在连接奇怪名称的 WiFi 热点时才会破坏 iPhone 设备的 WiFi 功能。用户表示该漏洞是 iPhone 独有的，在 Android 设备似乎无法重现。逆向工程师 Carl Schou 于6月19日发表推文称其在连接一个名为“%p%s%s%s%s%n”的 WiFi 后，他的 iPhone 设备的 WiFi 被禁用。当他再次尝试启用设备 WiFi 时，WiFi 会自动关闭，即使重新启动设备或更改连接其他名称的 WiFi，其 WiFi 依然无法正常使用。逆向工程师还表示在 iOS 14.4.2 版本存在该漏洞。外媒 BleepingComputer 随后针对 iOS 14.6 版本进行相关测试，发现该版本在连接到奇怪名称的 WiFi 网络时，iPhone 的 WiFi 功能会中断。在连接一些 SSID（服务集标识）的测试中，iPhone 的 WiFi 设置将被禁用。研究人员表示该漏洞可能是格式字符串漏洞。报道还称重置 iPhone 设备的网络设置可以修复 iPhone 损坏的 WiFi 功能。