维他命每日安全简讯（2023.04.04）

每日头条

1、Western Digital遭到攻击My Cloud服务暂时中断

4月3日报道，Western Digital称其遭到攻击，未经授权的第三方获得了其公司多个系统的访问权限。据悉，该事件是在3月26日发现的，目前调查尚处于早期阶段，公司正与执法部门协调工作。据现阶段调查，公司确认攻击者从其系统中获取了某些数据，并在努力了解这些数据的性质和范围。该公司称，其应对措施可能导致公司部分业务运营中断。自周日以来，多个My Cloud用户报告他们无法访问云托管媒体存储库，登录时会显示“503服务暂时不可用”错误。距首次报告中断以来已超过24小时，云、代理、Web、身份验证、电子邮件和推送通知均不可用。

https://www.bleepingcomputer.com/news/security/western-digital-discloses-network-breach-my-cloud-service-down/

2、Dish Network因勒索攻击事件遭到多起集体诉讼

媒体4月1日称，至少有六家律师事务所正在对Dish Network提起集体诉讼，旨在为2021年2月22日至2023年2月27日期间因涉嫌“证券欺诈”受到不利影响的Dish股东追回损失。民事诉讼称，DISH Network试图掩盖其网络安全和IT基础设施不足的事实，同时夸大其运营效率。由于上述原因，公司无法适当地保护客户数据，使其容易被攻击者访问。2月24日左右，DISH神秘下线，其网站和应用停运数日。2月28日，DISH透露其遭到勒索攻击。消息传出后，其股价每股下跌0.79美元。

https://www.bleepingcomputer.com/news/security/dish-slapped-with-multiple-lawsuits-after-ransomware-cyber-attack/

3、Winter Vivern利用Zimbra漏洞攻击北约军政和外交机构

Proofpoint在3月30日披露了TA473（又名Winter Vivern）利用Zimbra Collaboration服务器中漏洞（CVE-2022-27926）的攻击活动。攻击始于2023年2月，主要针对与北约相关的欧洲军事、政府和外交机构。攻击者使用Acunetix扫描未修复的网络邮件平台并发送钓鱼邮件，邮件中的链接可利用Zimbra中漏洞将JavaScript payload注入网页。这些payload用于从目标收到的cookie中窃取用户名、密码和令牌，来访问目标的邮件帐户。最后，攻击者会访问邮件中的敏感信息，或在一段时间内监控通信。

https://www.proofpoint.com/us/blog/threat-insight/exploitation-dish-best-served-cold-winter-vivern-uses-known-zimbra-vulnerability

4、多个僵尸网络利用Cacti和Realtek漏洞分发恶意软件

3月29日，Fortinet称其在今年1月至3月检测到多个僵尸网络利用Cacti和Realtek漏洞，旨在分发恶意软件ShellBot和Moobot。漏洞分别为Realtek Jungle SDK中的远程代码执行漏洞（CVE-2021-35394）和Cacti故障管理监控工具中的命令注入漏洞（CVE-2022-46169）。Moobot是Mirai的一个变种，新版本的一个显著特征是它们能够扫描并杀死其它已知bot进程，以获得最大硬件功率来执行DDoS攻击。ShellBot于今年1月首次被发现，Fortinet发现了它的三个件变体，表明它正在积极开发中。

https://www.fortinet.com/blog/threat-research/moobot-strikes-again-targeting-cacti-and-realtek-vulnerabilities

5、研究人员披露Azure SFX中漏洞Super FabriXss的细节

据3月30日报道，研究人员披露了Azure Service Fabric Explorer(SFX)中漏洞Super FabriXss的细节。这是一个跨站脚本漏洞（CVE-2023-23383），名字来源于微软在2022年10月修复的FabriXss漏洞（CVE-2022-35829）。未经身份验证的远程攻击者可利用其在Service Fabric节点上托管的容器中实现远程代码执行，而无需身份验证。与FabriXxs不同的是，SuperFabriXxs只存在于Windows Cluster中，可用于大规模的代码执行攻击。微软在2023年3月的周二补丁中修复了该漏洞。

https://orca.security/resources/blog/super-fabrixss-azure-vulnerability/

6、Securonix发现针对美国的TACTICAL#OCTOPUS攻击活动

Securonix于3月30日称其发现了针对美国组织的TACTICAL#OCTOPUS攻击活动。随着美国4月15日纳税截止日期临近，与税收相关的钓鱼攻击增加。该攻击活动通常始于一个受密码保护的.zip文件，其名称与税务相关。.zip文件中通常包含一个.png和一个.lnk。当用户双击快捷方式文件时，代码开始执行。然后，一系列VBScript和PowerShell stagers会从C2服务器拉取更多的payload。

https://www.securonix.com/blog/new-tacticaloctopus-attack-campaign-targets-us-entities-with-malware-bundled-in-tax-themed-documents/

安全动态

越南威胁要切断200万移动用户

https://www.theregister.com/2023/04/03/two_million_mobile_numbers_at/

超过1500万个服务易受到CISA KEV漏洞的影响

https://www.bleepingcomputer.com/news/security/15-million-public-facing-services-vulnerable-to-cisa-kev-flaws/

NTC Vulkan泄露的文件显示Sandworm武器库

https://securityaffairs.com/144340/apt/ntc-vulkan-sandworm-cyberwarfare-arsenal.html

2023年的主要漏洞以及如何阻止它们

https://blog.checkpoint.com/2023/03/30/top-vulnerabilities-in-2023-and-how-to-block-them/

泰当局追捕声称要公开5500万泰国公民数据的黑客9Near

https://www.databreaches.net/agencies-hunt-for-hacker-9near/