烽火狼烟丨暗网数据及攻击威胁情报分析周报（05/15-05/19)

WebRAY安全服务团队定期针对敏感数据泄露、热点资讯、热点技术、热点漏洞、威胁攻击等情况进行跟踪整理与监测分析，本周总体情况如下：

本周内共发现暗网数据贩卖事件55起，同比上周增加23.64%，本周内贩卖数据总量共计7148.85万条；累计涉及11个主要地区，涉及9种数据分类，数据泄露来源地区分布情况如图1所示。

图1 泄露数据来源地区分布情况

本周内泄露数据涉及交通、银行、企业、金融等多种类型数据，具体占比如图2所示。

图2 泄露信息数据类型占比   

趋势显示近期威胁因素正在向智能电视、安卓电视盒、娱乐系统甚至儿童手表等基于Android的物联网设备拓展;本周内出现的安全漏洞以用友U8cloud远程代码执行漏洞、Linux Kernel 权限提升漏洞较为严重；内部安全运营中心共发现恶意攻击来源IP 12317条，主要涉及命令注入、apache log4j2攻击、漏洞利用攻击等类型。

丰田披露长达十年的数据泄露

泄露时间：2023-05-16

泄露内容：丰田近期透露，10多年来，一个错误的云配置使超过215万条客户记录暴露在开放的互联网上。目前泄露的大多为车辆数据，但有暴露个人身份信息。

泄露数据量：215万

关联行业：汽车

地区：日本

美国药房服务商数据泄露

泄露时间：2023-05-16

泄露内容：总部位于美国的药房服务提供商PharMerica披露了一起影响超过580万患者的大规模数据泄露事件，泄露的内容包括患者全名、地址、出生日期、社会安全号码（SSN）、药物和健康保险信息。

泄露数据量：580万

关联行业：医疗

地区：美国

印度贸易平台用户数据泄露

泄露时间：2023-05-19

泄露内容：印度最大B2B贸易平台(indiamart.com)用户数据泄露，泄露信息包含用户类型名称、用户审批状态、用户上市状态、免费展厅别名、用户销售兴趣、用户公司描述、称谓、名字、姓氏、职位、CEO称谓、电子邮件等。

泄露数据量：500万

关联行业：金融

地区：印度

印度签证和移民咨询网用户数据泄露

泄露时间：2023-05-19

泄露内容：印度的签证和移民咨询网(Abhinav.com)数据泄露，泄露信息包含：申请签证的目标国家、城市、电子邮件地址、明文密码、工作经验、婚姻状况、学历、全名、电话号码、金额、账单地址、账单城市等。

泄露数据量：10万

关联行业：政府

地区：印度

第三方应用商店用户数据泄露

泄露时间：2023-05-16

泄露内容：全球Android应用程序的第三方应用商店(Aptoide.com)用户数据泄露，泄露信息包含：电子邮箱和密码。

泄露数据量：470万

关联行业：互联网

地区：美国

美国指控俄罗斯勒索团伙攻击关键基础设施

美国司法部已对一名俄罗斯公民提出指控，指控他参与了针对美国各地受害者的三项勒索软件行动。对关键基础设施的攻击涉及两个执法机构，新泽西州的展望公园警察局和华盛顿特区的大都会警察局。

消息来源：

https://www.bleepingcomputer.com/news/security/russian-ransomware-affiliate-charged-with-attacks-on-critical-infrastructure/

俄罗斯市场上被盗事件增加670%

根据报告显示，俄罗斯在线市场上的日志盗窃问题出现了显著增长，增幅高达670%。报告的作者指出，由于恶意软件仍然相对容易获取，网络犯罪分子正采用越来越复杂的方法来欺骗用户。对于受害者来说，检测和清除这些威胁变得更加艰巨。对于信息窃取者而言，真正改变游戏规则的是犯罪分子改进了各种欺骗用户安装恶意软件的方式，例如虚假的消息传递应用程序和克隆网站。

消息来源：

https://www.infosecurity-magazine.com/news/infostealer-malware-stolen-logs?_source=twitterfeed&utm_medium=twitter

AI即将彻底改变网络安全

机器学习/人工智能（ML/AI）在网络安全从业者中的广泛应用是相对较新的趋势。其中，端点检测和响应（EDR）是最常见的应用之一。在这种情况下，ML/AI利用行为分析来检测异常活动。它通过使用已知的正常行为模式来识别异常值，进而识别和终止进程、锁定帐户、触发警报等。这种方法使得网络安全从业者能够更加及时地检测和应对潜在的威胁。

消息来源：

https://venturebeat.com/security/chatgpt-is-about-to-revolutionize-cybersecurity/

8220利用Oracle WebLogic缺陷劫持服务器和挖掘加密货币

臭名昭著的加密劫持组织：8220已被发现将Oracle WebLogic服务器中一个六年前的安全漏洞武器化，以诱使存在漏洞的设备进入僵尸网络并分发加密货币挖掘的恶意软件。8220通过扫描公共互联网上配置错误或易受攻击的主机来识别目标，旨在破坏易受攻击的Oracle WebLogic和Apache web服务器，并部署加密货币矿工。

消息来源：

https://thehackernews.com/2023/05/8220-gang-exploiting-oracle-weblogic.html

苹果发布了解决iPhone、Mac和iPad中的三个0day的安全更新

苹果发布安全更新，应对在野攻击中被积极利用的漏洞，这三个漏洞分别为CVE-223-32409、CVE-223-28204和CVE-22-32373，公司采用iOS和iPadOS 16.5、tvOS 16.5，watchOS 9.5、Safari 16.5和macOS Ventura 13.4来解决这些问题。

消息来源：

https://securityaffairs.com/146411/security/apple-3-new-zero-day-bugs.html

Lacroix Group在被针对性的网络攻击后关闭了三家工厂

法国电子制造商Lacroix Group关闭了法国、德国和突尼斯的三家工厂，以应对网络攻击。该集团为其多个行业的客户设计和制造电子设备，包括汽车、航空航天、工业和健康行业。该公司2022年盈利7.7亿美元。该公司于5月12日宣布关闭该工厂，并表示，一些当地基础设施已经加密。Lacroix计划于2023年5月22日恢复生产。

消息来源：

https://securityaffairs.com/146335/cyber-crime/lacroix-group-ransomware-attack.html

针对Microsoft 365用户的新型网络钓鱼工具

一项名为“Greatness”的新网络钓鱼工具一直在为附属公司提供附件和链接构建器，其能够仿冒Microsoft 365诱饵和登录页面，欺骗受害者输入其身份验证密码。该钓鱼工具甚至会提示受害者通过真实的Microsoft 365页面对多重身份验证请求进行身份验证，例如短信代码或推送通知。

消息来源：

https://www.scmagazine.com/news/email-security/new-phishing-as-a-service-tool-targets-microsoft-365-users

OilAlpha：针对阿拉伯Android用户的新型恶意软件

名为OilAlpha的黑客组织与非政府组织的网络间谍活动有关，该组织使用WhatsApp等加密聊天应用对目标进行社会工程攻击，并且还利用URL链接缩短器。根据对受害者的评估，似乎大多数目标都是使用Android设备并讲阿拉伯语的人。

消息来源：

https://thehackernews.com/2023/05/oilalpha-emerging-houthi-linked-cyber.html

KeePass 2.X主密码转储程序允许检索KeePass主密码

在2.54之前的KeePass 2.x中，即使工作区被锁定或不再运行，也可以从内存转储中恢复明文主密码。内存转储可以是KeePas进程转储、交换文件（pagefile.sys）、休眠文件（hiberfil.sys）或整个系统的RAM转储。KeePass是一款用于安全管理密码的免费开源软件。它的功能是作为一个数字“安全”，用户可以存储和组织他们的敏感信息，包括密码、信用卡号、笔记和其他敏感信息。KeePass使用您需要提供的主密钥或主密码对数据进行加密，以便访问存储的信息。该漏洞应在KeePass 2.54中修复，即计划将于2023年6月初发布。

消息来源：

https://securityaffairs.com/146404/hacking/keepass-2-x-master-password-dumper.html

超890万部Android手机被感染恶意程序

一家名为柠檬集团正在利用全球数以百万计已感染的安卓智能手机进行恶意操作，从而构成严重的供应链风险。这项活动包括至少890万台受损的安卓设备，尤其是廉价手机，感染率最高的国家是美国、墨西哥、印度尼西亚、泰国、俄罗斯、南非、印度、安哥拉、菲律宾和阿根廷。有专家表示威胁因素正在向智能电视、安卓电视盒、娱乐系统甚至儿童手表等其他基于Android的物联网设备拓展。

消息来源：

https://thehackernews.com/2023/05/this-cybercrime-syndicate-pre-infected.html

新RA团伙利用泄漏的Babuk源代码开展勒索活动

Cisco Talos的研究人员最近发现了一种新的勒索软件活动，该操作自2023年4月22日以来一直在运行，当前已经危害了美国的三个组织和韩国的一个组织。勒索软件样本是用C编写的，并于2023年4月23日编译完成。二进制文件的调试路径为“C:UsersattackDesktopRansomware.Multi.Babuk.cWindows

x64Releasee.pdb”。研究人员注意到路径中包含与Babuk勒索软件相同的名称，这种情况表明恶意软件借用了Babuk泄漏的源代码 ，与此同时该集团还试图通过其泄露网站出售被盗数据。

消息来源：

https://securityaffairs.com/146248/cyber-crime/new-ra-group.html

用友U8cloud存在远程代码执行漏洞

由于用友U8 中commons-beanutils 存在远程代码执行漏洞，攻击者通过发送恶意数据包，利用反序列化数据包，达到命令执行的效果，导致系统被攻击与控制。

影响版本：

U8 cloud所有版本

泛微E-Office文件上传漏洞

近期曝光了泛微E-Office存在文件上传漏洞的问题，该漏洞出现在泛微E-Office v9.5版本中。具体来说，泛微E-Office v9.5中的uploadify.php存在文件上传漏洞，攻击者可以利用此漏洞上传任意文件、执行任意命令并控制服务器。值得注意的是，泛微（Weaver）E-Office是泛微旗下的标准协同办公平台，旨在提升组织管理与协同效率。

影响版本：

泛微E-Office  9.5

Cisco Small Business系列交换机多个高危漏洞

Cisco发布安全公告，修复了Cisco Small Business 系列交换机基于 Web用户界面中的多个严重/高危漏洞，漏洞编号包含：CVE-2023-20159、CVE-2023-20160、CVE-2023-20161、CVE-2023-20189等，涉及Cisco Small Business 系列交换机缓冲区溢出/堆栈缓冲区溢出、拒绝服务等多个漏洞。Cisco Small Business是思科（Cisco）公司针对中小企业定制化推出的一系列完整解决方案及产品。

影响版本：

250系列智能交换机、350系列网管交换机、350X 系列可堆叠网管交换机和550X 系列可堆叠网管交换机版本：<= 2.5.9.15

Business 250 系列智能交换机和 Business 350 系列管理型交换机版本：<= 3.3.0.15

Small Business 200 系列智能交换机

Small Business 300 系列管理型交换机

Small Business 500 系列可堆叠托管交换机

Linux Kernel 权限提升漏洞

近期，Linux发布了一则关于内核风险的通告，漏洞编号为CVE-2023-32233。该漏洞存在于某些受影响版本的Linux内核中。具体而言，由于匿名集处理不当，在处理批处理请求时，Netfilter nf_tables (net/netfilter/nf_tables_api.c)中存在use-after-free漏洞。攻击者可以利用该漏洞对内核内存执行任意读写操作，成功利用该漏洞的本地用户可以获取root权限或导致系统崩溃。为了确保系统的安全性，建议尽快采取相应的补丁更新措施或升级到修复了该漏洞的版本。

影响版本：

v5.1-rc1 <= Linux Kernel <= 6.3.1

Spring Boot拒绝服务漏洞

Spring Boot是一个基于Java的开源框架， 可简化Spring应用的初始搭建以及开发过程。Spring Boot某些版本中，如果Spring MVC 与反向代理缓存一起使用，则Spring Boot可能易受到拒绝服务(DoS) 攻击。如果应用程序启用了 Spring MVC 自动配置、Spring Boot的欢迎页面支持，且应用程序部署在缓存404响应的代理之后，则更易受到攻击。

影响版本：

Spring Boot 3.0.x版本：3.0.0 - 3.0.6

Spring Boot 2.7.x版本：2.7.0 - 2.7.11

Spring Boot 2.6.x版本：2.6.0 - 2.6.14

Spring Boot 2.5.x版本：2.5.0 - 2.5.14

以及不受支持的旧版本。

本周部分重点攻击来源及攻击参数如下表所示，建议将以下IP加入安全设备进行持续跟踪监控。