维他命每日安全简讯（2023.10.18）

每日头条

1、乌克兰至少11家电信公司遭到攻击导致服务暂时中断

据媒体10月17日报道，乌克兰大量电信公司遭到攻击。乌克兰计算机应急响应小组(CERT-UA)透露，5月11日至9月27日，攻击团伙（追踪为UAC-0165）入侵了至少11家电信服务提供商的信息和通信系统（ICS），导致客户服务中断。攻击首先利用工具masscan对目标网络进行侦察寻找未保护的RDP或SSH接口，然后使用ffuf、dirbuster、gowitness和nmap等工具来检索Web服务中的漏洞。研究人员在被入侵的ISP系统中还发现了两个后门，即Poemgate和Poseidon。

https://thehackernews.com/2023/10/cert-ua-reports-11-ukrainian-telecom.html

2、美国堪萨斯州各地法院遭到勒索攻击运营受到影响

媒体10月16日称，在遭到勒索攻击后，美国堪萨斯州各地的法院面临着各种问题。堪萨斯州最高法院在上周四发布了一项行政命令，称截至10月15日，法院书记官办公室将无法进行电子归档。本周一，法院仍使用纸质记录，且邮件系统处于关闭状状态。堪萨斯州塞奇威克县法官透露，此次中断是勒索攻击导致的，但没有透露攻击团伙和赎金的相关信息。目前，对此事件的调查正在进行中，尚不确定系统何时会恢复。

https://www.bleepingcomputer.com/news/security/kansas-courts-it-systems-offline-after-security-incident/

3、电视广告公司Ampersand遭到Black Basta勒索攻击

据10月17日报道，美国电视广告销售和技术公司Ampersand遭到勒索攻击。该公司由美国三大有线电视运营商共同拥有，自1981年以来一直为广告商提供约8500万户家庭的收视数据。Ampersand称最近遭到勒索攻击，导致运营暂时中断，目前已经恢复了大部分业务的运营。Black Basta在上周末表示对此次攻击负责，但没有透露窃取了多少数据，也没有发布被盗数据样本。

https://therecord.media/ampersand-television-advertising-sales-company-ransomware

4、Cloudflare发现伪装成警报应用RedAlert的间谍软件

Cloudflare在10月14日称其发现恶意版本的RedAlert – Rocket Alerts应用程序，主要针对以色列的Android用户。该恶意版本通过网站redalerts[.]me传播，该网站创建于10月12日，可用于下载iOS和Android版本应用。其中iOS的下载会链接到合法的App Store页面，Android下载直接提供恶意版本的APK。该APK使用了真正的RedAlert的代码，但会请求额外权限。程序启动后，后台服务会滥用这些权限收集数据，并在CBC模式下用AES加密，上传到一个硬编码IP地址。目前，该网站已经关闭。

https://blog.cloudflare.com/malicious-redalert-rocket-alerts-application-targets-israeli-phone-calls-sms-and-user-information/

5、研究人员披露通过Discord分发Lumma Stealer的活动

10月16日，Trend Micro详述了攻击者如何利用Discord的内容交付网络(CDN)来托管和传播Lumma Stealer，并讨论了该信息窃取恶意软件的新增功能。攻击者通常使用随机Discord帐户向目标发送消息，通过为项目寻求帮助并提供10美元或Discord Nitro boost来诱惑目标。目标同意后会被要求下载一个文件，其中包含Lumma Stealer。据称，Lumma Stealer还会加载其它恶意软件，并能够利用人工智能和深度学习来检测机器人。

https://www.trendmicro.com/en_us/research/23/j/beware-lumma-stealer-distributed-via-discord-cdn-.html

6、Unit42发布关于XorDDoS攻击活动的深入分析报告

10月16日，Unit42发布了关于XorDDoS攻击活动的深入分析报告。此次分析的活动于7月28日开始，并于8月12日激增，成功入侵了位于21个国家/地区的系统，其中大部分攻击流量集中在非洲、南亚和东南亚。该木马感染Linux设备并将其加入为僵尸网络以执行DDoS攻击，攻击者利用了以前滥用过的C2域协调僵尸网络。然而，他们最近将其C2服务器从公共托管服务迁移到了新的IP地址。

https://unit42.paloaltonetworks.com/new-linux-xorddos-trojan-campaign-delivers-malware/

安全动态

微软修复Windows 10安全更新安装问题

https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-10-security-update-installation-issue/

Signal否认其平台存在零日漏洞的说法

https://www.bleepingcomputer.com/news/security/signal-says-there-is-no-evidence-rumored-zero-day-bug-is-real/

Lazarus的Operation Dream Magic活动

https://asec.ahnlab.com/en/57736/

后门BLOODALCHEMY的分析

https://www.elastic.co/security-labs/disclosing-the-bloodalchemy-backdoor

CISA和FBI敦促管理员立即修复Atlassian Confluence

https://www.bleepingcomputer.com/news/security/cisa-fbi-urge-admins-to-patch-atlassian-confluence-immediately/