安全简讯（2024.01.19）

每日头条

1. AndroxGh0st僵尸网络瞄准AWS、Azure和Office365凭证

1月17日，AndroxGh0st是一种基于 Python 的恶意软件，由 Lacework 于 2022 年 12 月首次记录，该恶意软件启发了AlienFox、GreenBot（又名 Mainance）、Legion 和 Predator 等多个类似工具。该云攻击工具能够渗透易受已知安全漏洞影响的服务器，以访问 Laravel 环境文件并窃取 Amazon Web Services (AWS)、Microsoft Office 365、SendGrid 和 Twilio 等知名应用程序的凭据。攻击者利用的一些值得注意的缺陷包括CVE-2017-9841 (PHPUnit)、CVE-2021-41773 (Apache HTTP Server) 和CVE-2018-15133 (Laravel Framework)。AndroxGh0st 具有多种功能，可以实现 SMTP 滥用。

2. 摩根大通面临前所未有的网络威胁，每日450亿次入侵尝试

1月17日，华尔街顶级金融机构之一摩根大通目前正在努力应对网络攻击数量的惊人增长。据报道，该公司每天面临多达 450 亿次网络入侵尝试，这说明了全球金融公司目前面临的威胁的严重性和频率。全球范围内网络犯罪的激增使得摩根大通等机构处于最前线，执行严格的安全措施来保护敏感的金融信息并维护其系统的完整性。这家银行业巨头披露了其每天遭受的大量黑客攻击，突显了网络犯罪给金融部门带来的不断升级的挑战。这种情况也凸显了网络安全在当今数字经济中发挥的关键作用。

3. 伊朗黑客利用新的 MediaPl 恶意软件瞄准大学和研究机构

1月17日，微软表示，一群黑客正在针对欧洲和美国研究机构和大学的知名员工进行鱼叉式网络攻击，推送新的后门恶意软件。这些攻击者是臭名昭著的 APT35（也称为 Charming Kitten 和 Phosphorus）的一个子组织，他们通过之前被入侵的帐户发送定制且难以检测的网络钓鱼电子邮件。在这次活动中，Mint Sandstorm 使用定制的网络钓鱼诱饵，试图通过社会工程手段让目标下载恶意文件。MediaPl 恶意软件使用加密的通信通道与其命令和控制 (C2) 服务器交换信息，旨在伪装成 Windows Media Player 以绕过检测。

4. Have I Been Pwned 增添7100万个已经泄露的邮件账号

1月17日，Have I Been Pwned 已将 Naz.API 数据集中与被盗帐户相关的近 7100 万个电子邮件地址添加到其数据泄露通知服务中。Naz.API 数据集是使用撞库列表和信息窃取恶意软件窃取的数据编译而成的 10 亿个凭证的庞大集合。撞库列表是从之前的数据泄露事件中窃取的登录名和密码对的集合，这些数据泄露事件用于破坏其它网站上的帐户。被盗数据被收集在文本文件和图像中，这些文件存储在称为“日志”的档案中。然后，这些日志会上传到远程服务器，以便攻击者稍后收集。无论凭证如何被盗，它们都会被用来破坏受害者拥有的帐户，出售给网络犯罪市场上的其他威胁行为者，或在黑客论坛上免费发布以在黑客社区中获得声誉。

5. 卡巴斯基发布iOS检测间谍软件的开源工具iShutdown

1月17日，从历史上看，检测恶意软件需要对 iPhone 进行完整备份，然后彻底检查备份数据是否存在异常。然而，卡巴斯基现在设计了一种更简化的方法，名为“iShutdown”。卡巴斯基已经发布了iShutdown 是一个开源脚本，旨在快速检测 iOS 设备中的是否感染间谍软件。这个名为 shutdown.log 的日志文件成为卡巴斯基对以色列间谍软件开发商（包括 NSO Group 的 Pegasus、QuaDream 的 Reign 和 Intellexa 的 Predator）研究的焦点。发现这些间谍软件程序的共性。经常重新启动 iPhone 的用户更有可能观察日志中的相关条目。因此，提取 shutdown.log 文件足以分析 iPhone 是否受到间谍软件的危害。

6. ColdRiver APT发布定制版后门恶意软件Spica

1月19日， ColdRiver 的高级持续威胁 (APT) 已深入定制恶意软件领域，推出了名为Spica的专有后门。ColdRiver（又名 Blue Charlie、Callisto、Star Blizzard 或 UNC4057）通常以非政府组织、前情报和军事官员以及北约政府为目标进行网络间谍活动。当目标不可避免地回应说他们无法读取加密文档时，ColdRiver 会发送一个链接，巧妙地声称可以通往“解密”实用程序——当然，这实际上是 Spica 恶意软件。一旦执行，Spica 就会打开一个所谓“已解码”的 PDF 作为诱饵，同时悄悄地建立持久性并与其命令和控制服务器 (C2) 连接。

安全动态

SBSCAN：专为Spring框架设计的渗透测试工具

https://securityonline.info/sbscan-penetration-testing-tool-specifically-designed-for-the-spring-framework/

暗网威胁和 2024 年暗市预测

https://securelist.com/darknet-predictions-for-2024/111763/

勒索软件团伙攻击西班牙议会索要1000万欧元

https://therecord.media/calvia-spain-ransomware-attack-10-million-euros-demand?&web_view=true

pyGPOAbuse - SharpGPOAbuse 的部分 Python 实现

https://www.kitploit.com/2024/01/pygpoabuse-partial-python.html

Adalanche：开源 Active Directory ACL 可视化工具、资源管理器

https://www.helpnetsecurity.com/2024/01/15/adalanche-open-source-active-directory-acl-visualizer-explorer/?web_view=true

探索 DNSDumpster：揭开域基础设施的秘密