近日，明朝萬(wàn)達(dá)安元實(shí)驗(yàn)室發(fā)布了2021年第十期《安全通告》。
該份報(bào)告收錄了今年10月最新的網(wǎng)絡(luò)安全前沿新聞和最新漏洞追蹤，其中重點(diǎn)內(nèi)容包括：
網(wǎng)絡(luò)安全前沿新聞
? Apple 發(fā)布緊急更新修復(fù)iOS 和iPadOS 中內(nèi)存損壞 0day
Apple 在 10 月 11 日發(fā)布緊急更新，修復(fù)了 iOS 15.0.2 和 iPadOS 15.0.2 中的內(nèi)存損壞 0day。該漏洞追蹤為 CVE-2021-30883，是 IOMobileFrameBuffer 中的一個(gè)內(nèi)存損壞漏洞，可用來(lái)在目標(biāo)設(shè)備執(zhí)行命令。Apple 在安全公告中稱該漏洞已在針對(duì)手機(jī)和 iPad 的攻擊中被廣泛利用。此外，在漏洞公開(kāi)不久，研究人員Saar Amar 就發(fā)布了關(guān)于該漏洞的技術(shù)文章和利用漏洞的 PoC。
? Windows 11 與非 ASCII 字符的應(yīng)用存在兼容性問(wèn)題
微軟近日發(fā)布的 Windows 11 已知問(wèn)題文檔顯示，Win11 與非 ASCII 字符的應(yīng)用存在兼容性問(wèn)題。微軟稱，非 ASCII 字符的應(yīng)用可能無(wú)法在受影響的系統(tǒng)上正常運(yùn)行，并可能導(dǎo)致其他問(wèn)題，包括藍(lán)屏錯(cuò)誤等。更糟糕的是，具有非 ASCII 字符的注冊(cè)表項(xiàng)可能也無(wú)法修復(fù)。微軟正深入調(diào)查該問(wèn)題，并將在未來(lái)提供解決方案。如果用戶的注冊(cè)表中有使用非 ASCII 字符的應(yīng)用程序，微軟將不會(huì)向用戶推送 Windows 11 升級(jí)。
? McAfee 發(fā)布 2021 年第二季度威脅態(tài)勢(shì)的分析報(bào)告
McAfee 在 10 月 4 日發(fā)布了 2021 年第二季度威脅態(tài)勢(shì)的分析報(bào)告。報(bào)告指出，在2021 年 Q2，勒索軟件 REvil/Sodinokibi 的占比高達(dá) 73%，而 DarkSide 的攻擊目標(biāo)從石油、天然氣和化工行業(yè)擴(kuò)展到了法律服務(wù)、批發(fā)和制造行業(yè)。遭到勒索攻擊最多的行業(yè)為政府機(jī)構(gòu)，其次是電信、能源和媒體與通信行業(yè)。與 2021 年 Q1 相比，垃圾郵件的數(shù)量增幅最大，為 250%，其次是惡意腳本（125%）和惡意軟件（47%）。
? Check Point 發(fā)布 2021 年全球威脅態(tài)勢(shì)的分析報(bào)告
Check Point 發(fā)布了 2021 年全球威脅態(tài)勢(shì)的分析報(bào)告。在全球范圍內(nèi)，與 2020 年相比，2021 年組織每周遭到的攻擊數(shù)量增加了 40%，該數(shù)值從 2020 年 3 月開(kāi)始顯著增加，到 2021 年 9 月達(dá)到峰值，全球每個(gè)組織平均每周遭到超過(guò) 870 次攻擊，是 2020 年 3 月的兩倍多。遭到攻擊最多的仍然是教育和研究行業(yè)，每個(gè)組織每周平均遭到 1468 次攻擊(比 2020 年增加 60%)，其次是政府和軍工行業(yè)為 1082 次(增加 40%)和醫(yī)療行業(yè)為 752 次(增加 55%)。
? 研究團(tuán)隊(duì)發(fā)現(xiàn)Linux 惡意挖礦軟件的新變體瞄準(zhǔn)華為云
TrendMicro 的研究人員發(fā)現(xiàn)以前用于針對(duì) Docker 容器的 Linux 惡意挖礦軟件的新變體，開(kāi)始針對(duì)像華為云這樣的新云服務(wù)提供商。具體地說(shuō)，新樣本已經(jīng)注釋掉了防火墻規(guī)則創(chuàng)建功能，并繼續(xù)使用網(wǎng)絡(luò)掃描器來(lái)尋找其他具有 api 相關(guān)端口的主機(jī)。華為云是較新的云提供商，聲稱它已經(jīng)為超過(guò) 300 萬(wàn)客戶提供服務(wù)。研究人員已將此次攻擊通知該公司，但尚未收到回復(fù)。
? Webroot 發(fā)布關(guān)于 2021 年最惡劣的惡意軟件的報(bào)告
Webroot 表示，2021 年是網(wǎng)絡(luò)威脅占據(jù)新聞?lì)^條的一年，勒索軟件勒索已從一種趨勢(shì)演變?yōu)橐环N新常態(tài)。該公司在其報(bào)告中列出的 2021 年最惡劣的惡意軟件包括：著名的僵尸網(wǎng)絡(luò) LemonDuck、勒索軟件 REvil、銀行木馬 Trickbot、銀行木馬和信息竊取程序 Dridex、勒索軟件 Conti、滲透測(cè)試工具 Cobalt Strike，以及 Hello Kitty 和 DarkSide。
? 厄瓜多爾最大私人銀行Banco Pichincha 遭到攻擊
厄瓜多爾最大的私人銀行 Banco Pichincha 遭到了網(wǎng)絡(luò)攻擊，系統(tǒng)暫時(shí)關(guān)閉。此次攻擊導(dǎo)致銀行的業(yè)務(wù)大面積中斷，包括 ATM、網(wǎng)上銀行、應(yīng)用程序、電子郵件系統(tǒng)和自助服務(wù)。該銀行在服務(wù)中斷的兩天后發(fā)布聲明，稱其遭到了網(wǎng)絡(luò)攻擊，但并未公開(kāi)此次攻擊的性質(zhì)。據(jù)研究人員稱這是一次勒索軟件攻擊，攻擊者在銀行的系統(tǒng)中安裝了 Cobalt Strike beacon。
? IDC 發(fā)布 2021 上半年中國(guó) IT 安全服務(wù)市場(chǎng)跟蹤報(bào)告
IDC 在 10 月 12 日發(fā)布了 2021 上半年中國(guó) IT 安全服務(wù)市場(chǎng)跟蹤報(bào)告。IDC 定義的網(wǎng)絡(luò)安全服務(wù)市場(chǎng)分別由安全咨詢服務(wù)、IT 安全教育與培訓(xùn)服務(wù)、托管安全服務(wù)和安全集成服務(wù)四個(gè)子市場(chǎng)構(gòu)成。報(bào)告顯示，2021 上半年中國(guó) IT 安全服務(wù)市場(chǎng)廠商整體收入約為 11.1 億美元（約合 71.5 億元人民幣），廠商收入規(guī)模較去年同期實(shí)現(xiàn)翻倍增長(zhǎng)， 漲幅高達(dá) 110%，較 2019 年同比增長(zhǎng) 38%，中國(guó) IT 安全服務(wù)市場(chǎng)正式進(jìn)入需求全面爆發(fā)期。
? 巴西Hariexpress 數(shù)據(jù)庫(kù)配置錯(cuò)誤泄露 17.5 億條用戶記錄
Safety Detectives 在 10 月 13 日披露，巴西電商集成平臺(tái) Hariexpress 泄露了超過(guò)610 GB 數(shù)據(jù)。此次事件是由于 Elasticsearch 服務(wù)器配置錯(cuò)誤導(dǎo)致的，其中包含了超過(guò)1751023279 條用戶記錄。據(jù)研究人員稱，他們?cè)?5 月 12 日發(fā)現(xiàn)了泄露的數(shù)據(jù)，經(jīng)過(guò)分析當(dāng)時(shí)這些數(shù)據(jù)已公開(kāi)了一個(gè)多月。直至目前該數(shù)據(jù)庫(kù)仍未得到保護(hù)，Hariexpress 也未對(duì)此事作出回應(yīng)。
? 澳大利亞當(dāng)局將采取刪除被盜文件的方式解決數(shù)據(jù)問(wèn)題
澳大利亞政府在 10 月 15 日發(fā)布了一項(xiàng)新的勒索軟件行動(dòng)計(jì)劃，是澳大利亞為期十年的《2020 年網(wǎng)絡(luò)安全戰(zhàn)略》中的一部分。為了更有力地打擊勒索軟件攻擊活動(dòng)，澳大利亞當(dāng)局發(fā)布了《2021年監(jiān)視法修正案》。其中規(guī)定澳大利亞聯(lián)邦警察和刑事情報(bào)委員會(huì)有權(quán)刪除與犯罪活動(dòng)相關(guān)的數(shù)據(jù)，這允許執(zhí)法部門刪除在勒索軟件攻擊期間被盜并存儲(chǔ)在攻擊者服務(wù)器上的數(shù)據(jù)，以防止數(shù)據(jù)泄露問(wèn)題。
? Kaspersky 發(fā)布 APT 組織IronHusky 攻擊活動(dòng)的分析報(bào)告
Kaspersky 在10 月12 日發(fā)布了關(guān)于APT 組織IronHusky 攻擊活動(dòng)的分析報(bào)告。2021 年 8 月下旬和 9 月上旬，研究人員檢測(cè)到在多個(gè) Windows 服務(wù)器上利用了Win32k 驅(qū)動(dòng)程序中的釋放后使用漏洞 CVE-2021-40449 的攻擊活動(dòng)。該活動(dòng)還利用了惡意軟件MysterySnail，其代碼的相似性和 C2 的重用使得研究人員將此次活動(dòng)與 2012 年的 APT 組織 IronHusky 關(guān)聯(lián)起來(lái)。
? CISA 和 FBI 聯(lián)合發(fā)布關(guān)于水務(wù)系統(tǒng)網(wǎng)絡(luò)威脅的安全公告
美國(guó) CISA、FBI、EPA 和 NSA 在 10 月 14 日發(fā)布了聯(lián)合網(wǎng)絡(luò)安全公告(CSA) ，詳細(xì)說(shuō)明了美國(guó)水務(wù)系統(tǒng)(WWS)行業(yè)所面臨的網(wǎng)絡(luò)威脅。公告強(qiáng)調(diào)了正在進(jìn)行的針對(duì) WWS 行業(yè)的 IT 和 OT 網(wǎng)絡(luò)、系統(tǒng)和設(shè)備的攻擊活動(dòng)，該活動(dòng)可能會(huì)影響相關(guān)公司提供清水、飲用水和有效處理廢水的能力。CISA 還發(fā)布了 WWS 行業(yè)的網(wǎng)絡(luò)風(fēng)險(xiǎn)和資源信息圖，指出了該行業(yè)面臨的信息技術(shù)和運(yùn)營(yíng)技術(shù)風(fēng)險(xiǎn)。
? 3D 打印平臺(tái) Thingiverse 泄露超過(guò) 22 萬(wàn)用戶的信息
Have I Being Pwned(HIBP)在 10 月 14 日發(fā)文稱，3D 打印平臺(tái) Thingiverse 泄露了約 228000 名用戶的詳細(xì)信息。此次泄露的信息包括電子郵件地址、用戶名、IP、DoB 和密碼，HIPB 表示這些信息已在黑客論壇上公開(kāi)。Thingiverse 的母公司 MakerBot 淡化了這一事件，稱這是內(nèi)部的人為錯(cuò)誤導(dǎo)致了一些非敏感信息的泄露，并表示已通知受影響的用戶修改他們的密碼。
? Unit 42 發(fā)布利用 Interactsh 的攻擊活動(dòng)的分析報(bào)告
Unit 42 在 10 月 14 日披露了利用開(kāi)源工具 Interactsh 的攻擊活動(dòng)。該工具可以生成特定的域名，以幫助用戶測(cè)試漏洞利用是否成功。從 2021 年 4 月中旬開(kāi)始，研究人員注意到一些漏洞利用嘗試活動(dòng)使用的payload 具有相同域名但子域不同。經(jīng)過(guò)調(diào)查，發(fā)現(xiàn)來(lái)源于 Interactsh，該工具于今年 4 月 16 日發(fā)布，在 4 月 18 日就出現(xiàn)了利用它的攻擊嘗試。
? Continuity 發(fā)布關(guān)于存儲(chǔ)安全態(tài)勢(shì)的分析報(bào)告
Continuity 在近期發(fā)布了關(guān)于存儲(chǔ)安全態(tài)勢(shì)的分析報(bào)告。報(bào)告分析了銀行、金融服務(wù)、運(yùn)輸、醫(yī)療保健等行業(yè)客戶的 423 個(gè)存儲(chǔ)系統(tǒng)，總共發(fā)現(xiàn)了 6300 多個(gè)安全問(wèn)題。平均每臺(tái)設(shè)備上存在 15 個(gè)漏洞，其中 3 個(gè)是存在重大風(fēng)險(xiǎn)的關(guān)鍵漏洞。最常見(jiàn)的安全風(fēng)險(xiǎn)為使用易受攻擊的協(xié)議、未修復(fù)的漏洞、訪問(wèn)權(quán)限問(wèn)題、不安全的用戶管理和日志記錄不足等。
? CISA、FBI 和NSA 發(fā)布 BlackMatter 的預(yù)警公告
10 月 18 日，CISA、FBI 和 NSA 發(fā)布了勒索軟件 BlackMatter 的聯(lián)合網(wǎng)絡(luò)安全咨詢(CSA)。自今年 7 月以來(lái)，勒索軟件 BlackMatter 已攻擊了美國(guó)的多個(gè)與關(guān)鍵基礎(chǔ)設(shè)施相關(guān)的公司，例如食品和農(nóng)業(yè)行業(yè)。該 CSA 分析了 BlackMatter 的樣本并結(jié)合了來(lái)自第三方的信息，提供了攻擊者的策略、技術(shù)和程序，并概述緩解措施，以幫助組織改進(jìn)針對(duì)此類攻擊的保護(hù)、檢測(cè)和響應(yīng)措施。
? 黑客聲稱已竊取新加坡Fullerton 40 多萬(wàn)客戶的信息
攻擊者于10 月11 日開(kāi)始，在暗網(wǎng)上以600 美元的價(jià)格出售新加坡醫(yī)療公司Fullerton 的數(shù)據(jù)。攻擊者聲稱已獲取了 40 多萬(wàn)客戶，并公開(kāi)了姓名、身份證號(hào)碼、銀行賬戶和病史等信息作為樣本。但是在上周五（10 月 22 日），攻擊者刪除了有關(guān)數(shù)據(jù)出售的信息。該公司在 10 月 19 日稱，此次泄露是由于其供應(yīng)商 Agape 前不久的違規(guī)行為導(dǎo)致的，目前仍未確定受影響人員的數(shù)量和身份。
? SEON 發(fā)布關(guān)于全球網(wǎng)絡(luò)犯罪威脅態(tài)勢(shì)的分析報(bào)告
SEON 在 10 月 25 日發(fā)布了關(guān)于全球網(wǎng)絡(luò)犯罪威脅態(tài)勢(shì)的分析報(bào)告。報(bào)告對(duì)全球近100 個(gè)國(guó)家和地區(qū)進(jìn)行分析，發(fā)現(xiàn)網(wǎng)絡(luò)安全性最強(qiáng)的國(guó)家是丹麥，其次是德國(guó)、美國(guó)、挪威、英國(guó)、加拿大、瑞典和澳大利亞等國(guó)。相反，最不安全的國(guó)家是緬甸，其次是柬埔寨、洪都拉斯、玻利維亞和蒙古等國(guó)。報(bào)告還指出了 2020 年美國(guó)最常見(jiàn)的網(wǎng)絡(luò)犯罪類型分別是網(wǎng)絡(luò)釣魚(yú)和欺詐(32.96%)、未付款或未交付(14.87%)和敲詐勒索 (10.48%)。
? Microsoft 發(fā)布 NOBELIUM 團(tuán)伙攻擊活動(dòng)的分析報(bào)告
Microsoft 威脅情報(bào)中心在 10 月 25 日發(fā)布了關(guān)于NOBELIUM 團(tuán)伙攻擊活動(dòng)的分析報(bào)告。NOBELIUM 是 2020 年 12 月針對(duì) SolarWinds 的供應(yīng)鏈攻擊的幕后黑手，自 2021 年 5 月以來(lái)，該團(tuán)伙在美國(guó)和歐洲發(fā)起了有針對(duì)性的供應(yīng)鏈攻擊。此次活動(dòng)并未利用任何漏洞，而是利用密碼噴射、令牌盜竊、API 濫用和魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)等多種技術(shù)來(lái)竊特權(quán)帳戶的憑據(jù)，從而在云環(huán)境中橫向移動(dòng)。
? Neustar 發(fā)布 2021 年 9 月全球威脅態(tài)勢(shì)的統(tǒng)計(jì)報(bào)告
Neustar 國(guó)際安全委員會(huì)(NISC)發(fā)布了 2021 年 9 月全球威脅態(tài)勢(shì)的統(tǒng)計(jì)報(bào)告。報(bào)告顯示，72%的組織在過(guò)去 12 個(gè)月內(nèi)至少經(jīng)歷過(guò)一次 DNS 攻擊，其中最常見(jiàn)的 DNS 攻擊類型DNS 劫持 (47%)、DNS 洪泛反射或放大攻擊等DDoS 攻擊(46%)、DNS 隧道(35%) 和緩存中毒(33%)。2021 年 7 月至 8 月，DDoS 是最受關(guān)注的問(wèn)題，其次是系統(tǒng)入侵和勒索軟件。
