近日，明朝萬達(dá)安元實(shí)驗(yàn)室發(fā)布了2024年第三期《安全通告》。該份報(bào)告收錄了2024 年3月最新的網(wǎng)絡(luò)安全前沿新聞和最新漏洞追蹤，其中重點(diǎn)內(nèi)容包括：
網(wǎng)絡(luò)安全前沿新聞
1.俄羅斯黑客可能使用升級(jí)版AcidPour惡意軟件攻擊烏克蘭電信公司
安全研究人員表示：“AcidPour 的擴(kuò)展功能將使其能夠更好地禁用嵌入式設(shè)備，包括網(wǎng)絡(luò)、物聯(lián)網(wǎng)、大型存儲(chǔ) (RAID)，以及可能運(yùn)行 Linux x86 發(fā)行版的 ICS 設(shè)備。
AcidPour 是AcidRain的變體，用于在 2022 年初俄烏戰(zhàn)爭(zhēng)爆發(fā)時(shí)使 Viasat KA-SAT 調(diào)制解調(diào)器正常運(yùn)行，并削弱烏克蘭的軍事通信。
2.烏克蘭黑客劫持超過 1 億個(gè)電子郵件和 Instagram 賬戶
該網(wǎng)絡(luò)犯罪團(tuán)伙通過在暗網(wǎng)論壇上出售其非法獲得的憑據(jù)來貨幣化。購(gòu)買這些信息的其他攻擊者利用受感染的賬戶實(shí)施各種欺詐計(jì)劃，包括詐騙者聯(lián)系受害者的朋友將錢緊急轉(zhuǎn)入他們的銀行賬戶。該機(jī)構(gòu)表示：“你可以通過設(shè)置雙因素身份驗(yàn)證并使用強(qiáng)密碼來保護(hù)你的賬戶免受這種黑客攻擊。”官員們?cè)诨o、敖德薩、文尼察、伊萬諾-弗蘭科夫斯克、頓涅茨克和基洛沃拉德進(jìn)行了七次搜查，沒收了 70 臺(tái)電腦、14 部手機(jī)、銀行卡和價(jià)值超過 3,000 美元的現(xiàn)金。
3.黑客利用文檔發(fā)布網(wǎng)站進(jìn)行網(wǎng)絡(luò)釣魚攻擊
黑客利用 FlipSnack、Issuu、Marq、Publuu、RelayTo 和 Simplebooklet 等平臺(tái)上托管的數(shù)字文檔發(fā)布 (DDP) 網(wǎng)站進(jìn)行網(wǎng)絡(luò)釣魚、憑據(jù)收集和會(huì)話令牌盜竊，這再次突顯了攻擊者如何重新利用合法服務(wù)。
在 DDP 網(wǎng)站上托管網(wǎng)絡(luò)釣魚誘餌會(huì)增加網(wǎng)絡(luò)釣魚攻擊成功的可能性，因?yàn)檫@些網(wǎng)站通常擁有良好的聲譽(yù)，不太可能出現(xiàn)在 Web 過濾器阻止列表中，并且可能會(huì)給認(rèn)為熟悉或熟悉這些網(wǎng)站的用戶灌輸錯(cuò)誤的安全感。
4.TeamCity 漏洞導(dǎo)致勒索軟件、加密貨幣挖礦和 RAT 攻擊激增
多個(gè)攻擊者正在利用 JetBrains TeamCity 軟件中最近披露的安全漏洞來部署勒索軟件、加密貨幣挖礦程序、Cobalt Strike 信標(biāo)以及基于 Golang 的名為 Spark RAT 的遠(yuǎn)程訪問木馬。這些攻擊需要利用CVE-2024-27198（CVSS 評(píng)分：9.8），使攻擊者能夠繞過身份驗(yàn)證措施并獲得對(duì)受影響服務(wù)器的管理控制。
安全研究員表示：攻擊者隨后能夠安裝可以訪問其命令與控制 (C&C) 服務(wù)器的惡意軟件，并執(zhí)行其他命令，例如部署 Cobalt Strike 信標(biāo)和遠(yuǎn)程訪問木馬 (RAT)。然后可以安裝勒索軟件作為最終有效負(fù)載來加密文件并要求受害者支付贖金。
5.韓國(guó)公民因網(wǎng)絡(luò)間諜罪在俄羅斯被拘留
俄羅斯首次以網(wǎng)絡(luò)間諜罪名拘留一名韓國(guó)公民，并將其從符拉迪沃斯托克轉(zhuǎn)移至莫斯科接受進(jìn)一步調(diào)查。俄羅斯通訊社塔斯社最先報(bào)道了這一進(jìn)展。
一位不愿透露姓名的消息人士稱，“在調(diào)查一起間諜案期間，一名韓國(guó)公民白元淳被認(rèn)出并被拘留在符拉迪沃斯托克，并根據(jù)法院命令被拘留。元淳被指控向未透露姓名的外國(guó)情報(bào)機(jī)構(gòu)提供機(jī)密“絕密”信息。
6.黑客使用HTML 走私通過虛假 Google 網(wǎng)站傳播惡意軟件
網(wǎng)絡(luò)安全研究人員發(fā)現(xiàn)了一種新的惡意軟件活動(dòng)，該活動(dòng)利用偽造的 Google 站點(diǎn)頁面和 HTML 走私來分發(fā)名為AZORult的商業(yè)惡意軟件，以促進(jìn)信息盜竊。
安全研究員表示：它使用一種非正統(tǒng)的 HTML 走私技術(shù)，其中惡意負(fù)載嵌入到外部網(wǎng)站上托管的單獨(dú) JSON 文件中。網(wǎng)絡(luò)釣魚活動(dòng)尚未歸因于特定的攻擊者或組織。該網(wǎng)絡(luò)安全公司稱這種行為本質(zhì)上很普遍，其目的是收集敏感數(shù)據(jù)并在地下論壇上出售。
7.E-Root 市場(chǎng)管理員因出售 35 萬份被盜憑證而被判處 42 個(gè)月監(jiān)禁
美國(guó)司法部 (DoJ) 宣布，一名 31 歲的摩爾多瓦公民因經(jīng)營(yíng)名為 E-Root Marketplace 的非法市場(chǎng)而在美國(guó)被判處 42 個(gè)月監(jiān)禁，該市場(chǎng)出售數(shù)十萬份被盜憑證。美國(guó)司法部上周表示：“E-Root 市場(chǎng)在廣泛分布的網(wǎng)絡(luò)上運(yùn)行，并采取措施隱藏其管理員、買家和賣家的身份?！?/span>
Sandu Boris Diaconu 被指控串謀實(shí)施訪問設(shè)備和計(jì)算機(jī)欺詐以及擁有 15 個(gè)或更多未經(jīng)授權(quán)的訪問設(shè)備。他于 2023 年 12 月 1 日認(rèn)罪。
8.APT28 黑客組織針對(duì)歐洲、美洲和亞洲開展廣泛的網(wǎng)絡(luò)釣魚計(jì)劃
俄羅斯有關(guān)的威脅行為者APT28與多個(gè)正在進(jìn)行的網(wǎng)絡(luò)釣魚活動(dòng)有關(guān)，這些活動(dòng)使用模仿歐洲、南高加索、中亞以及北美和南美政府和非政府組織 (NGO) 的誘餌文件。
網(wǎng)絡(luò)釣魚攻擊冒充來自阿根廷、烏克蘭、格魯吉亞、白俄羅斯、哈薩克斯坦、波蘭、亞美尼亞、阿塞拜疆和美國(guó)等多個(gè)國(guó)家的實(shí)體，利用真實(shí)的公開政府和非政府誘餌文件來激活感染鏈。
9.新的基于 Python 的 Snake 信息竊取程序通過 Facebook 消息傳播
威脅行為者正在使用 Facebook 消息來分發(fā)名為 Snake 的基于 Python 的信息竊取程序，該程序旨在捕獲憑據(jù)和其他敏感數(shù)據(jù)。安全研究員在一份技術(shù)報(bào)告中表示： “從毫無戒心的用戶那里獲取的憑據(jù)會(huì)被傳輸?shù)讲煌钠脚_(tái)，例如 Discord、GitHub 和 Telegram?！?/span>
有關(guān)該活動(dòng)的詳細(xì)信息于 2023 年 8 月首次出現(xiàn)在社交媒體平臺(tái) X 上。這些攻擊需要向潛在用戶發(fā)送看似無害的 RAR 或 ZIP 存檔文件，這些文件在打開后會(huì)激活感染序列。
10.第三方 ChatGPT 插件可能導(dǎo)致賬戶被接管
網(wǎng)絡(luò)安全研究人員發(fā)現(xiàn)，可用于 OpenAI ChatGPT 的第三方插件可能會(huì)成為攻擊者尋求未經(jīng)授權(quán)訪問敏感數(shù)據(jù)的新攻擊面。
直接在 ChatGPT 和生態(tài)系統(tǒng)內(nèi)發(fā)現(xiàn)的安全漏洞可能允許攻擊者在未經(jīng)用戶同意的情況下安裝惡意插件，并劫持 GitHub 等第三方網(wǎng)站上的賬戶。ChatGPT 插件，顧名思義，是設(shè)計(jì)為在大語言模型 (LLM) 之上運(yùn)行的工具，旨在訪問最新信息、運(yùn)行計(jì)算或訪問第三方服務(wù)。
11.使用虛假 Notepad++ 和 VNote 安裝程序針對(duì)中國(guó)用戶的惡意廣告
在百度等搜索引擎上尋找Notepad++和VNote等合法軟件的中國(guó)用戶正成為惡意廣告和虛假鏈接的目標(biāo)，這些鏈接會(huì)分發(fā)該軟件的木馬版本，并最終部署Geacon（一種基于Golang的 Cobalt Strike 實(shí)現(xiàn)）。
安全研究員表示：在notepad++搜索中發(fā)現(xiàn)的惡意網(wǎng)站是通過廣告塊進(jìn)行分發(fā)的。首先打開軟件后，細(xì)心的用戶會(huì)立即注意到廣告：網(wǎng)站地址包含vnote行，標(biāo)題提供了Notepad‐‐（Notepad++ 的類似物，也作為開源軟件分發(fā)）的下載，而圖像卻顯示Notepad++。事實(shí)上，從這里下載的包中包含Notepad‐‐和黑客編寫的病毒。
12.RedCurl 網(wǎng)絡(luò)犯罪組織濫用 Windows PCA 工具進(jìn)行企業(yè)間諜活動(dòng)
RedCurl網(wǎng)絡(luò)犯罪組織正在利用名為程序兼容性助手 ( PCA )的合法 Microsoft Windows 組件來執(zhí)行惡意命令。安全研究員表示：“程序兼容性助手服務(wù) (pcalua.exe) 是一項(xiàng) Windows 服務(wù)，旨在識(shí)別和解決舊程序的兼容性問題。
黑客可以利用此實(shí)用程序來啟用命令執(zhí)行并通過將其用作替代命令行解釋器來繞過安全限制。在本次調(diào)查中，攻擊者使用此工具來掩蓋他們的活動(dòng)。
13.Ande Loader 惡意軟件針對(duì)北美制造業(yè)
名為 Blind Eagle 的攻擊者使用名為 Ande Loader 的加載器惡意軟件來傳播 Remcos RAT 和 NjRAT 等遠(yuǎn)程訪問木馬 (RAT)。
Blind Eagle（又名 APT-C-36）是一個(gè)出于經(jīng)濟(jì)動(dòng)機(jī)的攻擊者，曾策劃針對(duì)哥倫比亞和厄瓜多爾實(shí)體的網(wǎng)絡(luò)攻擊，以提供各種RAT，包括 AsyncRAT、BitRAT、Lime RAT、NjRAT、Remcos RAT、和QuasarRAT。
14.DarkGate 惡意軟件利用最近修補(bǔ)的 Microsoft 漏洞進(jìn)行零日攻擊
2024 年 1 月中旬觀察到的 DarkGate 惡意軟件活動(dòng)利用 Microsoft Windows 中最近修補(bǔ)的安全漏洞作為使用虛假軟件安裝程序的零日漏洞。
在此活動(dòng)期間，用戶被包含 Google DoubleClick Digital Marketing (DDM) 開放重定向的 PDF 引誘，導(dǎo)致毫無戒心的受害者訪問托管 Microsoft Windows SmartScreen 的受感染網(wǎng)站，繞過 CVE-2024-21412，從而導(dǎo)致惡意 Microsoft (.MSI) 安裝程序。
15.研究人員強(qiáng)調(diào)谷歌的 Gemini AI 對(duì) LLM 威脅的敏感性
谷歌的Gemini大語言模型（LLM）容易受到安全威脅，可能導(dǎo)致其泄露系統(tǒng)提示、生成有害內(nèi)容并進(jìn)行間接注入攻擊。
安全研究員說這些問題影響了使用 Gemini Advanced 和 Google Workspace 的消費(fèi)者以及使用 LLM API 的公司。涉及繞過安全防護(hù)已泄漏系統(tǒng)提示（或系統(tǒng)消息），這些提示在通過要求模型輸出其“基本指令”來向 LLM 設(shè)置對(duì)話范圍指令，以幫助其生成更有用的響應(yīng)。
