九游老哥云
九游老哥威胁情报周报（20200406~20200412）
2020-04-13
一、威胁通告
- 新型勒索软件WannaRen
【宣布时间】2020-04-08 22:00:00 GMT
【概述】克日，网络上泛起一种新型勒索病毒并在PC上最先撒播 。该勒索软件会加密Windows系统中的文件，并且以“.WannaRen”后缀命名 。攻击者留下比特币钱包并索取 0.05 比特币 。九游老哥科技应急响应团队通过跟踪剖析，发明“kms激活工具19.5.2.exe”为勒索软件下载器，该下载器伪装成kms激活工具诱导用户下载 。九游老哥威胁情报中心已支持对该事务的在线检测，已使用情报赋能的产品在离线升级包中也可获取响应IOC（一连更新） 。
【链接】http://blog.nsfocus.net/wannaren-0407/
- 深信服SSL VPN被境外APT组织使用并下发恶意代码
【宣布时间】2020-04-06 23:00:00 GMT
【概述】4月6日，深信服官方宣布通告称，有境外APT组织通过不法手段控制部分深信服SSL VPN装备，并使用客户端升级误差下发恶意文件到客户端，九游老哥科技对该事务亲近关注，并举行了整体的梳理和剖析，建议相关用户实时接纳防护和应急步伐 。
【链接】http://blog.nsfocus.net/sslvpn-0407/
二、热门资讯
- polaris僵尸网络攻击全球Netlink路由器
【概述】近期九游老哥科技格物实验室发明针对Netlink GPON路由器RCE误差的使用行为 。在2020年3月18日Netlink GPON路由器的远程执行误差被宣布不久，polaris僵尸网络便通过该误差撒播其样本，导致攻击源数目、攻击次数以及捕获到攻击的节点数目均呈上升趋势 。
【参考链接】https://mp.weixin.qq.com/s/9xEVrC5UzyuCF56Es1ppGA
- xHelper木马针对Android手机举行大规模攻击
【概述】xHelper木马在2019年10月被发明最先针对Android手机举行大规模攻击，但纵然现在，该木马仍然向以前一样活跃 。xHelper是极具攻击性的木马软件，它将自己伪装成一款手机整理加速应用程序，装置之后在主屏幕或程序菜单自动隐藏，纵然找到并删除它甚至恢复出厂设置也无用，它仍会保保存那里，并且可以装置后门向其他恶意软件袒露用户的数据 。
【参考链接】https://securelist.com/unkillable-xhelper-and-a-trojan-matryoshka/96487/
- APT41使用Zoho ManageEngine中误差针对执法相关实体
【概述】近期APT41组织使用Zoho ManageEngine的零日误差CVE-2020-10189攻击美国、欧洲地区的执法相关部分 。APT41是一个与中国有关的威胁组织，至少从2012年活跃至今，主要营业包括国家赞助的网络特工运动以及出于经济念头的入侵运动 。
【参考链接】https://www.darktrace.com/en/blog/catching-apt-41-exploiting-a-zero-day-vulnerability/
- Kinsing恶意软件针对容器情形的攻击
【概述】近期针对容器情形的攻击数目在增添 。攻击者使用不受� ；さ目臘ocker API端口来运行一个带有Kinsing恶意软件的Ubuntu容器，该恶意软件运行一个加密器，然后试图将恶意软件撒播到其他容器和主机上 。
【参考链接】https://blog.aquasec.com/threat-alert-kinsing-malware-container-vulnerability
- WINDSHIFT组织针对中东的网络特工运动
【概述】WINDSHIFT是一个从事高针对性的网络特工运动的组织，针对整其中东地区的政府部分和要害基础设施事情的特定小我私家，攻击运动中WindTail是该组织使用的第一阶段macOS植入程序，通过滥用macOS对自界说URL计划的支持来远程熏染macOS目的 。
【参考链接】https://www.virusbulletin.com/virusbulletin/2020/04/vb2019-paper-cyber-espionage-middle-east-unravelling-osxwindtail/
- FIN6组织在攻击运动中分发Anchor和PowerTrick后门
【概述】近两年来，有组织的网络犯法集团之间的相助日益增强 。FIN6是一个有组织的网络犯法团伙，自2015年以来一直很活跃，主要针对美国和欧洲的实体零售商和旅馆行业的POS机 。近期其与TrickBot相助使用Anchor和PowerTrick对企业网络举行针对性的攻击 。另外，FIN6的目的包括但不限于电子商务情形和勒索软件 。
【参考链接】https://securityintelligence.com/posts/itg08-aka-fin6-partners-with-trickbot-gang-uses-anchor-framework/
- Hoaxcalls僵尸网络使用Grandstream和DrayTek装备误差撒播
【概述】Hoaxcalls是一个新的DDoS僵尸网络，使用Grandstream和DrayTek装备误差在全球规模内普遍撒播，它通过IRC与C2服务器通讯，吸收到C2下令后，可以使用CVE-2020-8515和CVE-2020-5722误差通过扫描和熏染易受攻击的装备举行撒播 。现在已有许多Grandstream UCM6200和Draytek Vigor装备被熏染或攻击 。
【参考链接】https://unit42.paloaltonetworks.com/new-hoaxcalls-ddos-botnet/
