比利时称其国防部和内政部遭到多个APT团伙的攻击

宣布时间 2022-07-21

1、比利时称其国防部和内政部遭到多个APT团伙的攻击

     

据7月20日报道，比利时外交部长透露了针对FPS内政部和国防部的影响其主权、民主、宁静和整个社会的恶意网络攻击活动。比利时政府的声明中提到，针对内政部的攻击涉及APT组织APT27、APT30、APT31，针对国防部的恶意活动与Gallium有关。Gallium于2019年12月首次被披露，MSTIC称其主要针对全球的电信提供商，自2021年以来，开始攻击阿富汗、澳大利亚和比利时等国。


https://securityaffairs.co/wordpress/133425/apt/belgium-claims-china-hit-its-ministries.html


2、建材公司Knauf遭到Black Basta团伙的勒索攻击

     

据媒体7月19日报道，建材公司可耐福（Knauf）遭到了Black Basta的勒索攻击。攻击发生在6月29日晚上，影响了该公司的业务运营，迫使其全球IT团队关闭所有系统以进行隔离。目前，Knauf仍在进行取证视察、事件响应和调停。勒索团伙Black Basta于7月16日在其数据泄露网站上列出该公司，并体现对此次事件卖力。攻击者已果然被盗文件的20%，包罗电子邮件、用户凭据、员工联系方式、生产文档和身份证扫描件的样本。   


https://www.bleepingcomputer.com/news/security/building-materials-giant-knauf-hit-by-black-basta-ransomware-gang/


3、研究人员演示利用SATA电缆在气隙系统窃取数据的要领

     

媒体7月19日称，以色列本古里安大学的研究人员发现了一种从气隙系统中窃取数据的新要领。这种新的攻击要领称为SATAn，它使用大多数计算机内部的串行ATA(SATA)电缆作为无线天线，通过无线电信号发送数据。要使SATAn攻击乐成，攻击者首先需要熏染目标气隙系统。此类攻击也存在限制，通过种种实验确定，从气隙系统到接收器的最大距离不能凌驾120厘米，否则误码率增加太多，无法保证信息的完整性（凌驾15%）。


https://www.bleepingcomputer.com/news/security/air-gapped-systems-leak-data-via-sata-cable-wifi-antennas/


4、APT29利用Google Drive等合法云服务分发恶意软件


Unit 42在7月19日披露了俄罗斯黑客团伙APT29利用在线存储服务（DropBox和Google Drive）分发恶意软件的钓鱼攻击。据信，这些活动在2022年5月至6月期间针对西方的多个外交使团，活动中使用的诱饵表明，其主要针对的是外国驻葡萄牙大使馆和外国驻巴西大使馆。钓鱼文档包罗指向恶意HTML文件(EnvyScout)的链接，该文件充当其它恶意文件的dropper，包罗Cobalt Strike payload。


https://unit42.paloaltonetworks.com/cloaked-ursa-online-storage-services-campaigns/


5、ESET发现针对mac OS的新恶意软件CloudMensis

     

7月19日，ESET宣布了关于针对macOS的新恶意软件CloudMensis的分析陈诉。研究人员于2022年4月首次发现这种新恶意软件，它使用公共云存储服务pCloud、Yandex Disk和Dropbox进行C2通信。其功效表明，攻击者的主要目标是通过窃取文档、击键记录和屏幕截图等方式从目标Mac中收集信息。CloudMensis是用Objective-C开发的，ESET分析的样本是针对Intel和Apple架构编译的。目前，攻击的初始熏染媒介和目标仍然未知。


https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/


6、8220 Gang的云僵尸网络已劫持3万多台主机来挖矿

     

SentinelLabs在7月18日称，黑客团伙8220 Gang的云僵尸网络规模已从2021年中期的2000台主机扩大到30000台。该团伙自2017年开始活跃，主要通过已知漏洞和远程访问暴力破解来熏染云主机，并操控僵尸网络和加密矿工。在最近的一次攻击中，该团伙利用了新版本的IRC僵尸网络、PwnRig加密矿工及其通用熏染脚本。研究人员体现，加密货币价格的下跌迫使攻击者扩大其行动规模，以保持相同的利润。


https://www.sentinelone.com/blog/from-the-front-lines-8220-gang-massively-expands-cloud-botnet-to-30000-infected-hosts/