信息宁静周报-2020年第15周
宣布时间 2020-04-14> 本周宁静态势综述
2020年04月06日至12日共收录宁静漏洞55个，值得关注的是Broadcom Advanced Secure Gateway/ProxySG未授权访问漏洞; Linux kernel drivers/input/input.c越界写漏洞；OpsRamp Gateway默认编码漏洞；Synergy Systems & Solutions HUSKY RTU 6049-E70 telnet验证绕过漏洞；SolarWinds Dameware ECDH key交换缓冲区溢出漏洞 。
本周值得关注的网络宁静事件是FireEye宣布最近数年0day利用情况的分析陈诉；FIN6及运营TrickBot的团伙联合的攻击活动；尼泊尔ISP Vianet遭黑客入侵，170万客户数据泄露；俄罗斯电信公司Rostelecom劫持多个企业的互联网流量；微软宣布Emotet攻击Fabrikam公司的案例研究陈诉 。
凭据以上综述，本周宁静威胁为中 。
>重要宁静漏洞列表
1. Broadcom Advanced Secure Gateway/ProxySG未授权访问漏洞
Broadcom Advanced Secure Gateway/ProxySG控制台存在会话劫持问题，允许远程攻击者可以利用漏洞提交特殊的请求，可未授权访问管理接口 。
https://support.broadcom.com/security-advisory/security-advisory-detail.html?notificationId=SYMSA1752
2. Linux kernel drivers/input/input.c越界写漏洞
Linux kernel drivers/input/input.c存在越界写漏洞，允许当地攻击者可以利用漏洞提交特殊的请求，通过特助的keycode表触发，提升权限 。
https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=cb222aed03d798fc074be55e59d9a112338ee784
3. OpsRamp Gateway默认编码漏洞
OpsRamp Gateway存在密码为password 9vt@f3Vt的管理员账户，允许远程攻击者可以利用漏洞提交特殊的请求，可未授权访问系统 。
https://www.criticalstart.com/hard-coded-administrator-password-discovered-in-opsramp/
4. Synergy Systems & Solutions HUSKY RTU 6049-E70 telnet验证绕过漏洞
Synergy Systems ＆ Solutions HUSKY RTU 6049-E70 telnet服务不需要验证漏洞，允许远程攻击者可以利用漏洞提交特殊的请求，可未授权访问 。
https://www.us-cert.gov/ics/advisories/icsa-20-042-01
5. SolarWinds Dameware ECDH key交换缓冲区溢出漏洞
SolarWinds Dameware ECDH key交换处置'SigPubkeyLen'存在缓冲区溢出漏洞，允许远程攻击者可以利用漏洞提交特殊的请求，可使应用法式崩�；蚩芍葱腥我獯� 。
https://www.tenable.com/security/research/tra-2020-19
> 重要宁静事件综述
1、FireEye宣布最近数年0day利用情况的分析陈诉
FireEye Mandiant威胁情报团队记录的2019年0day利用量比前三年中的任何一年都要多 。尽管并不能将每一个0day利用都归因到特定的攻击者，但研究人员注意到越来越多的攻击者获得了0day利用的能力 。FireEye认为，这种激增至少部门是由于不停生长的雇佣黑客行业生长起来的，这些行业开发0day利用工具并将其出售给世界各地的情报机构 。攻击者与0day利用之间的最大障碍不是技能，而是现金 。具体来说，FireEye指出NSO Group、Gamma Group和Hacking Team是这类承包商，这些承包商使一批新的国家/地域能够购置0day利用 。
原文链接：
https://www.fireeye.com/blog/threat-research/2020/04/zero-day-exploitation-demonstrates-access-to-money-not-skill.html
2、FIN6及运营TrickBot的团伙联合的攻击活动
IBM X-Force研究人员体现，在最近的网络攻击中发现了FIN6的痕迹，这些攻击活动最初利用TrickBot木马熏染受害者，然后最终下载了Anchor后门 。研究人员称这两个犯罪组织-TrickBot的运营团伙以及FIN6-已经进行合作，这是网络犯罪团体现有合作趋势中的“新的危险转折” 。Anchor至少可以追溯到2018年，似乎是由TrickBot的运营团伙编写的““多合一攻击框架”，它由种种子�？樽槌�，可以资助攻击者在网络上横向流传（例如安装后门） 。同时TrickBot的另一个工具PowerTrick主要用于在受熏染的高价值目标（例如金融机构）内部进行隐身、持久性和侦察 。IBM X-Force指出FIN6加入了利用Anchor和PowerTrick的攻击，其存在的最大指标是攻击中使用的装载法式（Terraloader）和后门（More_eggs） 。
原文链接：
https://threatpost.com/fin6-and-trickbot-combine-forces-in-anchor-attacks/154508/
3、尼泊尔ISP Vianet遭黑客入侵，170万客户数据泄露
尼泊尔互联网服务提供商Vianet Communications确认其信息系统遭黑客入侵，客户的个人信息被窃 。黑客在Twitter帐户上声称窃取了170万Vianet客户的数据，包罗他们的姓名、手机号码、地址和电子邮件地址 。黑客的推文中还包罗托管在洋葱网络上的泄露数据链接 。Vianet在其官方声明中确认了这一事件，并体现已经确定了泄露的泉源和接纳适当的措施来增强宁静性 。
原文链接：
https://www.nepalitelecom.com/2020/04/vianet-customer-data-leaks-hack.html
4、俄罗斯电信公司Rostelecom劫持多个企业的互联网流量
4月1日俄罗斯电信公司Rostelecom劫持了谷歌等公司的互联网流量，该事件影响了世界上最大的200多个CDN网络及云托管服务商，连续了约莫1个小时 。受影响的企业包罗谷歌、亚马逊、Facebook、Akamai、Cloudflare、GoDaddy、Digital Ocean、Joyent、LeaseWeb、Hetzner和Linode等知名公司 。这是一次典型的BGP劫持事件，该事件的原因可能是Rostelecom的内部流量修正系统错误地将不正确的BGP路由袒露在公网上，而且被上游供应商广播造成的 。
原文链接：
https://www.zdnet.com/article/russian-telco-hijacks-internet-traffic-for-google-aws-cloudflare-and-others/
5、微软宣布Emotet攻击Fabrikam公司的案例研究陈诉
微软在检测和响应小组（DART）案例陈诉002中分享了Fabrikam公司遭受Emotet攻击的详细信息 。该攻击始于网络钓鱼邮件，当内部员工访问了钓鱼信息后，Emotet熏染了其系统并横向熏染了同一网络中的其它系统 。该病毒制止了通过命令和控制服务器（C2）进行定期更新而被防病毒解决方案检测到的情况，而且通过使Windows设惫亓CPU使用率到达饱和来停止核心服务，导致该组织的基本服务和网络中断了将近一周的时间 。CPU使用率一直饱和使得计算机过热，导致内部系统卡死、重启和网络连接下降 。该恶意软件通过窃取管理员帐户凭据进行横向移动，在最初熏染后的8天之内，Fabrikam的整个网络就被关闭了 。
原文链接：
https://www.microsoft.com/security/blog/wp-content/uploads/2020/04/Case-study_Full-Operational-Shutdown.pdf
京公网安备11010802024551号