綠盟科技威脅情報周報（2020.07.13-2020.07.19）
2020-07-20
一、 威脅通告
Windows DNS服務器遠程代碼執行漏洞
【發布時間】2020-07-15 12:00:00 GMT
【概述】
2020年7月15日，微軟發布7月安全更新補丁，其中修復了一個WindowsDNS服務器遠程代碼執行漏洞（CVE-2020-1350），代號為SigRed，此漏洞已存在17年之久，CVSS評分為10。默認配置下，未經驗證的攻擊者可以向WindowsDNS服務器發送惡意請求來利用此漏洞。
【鏈接】
https://nti.nsfocus.com/threatWarning
Weblogic多個遠程代碼執行漏洞
【發布時間】2020-07-15 12:00:00 GMT
【概述】
2020年7月15日，Oracle官方發布2020年7月關鍵補丁更新（CriticalPatchUpdate），修復了443個危害程度不同的安全漏洞。其中包括4個WebLogic的嚴重漏洞（CVE-2020-14625、CVE2020-14644、CVE-2020-14645、CVE-2020-14687），此4個漏洞均和T3、IIOP協議相關，未經身份驗證的攻擊者可通過此次的漏洞實現遠程代碼執行。CVSS評分均為9.8，利用復雜度低。
【鏈接】
https://nti.nsfocus.com/threatWarning
微軟2020年7月安全更新
【發布時間】2020-07-15 18:00:00 GMT
【概述】
北京時間2020年7月15日，微軟發布7月安全更新補丁，修復了124個安全問題，涉及Microsoft Windows、InternetExplorer、MicrosoftOffice、MicrosoftEdge、WindowsDefender、Visual Studio等廣泛使用的產品，其中包括遠程代碼執行和權限提升等高危漏洞類型。本月微軟月度更新修復的漏洞中，嚴重程度為關鍵（Critical）的漏洞共有18個，重要（Important）漏洞有106個。
【鏈接】
https://nti.nsfocus.com/threatWarning
二、 熱點資訊
1. SAP NetWeaver AS Java嚴重漏洞
【概述】
當地時間2020年7月13日，SAP發布安全更新表示，修復了一個存在于SAP NetWeaver AS Java（LM配置向導）7.30至7.50版本中的嚴重漏洞CVE-2020-6287。漏洞緣于SAP NetWeaver AS for Java Web組件中缺少身份驗證，因此允許攻擊者在受影響的SAP系統上進行高特權活動。
【參考鏈接】
http://blog.nsfocus.net/sap-netweaver-as-java-0714/
2. Oracle全系產品2020年7月關鍵補丁更新
【概述】
當地時間2020年7月14日，Oracle官方發布了2020年7月關鍵補丁更新公告CPU（Critical Patch Update），安全通告以及第三方安全公告等公告內容，修復了443個不同程度的漏洞。
【參考鏈接】
http://blog.nsfocus.net/oracle-july-0715/
3. Adobe 2020年7月安全更新
【概述】
當地時間7月14日，Adobe官方發布了7月安全更新，修復了Adobe 多款產品中的多個漏洞，包括Adobe Creative Cloud Desktop?Application、Adobe Media Encoder、Adobe Genuine Service、Adobe ColdFusion 和 Adobe Download Manager。
【參考鏈接】
http://blog.nsfocus.net/adobe-july-0715/
4. Cisco多款產品發布安全更新
【概述】
當地時間2020年7月15日 ，Cisco為多款產品發布了安全更新通告，共解決了5個評分9.8的Critical級別漏洞（CVE-2020-3330、CVE-2020-3323、CVE-2020-3144、CVE-2020-3331、CVE-2020-3140）。
【參考鏈接】
http://blog.nsfocus.net/cisco-0716/
5. APT29針對COVID-19疫苗開發組織的攻擊活動
【概述】
APT29組織近期使用名為WellMess和WellMail的自定義惡意軟件針對加拿大、美國和英國的參與COVID-19疫苗開發的各個組織，竊取與COVID-19疫苗的開發和測試有關的信息和知識產權。APT29(又名Cozy Bear、CozyDuke、The Dukes和YTTRIUM)是一個歸屬于俄羅斯政府的威脅組織，至少自2008年以來一直活躍。
【參考鏈接】
6. Welcome Chat惡意軟件針對阿拉伯用戶
【概述】
Welcome Chat看似一款功能強大的聊天應用程序，實則是間諜軟件，可以監視受害者并免費獲得其數據，該應用程序具有過濾已發送和已接收的SMS消息、通話記錄歷史記錄、聯系人列表、用戶照片、已記錄的電話、GPS設備的位置以及設備信息的功能，近期Welcome Chat旨在被攻擊者利用針對阿拉伯用戶。此次攻擊活動疑似與Molerats組織有關。
【參考鏈接】
https://www.welivesecurity.com/2020/07/14/welcome-chat-secure-messaging-app-nothing-further-truth/
7. Turla組織利用NewPass惡意軟件針對外交領域
【概述】
NewPass是一個相當復雜的惡意軟件，它由滴管、加載器庫和二進制文件組成，依賴一個編碼的文件在彼此之間傳遞信息和配置。滴管用于部署二進制文件，加載器庫能夠解碼提取最后一個組件的二進制文件，負責執行特定的操作。Turla組織近期利用NewPass惡意軟件針對至少一個歐盟國家的外交和外交事務部門。Turla是一個總部位于俄羅斯的威脅組織，自2004年以來一直活躍。
【參考鏈接】
8. RATicate組織使用CloudEyE加載程序使惡意軟件合法化
【概述】
RATicate組織至少從去年開始就傳播遠程管理工具（RAT）和其他竊取信息的惡意軟件。近期RATicate組織使用CloudEyE加載程序以更隱蔽的方式解壓縮和安裝RAT和信息竊取程序的有效負載。CloudEyE是一個多階段的加載器，也是一個惡意軟件的加密器，帶有以Visual Basic編寫的包裝器。它包含一個shellcode，該shellcode負責下載加密的有效負載并將其注入到遠程進程中。RATicate是一個以竊取信息為目的的威脅組織，主要針對歐洲、中東和亞洲地區。
【參考鏈接】
https://news.sophos.com/en-us/2020/07/14/raticate-rats-as-service-with-commercial-crypter/
9. 巴西銀行木馬擴展到全球
【概述】
針對巴西的四大銀行木馬家族包括Guildma、Javali、Melcoz和Grandoreiro，近期它們的目標用戶不僅是巴西，而且擴展到拉丁美洲和歐洲進行攻擊活動，這些銀行木馬家族通過使用DGA、加密有效載荷、進程空化、劫持DLL、大量的LoLBins、無文件感染和其他技巧逃避分析和檢測。
【參考鏈接】
https://securelist.com/the-tetrade-brazilian-banking-malware/97779/
10. Darkshades木馬感染Android設備
【概述】
Darkshades是一種以Android設備為目標的遠程訪問木馬。它具有竊取聯系方式、精確跟蹤位置、竊取實時短信/彩信、獲取卡證書、捕獲截圖、加密文件和發起DDOS攻擊的功能。Darkshades木馬具有兩種變種，區別在于有無卡憑據抓取功能。
【參考鏈接】
https://insights.oem.avira.com/in-depth-analysis-of-darkshades-a-rat-infecting-android-devices/
11. SLoad惡意軟件通過垃圾郵件傳播
【概述】
近期攻擊者發起新的大規模垃圾郵件運動旨在傳播SLoad惡意軟件，垃圾郵件通過受感染的PEC傳達，以虛擬發票的消息作為誘餌，該發票包含附加的惡意ZIP存檔，其中包含VBS文件和XML。
【參考鏈接】
https://cert-agid.gov.it/news/campagna-sload-v-2-9-3-veicolata-via-pec/
12. 新型銀行木馬BlackRock的攻擊活動
【概述】
近期在攻擊活動中發現LokiBot銀行木馬的新變種BlackRock，其攻擊目標包含大量社交、網絡、通訊和約會應用程序，同時該木馬具有覆蓋攻擊，發送垃圾郵件和竊取SMS消息、屏幕鎖定、竊取和隱藏通知、隱藏應用程序圖標和防止被移除等功能。
【參考鏈接】
https://www.threatfabric.com/blogs/blackrock_the_trojan_that_wanted_to_get_them_all.html
