昨日，明朝萬達安元實驗室發布了2021年第十二期《安全通告》。
該份報告收錄了2021年12月最新的網絡安全前沿新聞和最新漏洞追蹤，其中重點內容包括：
美國 TRUE Health 遭到攻擊泄露超過 6 萬公民的信息
美國新墨西哥州的醫療保險公司 RUE Health 確認其遭到網絡攻擊，泄露 62983 個公民的信息。攻擊發生在 10 月 5 日，未經授權的第三方訪問了 True Health New Mexico 系統。可能泄露了姓名、出生日期、年齡、地址、郵件地址、保險信息、醫療信息、社會安全號碼、賬戶 ID，及供應商信息、服務日期和供應商識別號等。該公司將為所有可能受影響的個人提供為期 24 個月的補充信用監控。
Fortinet發布2021 年威脅態勢演變趨勢的分析報告
11 月 26 日，Fortinet 發布 2021 年威脅態勢演變趨勢的分析報告。過去一年中，攻擊者不斷增加對關鍵基礎設施以及各行各業的攻擊力度，與此同時，也在持續改進他們的攻擊方法。威脅態勢中出現的新趨勢包括，隨著 Linux 越來越流行，它逐漸成為攻擊者的主要目標；當攻擊者使用新的技術，如 RAT 和 rootkit 等，只要成功就立即會有其他攻擊者使用相同的方式發動攻擊。
APWG發布2021年Q3網絡釣魚活動趨勢的分析報告
APWG 在 11 月 22 日發布了 2021 年 Q3 網絡釣魚活動趨勢的分析報告。報告指出，APWG 在年 7 月份檢測到了 260642 次釣魚活動，是歷史上攻擊最多的一個月；自 2020年初以來，釣魚活動的數量翻了一番；針對金融機構和支付服務商的攻擊占所有攻擊總數的 34.9%，針對加密貨幣目標的釣魚占 5.6%；2021 年，受到攻擊的品牌數量有所增加從每月 400 多個增加到 700 多個；針對巴西的釣魚攻擊從 Q2 的 4275 次上升 7741 次。
Kaspersky披露APT37利用Chinotto攻擊韓國的活動
Kaspersky 在 11 月 29 日披露朝鮮黑客組織 APT37（又稱 ScarCruft 或Temp.Reaper）在近期的攻擊活動。ScarCruft 從 2012 年開始活躍，主要針對韓國的官方機構或公司。此次活動開始于 2021 年 8 月，初始感染媒介是魚叉式釣魚活動，之后利用 IE 瀏覽器中的兩個漏洞在韓國的網站中安裝自定義惡意軟件 BLUELIGHT，發起水坑攻擊?；顒舆€利用了惡意軟件 Chinotto，它具有針對 PowerShell、Windows 和 Android 的多個變體。
Trend Micro發現利用合法RAT分發SpyAgent的活動
11 月 29 日，Trend Micro 公開了關于 SpyAgent 攻擊活動的研究。攻擊者首先會在虛假的加密貨幣相關網站分發偽造成加密貨幣錢包、礦工軟件或沖浪插件的 Dropper。此次活動中，SpyAgent 的新變體利用了俄羅斯合法的遠程訪問工具 (RAT) Safib Assistant。此外，還利用了 DLL 側加載漏洞，通過惡意 DLL 篡改 RAT 調用的各種 API 函數，對用戶隱藏 RAT 窗口。之后，惡意 DLL 會返回 RAT 的 ID，攻擊者可以利用該 ID 連接并控制目標設備。
研究團隊稱超過30萬Google Play用戶已感染多個銀行木馬
安全公司 ThreatFabric 表示在 2021 年 8 月至 11 月期間，4 個不同的銀行木馬已感染超過 30 萬個 Google Play 用戶。研究人員稱，檢測到的惡意 dropper 偽裝 2FA 身份驗證器、二維碼掃描器和 PDF 文檔掃描儀等應用，旨在安裝 Anatsa（又名TeaBot）、Alien、ERMAC 和 Hydra。這些木馬可以使用自動轉賬系統 ATS，在用戶不知情的情況下竊取用戶密碼和基于 SMS 的 2FA 身份驗證代碼、屏幕截圖等信息，甚至竊取用戶銀行賬戶中資金。目前，這些應用已從 Google Play 中刪除。暗網市場Cannazon遭到大規模DDoS攻擊后永久關閉2021 年 11 月 23 日，暗網市場 Cannazon 的管理員宣布將永久關閉該網站。據悉，該網站在 11 月初遭到了大規模 DDoS 攻擊，管理員通過減少訂單數量和關閉部分系統以緩解問題。但這在社區中引起了轟動，用戶擔心這是一場退出騙局。管理員在發布關閉通告時，對于這種處理方法表示歉意，稱沒有公開攻擊活動是為了保護用戶和社區，以防止供應商試圖發動加密貨幣退出騙局。電信公司AT＆T大量ESBC設備遭到僵尸網絡EwDoor攻擊研究團隊在 11 月 30 日公開新僵尸網絡 EwDoor 的攻擊活動。此次活動主要針對電信公司 AT＆T EdgeMarc 企業會話邊界控制器(ESBC)邊緣設備，利用了 4 年前的命令注入漏洞（CVE-2017-6079）。在僵尸網絡切換到其它 C2 之前的短短 3 小時內，共檢測到約5700 臺設備被感染。目前，研究人員已確認 EwDoor 的 3 個變體，可分為 DDoS 攻擊和Backdoor 兩大類，并推測其主要目的是 DDoS 攻擊，以及收集通話記錄等敏感信息。沃爾沃公司遭到Snatch的勒索攻擊導致研發數據泄露12 月 10 日，瑞典汽車制造商沃爾沃稱其服務器遭到勒索攻擊，部分研發數據已經泄露。沃爾沃表示，目前正在對此事展開調查，客戶的個人數據并不會受到影響，但公司的運營可能受到影響。雖然該公司尚未透露有關此次事件的其它細節，但勒索運營團伙 Snatch 已于 11 月 30 日將該公司添加到其數據泄露網站的目錄中，并公開了被盜文件的截圖和 35.9 MB 的數據。Wordfence發現針對160萬個 WordPress網站的大規模攻擊Wordfence 在 12 月 9 日公開了近期針對超過 160 萬個 WordPress 網站的大規模攻擊活動。這些攻擊主要針對 4 個插件（PublishPress Capabilities 和 Kiwi Social Plugin 等）和15 個 Epsilon 框架主題（Shapely 和 NatureMag Lite 等）。通過啟用 users_can_register 選項，并將 default_role 選項設置為管理員，攻擊者就可以注冊為管理員并接管該網站。研究人員建議用戶立即更新受影響插件，其中 NatureMag Lite 沒有可用補丁，需要立即卸載。Cofense發現針對德國金融行業的新一輪釣魚活動12 月 9 日，Cofense 發現在過去幾周中，利用二維碼針對德國金融行業的新一輪釣魚活動。此次活動使用的郵件中并沒有明文 URL，而是通過 QR 碼將用戶重定向到釣魚網站，以繞過安全軟件的檢測。因為 QR 碼的目標是移動用戶，這些用戶很少受到安全工具的保護，這提高了攻擊的有效性。攻擊成功后，便會竊取目標的銀行地址、代碼、用戶名和 PIN 等信息，主要針對的兩個金融機構是 Sparkasse 和 Volksbanken Raiffeisenbanken。Lookout發現針對近400家金融機構分發Anubis的活動12 月 14 日，Lookout 發現了針對 394 家金融機構分發 Android 銀行木馬 Anubis 的活動。Anubis 于 2016 年首次出現，作為開源銀行木馬在俄羅斯黑客論壇上發布。在此次活動中，攻擊者冒充法國電信公司 Orange SA 的帳戶管理應用，瞄準大通銀行、富國銀行、美國銀行和第一資本等金融機構的客戶。研究人員稱，此次攻擊不僅僅針對大型銀行的客戶，還針對虛擬支付平臺和加密錢包，該活動目前仍處于測試和優化階段。VulcanForge聲稱其遭到攻擊損失高達近1.4億美元
游戲公司 VulcanForge 在本周一稱其遭到了網絡攻擊，損失高達 1.35 億美元。該公司稱，攻擊者已經獲得了 96 個錢包的私鑰，并竊取了 450 萬 PYR（VulcanForge 的代幣，可在其整個游戲系統中使用）。此外，攻擊者出售了大量 PYR，使 PYR 的價格下跌 22%（從 31 美元降到 24 美元）。這是近十幾天內發生的第三起加密貨幣失竊事件，三次攻擊造成的總損失金額約為 4.04 億美元。
亞馬遜AWS云服務再次宕機影響Twitch 和 Zoom等應用12 月 15 日，亞馬遜 AWS 云服務再次宕機。此中斷開始于太平洋時間上午 7:43 左右，主要影響了 US-WEST-1 和 US-WEST-2 區域，導致 Twitch、Zoom、PSN、Xbox Live、Doordash、Quickbooks Online 和 Hulu 等大量平臺和網站關閉。截至 12 月 15 日 11:27 ，亞馬遜稱Internet 連接的問題已經解決，服務運行正常。12 月 7 日，亞馬遜 AWS 云服務宕機，影響了 Netflix、Roku 和 Amazon Prime 的等應用。FBI稱攻擊者積極利用Zoho中漏洞CVE-2021-4451512 月 17 日，FBI 發布警報稱有 APT 組織自 10 月下旬開始一直在積極利用 Zoho 中的漏洞 CVE-2021-44515。這是 ManageEngine Desktop Central 中的身份驗證繞過漏洞，可用來繞過身份驗證并執行任意代碼。FBI 稱，該團伙入侵 Desktop Central 服務器后安裝覆蓋其合法功能的 webshell，然后下載利用工具，列舉域用戶和群組，進行網絡偵察，最后試圖橫向移動和轉儲憑證。新的僵尸網絡Abcbot主要針對中國的云服務提供商12 月 21 日，Cado Security 發現新僵尸網絡 Abcbot 在過去幾個月主要針對中國云服務提供商，包括阿里云、百度、騰訊和華為云等。Abcbot 首先會安裝一個 Linux bash 腳本，來禁用 SELinux 安全保護，并創建后門。然后掃描目標主機中是否存在其它惡意軟件，如果發現則會刪除其它惡意軟件的相關進程。除此之外，Abcbot 還會刪除 SSH 密鑰并僅保留自己的密鑰，以保證其對目標主機的獨占訪問。Google發布12月份更新，修復 chrome中的多個漏洞Google 在 12 月 6 日發布 chrome 安全更新，總計修復 22 個漏洞。其中較為嚴重的是 Web 應用程序中的釋放后使用漏洞（CVE-2021-4052）、UI 組件中的釋放后使用漏洞（CVE-2021-4053）、WebRTC 中的越界寫入漏洞（CVE-2021-4079）以及 V8 中的類型混淆漏洞（CVE-2021-4078）。此外，還修復了擴展中的堆緩沖區溢出漏洞（CVE-2021-4055） 和 ANGLE 中的堆緩沖區溢出漏洞（CVE-2021-4058）等。SonicWall發布更新，修復 SMA100系列中多個漏洞SonicWall 在 12 月 7 日發布更新，修復 SMA 100 系列設備中的多個漏洞。此次修復的最為嚴重的漏洞是基于堆棧的緩沖區溢出漏洞（CVE-2021-20038），CVSS 評分為 9.8，由于設備的 Apache httpd 服務器中的 HTTP GET 方法的環境變量使用了 strcat()函數導致的；其次是緩沖區溢出漏洞（CVE-2021-20045），CVSS 評分 9.4。此外，還修復了緩沖區溢出漏洞（CVE-2021-20043）和認證命令注入漏洞（CVE-2021-20039）等。西部數據發布更新修復SanDisk SecureAccess中漏洞Western Digital 在上周三發布安全更新，修復 SanDisk SecureAccess 中的漏洞CVE-2021-36750。SanDisk SecureAccess（現在更名為 SanDisk PrivateAccess）用來在 SanDiskUSB 閃存驅動器上存儲和保護重要文件，其使用了單向加密 hash 和可預測 salt，這使其容易遭到字典攻擊；還使用了計算量不足的 hash，使用戶密碼易被暴力破解。公司稱這些問題已經通過使用 PBKDF2-SHA256 和隨機 salt 修復，建議用戶立即更新。Google 發布緊急更新，修復Chrome中已被利用的漏洞12 月 13 日，Google 發布緊急更新，修復了 Chrome 中的 5 個漏洞。安全公告表示，此次修復的 V8 JavaScript 引擎中的釋放后使用漏洞（CVE-2021-4102）已被在野利用，可導致任意代碼執行或沙箱逃逸。此外，還修復了 Mojo 中的數據驗證不足漏洞（CVE-2021-4098）和 Swiftshader 中的釋放后使用漏洞（CVE-2021-4099）等多個漏洞。由于該 0day 已被在野利用，研究人員強烈建議立即安裝 Chrome 補丁。Adobe發布12月更新，修復多個產品中超過60個漏洞12月14日，Adobe 發布本月的周二補丁，修復多個產品中超過 60 個漏洞。其中較為嚴重的是 Experience Manager 中的 XXE 漏洞（CVE-2021-40722），CVSS評分為9.8，可導致任意代碼執行。此外，還修復了 Photoshop 中可導致任意代碼執行越界寫入漏洞（CVE-2021-43018）和緩沖區溢出漏洞（CVE-2021-44184），以及 Media Encoder 中的越界讀取（CVE-2021-43757）等多個漏洞。
