钻研人员演示绕过CPU中缝隙Spectre硬件防御的新步骤

颁布功夫 2022-03-14

钻研人员演示绕过CPU中缝隙Spectre硬件防御的新步骤


据媒体3月8日报路 ，VUSec钻研人员演示了绕过CPU中缝隙Spectre硬件防御措施的新步骤BHI（或Spectre-BHB）  。低权限的攻击者利用该缝隙 ，能够向指标的汗青记投毒 ，并糊弄内核跳转到注入代码的地位 ，并在那里执行找到的代码  。钻研人员还颁布了一个PoC ，演示若何窃取指标系统的root密码  。3月9日 ，3个CPU造作商英特尔、AMD和Arm均颁布了关于该缝隙的安全公告 ，并附有缓解措施和安全建议  。


https://www.csoonline.com/article/3652525/new-attack-bypasses-hardware-defenses-for-spectre-flaw-in-intel-and-arm-cpus.html


俄罗斯多个官方网站遭到供给链攻击导致接见中断


据3月9日报路称 ，俄罗斯多个当局机构的网站因遭到供给链攻击接见中断  。该国当局暗示 ，攻击产生在本周二（3月8日） ，受影响的机构蕴含能源部、国度统计局、国度监狱局、国度法警局、国度反垄断局和文化部等  。据悉 ，攻击者首先入侵了用于跟踪多个当局机构网站接见者数量的统计组件 ，进而入侵这些网站  。俄罗斯数字发展部宣称 ，这些网站在遭到攻击后的一幼时内已被复原  。


https://securityaffairs.co/wordpress/128853/breaking-news/russian-government-sites-supply-chain-attack.html


Lumen称Emotet的新一轮活动已习染超过10万台设备


Lumen在3月8日颁布汇报称僵尸网络Emotet在10个月的短暂停息后 ，正强势归来  。自2021年11月以来 ，该活动已使用TrickBot习染了约130000个设备 ，遍布179个国度和地域 ，但尚未达到以前的规模（超过160万台设备）  。Emotet的新变体选取了椭圆曲线加密(ECC)包办原来的RSA加密规划 ，且新增了从指标中网络运前过程列表之表的系统信息的职能  。据悉 ，Emotet蕴含近200台C2服务器 ，其中大部门域位于美国、德国和法国等地 ，重要针对亚洲的指标  。


https://thehackernews.com/2022/03/emotet-botnets-latest-resurgence.html


Abnormal发现近期分发BazarBackdoor的垂钓活动


3月9日 ，Abnormal Security颁布了关于传布BazarBackdoor的垂钓活动的汇报  。BazarBackdoor是TrickBot开发的后门 ，目前正由Conti操控  � ；疃鹜酚�2021年12月 ，旨在装置Cobalt Strike或勒索软件  。攻击者使用了公司联系表格 ，而极度见的垂钓邮件  。在一次攻击中 ，攻击者假装成一家加拿大构筑公司的员工并提交产品供给报价要求 ，指标在回复后就会收到假装成协商文件的恶意ISO文件  。此表 ，攻击者还使用了文件共享服务 ，如TransferNow和WeTransfer ，以防触发安全警报  。


https://www.bleepingcomputer.com/news/security/corporate-website-contact-forms-used-to-spread-bazarbackdoor-malware/


Proofpoint披露TA416攻击欧洲多个表交机构的详情


Proofpoint在3月7日披露了APT组织TA416（又称Mustang Panda）攻击欧洲多个表交机构的具体信息  。TA416自2020年8月以来就一止仉对欧洲表交的机构  。今年1月17日 ，Proofpoint发现该团伙使用新的分发方式 ，此时的攻击战术也产生了变动 ，利用dropper分发4个组件：恶意软件PlugX、loader、DLL搜索号令劫持法式(过程加载法式)和PDF钓饵文件  。钻研人员在2月28日发现 ，攻击者对准了北约国度的难民和移民服务部门的高级官员  。


https://www.proofpoint.com/us/blog/threat-insight/good-bad-and-web-bug-ta416-increases-operational-tempo-against-european


Symantec颁布关于恶意软件Daxin的技术分析汇报


3月9日 ，Symantec颁布了关于恶意软件Daxin的通讯和网络职能的技术分析汇报  。汇报指出 ，Daxin在密钥互换期间支持两种推算共享密钥的步骤 ，并由initiator通过比力选择更相宜的一种 ，这可能是为了在升级恶意网络时不会导致中断  。此表 ，除了2个后门之间的通讯 ，该恶意软件还支持2种额表的通讯步骤 ，适合逾越指标组织的天堑进行通讯：其一是使用HTTP新闻来封装后门通讯 ，另一种是恶意驱动法式配置为与远程TCP服务器通讯来进行后门通讯  。


https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/daxin-backdoor-espionage-analysis



安全工具


Master_Librarian


审计 Unix/*BSD/Linux 系统库以发现公共安全缝隙的单一工具  。


https://github.com/CoolerVoid/master_librarian


geowifi


通过 BSSID 和 SSID 在分歧的公共数据库上搜索 WiFi 地理地位数据  。


https://github.com/GONZOsint/geowifi


wslu


这是 Windows 10 Linux 子系统的实用法式集中  。


https://github.com/wslutilities/wslu


SysWhispers3


通过天生可用于进行直接系统挪用的头文件/ASM 文件来援手绕过  。


https://securityonline.info/syswhispers3-av-edr-evasion-via-direct-system-calls/


frogy


子域枚举剧本 ，旨在创建一个开源攻击面治理解决规划  。


https://github.com/iamthefrogy/frogy



安全分析


REvil 成员被引渡到美国受审 Kaseya 攻击事务


https://www.bleepingcomputer.com/news/security/revil-ransomware-member-extradited-to-us-to-stand-trial-for-kaseya-attack/


俄罗斯创建自己的 TLS 证书宣告机构以绕过造裁


https://www.bleepingcomputer.com/news/security/russia-creates-its-own-tls-certificate-authority-to-bypass-sanctions/


CISA新增近 100 个 Conti 恶意活动的域名的 IoC


https://www.bleepingcomputer.com/news/security/cisa-updates-conti-ransomware-alert-with-nearly-100-domain-names/


微软颁发推出合用于 PC 和移动设备的 Defender 预览版


https://news.softpedia.com/news/microsoft-announces-microsoft-defender-preview-for-pc-and-mobile-535016.shtml


近30% 的严沉的 WordPress 插件缝霞有补丁


https://www.bleepingcomputer.com/news/security/nearly-30-percent-of-critical-wordpress-plugin-bugs-dont-get-a-patch/


西门子解决了 90 多个影响第三方组件的缝隙


https://www.securityweek.com/siemens-addresses-over-90-vulnerabilities-affecting-third-party-components