海王捕鱼威胁情报月报（2020.11月）

2020-12-01

11月，海王捕鱼威胁情报中心（NTI）发布了多个漏洞和威胁事件通告，其中，Windows网络文件系统远程代码执行漏洞（CVE-2020-17051）以及Cisco IMC远程代码执行漏洞（CVE-2020-3470）影响较大。前者由于Windows NFS v3服务器中存在可远程利用的堆溢出漏洞。在nfssvr.sys文件的某函数中，某处字符串ANSI转换为UNICODE后，调用了memcpy，从而造成了缓冲区溢出，攻击者可以利用此漏洞来访问系统，并通过精心制作的NFS数据包远程执行恶意代码；后者由于思科集成管理控制器（IMC）的API 中存在远程代码执行漏洞,对用户输入内容的验证不足，未经授权的攻击者可通过向受影响的系统发送特制的HTTP 请求，成功利用此漏洞可使用管理员权限在系统上执行任意代码。

另外，本次微软共修复了17个Critical级别漏洞，93个Important 级别漏洞，2个Low级漏洞。强烈建议所有用户尽快安装更新。

在本月的威胁事件中，云服务器成为了黑客进攻的重点，以此来达到挖矿或入侵的目的；其次是利用美国大选作为诱饵实施的攻击。攻击手段方面，出现了利用合法的安全软件供应链来传播的新方式。攻击组织方面，疑似具有东北亚背景的Kimsuky组织利用美国大选进行的攻击以及xHunt组织的活跃需要引起关注。

以上所有漏洞情报和威胁事件情报、攻击组织情报，以及关联的IOC，均可在绿盟威胁情报中心获取，网址：https://nti.nsfocus.com/

一、漏洞态势

2020年11月海王捕鱼安全漏洞库共收录287个漏洞, 其中高危漏洞68个，微软高危漏洞38个。

* 数据来源：海王捕鱼威胁情报中心，本表数据截止到2020.11.27

注：海王捕鱼漏洞库包含应用程序漏洞、安全产品漏洞、操作系统漏洞、数据库漏洞、网络设备漏洞等；

二、威胁事件

1. UNC1945针对Oracle Solaris操作系统

【标签】UNC1945

【时间】2020-11-01

【简介】

UNC1945针对Oracle Solaris操作系统，利用针对Windows和Linux操作系统的多种工具和实用程序，加载和运行自定义虚拟机，并采用了逃避检测的技术。UNC1945展示了对多种操作系统的攻击，工具和恶意软件的访问权限，对覆盖或操纵其活动的严格兴趣，并在交互操作过程中展示了高级技术能力。

【参考链接】

https://www.fireeye.com/blog/threat-research/2020/11/live-off-the-land-an-overview-of-unc1945.html

【防护措施】

绿盟威胁情报中心关于该事件提取8条IOC，其中包含2个IP和6个样本；绿盟安全平台与设备已集成相应情报数据，为客户提供相关防御检测能力。

2. Kaiji DDoS木马通过SSH爆破入侵服务器

【标签】Kaiji DDos

【时间】2020-11-02

【简介】

对该事件进行溯源追查发现有疑似国内黑客开发的木马Kaiji通过22端口弱口令爆破入侵服务器。攻击者入侵云主机会下载二进制木马将自身安装到系统启动项进行持久化，并且可根据C2服务器返回的指令进行DDoS攻击。

【参考链接】

https://s.tencent.com//research/report/1168.html

【防护措施】

绿盟威胁情报中心关于该事件提取3条IOC，其中包含1个IP，1个域名和1个样本；绿盟安全平台与设备已集成相应情报数据，为客户提供相关防御检测能力。

3. Kimsuky组织利用美国大选为诱饵进行APT攻击

【标签】Kimsuky

【时间】2020-11-03

【简介】

Kimsuky组织，别名Mystery Baby，Baby Coin，Smoke Screen，Black Banshe。疑似具有东北亚背景，主要针对韩国，俄罗斯进行攻击活动，最早由卡巴斯基披露。韩国安全公司认为其与Group123存在部分重叠。该组织最新发现以美国大选为诱饵的攻击样本，样本标题是美国总统大选预测，诱导受害者点击执行，同时采用在HWP文档中嵌入VBS脚本方式，近日此样本未被多家杀软检测成功。

【参考链接】

https://mp.weixin.qq.com/s?__biz=MzI2MDc2MDA4OA==&mid=2247492852&idx=1&sn=432d94f3c21dadcdeadc4ff24f465fd0&chksm=ea661383dd119a952382bda56656a72150814ec3cb581293c6ff0ea3aef693c516a14dc88b6c&mpshare=1&srcid=1106UVleCNSq9LDko1h4plzY&sharer_sharetime=1604639069343&sharer_shareid=158f29a22d03cd699e85703e07b247a8&scene=1&subscene=10000&clicktime=1604639474&enterid=1604639474&ascene=1&devicetype=android-23&version=3.0.31.2998&nettype=3gnet&abtest_cookie=AAACAA%3D%3D&lang=zh_CN&exportkey=AY2BjYF9SXirwzfEttxPlUY%3D&pass_ticket=yNhGtF2ABs5GiW6FVX4cyJIhDe1MVml2NA1olsj74EbIBEbwyG7axwg3mId1qNDT&wx_header=1&platform=win

【防护措施】

绿盟威胁情报中心关于该事件提取11条IOC，其中包含5个域名和6个样本；绿盟安全平台与设备已集成相应情报数据，为客户提供相关防御检测能力。

4. xHunt组织利用受感染Exchange服务器进行攻击活动

【标签】xHunt

【时间】2020-11-08

【简介】

自2018年7月，xHunt组织一直很活跃，他的目标是科威特政府以及运输组织。最近观察到入侵了科威特一家机构的Microsoft Exchange Server，还不了解入侵的具体方法。基于访问控制日志查询，能够判断攻击者已在2019年8月22日当天或之前获得了对Exchange服务器的访问权限。本次事件涉及两个后门其中一个称为TriFive，另一个称为Snugy也是CASHY200的变体一种Web Shell又叫BumbleBee。

【参考链接】

https://unit42.paloaltonetworks.com/xhunt-campaign-backdoors/

【防护措施】

绿盟威胁情报中心关于该事件提取10条IOC，其中包含5个域名和5个样本；绿盟安全平台与设备已集成相应情报数据，为客户提供相关防御检测能力。

5. 新挖矿木马LoggerMiner，攻击后可感染Docker容器

【标签】LoggerMiner

【时间】2020-11-15

【简介】

挖矿木马LoggerMiner，该木马在云上主机中攻击传播，会利用当前主机上的ssh账号信息对其他主机发起攻击，以控制更多系统。并且，LoggerMiner还会尝试对当前主机上的docker容器进行感染。

【参考链接】

https://s.tencent.com//research/report/1177.html

【防护措施】