专栏名称: 网空闲话plus

原《网空闲话》。主推网络空间安全情报分享，安全意识教育普及，安全文化建设培育。将陆续推出网安快讯、网安锐评、网安政策、谍影扫描、APT掠影、密码技术、OT安全等专集。

5th域安全微讯早报【20240701】157期

网空闲话plus · 公众号 · · 2024-07-01 06:56

正文

2024-07-01 星期一 Vol-2024-157

今日热点导读

1 . 底特律警察局采纳面部识别新政策

2. 美国国税局确立加密货币税收新规定

3. 美国军方启动商业航天合作计划以强化太空网络安全

4. 微软披露客户邮件遭黑客窃取事件

5. HubSpot 调查网络攻击事件客户账户遭黑客入侵

6. 西澳男子因建立虚假 Wi-Fi 网络窃取个人信息面临重罪指控

7. 威胁行为者声称泄露印尼法律与人权部电子邮件登录凭证

8. IntelBroker 声称泄露弗吉尼亚州选举数据库

9. 黑客出售 ClassLink Agent 一键 RCE 的 0day 漏洞

10. 攻击印尼数据中心并索要巨额赎金的新型勒索软件 Brain Cipher

11. 欧洲 Zyxel NAS 设备遭遇类似 Mirai 僵尸网络的 DDoS 攻击

12. 黑客利用 D-Link DIR-859 路由器漏洞窃取用户口令

13. 微软警告更多客户警惕俄罗斯政府黑客攻击

14. Kimsuky 组织利用 TRANSLATEXT Chrome 扩展窃取韩国学术界敏感数据

15. 8220 组织利用 Oracle WebLogic 服务器漏洞进行加密货币挖矿

资讯详情

政策法规

1. 底特律警察局采纳面部识别新政策

底特律警察局在法律和解后，同意制定新政策限制面部识别技术的使用。新规定禁止仅凭人脸识别结果逮捕嫌疑人，要求有其他证据支持。政策还包括对警察进行面部识别风险培训，并对2017年以来的案件进行审计。黑人男子罗杰·威廉姆斯因面部识别技术误认被捕后起诉警察局，最终获赔30万美元。美国公民自由联盟认为这是限制执法部门使用危险技术的重要一步，强调女性和有色人种更易被误认。警察局表示，新政策将成全国最佳实践。

来源：https://techcrunch.com/2024/06/29/detroit-police-department-agrees-to-new-rules-around-facial-recognition-tech/

2. 美国国税局确立加密货币税收新规定

美国国税局和财政部确定了从2026年起对加密货币交易平台的新税收报告规定。根据这些规定，加密货币平台必须向国税局报告交易，提供类似于传统金融机构的1099表格。这旨在标准化加密货币收益的报告并打击逃税行为。然而，不持有客户资产的去中心化平台将获得豁免，这是在行业游说下的结果。美国国税局强调，这些措施将增强对数字资产领域不合规行为的检测能力，确保税法的公平执行。美国财政部和国税局计划在另一套法规中对分散经纪商进行规范。

来源：https://techcrunch.com/2024/06/29/irs-finalizes-new-regulations-for-taxing-crypto/

3. 美国军方启动商业航天合作计划以强化太空网络安全

美国军方最近推出了商业增强太空储备（CASR）计划，旨在加强与商业航天业的合作，整合商业设备到军事太空操作中，提升军用卫星的网络安全。随着太空基础设施对全球关键基础设施的重要性日益增加，来自敌对国家的网络攻击风险也相应上升。CASR计划将超越传统政府与私人承包商的合作模式，通过避免对单一商业实体的过度依赖来降低潜在风险。然而，扩大商业供应商范围也带来了新的挑战，如供应商可能无法满足军事合同要求或遭遇财务不稳定等问题。此外，商业硬件在网络攻击方面的脆弱性可能不如军用标准严格。美国国防部认为，通过这一战略转变，可以增强美国的国家安全和太空领域的竞争优势，同时促进全球公司参与其中，推动航天工业的网络安全发展。

来源：https://www.wired.com/story/space-cyber-attacks-security/

安全事件

4. 微软披露客户邮件遭黑客窃取事件

微软公司近日宣布，今年早些时候入侵其系统的俄罗斯黑客不仅监视了员工邮箱，还窃取了客户邮件。这一披露发生在微软首次公开入侵事件大约六个月后。此次事件凸显了微软在软件和系统安全方面面临的监管审查压力。尽管俄罗斯政府未对微软的指控作出回应，但微软表示，这些黑客曾针对研究俄罗斯黑客行动的网络安全研究人员。微软目前正在继续通知与被“午夜暴雪”威胁行为者外泄的微软企业邮箱账户通信的客户。微软表示，也在与客户共享被泄露的邮件，但未透露受影响客户数量及可能被盗邮件的具体数量。微软重申，随着调查的继续，公司致力于与客户共享信息。

来源：https://www.itnews.com.au/news/microsoft-informs-customers-that-hackers-spied-on-emails-609258?utm_source=feed&utm_medium=rss&utm_campaign=iTnews+

5. HubSpot 调查网络攻击事件客户账户遭黑客入侵

2024年6月29日，营销和销售软件巨头HubSpot宣布，正在调查一起网络安全事件，此前有报告称客户账户遭到黑客入侵。该公司专注于客户关系管理（CRM）和营销自动化软件，于6月22日发现了安全事件。据Techcrunch报道，HubSpot的信息安全首席官Alyssa Robinson表示，恶意行为者针对了有限数量的客户，以获得未经授权的账户访问权限。公司已启动事件响应程序，自6月22日起一直在联系受影响的客户，并采取必要措施撤销未授权访问，保护客户及其数据。虽然公司尚未披露受影响账户的确切数量，但确认黑客入侵的账户少于50个。这家市值近300亿美元的美国公司服务于超过216,000家企业客户，包括Discord、Eventbrite和Talkspace等知名企业。

来源：https://gbhackers.com/hubspot-investigating-cyber-attack/

6. 西澳男子因建立虚假Wi-Fi网络窃取个人信息面临重罪指控

2024年6月29日，一名42岁的西澳大利亚男子因建立虚假Wi-Fi网络，即所谓的“邪恶双胞胎”攻击，窃取个人信息而面临网络犯罪指控。该男子涉嫌在珀斯、墨尔本和阿德莱德机场以及国内航班上设置与合法Wi-Fi网络相似的欺诈性网络，诱骗用户连接，从而盗取了数十份个人凭证。澳大利亚联邦警察表示，这些网络主要在机场和航班上运营，且调查始于一家航空公司报告发现可疑Wi-Fi网络。该男子被指控利用这些设备创建虚假Wi-Fi网络，并将用户重定向至一个假冒登录页面，以收集他们的电子邮件和社交媒体登录信息。受影响的用户被建议更改密码并报告可疑活动。该男子面临的最严重指控是未经授权破坏电子通信，最高可判10年监禁。

来源：https://www.itnews.com.au/news/wa-man-faces-charges-for-alleged-evil-twin-attack-609253

7. 威胁行为者声称泄露印尼法律与人权部电子邮件登录凭证

2024年6月29日，一名威胁行为者声称对泄露印尼法律与人权部（Kemenkumham）的电子邮件登录凭证负责，这可能暴露了敏感的政府信息。据该威胁行为者称，泄露的数据包括员工使用的官方电子邮件账户的访问权限，这可能危及政府的敏感信息。泄露的信息具体包括实体涉及：法律与人权部（Kemenkumham）；数据泄露：电子邮件登录凭证（用户名和密码）；潜在风险：未授权访问敏感通信、数据操纵、身份盗窃等。如果该声称属实，此次泄露将带来严重的安全风险，包括可能未授权访问内部通信和机密数据。攻击者可能利用这些信息进行各种恶意活动，可能影响国家安全和公众信任。法律与人权部需要迅速解决这一紧急情况，因为泄露的凭证可能使恶意行为者能够未授权访问敏感的政府运作、通信和文件。

来源：https://dailydarkweb.net/threat-actor-claims-to-have-leaked-email-login-credentials-of-indonesias-ministry-of-law-and-human-rights-kemenkumham/

8. IntelBroker 声称泄露弗吉尼亚州选举数据库

6月30日，网络威胁行为者IntelBroker声称在暗网论坛上泄露了弗吉尼亚州选举局的数据库。据称，此举是为了阻止其他恶意行为者对数据库的进一步诈骗和控制。泄露的数据集包含65,000行信息，涵盖了候选人的详细信息、选举结果和相关统计数据，包括候选人ID、姓名、政党、选举类型和日期等。目前，弗吉尼亚州选举部门和当局尚未对此次数据泄露事件发表评论，而泄露的数据仍然可访问，对个人隐私和选举制度的完整性构成了潜在风险。

来源：https://dailydarkweb.net/intelbroker-claimed-to-have-leaked-database-of-the-virginia-dept-of-elections/

漏洞预警

9. 黑客出售ClassLink Agent一键RCE的0day漏洞

黑客Tikila在2024年6月29日宣布出售一个影响ClassLink Agent（Windows系统）的远程命令执行（RCE）0day漏洞。此漏洞可通过访问特定网页并点击“允许”按钮触发，支持进程继续，可靠性100%。相关厂商为为ClassLink，演示视频链接（https://drive.google.com/file/d/1rf45WbCX4N9LjXAcbk-4vEcUxeuenDBF/view?usp=sharing）提供在Google Drive。ClassLink Agent 是一个允许用户在本地应用程序中编辑文件的工具，它能够提供无缝的文档编辑体验，并将文档即时上传回用户的存储提供商。查看POC演示视频，似乎没有问题。交易需通过第三方托管进行，并需提供资金证明以确保交易严肃性。联系方式为TOX 。

来源：https://breachforums.st/Thread-SELLING-0Day-ClassLink-Agent-Oneclick-RCE

恶意软件

10. 攻击印尼数据中心并索要巨额赎金的新型勒索软件Brain Cipher

一种名为Brain Cipher的新型勒索软件开始对全球组织发起攻击，特别因对印度尼西亚临时国家数据中心的攻击而受到关注。6月20日，该数据中心遭受网络攻击，导致政府服务器被加密，多个关键在线服务中断，超过200个政府机构受到影响。Brain Cipher勒索软件要求支付800万美元的门罗币以提供解密器并防止公开被盗数据。该勒索软件行动在没有数据泄露网站的情况下启动，但最新的勒索记录指向一个数据泄露网站，表明其可能采用双重勒索策略。BleepingComputer观察到，过去两周内大量Brain Cipher样本被上传到恶意软件共享网站，这些样本基于泄露的LockBit 3.0构建器创建，但Brain Cipher对其进行了细微的改动。勒索软件通过加密文件和文件名，创建勒索信，并要求受害者通过Tor网站进行谈判。目前，Brain Cipher已启动一个新的数据泄露网站，尽管尚未列出任何受害者，但已表明其数据泄露和勒索的意图。赎金要求在2万美元到800万美元之间，由于加密器基于LockBit，目前没有已知的免费恢复文件的方法。

来源：https://www.bleepingcomputer.com/news/security/meet-brain-cipher-the-new-ransomware-behind-indonesia-data-center-attack/

TTPs动向

11. 欧洲Zyxel NAS设备遭遇类似Mirai僵尸网络的DDoS攻击

近期，一种与Mirai僵尸网络相似的恶意软件被发现针对欧洲的Zyxel网络附加存储（NAS）设备发起分布式拒绝服务（DDoS）攻击。这些攻击利用了Zyxel NAS设备中的多个严重漏洞，包括Python代码注入、后门账户和持久远程代码执行漏洞，这些漏洞的CVSS评分高达9.8。受影响的主要是已停产的Zyxel NAS326和NAS542型号。尽管这些型号的设备已到达使用寿命，但Zyxel仍决定提供修补。安全专家警告用户应立即更新设备以防止被接管，并建议禁用远程访问以防潜在的劫持和攻击。欧洲特别是攻击的重灾区，有超过1,100台Zyxel设备暴露在风险之中。

来源：https://hackread.com/mirai-botnet-zyxel-nas-devices-europe-ddos-attacks/

12. 黑客利用D-Link DIR-859路由器漏洞窃取用户口令

近日，安全研究人员发现黑客正在利用D-Link DIR-859 WiFi路由器中的严重漏洞CVE-2024-0769，该漏洞被评为9.8的严重程度，允许攻击者收集包括密码在内的账户信息。尽管D-Link DIR-859型号已到达使用寿命，不再接收更新，但供应商仍发布了安全公告，指出漏洞位于设备的"fatlady.php"文件中，影响所有固件版本。D-Link预计不会发布针对该漏洞的修复补丁，建议用户更换为受支持的设备。威胁监控平台GreyNoise观察到，黑客正积极利用CVE-2024-0769漏洞，目标是"DEVICE.ACCOUNT.xml"文件，以转储所有账户名、密码、用户组和用户描述。攻击通过恶意POST请求利用"fatlady.php"文件，访问包含用户凭据的敏感配置文件。GreyNoise尚未确定攻击者的动机，但指出攻击意图可能是设备接管，使攻击者完全控制设备。

来源：https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-d-link-dir-859-router-flaw-to-steal-passwords/

13. 微软警告更多客户警惕俄罗斯政府黑客攻击

继1月份微软高管电子邮件账户遭攻击后，微软6月27日向更多客户发出警告，提示他们的数据可能受到俄罗斯国家黑客组织的侵害。Office 365管理员在Reddit上透露，微软支持团队通过邮件通知他们，其电子邮件账户已被俄罗斯黑客组织Midnight Blizzard访问。微软提供了一个定制安全系统的链接，让客户检查可能被访问的数据。这次数据泄露事件被认为与俄罗斯外国情报局有关，该组织也被称为APT29或Cozy Bear。此前，拜登政府已认定该组织隶属于俄罗斯对外情报局，并指责其在SolarWinds软件中植入后门。微软的安全漏洞受到越来越多的批评，微软总裁布拉德·史密斯在美国国会听证会上承认了公司的安全漏洞。美国网络安全和基础设施安全局（CISA）也指示联邦机构重置凭证并审查账户日志，以检测微软环境中的潜在恶意活动。

来源：https://www.bankinfosecurity.com/microsoft-warning-more-customers-about-russian-state-hack-a-25651

14. Kimsuky组织利用TRANSLATEXT Chrome扩展窃取韩国学术界敏感数据

与朝鲜有关的网络间谍组织Kimsuky被指使用一款新的恶意Chrome扩展程序TRANSLATEXT，以窃取敏感信息。Zscaler ThreatLabz在2024年3月发现此活动，该扩展程序能收集电子邮件、用户名、密码、cookies和浏览器屏幕截图。攻击主要针对韩国学术界，特别是研究朝鲜政治的学者。Kimsuky是一个自2012年以来活跃的臭名昭著的黑客组织，与Lazarus集群有关，隶属于朝鲜侦察总局（RGB），有多个别名如APT43、ARCHIPELAGO等。最近，该组织还利用Microsoft Office的安全漏洞分发键盘记录器，针对航空航天和国防部门。攻击初始是通过一个包含韩国军事历史内容的ZIP文件，其中含有Hangul文档和可执行文件，启动后会从攻击者服务器下载PowerShell脚本。TRANSLATEXT伪装成Google翻译，绕过安全措施，窃取信息和捕获屏幕截图，还能接收命令执行特定操作。安全研究员Seongsu Park指出，Kimsuky意在监视学术和政府人员，收集情报。

来源：https://thehackernews.com/2024/06/kimsuky-using-translatext-chrome.html

15. 8220组织利用Oracle WebLogic服务器漏洞进行加密货币挖矿

安全研究人员发现，8220 团伙利用 Oracle WebLogic Server 中的已知漏洞进行加密货币挖掘。他们通过无文件执行技术，将恶意软件代码注入内存中，避免基于磁盘的检测机制。攻击者通过多阶段加载技术进行初始访问，部署伪装成合法应用程序的恶意程序，并使用 PowerShell 脚本释放加载器。这些恶意软件会禁用防火墙、终止竞争对手的僵尸网络，并使用 XMRig 进行挖矿操作。此外，该团伙还利用新的 k4spreader 工具传播 Tsunami DDoS 僵尸网络和 PwnRig 挖矿程序，通过利用 Apache Hadoop YARN、JBoss 和 Oracle WebLogic Server 的漏洞渗透目标。

来源：https://thehackernews.com/2024/06/8220-gang-exploits-oracle-weblogic.html

5th域安全微讯早报【20240701】157期

正文

请到「今天看啥」查看全文