1
PART
安全资讯
1
---已有157年历史的林肯学院将因勒索软件攻击而关闭
伊利诺伊州农村的一所文科学校林肯学院（LincolnCollege）表示，该学院将于本月晚些时候关门。该学院自成立以来已有157年，其财务因2019冠状病毒疾病疫情和最近的勒索软件袭击而遭受惨重打击。这一决定变得更加艰难，因为该学院经历了多次灾难，包括1912年的一场大火、西班牙流感、大萧条、世界大战和2008年全球金融危机。
然而，12月的一次勒索软件攻击是导致2022年5月13日决定关闭的最后一根稻草。学校已通知伊利诺伊州高等教育部和高等教育委员会即将永久关闭，其董事会已投票决定在春季学期结束时停止所有学术活动。
【来源】安全客
2
---黑客在Windows事件日志中隐藏恶意软件
安全研究人员注意到一种恶意活动，该活动使用Windows事件日志来存储恶意软件，这种技术以前从未公开记录过野外攻击。该方法使攻击背后的威胁参与者能够在文件系统中植入无文件恶意软件，攻击中充满了旨在使活动尽可能隐蔽的技术和模块。
卡巴斯基的研究人员收集了该恶意软件的样本，此前该公司产品配备了基于行为的检测和异常控制技术，将其识别为客户计算机上的威胁。
调查显示，该恶意软件是“非常针对性”活动的一部分，并依赖于大量定制和商业工具。
攻击中最有趣的部分之一是将 shellcode 有效负载注入密钥管理服务 （KMS） 的 Windows 事件日志中，这是由自定义恶意软件丢弃程序完成的操作。
【来源】安全客
3
---一种新的Android Runtime环境仿真及调试方法
Qiling是一个高级的二进制仿真框架，并且它师出名门，是由Unicorn作者主导，主要解决的就是前面所提到的Unicorn无法直接运行二进制程序的问题。Qiling框架的关键就在于它完成了常规应该由操作系统来完成的一些事，如二进制程序内存加载、syscall功能提供，并且得益于Unicorn本身支持多种CPU架构的特性，使得Qiling成为了一个跨平台、跨架构的相对完善的仿真框架。作为一个框架，Qiling提供了一些接口和相关组件，其中一个很让我激动的功能就是Qiling自带一个GDB的远程调试接口，可以使用本地GDB进行连接调试。
【来源】绿盟科技
Dell Wyse Management Suite文件上传漏洞
Dell Wyse Management Suite是美国戴尔（DELL）公司的一套用于管理和优化Wyse端点的、可扩展的解决方案。该产品包括Wyse端点集中管理、资产追踪和自动设备发现等功能。
Dell Wyse Management Suite存在安全漏洞，该漏洞源于不受限制的文件上传。具有管理员权限的攻击者可以利用此漏洞在系统上执行任意代码。
漏洞解决方案
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.dell.com/support/kbdoc/000195918
【来源】CNVD
威胁情报
微软修复了所有Windows版本中的新NTLM零日漏洞
微软于近期解决了一个积极利用的Windows LSA零日漏洞，未经身份验证的攻击者可以远程利用该漏洞来强制域控制器通过Windows NT LAN Manager (NTLM)安全协议对其进行身份验证。LSA（Local Security Authority的缩写）是一个受保护的Windows子系统，它强制执行本地安全策略并验证用户的本地和远程登录。该漏洞编号为CVE-2022-26925，是由Bertelsmann Printing Group的Raphael John报告的，据调查，该漏洞在野已被利用，似乎是PetitPotam NTLM中继攻击的新载体。
安全研究员GILLES Lionel于2021年7月发现该变体，且微软一直在阻止PetitPotam变体，不过官网的一些举措仍然没有阻止其变体的出现。LockFile勒索软件组织就滥用PetitPotam NTLM中继攻击方法来劫持Windows域并部署恶意负载。对此，微软建议Windows管理员检查针对Active Directory证书服务(AD CS)上的NTLM中继攻击的PetitPotam缓解措施，以获取有关保护其系统免受CVE-2022-26925攻击的信息。
通过强制认证提升权限
通过使用这种新的攻击向量，威胁行为者可以拦截可用于提升权限的合法身份验证请求，这可能会导致整个域受到破坏。不过攻击者只能在高度复杂的中间人攻击(MITM)中滥用此安全漏洞，他们能够拦截受害者和域控制器之间的流量以读取或修改网络通信。
微软在其发布的公告中解释：未经身份验证的攻击者可以调用LSARPC接口并强制域控制器使用NTLM 对攻击者进行身份验证。此安全更新检测到LSARPC中的匿名连接尝试并禁止它。且此漏洞影响所有服务器，但在应用安全更新方面应优先考虑域控制器。在运行Windows 7 Service Pack 1和Windows Server 2008 R2 Service Pack 1 的系统上安装这些更新可能会带来不利影响，因为它们会破坏某些供应商的备份软件。
CVE-2022-26925影响所有Windows版本，包括客户端和服务器平台，从Windows7和 Windows Server 2008到Windows 11和Windows 2022。不过在今年五月份的微软Patch Tuesday，微软已经和其他两个漏洞一起修补了该零日漏洞，一个是Windows Hyper-V 拒绝服务漏洞 (CVE-2022-22713)、还有一个是Magnitude Simba Amazon Redshift ODBC 驱动程序漏洞 (CVE-2022-29972)。
【来源】FreeBuf
原文始发于微信公众号（云知云享）：黑客在Windows事件日志中隐藏恶意软件
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论