今日威胁情报2020/9/25-27(第307期）

高级威胁

1、新APT组织：国内首揭“情报刺客”APT-C-43搅动委内瑞拉军情内政

    现代战争是信息战与情报战的较量，谁能斩获有利情报抢占先机，谁就能够在实战中拔得头筹。因此，军事领域中情报显得尤为重要。近日，360安全大脑国内首家披露具有西班牙语背景APT黑客组织—APT-C-43，并指出该组织正在为反动派组织提供情报支撑。360安全大脑将其命名为HpReact攻击行动。当网络键盘上的较量与军事实战相结合，当委内瑞拉朝野两派进退维谷时，这场披着“权利争夺”外衣的网络军事情报战分外精彩……

https://mp.weixin.qq.com/s/WiUY5VOB-dLK5bTz1vWBLw

https://blog.360totalsecurity.com/en/apt-c-43-steals-venezuelan-military-secrets-to-provide-intelligence-support-for-the-reactionaries-hpreact-campaign/

2、暴风行动 - Lazarus(APT-C-26)利用MATA框架针对数字货币行业的攻击活动揭秘

    MATA框架是近期被卡巴斯基披露的一个多平台恶意软件框架，支持Windows、Linux和MacOS等多个主流平台，并拥有多个不同功能的攻击组件。该恶意框架的受害者广泛分布在波兰，德国，土耳其，韩国，日本和印度等地区，卡巴斯基认为该恶意软件框架与Lazarus 组织存在关联。

在MATA框架被披露后，360高级威胁研究院依靠360安全大脑针对MATA框架的攻击活动进行了追踪溯源，进而发现了一类利用MATA框架针对加密货币行业相关人员的攻击活动。通过360安全大脑的遥测，我们发现受害者主要集中在数字货币行业，一些数字货币交易平台正在遭受威胁，除了大型的数字货币交易平台，一些持有加密货币的个体也受到攻击活动的波及。

https://mp.weixin.qq.com/s/zV0FL1MZVvGW-FNY9wDbOg

3、在埃及发现德国制造的FinSpy间谍软件，并发现了Mac和Linux版本。

    FinSpy是由慕尼黑公司FinFisher Gmbh生产的商业间谍软件套件。自2011年以来，研究人员已记录了许多针对人权捍卫者（HRD）的案件-在包括巴林，埃塞俄比亚，阿联酋等许多国家/地区，包括活动家，新闻工作者和持不同政见者使用FinSpy 。因此，大赦国际的安全实验室跟踪FinSpy的使用和开发，将其作为我们持续监控对人权捍卫者的数字威胁的一部分。
 国际特赦组织于2019年3月发布了一份报告，描述了由一个名为``NilePhish''的攻击者团体针对埃及人权捍卫者以及媒体和民间社会组织工作人员的网络钓鱼攻击。在继续研究该小组的活动时，我们发现该小组已通过伪造的Adobe Flash Player下载网站分发了适用于Microsoft Windows的FinSpy示例。大赦国际没有记录直接与FinFisher产品相关的NilePhish侵犯人权的情况。
    通过对该最新变体进行的其他技术调查，大赦国际的安全实验室还发现了未知的演员，并在网上曝光了Windows，Android的FinSpy的新示例，以及先前未公开的Linux和MacOS计算机版本。
    本报告提供有关这些最近的FinSpy样本的技术信息，以帮助网络安全研究社区进行进一步的调查，使网络安全供应商能够针对这些新发现的变体实施保护机制，并在HRD中提高对不断发展的数字攻击技术的认识。

https://www.amnesty.org/en/latest/research/2020/09/german-made-finspy-spyware-found-in-egypt-and-mac-and-linux-versions-revealed/

4、微软的hunter APT40，删了18个 tools。很多投递载荷的战法被摸清楚了。

https://www.microsoft.com/security/blog/2020/09/24/gadolinium-detecting-empires-cloud/

技术分享

1、对IE漏洞Internet Explorer CVE-2019–1367分析，从流量角度，干货

https://blog.confiant.com/internet-explorer-cve-2019-1367-exploitation-part-1-7ff08b7dcc8b

2、CobaltStrikeScan
https://github.com/Apr4h/CobaltStrikeScan

3、Kernel exploitation: weaponizing CVE-2020-17382 MSI Ambient Link driver

https://www.matteomalvica.com/blog/2020/09/24/weaponizing-cve-2020-17382/

4、飞塔Fortigate SSL-VPN默认证书缺陷漏洞，20万设备收到影响

https://securingsam.com/breaching-the-fort/

5、CISA的入侵分析报告，机翻凑合看吧

https://us-cert.cisa.gov/ncas/analysis-reports/ar20-268a

6、外星人木马分析。该恶意软件实现了多种功能，可以从226个应用程序中窃取凭据

https://www.threatfabric.com/blogs/alien_the_story_of_cerberus_demise.html

漏洞相关

1、2020年思科的漏洞合集，多好RCE    

https://tools.cisco.com/security/center/viewErp.x?alertId=ERP-74268

2、Instagram RCE使黑客可以远程访问您的设备，估计早就被某些组织利用了，期待有利用该漏洞的后续情报

https://m.facebook.com/security/advisories/cve-2020-1895

https://research.checkpoint.com/2020/instagram_rce-code-execution-vulnerability-in-instagram-app-for-android-and-ios/

数据泄露

1、微软数据XP等源码泄露

https://thehackernews.com/2020/09/windows-xp-source-code.html

网络战与网络情报

1、2020年内部威胁报告

https://www.cybersecurity-insiders.com/portfolio/2020-insider-threat-report-gurucul/

广告时间

360威胁情报中心TI新版上线

https://ti.360.cn