今日威胁情报2020/12/27-29(第334期）

高级威胁分析

1、使用MITER ATT＆CK识别APT攻击分析案例，检测TTPS 才是高阶的情报应用。几句话说明白文中讲的内容：1、通过C2发现检测入侵。2、通过日志分析感染途径。3、通过木马、样本和工具分析可疑攻击者。4、通过攻击者常用手法对应可疑组织。

https://www.trendmicro.com/vinfo/us/security/news/managed-detection-and-response/using-mitre-att-ck-to-identify-an-apt-attack

https://documents.trendmicro.com/assets/white_papers/wp-finding-APTX-attributing-attacks-via-MITRE-TTPs.pdf

2、SolarWinds事件马后炮分析，威胁情报公司ReversingLabs称，由黑客修改的Orion软件的第一版本实际上是从2019年10月开始的。此版本（2019.4.5200.8890）仅经过了少量修改，并且不包含恶意的后门代码，但是表示这是攻击者首次开始进行测试以修改软件的时间。在此日期之前可能发生了实际攻击SolarWinds基础设施的事件。

https://blog.reversinglabs.com/blog/sunburst-the-next-level-of-stealth

3、微软继续对Sunburst供应链攻击事件分析，不过这次是在卖产品了。

https://www.microsoft.com/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/

4、针对美国，加拿大银行用户基于AutoHotkey的密码窃取攻击者

https://www.trendmicro.com/en_us/research/20/l/stealth-credential-stealer-targets-us-canadian-bank-customers.html

5、CISA发布了用于检测Azure / Microsoft 365环境中的潜在恶意活动的工具。

https://us-cert.cisa.gov/ncas/current-activity/2020/12/24/cisa-releases-free-detection-tool-azurem365-environment

https://github.com/cisagov/Sparrow

技术分享

1、Spicy Hot Pot，浏览器劫持rootkit分析，国内的签名，中文PDB信息，

https://www.crowdstrike.com/blog/spicy-hot-pot-rootkit-explained/

2、【十分推荐】CobaltStrike 技术文章，大佬的帖子，很强

https://github.com/zer0yu/Awesome-CobaltStrike

3、【十分推荐】勒索软件研究报告合集

https://github.com/d4rk-d4nph3/Ransomware-Reports

漏洞相关

1、SolarWinds Orion本地文件披露漏洞PoC公开（CVE-2020-10148）

https://gist.github.com/0xsha/75616ef6f24067c4fb5b320c5dfa4965

2、KBCERT提醒，SolarWinds Orion API身份验证旁路允许远程执行命令

https://www.kb.cert.org/vuls/id/843464

数据泄露

1、意大利虚拟移动电话运营商Vodafone Enabler Italia惨遭泄露，至少250万用户详细数据泄露

https://twitter.com/Bank_Security/status/1343646616490815493

2、电子商务app 21 Buttons应用程序AWS存储桶配置错误导致用户数据泄露。

https://www.vpnmentor.com/blog/report-21-buttons-breach/

3、Sodinokibi勒索软件入侵The Hospital Group，声称掌握该医院600G患者以及医院资料，包括一些名人医疗资料。

https://www.thesun.co.uk/news/uknews/13573077/russian-hackers-kerry-katona-joey-essex/

网络战与网络情报

1、日本川崎重工被黑客入侵，川崎重工为日本国防部生产飞机和潜艇。

https://www.japantimes.co.jp/news/2020/12/28/national/kawasaki-heavy-data-breach/

本文始发于微信公众号（ThreatPage全球威胁情报）：今日威胁情报2020/12/27-29(第334期）