绿盟威胁情报月报-2024年1月
内容提要
绿盟科技威胁情报中心发布多个漏洞和威胁事件通告，包括GitLab和Confluence漏洞，SideCopy和Kasablanka组织的攻击活动。微软发布1月安全更新补丁。警惕RDDoS僵尸网络家族和针对Docker服务的网络攻击活动。美国、英国和澳大利亚制裁REvil黑客组织成员。
延伸解读
漏洞态势：高危漏洞占比与修复优先级
2024年1月绿盟科技安全漏洞库共收录58个漏洞，其中高危漏洞13个，占比约22%。微软产品的高危漏洞有8个，涉及Windows、Office等广泛使用的产品。对于企业而言，应优先修复这些高危漏洞，尤其是远程代码执行和权限提升类漏洞，以降低被攻击风险。同时，GitLab、Confluence等应用漏洞也需关注，及时更新补丁。
威胁组织活动：双平台与定向攻击趋势
本月多个APT组织表现活跃。SideCopy组织针对Windows和Linux系统进行双平台渗透，使用支持双平台的远控工具，增加了防御难度。APT28针对政府组织分发恶意链接，最终部署后门进行横向移动。银狐组织则针对金融行业发送钓鱼邮件。这些事件表明，攻击者正采用跨平台、多阶段的手法，并针对特定行业和地区，企业需加强邮件过滤和端点检测。
僵尸网络与勒索软件：RDDoS和PikaBot的威胁
新型僵尸网络家族RDDoS具备DDoS攻击和命令执行能力，通过区分真实设备和沙箱增强对抗性，主要攻击美国、巴西和法国，国内也有波及。同时，Water Curupira组织使用PikaBot恶意软件部署勒索软件，其活动与QakBot的清算有关。这些威胁提醒我们，僵尸网络和勒索软件持续演变，需关注异常流量和恶意软件感染迹象，及时更新防护策略。
国际制裁与数据泄露：REvil成员被制裁及PII泄露
美国、英国和澳大利亚联合制裁REvil勒索软件组织成员Aleksandr Gennadievich Ermakov，其被认为是2022年Medibank攻击的幕后黑手。此外，暗网上发生大规模泰国PII数据泄露，可能导致身份盗窃。这些事件凸显了勒索软件的国际合作打击趋势，以及个人数据保护的重要性。企业应加强数据安全措施，个人需警惕信息滥用。
Q&A
2024年1月绿盟科技安全漏洞库收录了多少个漏洞？其中高危漏洞有多少？
2024年1月绿盟科技安全漏洞库共收录58个漏洞，其中高危漏洞13个，微软高危漏洞8个。
微软2024年1月安全更新修复了多少个安全问题？涉及哪些产品？
微软2024年1月安全更新修复了49个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Microsoft Visual Studio等广泛使用的产品，其中包括安全功能绕过漏洞、远程代码执行漏洞等高危漏洞类型。
RDDoS僵尸网络家族的主要功能是什么？它有哪些对抗手段？
RDDoS僵尸网络家族的主要功能为DDoS攻击，并且具备命令执行的能力。它通过设置上线参数来区分感染设备类型，同时通过上线包是否携带运行参数来区分真实设备和沙箱，具备较强的对抗性。
SideCopy组织近期攻击活动有什么特点？
SideCopy组织针对Windows和Linux系统进行无差别攻击，部分载荷是支持双平台的远控工具。在Linux环境下，初始攻击样本为含有恶意ELF文件的ZIP压缩包；在Windows环境下，使用含有恶意LNK的ZIP压缩文件，通过多阶段攻击链最终释放远控组件完成窃密。
哪些国家联合制裁了REvil黑客组织成员？被制裁者与哪起攻击事件有关？
美国、英国和澳大利亚联合制裁了REvil黑客组织成员Aleksandr Gennadievich Ermakov。他被认为是2022年Medibank攻击事件的幕后黑手，该事件导致澳大利亚医疗保险提供商Medibank运营中断和大量客户个人数据被盗。
针对Docker服务的新型网络攻击活动是如何利用9hits应用程序的？
攻击者将两个容器部署到易受攻击的Docker实例：一个标准XMRig挖矿程序和9hits查看器应用程序。9hits查看器通常用于访问网站以换取积分，但在此活动中被恶意软件利用，为攻击者在9hits平台上生成积分，使攻击者受益。
