黑客利用VMware缝隙CVE-2022-22954装置CoreImpact

颁布功夫 2022-04-27

1、黑客利用VMware缝隙CVE-2022-22954装置Core Impact


Morphisec钻研人员在4月25日披露了利用VMware Workspace ONE Access中的RCE缝隙（CVE-2022-22954）的细节信息。攻击者首先在指标中执行PowerShell号令 ，该号令会启动一个 stager。而后 ，stager以高度混合的大局从C2服务器获取PowerTrash加载法式 ，最终将Core Impact注入内存以进行后续活动。据悉 ，这次攻击活动可能与伊朗的APT组织Rocket Kitten有关。


https://blog.morphisec.com/vmware-identity-manager-attack-backdoor


2、APT37的新一轮垂钓活动分发恶意软件Goldbackdoor

据媒体4月25日报路 ，朝鲜黑客组织APT37（又称Ricochet Chollima）通过垂钓活动分发Goldbackdoor。据悉 ，这次活动重要针对新闻从业者 ，最终会装置新恶意软件Goldbackdoor。该恶意软件它被评估为“Bluelight”的继任者 ，能够远程接受号令并窃取数据。此表 ，垂钓邮件来自韩国国度谍报局NIS前局长的账户（该账户曾被APT37入侵） ，其中附加了名为“Kang Min-chol edits”的ZIP文件 ，Kang Min-chol是朝鲜矿业部长。


https://www.bleepingcomputer.com/news/security/north-korean-hackers-targeting-journalists-with-novel-malware/


3、伊朗称已挫败针对其公共基础设施的大规模网络攻击

媒体4月25日报路 ，据伊朗国度电视台颁发已挫败针对其公共基础设施的大规模网络攻击。据悉 ，这次攻击来自荷兰、英国和美国的系统 ，指标是伊朗的100多个公共服务组织的基础设施。伊朗当局没有具体注明机构、组织或服务的名称 ，但暗示这些事务产生在最近几天。目前尚不确定攻击者的身份 ，伊朗将此事务归因于表国黑客。去年10月 ，伊朗NIOPDC的加油站曾遭到攻击 ，7月份伊朗铁路系统也遭到了攻击。


https://securityaffairs.co/wordpress/130592/hacking/iran-foiled-cyberattacks-public-services.html


4、美国牙科协会ADA遭到新勒索团伙Black Basta的攻击


据4月26日报路 ，美国牙科协会(ADA)遭到来自Black Basta的勒索攻击。攻击产生在上周五 ，ADA遭到攻击后关关了受影响的系统 ，从而导致各类在线服务、电话、电子邮件和网络谈天中断。ADA的网站显示 ，他们遇到了技术问题 ，在致力让系统沉新运行。Black Basta团伙宣称对此事掌管 ，在其数据泄露网站已公开约2.8GB的数据 ，并暗示这些数据仅占被盗数据的30% ，其中蕴含W2表格、保密和谈、管帐电子表格以及ADA成员信息等。


https://www.bleepingcomputer.com/news/security/american-dental-association-hit-by-new-black-basta-ransomware/


5、Cyble颁布新恶意软件Prynt Stealer的技术分析汇报


4月21日 ，Cyble颁布了关于新信息窃取法式Prynt Stealer的技术分析汇报。该工具的开发者优先思考了荫蔽性 ，使用了二进造混合和Rijndael加密字符串 ，他宣称该恶意软件的最新版本是FUD（齐全不成检测）。Prynt首先会扫描并窃取主机中的幼于5120字节(5 KB)的文档、数据库文件、源代码文件和图像文件。此表 ，它还针对大量网络浏览器、新闻传递利用法式和游戏蹬爪用法式 ，并能够窃取剪贴板和键盘纪录 ，以进行直接的财政偷窃。


https://blog.cyble.com/2022/04/21/prynt-stealer-a-new-info-stealer-performing-clipper-and-keylogger-activities/


6、The DFIR Report颁布勒索软件Quantum的分析汇报


The DFIR Report在4月25日颁布了关于勒索软件Quantum近期活动的分析汇报。Quantum于2021年8月初次被发现 ，是MountLocker的改名 ，其赎金因指标而异 ，从十几万美元到数百万美元不等。这次活动活动从最初习染到实现加密设备仅使用了3幼时44分钟。攻击者使用IcedID作为其初始接见媒介之一 ，该恶意软件部署Cobalt Strike进行远程接见 ，并最终装置Quantum Locker进行数据窃取和加密。


https://thedfirreport.com/2022/04/25/quantum-ransomware/