Windows Server 更新导致域节造器崩溃并沉新启动

颁布功夫 2024-03-22

1. Windows Server 更新导致域节造器崩溃并沉新启动


3月21日  ，由于 Windows Server 2016 和 Windows Server 2022 的 2024 年 3 月累积更新中引入了本地安全机构子系统服务 (LSASS)  ，受影响的服务器在冻结并沉新启动 。LSASS 是一项 Windows 服务  ，用于执行安全战术并处置用户登录、接见令牌创建和密码更改 。正如很多治理员忠告的那样  ，在装置周二颁布的 KB5035855 和 KB5035857 Windows Server 更新后  ，拥有最新更新的域节造器将由于 LSASS 内存使用量增长而崩溃并沉新启动 。在 Microsoft 正式认可此内存泄露问题之前  ，建议治理员从其域节造器卸载有问题的 Windows Server 更新 。


https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/


2. 朝鲜 Kimsuky 网络犯罪团伙已起头使用新战术发展活动


3月21日  ，据信息安全供给商 Rapid7 称  ，朝鲜臭名远扬的 Kimsuky 网络犯罪团伙已起头使用新战术发展活动 。该团伙也被称为 Black Banshee、Thallium、APT 43 和 Velvet Chollima——持久以来一向试图从当局机构和智库等机构获守信息  ，Rapid7 不确定该团伙若何分发其最新攻击  ，但确信有效负载蕴含有毒的 Microsoft 编译 HTML 援手 (CHM) 文件以及 ISO、VHD、ZIP 和 RAR 文件 。CHM 文件能够蕴含文本、图像和超链接 。Kimsuky 可能对它们更感兴致  ，由于它们能够执行 JavaScript 。Rapid7 的钻研人员破解了其中一个 CHM 文件  ，他们以为这是 Kimsuky 的文章  ，并发现了“一个使用 HTML 和 ActiveX 在 Windows 推算机上执行肆意号令的示例  ，通常用于恶意主张” 。


https://www.theregister.com/2024/03/21/kimsuky_chm_file_campaign/


3. 威胁行为者利用 JETBRAINS TEAMCITY 缝隙传布恶意软件


3月20日  ，趋向科技钻研人员发现利用 JetBrains TeamCity 中最近披露的缝隙CVE-2024-27198  （CVSS 评分：9.8）和CVE-2024-27199（CVSS 评分 7.3）安全缝隙来部署多个恶意软件的攻击活动 。CVE-2024-27198 是 TeamCity Web 组件中的一个身份验证绕过缝隙  ，由代替蹊径问题 ( CWE-288 ) 引起  ，CVSS 根基评分为 9.8（严沉） 。CVE-2024-27199是 TeamCity Web 组件中的一个身份验证绕过缝隙  ，由蹊径遍历问题 ( CWE-22 ) 引起  ，CVSS 根基评分为 7.3（高） 。这些缝隙可能使未经身份验证的攻击者可能通过 HTTP(S) 接见 TeamCity 服务器来绕过身份验证查抄并获得对该 TeamCity 服务器的治理节造 。


https://securityaffairs.com/160823/breaking-news/jetbrains-teamcity-flaws-actively-exploited.html


4. 新的循环 DoS 攻击可能会影响多达 30万个系统


3月20日  ，一种名为“循环 DoS”的新回绝服务攻击针对利用层和谈  ，能够将网络服务配对到无限通讯循环中  ，从而产生大量流量 。该攻击由CISPA 亥姆霍兹信息安全中心的钻研人员设计  ，使用用户数据报和谈 (UDP)  ，影响估计 300,000 台主机及其网络 。这次攻击可能是由于 UDP 和谈实现中的一个缝隙（目前跟踪为CVE-2024-2169 ）造成的  ，该缝隙容易受到 IP 糊弄  ，并且不提供足够的数据包验证 。利用该缝隙的攻击者会创建一种自我一连的机造  ，该机造会无限度地产生过多的流量  ，并且无法阻止它  ，从而导致指标系统甚至整个网络出现回绝服务 (DoS) 情况 。循环 DoS 依赖于 IP 糊弄  ，并且能够从发送一条新闻以启动通讯的单个主机触发 。


https://www.bleepingcomputer.com/news/security/new-loop-dos-attack-may-impact-up-to-300-000-online-systems/


5. 伊朗黑客宣称已入侵以色列的核设施


3月21日  ， 一个与伊朗有关的黑客组织宣称在“匿名”黑客颁发的一路事务中粉碎了以色列敏感核设施的推算机网络  ，以抗议加沙战争 。黑客宣称从西蒙·佩雷斯·内盖夫核钻研中心窃取并颁布了数千份文件  ，蕴含 PDF、电子邮件和 PowerPoint 幻灯片 。这个奥秘设施内有一个与以色列未公开的核兵器打算有关的核反映堆  ，汗青上一向是哈马斯火箭的指标 。该组织在社交媒体新闻中诠氏缢他们的意图  ，宣称“我们不像嗜血的内塔尼亚胡和他的恐怖军队那样  ，我们以没有布衣受到中伤的方式进行这次行动 。” 只管有这一申明  ，该组织在另一条社交媒体新闻中暗示  ，它“无意进行核爆炸  ，但这次行动很危险  ，任何事件都可能产生”  ，同时还颁布了一段描述核爆炸和呼吁撤离人员的动画视频 。


https://news.hitb.org/content/iranian-hackers-claim-have-breached-israeli-nuclear-facility


6. 钻研人员称 AceCryptor 恶意软件在欧洲激增


3月21日  ，作为针对欧洲各地组织的活动的一部门  ，已经发现了涉及 AceCryptor 工具的数千个新习染  ，黑客混合恶意软件并将其植入系统而不被防病毒软件检测到 。ESET 的钻研人员花了数年功夫跟踪 AceCryptor  ，他们周三暗示  ，最近的攻击活动与之前的迭代分歧  ，由于攻击者扩大了内部打包的恶意代码类型 。AceCryptor 通常与名为 Remcos或 Rescoms 的恶意软件一路使用  ，这是一种壮大的远程监督工具  ，钻研人员已发现该工具屡次用于针对乌克兰的组织 。除了 Remcos 和另一个熟悉的工具 SmokeLoader 之表  ，ESET 暗示  ，此刻还发现 AceCryptor 分发 STOP 勒索软件和 Vidar 窃取法式等恶意软件 。ESET 凭据指标国度/地域发现了一些差距 。乌克兰的攻击使用了SmokeLoader  ，而波兰、斯洛伐克、保加利亚和塞尔维亚的攻击则使用了Remcos 。 


https://therecord.media/acecryptor-malware-surge-europe-remcos