微软远程注册表客户端缝隙CVE-2024-43532公开
颁布功夫 2024-10-2410月22日 ，针对微软远程注册表客户端的缝隙CVE-2024-43532现已公开 ，该缝隙利用Windows注册表客户端实现中的回退机造 ，在SMB传输不成用时依赖于旧传输和谈 ，并降低身份验证过程的安全性 ，从而节造Windows域。该缝隙影响Windows服务器版本2008至2022以及Windows 10和11。攻击者可通过拦截NTLM身份验证握手并将其转发到Active Directory证书服务(ADCS)等服务 ，创建新的域治理怨厥户。CVE-2024-43532源于远程注册表客户端在处置RPC身份验证时的问题 ，当SMB传输不成用时 ，客户端会切换到较旧的和谈并使用弱身份验证级别。Akamai钻研员Stiv Kupchik于2月1日向微软披露了该缝隙 ，但最初被驳回 ，后于6月中旬沉新提交并得到确认 ，微软于三个月后颁布了建复法式。目前 ，Kupchik已颁布有效的概想验证代码 ，并在No Hat安全会议上诠氏缢利用过程。Akamai的汇报还提供了检测易受攻击的机械和监督特定RPC挪用的步骤。
https://www.bleepingcomputer.com/news/security/exploit-released-for-new-windows-server-winreg-ntlm-relay-attack/
2. Gophish工具包被滥用于造作针对俄语片区用户的RAT木马
10月22日 ，Gophish这一开源网络垂钓工具包正被犯法分子利用 ，以造作并传布DarkCrystal RAT（DCRat）和PowerRAT等远程接见木马 ，重要指标是俄语片区用户 ，蕴含俄罗斯及其周边国度如乌克兰、白俄罗斯、哈萨克斯坦、乌兹别克斯坦和阿塞拜疆。Gophish正本被设计用于组织测试网络垂钓防御能力 ，但攻击者却借此造作假装成Yandex Disk链接和VK社交网络页面的网络垂钓邮件。这些邮件诱导用户下载蕴含DCRat或PowerRAT恶意木马的Microsoft Word文档或嵌入JavaScript的HTML文件。一旦受害者打开文档并启用宏 ，就会触发恶意Visual Basic (VB)剧本 ，进而下载并执行HTA文件和PowerShell加载器。这些剧本蕴含PowerRAT的base64编码数据块 ，解码后在受害者机械上执行。除了系统窥伺 ，该恶意软件还会网络驱动器序列号并衔接到俄罗斯远程服务器接管指令。若未获响应 ，则执行嵌入的PowerShell剧本。DCRat作为一种�？榛褚馊砑� ，能窃取数据、捕获屏幕截图和击键 ，提供远程节造 ，并下载执行其他文件。
https://thehackernews.com/2024/10/gophish-framework-used-in-phishing.html
3. Grandoreiro银行木马：全球金融威胁持续升级
10月22日 ，卡巴斯基尝试室最近颁布的一份汇报显示 ，Grandoreiro银行木马已成为全球沉大金融威胁。该木马发源于巴西 ，自2016年以来一向活跃 ，旨在窃取银行凭证并绕过安全措施。只管法律部门已致力进攻 ，但Grandoreiro的攻击领域已显著扩大 ，现已针对45个国度的1700家银行和276个加密钱币钱包 ，显示出其真正的全球威胁性。在西班牙 ，Grandoreiro造成的经济损失估计达350万欧元 ，但汇报指出其可能带来的利润超过1.1亿欧元。Grandoreiro木马不休创新战术 ，使用域天生算法创建新的号令和节造服务器 ，选取密文窃取加密增长分析难度 ，并引入沙盒躲避技术如跟踪鼠标移动以仿照合法用户交互 ，糊弄反诓骗系统。其�？榛鲂栽屎芏喔霾僮髟贝唇ㄕ攵蕴囟ǖ赜蚧蚪鹑诨沟乃槠姹�。自2022年以来 ，卡巴斯基观察到该木马创建了较幼、较轻的版本 ，专一于较少的指标 ，出格是在墨西哥。Grandoreiro通常以恶意软件即服务的大局运行 ，其传布受到节造 ，只有值得信任的合作同伴能力接见源代码。
https://securityonline.info/1700-banks-45-countries-grandoreiro-trojan-expands-its-reach/
4. 黑客利用gRPC和谈在Docker API上部署加密钱币挖矿法式
10月22日 ，Trend Micro 钻研人员发现了一种新型网络攻击伎俩 ，攻击者利用 Docker 远程 API 服务器上的 gRPC 和谈（通过 h2c 明文 HTTP/2）来部署 SRBMiner 加密钱币挖矿法式 ，指标是挖掘 Ripple Labs 开发的 XRP 加密钱币。攻击流程始于扫描易受攻击的 Docker API 服务器 ，随后查抄其可用性和版本 ，并发送 gRPC/h2c 升级要求以远程把持 Docker 职能而不被发现。一旦成立节造 ，攻击者便使用合法基础映像构建 Docker 映像 ，在 /usr/sbin 目录中部署挖矿法式 ，并从 GitHub 下载恶意软件。他们还提供了 Ripple 钱包地址以网络挖出的加密钱币。这次攻击之所以令人忧郁 ，是由于使用 h2c 上的 gRPC 和谈可绕过安全层 ，使安全工具难以检测到加密矿工的部署。这批注网络犯罪分子的战术在不休演变 ，他们在寻找创新步骤来利用 Docker 等容器化环境。因而 ，�；� Docker 远程 API 和监控异�；疃涞糜任烈�。
https://securityonline.info/cryptojacking-alert-hackers-exploit-grpc-and-http-2-to-deploy-miners/
5. CISA将Microsoft SharePoint缝隙列为已知被利用缝隙
10月23日 ，美国网络安全和基础设施安全局（CISA）已将Microsoft SharePoint的一个反序列化缝隙CVE-2024-38094（CVSS v4评分：7.2）纳入其已知被利用缝隙（KEV）目录中。该缝隙允许占有站点所有者权限的攻击者通过SharePoint Server注入并执行肆意代码。据微软布告 ，此缝隙源于SharePoint Server Search组件的输入验证谬误 ，使得未经身份验证的用户也能通过发送特造HTTP要求来利用缝隙 ，进而在服务器上执行肆意代码 ，可能收受整个系统。凭据拥有约束力的操作指令22-01 ，要求联国机构（FCEB）必须在划定截止日期前解决已发现的缝隙 ，以�；ね缑馐苣柯贾蟹煜兜墓セ�。CISA出格要求联国机构在2024年11月12日前建复此SharePoint缝隙。同时 ，专家也建议个人组织审查CISA的缝隙目录 ，并实时解决其基础设施中存在的相应缝隙 ，以确保网络安全。
https://securityaffairs.com/170157/security/u-s-cisa-adds-microsoft-sharepoint-flaw-known-exploited-vulnerabilities-catalog.html
6. 北非电子竞技平台ESNA用户数据遭黑客泄露
10月24日 ，在角逐前夕 ，名为“Shooked”的黑客于2024年10月23日在Breach Forums上泄露了北非电子竞技(ESNA)平台超过18万名用户的幼我数据 ，该数据转储大幼为3GB ，并宣称是“齐全数据库”。这次泄露产生在ESNA角逐于摩洛哥开赛的前一天。ESNA是一个旨在推进北非地域竞技游戏发展的平台 ，组织了蕴含FC25、Free Fire、街头霸王6等热点游戏的锦标赛。据分析 ，泄露的数据蕴含超过900万行 ，但去沉后唯一用户纪录为180,000条 ，蕴含用户身份、国度、用户名、IP地址、功夫戳、会话ID、WordPress URL和电子邮件地址等信息 ，但不蕴含密码或财政信息。只管如此 ，用户仍被建议更改密码以防万一 ，并警惕可能由这次泄露引发的网络垂钓攻击。目前 ，ESNA组织尚未对此事作出回应 ，但用户应维持警惕 ，以防网络犯罪分子利用这次泄露进行恶意活动。
https://hackread.com/hackers-leak-esport-north-africa-user-record-before-tournament/
京公网安备11010802024551号