建站
咨詢
售后
建站咨詢
新聞中心
Volexity的新分析報告稱，從4月開始，專注于朝鮮新聞的朝鮮日報網(wǎng)站上出現(xiàn)了惡意代碼。
成都創(chuàng)新互聯(lián)服務項目包括蕭山網(wǎng)站建設、蕭山網(wǎng)站制作、蕭山網(wǎng)頁制作以及蕭山網(wǎng)絡營銷策劃等。多年來，我們專注于互聯(lián)網(wǎng)行業(yè)，利用自身積累的技術優(yōu)勢、行業(yè)經(jīng)驗、深度合作伙伴關系等，向廣大中小型企業(yè)、政府機構等提供互聯(lián)網(wǎng)行業(yè)的解決方案，蕭山網(wǎng)站推廣取得了明顯的社會效益與經(jīng)濟效益。目前，我們服務的客戶以成都為中心已經(jīng)輻射到蕭山省份的部分城市，未來相信會繼續(xù)擴大服務區(qū)域并繼續(xù)獲得客戶的支持與信任！
研究人員發(fā)現(xiàn)該惡意代碼可以通過www.dailynk[.com]加載到jquery[.]服務的惡意子域。下面加載惡意代碼的URL如下：
- hxxps://www.dailynk[.]com/wp-includes/js/jquery/jquery.min.js?ver=3.5.1
- hxxps://www.dailynk[.]com/wp-includes/js/jquery/jquery-migrate.min.js?ver=3.3.2
盡管這些鏈接都可以通往真實的文件，但是內容都被攻擊者修改了。其中包含重定向用戶，從攻擊者控制的域名jquery[.]services加載惡意JS。并且，由于攻擊者控制的代碼只加入了很短的時間就被移除了，因此很難被發(fā)現(xiàn)。
此次攻擊中，攻擊者利用了兩個Internet Explorer的漏洞，漏洞被命名為CVE-2020-1380和CVE-2021-26411，這兩個漏洞分別在2020年8月和2021年3月被修補。
- CVE-2020-1380是一個腳本引擎內存破壞漏洞，CVSS評分為7.5。
- CVE-2021-26411是一個Internet Explorer內存破壞漏洞，CVSS評分為8.8。
這兩個漏洞都被在野積極利用。其中CVE-2021-26411已經(jīng)被一朝鮮APT組織在1月份針對從事漏洞研究的安全研究人員的攻擊中利用。
定向攻擊，難以被發(fā)現(xiàn)
Volexity表示，雖然該組織此次所利用的是已被修補的兩個漏洞，只對少部分用戶起作用。但是，InkySquid 組織針對可以被利用的用戶展開了“定制”攻擊，大大增強了成功率。
- 首先，該組織巧妙地將惡意代碼偽裝于合法代碼之中，使其更難識別。
- 其次，他們只允許能夠被攻擊的用戶訪問惡意代碼，使其難以被大規(guī)模識別(如通過自動掃描網(wǎng)站)。
- 此外，該組織使用了新的自定義惡意軟件，如BLUELIGHT。在成功利用C2通信后，不容易被大部分解決方案發(fā)現(xiàn)。
BLUELIGHT惡意軟件家族
BLUELIGHT被用作于初始Cobalt Strike有效載荷成功交付后的第二級有效載荷，被用來收集受感染系統(tǒng)的情報，并向攻擊者提供遠程訪問。它支持以下命令：
- 執(zhí)行下載的shellcode
- 下載并啟動一個可執(zhí)行程序，然后上傳程序輸出
- 收集支持的瀏覽器的cookies和密碼數(shù)據(jù)庫，包括Win7 IE、Win10 IE、Edge、Chrome和Naver Whale
- 遞歸搜索路徑并上傳文件元數(shù)據(jù)(時間戳、大小和完整路徑)
- 生成一個線程來遞歸搜索一個路徑，并將文件作為ZIP檔案上傳
- 終止文件上傳線程
- 卸載植入物
新聞名稱：與朝鮮有關的InkySquidAPT組織正積極利用IE漏洞
文章URL：http://www.5511xx.com/article/dghhhjo.html
