近日，明朝萬達安元實驗室發布了2024年第三期《安全通告》。該份報告收錄了2024 年3月最新的網絡安全前沿新聞和最新漏洞追蹤，其中重點內容包括：
網絡安全前沿新聞
1.俄羅斯黑客可能使用升級版AcidPour惡意軟件攻擊烏克蘭電信公司
安全研究人員表示：“AcidPour 的擴展功能將使其能夠更好地禁用嵌入式設備，包括網絡、物聯網、大型存儲 (RAID)，以及可能運行 Linux x86 發行版的 ICS 設備。
AcidPour 是AcidRain的變體，用于在 2022 年初俄烏戰爭爆發時使 Viasat KA-SAT 調制解調器正常運行，并削弱烏克蘭的軍事通信。
2.烏克蘭黑客劫持超過 1 億個電子郵件和 Instagram 賬戶
該網絡犯罪團伙通過在暗網論壇上出售其非法獲得的憑據來貨幣化。購買這些信息的其他攻擊者利用受感染的賬戶實施各種欺詐計劃，包括詐騙者聯系受害者的朋友將錢緊急轉入他們的銀行賬戶。該機構表示：“你可以通過設置雙因素身份驗證并使用強密碼來保護你的賬戶免受這種黑客攻擊。”官員們在基輔、敖德薩、文尼察、伊萬諾-弗蘭科夫斯克、頓涅茨克和基洛沃拉德進行了七次搜查，沒收了 70 臺電腦、14 部手機、銀行卡和價值超過 3,000 美元的現金。
3.黑客利用文檔發布網站進行網絡釣魚攻擊
黑客利用 FlipSnack、Issuu、Marq、Publuu、RelayTo 和 Simplebooklet 等平臺上托管的數字文檔發布 (DDP) 網站進行網絡釣魚、憑據收集和會話令牌盜竊，這再次突顯了攻擊者如何重新利用合法服務。
在 DDP 網站上托管網絡釣魚誘餌會增加網絡釣魚攻擊成功的可能性，因為這些網站通常擁有良好的聲譽，不太可能出現在 Web 過濾器阻止列表中，并且可能會給認為熟悉或熟悉這些網站的用戶灌輸錯誤的安全感。
4.TeamCity 漏洞導致勒索軟件、加密貨幣挖礦和 RAT 攻擊激增
多個攻擊者正在利用 JetBrains TeamCity 軟件中最近披露的安全漏洞來部署勒索軟件、加密貨幣挖礦程序、Cobalt Strike 信標以及基于 Golang 的名為 Spark RAT 的遠程訪問木馬。這些攻擊需要利用CVE-2024-27198（CVSS 評分：9.8），使攻擊者能夠繞過身份驗證措施并獲得對受影響服務器的管理控制。
安全研究員表示：攻擊者隨后能夠安裝可以訪問其命令與控制 (C&C) 服務器的惡意軟件，并執行其他命令，例如部署 Cobalt Strike 信標和遠程訪問木馬 (RAT)。然后可以安裝勒索軟件作為最終有效負載來加密文件并要求受害者支付贖金。
5.韓國公民因網絡間諜罪在俄羅斯被拘留
俄羅斯首次以網絡間諜罪名拘留一名韓國公民，并將其從符拉迪沃斯托克轉移至莫斯科接受進一步調查。俄羅斯通訊社塔斯社最先報道了這一進展。
一位不愿透露姓名的消息人士稱，“在調查一起間諜案期間，一名韓國公民白元淳被認出并被拘留在符拉迪沃斯托克，并根據法院命令被拘留。元淳被指控向未透露姓名的外國情報機構提供機密“絕密”信息。
6.黑客使用HTML 走私通過虛假 Google 網站傳播惡意軟件
網絡安全研究人員發現了一種新的惡意軟件活動，該活動利用偽造的 Google 站點頁面和 HTML 走私來分發名為AZORult的商業惡意軟件，以促進信息盜竊。
安全研究員表示：它使用一種非正統的 HTML 走私技術，其中惡意負載嵌入到外部網站上托管的單獨 JSON 文件中。網絡釣魚活動尚未歸因于特定的攻擊者或組織。該網絡安全公司稱這種行為本質上很普遍，其目的是收集敏感數據并在地下論壇上出售。
7.E-Root 市場管理員因出售 35 萬份被盜憑證而被判處 42 個月監禁
美國司法部 (DoJ) 宣布，一名 31 歲的摩爾多瓦公民因經營名為 E-Root Marketplace 的非法市場而在美國被判處 42 個月監禁，該市場出售數十萬份被盜憑證。美國司法部上周表示：“E-Root 市場在廣泛分布的網絡上運行，并采取措施隱藏其管理員、買家和賣家的身份?！?/span>
Sandu Boris Diaconu 被指控串謀實施訪問設備和計算機欺詐以及擁有 15 個或更多未經授權的訪問設備。他于 2023 年 12 月 1 日認罪。
8.APT28 黑客組織針對歐洲、美洲和亞洲開展廣泛的網絡釣魚計劃
俄羅斯有關的威脅行為者APT28與多個正在進行的網絡釣魚活動有關，這些活動使用模仿歐洲、南高加索、中亞以及北美和南美政府和非政府組織 (NGO) 的誘餌文件。
網絡釣魚攻擊冒充來自阿根廷、烏克蘭、格魯吉亞、白俄羅斯、哈薩克斯坦、波蘭、亞美尼亞、阿塞拜疆和美國等多個國家的實體，利用真實的公開政府和非政府誘餌文件來激活感染鏈。
9.新的基于 Python 的 Snake 信息竊取程序通過 Facebook 消息傳播
威脅行為者正在使用 Facebook 消息來分發名為 Snake 的基于 Python 的信息竊取程序，該程序旨在捕獲憑據和其他敏感數據。安全研究員在一份技術報告中表示： “從毫無戒心的用戶那里獲取的憑據會被傳輸到不同的平臺，例如 Discord、GitHub 和 Telegram。”
有關該活動的詳細信息于 2023 年 8 月首次出現在社交媒體平臺 X 上。這些攻擊需要向潛在用戶發送看似無害的 RAR 或 ZIP 存檔文件，這些文件在打開后會激活感染序列。
10.第三方 ChatGPT 插件可能導致賬戶被接管
網絡安全研究人員發現，可用于 OpenAI ChatGPT 的第三方插件可能會成為攻擊者尋求未經授權訪問敏感數據的新攻擊面。
直接在 ChatGPT 和生態系統內發現的安全漏洞可能允許攻擊者在未經用戶同意的情況下安裝惡意插件，并劫持 GitHub 等第三方網站上的賬戶。ChatGPT 插件，顧名思義，是設計為在大語言模型 (LLM) 之上運行的工具，旨在訪問最新信息、運行計算或訪問第三方服務。
11.使用虛假 Notepad++ 和 VNote 安裝程序針對中國用戶的惡意廣告
在百度等搜索引擎上尋找Notepad++和VNote等合法軟件的中國用戶正成為惡意廣告和虛假鏈接的目標，這些鏈接會分發該軟件的木馬版本，并最終部署Geacon（一種基于Golang的 Cobalt Strike 實現）。
安全研究員表示：在notepad++搜索中發現的惡意網站是通過廣告塊進行分發的。首先打開軟件后，細心的用戶會立即注意到廣告：網站地址包含vnote行，標題提供了Notepad‐‐（Notepad++ 的類似物，也作為開源軟件分發）的下載，而圖像卻顯示Notepad++。事實上，從這里下載的包中包含Notepad‐‐和黑客編寫的病毒。
12.RedCurl 網絡犯罪組織濫用 Windows PCA 工具進行企業間諜活動
RedCurl網絡犯罪組織正在利用名為程序兼容性助手 ( PCA )的合法 Microsoft Windows 組件來執行惡意命令。安全研究員表示：“程序兼容性助手服務 (pcalua.exe) 是一項 Windows 服務，旨在識別和解決舊程序的兼容性問題。
黑客可以利用此實用程序來啟用命令執行并通過將其用作替代命令行解釋器來繞過安全限制。在本次調查中，攻擊者使用此工具來掩蓋他們的活動。
13.Ande Loader 惡意軟件針對北美制造業
名為 Blind Eagle 的攻擊者使用名為 Ande Loader 的加載器惡意軟件來傳播 Remcos RAT 和 NjRAT 等遠程訪問木馬 (RAT)。
Blind Eagle（又名 APT-C-36）是一個出于經濟動機的攻擊者，曾策劃針對哥倫比亞和厄瓜多爾實體的網絡攻擊，以提供各種RAT，包括 AsyncRAT、BitRAT、Lime RAT、NjRAT、Remcos RAT、和QuasarRAT。
14.DarkGate 惡意軟件利用最近修補的 Microsoft 漏洞進行零日攻擊
2024 年 1 月中旬觀察到的 DarkGate 惡意軟件活動利用 Microsoft Windows 中最近修補的安全漏洞作為使用虛假軟件安裝程序的零日漏洞。
在此活動期間，用戶被包含 Google DoubleClick Digital Marketing (DDM) 開放重定向的 PDF 引誘，導致毫無戒心的受害者訪問托管 Microsoft Windows SmartScreen 的受感染網站，繞過 CVE-2024-21412，從而導致惡意 Microsoft (.MSI) 安裝程序。
15.研究人員強調谷歌的 Gemini AI 對 LLM 威脅的敏感性
谷歌的Gemini大語言模型（LLM）容易受到安全威脅，可能導致其泄露系統提示、生成有害內容并進行間接注入攻擊。
安全研究員說這些問題影響了使用 Gemini Advanced 和 Google Workspace 的消費者以及使用 LLM API 的公司。涉及繞過安全防護已泄漏系統提示（或系統消息），這些提示在通過要求模型輸出其“基本指令”來向 LLM 設置對話范圍指令，以幫助其生成更有用的響應。
