研究职员发明Windows缺陷可导致类似Rootkit的功效

宣布时间 2024-04-24

1. 研究职员发明Windows缺陷可导致类似Rootkit的功效


4月22日，威胁行为者可以使用 DOS 到 NT 路径转换历程来实现类似 rootkit 的功效，以隐藏和模拟文件、目录和历程。清静研究员 Or Yair在黑帽大会上揭晓的一份剖析报告中体现：“当用户在 Windows 中执行带有路径参数的函数时，文件或文件夹所在的 DOS 路径将转换为 NT 路径。”在此转换历程中，保存一个已知问题，即该函数会删除任何路径元素中的尾随点以及最后一个路径元素中的任何尾随空格。此操作由 Windows 中的大大都用户空间 API 完成。这些所谓的 MagicDot 路径允许任何非特权用户会见类似 rootkit 的功效，然后这些用户可以将其武器化，在没有管理员权限的情形下执行一系列恶意操作，并且不会被发明。


https://thehackernews.com/2024/04/researchers-uncover-windows-flaws.html?&web_view=true


2. 俄罗斯Sandworm黑客团伙瞄准了乌克兰20个主要组织


4月22日，凭证乌克兰盘算机紧迫响应小组 (CERT-UA) 的一份报告，俄罗斯黑客组织 Sandworm 旨在破损乌克兰约 20 个要害基础设施的运行。这些黑客也被称为 BlackEnergy、Seashell Blizzard、Voodoo Bear 和 APT44，据信与俄罗斯武装步队总照料部 (GRU) 有关，对种种目的举行网络特工运动和破损性攻击。CERT-UA 报告称，2024 年 3 月，APT44 举行了破损乌克兰 10 个地区能源、水和供暖供应商信息和通讯系统的行动。攻击爆发在三月份，在某些情形下，黑客能够通过迫害供应链来提供受损或易受攻击的软件，或者通过软件提供商会见组织系统举行维护和手艺支持的能力来渗透目的网络。


https://www.bleepingcomputer.com/news/security/russian-sandworm-hackers-targeted-20-critical-orgs-in-ukraine/


3. APT28 使用 Windows 打印后台处置惩罚程序缺陷安排GooseEgg


4月23日，APT28将 Microsoft Windows Print Spooler 组件中的清静误差武器化，以撒播一种名为 GooseEgg 的先前未知的自界说恶意软件。据称，该泄露后工具至少从 2020 年 6 月最先使用，可能最早从 2019 年 4 月最先使用，它使用了一个现已修补的缺陷，允许权限升级（CVE-2022-38028，CVSS 评分：7.8）。Microsoft 在 2022 年 10 月宣布的更新中解决了这个问题，美国国家清静局 (NSA) 其时报告了该缺陷。凭证这家科技巨头威胁情报团队的最新发明，APT28（也称为 Fancy Bear 和 Forest Blizzard（以前称为 Strontium））将该误差武器化，用于针对乌克兰、西欧和北美政府、非政府、教育和交通的攻击部分组织。近几个月来，APT28 黑客还滥用了Microsoft Outlook 中的权限升级误差（CVE-2023-23397，CVSS 得分：9.8）和 WinRAR 中的代码执行误差（CVE-2023-38831，CVSS 得分：7.8）。


https://thehackernews.com/2024/04/russias-apt28-exploited-windows-print.html


4. ToddyCat APT 正在网络亚太地区工控行业的数据


4月23日，一个名为 ToddyCat 的高级一连威胁 (APT) 组织正在从亚太地区的政府和国防目的网络工业规� ；氖��？ò退够笛槭腋俑迷硕难芯恐霸北局芙残形咝蚊参褂枚喔鐾迸绞芎φ咔樾卫次殖て谛圆⒋又星匀∈�。他们还发明了 ToddyCat使用的一组新工具，用于从受害者系统和浏览器网络数据。ToddyCat 很可能是一个讲中文的威胁行为者，卡巴斯基已将其与至少可追溯到 2020 年 12 月的攻击联系起来。在最初阶段，该组织似乎只关注台湾和越南的少数组织。但在 2021 年 2 月果真披露 Microsoft Exchange Server 中的所谓ProxyLogon 误差后，威胁行为者迅速加大了攻击力度。


https://www.darkreading.com/cyber-risk/-toddycat-apt-is-stealing-data-on-an-industrial-scale-


5. Synlab Italia 因勒索软件攻击而暂停运营


4月22日，在勒索软件攻击迫使 IT 系统离线后，Synlab Italia 暂停了所有医疗诊断和测试服务。Synlab Italia 网络隶属于遍布全球 30 个国家/地区的 Synlab 集团，在意大利各地运营着 380 个实验室和医疗中心。它的年营业额为 4.26 亿美元，每年举行 3500 万次剖析。该公司宣布在 4 月 18 日破晓遭遇清静误差，迫使其关闭所有盘算机以限制破损运动。只管该公司尚未证实，但一些敏感的医疗数据可能已袒露给攻击者。尚无主要勒索软件团伙声称对 Synlab Italia 的网络攻击认真。


https://www.bleepingcomputer.com/news/security/synlab-italia-suspends-operations-following-ransomware-attack/


6. 美国国家清静局 (NSA) 宣布清静人工智能安排指南


4月22日，美国国家清静局与美国和其他五眼国家的六个政府机构合作宣布了有关怎样清静安排人工智能系统的新指南。它提供了分为三类的最佳实践列表，涉及人工智能安排的三个主要办法：� ；ぐ才徘樾巍⒁涣 ；I系统和清静AI运维。� ；と斯ぶ悄芟低成婕笆侗鹞：Α⑹笛槭实钡幕航獠椒ズ图嗫匚侍獾囊涣�。通过接纳本报告中概述的办法来确保人工智能系统的安排和运行清静，组织可以显着降低所涉及的危害。这些办法有助于� ；ぷ橹闹恫ā⒛Ｗ雍褪菝庠馔登曰蚶挠�。


https://www.infosecurity-magazine.com/news/nsa-launches-guidance-secure-ai/