三星数据被黑客泄露、罗马尼亚加油站网络遭勒索攻击｜3月8日全球网络安全热点

安全资讯报告

攻击英伟达的黑客泄露了三星数据

据报道，攻击并泄露Nvidia的黑客组织LAPSUS$发布了它所描述的“三星机密源代码”。该黑客组织此前曾从Nvidia窃取机密信息。

BleepingComputer报告称，LAPSUS$泄露了近190GB的数据，据称其中包括TrustZone环境使用的受信任小程序的源代码、最近三星设备的引导加载程序以及与三星帐户相关的技术等。

LAPSUS$声称也泄露了“来自高通的机密源代码”，以及“所有生物识别解锁操作的算法”。

在提供给SamMobile的一份声明中，三星确认违反了“某些内部公司数据”，其中“涉及与Galaxy设备操作相关的一些源代码，但不包括我们消费者或员工的个人信息。

“目前，我们预计不会对我们的业务或客户产生任何影响。我们已采取措施防止此类事件进一步发生，并将继续为我们的客户提供服务而不会中断。”三星补充道。

新闻来源：

https://www.pcmag.com/news/nvidia-hackers-shift-to-leaking-samsung-data

FortiGuard Labs：勒索软件的攻势没有放缓

FortiGuard Labs发布了最新的半年度全球威胁形势报告，报告显示，攻击的自动化和速度有所提高，表明更先进的持续性网络犯罪策略更具破坏性和不可预测性。此外，混合工作者和混合IT不断扩大的攻击面是网络对手试图利用的焦点。

威胁趋势表明，僵尸网络正在演变为采用更新和更先进的网络犯罪攻击技术。僵尸网络不再主要是单一的并且主要专注于DDoS攻击，而是现在是利用各种更复杂的攻击技术（包括勒索软件）的多用途攻击工具。

网络犯罪分子最大限度地利用“一切可能”，按地区评估恶意软件变体的流行程度揭示了网络攻击者会最大限度地利用远程攻击，各种形式的基于浏览器的恶意软件很普遍，这通常采取网络钓鱼诱饵或注入代码或将用户重定向到恶意站点的攻击形式。

数据显示，勒索软件并没有从去年的峰值水平下降，相反，勒索软件的复杂性、攻击性和影响正在增加。威胁参与者继续使用各种勒索软件攻击组织，通常会留下破坏痕迹。勒索软件即服务(RaaS)商业模式使更多的威胁参与者能够利用和分发恶意软件，而无需自己创建勒索软件。

新闻来源：

https://www.apnnews.com/fortiguard-labs-reports-ransomware-not-slowing-continues-to-be-relentless-and-more-destructive/

罗马尼亚的Rompetrol加油站网络遭到Hive勒索软件攻击

罗马尼亚的石油供应商Rompetrol宣布它正在与“复杂的网络攻击”作斗争。Hive勒索软件团伙是这次攻击的幕后黑手，他们要求支付数百万美元的赎金。攻击者还访问了Petromdia炼油厂的内部IT网络。

Rompetrol是罗马尼亚最大的炼油厂Petromidia Navodari的运营商，该炼油厂的年加工能力超过500万吨。

KMG和Rompetrol网站截至今天都无法访问，并且Fill&Go应用程序不再工作。不过，该公司的电子邮件系统（Microsoft Outlook）仍然正常工作。为了保护数据，该公司暂时暂停了网站和Fill&Go服务的运营，包括车队和私人客户。

BleepingComputer获悉Hive勒索软件团伙是对KMG子公司Rompetrol的攻击的幕后黑手。Hive要求Rompetrol支付200万美元的赎金，以接收解密器并且不泄露据称被盗的数据。

新闻来源：

https://www.bleepingcomputer.com/news/security/rompetrol-gas-station-network-hit-by-hive-ransomware/

SharkBot银行木马通过Google Play商店上的假安卓防病毒软件传播

一个名为SharkBot的新兴Android银行木马通过伪装成防病毒应用程序成功地避开了Google Play商店的安全屏障。

SharkBot与众不同的地方在于它能够通过自动传输系统(ATS)执行未经授权的交易，这与TeaBot形成鲜明对比，TeaBot需要现场操作员与受感染的设备进行交互完成攻击。

2月28日在Google Play Store上发现的最新版本由多个安卓应用程序传播，它们还利用Android的Direct Reply功能将自身传播到其他设备。伪装成安卓防病毒软件和清理软件的恶意软件被下载了5.7万次。

SharkBot还具有丰富的功能，因为它使攻击者能够在官方银行应用程序上注入欺诈性覆盖，以窃取凭据、记录击键并获得对设备的完全远程控制，但前提是受害者授予它可访问性服务权限。

新闻来源：

https://thehackernews.com/2022/03/sharkbot-banking-malware-spreading-via.html

安全漏洞威胁

“肮脏管道（DirtyPipe）”Linux漏洞细节被披露

一位网络安全研究人员发布了Linux漏洞的详细信息，该漏洞允许攻击者覆盖任意只读文件中的数据。该漏洞-CVE-2022-0847-由Max Kellermann于2021年4月发现，但他又花了几个月的时间才弄清楚实际发生了什么。

该漏洞影响LinuxKernel5.8及更高版本，但在Linux5.16.11、5.15.25和5.10.102中已修复。

要利用此漏洞，需要：创建管道，用任意数据填充管道（在所有环条目中设置PIPE_BUF_FLAG_CAN_MERGE标志），排空管道（在structpipe_inode_info环上的所有structpipe_buffer实例中设置标志)，将目标文件（使用O_RDONLY打开）中的数据从目标偏移量之前拼接到管道中[并]将任意数据写入管道。

Kellermann和其他专家将该漏洞与CVE-2016-5195“DirtyCow”进行了比较，但表示它更容易被利用。获得root权限的攻击者可以完全控制目标系统，并可能利用该控制权到达其他系统。此漏洞的缓解因素是它需要本地访问，这会稍微降低风险。漏洞可以让攻击者提升权限、在网络内部横向移动、执行任意代码并完全接管设备。

新闻来源：

https://www.zdnet.com/article/dirty-pipe-linux-vulnerability-discovered-fixed/

铁威马TOS中的严重漏洞可能导致NAS设备被黑客远程攻击

埃塞俄比亚研究人员Paulos Yibelo表示，这些问题存在于TOS（TerraMaster操作系统的缩写）中，并且“可以让未经身份验证的攻击者仅通过IP地址就可以访问受害者的NAS设备”。

编号为CVE-2022-24990的漏洞，涉及一个名为“webNasIPS”组件的信息泄漏案例，漏洞导致TOS固件版本、默认网关接口的IP和MAC地址以及管理员密码泄露。

第二个漏洞与名为“createRaid”（CVE-2022-24989）的PHP模块中的命令注入缺陷有关，联合使用两个漏洞可以提交特制命令实现远程代码执行。

铁威马NAS设备的用户需要升级到最新固件来修复漏洞。

新闻来源：

https://thehackernews.com/2022/03/critical-bugs-in-terramaster-tos-could.html

微软修复了暴露客户数据的关键Azure漏洞

Microsoft已解决Azure自动化服务中的一个漏洞，该漏洞可能允许攻击者完全控制其他Azure客户的数据。

Microsoft Azure自动化服务提供流程自动化、配置管理和更新管理功能，每个计划作业在每个Azure客户的隔离沙箱内运行。

该漏洞被Orca Security的云安全研究员Yanir Tsarimi称为AutoWarp，发现该漏洞后，攻击者可以从管理其他用户沙箱的内部服务器窃取其他Azure客户的托管身份验证令牌。

Yanir Tsarimi指出，攻击者可能会不断地抢夺令牌，并且每个令牌都会将攻击范围扩大到更多的Azure客户。这种攻击可能意味着完全控制属于目标帐户的资源和数据，具体取决于客户分配的权限。

微软公开披露了该漏洞，称没有发现任何证据表明托管身份令牌被滥用，或AutoWarp在攻击中被利用。

新闻来源：

https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-critical-azure-bug-that-exposed-customer-data/