2023年9月安恒信息网络安全月报(精简版)

本报告为精简版，更多精彩请查看完整版，感谢您的支持！完整版可以咨询您所在地区安恒销售，或致电：4006059110转4前言 II一、9月重大安全事件 11.斯里兰卡国家政务云被黑，近4个月数据丢失 12.乌克兰黑客入侵俄罗斯航空巨头，窃取超41亿条乘客信息 13.赎金5100万美元！国际自动化巨头江森自控遭勒索软件攻击致部分运营中断 24.索尼公司遭遇勒索攻击：正紧急展开调查 2二、9月APT威胁 31.APT威胁攻击综述 32.APT组织情报 4三、9月勒索攻击 41.勒索攻击综述 42.勒索团伙/软件 5四、9月挖矿情报 5五、9月暗链情报 7六、9月漏洞情报 81.漏洞情报数据 82.必修漏洞 83.高关注漏洞 10七、9月黑灰产情报 10八、安全数据说安全 102023年9月，国内外影响面较广的网络安全事件陆续发生。本月数据泄露和勒索攻击引发高关注。勒索攻击方面，索尼公司遭遇RansomedVC的新型勒索攻击组织攻击，这是索尼在今年内遭遇的第二次内部数据泄露；江森自控国际公司遭受了大规模勒索软件攻击，影响了公司及其子公司的运营。勒索事件会对企业造成了重大的影响，包括财务损失、声誉受损和用户信任的丧失等。数据泄露方面，斯里兰卡国家政务云被黑，近4个月数据丢失；乌克兰黑客入侵俄罗斯航空巨头，窃取超41亿条乘客信息。数据泄露会给用户带来潜在的安全隐患，也让用户丧失对企业的信任。在互联网时代的数据使用上，切记要极大限度地保护自己的隐私安全，同时，企业更有责任和义务，保护我们的隐私数据安全。1.斯里兰卡国家政务云被黑，近4个月数据丢失时间：2023年9月12日影响：斯里兰卡信息与通信技术局首席执行官MaheshPerera估计，所有使用“gov.lk”电子邮件域名的电子邮件地址（5000个包括内阁办公室使用的地址处置：在遭受攻击后，斯里兰卡信息与通信技术局已经开始采取措施增强“兰卡政府云”安全性。具体措施包括启动每日离线备份例程，升级相关电子邮件应用程序参考链接：/articles/587342.乌克兰黑客入侵俄罗斯航空巨头，窃取超41亿条乘客信息时间：2023年9月26日概述：乌克兰黑客声称已侵入俄罗斯公司Sirena-Travel的数据库。该数据库包含数亿次航空旅行的信息以及乘客保险以及其他个人数据。有关此次黑客攻击的消息发布在黑客社区KibOrg的电报频道上。他们声称Muppets是这次黑客攻击的幕后黑手。SerenaTravel是俄罗斯最大的航空公司，提供机票预订和销售、文化娱乐场所、保险单登记等服务。公司运营国内首个经认可的航空分销系统（ADS）“SirenaTravel”，该系统是根据IATA（国际航空运输协会（IATA的建议开发的，为代理机构提供预订和销售机票的接口，并为航空公司提影响：两个数据库包含了35亿条乘客的电话号码记录和6.646亿条个人信息记录（包括航班号码、路线、票价、机票价格等共41.646亿条乘客数据被窃取，这些数据涵盖2007年至2023年期间。黑客组织的一位消息人士指出，KibOrg并不打算公开整个数据库。目前正在考虑两种选择：创建一个机器人来汇总数据库数据以参考链接：/articles/592183.赎金5100万美元！国际自动化巨头江森自控遭勒索软件攻击致部分运营中断时间：2023年9月26日服务器）进行了加密，影响了公司及其子公司的运营。江森拥有100,000名员工，包括York、Tyco、Luxaire、Coleman、Ruskin、Grinnel和Simplex，客户遍布全影响：此次攻击导致包括York、Simplex和Ruskin在内的多家子公司面临技术问题，各自网站登录页面控摄像头（构成公共场所闭路电视系统的一部分）成为勒索软件的受害者。另自控因利用MicrosoftSMB协议中的漏洞的勒索软件攻击而发布了产品安全公告，可能会影响某些Metasys安建议：勒索攻击已是主流的网络安全攻击方式之一，企业应该高度重视勒索软件的风险，加强与安全厂商的参考链接：/articles/592914.索尼公司遭遇勒索攻击：正紧急展开调查时间：2023年9月27日概述：一个名为RansomedVC的新型勒索攻击组织宣称已成功入侵了索尼公司的网络系统，并非法窃取了超过3.14GB未压缩数据。该组织表示：由于索尼公司不愿意配合道公开售卖这些“数据和访问权限”。除了RansomedVC组织，另一个威胁组织MajorNelson也表示对此次攻利用文件传输软件MOVEitTransfer的一个漏洞，窃取了索尼公司的部分重要数据。该攻击事件对索尼造成了重处置：索尼公司目前回应：正在紧急调查这起网络攻击事件，但目前尚未有明确的调查结果。参考链接：/articles/592691.APT威胁攻击综述<本部分综述内容，可以参看完整版报告，谢谢支持>安恒信息猎影实验室通过国内外安全厂商、安全组织2023年9月份针对于APT事件披露情况分析，近期活跃的APT组织有APT37、Lazarus、TransparentTribe、APT28、Confucius、APT33、APT34、APT-C-23、CamouflageHunter、CharmingKitten等，其中当属APT37组织收录的攻击事件居多。▲9月APT组织发起攻击占比图<本部分更多内容，包含本月活跃APT组织攻击地域、行业分布图>2.APT组织情报<本部分内容，包含本月活跃APT组织画像、攻击事件>请参看完整版月报，感谢支持。1.勒索攻击综述<本部分综述内容，可以参看完整版报告，谢谢支持>根据安恒信息猎影实验室2023年9月的勒索事件数据显示，勒索软件攻击涉及医疗卫生、政府、军事、能源、水务等行业，其中以针对医疗卫生的勒索事件比例最高。▲9月勒索软件攻击行业比例<本部分更多内容，包含本月勒索软件事件比例>2.勒索团伙/软件<本部分内容，包含本月活跃勒索团伙画像、勒索事件>请参看完整版月报，感谢支持。根据安恒信息猎影实验室针对2023年9月的挖矿数据分析，其中行业挖矿行为主要分布在政府、教育、能源、通信等行业，其他行业也存在一定的挖矿行为。▲2023年9月挖矿行业分布占比图同时，安恒信息猎影实验室在针对2023年9月期间的挖矿数据分析发现，活跃的矿池地址主要分布在境外，其中新加坡最多。▲2023年9月活跃矿池TOP20根据安恒信息零壹实验室针对2023年9的暗链数据分析，累计34604个网站遭到暗链植入，较8月份数据量涨幅47.8%。其中9月新增5726个在以往从未检测到的全新暗链数据。在被植入暗链的网站中，企业最多，占比91.9%。除去企业，其他遭受暗链植入的网站类型的分布情况如下▲2023年9月遭到暗链植入的网站类型（除去企业）<本部分更多内容，包含本月被植入暗链的地域分布情况>请参看完整版月报，感谢支持。根据安恒信息卫兵实验室针对2023年9月的漏洞数据，利用安恒内部评级分析显示，本月新增公开漏洞中，一级、二级危险等级较高的漏洞占比39%，评级占比图如下：▲2023年9月针对全网公开漏洞的安恒漏洞评级占比图<本部分更多内容，包含本月新增漏洞类型、月漏洞新增趋势图>2.必修漏洞必修漏洞是安恒信息回声实验室通过网空测绘方式，基于漏洞对应的资产在中国的使用量，以及漏洞的危害程度，综合评估的漏洞列表。安恒信息析安实验室针对9月份的必修漏洞，已有相应策略，覆盖安恒信息产品有：远程安全评估、EDR、IDC、云鉴、远程安全评估、webscan7、AiNTA、APT、WAF、玄武盾等。我们回顾一下9月的必修漏洞：01JumpServerSession未授▲漏洞公告：安恒信息CERT监测到JumpServerSession未授权访问漏洞(CVE-2023-42442)，目前技术细节及PoC已公开。在JumpServer受影响版本中，由于/api/v1/terminal/sessions/接口没有添加权限认证，未授权的攻击者可以通过访问/api/v1/terminal/sessions/?limit=1获取Session，获取堡垒机录像文件▲官方修复方案：升级至v3.6.4，v3.5.5版本。升级后，访问api$HOST/api/v1/terminal/sessions/?limit=1，则预期的http响应代码为401（not_authenticated）。安恒信息回声实验室针对该漏洞，利用Sumap进行全球漏洞影响探测，生成如下漏洞对全球国家的影响分布图，以及对国内的影响分布图：<本部分更多内容，包含多个本月重要漏洞以及该漏洞全球资产探测图>请参看完整版月报，感谢支持。3.高关注漏洞<本部分内容，包含安恒应急响应中心发布的本月高关注漏洞情况>请参看完整版月报，感谢支持。根据安恒信息神盾局数据显示，2023年1月至9月恶意网站增长趋势如图所示，由于4月新增了数据源，使得数据激增，当前已回到正常收集范围。9月份的色情、网诈、赌博恶意网站，较8月均有小幅上涨，9月总计新增恶意网站40w。▲2023年1月至9月，每月新增恶意网站趋势<本部分更多内容，请参看完整版月报，感谢支持>9月，安恒信息研究院通过曝光的网络勒索攻击事件、网络攻击事件等，可以看出威胁主体主要以重要数据和重要设施等为目的进行攻击。9月，安恒信息研究院猎影实验室的APT事件数据显示，APT37和APT28组织最为活跃，以及多数APT组织将能源、金融、政府等视为重要的网络攻击目标。9月，安恒信息研究院猎影实验室的勒索事件数据显示，勒索软件攻击涉及医疗卫生、政府、军事、能源、水务等行业，其中以针对医疗卫生的勒索事件比例最高。9月，安恒信息研究院零壹实验室的暗链数据分析显示，累计34604个网站遭到暗链植入，较8月份数据量涨幅47