厨具巨头员工数据在攻击中遭泄露、伊朗国家广播被恶意软件攻击｜2月22日全球网络安全热点

安全资讯报告

勒索软件攻击后，Expeditors关闭了全球业务

总部位于西雅图的物流和货运代理公司Expeditors International在周末遭到网络攻击，迫使该组织关闭其全球大部分业务。

该公司没有提及网络攻击的类型，但从其描述和给BleepingComputer的匿名提示来看，这看起来像是一起大规模的勒索软件事件。

在随后的新闻稿中，该公司重申，网络攻击迫使其在全球范围内关闭了大部分系统，以维护“整个全球系统环境的安全”。影响是巨大的，因为Expeditors的运营受到限制，其中包括货运、海关和配送活动，这可能导致其客户的货运停滞不前。

该公司指出，系统将继续处于离线状态，直到它们可以从备份中安全地恢复。同时，该公司正在与其运营商和服务提供商一起寻找解决方案，以尽量减少对客户的影响。但是，没有估计何时恢复运营。

新闻来源：

https://www.bleepingcomputer.com/news/security/expeditors-shuts-down-global-operations-after-likely-ransomware-attack/

盗版软件站点传播CryptBot恶意软件

一个新版本的CryptBot信息窃取程序通过多个网站分发，这些网站提供免费下载游戏和专业级软件的破解。

安全分析师报告称，威胁参与者不断刷新他们的C2、dropper站点和恶意软件本身，因此CryptBot是目前变化最大的恶意操作之一。

根据报告，CryptBot威胁参与者通过假装提供软件破解、密钥生成器或其他实用程序的网站分发恶意软件。为了获得广泛的知名度，威胁参与者利用搜索引擎优化将恶意软件分发站点排名在谷歌搜索结果的顶部，从而提供稳定的潜在受害者流。

根据共享的恶意软件分发站点的屏幕截图，威胁参与者使用自定义域或托管在Amazon AWS上的网站。恶意网站不断更新，因此有各种各样的不断变化的诱饵将用户吸引到恶意软件分发站点。这些网站的访问者在到达交付页面之前会经过一系列重定向，因此登录页面可能位于被滥用于SEO中毒攻击的受损合法网站上。

CryptBot的新样本表明，其作者希望简化其功能并使恶意软件更轻、更精简，并且不太可能被检测到。在这种情况下，反沙盒例程已被删除，仅在最新版本中保留了反虚拟机CPU内核计数检查。此外，冗余的第二个C2连接和第二个外泄文件夹均已删除，新变体仅具有单个信息窃取C2。

新闻来源：

https://www.bleepingcomputer.com/news/security/revamped-cryptbot-malware-spread-by-pirated-software-sites/

厨具巨头Meyer披露网络攻击泄露了员工数据

美国最大的炊具分销商、全球第二大炊具分销商Meyer Corporation已向美国司法部长办公室通报了影响其数千名员工的数据泄露事件。

根据与美国缅因州和加利福尼亚州总检察长办公室共享的通知信，迈耶于2021年10月25日成为网络攻击的受害者。

Meyer的公告没有提供有关导致披露数据泄露的网络攻击的详细信息，在Conti勒索网站上发现了一个可追溯到2021年11月7日的相关列表。Conti门户网站上的Meyer条目提供了一个ZIP文件，其中包含据称在网络攻击期间被勒索软件团伙窃取的2%的数据。

新闻来源：

https://www.bleepingcomputer.com/news/security/cookware-giant-meyer-discloses-cyberattack-that-impacted-employees/

新的Xenomorph Android恶意软件针对56家银行客户

通过Google Play商店分发的一种名为Xenomorph的新恶意软件已经感染了超过50,000台Android设备以窃取银行信息。

Xenomorph恶意软件通过通用性能提升应用程序（例如“FastCleaner”）进入GooglePlay商店，该应用程序的安装量为50,000。

此类实用程序是银行木马（包括Alien）使用的经典诱饵，因为人们总是对承诺提高Android设备性能的工具感兴趣。

Xenomorph的功能目前还没有完全成熟，因为木马正在大力开发中。但是，它仍然是一个重大威胁，因为它可以实现其信息窃取目的，并且针对不少于56家不同的欧洲银行。

该恶意软件可以拦截通知、记录SMS并使用注入来执行覆盖攻击，因此它已经可以窃取用于保护银行账户的凭据和一次性密码。代码中存在但尚未实现的命令示例是指键盘记录功能和行为数据收集。

新闻来源：

https://www.bleepingcomputer.com/news/security/new-xenomorph-android-malware-targets-customers-of-56-banks/

伊朗国家广播公司IRIB被破坏性Wiper恶意软件攻击

对2022年1月下旬针对伊朗国家媒体公司共和国广播公司(IRIB)的网络攻击部署了擦除数据的恶意软件和其他植入程序，该国的国家基础设施继续面临一波针对性攻击。

在黑客攻击过程中还部署了定制的恶意软件，能够截取受害者的屏幕截图，以及用于安装和配置恶意可执行文件的后门、批处理脚本和配置文件。

Check Point表示，它没有足够的证据来正式归因于特定的威胁行为者，目前尚不清楚攻击者是如何获得对目标网络的初始访问权限的。迄今为止发现的攻击活动包括：

• 建立后门及其持久性，

• 启动“恶意”视频和音频文件，以及

• 安装wiper恶意软件以试图破坏被黑网络数据，擦除器的主要目的是破坏存储在计算机中的文件，包括擦除主引导记录(MBR)、清除Windows事件日志、删除备份、终止进程和更改用户的密码。

• 在幕后，攻击涉及使用批处理脚本中断视频流，以删除与IRIB使用的广播软件TFIAristaPlayoutServer相关的可执行文件，并循环播放视频文件（“TSE_90E11.mp4”）。

攻击者利用了四个后门：WinScreeny、HttpCallbackService、HttpService和ServerLaunch，这是一个使用HttpService启动的dropper。综合起来，不同的恶意软件使攻击者能够捕获屏幕截图、从远程服务器接收命令并执行其他恶意活动。

新闻来源：

https://thehackernews.com/2022/02/iranian-state-broadcaster-irib-hits-by_21.html