台湾公司 QNAP 本周已要求客户在其网络附加存储 (NAS) 设备上禁用 AFP 文件服务协议，直到它修复多个关键的 Netatalk 漏洞。

Netatalk 是 AFP（Apple Filing Protocol 的缩写）的开源实现，它使 *NIX/*BSD 系统能够充当 macOS 客户端的 AppleShare 文件服务器 (AFP)。

在 QNAP NAS 设备上，AFP 允许 macOS 系统访问 NAS 上的数据。根据 QNAP 的说法，它仍在使用，因为它“支持许多其他协议不支持的独特 macOS 属性”。

NCC Group 的 EDG 团队 成员利用其中一个安全漏洞（被跟踪为 CVE-2022-23121， 严重性评分为 9.8/10），在 Pwn2Own 2021 黑客竞赛期间在运行 My云操作系统固件。

QNAP 警告其客户的其他三个漏洞也获得了 9.8/10 的严重等级（即 CVE-2022-23125、 CVE-2022-23122、 CVE-2022-0194），所有这些漏洞还允许未经身份验证的攻击者执行任意代码远程无需在未修补的设备上进行身份验证。

3 月 22 日，Netatalk 开发团队发布了 3.1.13 版本 来修复这些安全漏洞，这是在 Pwn2Own 竞赛后报告漏洞三个月后。

QNAP 表示 Netatalk 漏洞（已在 QTS 4.5.4.2012 build 20220419 及更高版本中修复）影响以下操作系统版本：

QTS 5.0.x 及更高版本
QTS 4.5.4 及更高版本
QTS 4.3.6 及更高版本
QTS 4.3.4 及更高版本
QTS 4.3.3 及更高版本
QTS 4.2.6 及更高版本
QuTS hero h5.0.x 及更高版本
QuTS hero h4.5.4 及更高版本
QuTScloud c5.0.x

QNAP：在固件被修补之前禁用 AFP
“QNAP 正在彻底调查此案。我们将发布所有受影响的 QNAP 操作系统版本的安全更新，并尽快提供进一步的信息，”NAS 制造商表示。

“要缓解这些漏洞，请禁用 AFP。我们建议用户在安全更新可用时立即检查并安装。”

要在 QTS 或 QuTS hero NAS 设备上禁用 AFP，您必须进入控制面板 > 网络和文件服务 > Win/Mac/NFS/WebDAV > Apple 网络并选择禁用 AFP（Apple 归档协议）。

QNAP 还致力于解决 一个名为“Dirty Pipe”的 Linux 漏洞 ，该漏洞在攻击中被积极利用，该漏洞允许获得 root 权限和 可能导致拒绝服务 (DoS) 状态和远程崩溃的高严重性 OpenSSL 错误。

虽然运行 QuTScloud c5.0.x 的 NAS 设备的 Dirty Pipe 漏洞仍有待修复，但 QNAP 仅发布了针对其在一个月前警告客户的 OpenSSL DoS 漏洞的 QTS 安全更新。

一周前，客户还被告知要 缓解两个关键的 Apache HTTP Server 错误，这些错误 添加到运行 QTS、QuTS hero 和 QuTScloud 的设备需要解决的漏洞队列中。

一个名为 Black Basta 的新勒索软件团伙本月迅速开始行动，在短短几周内就入侵了至少 12 家公司。

第一次已知的 Black Basta 攻击发生在 4 月的第二周，因为该行动迅速开始攻击全球的公司。

虽然赎金要求可能因受害者而异，但ZZQIDC知道一名受害者收到了 Black Basta 帮派超过 200 万美元的要求，要求他们解密文件而不泄露数据。

关于新的勒索软件团伙的其他信息知之甚少，因为他们尚未开始营销其业务或在黑客论坛上招募附属机构。

然而，由于他们能够迅速聚集新受害者以及他们的谈判风格，这可能不是一项新的行动，而是对之前的顶级勒索软件团伙的重新命名，该团伙带来了他们的附属机构。

在加密之前窃取数据
与其他针对企业的勒索软件操作一样，Black Basta 将在加密公司设备之前窃取公司数据和文件。

然后，这些被盗数据被用于双重勒索攻击，威胁参与者要求赎金以接收解密器并阻止受害者被盗数据的发布。

这些攻击的数据勒索部分是在“Black Basta Blog”或“Basta News”Tor 网站上进行的，其中包含所有未支付赎金的受害者的列表。Black Basta 会慢慢泄露每个受害者的数据，试图迫使他们支付赎金。

Black Basta 数据泄露网站
来源：ZZQIDC
Black Basta 数据泄露网站目前包含他们所破坏的 10 家公司的数据泄露页面。但是，ZZQIDC知道数据泄露站点上当前未列出的其他受害者。

他们最近列出的受害者是 Deutsche Windtechnik，他 在 4 月 11 日遭受了网络攻击， 但没有透露这是一次勒索软件攻击。

昨天，数据泄露网站也开始 泄露美国牙科协会的数据，该协会于 4 月 22 日遭到攻击，但该页面已被删除。删除他们的页面表明该公司正在与威胁参与者进行谈判。

ZZQIDC从在线样本中对 Black Basta 勒索软件进行了简要分析。

执行时，Black Basta 加密器需要以管理权限运行，否则不会加密文件。启动后，加密器将使用以下命令删除卷影副本：

C:\Windows\system32\cmd.exe /c C:\Windows\SysNative\vssadmin.exe delete shadows /all /quiet
然后它将劫持现有的 Windows 服务并使用它来启动勒索软件加密器可执行文件。在我们的测试中，被劫持的 Windows 服务是“传真”服务，如下所示。

劫持了用于启动 Black Basta 的 Fax Windows 服务
来源：ZZQIDC
该勒索软件还将更改壁纸以显示一条消息，说明“您的网络已由 Black Basta 组加密。文件 readme.txt 中的说明。”

Black Basta 加密器添加的壁纸
来源：ZZQIDC
勒索软件现在会将计算机重新启动到带网络的安全模式，被劫持的 Windows 服务将启动并自动开始加密设备上的文件。

分析 Black Basta 加密过程的勒索软件专家 Michael Gillespie告诉ZZQIDC，它利用 ChaCha20 算法来加密文件。然后使用可执行文件中包含的公共 RSA-4096 密钥对 ChaCha20 加密密钥进行加密。

在加密文件时，勒索软件会将 .basta 扩展名附加到加密文件的名称中。因此，例如，test.jpg 将被加密并重命名为 test.jpg.basta。

Black Basta 加密文件
来源：ZZQIDC
为了显示与 .basta 扩展名关联的自定义图标，勒索软件将在 Windows 注册表中创建自定义扩展名，并将该图标与 %Temp% 文件夹中随机命名的 ICO 文件相关联。这个自定义图标与icy.tools 应用程序使用的图标非常相似。

Windows 注册表编辑器版本 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.basta]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.basta\DefaultIcon]
@="C:\\Windows\\TEMP\\fkdjsadasd.ico"

在加密设备上的每个文件夹中，勒索软件将创建一个 readme.txt 文件，其中包含有关攻击的信息以及登录其谈判聊天会话所需的链接和唯一 ID。

Black Basta Ransom Note
来源：ZZQIDC
Tor 协商站点的标题为“Chat Black Basta”，仅包括一个登录屏幕和一个可用于与威胁参与者协商的网络聊天。

威胁参与者使用此屏幕发出欢迎消息，其中包含赎金要求、如果 7 天内不付款将泄露数据的威胁，以及在支付赎金后提供安全报告的承诺。

Black Basta Tor 谈判网站
图片来源：ZZQIDC
不幸的是，Gillespie 说加密算法是安全的，没有办法免费恢复文件。

可能的品牌重塑

根据 Black Basta 聚集受害者的速度以及他们谈判的风格，这很可能是对经验丰富的行动的重塑。

安全研究员 MalwareHunterTeam 和作者之间讨论的一个理论是，Black Basta 可能是即将进行的 Conti 勒索软件操作的更名。

在乌克兰研究人员泄露私人对话宝库和勒索软件源代码后，Conti 在过去两个月中一直受到严格审查。

因此，据推测，孔蒂将重新命名他们的运营以逃避执法并以不同的名称重新开始。

虽然 Black Basta 加密器与 Conti 的加密器非常不同， 但 MalwareHunterTeam 认为它们的谈判风格和网站设计有许多相似之处。

此外，在谈判截图被泄露后，Black Basta 发布了一个全新受害者的数据。

这种“惩罚”与孔蒂为阻止谈判浪潮在推特上被泄露而引入的相同。

虽然这些联系很脆弱，但 Black Basta 团伙需要密切监视，因为他们才刚刚开始行动。

安全研究人员注意到，公开暴露在互联网上的数据库数量有所增加，到 2021 年确定了 308,000 个。季度环比增长持续，在今年头几个月达到顶峰。

威胁情报和研究公司 Group-IB 的研究人员在与 BleepingComputer 共享的一份报告中表示，在 2022 年第一季度，暴露的数据库数量达到了 91,200 个的峰值。

每个季度暴露的数据库数量 （Group-IB）
在许多情况下，在 Internet 上公开数据库是由于配置错误。黑客经常使用可从开放网络访问的搜索引擎索引系统来寻找他们，以窃取内容或进行金融勒索。

Group-IB 使用其攻击面管理解决方案扫描整个 IPv4 空间以查找与访问数据库相关的开放端口，并检查索引或表是否可用。

Group-IB 的攻击面管理产品负责人 Tim Bobak 告诉 BleepingComputer，该公司的解决方案仅限于检查数据库是否暴露，它没有任何收集或分析数据库内容的能力。

以这种方式收集的遥测数据不会显示开放数据库是否容易受到安全漏洞的影响，或者未经授权的一方是否在暴露在网络上时访问了它们。

一个日益严重的问题
Group-IB 发现的大多数暴露实例都位于美国和中国服务器上，而德国、法国和印度也有显着的百分比。

暴露的数据库实例的热图 （Group-IB）
在暴露实例中使用的数据库管理系统中，大部分是 Redis，几乎是 2022 年第一季度亚军 MongoDB 的两倍。Elastic 仅占一小部分，仍为数万，而 MySQL 记录的 Group-IB 检测到的实例最少。

威胁分析师发现了一个新的活动，该活动使用 RIG Exploit Kit 来传递 RedLine 窃取恶意软件。

漏洞利用工具包 (EK) 的流行度急剧下降，因为它们针对的是由插件软件（例如现已失效的 Flash Player 和 Microsoft Silverlight）引入的 Web 浏览器中的漏洞。

随着 Web 浏览器变得越来越安全并为其所有组件引入自动更新或用现代标准取代它们，使用 EK 分发恶意软件的情况已经下降到如今很少遇到的程度。

但是，由于仍有用户在运行没有最新安全更新的浏览器，尤其是 Internet Explorer，EK 并没有完全耗尽目标。

最近调查的依赖 RIG EK 的活动利用 了CVE-2021-26411，这是一个 Internet Explorer 漏洞，在查看特制网站时会导致内存损坏。

威胁参与者利用该漏洞破坏机器并部署 RedLine，这是一种在俄语论坛上广泛传播的廉价但功能强大的信息窃取恶意软件。

攻击者从那里窃取敏感的用户详细信息，例如加密货币钱包密钥、信用卡详细信息和存储在 Web 浏览器上的帐户凭据。

RIG Exploit 的新技巧
顾名思义，RIG EK 包含一组漏洞，通过在目标上执行所需的 shellcode 来自动化网络入侵。

自 2016 年以来，它已在众多活动中广泛使用。它的流行在 2018 年和 2019 年达到顶峰，用于部署各种恶意软件，包括 Nemty、 Sodinokibi/REvil、Buran和Eris等勒索软件。

由于结合了 JavaScript、VBScript、DoSWF 等不同技术，用于打包、混淆和执行，它曾经比其他工具包更受欢迎。

今天，RIG Exploit 已经失去了其声望地位，但一些威胁参与者仍然发现它可以用来传递恶意软件，就像去年它丢弃了 WastedLoader 恶意软件一样。
最近的活动是由 Bitdefender 的研究人员发现的，他们发现 RIG EK 包含 CVE-2021-26411 以启动感染过程，该过程以打包形式将 RedLine 窃取程序的副本走私到目标上。

在目标系统上删除有效负载 (Bitdefender)
该漏洞利用创建了一个新的命令行进程，该进程将一个 JavaScript 文件放到一个临时目录中，然后下载第二个 RC4 加密的有效负载并启动它。

RedLine 窃取程序的解包是一个六个阶段的过程，包括解压缩、密钥检索、运行时解密和组装操作。生成的 DLL 文件永远不会接触磁盘内存以逃避 AV 检测。

解压payload的第二阶段 （Bitdefender）
红线解包
一旦 RedLine 在受感染机器上形成一个模糊的 .NET 可执行文件，它就会尝试通过端口 15386 连接到 C2 服务器，在此活动中为 185.215.113.121。

通信使用加密的非 HTTP 通道，而第一个请求还涉及授权。第二个请求由一个设置列表来回答，这些设置确定将在主机上执行哪些操作。

C2 （Bitdefender）接收的设置
之后，RedLine 开始根据这些设置收集数据，目标是一组广泛的软件，如网络浏览器、VPN、FTP 客户端、Discord、Telegram、Steam 和加密货币钱包/插件。

此外，RedLine 会向 C2 发送一包系统信息，包括 Windows 用户名和序列号、已安装软件列表、正在运行的进程列表、时区、活动语言和屏幕截图。

分布多样
RedLine 分布的多样性源于这样一个事实，即它掌握在如此多的威胁参与者手中，每个参与者都有自己的方法。

Redline 之前通过YouTube 上的假Valorant 作弊、假Omicron 统计计数器应用程序、假Windows 11 升级和恶意Microsoft Excel XLL 插件分发。

虽然这些方法需要用户采取行动并针对更广泛的受众，但添加 RIG Exploit Kit 会自动执行感染过程，但会将受害者集限制为仍运行易受攻击版本的 Internet Explorer 的人。

一个以前不为人知且出于经济动机的黑客组织正在冒充俄罗斯机构进行针对东欧国家实体的网络钓鱼活动。

这些网络钓鱼电子邮件假装来自俄罗斯政府的联邦执法局，并以俄语编写，收件人是立陶宛、爱沙尼亚和俄罗斯的电信服务提供商和工业公司。

恶意电子邮件的最终目标是将DarkWatchman 恶意软件的副本放到受害者的计算机上，这是一种带有 C# 键盘记录器的轻量级、隐秘的 JavaScript RAT（远程访问工具）。

DarkWatchman 之前曾与俄罗斯威胁行为者有联系，主要针对他们本国的组织。

在 IBM 的 X-Force 团队发现的这次活动中，威胁组被识别为 Hive0117，他们似乎利用了该地区的动荡，该地区目前正面临各种恶意网络活动。

活动详情
在 X-Force 看到的许多案例中，网络钓鱼电子邮件都针对公司所有者或至少是高级员工。

发件人的地址模仿了来自俄罗斯司法部的真实地址，例如“mail@r77[.]fssprus[.]ru”，并且电子邮件正文还带有真实的标志。

电子邮件的主题通常是引人注目的东西，可以说服收件人打开附件，这是一个名为“Исполнительный лист XXXXXXX-22”或“Счет 63711-21 от 30.12.2021.zip”的 ZIP 存档。

Hive0117 (IBM)使用的网络钓鱼电子邮件示例
“电子邮件的内容具有相同的俄语文本，详细说明了与莫斯科昆采夫斯基地方法院相关的执法程序相关的几篇文章，得到了‘执行税务机关决定的跨区法警部门法警’的支持， ” IBM 在他们的报告中解释道。

附加的 ZIP 文件附件包含将 DarkWatchman 放到受感染机器上的可执行文件，以及加密的键盘记录器的副本。

在某些情况下，攻击者使用加载器文件从在线资源 (domtut[.]site|fun|online) 中获取两个经过混淆的有效负载、一个作为后门的 JavaScript 文件和一个执行键盘记录器的 PowerShell 块。

X-Force 的分析还表明，Hive0117 使用的 DarkWatchman 菌株采用域生成算法 (DGA) 来生成 C2 域，使其基础设施映射和拆除更加困难。

平行活动
IBM 的分析师认为，Hive0117 不隶属于俄罗斯 APT，也不属于国家资助的执行网络间谍和网络战行动的集群的一部分。

“虽然归因于 Hive0117 的网络钓鱼活动的目标列表与俄罗斯入侵乌克兰有区域关联，但该活动早于入侵，这表明它们与任何引发近期犯罪活动浪潮的政治关联组织是分开的，”IBM 解释说

威胁组织似乎受到经济利益的驱使，他们很可能以拥有大量用户群的实体为目标，以间接访问他们的客户群。

使用无文件恶意软件 DarkWatchman 将 Hive0117 归类为半复杂的攻击者，仍然能够对东欧的组织造成重大损害。

与 NSA 和 FBI 合作，全球网络安全机构今天发布了 2021 年威胁行为者经常利用的前 15 个漏洞的列表。

网络安全当局在联合咨询中敦促组织及时修补这些安全漏洞并实施补丁管理系统以减少其攻击面。

在全球范围内，已经观察到恶意行为者使用针对新披露的漏洞的攻击将攻击重点放在面向互联网的系统上，包括电子邮件和虚拟专用网络 (VPN) 服务器。

“美国、澳大利亚、加拿大、新西兰和英国的网络安全当局评估，在 2021 年，恶意网络行为者针对包括全球公共和私营部门组织在内的广泛目标集积极针对新披露的关键软件漏洞，”该咨询报告 中写道。

这可能是由于恶意行为者和安全研究人员在 2021 年大多数被利用最多的漏洞最初披露后的两周内发布了概念证明 (POC) 漏洞利用。

然而，攻击者将他们的一些攻击集中在几年前修补的旧漏洞上，这表明即使有补丁可用，一些组织也无法更新他们的系统。

下面列出了最常被利用的 15 个安全漏洞，其中包含指向国家漏洞数据库条目和相关恶意软件的链接。

CVE 漏洞 供应商和产品 类型
CVE-2021-44228 Log4Shell Apache Log4j 远程代码执行 (RCE)
CVE-2021-40539 Zoho ManageEngine AD SelfService Plus RCE
CVE-2021-34523 代理壳 微软交换服务器 特权提升
CVE-2021-34473 代理壳 微软交换服务器 RCE
CVE-2021-31207 代理壳 微软交换服务器 安全功能绕过
CVE-2021-27065 代理登录 微软交换服务器 RCE
CVE-2021-26858 代理登录 微软交换服务器 RCE
CVE-2021-26857 代理登录 微软交换服务器 RCE
CVE-2021-26855 代理登录 微软交换服务器 RCE
CVE-2021-26084
Atlassian Confluence 服务器和数据中心 任意代码执行
CVE-2021-21972 VMware vSphere 客户端 RCE
CVE-2020-1472 零登录 Microsoft Netlogon 远程协议 (MS-NRPC) 特权提升
CVE-2020-0688 微软交换服务器 RCE
CVE-2019-11510 脉冲安全 脉冲连接安全 任意文件读取
CVE-2018-13379 Fortinet FortiOS 和 FortiProxy 路径遍历
缓解和其他利用信息
美国、澳大利亚、加拿大、新西兰和英国网络安全机构还发现并披露了 2021 年恶意网络攻击者通常利用的另外 21 个安全漏洞，包括影响 Accellion 文件传输设备 (FTA)、Windows Print Spooler 和 Pulse Secure 的安全漏洞脉冲连接安全。

联合咨询包括 缓解措施 ，这些措施应有助于降低与上述最严重的滥用缺陷相关的风险。

CISA 和 FBI 还 与澳大利亚网络安全中心 (ACSC) 和英国国家网络安全中心 (NCSC) 合作，发布了 2016 年至 2019 年间 最常被利用的 10 个安全漏洞列表以及2020 年经常被利用的漏洞列表）。

2021 年 11 月，MITRE 还分享了 2021 年 困扰硬件的最危险的编程、设计和架构安全漏洞列表，以及 前两年困扰软件的 25 个最常见和最危险的弱点。

CISA 主任 Jen Easterly说： “我们知道恶意网络攻击者会回归正常工作，这意味着他们会针对这些相同的关键软件漏洞，并将继续这样做，直到公司和组织解决这些漏洞。”

“CISA 和我们的合作伙伴正在发布此公告，以强调最常被利用的漏洞对公共和私营部门网络构成的风险。

“我们敦促所有组织评估其漏洞管理实践，并采取行动降低已知利用漏洞的风险。”

交付时间12-24小时左右，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间12-24小时左右，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间1-12个工作日，因畅销产品，可能存在库存不足情况，订购前请咨询
每台服务器每 30 天提供 2 次免费重新安装，超出安装将收取每台服务器 100元费用

交付时间1-3个工作日，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间1-3个工作日，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间48个小时内（具体取决于机房）因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间12-48个小时内（具体取决于机房）因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间5-24小时左右，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间5-24小时左右，因畅销产品，可能存在库存不足情况，订购前请咨询

服务器激活：1-8小时，因畅销产品，可能存在库存不足情况，订购前请咨询

升级：内存/硬盘RAID/IP/带宽/可联系客服人员定制
服务器激活：10-24小时，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间3个工作日，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间10-24小时，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间12-48小时，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间10-24小时，因畅销产品，可能存在库存不足情况，订购前请咨询

交付时间10-24小时，因畅销产品，可能存在库存不足情况，订购前请咨询