安全周报（04.06-04.12）

安联智库WTX 2020-04-13 10:29:10

1

“世界最安全的在线备份”提供商遭数据泄露

两天前，一家号称“世界最安全的在线备份”云备份服务提供商SOS Online Backup（以下简称SOS）的客户数据遭泄露。总部设在加利福利亚的SOS在全球各大洲都建有数据中心，名符其实的行业巨头。据研究团队vpnMentor的发现，由于ES数据库配置错误，SOS大约暴露了1.35亿的客户信息记录在网上，其中有70GB是相关客户账户元数据信息，包括架构、参数、描述和管理元数据，覆盖SOS云服务的方方面面。

最令人担忧的到不是数据泄露，而是SOS的官方态度。研究人员早在2019年12月10日和17日先后两次将数据库泄露问题通知SOS，但即没有得到回复也没有采取保护数据库的措施。直到19日，SOS在即没有回复也没有承认泄露的情况上，悄然采取了保护措施。

2

意大利电子邮件服务商被黑 60万用户数据在暗网出售

ZDNet从一位读者提供的消息当中得知，目前有超过60万Email.it用户的数据正在暗网上被出售。这家意大利的电子邮件服务提供商周一向ZDNet表示：“不幸的是，我们必须确认，我们遭遇了黑客的攻击。"

Email.it黑客攻击在周日曝光，当时黑客们在Twitter上宣传了一个暗网网站，在该网站上出售公司的数据。黑客声称实际入侵发生在两年多前，即2018年1月，黑客入侵了Email.it数据中心，从服务器上拿走了任何可能的敏感数据，并选择给这家意大利的电子邮件服务提供商一个机会修补漏洞，同时要求们给黑客一点赏金，但是这家意大利的电子邮件服务提供商拒绝与黑客谈判，并继续欺骗它的用户。

黑客声称，这些数据库包含了2007年至2020年期间注册并使用该服务60多万用户的明文密码、安全问题、电子邮件内容和电子邮件附件。

640 (1).png

3

每日优鲜/学霸君/平安好医生等20余款APP存在隐私不合规问题被通报

国家计算机病毒应急处理中心近期在净网 2020专项行动中监测发现，20余款外卖和医疗等应用存在隐私不合规。这些应用所涉问题主要是未向用户明示申请的全部权限、未说明收集使用个人信息规则以及为提供删除注销功能。

未向用户明示申请的全部隐私权限：

监测发现部分应用未按照相关监管机构要求向用户明示申请的全部隐私权限，可能会未经用户同意收集相关信息。

涉事的应用包括：T11 生鲜超市、朴朴快送、美菜商城、蜂鸟跑腿、永辉超市、大润发优鲜、瑞幸咖啡、1 药网、叮叮课堂、学霸君、人人讲、直播云、课后网、叮当快药、药师帮、健康云、平安好医生、美岁直播、春雨医生。

最后还有智慧好医院和洪恩识字，可以看到生鲜快送、医疗健康、教育类等疫情期间使用量较大的应用违规较多。

640 (2).png

4

300元/小时接单DDOS攻击网游公司，大学生黑客被判刑

2020年4月10日，台州首例黑客破坏网游公司计算机信息系统案判决生效，被告人骆某(贵州开阳人，27岁)因构成破坏计算机信息系统罪被判处有期徒刑1年10个月;而充当“网络打手”的凌某(广西防城港人，24岁)也以该罪被判处有期徒刑1年3个月。

2019年2月14日，黄岩警方接黄岩某科技有限公司报案称：公司的网页服务器、游戏服务器等20余台服务器无缘无故遭到不明DDOS攻击，造成该公司20台服务器不能正常访问，这些攻击让用户无法登陆，造成大量用户流失，给公司产生了巨额损失。

黄岩公安分局接警后抽调网安、派出所等民警组成专案组进行专案侦查，经过1个多月的艰苦侦查，专案组民警先后到江苏、云南、河南、福建、广西、广东等国内多地调查取证，至3月25日相继抓获犯罪嫌疑人骆某、凌某等4人，打掉了一个以骆某、凌某为首的DDOS黑客攻击团伙。

640 (3).png

5

DarkHotel 利用深信服 VPN 漏洞入侵政府机构

奇虎 360 安全博客披露，政府支持的黑客组织 DarkHotel 利用深信服 SSL VPN 服务器 0day 漏洞入侵了中国政府机构。有 200 多台深信服服务器遭到入侵，一百多台位于政府机构的网络内。攻击者入侵服务器之后，劫持了用户的更新程序，用嵌入后面的版本替换了合法版本。后门版本的 SangforUD.exe 使用了伪装成深信服的签名。位于意大利、英国、巴基斯坦、吉尔吉斯斯坦、印尼、泰国、阿联酋、亚美尼亚、朝鲜等地的中国海外机构遭到攻击。四月初，攻击扩大到了北京和上海的政府机构。

勒索病毒

1

WannaRen勒索病毒溯源新进展或通过下载站大量传播

4月8日，火绒证实网传WannaRen勒索病毒疑似样本实际为病毒解密工具，并对真实的病毒样本展开溯源分析，随即捕获到其传播脚本（目前已被作者删除）。随后，通过进一步溯源，我们发现国内西西软件园（www.cr173.com）中一款被恶意篡改的开源代码编辑器所携带的病毒传播脚本，与该勒索病毒的传播脚本具有同源性，因此不排除下载站曾作为WannaRen勒索病毒的传播的渠道之一。

分析发现，火绒捕获到的勒索病毒会在本地同时执行下载挖矿病毒和勒索病毒两个命令，还可以通过“永恒之蓝”漏洞进行横向传播，并与大多数勒索病毒一样使用了非对称的加密方式，因此暂时无法对其进行解密。

而西西下载站内软件所携带的病毒传播脚本目前虽然只传播挖矿病毒，但不排除未来传播勒索病毒的可能性。令人担忧的是，通过搜索发现，该下载站的开源代码编辑器在同类软件中人气排名第一（如下图），或已致使不少用户受到影响。

640 (4).png