安全周报（04.20-04.26）

安联智库WTX 2020-04-26 15:54:41

1

运维工程师违规操作致医院系统瘫痪，判破坏计算机信息系统罪五年半

2017年10月31日20时许，夏某某参与并直接操作了郑大一附院“HIS数据库”的账号密码修改仪式，夏某某在未经授权或许可的情况下，私自记录了该账号密码，私自编写了“数据库性能观测程序”和锁表语句，并利用私自记录的账号密码将该程序私自连接郑大一附院“HIS数据库”，导致该锁表语句在“HIS数据库”运行，造成郑大一附院郑东院区、惠济院区、医学院院区所有门诊、临床计算机业务受到恶意语句攻击，门急诊挂号、门急诊叫号、门急诊支付、门急诊药房、门急诊检查、门急诊检验等业务系统均无法正常操作，所有门诊相关业务停止服务，造成该医院三个院区门诊业务停滞近两个小时，造成大量患者积压在门诊无法就诊，严重影响医院的正常医疗工作。

夏某某作为专业技术人员，应明知其违规操作可能造成被害单位计算机系统不能正常运行，而放任该结果的发生，属于间接故意，应对危害后果承担法律责任，判处有期徒刑五年零六个月。

%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8%E9%94%81%E8%B1%A1%E4%BF%A1%E6%81%AF%E4%BF%9D%E5%AF%86%E6%80%A7%E6%95%B0%E6%8D%AE%E4%BF%9D%E6%8A%A4%E4%BA%92%E8%81%94%E7%BD%91%E5%92%8C%E6%8A%80%E6%9C%AF%E6%A6%82%E5%BF%B5-127452164.jpg

2

通达OA前台任意用户伪造登录漏洞

2020年04月17日, 通达OA官方在更新了一个v11版本安全补丁, 其中修复了一个任意用户伪造登录漏洞。未经授权的远程攻击者可以通过精心构造的请求包进行任意用户伪造登录。

通达OA是通达信科打造的协同办公平台，涵盖了工作流程、电子邮件、即时通讯、公告通知、新闻、日程安排、工作日志、知识管理，等近300个功能模块，国内用户众多。根据目前FOFA系统最新数据（一年内数据），显示全球范围内共有19582个通达OA服务对外开放。中国大陆使用数量最多，共有19376个，中国香港特别行政区第二，共有64个，美国第三，共有64个，印度尼西亚第四，共有17个，南非第五，共有9个。

3

纽约支付初创公司不安全的数据库暴露数百万张信用卡信息

据外媒TechCrunch报道，一个存储着数百万张信用卡交易信息的庞大数据库，在公开暴露在互联网上近三周后，已经被保护起来。该数据库属于Paay公司，这是一家位于纽约的信用卡支付处理商。与其他支付处理商一样，该公司代表销售商户（如网店和其他企业）验证支付，以防止欺诈性交易。

但由于服务器上没有密码，任何人都可以访问里面的数据。

安全研究人员Anurag Sen发现了这个数据库。他告诉TechCrunch，他估计数据库中大约有250万条银行卡交易记录。在TechCrunch代表他联系了该公司后，数据库被下线。"4月3日，我们在一个服务上调出了一个新的实例，目前我们正在废止这个服务。"Paay联合创始人Yitz Mendlowitz说。"发生了一个错误，导致该数据库在没有密码的情况下被曝光。"

这是今年以来第三家承认安全漏洞的支付处理商。今年1月，Sen发现另一家支付处理商的数据库遭曝光，其中存储着670万条记录。本月早些时候，另一名研究人员发现两家支付法院罚款和水电费的支付网站也留下了几个月的缓存数据暴露。

微信图片_20200426155614.jpg

4

iOS出现致命漏洞？苹果中国不予置评

4月23日消息，苹果的iOS系统被扒出一个致命安全漏洞。该漏洞会影响iPhone/iPad邮箱应用、iOS 6及以上所有版本系统。对此，有相关的媒体向苹果中国求证，得到的回答却是：不予置评！

有证据表明至少有6次安全入侵利用了此漏洞，甚至可能已被黑客暗中利用了8年之久，5亿多用户正面临风险，这对于一向以安全著称的苹果公司，还是极为少见的。

据悉，本次曝光的漏洞是一家名为ZecOps的移动网络安全公司发现的，黑客可以利用它发送看起来没有任何内容的邮件，导致iPhone、iPad的邮箱应用闪退并重启，而黑客能够借机获得用户设备上的敏感信息。

至于苹果公司，目前已经承认了这一漏洞的存在，并表示最新的iOS 13.4.5测试版中已经修复，正式版会在未来几周内公开发布。

虽然目前尚且没有人能够完成ZecOps所揭露的漏洞，但苹果公司这次迅速的反应还是比较让人觉得安心的，等到iOS 13.4.5正式版的发布上市，相信一切都会迎刃而解。

5

APT32入侵我国长达三月，试图窃取COVID-19相关情报

APT32相信大家都不陌生（海莲花），APT32都以东南亚为攻击目标，并且是近几年来针对中国大陆进行攻击活动最活跃的APT攻击组织，没有之一。此次再将目标对准中国，与新冠疫情离不开关系。

4月22日，Fireye发布报告称：至少从2020年1月至2020年4月，越南黑客组织APT32（OceanLotusGroup）针对我国开展持续入侵活动，试图收集COVID-19相关情报。达到窃取我国，疫情期间解决方案和相关数据的目的。

此次攻击手法大概由两部分组成：

一.具有跟踪链接的网络钓鱼电子邮件以中国政府为目标，实施批量发送钓鱼邮件

第一个已知实例是在2020年1月6日，当时APT32使用发件人地址lijianxiang1870 @ 163 .com和主题发送了带有嵌入式跟踪链接的电子邮件给中国紧急管理部。一期办公设备招标结果报告（翻译：办公设备招标第一季度结果报告）。嵌入式链接包含受害者的电子邮件地址和代码，以便在打开电子邮件时向参与者报告。

二.METALJACK加载程序krpt.dll

当METALJACK加载程序krpt.dll加载时，可能会调用导出“ _force_link_krpt”。加载程序执行其嵌入式资源之一，一个COVID为主题的RTF文件，向受害者显示内容并将文档保存到％TEMP％。这是以COVID为主题的诱饵文件

微信图片_20200426155650.png