安天长期基于流量侧数据跟踪分析网络攻击活动，识别和捕获恶意网络行为，研发相应的检测机制与方法，积累沉淀形成了安天自主创新的网络行为检测引擎。安天定期发布最近的网络行为检测能力升级通告，帮助客户洞察流量侧的网络安全威胁与近期恶意行为趋势，协助客户及时调整安全应对策略，赋能客户提升网络安全整体水平。

1. 网络流量威胁趋势

近期勒索软件攻击较为活跃，其中LockBit 2.0勒索软件需要重点关注。LockBit 2.0采用了更加隐蔽的攻击手段和更高的赎金要求，给企业和个人用户带来了极大的安全威胁。该软件利用Windows操作系统中的漏洞进行攻击，并使用加密算法对受害者的数据进行加密，使其无法访问。此外，LockBit 2.0还支持多种攻击方式，包括网络钓鱼、恶意邮件等，使得其攻击范围更加广泛。目前，LockBit 2.0已经在全球范围内造成了严重的数据泄露事件，给企业和个人用户带来了巨大的经济损失和信誉损害。因此，用户必须保持警惕并采取稳健的安全措施来防范潜在的Lockbit勒索软件攻击。

本期活跃的安全漏洞信息

1Apache Cassandra 权限提升漏洞(CVE-2023-30601)

2Apache RocketMQ远程代码执行漏洞(CVE-2023-33246)

3Google Chrome V8 类型混淆漏洞(CVE-2023-2936)

4GitLab CE/EE 存储型XSS漏洞(CVE-2023-2442))

5WordPress WPB Advanced FAQ Plugin跨站脚本漏洞(CVE-2023-0370)

值得关注的安全事件

1安天发布通过视频网站传播的RecordBreaker窃密木马分析报告

近期，安天CERT监测到通过视频网站进行传播的攻击活动。攻击者窃取订阅者数量超过10万的视频创作者账号，发布与破解版热门软件相关的演示视频，诱导受害者下载RecordBreaker窃密木马。RecordBreaker窃密木马是Raccoon窃密木马的2.0版本，该窃密木马从C2服务器接收配置信息，根据配置信息中的内容窃取相应的敏感信息，并根据其中的URL下载载荷文件，最终投递Laplas Clipper木马和一个挖矿木马。在本次攻击活动中，攻击者专门窃取具备认证且订阅人数达到10万以上的视频创作者账号，发布经过剪辑的演示视频，试图以这种方式快速扩大传播范围并提高攻击成功率。

2VMware产品存在严重漏洞，可被远程执行代码

VMware Aria Operations for Networks(原名vRealize Network Insight)存在一个严重的漏洞(CVE-2023-20887)，可被未经身份验证的攻击者利用，远程执行任意代码。VMware Aria Operations for Networks是一个网络和应用监控工具，可以监控、发现和分析多云环境中的网络和应用，构建一个优化、高可用和安全的网络基础设施。该漏洞是由于该产品在处理用户输入时缺乏适当的验证，导致攻击者可以通过发送特制的请求，触发命令注入漏洞，从而在目标系统上执行任意代码。该漏洞影响了VMware Aria Operations for Networks 6.0.x、6.1.x、6.2.x、6.3.x和6.4.x版本1。VMware已经发布了安全公告，并提供了相应的补丁和临时解决方案。VMware建议受影响的用户尽快更新到最新版本或采取必要的措施，防止该漏洞被恶意利用。

2. 安天网络行为检测能力概述

安天网络行为检测引擎收录了近期流行的网络攻击行为特征。本期新增网络攻击行为特征涉及命令注入、代码执行等高风险，涉及信息泄露、木马、未授权访问等中风险，涉及目录穿越、敏感目录访问等低风险。

3. 更新列表

本期安天网络行为检测引擎规则库部分更新列表如下：

安天网络行为检测引擎最新规则库版本为Antiy_AVLX_2023060719，建议及时更新安天探海威胁检测系统-网络行为检测引擎规则库（请确认探海系统版本为：6.6.1.2 SP1及以上，旧版本建议先升级至最新版本），安天售后服务热线：400-840-9234。

安天探海网络检测实验室简介

安天探海网络检测实验室是安天科技集团旗下的网络安全研究团队，致力于发现网络流量中隐藏的各种网络安全威胁，从多维度分析网络安全威胁的原始流量数据形态，研究各种新型攻击的流量基因，提供包含漏洞利用、异常行为、应用识别、恶意代码活动等检测能力，为网络安全产品赋能，研判网络安全形势并给出专业解读。