安天长期基于流量侧数据跟踪分析网络攻击活动，识别和捕获恶意网络行为，研发相应的检测机制与方法，积累沉淀形成了安天自主创新的网络行为检测引擎。安天定期发布最近的网络行为检测能力升级通告，帮助客户洞察流量侧的网络安全威胁与近期恶意行为趋势，协助客户及时调整安全应对策略，赋能客户提升网络安全整体水平。

1. 网络流量威胁趋势

近期恶意软件攻击较为活跃，研究人员发现了恶意软件RUSTBUCKET的新变种。RUSTBUCKET是一种针对macOS系统的恶意软件家族，该新变种增加了曾经未观察到的持久化功能，这反映了该恶意软件仍处于开发阶段，并且该变种在VirusTotal平台中未被任何引擎检测到。RUSTBUCKET新变种通过在“/Users/< user>/Library/LaunchAgents/com.apple.systemupdate.plist”路径中添加一个plist文件来建立持久性，并将恶意软件复制到“/Users/< user>/Library/Metadata/System Update”路径中。

同时，研究人员还发现攻击者会利用DNS TXT记录传播恶意软件。DNS TXT记录是一种功能，允许域管理员将文本输入到DNS中，最初被用于记录人类可读的注释，现在则用于显示保存在DNS中的各类信息，例如垃圾邮件防护、域所有权验证等。在近期的一封网络钓鱼邮件中，研究人员发现其附件中的PPAM文件中存在一段宏代码，执行一个PowerShell命令以运行nslookup工具查询DNS TXT记录。攻击者在其DNS TXT命令中上传了各种命令，当DNS TXT记录被查询时这些命令将得到执行，从而达到传播恶意软件的目的。

本期活跃的安全漏洞信息

1Apache Any23 拒绝服务漏洞(CVE-2023-34150)

2Linux Kernel 条件竞争漏洞(CVE-2023-1295)

3GitLab拒绝服务漏洞(CVE-2023-2232)

4Google Chrome V8类型混淆漏洞(CVE-2023-3420)

5Apache Airflow Hive Provider 命令注入漏洞(CVE-2023-35797)

值得关注的安全事件

1安天发布《警惕因BlackCat勒索软件造成的数据泄露》报告）

近期，安天CERT发现多起因BlackCat勒索软件攻击造成的数据泄露事件，该勒索软件又名ALPHV或Noberus，被发现于2021年11月，其背后的攻击组织采用“窃取数据+加密文件”双重勒索策略，在此基础上增加骚扰或DDoS攻击威胁，从而构成多重威胁。BlackCat勒索软件与REvil、DarkSide和BlackMatter勒索软件存在一定关联，是第一个使用Rust编程语言开发跨平台攻击载荷的勒索软件，其载荷支持在Windows、Linux和VMware ESXi系统上运行。加密载荷需通过特定Access Token参数执行，未获得Access Token参数则无法执行载荷文件，目的是阻碍安全研究人员和沙箱工具对载荷进行分析。

2攻击者利用GuLoader传播Remcos远控木马

近期，研究人员发现一起利用GuLoader传播Remcos远控木马的网络钓鱼攻击活动。攻击者向目标发送钓鱼邮件，在附件中给出一个看似加密的PDF文件，并在邮件正文中提供PIN码。PDF文件显示该文件需要解密后才能够进行查看，攻击者以此引诱目标用户点击该PDF中的图标，从而跳转至图标中包含的链接。该链接指向的网站要求用户输入PIN码，并提供下一阶段的VBS脚本。该脚本经过混淆处理，执行后从github.io域中获取GuLoader，并最终执行Remcos远控木马。

2. 安天网络行为检测能力概述

安天网络行为检测引擎收录了近期流行的网络攻击行为特征。本期新增网络攻击行为特征涉及代码执行、命令注入等高风险，涉及未授权访问、任意文件读取、目录遍历等中风险，涉及探测行为、信息收集等低风险。

3. 更新列表

本期安天网络行为检测引擎规则库部分更新列表如下：

安天网络行为检测引擎最新规则库版本为Antiy_AVLX_2023070519，建议及时更新安天探海威胁检测系统-网络行为检测引擎规则库（请确认探海系统版本为：6.6.1.2 SP1及以上，旧版本建议先升级至最新版本），安天售后服务热线：400-840-9234。

安天探海网络检测实验室简介

安天探海网络检测实验室是安天科技集团旗下的网络安全研究团队，致力于发现网络流量中隐藏的各种网络安全威胁，从多维度分析网络安全威胁的原始流量数据形态，研究各种新型攻击的流量基因，提供包含漏洞利用、异常行为、应用识别、恶意代码活动等检测能力，为网络安全产品赋能，研判网络安全形势并给出专业解读。