研究人员说，我们发现了一个正在秘密进行的监视行动，其目标是使用一个以前从未见过的恶意软件来攻击一个东南亚国家的政府。
据Check Point研究公司称，该攻击通过发送附加了恶意的Word文档的鱼叉式钓鱼邮件，来获得系统的初始访问权限，同时也会利用已知的微软Office安全漏洞。研究人员说，最值得注意的是，我们发现了一个新的后门文件，这个APT组织三年来一直在开发这个后门。
根据Check Point的分析，这些文件发给了一个东南亚政府的不同雇员的邮箱中。在某些情况下，这些电子邮件含有欺诈信息，看起来像是来自其他政府的相关文件。这些电子邮件的附件看起来像是合法的官方文件，但是实际上是一个后门文件，并会使用远程模板技术从攻击者的 服务器 上获得要执行的代码。
据分析，这些恶意文件会从不同的URL下载同一个模板，这些模板是嵌入了RoyalRoad weaponizer的.RTF文件，也被称为8.t Dropper/RTF exploit builder。研究人员说，RoyalRoad是几个APT的武器库的一部分，如Tick、Tonto Team和TA428;它生成的武器化RTF文件实际上是利用了微软方程编辑器的漏洞(CVE-2017-11882、CVE-2018-0798和CVE-2018-0802)。
根据分析，RoyalRoad生成的RTF文件包含一个加密的有效载荷和shellcode。
研究人员说:”为了从软件包中解密有效载荷，攻击者使用密钥为123456的RC4算法，生成的DLL文件被保存为%Temp%文件夹中的5.t文件，shellcode还负责会话的持久性机制，它创建了一个名为WINDOWS Update的计划任务，每天用rundll32.exe运行从5.t文件导出的函数StartW”
.DLL文件会收集受害者计算机上的数据，包括操作系统名称和版本、用户名、网络适配器的MAC地址和防病毒软件信息。所有的数据都会被加密，然后通过GET HTTP请求方式发送到攻击者的命令和控制服务器上(C2)。之后，后门模块会通过一个多级的攻击链成功安装，它被称为 “Victory”。Check Point称，它似乎是一个定制的而且非常独特的恶意软件。
Victory 后门
该恶意软件的目的是为了窃取信息并为受害者提供持续的访问。Check Point研究人员说，它可以进行屏幕截图，操纵文件(包括创建、删除、重命名和读取文件)，收集打开的顶级窗口的信息，并且可以关闭计算机。
有趣的是，该恶意软件似乎与以前开发的工具有关。
根据分析：”我们在搜索在野的类似的后门文件时，我们发现了一组在2018年提交给VirusTotal的文件，这些文件被作者命名为MClient，根据其PDB路径，这似乎是一个内部被称为ShaRPM的项目的一部分。编译时间戳也显示是在2017年7月和2018年6月之间，在检查这些文件时，发现它们是我们VictoryDll后门及其加载器的旧版的测试版本。”
该公司表示，主要后门功能的实现方式是相同的;而且，连接方法也具有相同的特点。另外，MClient的连接XOR密钥和VictoryDll的初始XOR密钥也是一样的。
然而，据Check Point称，两者在架构、功能和命名规则方面存在明显的差异。例如，MClient有一个键盘记录器，而Victory则没有这个功能。而且，Victory的导出函数被命名为MainThread，而在MClient变体的所有版本中，导出函数被命名为GetCPUID。
研究人员说：”总的来说，我们可以看到，在这三年中，MClient和AutoStartup_DLL的大部分功能都被保留了下来，并将其分割成了多个组件，这样可能是为了使逆向分析更加复杂，降低恶意文件在每个阶段中被检测到的概率”
归属问题
Check Point将该攻击活动归结为国内的一个APT。其中的一个线索是，第一攻击阶段的C2服务器是由位于香港和马来西亚的两个不同的云服务托管的。这些服务器只会在每天特定的时间内活跃，只在周一至周五的01:00 – 08:00 UTC返回带有有效载荷的流量，这与中国的工作日是相吻合的。此外，Check Point还表示，这些服务器在5月1日至5日期间处于休眠状态，这正是中国的劳动节假期期间。
此外，RoyalRoad RTF漏洞构建工具包是国内APT组织的首选工具;一些测试版本的后门中包含与www.baidu.com(一个受欢迎的中国网站)的网络连接检查。
Check Point总结说：”我们公布的似乎是一个长期运行在国内的攻击活动，该行动在三年多的时间里一直没有被发现。在这次活动中，攻击者利用了一套具有反分析和反调试技术的微软Office漏洞加载器来安装一个以前从未见过的后门。”
互帮轮椅399元
呵呵！你太聪明了！不可以批发！不过这个价位真的没有啊！这家医疗器械太偶牛了！
SATA接口和SCSI硬盘接口有什么区别和不同的地方？
SCSISCSI的英文全称为“Small Computer System Interface”（小型计算机系统接口），是同IDE（ATA）完全不同的接口，IDE接口是普通PC的标准接口，而SCSI并不是专门为硬盘设计的接口，是一种广泛应用于小型机上的高速数据传输技术。 SCSI接口具有应用范围广、多任务、带宽大、CPU占用率低，以及热插拔等优点，但较高的价格使得它很难如IDE硬盘般普及，因此SCSI硬盘主要应用于中、高端服务器和高档工作站中。 SATA使用SATA（Serial ATA）口的硬盘又叫串口硬盘，是未来PC机硬盘的趋势。 2001年，由Intel、APT、Dell、IBM、希捷、迈拓这几大厂商组成的Serial ATA委员会正式确立了Serial ATA 1.0规范，2002年，虽然串行ATA的相关设备还未正式上市，但Serial ATA委员会已抢先确立了Serial ATA 2.0规范。 Serial ATA采用串行连接方式，串行ATA总线使用嵌入式时钟信号，具备了更强的纠错能力，与以往相比其最大的区别在于能对传输指令（不仅仅是数据）进行检查，如果发现错误会自动矫正，这在很大程度上提高了数据传输的可靠性。 串行接口还具有结构简单、支持热插拔的优点。
在高中学习中，怎样把每门科目学扎实？
制订学习计划1、全面分析，正确认识自己。 准确找出自己的长处和短处，以便明确自己学习的特点、发展的方向，发现自己在学习中可以发挥的最佳才能。 2、结合实际，确定目标。 订计划时，不要脱离学习的实际，目标不能定得太高或过低，要依据：(1)知识、能力的实际；(2)“缺欠”的实际；(3)时间的实际；(4)教学进度的实际，确定目标，以通过自己的努力能达到为宜。 3、长计划，短安排。 要在时间上确定学习的远期目标、中期目标和近期目标。 在内容上确定各门功课和各项学习活动的具体目标。 学习目标可分为：(1)掌握知识目标；(2)培养能力目标；(3)掌握方法目标；(4)达到成绩(分数)目标。 长计划是指明确学习目标，确定学习的内容、专题，大致规划投入的时间；短安排是指具体的行动计划，即每周每天的具体安排和行动落实。 4、突出重点，不要平均使用力量。 所谓重点：一是指自己学习中的弱科或成绩不理想的课程或某些薄弱点；二是指知识体系中的重点内容。 订计划时，一定要集中时间，集中精力保证重点。 5、计划要全面，还要与班级计划相配合。 计划里除了有学习的时间外，还要有进行社会工作、为集体服务的时间；有保证睡眠的时间；有文体活动的时间。 时间安排上不能和班级、家庭的正常活动、生活相冲突。 6、安排好常规学习时间和自由学习时间。 常规学习时间(即基本学习时间)：指的是用来完成老师当天布置的学习任务，“消化”当天所学知识的时间。 自由学习时间：指的是完成了老师布置的学习任务之后，所剩下的归自己支配的学习时间。 在自由学习时间内一般可做两件事：补课和提高。 补课是指弥补自己学习上的缺欠；提高是指深入钻研，发展自己的学习优势或特长。 不管是补课还是提高，最好要围绕一个专题进行，这样做，学习比较容易见效果。 自由学习时间内所取得的学习效果，对改变学习现状具有重大的作用，因此这一时间的安排，应当成为制订学习计划的重点之一。 7、脑体结合，学习和其他活动应合理安排。 在安排计划时，不要长时间地从事单一活动。 (1)学习和体育活动要交替安排。 比如，学习了一下午，就应当去锻炼一会儿，再回来学习；(2)安排科目时，文科、理科的学习要错开，相近的学习内容不要集中在一起学习；(3)同一学科的材料，用不同的方法学习。 8、提高学习时间的利用率时间是宝贵的，自觉提高时间利用效率，是每个中学生学习上进行自我修养的重要内容。 (1)早晨或晚上，一天学习的开头和结尾时间，可安排着重记忆的科目，如英语科等；(2)心情比较愉快，注意力比较集中，时间较完整时，可安排比较枯燥的内容或自己不太喜欢的科目；(3)零星的或注意力不易集中的时间，可安排学习自己最感兴趣的学科或做习题。 这样可以提高时间的利用率。 9、计划要留有余地。 10、注意效果，定期检查，及时调整。 检查内容：(1)计划中的学习任务是否完成？(2)是否基本按计划去做？(3)学习效果如何？(4)总结得失，找出偏差，分析 原因，以利改进。 从而实现自我管理，自我控制，自我激励、自我调整。
发表评论