0x00 事件概述
近日，微软和Citizen Lab发现Candiru（微软称为 Sourgum）利用微软7月补丁日中修复的2个0 day漏洞（CVE-2021-31979和CVE-2021-33771）部署名为 DevilsTongue 的新恶意软件。
Citizen Lab在其报告中表示，Candiru 是一家位于以色列的情报公司，专门向政府出售间谍软件。根据报道，他们的间谍软件可以感染和监控iPhone、Android、Mac、PC 和云帐户。微软威胁情报中心 (MSTIC)于2021年7月15日发布了该事件的分析报告。据微软表示，Sourgum通常出售网络武器，使其客户（通常是世界各地的政府机构），能够入侵其目标的计算机、电话、网络基础设施和互联网连接设备，然后这些机构自己选择目标人物并进行实际操作。
微软和 Citizen Lab 合作禁用了DevilsTongue。微软研究人员发现，该恶意软件影响了巴勒斯坦、以色列、伊朗、黎巴嫩、也门、西班牙、英国、土耳其、亚美尼亚和新加坡等至少100名受害者，他们包括政治家、人权活动家、记者、学者、大使馆工作人员和政治异议人士。
0x01 事件详情
对Candiru攻击的调查是在CitizenLab分享了一个在受害者系统中发现的恶意软件样本，并导致发现CVE-2021-31979和CVE-2021-33771这2个Windows内核提权漏洞0 day漏洞之后开始的。攻击者可以利用这2个漏洞实现提升权限、浏览器沙箱逃逸并获得内核代码执行权限。目前这2个0 day已在微软7月补丁日中修复。
Citizen Lab使用 Internet 扫描将750多个网站与Candiru的间谍软件基础设施联系起来，进一步确认了事件可信度。此外，他们还发现，这些域中有许多被设计为模仿代表媒体公司和宣传组织的域，包括大赦国际和 Black Lives Matter 运动。
据表示，攻击者滥用了几种流行浏览器和Windows操作系统中的漏洞利用链，将DevilsTongue恶意软件投放到受害者的电脑上。
DevilsTongue恶意软件允许其操作者收集和窃取受害者的文件，解密和窃取Windows设备上的Signal信息，并从LSASS和Chrome、Internet Explorer、Firefox、Safari和Opera网络浏览器中窃取cookies和保存的密码。此外，它还可以利用存储在受害者电脑上的Facebook、Twitter、Gmail、Yahoo、Mail.ru、Odnoklassniki和Vkontakte等网站的cookie来获取敏感信息，比如读取受害者的消息，窃取照片等。
微软研究人员还发现，DevilsTongue还可以在其中一些网站上以受害者的身份发送信息，并且发送信息的能力可以被武器化，以向更多的受害者发送恶意链接。
据微软表示，这些攻击主要针对消费者，微软本周发布的保护措施将阻止Sourgum的工具在已经被感染的计算机上执行，并防止在更新的计算机、运行Microsoft Defender防病毒软件的计算机以及使用MicrosoftDefender for Endpoint的计算机上发生新的感染。
0x02 处置建议
建议Windows用户尽快应用CVE-2021-31979和CVE-2021-33771的安全更新（已于2021年7月13日发布），并启用Microsoft Defender防病毒软件，以防止被恶意软件利用。此外，建议应用以下通用安全建议：
检查并及时修复系统或应用中存在的其它安全漏洞。
使用防火墙和反间谍软件，并时常更新防病毒和反间谍软件应用程序以防止威胁。
使用最新的威胁情报信息，以实时了解攻击者所使用的TTP。
机密文件不要存放在联网的计算机中，包含敏感信息的文件应加密存放。
为了保护公司网络和系统环境，请对员工进行安全培训，专门的培训课程可以提供帮助。
DevilsTongue 恶意软件和Windows 0 day漏洞的技术分析和相关指标（IOC）建议参考微软威胁情报中心发布的分析报告：
https://www.microsoft.com/security/blog/2021/07/15/protecting-customers-from-a-private-sector-offensive-actor-using-0-day-exploits-and-devilstongue-malware/
0x03 参考链接
https://www.microsoft.com/security/blog/2021/07/15/protecting-customers-from-a-private-sector-offensive-actor-using-0-day-exploits-and-devilstongue-malware/
https://www.bleepingcomputer.com/news/security/microsoft-israeli-firm-used-windows-zero-days-to-deploy-spyware/
https://citizenlab.ca/2021/07/hooking-candiru-another-mercenary-spyware-vendor-comes-into-focus/
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-07-16 | 首次发布 |
0x05 文档附录
CNVD官网：www.cnvd.org.cn
CNNVD官网：www.cnnvd.org.cn
CVE官网：cve.mitre.org
NVD官网：nvd.nist.gov
CVSS评分标准官网：www.first.org
声明：本文来自维他命安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
