当前节点:hackernews.cc
时间节点
2020年5月13日 21:17hackernews.cc
你的电脑很可能又被黑客盯上了。近日,据外媒报道,一名荷兰研究人员 Ruytenberg 展示了黑客如何通过 Thunderbolt 实施物理访问进而攻击电脑,并指出了 7 类漏洞 : 固件验证方案不足 弱设备认证方案 未经验证的设备元数据的使用 使用向后兼容性降低攻击级别 未经验证的控制器配置的使用 SPI 闪存接口缺陷 在 Boot 营地没有雷电安全 研究者指出,这些漏洞适用于自 2011年以来所有装有 Thunderbolt 的计算机,并且允许拥有物理访问权限的攻击者从加密的驱动器和内存中快速窃取数据。 更可怕的是,即便你的设备即使处于睡眠模式或锁定的状态、设置安全引导、使用强 BIOS 和操作系统帐户密码以及启用完全磁盘加密,攻击仍然有效,并且这种攻击不会留下任何痕迹,也不需要任何形式的网络钓鱼,还可以从加密驱动器中窃取数据,而完成这一过程只需要 5 分钟。 研究人员将这一漏洞命名为 Thunderspy。值得注意的是,这是个硬件级漏洞,只要几百美元的设备就能攻破该漏洞。 在 Mac 电脑和部分 Windows 电脑上,Thunderbolt 端口能够被用来连接外围设备,比如显示器、高速网络适配器、普通硬盘和容量更大的存储阵列。在笔记本电脑上,一个 Thunderbolt 插接站就可以让你的电脑接入闪存读卡器、电源电缆、HDMI 显示器、以太网以及 USB 鼠标和键盘。 但一直以来,Thunderbolt 有一个让安全研究人员都很担心的问题:因其更快的数据传输速度,并且允许比其他端口更直接地访问计算机内存,所以导致漏洞的风险也更大。 3 个月前,Ruytenberg 向英特尔报告了这一漏洞,经核查,英特尔承认了这一漏洞。 英特尔表示:“虽然潜在的漏洞并不是新出现的,而且在去年的操作系统发布版中就已经解决了,但是研究人员在没有启用这些缓解措施的系统上使用定制的外围设备,演示了新的潜在物理攻击载体。 但他们并没有证明 DMA 攻击能够成功地攻击启用了这些缓解措施的系统。对于所有系统,我们建议遵循标准的安全实践,包括只使用受信任的外围设备和防止未经授权的物理访问计算机。英特尔将继续改进 Thunderbolt 技术的安全性,感谢来自埃因霍芬理工大学的研究人员向我们报告了这一情况。” 不过,Ruytenberg 有不同的看法,因为在实验中,他们没有发现任何一台戴尔电脑安装了上述保护措施,只有部分惠普和联想笔记本安装
2020年5月13日 20:55hackernews.cc
美国最大 ATM 供应商 Diebold Nixdorf 遭勒索软件攻击。该公司表示黑客未能接触 ATM 或客户网络,只影响其企业网络。Diebold 有 3.5 万名员工,其 ATM 机器在全球的市场占有率估计为 35%,它还生产零售商使用的销售终端系统和软件。 攻击发生在 4 月 25 日晚上,安全团队探测到企业网络的异常行为,它立即采取行动隔离网络中的系统,阻止恶意程序扩散。该公司表示勒索软件没有影响到它的客户网络。入侵 Diebold 企业网络的是被称为 ProLock 的勒索软件。Diebold 称它没有向攻击者支付赎金。安全专家表示这么做也许更好,因为当前版本的 ProLock 解密工具会损坏数据库之类的大型文件。   (稿源:solidot,封面源自网络。)
2020年5月13日 12:18hackernews.cc
5月12日消息,据国外媒体报道,受新冠疫情影响,视频会议需求大增,而其中最大的受益者包括视频会议软件公司Zoom。虽然,该公司目前风头正盛,但它也被曝光了很多问题,比如侵犯隐私问题。 加州众议员杰里·麦克纳尼(Jerry McNerney)和其他人对收集到的关于注册用户和非注册用户的信息、Zoom用户可能存储在云中的通信记录表达了担忧。 当地时间周一,美国联邦贸易委员会(FTC)主席约瑟夫·西蒙斯(Joseph Simons)表示,该机构正在调查有关Zoom的隐私投诉问题。 除了隐私问题外,Zoom还存在一些其它的负面新闻,比如,谷歌以担心安全性为由,禁止员工在电脑上安装和使用Zoom,超50万Zoom账户信息在暗网售卖等等。 随着视频会议需求大增,Zoom的用户人数也迅速增长。此前,该公司宣布,它已拥有3亿日活跃用户,较4月初的2亿活跃用户增长约50%。但后来,该公司又纠正了具有误导性的说法,承认自己并没有3亿日活跃用户,而是“每天有3亿个Zoom会议参与者”。 此外,由于视频会议需求大增,Zoom选择甲骨文作为其关键的云基础设施提供商,以增加其云计算能力。   (稿源:网易科技,封面源自网络。)
2020年5月13日 10:54hackernews.cc
感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/Eyqm-lgQovFaJnk3FHihJQ 一、概述 MyKings僵尸网络2017年2月左右开始出现,该僵尸网络通过扫描互联网上 1433 及其他多个端口渗透进入受害者主机,然后传播包括DDoS、Proxy(代理服务)、RAT(远程控制木马)、Miner(挖矿木马)、暗云III在内的多种不同用途的恶意代码。由于MyKings僵尸网络主动扩散的能力较强,影响范围较广,对企业用户危害严重。 Mykings僵尸网络本轮活动主要更新点 1.新增IP、域名、URL; 2.大量采用POWERSHELL脚本进行“无文件”落地攻击; 3.在清理竞争对手挖矿木马名单中增加了“新冠”挖矿木马; 4.使用挖矿账号登陆,隐藏了钱包地址; 5.新增白利用文件; 6.不同系统版本执行脚本不同; 7.获取windows登陆密码 攻击流程图 二、解决方案 运维人员可参考以下方法手动清除Windows系统感染的挖矿木马,企业用户亦可使用腾讯T-Sec终端安全管理系统(腾讯御点)查杀病毒,参考安全建议提升服务器的安全性。 删除以下病毒文件: C:\Windows\debug\lsmose.exe C:\Windows\debug\lsmos.exe C:\Windows\debug\lsmo.exe C:\Program Files (x86)\Common Files\csrw.exe C:\Progra~1\Common Files\csrw.exe c:\windows\help\lsmosee.exe c:\windows\help\akpls.exe c:\windows\inf\lsmma.exe c:\windows\inf\lsmm.exe c:\windows\inf\lsmmaa.exe c:\windows\system32\new.exe c:\windows\system32\upsupx.exe c:\windows\inf\aspnet\lsma.exe c:\windows\inf\aspnet\lsmab.exe c:\windows\inf\aspnet\lsmaaa.exe c:\windows\inf\aspnet\lsma30.exe c:\windows\inf\aspnet\lsma31.exe c:\\
2020年5月12日 18:26hackernews.cc
现在是一个研究跟踪勒索软件趋势的有趣时机,特别是在过去的一两年里,我们已经看到“主流”勒索软件甚至进一步扩展到了数据勒索和盗窃领域。对文件进行加密是一回事,但必须将每一个勒索软件感染都视为违规行为,这给这些攻击活动的受害者增加了多层复杂性。对于GDPR以及现在类似法律和合规性障碍,这尤其复杂。 勒索软件家族,如Maze、CLOP、DoppelPaymer、Sekhmet和Nefilim/Nephilim都是威胁的案例,一旦感染,就会给受害者带来相当复杂的问题。虽然Maze、DopplePayer和REvil往往会得到大量媒体报道,但Nephilim是另一个迅速发展的家族,它发起了多起破坏性活动。如果受害者不能“配合”他们的要求,他们就会公布受害者的敏感信息。   概述 Nefilim出现于2020年3月,与另一个勒索软件家族NEMTY共享相当一部分代码。NEMTY和Nefilim/Nephilim背后的确切关系尚不清楚。 NEMTY于2019年8月作为一个公共项目推出,之后转为私有。目前的数据表明,在这两个家族背后的不是同一个人,更有可能的是,Nephilim背后的人以某种方式从NEMTY那里“获得”了必要的代码。 Nefilim和NEMTY的两个主要区别是支付模式,以及缺少RaaS操作。Nefilim指示受害者通过电子邮件与攻击者联系,而不是将他们引导到基于torm的支付网站。为了使家谱更加混乱,Nefilim似乎演变为了“Nephilim”,两者在技术上相似,主要区别在于扩展名和加密文件中的工件。 然而,也有情报表明,NEMTY已经继续并分支到一个新的“NEMTY Revenue”版本。在此之前,NEMTY的幕后主使宣布他们将把威胁私有化(不再公开访问RaaS行动)。 从技术上讲,Nephilim与其他著名的勒索软件家族没有什么不同。目前主要的传播方法是利用易受攻击的RDP服务。一旦攻击者通过RDP破坏了环境,他们就会继续建立持久性,在可能的情况下查找和窃取其他凭证,然后将勒索软件的payload传播给潜在目标。   Nephilim加密协议 在Nephilim样本中我们分析了实际的文件加密是通过标签组AES-128和RSA-2048处理的。注意,Nefilim/Nephilim背后的原始供应商也这样做。 特定的文件使用AES-128加密。此时,使用RSA-2048公钥加密AES加密密钥。
2020年5月12日 16:20hackernews.cc
埃因霍温科技大学的安全研究员 Björn Ruytenberg 透露,由于常用的 Thunderbolt 端口存在缺陷,2019 年之前生产的所有 PC 都可能遭到黑客入侵。 即使 PC 处于睡眠模式或处于锁定状态,这一被称为 Thunderbspy 的攻击也可以从用户的 PC 读取和复制所有数据。此外,它还可以从加密驱动器中窃取数据。 Thunderspy 属于 evil-maid 攻击类别,这意味着它需要对设备进行物理访问才能对其进行攻击,因此与可以远程执行的其他攻击相比,它的利用程度较低。但是另一方面,Thunderspy 还是一种隐身攻击,在成功执行入侵之后,犯罪分子几乎不会留下任何利用的痕迹。 事实上,早在 2019 年 2 月,一群安全研究人员就发现了一个与 Thunderspy 类似的相关入侵事件 Thunderclap。同年,英特尔发布了一种可以防止 Thunderspy 攻击的安全机制,称为内核 DMA 保护(Kernel Direct Memory Access Protection)。 不过该机制在较早的配置中未实现,这也就是在 2019 年之前生产的计算机更易受到影响的原因。但有趣的是,当苹果 MacOS 笔记本启动到 Bootcamp 时,所有的 Thunderbolt 安全都会被禁用。 Ruytenberg 指出,所有在 2011-2020 年之间出货的、配备 Thunderbolt 的设备都容易受到攻击。自 2019 年以来已交付的提供内核 DMA 保护的设备,也都在一定程度上易受攻击。 Thunderspy 漏洞无法在软件中修复,会影响到未来的 USB 4 和 Thunderbolt 4 等标准,最终将需要对芯片进行重新设计。     (稿源:开源中国,封面源自网络。)
2020年5月11日 15:50hackernews.cc
感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/X0LeyXch6Bsa_2aF-cItXQ   一、背景 腾讯安全威胁情报中心检测到“8220”挖矿木马变种攻击。“8220”挖矿团伙擅长利用WebLogic、JBoss反序列化漏洞,Redis、Hadoop未授权访问漏洞等Web漏洞攻击服务器挖矿。近期我们发现该团伙在攻击活动中通过Apache Struts远程代码执行漏洞(CVE-2017-5638)、Tomcat弱口令爆破进行传播的木马大幅增加。 木马在横向移动阶段会利用Python实现的Redis未授权漏洞访问漏洞对随机生成的约16万个IP进行扫描攻击,并且利用植入的shell脚本hehe.sh继续利用已有公钥认证记录的机器建立SSH连接进行内网扩散,最终在失陷机器植入多款门罗币挖矿木马以及Tsunami僵尸网络木马,后者被该团伙用来进行DDoS攻击。 “8220”挖矿木马团伙的攻击目标包括Windows和Linux服务器,在其使用的FTP服务器上,可以发现针对不同操作系统的攻击模块。该团伙释放挖矿木马时,会检查服务器是否有其他挖矿木马运行,将所有竞争挖矿木马进程结束,以独占服务器资源。 根据代码的相似性、C2关联性、挖矿时使用的相同门罗币钱包以及配置文件解密方法、相似的FTP服务器,腾讯安全专家认为,2020年初出现的StartMiner与“8220”挖矿木马属于同一团伙。该团伙当前版本恶意程序与C2服务器的通信已不再使用“8220”端口,根据近期捕获到的样本对其攻击偏好使用的文件名进行总结,发现其具有使用多种脚本包括VBS、PHP、Python、Powershell、Shell进行组合攻击的特点。 二、解决方案 企业运维人员可参考以下方法手动清除Linux和Windows系统感染的挖矿木马,参考安全建议提升服务器的安全性。 Linux系统 a. Kill进程/tmp/sh、/tmp/x32b、/tmp/x64b b. 删除文件 /tmp/i686(md5: D4AE941C505EE53E344FB4D4C2E102B7)、 /tmp/ x86_64(md5: 9FE932AC3055045A46D44997A4C6D481) /tmp/x32b(md5: EE48AA6068988649E41FEBFA0E3B2169)、 /tmp/x64b(
2020年5月9日 19:58hackernews.cc
有关研究团队最新发现了一种新的Dacls远程访问特洛伊木马(RAT)变种,它与朝鲜的Lazarus集团有关联,并且专门为Mac操作系统设计。 Dacls是2019年12月奇虎360 NetLab发现的一种针对Windows和Linux平台的全功能隐蔽远程访问特洛伊木马(RAT)。 这个Mac变种至少通过一个名为MinaOTP的木马化的macOS二元身份验证应用程序进行分发,该应用程序主要由中国用户使用。与Linux变种类似,它拥有多种功能,包括命令执行、文件管理、流量代理和蠕虫扫描。 发现 4月8日,一个名为“TiNakOTP”的可疑Mac应用程序从香港提交到VirusTotal,当时没有任何引擎检测到它。 恶意的bot可执行文件位于应用程序的“Contents/Resources/Base.lproj/”目录中,当它是Mac可执行文件时,它会伪装成nib文件(“SubMenu.nib”)。它包含字符串“c_2910.cls”和“k_3872.cls”,而这是以前检测到的证书和私钥文件的名称。 持久性 该RAT通过LaunchDaemons或LaunchAgents持久存在,它们采用属性列表(plist)文件,这个文件指定了重启后需要执行的应用程序。LaunchAgents和LaunchDaemons之间的区别在于,LaunchAgents代表登录用户运行代码,而LaunchDaemons以root用户运行代码。“ 当恶意应用程序启动时,它将在“Library/LaunchDaemons”目录下创建一个名称为“com.aex-loop.agent.plist”的plist文件,plist文件的内容在应用程序中进行了硬编码。 该程序还会检查“getpwuid( getuid() )”是否返回当前进程的用户ID。如果返回用户ID,它将在LaunchAgents目录“Library/LaunchAgents/”下创建plist文件“com.aex-loop.agent.plist”。 图1 plist文件 存储plist的文件名和目录为十六进制格式并附加在一起,它们向后显示文件名和目录。 图2 目录和文件名生成 配置文件 配置文件包含有关受害者计算机的信息,例如Puid、Pwuid、插件和C&C服务器,配置文件的内容使用AES加密算法进行加密。 图3 加载配置 Mac和Linux变种都使用相同的AES密钥和IV来加密和
2020年5月9日 18:07hackernews.cc
2014年以来,海莲花(OceanLotus)APT组织(或被称为PhantomLance)就以通过官方和第三方市场传播高级Android威胁而闻名。他们试图远程控制受感染的设备、窃取机密数据、安装应用程序并启动任意代码。 安全研究人员最近记录了该组织的活动,Bitdefender调查发现了该组织35个新的恶意样本,并证明其活动可能使用了合法且可能被盗的数字证书来对某些样本进行签名。 该APT组织的作案手法是先上传干净版本,然后添加恶意软件,然后通过Google Play和第三方市场传播恶意Android应用。 安全研究人员认为,海莲花APT组织与Android恶意软件和过去基于Windows的高级威胁的命令和控制域之间的共享基础结构相关联,这些威胁过去一直以Microsoft用户为目标。可以说,这些较早的活动也与Hacking Team组织有联系,该组曾为APT32组织服务。 虽然海莲花主要针对非洲和亚洲,但Bitdefender遥测技术还可以在日本、韩国、越南、德国和印度等国家进行扫描。 Bitdefender 检测到此威胁为  Android.Trojan.OceanLotus。 寻找“零号病人” 在Bitdefender存储库(APK MD5:315f8e3da94920248676b095786e26ad)中找到的,与海莲花APT组织所关联的最古老的样本似乎已于2014年4月首次登陆Google Play 。可追溯到最早的已知Google Play样本在2014年12月。 根据内部zip文件时间戳记,该样本构建于2014年4月5日,几天后就被我们记录下。 一个有趣的发现是,该样本已使用VL Corporation的证书进行了签名。 该证书于2013年7月生成,并且直到2014年为止,除OceanLotus Malware以外,Google Play上已有100多个不同的应用程序在使用它。这表明网络犯罪集团可能已使用有效证书成功地将恶意病毒app走私到了Google Play中。 Certificate:      Data:          Version: 3 (0x2)          Serial Number: 2002933886 (0x7762587e)          Signature Algorithm: sha256WithRSAEncryption          Issu
2020年5月9日 13:21hackernews.cc
感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/afn9jkgaDqX2wIoHk4G6JQ 一、概述 腾讯安全威胁情报中心在进行例行高广风险文件排查时,发现一个名为DTCenSvc.exe的文件异常之高,腾讯安全大数据显示已有超2万台电脑中招。经分析该文件运行后会在用户机器内安装一系列的广告弹窗程序、主页篡改程序。 溯源后发现,该病毒运行过程中的部分文件、域名等基础设置与DT下载器家族恶意传播推广资源一致。软件供应链传播病毒国内时有发生,下载器问题尤显突出。腾讯安全专家提醒用户避免从易受污染的软件下载站下载,高风险下载渠道极易感染挖矿木马、勒索软件、广告弹窗、浏览器主页被锁等问题。 二、解决方案 互联网上充斥各种小众软件分发渠道,这些渠道或良莠不齐,或管理混乱,用户通过这些小众渠道搜索下载软件时,极易感染病毒木马,被捆绑安装不需要的其他软件。 腾讯安全专家建议网民尽可能通过相应软件的官方网站下载软件,或者使用安全软件提供的软件管理功能搜索下载相应软件。腾讯电脑管家及腾讯T-Sec终端安全管理系统已升级查杀DT下载器木马,内置的软件管理功能提供高速下载、自动去除插件安装、自动卸载恶意软件、管理软件的自动开机加载及广告弹出等特色功能。 三、病毒样本分析 DTCenSvc.exe运行后会释放执行yDwpSvc.exe模块,并将其设置为服务启动。yDwpSvc则通过地址hxxp://down.hao3603.com/rcsvccfg10.ini获取配置文件,并拉取配置中的文件执行。 目前配置中保存了两个RUL,分别为: hxxp://down.hao3603.com/qd/MiniSetup.exe链接内的MiniSetup安装包文件,hxxp://down.hao3603.com/qd/ObtainSysInfo.exe链接内的ObtainSysInfo包文件。 MiniSetup.exe包运行后会在系统内安装广告弹窗相关模块,包含一个Mini页弹窗,一个窗口右下角弹窗。但由于两个弹窗均无来源标识说明,部分用户也难以对其进行卸载删除,用户看到此类广告后会感到极度反感。 ObtainSysInfo.exe是一个主页修改相关的包程序,该程序运行后会首先检查环境内是否有安全软件相关进程,如果判断当前运行环境处于安全软件保护中。则不执行后续浏览器主页相关配置等修改逻辑。否则进一
2020年5月8日 12:39hackernews.cc
北京时间5月7日消息,近8年来,一名黑客一直在悄无声息地将D-Link NVRs(网络录像机)和NAS(网络附加存储)设备劫持到一个僵尸网络中,其唯一目的是连接到在线网站并下载动漫视频。 据报道,这个名为“Cereals”的僵尸网络于2012年首次被发现,并于2015年达到顶峰,当时它积累了超过1万个“僵尸”。 然而,尽管这个僵尸网络规模庞大,但大多数网络安全公司都没有发现它的踪迹。不过目前,“Cereals”正在慢慢消失,因为这些年来它所依赖的旧式D-Link设备已经开始老化,而且用户也在更换产品。此外,一个名为“Cr1ptT0r”的勒索病毒毒株在2019年冬天从许多D-Link系统中破坏了“Cereals”恶意软件,这也加速了这一僵尸网络的衰落。 目前所有证据都表明,这个僵尸网络的作者据称是一个名叫Stefan的德国人,他在制作“Cereals”的过程中从未有任何犯罪意图,似乎只有一个目的——下载动画短片。     (稿源:凤凰网科技,封面源自网络。)
2020年5月8日 11:55hackernews.cc
今年3月28日宣布成功入侵印尼公司Tokopedia之后,这位黑客近日又发布重磅消息称从微软的私有GitHub库中窃取了容量超过63.2GB的.dump转储文件。根据文件的目录列表截图显示,转储文件中涵盖了Azure, Office和部分Windows runtimes。 随后这条消息得到了数据泄露监控和防范服务机构Under the Breach推特账户的证实。需要注意的是,尽管此次泄露的源代码规模很大,但不代表黑客会获取到微软的核心商业机密,微软在GitHub仓库中存储的内容一般都是公开的,即便存储在私人仓库中的内容也是如此,而且微软还会严格筛查上传的代码来杜绝泄露的情况。     (稿源:cnBeta,封面源自网络。)
2020年5月7日 14:04hackernews.cc
三星本周发布了一个安全更新,修复了自2014年以来一直存在于旗下所有智能手机中的关键漏洞。该漏洞最早可以追溯到2014年下半年,三星开始在所有发布的设备中引入了对自定义Qmage图像格式(.qmg)的支持,而三星的定制Android系统在处理该图像格式上存在漏洞。 视频连接:https://www.cnbeta.com/articles/tech/975843.htm 谷歌Project Zero的安全研究员Mateusz Jurczyk发现了一种利用Skia(Android图形库)来处理发送到设备上的Qmage图像的方法。Jurczyk表示,这个Qmage漏洞能在零点击的情况下被利用,不需要用户之间的互动。所以能在用户不知情的情况下,将所有发送到设备上的图片重定向到Skia库中进行处理–比如生成缩略图预览等。 研究人员开发了一个针对三星信息应用的概念验证演示,利用该漏洞可以窃取短信和彩信。Jurczyk说,他通过向三星设备重复发送MMS(多媒体短信)信息来利用这个漏洞。每条消息都试图猜测Skia库在Android手机内存中的位置,这是绕过Android的ASLR(地址空间布局随机化)保护的必要操作。 Jurczyk表示,一旦Skia库在内存中的位置被确定,最后一条彩信就会传递出实际的Qmage有效载荷,然后在设备上执行攻击者的代码。这位谷歌的研究人员表示,攻击者通常需要50到300条彩信来探测和绕过ASLR,这通常需要平均100分钟左右的时间。 此外,Jurczyk表示,虽然这种攻击看起来可能很密集,但也可以修改后在不提醒用户的情况下执行。这位谷歌研究人员说:“我已经找到了让彩信消息完全处理的方法,而不触发Android上的通知声音,所以完全隐身攻击可能是可能的。” 此外,Jurczyk表示,虽然他没有测试过通过彩信和三星信息应用之外的其他方法来利用Qmage漏洞,但理论上来说,针对三星手机上运行的任何能够接收到远程攻击者提供的Qmage图像的应用,都有可能被利用。 研究人员在2月份发现了该漏洞,并向三星报告了该问题。这家韩国手机制造商在5月的2020年安全更新中对该漏洞进行了补丁。该漏洞在三星安全公告中被追踪为SVE-2020-16747,在Mitre CVE数据库中被追踪为CVE-2020-8899。   (稿源:cnBeta,封面源自网络。)
2020年5月7日 10:55hackernews.cc
感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/eLnQxa_hXxhNhyquOThW7Q 一、概述 腾讯安全威胁情报中心于2020年05月03日检测到H2Miner木马利用SaltStack远程命令执行漏洞(CVE-2020-11651、CVE-2020-11652)入侵企业主机进行挖矿。通过对木马的核心脚本以及可执行文件的对比分析,我们确认了此次攻击行动属于挖矿木马家族H2Miner。 H2Miner是一个linux下的挖矿僵尸网络,通过hadoop yarn未授权、docker未授权、confluence RCE、thinkphp 5 RCE、Redis未授权等多种手段进行入侵,下载恶意脚本及恶意程序进行挖矿牟利,横向扫描扩大攻击面并维持C&C通信。 腾讯安全威胁情报中心大数据统计结果显示,H2Miner利用SaltStack漏洞的攻击自5月3日开始,目前呈快速增长趋势。H2Miner挖矿木马运行时会尝试卸载服务器的安全软件,清除服务器安装的其他挖矿木马,以独占服务器资源。目前,H2Miner黑产团伙通过控制服务器进行门罗币挖矿已非法获利超370万元。 二、样本分析 Saltstack是基于python开发的一套C/S自动化运维工具。近日,SaltStack被爆存在认证绕过漏洞(CVE-2020-11651)和目录遍历漏洞(CVE-2020-11652),其中: CVE-2020-11651:为认证绕过漏洞,攻击者可构造恶意请求,绕过Salt Master的验证逻辑,调用相关未授权函数功能,达到远程命令执行目的。 CVE-2020-11652:为目录遍历漏洞,攻击者可构造恶意请求,读取服务器上任意文件,获取系统敏感信息信息。 漏洞影响版本 SaltStack < 2019.2.4 SaltStack < 3000.2 安全研究人员在得到企业授权后,对中招机器进行排查,在/var/log/salt/minion日志中发现攻击时的恶意文件下载行为: 该下载行为正是利用SaltStack漏洞攻击成功后执行的远程命令,命令通过curl或wget下载和执行脚本sa.sh(http[:]//217.12.210.192/sa.sh),脚本sa.sh具有以下功能: 1、卸载防御软件阿里云骑士、腾讯云镜。 2、通过端口、文件名、进程名、钱包地址匹配匹
2020年5月7日 10:44hackernews.cc
北京时间5月6日消息,一位化名为奥尔德森(Elliot Alderson)的法国黑客日前在Twitter上表示,其发现了印度政府“Aarogya Setu”新型冠状病毒追踪APP的安全问题,这可能会危及9000万印度人的隐私。作为一名有良心的黑客,奥尔德森已经将这个问题“标记”发送至印度计算机应急响应小组(CERT)和隶属于印度电子和信息技术部的国家信息中心(NIC)。 奥尔德森早先还曝光了印度政府“mAadhar”安卓应用程序的问题。 周二,奥尔德森在Twitter上声称,他发现了Aarogya Setu应用程序的一个安全问题,并要求印度政府私下联系他,以便向当局详细披露。印度政府很快联系了这名黑客,了解相关情况。奥尔德森现在正在等待这一问题的解决方案,如果印度政府解决不了,那么按照“白帽”黑客的核心原则,他将公开披露这一问题。 印度政府确实在昨晚凌晨对黑客的推特做出了详细的回应。但奥尔德森仍在等待政府出手修复,用他的话来说,印度政府的回应基本上是“(这里)没什么问题啊”。换句话说,按照印度政府的说法,Aarogya Setu一切正常。 Aarogya Setu的制作者回应称:“这位黑客没有证明用户的个人信息处于危险之中。我们一直在测试和升级该系统。Aarogya Setu团队向所有人保证,没有发现任何数据或安全漏洞。” 奥尔德森已经在推特上宣布,若这个问题得不到修复,他将于今天公布更多信息。 与此同时,奥尔德森不是唯一一个在隐私方面向Aarogya Setu提出警告的人。位于新德里的软件自由法律中心(Software Freedom Law Centre)声称,这个应用程序会收集如性别和旅行记录等敏感的用户数据。互联网自由基金会(IFF)也宣称Aarogya Setu缺乏透明度。 这类问题特别严重,需要深入研究,因为即使Aarogya Setu看起来是一个“自愿安装”的应用程序,但它每天都在变得越来越“强制”。按照印度警方的最新要求,在诺伊达和大诺伊达这些地方如果没有在手机上安装这个程序,甚至会面临处罚。 印度政府还要求公共和私营部门雇员把它安装在智能手机上。印度内政部最近的一项指令要求:“所有员工都必须使用Aarogya Setu应用程序,包括私人部门和公共部门的员工。各机构负责人有责任确保该应用程序在员工中的覆盖率达到100%。”所以可以说,Aarogya Setu已经是印度中央政府雇员以及居住在隔离区居
2020年5月6日 11:36hackernews.cc
过去几周内的黑客活动因疫情隔离的影响变得更加活跃,索尼顽皮狗《最后的生还者2》泄密也被认为是黑客所为。隔壁任天堂在此前NNID账户被盗之后近日又被不法者盯上,导致了Wii主机的完整源码/设计方案和N64技术演示流出,可以说已经成为任天堂史上最大规模的泄露案件。 根据ResetEra论坛上的汇总,所有的数据都直接从一家和任天堂合作的公司内部窃取。BroadOn在Wii的硬件和游戏上和任天堂都有过交互合作,通过攻击BroadOn服务器黑客获得了Wii主机的所有源代码、数据表、设计框图以及每一个配件的Verilog文件(Verilog是一种硬件描述语言,通过代码文本来描述硬件结构和行为)。 除了Wii和N64的主机相关资料外,本次任天堂被泄露的还有大量《宝可梦》相关档案,包括了《宝可梦黄/蓝》、《宝可梦金/银》的调试版本和源码、《宝可梦日月/终极日月》的调试版本等。 鉴于Wii主机的档案属于商业机密,任天堂和BroadOn显然会付诸法律行动。尽管泄露出来的内容都已经过时,但从规模和性质上来讲,这都称得上是任天堂游戏史上性质最恶劣的黑客攻击。   (稿源:cnBeta,封面源自网络。)
2020年5月6日 10:43hackernews.cc
Kenna Security 发布了一份新的报告,其中对 Microsoft、Linux 和 Mac 资产的风险状况进行了研究。Cyentia 研究所撰写了《 Prioritization to Prediction: Volume 5: In Search of Assets at Risk》报告,该报告基于 Kenna Security 来自 450 个组织的 900 万资产的数据。 报告指出,微软资产的 70% 至少具有一个高风险漏洞。在整个研究期间,研究人员共发现了 Microsoft 资产中的 2.15 亿个漏洞,其中已完成修复的漏洞有 1.79 亿个,占比 83%。根据 Kenna Security 的说法,其余未修补的 3600 万个漏洞要高于 Max、Linux 和 Unix 资产的总和。 微软还拥有最高的封闭式高风险漏洞百分比,为 83%。紧随其后的是 Apple OSX,其次是 Linux/unix 和网络设备/IoT 设备。此外,40% 的 Linux 和 Unix 资产以及 30% 的网络设备具有已知漏洞。 不过,Kenna Security 也指出,较少的漏洞不一定表示设备更安全。在一个单个高风险漏洞可能造成灾难性后果的世界中,有效的补丁程序优先级和速度是安全性的关键,而与设备或软件类型无关。 尽管 Microsoft 具有比其他漏洞更多的漏洞,但这不一定表示其存在总风险,因为 Microsoft 还可以更快地修复漏洞。该报告发现,基于 Windows 的资产每月平均有 119 个漏洞,并且平均每 36 天修补一次这些漏洞。与此相比,网络设备每月平均只有 3.6 个漏洞,但这些漏洞则大约需要一年的时间才能完成修补。 苹果的补丁率位列第二高,为 79%。Linux、Unix 和其他网络设备的补丁率则为 66%。 Cyentia Institute 的合伙人兼创始人 Wade Baker 表示:“通过自动修补和’Patch Tuesdays’,Microsoft 能够解决其系统上的关键漏洞的速度非常出色,但其仍然存在很多漏洞。 “另一方面,我们看到许多资产,例如 routers 和 printers,它们的高风险漏洞具有更长的保质期。公司需要围绕这些权衡因素调整其风险承受能力,策略和漏洞管理功能。” 报告地址: https://www.kennasecurity.co
2020年5月6日 10:29hackernews.cc
现在越来越多的上市公司在向美国证券交易委员会提交的文件中,将赎金软件列为前瞻性风险因素。在过去的12个月里,已经有超过1000份文件提到赎金软件作为风险因素,仅2020年1月1日到现在,就有超过700份,预计今年这一数字将轻松超过2019年的数字。 目前,在向美国监管机构提交的年报(10K和20F)、季报(10Q)、特殊事件备案(8K和6K)以及向美国监管机构提交的注册表(S1)中,都会经常提到赎金软件。Alphabet、美国航空、麦当劳、Tupperware和Pluralsight等大牌公司,仅在过去两天就将赎金软件列为其业务的潜在风险。 这些申报的目的是为了告诉股东,公司很容易受到攻击,也可能成为赎金软件团伙的攻击目标,任何赎金软件的感染都可能给公司带来巨大的、不可忽视的损失。为此,2018年2月SEC发布了正式的指导意见,要求企业加强对网络安全风险的披露。该文件中提到,赎金软件攻击是需要披露的一类事件,尤其是当攻击事件被广泛报道于新闻中,预计会在当季造成明显的财务损失,并可能影响股价(股东利润)的情况下,需要披露。 如今,赎金软件犯罪团伙已经不再以家庭用户为目标,而主要是针对大型企业网络,寻求奢侈的赎金支付。现在,赎金软件团伙对大公司的追杀十分凶猛。他们攻破网络,利用专门的工具最大限度地扩大损失,在黑暗的门户网站上泄露企业信息,甚至给记者提供小道消息,为企业制造负面新闻,以报复拒绝支付的企业。 赎金软件感染的危害现在已经达到了难以想象的程度。赎金软件要求500美元解密文件的日子已经一去不复返了。根据处理赎金软件事件响应公司Coveware发布的一份报告显示,赎金软件勒索的平均解密费在11万美元左右徘徊。   (稿源:cnBeta,封面源自网络。)
2020年5月3日 17:17hackernews.cc
GitLab 向报告自家平台的严重远程代码执行漏洞的安全研究人员奖励了 2 万美元。该漏洞由 William “vakzz” Bowling 发现,Bowling 既是一名程序员同时也是 Bug 赏金猎人,他于3月23日通过 HackerOne Bug 赏金平台私密披露了该漏洞。 Bowling 表示,GitLab 的 UploadsRewriter 函数用于拷贝文件,而这正是此次严重安全问题的源头。当 issue 被用于跨项目复制时,UploadsRewriter 函数会检查文件名和补丁。然而在这过程中由于没有验证检查,导致出现路径遍历问题,这可能会被利用于复制任何文件。 根据 Bug 赏金猎人的说法,如果漏洞被攻击者利用,则可能会被用于”读取服务器上的任意文件,包括 token、私有数据和配置”。GitLab 实例和 GitLab.com 域均受到该漏洞的影响,此漏洞被 HackerOne 判定为严重等级程度。 Bowling 补充到,通过使用任意文件读取漏洞从 GitLab 的 secret_key_base 服务中抓取信息,可以将该漏洞变成远程代码执行(RCE)攻击。举例来说,如果攻击者改变了自己实例的 secret_key_base 以匹配项目,那么 cookie 服务也可以被操纵以用于触发 RCE 攻击。 Bowling 将漏洞发送给了 GitLab 安全团队,工程师们重现了此问题,并指出攻击者至少需要成为项目成员才能利用该漏洞,但根据 GitLab 高级工程师 Heinrich Lee Yu 的说法,攻击者也可以”创建自己的项目或组别来达到同样的目的”。 目前,该漏洞已经在 GitLab 12.9.1 版本中得到了解决,安全研究人员 Bowling 也于3月27日获得了全额赏金。   (稿源:开源中国,封面源自网络。)