安全快讯Top News

伪装为 WAV 的恶意软件在受害设备上挖矿 但其 bug 导致 BSOD

Guardicore的安全研究人员揭示了一种复杂的恶意软件攻击,该攻击成功地破坏了属于医疗技术行业中型公司的800多种设备。恶意软件伪装成WAV文件,并包含一个Monero挖矿软件,它利用臭名昭著的EternalBlue漏洞来危害网络中的设备。 这款恶意软件唯一的bug,是最终导致受感染的电脑蓝屏死亡(BSOD),并且显示相关错误代码,最终引起受害者怀疑,并引发对事件的深入调查。 研究人员表示,BSOD于10月14日首次发现,当时发生致命崩溃的机器正在尝试执行长命令行(实际上是基于base-64编码的PowerShell脚本)。对脚本进行解码后,研究人员获得了可读的Powershell脚本,该脚本用于部署恶意软件。该脚本首先检查系统架构(基于指针大小)。然后,它读取存储在上述注册表子项中的值,并使用Windows API函数WriteProcessMemory将该值加载到内存中。研究人员指出,恶意软件负载通过获取和调用函数指针委托来执行。 该恶意软件尝试使用基于EternalBlue的漏洞传播到网络中的其他设备,该漏洞与WannaCry于2017年使用的漏洞相同,感染了全球数千台电脑。在对恶意软件进行反向工程之后,研究人员发现该恶意软件实际上隐藏了伪装成WAV文件的Monero挖矿模块,使用CryptonightR算法来挖掘Monero虚拟货币。此外,该恶意软件利用隐写术并将其恶意模块隐藏在外观清晰的WAV文件中。” 研究人员发现,完全删除恶意软件(包括终止恶意进程)阻止了在受害设备上发生BSOD。   (稿源:cnBeta,封面源自网络。)

外媒评俄罗斯攻击 Burisma 一事:证据不完全可靠

据外媒报道,2016年美国民主党全国委员会灾难性的黑客攻击给所有担心国际混乱竞选的人敲响了警钟。当地时间周一晚,美国人又有了一个担心2020年大选的新理由。《纽约时报》和网络安全公司Area1报道了俄罗斯情报机构针对乌克兰天然气公司Burisma发起的新一轮黑客攻击。 几个月来,共和党方面一直在暗示该公司内部存在一些可怕的腐败行为,如果俄罗斯间谍真的侵入了这家公司的网络那么可能就会带来非常可怕的后果。 一些国会议员则已经在预测2016年大选将会重演,民主党众议员Adam Schiff评论道:“看起来他们又想帮助这位总统(特朗普)。这是一个令人担忧的想法,考虑到特朗普上次拒绝承认俄罗斯的黑客行为,没有迹象表明白宫会采取任何措施来阻止它。” 尽管报告描绘了一幅可怕的画面,但证据并不像看上去那么确凿。虽然已经有强有力的证据表明Burisma成功地成为了网络钓鱼活动的目标,但很难确定是谁在背后支持这个活动。确实有迹象表明,俄罗斯的GRU情报机构可能参与其中,但证据大多是间接的。 据了解,大部分证据都在一份跟《纽约时报》文章一起发布的八页报告中。核心证据是以前针对Hudson Institute和George Soros的攻击模式。最糟糕的是,这些钓鱼活动都使用了相同的SSL供应商和相同URL的不同版本然后伪装成一个名为“My Sharepoint”的服务。在Area1看来,这是GRU的战术,Burisma只是众多目标中最新的一个。 但并不是所有人都认为基于域名属性的推断就是十拿九稳的。当Kyle Ehmke检查ThreatConnect相同模式的早期迭代时,他得出了一个更为慎重的结论,即“适度自信”地评估这些域名跟APT28有关–APT28是俄罗斯GRU的缩写。“我们看到了一致性,但在某些情况下,这些一致性并不适用于单个演员,”Ehmke告诉TheVerge。这种注册和网络钓鱼攻击的模式确实像是GRU的剧本,但它不是唯一的剧本也不是其利用的唯一剧本。 实际上,这意味着网络运营商应该在任何时候发现符合这种情况的攻击时发出警报,但要对单个事件做出明确的裁决就显得困难得多。竞选活动中使用的网络基础设施都是公开的,而且还被其他很多政党使用,所以这些都不能算是确凿的证据。而最显著的特征是术语“sharepoint”,研究人员只在跟GRU紧密相连的url中看到过这个词。但任何人都可以注册一个带有“sharepoint”的URL,所以这种连接只是间接的。 Ehmke指出:“这是一组值得注意的一致性,它可以用来寻找和识别他们的基础设施。但这并不是说所有具有这些一致性的东西都已经是而且将会是APT28。” 在缺乏一个特定机构的战略和目标的具体信息的情况下很难做出更强的归因。走向相反的方向–从一个弱归因到一个意图的假设–可能是危险的。 令人沮丧的是,这种弱归因在网络安全世界中非常常见,当各国努力搞清楚网络战的国际外交时它可能会引发真正的问题。乔治亚理工学院Internet Governance Project前执行董事Farzaneh Badii把原因不明归为“可以在技术上受到质疑的间接证据”。她认为这是一个全球性的问题,并主张成立国际归因小组来解决这种僵局,这样观察员就不必依赖私营公司或政府情报机构。如果没有这个信任问题就很难解决。   (稿源:cnBeta,封面源自网络。)

苹果 iPhone 现在可作为 Google 的物理安全密钥

谷歌更新了iOS上的Google Smart Lock应用程序。用户现在可以使用iPhone作为物理2FA安全密钥登录Chrome中的Google第一方服务。设置完成后,尝试在笔记本电脑等设备上登录Google服务,就会在附近的iPhone上生成推送通知。然后,您需要解锁支持蓝牙的iPhone,并点击谷歌应用程序中的一个按钮进行身份验证,然后才能在笔记本电脑当中登录Google第一方服务。 双因素身份验证是保护在线帐户最重要步骤之一,它提供了标准用户名和密码之外的附加安全层。物理安全密钥比当今普遍使用的六位数代码安全得多,因为这些代码几乎可以像密码本身一样被截获。谷歌之前已经允许用户使用自己的Android手机作为一个物理安全密钥,现在谷歌在iOS上提供了这个功能,这意味着拥有智能手机的任何人现在都拥有安全密钥,而无需购买专用设备。 谷歌Smart Lock应用程序通过蓝牙工作,而不是通过互联网连接。这意味着用户手机必须靠近笔记本电脑才能进行身份验证,从而提供了另一层安全保护。但是,该应用程序本身并不需要任何生物特征认证,如果用户的手机已被解锁,理论上来说,附近的攻击者可以打开该应用程序并验证登录尝试。 据Google的一位加密货币专家说,新功能利用了iPhone处理器的Secure Enclave功能,该安全区用于安全存储设备的私钥。该功能最初是在iPhone 5S上引入的,Google表示,这项安全功能需要iOS 10或更高版本才能运行。Smart Lock应用程序的新功能意味着iPhone现在可以与谷歌的高级保护程序一起使用,该程序是谷歌对网络钓鱼或其他攻击的最强保护。   (稿源:cnBeta,封面源自网络。)  

NSA 发现 Win10 漏洞 影响全球数十亿用户

继Adobe 星期二发布2020年第一个补丁程序软件更新后,微软也发布了一月份安全公告,警告数十亿用户有49个漏洞需要更新。周二发布的补丁程序的特别之处在于它更新修复了一个由美国国家安全局(NSA)发现的被广泛应用于windows10、Server 2016和2019版本中的一个核心组件。 CVE-2020-0601: Windows CryptoAPI欺诈漏洞 根据微软发布的官方公告:这个被称为“’NSACrypt”并定义为CVE-2020-0601的漏洞存在于Crypt32.dll模块中,该模块被包含在windows API系统,会对数据进行加密以及对各种“通行证和加密信息传递”进行解密处理。 但问题在于Crypt32.dll模块主要采用椭圆曲线加密(ECC)方式(该加密形式主要在SSL/TLS证书中使用),而椭圆曲线加密是目前公钥加密行业的标准。NSA在发布的新闻稿中对此现象解释到:攻击者通过通行证会破坏windows的加密验证方式,实现远程代码的执行。 攻击者通过滥用漏洞会破坏的验证方式有: HTTPS连接 签名文件和电子邮件 用户模式进下启动可执行签名代码 尽管该漏洞的技术细节尚未公开,但微软证实:若攻击者成功利用漏洞,会在用户不知情的情况下仿冒用户数字签名,进行恶意软件程序安装,也可以仿冒用户安装任何合法软件。此外,CryptoAPI中的漏洞还可能使远程攻击者更容易冒充网站或对受影响软件上的信息进行解密。 国家安全局表示:“此漏洞是我们与安全社区研究合作的一个例子,为确保用户安全,在此之前一个漏洞已被私下披露进行发布更新,若我们不对漏洞进行修复,其后果会很严重。 除了威胁等级被评为“重要”的Windows CryptoAPI欺诈漏洞之外,微软还修补了48个其他漏洞,其中8个是核心漏洞,其余40个都是重要漏洞。目前对于此种漏洞没有彻底的解决办法,建议用户可通过点击“窗口设置→更新和安全→窗口更新→单击“检查电脑上的更新”来安装最新的软件更新。 Windows系统中的其他重要的RCE漏洞 其中两个是会影响windows远程网关的CVE-2020-0609和CVE-2020-0610,未经身份验证的攻击者可以利用这些网关通过RDP请求在目标系统上执行恶意代码。 “此漏洞采用的是身份预先认证,不需要用户进行交互认证。成功利用此漏洞,攻击者可以在目标系统上执行任意代码,”windows顾问说。而CVE-2020-0611远程桌面客户端中的一个关键问题是它可能会导致反向RDP攻击,恶意服务器可以在连接客户端的计算机上执行任意代码。 “要利用这一漏洞,攻击者需要控制服务器,然后说服用户连接到它,而攻击者还可能危及合法服务器,在其上托管恶意代码,并等待用户连接”微软顾问说到。 幸运的是,微软本月修复的漏洞并未发现被公开披露或任意利用。   消息来源:thehackernews, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Facebook 漏洞或泄露主页管理员信息

Facebook于上周解决了一个安全漏洞,该漏洞暴露了主页管理员的帐户,并且被黑客利用于向若干个名人的主页发动在野攻击。 主页管理员的帐户是匿名的,除非页面所有者选择公开,但漏洞将会泄露管理员的帐户。 Facebook的“查看编辑历史”允许主页管理员查看所有相关的活动,包括修改过帖子的用户的用户名。黑客可能根据这个漏洞泄露修改者以及管理员的账号,并严重影响隐私。 在安全研究员警告后,Facebook迅速解决了该问题。 黑客攻击的页面列表包括 Donald Trump总统,街头艺术家Banksy,俄罗斯总统Vladimir Putin,前美国国务卿Hillary Clinton,加拿大总理Justin Trudeau,黑客组织匿名人士,气候活动家Greta Thunberg,以及说唱歌手Snoop Dogg等。 2018年2月,安全研究员Mohamed Baset 在Facebook上发现了一个类似漏洞。 Baset解释说,该漏洞属于“逻辑错误”:他之前曾在一个界面点赞了一篇帖子,之后他收到来自Facebook的邀请邮件,邀请链接就指向了这篇帖子所在的页面。研究人员分析了社交网络发送的电子邮件的源代码,发现其中包括页面管理员的姓名和其他信息。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Adobe 发布更新,解决 Illustrator 和 Experience Manager 中的漏洞

Adobe星期二发布了2020年第一个补丁程序软件更新  ,解决了Illustrator和Experience Manager中的多个漏洞。 安全公告称:“ Adobe已发布了针对Adobe Experience Manager(APSB20-01)和Adobe Illustrator(APSB20-03)的安全公告。Adobe建议用户根据说明将其产品更新到最新版本。” Windows版Illustrator CC 2019的安全更新解决了五个严重的内存损坏问题(CVE-2020-3710,CVE-2020-3711,CVE-2020-3712,CVE-2020-3713,CVE-2020-3714),黑客可以利用在目标用户的上下文中执行任意代码。 Fortinet’s FortiGuard实验室负责人Honggang Ren已将所有漏洞报告给Adobe。 尽管已为漏洞分配了严重等级,但其优先级为3,Adobe不会希望这些漏洞被黑客利用。 Adobe还发布了Adobe Experience Manager(AEM)的安全更新,该更新解决了四个被评为重要和中等的问题(CVE-2019-16466,CVE-2019-16467,CVE-2019-16468,CVE-2019-16469)。Netcentric的安全专家Lorenzo Pirondini向Adobe提交了编号为CVE-2019-16466和CVE-2019-16468的漏洞。 Reflected 跨站点脚本(XSS)和 Expression Language注入的危险级别较高,并且可能泄露敏感信息。用户界面注入问题危险性为中等,它也可能导致敏感信息的泄露。     消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

本月补丁星期二将修复严重安全漏洞 Windows 7 或无缘获得

援引外媒KrebsonSecurity报道,在2020年1月的补丁星期二活动中,微软可能已准备好修复存在于Windows系统中的严重加密漏洞,而该漏洞能够让恶意程序伪装成为受信任的组件欺骗用户进行安装感染。而重点是,今天正式停止支持的Windows 7系统可能不会修复该漏洞。 KrebsonSecurity在推文中写道:“消息源称微软计划在补丁星期二中修复存在于所有Windows版本中的严重安全漏洞,该漏洞是一个核心加密组件,可能会被用来欺骗数字签名软件的来源。显然,国防部和其他一些人会获得一个高级补丁https://t.co/V6PByhjTNR” 报道中称存在于Windows组件crypt32.dll中的安全漏洞非常严重,以至于Microsoft提前向政府安全服务发布了补丁。 KrebsonSecurity表示:“多方消息源确认,微软公司定于本周二发布软件更新,以修复所有Windows版本中核心加密组件中的严重漏洞。目前相关补丁已经提前发给了美军分支机构、以及管理关键互联网基础设施的其他高价值客户/目标,而且这些组织被要求签署协议以阻止他们透露漏洞的细节。” 不过在后续的声明中,微软否认了这一点。更为严重的是,该组件可以追溯到Windows NT时代的所有Windows版本,不过由于Windows 7停止支持,微软将不会发布相应的安全补丁。   (稿源:cnBeta,封面源自网络。)

安全公司发现俄黑客成功入侵 Burisma 网络:或对美大选产生干扰

据《纽约时报》报道,硅谷一家名为Area1的安全公司表示,他们发现有迹象表明,由国家资助的俄罗斯黑客成功入侵了乌克兰天然气公司Burisma。该公司在美国政治中扮演了核心角色,因为它跟民主党总统候选人领跑者约瑟夫·拜登关系密切。拜登的儿子亨特则是该公司的董事。 约瑟夫·拜登资料图 今年7月,特朗普总统要求乌克兰政府调查Burisma事件以找出有关拜登家族的破坏性信息。据称,特朗普曾威胁称,如果乌克兰总理不宣布展开调查,他将停止对乌克兰的军事援助。这一要求是总统正在进行的弹劾程序的核心,这也使得Burisma成为任何试图干涉美国政治的人的诱人目标。 而据安全公司Area1披露,他们发现了发送给Burisma员工的钓鱼邮件,这些邮件带有GRU黑客活动的许多特征。这些黑客显然成功获取了员工的登录信息,不过目前还不清楚他们究竟获取了多少信息。如果GRU真的有参与其中,那么该组织可能会在2020年总统大选期间曝出令人尴尬的信息。 据了解,在攻击Burisma的过程中,俄罗斯黑客可能采取了跟2016年大选期间其破坏希拉里·克林顿总统竞选活动类似的手段。   (稿源:cnBeta,封面源自网络。)  

研究发现五家美国电信企业易受 SIM 卡交换攻击

普林斯顿大学昨日发表的一项学术研究指出,美国五家主要的预付费无线运营商,极易受到 SIM 卡劫持攻击。其特指攻击者致电移动服务提供商,诱使电信企业员工将电话号码更改为攻击者控制的 SIM 卡,使之能够重置密码并访问敏感的在线账户,比如电子邮件收件箱、网银门户、甚至加密货币交易系统。 (图自:Apple,via ZDNet) 该校学者去年花费大量时间测试了美国五家主要电信运营商,以验证其是否能够欺骗呼叫中心的员工,在不提供适当凭据的情况下,将用户电话号码变更为另一个 SIM 卡。 研究团队指出,AT&T、T-Mobile、Tracfone、US Mobile 和 Verizon Wireless 均被发现在其客户支持中心中使用了易受攻击的程序,导致攻击者可借此发起 SIM 卡交换攻击。 此外,研究团队分析了 140 个线上服务和网站,发现有 17 个易被攻击者利用 SIM 卡交换攻击来劫持用户的账户。 为开展研究,团队先是创建了 50 个预付费账户(每运营商 10 个),并在唯一对应的电话上展开真实的通话。 一段时间后,研究团队开始向各个电信企业的客服中心致电,并提出类似的请求。 (图自:Lee et al)   其想法是攻击者会致电电信企业的支持中心,以求更换 SIM 卡,但故意提供了错误的 PIN 码和账户所有者的详细信息。 当在出生日期或账单邮递区号之类的隐私问题上提供不正确的答案时,研究助理会辩解称其在注册时过于粗心,导致提供了错误的信息,且一时难以回想起来。 此时,在前两种身份验证机制都失败后,电信企业会切换到第三套方案 —— 要求提供最近的两次通话记录。 在复杂的攻击流程中,攻击者可能诱骗受害者拨打特定的电话号码,因而运营商的防线很容易被攻破。 研究人员表示,借助这套方案,他们成功地骗过了所有五家美国预付费无线运营商。 在昨日发表研究结果时,团队就已经向受影响的各方发去了通知。T-Mobile 在审查了研究结果之后,决定不再使用呼叫记录进行客户身份验证。 遗憾的是,目前仍有四家运营商在使用易受攻击的验证流程。     (稿源:cnBeta,封面源自网络。)  

微软发现恶意 npm 软件包,可从 UNIX 系统窃取数据

Microsoft 的漏洞研究团队在 npm(Node Package Manager) 存储库中发现了一个恶意 JavaScript 程序包,可从 UNIX 系统窃取敏感信息。 该恶意软件包名为 1337qq-js,于 2019 年 12 月 30 日上传到 npm 存储库中。目前,该恶意软件包已被 npm 的安全团队删除。在此之前,该软件包至少被下载了 32 次。 根据 npm 安全团队的分析,该软件包通过安装脚本来泄漏敏感信息,并且仅针对 UNIX 系统。 它收集的数据类型包括: 环境变量 运行过程 / etc / hosts 优名 npmrc文件 其中,窃取环境变量则被视为重大安全漏洞。npm 团队建议所有在其项目中下载或使用此 JavaScript 程序包的开发人员从其系统中删除该程序包,并轮换使用任何 compromised 的凭据。 事实上,这是恶意软件包第六次被放入 npm 存储库索引,此前的五次分别为: 2019 年 6月 -黑客将电子本地通知库进行后门操作,以插入到达 Agama 加密货币钱包的恶意代码。 2018 年11月 -一名黑客借壳了the event-stream npm 程序包,以将恶意代码加载到 BitPay Copay 桌面和移动钱包应用程序内部,并窃取加密货币。 2018 年 7月 -黑客利用旨在窃取其他开发人员的 npm 凭据的恶意代码破坏了 ESLint 库。 2018年 5月 -黑客试图在名为 getcookies 的流行 npm 包中隐藏后门。 2017 年 4月 -黑客利用敲诈手段在 npm 上载了 38 个恶意 JavaScript 库,这些库被配置为从使用它们的项目中窃取环境细节。     (稿源:开源中国,封面源自网络。)