恶意软件 Zyklon 利用微软 Office 三漏洞收集密码及加密钱包数据

外媒 1 月 17 日消息,FireEye 于近期发现了一种新的攻击手法——利用三个 2017 年披露的 Microsoft Office  漏洞进行恶意软件 Zyklon 的传播活动 。据悉,该活动主要针对电信、保险和金融服务等公司,试图收集其密码和加密货币钱包数据,并为未来可能发生的 DDoS (分布式拒绝服务) 攻击收集目标列表。 功能强大的 Zyklon 恶意软件 Zyklon 是一款 HTTP 僵尸网络恶意软件 ,自 2016  年就开始出现,通过 Tor  匿名网络与其 C&C (命令和控制)服务器进行通信,从而允许攻击者远程窃取密钥和敏感数据,比如存储在 web 浏览器和电子邮件客户端的密码。此外,根据 FireEye 最近发布的报告,Zyklon 还是一个公开的全功能后门,能够进行键盘记录、密码采集、下载和执行额外的插件,包括秘密使用受感染的系统进行 DDoS 攻击和加密货币挖掘。 而在此次攻击活动中,背后的攻击者利用  Microsoft Office 的三个漏洞通过鱼叉式网络钓鱼电子邮件传播 Zyklon 恶意软件,这些邮件通常会附带一个包含恶意 Office 文档的 ZIP 文件。一旦用户打开这些恶意文件就会立即运行一个 PowerShell 脚本,并从 C&C 服务器下载最终 playload。这样一来, 用户的计算机设备就会成功受到感染。 以下为恶意软件利用的三个 Microsoft Office 漏洞: 第一个漏洞:CVE-2017-8759 是 Microsoft 去年十月修补 的 .NET 框架漏洞。打开受感染文档的目标将允许攻击者安装恶意程序,处理数据并创建新的特权帐户。 受感染的 DOC 文件包含嵌入的 OLE 对象,该对象在执行时触发从存储的 URL 下载的另外的 DOC 文件。 第二个漏洞:CVE-2017-11882 是在 Microsoft 公式编辑器的 Office 可执行文件中发现的远程代码执行错误,微软已于 2017 年 11 月为其发布了补丁。 该漏洞与以前的漏洞类似,打开特制 DOC 的用户将自动下载包含最终 playload 的 PowerShell 命令的 DOC 文件。 第三个漏洞:在于动态数据交换( DDE ),但微软不承认该漏洞的存在,而是坚称 DDE 只是一个产品功能,是建立应用程序如何通过共享内存发送消息和共享数据得协议。然而,在过去的一年中,攻击者利用 DDE 在恶意活动取得了巨大的成功,比如在无需启用宏或内存损坏情况下在目标设备上执行代码。 FireEye 表示,目前越来越多的攻击者利用恶意软件来执行不同的任务,并且很可能会超出当前攻击目标的范围,因此对于所有行业来说保持高度警惕性变得尤为重要。 消息来源:threatpost,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

全球最大僵尸网络 Necurs: 一反常态“殷勤”推销 Swisscoin 加密货币

外媒 1 月 17 日消息,全球最大的垃圾邮件僵尸网络 Necurs 已发出数百万封垃圾邮件,旨在推送一种鲜为人知的加密货币——Swisscoin 。目前垃圾邮件活动已导致 Swisscoin 损失了最初交易价格的 40% ,不过 Necurs 在其中扮演什么角色还尚未可知。 通常这种垃圾邮件被称为抽运和转储,依赖于发送大量的垃圾邮件来促进用户对特定的低价股票的兴趣。垃圾邮件发送者预先以低价购买股票,当垃圾邮件活动抬高价格时,则以较高的价格出售股票。 第一次推动加密货币 Necurs 多年来一直从事发送垃圾邮件的网络犯罪活动,比如传播 Dridex 银行木马和一些勒索软件。但值得注意的是,Necurs 于本周第一次通过大型垃圾邮件活动宣传 Swisscoin 加密货币 ,而不是像往常一样推送低价股票。 有关 Swisscoin 的交易行为在去年的一份报告中被描述为一种多层面营销 ( MLM ) 的庞氏骗局。这种交易经过短暂停止后于 1 月 15 日恢复运营,并且垃圾邮件也在当天开始传播。目前 Necurs 僵尸网络已派出三种不同的垃圾邮件,以下为邮件主题: This crypto coin could go up fifty thousand percent this year (这个加密货币今年可能会上涨 5 万美元) Let me tell you about one crypto currency that could turn 1000 bucks into 1 million(让我告诉你一种可以将 1000 美元变成 100 万美元的加密货币) Forget about bitcoin, there’s a way better coin you can buy (忘掉比特币吧,你可以买到更好的加密货币) 据初步统计,自从垃圾邮件发出后,加密货币损失了其最初交易价格的 40%。 因为之前没有类似的垃圾邮件活动作为参考物,所以目前并不清楚 Necurs 对 Swisscoin 交易价格有什么影响,不过研究人员认为比特币的下滑可能会对 Swisscoin 的价格造成一些波动。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

全球 50 多万用户或受到四种恶意 Chrome 扩展影响

外媒 1 月 16 日报道,美国网络安全公司 ICEBRG 发现了四种恶意 Chrome 扩展,用于执行点击欺诈或搜索引擎优化。目前受影响的用户数量已经超过 50 万 ,并且攻击者可能会利用该扩展进一步访问企业网络和用户信息。为了做好防护措施,ICEBRG 通知了荷兰国家网络安全中心(NCSC-NL)、美国计算机应急部署小组(US-CERT)以及 Google 安全浏览运营团队。 近日,ICEBRG 发现客户工作站到欧洲 VPS 提供商的出站流量出现了异常激增,其中包括一些全球主要组织的工作站。因此 ,ICEBRG 对该情况展开了调查。根据调查结果,四种恶意 Chrome 扩展的名称分别是: 1、Change HTTP Request Header(ppmibgfeefcglejjlpeihfdimbkfbbnm) 2、Nyoogle – Custom Logo for Google (ginfoagmgomhccdaclfbbbhfjgmphkph) 3、Lite Bookmarks (mpneoicaochhlckfkackiigepakdgapj) 4、Stickies – Chrome’s Post-it Notes (djffibmpaakodnbmcdemmmjmeolcmbae) 研究人员称这四种 Chrome 扩展允许攻击者以 JavaScript 代码的形式向用户浏览器发送恶意命令,但攻击者只能通过在后台加载一个网站以及点击广告来执行点击欺诈。 在媒体报道该事件时,除了 Nyoogle 之外其他三个恶意扩展已经从 Chrome 网上应用商店删除。不过尽管如此,许多用户仍然在其浏览器中加载了这些恶意扩展程序。 注意: 虽然 Chrome 网上应用商店删除了该恶意扩展,但是可能无法将其从受影响的主机中删除。此外,使用第三方 Chrome 扩展程序库可能仍然允许安装扩展程序。 目前 ICEBRG 已经发布了关于四种恶意 Chrome 扩展的详细报告,并建议用户检查浏览器以及删除其计算机的恶意扩展。 详细报告: <MALICIOUS CHROME EXTENSIONS ENABLE CRIMINALS TO IMPACT OVER HALF A MILLION USERS AND GLOBAL BUSINESSES> 消息来源:Bleeping Computer、Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

美国一家医院被迫支付 5.5 万美元赎金,以摆脱“SamSam” 勒索软件

外媒 1 月 16 日消息,美国印第安纳州汉考克地区一家医院(Hancock Health)被迫向黑客组织支付了价值 5.5 万美元的比特币赎金,以尽快摆脱勒索软件 “ SamSam ” 对其计算机设备的控制。据悉,该黑客组织通过暴力破解 RDP 端口,达到在更多的计算机设备上部署 SamSam 勒索软件的目的。 上周四( 1 月 11 日),Hancock Health 的工作人员发现黑客组织影响了医院的电子邮件和健康记录,但并没有窃取患者数据 。随后,经过相关研究人员展开调查发现,该组织使用 SamSam 勒索软件加密文件,并将文件重命名为“ I’m sorry ”。其实 SamSam 早在两年前就已出现过, 主要通过开放的 RDP 端口进行传播。 目前 Hancock Health 紧急采取了应对措施,例如通过 IT 人员介入暂停了整个网络;要求员工关闭所有计算机,以避免勒索软件传播到其他计算机;更有传言称医护人员利用笔和纸代替计算机来继续工作。 Hancock Health 表示尽管文件都有备份,但从备份中恢复文件很麻烦,因为要把所有的系统投入运行需要几天甚至几周的时间,以至于不得不向黑客组织支付赎金。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

RubyMiner 恶意软件入侵过时服务器挖掘加密货币

安全研究人员近期观察到一种在线部署的新型恶意软件 RubyMiner ——这是一种在被遗忘的网络服务器上发现的加密货币矿工 。据 Check Point 和 Certego 发布的研究结果以及研究员从 Ixia 收到的信息表明,攻击事件始于上周 1 月 9 日至 10 日。 攻击 Linux 和 Windows 服务器 Ixia 安全研究员 Stefan Tanase 指出,RubyMiner 的目标是 Windows 和 Linux 系统。恶意软件 RubyMiner 背后的团队使用一个名为 p0f 的 web 服务器指纹工具来扫描和识别运行过时软件的 Linux 和 Windows 服务器。一旦识别到未打补丁的服务器,攻击者就可以将已知的漏洞部署在易受攻击的服务器上,然后用 RubyMiner 来感染他们。 Check Point 和 Ixia 表示,他们已经观察到攻击者在最近的攻击浪潮中部署了以下漏洞: ◍ Ruby on Rails XML处理器 YAML 反序列化代码执行(CVE-2013-0156) ◍ PHP php-cgi 查询字符串参数代码执行(CVE-2012-1823;CVE-2012-2311; CVE-2012-2335;CVE -2012-2336;CVE-2013-4878) ◍ 微软 IIS ASP 脚本的源代码泄露(CVE-2005-2678 ) 攻击者将恶意代码隐藏在 robots.txt 文件中 在上周发布的一份报告中,Check Point 根据从 honeypot 服务器收集的数据,在 Linux 系统上分解了 RubyMiner 的感染例程,并从中认识到攻击者在某些方面的创造力: ▨ 可利用代码包含了一系列 shell 命令 ▨ 攻击者清除了所有的 cron 作业 ▨ 攻击者添加了一个新的计时 cron 作业 ▨ 新的 cron 作业下载了在线托管的脚本 ▨ 该脚本托管在多个域的 robots.txt 文件内 ▨ 脚本下载并安装合法的 XMRig Monero 矿工应用程序修改版本。 Check Point 安全研究员 Lotem Finkelstein 则表示,目前攻击者瞄准了 Windows IIS 服务器,但是并没有获得 RubyMiner 的 Windows 版本副本。此外 ,Check Point 称 2103 年的一起恶意软件活动部署了与 RubyMiner 相同的 Ruby on Rails 漏洞, Check Point 猜测其背后团队很可能正试图扩展 RubyMiner 。 Monero 采矿恶意软件的发展趋势日益明显 总体而言,近几个月来传播加密货币挖掘恶意软件的尝试有所增加,尤其是挖掘 Monero 的恶意软件。 除了密码劫持事件(也是 Monero )之外,2017 年的一些 Monero 挖掘恶意软件家族和僵尸网络还包括 Digmine、针对 WordPress 网站的未知僵尸网络、Hexmen、Loapi、Zealot、aterMiner、 针对 IIS 6.0 服务器的未知僵尸网络、CodeFork 以及 Bondnet 等。而就在 2018 年的前两个星期,已经出现了针对 Linux 服务器的 PyCryptoMiner 和另外一个针对 Oracle WebLogic 服务器的组织。大多数针对 Web 服务器的事件中,研究人员发现攻击者试图使用最近的漏洞攻击,因为会有更多易感染的机器。但奇怪的是,RubyMiner 攻击者却使用非常古老的漏洞,并且大多数安全软件都能检测到这些漏洞。 据研究员 Finkelstein 透露,RubyMiner 攻击者可能是故意寻找被遗弃的机器,比如被遗忘的个人电脑和带有旧操作系统的服务器 ,感染设备后确保在安全雷达下进行长时间的采矿。 RubyMiner 团伙已感染 700 多台服务器 根据 RubyMiner 恶意软件部署的自定义 XMRig 矿工中发现的钱包地址,Check Point 初步统计受到 RubyMiner 感染的服务器数量在 700 个左右,攻击者的收入约为  540  美元。一些专家认为若攻击者开始使用最近的漏洞,其幕后团队可能会赚取更多的钱。例如,一个从 2017 年 10 月开始针对 Oracle WebLogic 服务器的黑客组织就曾获利 226,000 美元 。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Spectre / Meltdown 补丁或严重影响 SolarWinds 的 AWS 基础架构

外媒 1 月 15 日消息,IT 管理软件和监控工具供应商 SolarWinds 通过分析发现,Spectre / Meltdown 补丁使其亚马逊网络服务( AWS )基础设施的性能严重下降。 据悉,SolarWinds 在半虚拟化的 AWS 实例上图形化地表现了“ Python worker service tier ” 的性能。如下图所示,在亚马逊重启 SolarWinds 使用的 PV 实例后,CPU 使用率跃升至 25% 左右。 与此同时,SolarWinds 对其 EC2 HVM 实例的性能也进行了监控,发现在 Amazon 推出 Meltdown  的补丁时性能开始下降,并且不同的服务层的 CPU 颠簸也非常明显。 根据数据显示,结果并不可观,比如 Kafka 集群的数据包速率降低了 40%,而 Cassandra 的 CPU 使用率则猛增了 25%。 不过 SolarWinds 表示,目前 CPU 水平似乎正在返回到 HVM 之前的补丁水平,但并不清楚实例中 CPU 使用率降低是否与额外的补丁有关。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Mirai Okiru:首个旨在感染 ARC CPU 的新型 Linux ELF 恶意软件

外媒 1 月 14 日信息,MalwareMustDie 团队首次发现了一种用于感染 ARC CPU 的 Linux ELF 恶意软件—— Mirai Okiru,旨在针对基于 ARC 的系统。据悉,Mirai Okiru 在被发现之前几乎没有任何的反病毒引擎可以检测到,再加上目前 Linux 物联网的威胁形势迅速变化,因此研究人员认为攻击者将会利用 Mirai Okiru 瞄准基于 ARC CPU 的物联网设备,从而导致毁灭性的影响。 ARC (Argonaut RISC Core)嵌入式处理器是一系列由 ARC International 设计的32 位 CPU,其广泛用于存储、家用、移动、汽车和物联网应用的 SoC 器件。 2016 年 8 月,MalwareMustDie 团队的研究员 unixfreaxjp 首先发现了 Mirai 僵尸网络 ,时隔不到两年, unixfreaxjp 又注意到恶意软件社区出现了新的攻击形式——Mirai Okiru,其影响程度极为深远,因为 ARC 嵌入式处理器已经被 200 多个组织授权,并且每年出货量达到 15 亿,这意味着可能暴露的设备数量是非常巨大的。此外,除了攻击 ARC,其他恶意目的也可能存在。 为了更加深入了解 Mirai Okiru ,MalwareDustdie 团队分析了 Okiru 与 Satori 变体(另一种僵尸网络)的不同之处: 1、配置不同,Okiru 变体的配置是以两部分 w/ telnet 攻击密码加密,而 Satori 并不分割这两个部分,也不加密默认密码。并且 Okiru 的远程攻击登录信息稍长一点(最多可以达到 114 个凭证),而 Satori 则拥有不同和更短的数据库。 2、Satori 似乎可以利用 “ TSource Engine Query ”进行分布式反射拒绝服务(DRDoS)功能(通过随机 UDP),而 Okiru 则没有这个功能。 3、在 Okiru 和 Satori 的配置中,感染跟进的命令有点不同,也就说他们没有共享相同的 herding 环境。 4、四种类型的路由器漏洞利用代码只被发现在 Okiru 变体中硬编码,Satori 完全不使用这些漏洞 。 5、Satori (见反编码的 VT 注释部分)是使用小型嵌入式 ELF 木马下载器来下载其他的架构二进制文件,与 Okiru 相比其编码方面存在不同 (请参阅反转代码在 VT 注释中)。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

SCADA-ICS 系统移动应用程序存在编码缺陷,或致关键基础设施沦陷

据外媒 1 月 13 日报道,IOACTIVE 研究人员发出警告称有黑客组织日前正瞄准 SCADA-ICS 系统 ,旨在利用其移动应用程序缺乏安全的编码标准,达到攻击关键基础设施的目的。 SCADA-ICS ( Supervisory Control and Data Acquisition Industrial Control Systems )— 监督控制以及数据采集工业控制系统, 表示在关键基础设施上运行的工业自动化系统,负责清洁水、能源等关键服务的控制和运行。 近期,IOACTIVE 的研究人员发布了一份报告,分析了连接到物联网和移动应用程序的 SCADA-ICS 系统的安全影响。 该报告指出,移动应用存在于许多 ICS(工业控制系统) 领域,具体可分为两类:本地(Wi-Fi,蓝牙)和远程应用(互联网,VPN),目前这两类主要受到三种形式的攻击,如未经授权的物理访问到设备或 “ 虚拟 ” 访问设备数据、通信渠道泄露( MiTM )、应用程序泄露。 考虑到这些攻击,移动 SCADA 应用程序可能直接或者间接地影响工业过程以及工业网络基础设施,并威胁操作员对系统执行有害操作。 据 IOACTIVE 透露,该研究基于 OWASP 2016 进行,分析了 34 家在 Google Play 商店上发布应用程序的供应商。目前已确定有 147 个与安全编码编程相关的问题( 该安全编码可能允许代码被篡改 )。 研究人员发现利用这些问题黑客可以远程控制智能手机,以进一步攻击在硬件和软件上使用的易受攻击的 ICS 应用程序,并且几乎每个应用程序都增加了16 个漏洞,例如一些应用程序中包含不安全的授权,而这些授权并没有经过任何形式的身份验证;由于缺少代码混淆,其他的漏洞也存在逆向工程;再加上不安全的数据存储和意外的数据泄露,使得黑客可以访问与 SCADA 系统相关的应用程序或数据。 由于这些新的漏洞构成了巨大的威胁,甚至超过了 2016 年乌克兰袭击所造成的损害,因此为了减少社会安全受到的威胁性,IOACTIVE 建议应用程序开发人员在开发计划中考虑安全编码。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

台湾数据安全竞赛意外发布“病毒 U 盘”

据外媒报道,刑事调查局 ( CIB ) 向通过网络安全知识测试的公众奖励了 250 个 U 盘,随后该主办方陆续接到报告称“累计 54 个8GB U 盘中都带有恶意软件”,该测试是去年 12 月 11 日至 15 日期间由台湾总统办公室主办的信息安全活动的一部分。 知情人士表示,一些通过测试的参赛者报告说,U 盘被其设备上的安全软件标记为含有恶意软件之前,U 盘的分发就已于 12 月 12 日停止了。目前 20 个单位已经退回该驱动器,其余的可能还在流通。 该恶意软件被标记为 XtbSeDuA.exe ,能够从 32 位计算机中窃取个人信息。根据 CIB 的说法,若是数据窃取成功该恶意软件会试图将数据传递到一个位于波兰的 IP 地址,随后该 IP 地址将数据转发给身份不明的服务器。研究人员透露该恶意程序被认为是欧洲刑警组织在 2015 年发现的网络诈骗团伙使用的。 CIB 表示,这种感染来源于当地承包商员工所使用的 “ 将操作系统转移到驱动器并测试其存储容量 ” 的工作站,其中有些驱动器是在中国大陆生产的。但警方并不认为这一起间谍活动 ,仅以“意外安全事件”作为处置。 事实上此类安全事件的发生并不在少数,例如 2008 年,澳大利亚电信公司 Telstra 在 AusCERT 安全会议上无意发布了恶意软件。此外,早在 2002 年,IBM 的 U 盘也被发现包含一种罕见的引导扇区病毒。而且去年,该公司又发生了一起涉及闪存驱动器的事故, 该公司将携带木马病毒的 U 盘与其存储系统存储在一起。 2016 年的一项调查发现,当人们遇到有问题的 U 盘时,好奇心往往会驱使他们一探究竟。在这项研究中,300 名大学生中有近一半的人没有回避插入和点击记忆卡中的文件。此外,研究 认为 U 盘的另一个问题是其经常会被误放,正如两年前在伦敦西部发现了一个包含伦敦希思罗机场敏感信息的未加密 U 盘。 Stuxnet 蠕虫病毒(超级工厂病毒)就是潜伏于 U 盘上并且造成严重破坏的重要例子: Stuxnet 蠕虫病毒于 2008 年在伊朗纳坦兹核设施造成重大的离心机损坏,据说它是通过一个 U 盘被引进到该设施的;2013 年,美国有两家未命名的发电厂被含有恶意 U 盘的软件感染;2016 年,德国核电厂使用的电脑和 18 个U 盘也被发现存在恶意软件。 消息来源:welivesecurity,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

美众议院同意涉外情报监控法修正案,或将增强 NSA 间谍能力

据外媒报道,美国众议院 11 日以 256 票对 164 票的结果同意《涉外情报监控法修正案》(FISA Amendments Act)第 702 条 的更新授权,延长其有效期至 2024 年。不过该修正案还需美国参议院进行表决,但若表决通过将会意味着美国国家安全局(NSA)能够继续在没有搜查令的情况下监听美国境外的外籍人士,并且收集与外国人员通信的美国公民的相关情报。目前该修正案因缺乏对被监控人群的隐私保护而受到美国某些团体的反对。 自 2001 年 “ 9·11 ” 恐怖袭击事件发生之后,美国政府就开始在收集情报信息方面加大力度。据悉,NSA 存储于数据库的情报是在 AT&T、谷歌、Facebook 以及雅虎等互联网公司的帮助下编制的,而这些公司在未经授权的情况下就将信息交给了美国官员。 然而外国情报监控法的第 702 条将在 1 月 19 日到期,若在该日期前法案仍未获得美国政府通过,那么该条例将不能再保证 NSA 的监听计划。 虽然目前该修正案还需获得参议院的表决,但有政治分析人士猜测该修正案应该会被通过。最重要的一点是,美国总统唐纳德·特朗普(Tonald Trump)今天在 Twitter 上表示支持该修正案。 但也有不少美国隐私团体和公众反对该修正案,他们认为其增强了 NSA 的间谍权力,以至于隐私受到侵犯。 消息来源: Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。