July Systems 公司 “Proximity MX” 平台因 AWS S3 存储器配置不当致敏感数据泄露

据外媒报道,总部位于旧金山的 July Systems 公司在网上暴露了大量敏感数据,该公司基于云智能定位和参与平台 “ Proximity MX ” 通过不安全的 Amazon S3 数据库公开了公司及其客户的专有信息。相关安全人员表示,极有可能是因为人为因素而造成了此次暴露事件。 相关人士透露,July Systems 的 Proximity MX 平台连接个人的数字足迹 – 特别是跟踪消费者的消费行为。该平台允许公司的客户与消费者进行相关的优惠和促销,并将数据记录到系统中”。据悉,该平台使用者还包括 CNN,ESPN,Intel,Toys “ R ” Us,CBS,Fox 和 NBC Universal 等全球知名媒体公司。 经过调查,在过去的一年中,配置不当的 S3 存储器造成的多次大规模泄漏事件已经暴露了来自各个组织的大量数据。最近, 美国陆军和国家安全局的数据也被暴露。而此次 July Systems 泄露的数据包括 iPhone 和 Android 应用程序的安全凭证,存储库凭据(可能允许任何人访问敏感的客户端数据或跟踪数据),内部构建和各种客户端的开发工具(比如 NFL, CBS,Amex,NBA,FOX,PGA 等)。此外,还暴露了诸如 “ Katy Perry,NFL , NBA ” 等品牌的档案信息和印度 Unilever 管理者的 1000 个用户名和密码。 11月 20 日,Kromtech 安全研究员 Bob Diachenko 发现了 3 个泄露的 S3 存储器 (两个与 July Systems 相关的存储器,另一个则与 Cisco 相关 ),并且发现数据库一直在实时更新。Diachenko 解释说,这三个存储器都是一个名为 EMSP 的生态系统的一部分,它可以利用 WiFi 网络获得有价值的客户信息、提供个性化的移动体验,而 JulySystems 与 CISCO 主要在合作推动 EMSP。 Diachenko 表示,此次暴露事件很可能是人为造成的 。因为 July Systems 有几台 S3 服务器没有密码并且可以公开访问。但目前不清楚是否有其他第三方访问了这些数据库,也不清楚该公司的 S3 存储器在被发现之前还要暴露多久。July Systems 在被告知数据暴露的两天内就已锁定涉事 S3 存储器,但与 Cisco 相关的服务器在获得安全保护之前仍然暴露了一个星期,然而现在真正的考验是,网络犯罪分子可能利用暴露的密码来访问数据基础设施的安全区域。 据悉,英国 IBTimes 已与 July Systems 取得联系以进一步明确此事,并正在等待回应。 消息来源:IBTimes,编译:榆榆 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

欧洲刑警组织联合微软、ESET 等公司取缔 “Andromeda” (仙女座)大型僵尸网络

据外媒报道,联邦调查局、欧洲执法机构和私营部门(例如:微软、ESET 等)于 11 月 29 日联合开展的一项国际行动,成功移除 Andromeda(又名 Gamarue 或 Wauchos)僵尸网络。 据悉,网络犯罪分子使用僵尸网络发送垃圾邮件、感染目标用户 、同时还向已感染用户二次传播恶意软件,甚至通过将僵尸网络租借给其他不法人群牟取暴利。  调查显示,相关执法机构移除了多款由黑客组织长期运营的僵尸网络,其多数由安全公司 ESET 检测为 Win32 / TrojanDownloader.Wauchos 。此外安全专家还跟踪了恶意基础设施,确定了他们的 C&C 服务器地址以及僵尸网络可能造成的潜在威胁。统计显示,其中包括 : 464 个不同的僵尸网络、80 个相关联的恶意软件系列、1214 个域名和 IP 地址的僵尸网络 C&C 服务器。 Andromeda (仙女座)是市场上最大的僵尸网络之一,自 2011 年以来一直存在。犯罪分子使用它来发布多个恶意软件系列,其中包括 Dridex 银行木马病毒和 GamaPoS 恶意软件等。据微软收集的遥测数据显示,在过去的六个月中,Andromeda 僵尸网络向受害用户提供了80 种不同的恶意软件,并且每月平均有 110 万台电脑收到僵尸网络 Andromeda 影响。 知情人士透露,Andromeda 被移除并非偶然,这要归功于去年移除了一个名为“ 雪崩 ”(Avalanche)的大型犯罪网络,该网络是一个用于驱动大规模全球恶意软件攻击和资金招募的基础设施,托管了 21 个恶意软件家族的分发基础设施(其中包括 Andromeda )。为了方便监视 Andromeda 和搜集数据,在去年新闻发布中当局并没有透露跟有关 Andromeda 僵尸网络在 Avalanche 事件上的任何细节。 欧洲刑警组织发表的报告显示,德国检察署 Verden 和 Luneburg 警方、美国宾夕法尼亚州西区检察官办公室、司法部、联邦调查局、欧洲刑警组织、欧洲司法组织和全球合作伙伴于 2016 年 11 月 30 日成功拆除了 Avalanche 的国际犯罪基础设施。这些组织被用作一个平台来管理大规模的恶意软件攻击,比如 Andromeda 和资金招募活动。 据称,欧洲刑警不仅通过已收集的数据成功逮捕了一名疑似 Andromeda 开发人员的白俄罗斯男子,还利用一年前关闭的 Avalanche 平台使用的 1500 个域名,通过 sinkholing 技术分析其流量并跟踪受感染的系统。据透露,在 48 小时的检测后,专家们观察到来自 223 个国家的约 200 万个 Andromeda 僵尸网络受害用户的 IP 地址。随后,因为最初受感染的计算机中仍有 55%  的系统继续被感染,所以调查人员将分析跟踪 Avalanche 的时间延长了一年。根据调查,英国、白俄罗斯、新加坡、中国台湾等国家/地区普遍遭到 Andromeda 和 Avalanche 僵尸网络的影响。 欧洲刑警组织欧洲网络犯罪中心负责人史蒂芬•威尔逊(Steven Wilson)表示,这是国际执法部门与行业合作伙伴处理重要的网络犯罪分子与其在全球范围内分发恶意软件感染专用基础设施的典型例子,由此可见,公私合作伙伴关系有效的打击了网络犯罪分子的恶意行为,并为用户提供更安全的网络。 更多阅读: 来自 ESET 公司的分析文章:https://www.welivesecurity.com/2017/12/04/eset-takes-part-global-operation-disrupt-gamarue 消息来源:Security Affairs、Bleeping Computer,编译:榆榆 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

印度黑客暗网低价出售的新勒索软件 Halloware 竟是一场骗局?

据外媒 12 月 3 日报道,一名自称是来自印度东北部的 17 岁大学生 Luc1F3R 正以 40 美元的低廉价格贩卖一款新勒索软件 Halloware,还专门在暗网、地下论坛、公共互联网上托管的两个站点以及 YouTube 的视频上进行销售。这些暗网为 Halloware 提供了终身许可证书,然而由于 Halloware 低廉的价格让研究人员产生了怀疑,他们推测这要么是一个骗局;要么在 Luc1F3 看来,Halloware 并没有那么复杂。对此,他们决定展开详细调查。 虽然研究人员最初认为这是一个骗局,但由于黑客在勒索软件出售网站上出现了一些操作失误,以至于他们可以追踪到 Luc1F3R  正在托管与 Halloware 有关文件的网页,包括使用勒索软件感染受害者的恶意文件列表。 调查显示,该列表中的一份文件 hmavpncreck.exe 的 SHA256 哈希值和 Luc1F3R 在 Halloware 广告中所包含 NoDistribute 的扫描结果相同,从而证实这正是安全专家所需要寻找的恶意软件二进制文件。而另一个名为 ran.py 的文件似乎是 Halloware 的源代码。虽然该文件受到了保护,但研究人员还是设法提取了它的源代码,最终由其他安全研究人员创建出解密程序,以防有人购买这个勒索软件并用它来感染目标用户。 此外,勒索软件使用了硬编码的 AES-256 密钥加密文件,并将“(Lucifer)”字符串加到加密文件中。买家可以通过改变两个图像并添加定制的支付站点 URL 来完成安装,例如,一旦加密成功,image.png 就会变成(Lucifer)image.png。“任务完成”后 Halloware 勒索软件将会弹出窗口显示一个令人毛骨悚然的小丑与一条赎金消息引诱受害者重定向至另一暗网支付网站,并更改用户的桌面墙纸或进行其他恶意操作。 虽然 Halloware 是一个简单的勒索软件,但确实奏效。专家也注意到,Halloware 勒索软件并没有在被感染的个人电脑上删除文本文件。另外,Halloware 使用了硬编码的 AES-256 密钥加密文件,并没有保存远程服务器上的任何信息,这一特性使得 Halloware 并无实际意义,而且就连作者 Luc1F3R 可能也没有机会从 Halloware 手中赚到任何钱财。 由此看来,作者 Luc1F3R 似乎只是一位低技能的新手,刚刚向网络犯罪的世界迈出第一步,因为研究人员发现他在 YouTube 上传的所有黑客教程都只是描述了基本的技术或者是宣传不太复杂的恶意软件,而在 GitHub 帐户中 Luc1F3R 还托管了另外四种恶意软件。 附:哈希表 007c1f11afb195d77c176891d54b9cfd37c87b13dfe0ab5b6c368125e4459b8c d5b58bdda4ece79fbc264fff7f32df584d7b0051a5493119d336252f4668c73c c6d2e486109dc37f451dccce716e99e8a2653475d5605531d52756fc4fc88f09 针对加密的文件类型: .jpg, .jpeg, .raw, .tif, .gif, .png, .bmp, .3dm, .max, .accdb, .db, .dbf, .mdb, .pdb, .sql, .dwg, .dxf, .c, .cpp, .cs, .h, .php, .asp, .rb, .java, .jar, .class, .py, .js, .aaf, .aep, .aepx, .plb, .prel, .prproj, .aet, .ppj, .psd, .indd, .indl, .indt, .indb, .inx, .idml, .pmd, .xqx, .xqx, .ai, .eps, .ps, .svg, .swf, .fla, .as3, .as, .txt, .doc, .dot, .docx, .docm, .dotx, .dotm, .docb, .rtf, .wpd, .wps, .msg, .pdf, .xls, .xlt, .xlm, .xlsx, .xlsm, .xltx, .xltm, .xlsb, .xla, .xlam, .xll, .xlw, .ppt, .pot, .pps, .pptx, .pptm, .potx, .potm, .ppam, .ppsx, .ppsm, .sldx, .sldm, .wav, .mp3, .aif, .iff, .m3u, .m4u, .mid, .mpa.wma, .ra, .avi, .mov, .mp4, .3gp, .mpeg, .3g2, .asf, .asx, .flv, .mpg, .wmv, .vob, .m3u8, .mkv, .dat, .csv, .efx, .sdf, .vcf, .xml, .ses, .rar, .zip, .7zip, .jpg, .jpeg, .txt, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .odt, .csv, .sql, .mdb, .sln, .php, .asp, .aspx, .html, .xml, .psd 消息来源:Bleeping Computer、Security Affairs,编译:榆榆,校对:青楚、FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

预警 | 逾六千台装备 Lantronix 串口的以太网设备暴露 Telnet 密码,可连接关键工控系统

HackerNews.cc 12 月 2日消息,NewSky Security 的首席安全研究员 Ankit Anubhav 于近期发现数千台装备 Lantronix 串口的以太网设备泄漏了 Telnet 密码。知情人士透露,攻击者可以借此针对连接设备发动网络攻击。 据悉,该设备服务器由美国供应商 Lantronix 制造,并被广泛应用于连接工控系统,其中大部分是老旧设备(只具备串行端口)。调查显示,此次暴露的以太网服务器串口是转用于连接远程设备的接口,例如:产品 UDS 和 xDirect 可以轻松通过 LAN 或 WAN 连接管理设备,从而实现与具备串行接口的任何设备进行以太网连接。 Anubhav 表示,当前逾有 6,464 台可连接到关键工控系统的 Lantronix 设备服务器在线泄露了 Telnet 密码,这些设备在 Shodan 上的曝光占了 48% 。据称,此次泄露事件不仅允许攻击者接管设备后使用特权访问将串行命令发送至连接设备,还能够允许攻击者可以通过在端口 30718 上发送一个格式错误的请求检索 Lantronix 设备配置。 另外,研究人员发现在 Metaploit 黑客平台包括一个 Lantronix  “ Telnet 密码恢复 ” 模块,该模块可用于通过配置端口(旧版本的 Lantronix 设备默认启用 30718 / udp)从 Lantronix 串口到以太网设备检索安装设置记录,并以明文方式提取 Telnet 密码。目前,补丁管理再次成为问题根源,而且易受攻击的设备并未(难以)通过更新来解决此类问题。 消息来源:Security Affairs,编译:榆榆,校对:青楚、FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

全球航运公司 Clarksons 拒付黑客赎金,内部机密数据或被泄露

HackerNews.cc 30 日消息,全球航运公司 Clarksons 发表声明称,公司此前发生“安全事件”被盗的内部机密数据可能会因拒付赎金而被黑客公开。Clarksons 公司表示不接受黑客威胁、将会采取有效措施应对被盗事件,并且对受影响的客户和个人深表歉意。 直至本文截稿前,被盗数据的数量和确切细节尚未被公布,Clarksons 公司只对外宣称被盗的是高度机密数据。Clarksons 表示,黑客组织访问公司内部系统可能没有利用软件漏洞这种途径,而是盗用了一个合法账户持有者的登录证书进行渗入。公司目前已将被盗帐户禁用,并采取了相应安全措施以防止今后发生类似的问题。 据 Clarksons 透露近期黑客可能会对外发布一些数据,但是作为一个负责任的全球性企业,公司选择与警方和安全专家合作处理这个事件,并与有关监管机构进行了联系。由于所涉及的是内部保密数据,所以要求律师必须采取一切必要的措施来保护信息的机密性。 Clarksons 发言人表示,目前事件正在调查,其余细节则不予透露。 消息来源:ZDNet、ESET,译者:榆榆,校对:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

牛津剑桥俱乐部备份硬盘被盗,涉英国皇室等 5000 名会员数据泄露

据外媒近日报道,11 月 16 日位于伦敦市中心最独特的俱乐部之一的牛津剑桥俱乐部总部发生计算机设备失窃案,包含 5000 多名会员个人详细信息的备用硬盘被盗或导致重大数据泄露,其中包括会员姓名,家庭和电子邮件地址,电话号码,出生日期,照片和一些银行账户详细信息。此外数据库中还包括有大约 100 名工作人员个人信息。 据报道,由于信用卡和借记卡信息没有存储在硬盘上,而且磁盘上的数据受到多层安全措施保护,他人获得用户敏感信息的机会较为渺小。调查显示,菲利普亲王和查尔斯王子都是荣誉俱乐部成员之一,所幸并没有受到盗窃行为的影响。 该俱乐部已经联系了警方,并聘请私人调查人员调查盗窃和违规行为。警方也正在检查俱乐部监控记录,筛查俱乐部人员的进出情况。目前俱乐部已经写信给其 5000 多名会员,提醒他们注意监控各自银行帐户、警惕可能发生的钓鱼欺诈事件。 消息来源:IBT,编译:榆榆 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

欧洲刑警组织缉获 2 万个兜售假冒奢侈品与毒品的非法网站

据外媒 11 月 28 日报道,在打击网络盗版的大规模行动中,欧洲警方于近期查获了约 20500 个用于兜售假冒商品的非法网站,其中主要在线出售包括设计师手表、化妆品、服装、儿童玩具和汽车零部件等奢侈商品,甚至有时还会包括毒品。 据悉,这一调查结果由 IOS 发布。IOS 是欧洲刑警组织知识产权犯罪协调联盟(IPC³)的领头,结合了 27 家欧盟成员国的专业知识进行全球性行动。欧洲刑警组织表示,该行动在过去一段时间内共检获 7776 个网站,而今年的行动中增至 20520 个。 欧洲刑警发表声明,宣称其调查结果充分地显示了执法机关和私营部门之间合作关系,以及消费者更安全使用互联网的重要程度。但由于造假网站变得愈加复杂,犯罪分子将会从网络获取更多匿名信息进行出售。此外,移动应用程序商店也是攻击者作为假冒网站的理想工具,因为用户不会质疑由官方应用程序商店下载的应用程序。 国家知识产权中心代理主任尼克·安南表示,他们会优先处理侵权网站、以及向消费者出售造假货物和从事其他形式的知识产权盗窃行为,并且还将加强与世界各地警方的合作,以便严厉打击知识产权犯罪行为。 消息来源:ibtimes.co.uk,编译:榆榆 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

继 WannaCry 勒索软件攻击后,英国 NHS 预将投入 2000 万英镑增强网络防御体系

据外媒 11 月 27 日报道,由于今年 5 月中旬 WannaCry 勒索病毒的肆意爆发,导致英国医疗服务组织(NHS)的 IT 系统出现大规模停滞现象。对此,NHS 经慎重考虑后于近期宣布将投入 2000 万英镑成立一所新安全运营中心,以便帮助各医疗机构免受网络攻击、提高其信息安全领域现有能力(例如:黑客道德行为、漏洞测试和恶意软件分析),以及为当地医疗服务组织提供网络安全咨询和指导。 英国国家审计署(National Audit Office)最近的一份报告显示,由于一些医疗服务机构没有应用基本的安全措施(比如系统未更新关键补丁),因此它们极易遭受网络攻击。知情人士透露,该安全运营中心的成立不仅可以持续监测 NHS 国家系统和服务,还可确保英国医疗数字服务组织国家信息和技术合作伙伴能够通过提供安全服务提高现有能力。而该服务将分析多个来源情报,并对所有需要医疗保健的用户分享威胁情报和指导。此外,安全运营中心还将为受害机构提供专家支持,以及现场数据安全评估,从而帮助他们发现潜在的安全问题。 英国医疗服务系统数字安全中心的负责人丹•泰勒( Dan Taylor )表示:“ 安全运营中心将加强当前数据安全服务、支持卫生和医疗系统、保护敏感患者信息,也将提高目前在黑客道德行为、漏洞测试与恶意软件的取证分析方面以及预测未来漏洞的能力。 目前,NHS 正寻找一个合作伙伴来联合运营该安全中心,以便灵活地帮助各医疗组织引入更多专业技能。NHS 的发言人表示: “ 这可能包括对未来事件的实地或远程支持,对更多需求的保证或输入,从而保证国家系统安全运行 ”。 据悉, 新安全中心将设在利兹,但尚未确定具体开放日期。 消息来源:ZDNet,译者:榆榆 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。