暴涨暴跌,比特币或失宠于网络黑市?

据外媒 12 月 26 日报道,知名安全调查员 Brian Krebs 发表博文称比特币作为地下网络犯罪中最常用的虚拟货币,其价格的飙升以及交易的相关费用可能会导致交易者将目光转向其他虚拟货币。 Krebs 称长期以来比特币的优势都在于其支付速度快、价格便宜、使用方便。在今年年初之前,比特币的收费还不到 0.10 美元。 而现在因为比特币价格的上涨以及支出的其他交易费用使得比特币在进行小额美元交易方面的吸引力大大降低,但这些交易占据了地下犯罪分子使用比特币支付交易的绝大部分。目前这种情形造成了数个主要的地下市场敦促其客户将资金存入其他的虚拟货币中,比如快捷、廉价的莱特币。 Krebs 引用了 Carder’s Paradise 的例子来进行解释。据悉,该商店也遭受了比特币价格上涨带来的困扰。 目前 Carder’s Paradise 的最低存款金额是 0.0066 BTC(大约USD $ 100),而每次交易的手续费为 15.14 美元,这意味着每当黑市的用户向该商店存入最低金额时,都会损失大约 15% 的交易手续费。问题是, Carder’s Paradise 将所有存入的资金转给供应商时,这些供应商会收取额外的比特币交易费(与用户存款时相同的费用),甚至有时会遇到存入 1 美元多付 5 美元的情况,以至于 Carder’s Paradise 不得不从用户那收取在供应商处花费的交易费。为了补偿用户的成本,Carder’s Paradise 只有降低其价格(包括信用卡),并为用户提供更好的比特币汇率。 Krebs 解释说,交易费的金额取决于比特币网络上的负荷。但是,无论存款金额如何,交易费都保持不变,例如 10 $ 和 1 000 $ 的交易费是一样的。若比特币价格持续上涨,那么这个业务将就不会再为 Carder’s Paradise 赢利,因为所有的收入都将花在比特币的交易费上。 因此,Carder’s Paradise 希望用户尽可能多地使用 莱特币 。该商店负责人表示若用户储蓄的是莱特币, 他们不会收取任何额外费用。 针对该种情况,Krebs 在其博文中写道,虚拟货币在促进非法贸易方面发挥着至关重要的作用,其波动对犯罪生态系统产生的重大影响是很正常的。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

普林斯顿信息中心( CTTP )发现浏览器“自动填充”漏洞最新玩法

据外媒 12 月 27 日报道,普林斯顿信息技术政策中心( CTTP )发现了利用浏览器“自动填充”漏洞窃取用户信息的最新玩法。目前,所有浏览器的登录管理器都存在着一种设计缺陷 ——登录管理器允许浏览器记住用户在每个特定网站上的用户名和密码,并在用户再次访问该网站时自动将其插入到登录表单。正是因为登录管理器的这种工作方式,网络追踪者可以在加载追踪脚本的网站上嵌入隐藏的登录表单,以便窃取用户信息。 普林斯顿隐私专家警告说,广告和分析公司利用登录管理器的漏洞设置隐藏的登录字段秘密提取网站用户名,并绑定未经身份验证的用户的个人资料或电子邮件访问该网站。 安全隐私专家称这种漏洞已存在十多年,仅在 XSS(跨站点脚本)攻击期间搜集用户信息。不过目前恶意人士已设计了新的攻击方式。 据悉,普林斯顿研究人员于近期发现了两种利用隐藏登录表单收集登录信息的网络跟踪服务:Adthink (audienceinsights.net) 、 OnAudience (behavioralengine.com)。这两种跟踪服务利用其脚本搜集了在 Alexa Top 100 万网站列表中发现的 1110 个网站的登录信息。目前登录信息只包含了用户名或电子邮件地址 ,并没有涉及到重要的密码信息。 鉴于这种情况,广告公司和分析公司通过窃取的用户名/电子邮件创建一个散列,并将该散列与网站访问者的现有广告配置文件绑定。研究人员介绍,电子邮件地址的散列是一个良好的跟踪标识符。因为电子邮件地址是唯一的、持久的,并且用户的电子邮件地址几乎不会改变,清除 cookie、使用隐私浏览模式、或者切换设备都不会阻止跟踪。网络追踪者可以通过电子邮件地址的散列来连接分散在不同浏览器、设备和移动应用程序上的在线配置文件。此外,该散列还可以作为 cookie 清除之前和之后浏览历史记录配置文件之间的链接。 知情人士透露,除了 Brave 浏览器之外,其他主流浏览器似乎都容易受到这种类型的攻击,例如基于 Chromium 的浏览器在用户点击页面时披露用户密码。研究人员目前已提出解决方法:厂商将浏览器设置为仅在用户与实际需要登录的字段交互时再自动填充即可。 根据普林斯顿的说法,秘密收集用户数据不仅限于侵犯了个人用户的隐私,实际上可能也违反了欧盟即将实行的 GDPR 法规,即使有些网站所有者并不清楚其行为属于跟踪范畴。 相关阅读 普林斯顿信息技术政策中心(CITP)提供的演示页面 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

以太坊交易平台 EtherDelta 被黑,失窃近 27 万美元以太币

据外媒 12 月 27 日报道,以太坊交易平台 EtherDelta 的域名服务器( DNS )证实近期遭到黑客攻击,致使 308 以太币( 约合 $266,789 )及潜在价值数十万美元的代币被窃。据悉,此次网络攻击发生于本月 20 日,一度导致 EtherDelta 平台暂停服务,官方当日发表推文公布其 DNS 服务器遭受攻击等相关细节。直至 22日 EtherDelta 平台才完全恢复服务。 知情人士透露,此次黑客主要通过 DNS 劫持诱骗用户发送钱款。官方指出伪造的应用程序中不仅没有导航栏上的聊天按钮,也没有官方 Twitter 提要,并且还具有一个伪造的订单簿以便获取用户信任。 EtherDelta 在其推文中呼吁所有用户不要访问假冒的网站,并承诺使用 MetaMask 和 hardware 钱包的用户不会受到影响,以及从未在钓鱼网站上输入私钥的用户也是安全的。 目前全球各地已发生多起黑客入侵虚拟货币平台事件,如近期韩国加密货币交易所 Youbit 在今年第二次遭受重大攻击后宣布破产,加密货币矿业市场 NiceHash 也证实因黑客攻击导致价值 6000 万美元的比特币损失。 研究人员认为虚拟货币价格的飙升是吸引网络犯罪分子频繁进行攻击行动的主要原因。 更多阅读: ○ 韩国比特币交易所 YouBit 遭黑客入侵 宣布申请破产 ○ 挖矿算力市场 NiceHash 近 6400万美元比特币被盗 ○ 专家:2018 年比特币等加密货币将成黑客主要攻击目标 消息来源:Security Affairs,编译:榆榆;校审:FOX 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

“雷鸟”安全飞行:Mozilla 修复 Thunderbird 高危漏洞

据外媒 12 月 26 日报道,Mozilla 近期为其流行的开源  Thunderbird (”雷鸟 “)电子邮件客户端发布了重要安全更新,解决了其 RSS 和客户端中的缓冲区溢出漏洞、用户信息泄露、假冒邮件地址等问题。 Mozilla 于 12 月份发布了五个漏洞修补程序,以下内容为漏洞的具体信息。 CVE -2017-7845(危急) 运行在 Windows 操作系统上的 Thunderbird 的关键缓冲区溢出漏洞,是五个漏洞中最为严重的一个。Mozilla 公告显示,在使用 Direct 3D 9 和 ANGLE 图形库(用于 WebGL 内容)绘制和验证元素时会发生缓冲区溢出,因为检查期间在库中传递的值不正确导致了潜在可利用的崩溃。不过这一漏洞仅影响 Windows 操作系统,其他系统不受影响。 CVE-2017-7846(高危) 存在于雷鸟 RSS 阅读器中。通过网站查看 RSS Feed 时,例如通过 “View – > Feed article – > Website” 或标准格式的 “View – > Feed article – > default format”查看内容时,可以在解析的 RSS Feed 中执行 JavaScript 代码 。 CVE-2017-7847(高危) 在 RSS Feed 中制作的 CSS 可能会泄露并显示包含用户名的本地路径字符串。 CVE-2017-7848(中等) RSS 字段可以在创建的电子邮件结构中注入新行,修改消息正文。。 CVE -2017-7829(低) 假冒发件人的电子邮件地址,向电子邮件收件人显示任意的发件人地址。Mozilla 解释若在显示字符串中以空字符开头,那么真正的发件人地址将不会被显示出来。 今年早些时候,Mozilla 表示将更新雷鸟的用户界面,并将其与 Firefox 浏览器更加紧密地结合,逐步取消对 XUL 和 XPCOM api 上构建的传统组件的支持。 消息来源:threatpost,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

三年后的今天,数百网站仍潜伏着 WordPress 恶意插件

据外媒 12 月 26 日报道,WordPress 团队于 2014 年发现并删除的 14 个 WordPress 恶意插件如今仍然被数百个网站使用。这些恶意插件可能允许攻击者远程执行代码,导致网站信息泄露。目前,WordPress 团队已经提供了应对措施。 WordPress 团队 2014 年初披露 14 个 WordPress 插件存在恶意代码,能够允许攻击者在被劫持的网站上插入 SEO 垃圾邮件链接,从而通过邮件获得该网站的 URL 和其他详细信息。直至 2014 年底,官方才从目录中删除了这些恶意插件。 WordPress 恶意插件死灰复燃 WordPress 团队最近发现官方插件目录被人为更改,导致原本已屏蔽的旧插件页面仍然可见,并且所有插件都包含有恶意代码的页面。这表明在官方删除恶意插件的三年后仍有数百个站点还在使用着它们。 为了保护用户免受恶意插件的侵害,一些专家曾建议 WordPress 团队从官方插件目录中删除恶意插件时提醒网站所有者,但这一想法被 WordPress 团队以“可能致使站点面临更大安全风险”的由否定。这个建议争议的地方在于,它造成了一种道德和法律上的两难境地:删除插件能够保护网站免受黑客攻击,但同时也可能对网站一些功能造成破坏。 目前,为了抵御一些主要的安全威胁,WordPress 开发人员在发现被感染的插件后会将其回滚到最后一个“干净”的版本,并将其作为一个新的更新强制安装在所有受影响插件的站点上。这样既能删除恶意代码、维护网站安全,同时也能保证网站功能不受影。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

GoAhead Web 服务器远程代码执行漏洞或影响数百万物联网设备

据外媒报道,安全公司 Elttam 近日公布 GoAhead Web 服务器存在一个能够影响成千上万的物联网设备的漏洞 CVE-2017-17562 。该漏洞被攻击者利用来在受影响的设备上远程执行恶意代码 ,IBM、摩托罗拉等科技巨头的产品可能也会牵涉其中,不过相关研究报告显示目前只有 GoAhead 3.6.5 之前的版本出现该漏洞。 GoAhead Web 服务器是为嵌入式实时操作系统定制的开源 Web 服务器。几乎所有物联网设备(包括打印机和路由器)中都可以轻松找到 GoAhead Web服务器的踪影,IBM、甲骨文、惠普、Oracle、波音、佳能、摩托罗拉等科技巨头都曾在其产品中使用过 GoAhead。 漏洞成因 出现该漏洞的原因在于 cgiHandler 函数使用不受信任的 HTTP 请求参数来初始化 CGI 脚本环境,以至于影响所有开启了 CGI 脚本支持(动态链接可执行脚本文件)的用户。当上述行为与 glibc 动态链接器结合使用时,可能会被滥用于使用特殊变量(如 LD_PRELOAD)的远程代码执行。相关研究人员解释说,对于访问时所带的参数字段,除了被过滤掉的 REMOTE_HOST 和 HTTP_AUTHORIZATION 参数之外,其他参数都被认为是可信的,因此在没有经过过滤的情况下就传递给目标函数,从而导致了攻击者可以修改 CGI 程序的 LD_PRELOAD 环境变量。 漏洞影响 Elttam 通过查询Shodan搜索引擎发现受这一漏洞影响的设备数量可能会在 50 万 – 70 万之间。此外,今年 3 月,研究人员 Pierre Kim 透露,由于 GoAhead 服务器存在漏洞,约超过 18.5 万 个易受攻击的 Wi-Fi 连接摄像机暴露在互联网上。 漏洞修复 目前 Web 服务器开发公司 Embedthis 已发布了修复该漏洞的更新,硬件制造商也将补丁包含在了 GoAhead 的产品中,但这个过程可能需要很长一段时间。此外,Elttam 还发布了概念验证代码 ,用于测试物联网设备是否容易受到 CVE-2017-17562 漏洞的影响。 相关阅读: Elttam 发布的漏洞分析报告:<REMOTE LD_PRELOAD EXPLOITATION> 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Debian 9 修复 18 个重要的 Linux 4.9 LTS 内核安全漏洞

Debian 项目近日发布了针对 Debian GNU/Linux 9 “ Stretch ” 系列操作系统新的 Linux 内核安全更新,修复了最近发现的几个漏洞 。 根据最新的 DSA 4073-1 Debian 安全通报,在 Debian GNU/Linux 9 “ Stretch ” 操作系统的 Linux 4.9 LTS 内核中,共有 18 个安全漏洞,其中包括信息泄露,提权升级和拒绝服务等问题。 通报显示,在 Linux 内核的 DCCP 实现、dvb-usb-lmedm04 驱动程序、hdpvr 媒体驱动程序、扩展 BPF 验证程序、netfilter 子系统、netlink 子系统、xt_osf 模块、USB 核心以及 IPv4 原始套接字实现都存在问题。另外,Linux 内核的 HMAC 实现、KEYS 子系统、Intel 处理器的 KVM 实现、蓝牙子系统和扩展 BPF 验证器也受到某种影响。 Debian 项目建议禁用未经授权的用户使用扩展 BPF 验证器( sysctl kernel.unprivileged_bpf_disabled = 1 )。 有关更多详细信息,请参阅 CVE-2017-8824,CVE-2017-16538,CVE-2017-16644,CVE-2017-16995,CVE-2017-17448,CVE-2017-17449,CVE-2017-17450,CVE-2017 -17558,CVE-2017-17712,CVE-2017-17741,CVE-2017-17805,CVE-2017-17806,CVE-2017-17807,CVE-2017-17862,CVE-2017-17863,CVE-2017-17864 ,CVE-2017-1000407 和 CVE-2017-1000410。 Debian 在默认情况下禁用非特权用户命名空间,但是如果启用(通过 kernel.unprivileged_userns_clone sysctl ),那么 CVE-2017-17448 可以被任何本地用户利用,因此建议升级 linux 软件包。 建议用户立即更新系统 为了解决所有这些问题,Debian 敦促用户尽快将运行 Linux 内核 4.9 LTS 的 Debian GNU / Linux 9 “ Stretch ” 安装更新到 4.9.65-3 + deb9u1 版本,并且在安装新内核更新后重新启动计算机。 Debian GNU/Linux 9 “ Stretch ” 是 Debian GNU/Linux 操作系统的最新稳定版本。本月早些时候,Debian GNU/Linux 9.3 发布了最新版本的 Debian GNU/Linux 8.10 “ Jessie ”。如果用户想安装该版本,可以从相关渠道下载 ISO 映像。 消息来源:Softpedia,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

X-Agent 后门大升级,俄罗斯 APT28 间谍活动更为隐蔽

HackerNews.cc 24 日消息,俄罗斯 “ 奇幻熊 ”(Fancy Bear,又名 Sednit、APT28、Sofacy、Pawn Storm 和  Strontium)APT 组织于近期重构后门 X-Agent,通过改进其加密技术,使后门更加隐蔽和难以制止。据悉, X-Agent 后门(也称为 Sofacy )与 “ 奇幻熊 ” 的几次间谍活动都有关系。 安全公司 ESET 发表的报告显示,“ 奇幻熊 ” 目前对 X-Agent 所进行的操作较为复杂。其开发人员对其实施新的功能 ,并且重新设计了恶意软件的体系结构,使 X-Agent 更加难以检测和控制: X-Agent 曾特别设计用于针对 Windows、Linux、iOS 和 Android 操作系统 ,研究人员于今年初发现了 X-Agent 用于破坏 MAC OS 系统的第一个版本。 最新版 X-Agent 后门实现了混淆字符串和所有运行时类型信息的新技术、升级了一些用于 C&C 服务器的代码,并在 WinHttp 通道中添加了一个新的域生成算法 ( DGA ) 功能,用于快速创建回滚 C&C 域。此外,加密算法和 DGA 实现方面也存在重大改进,使得域名接管变得更加困难。ESET 观察到 “ 奇幻熊 ” 还实现了内部改进,包括可以用于隐藏受感染系统的恶意软件配置数据和其他数据的新命令。 虽然 “ 奇幻熊 ” 对 X-Agent 后门进行了诸多改进,但攻击链条基本保持不变。该组织依然依赖于网络钓鱼电子邮件进行网络攻击。 ESET 发表的报告称攻击通常以包含恶意链接或恶意附件的电子邮件开始。过去,Sedkit 漏洞利用工具包是他们首选的攻击媒介,但是自 2016 年年底以来,这类工具已经完全消失。目前 “ 奇幻熊 ” 越来越多地开始使用 DealersChoice 平台,该平台也是此前针对黑山共和国使用过的 Flash 漏洞利用框架(例如:利用 CVE-2017-11292 0-day ),可按需求生成嵌入式 Adobe Flash Player 漏洞文档。 截止目前,黑客组织“ 奇幻熊 ” 主要攻击目标仍然是世界各地的政府部门和使馆。 更多阅读: ESET 发布的关于 APT28 的详细分析报告:<Sednit update: How Fancy Bear Spent the Year> 消息来源:Security Affairs、ESET,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

来自金钱的诱惑:Lazarus APT 魔爪逐渐伸向加密货币

安全公司 Proofpoint 近日发现 Lazarus APT 组织对加密货币极为关注, 并试图利用公众、媒体对加密货币价格暴涨的浓厚兴趣展开攻击。因此 Proofpoint 推断 Lazarus 的攻击行动可能与经济利益挂钩。 Lazarus(音译 “ 拉撒路 ”)堪称全球金融机构首要威胁。该组织自 2009 年以来一直处于活跃状态,据推测早在 2007 年就已涉足摧毁数据及破坏系统的网络间谍活动。调查显示,黑客组织 Lazarus 与 2014 年索尼影业遭黑客攻击事件及 2016 年孟加拉国银行数据泄露事件有关。(编者注) Proofpoint 发现 Lazarus 的攻击行动有一些共同特性: 第一、朝鲜黑客发起的几个多阶段的攻击都使用了与加密货币有关联的恶意软件来感染用户。 第二,包括 Gh0st RAT 在内的其他恶意软件,都旨在窃取加密货币钱包和交易的凭证,使 Lazarus 组织能够利用比特币和其他加密货币进行有利可图的操作。 因此 Proofpoint 推测 Lazarus 所进行的间谍活动极有可能是出于经济原因(这些行动或是朝鲜特有的),但此前已有多家安全公司认定 Lazarus APT是由国家资助的间谍组织,而国家支持的组织通常又会进行间谍活动和制造混乱。因此研究 Lazarus 的这些行动变得具有探索意义,有趣的地方在于: ○ Lazarus  APT 似乎是被公开的由国家资助以获取经济利益的第一个黑客组织组织 ○ 这些针对加密货币的攻击行动也有利于研究人员记录 Lazarus APT 所使用的定制工具和程序。 ○ 通过这些行动可以推断 Lazarus 并不是一个针对个体的单纯组织。 ○ 可以更好地了解 Lazarus 的行动和其所代表的全球威胁 消息来源: Security Affairs ,编译:榆榆,校审:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

美国华盛顿近 2/3 监控摄像机网络曾遭罗马尼亚黑客劫持

前情提要:欧洲刑警组织(Europol)、联邦调查局 (FBI)和罗马尼亚等相关执法机构于 12 月 13 日进行了一项大规模逮捕行动,警方在罗马尼亚东部抓获五名黑客,即近年来涉嫌入侵欧洲和美国境内数万台计算机后肆意传播勒索软件 Cerber 和 CTB Locker。 勒索软件 Cerber 于 2016 年 3 月出现,它以 RaaS 模式为基础获得广泛分布:RaaS 模式允许任何可能的黑客散布恶意软件,从而获取 40% 的赎金。与大多数勒索软件一样,CTB Locker 和 Cerber 经销商使用的是最常见的攻击载体,比如钓鱼邮件和漏洞利用工具包。 据外媒 12 月 22 日报道,五名黑客中有两人被指控利用勒索软件 Cerber 控制华盛顿 123 台(近 2/3 的)监控摄像机设备。据悉,该起事件发生于美国总统特朗普就职典礼举行前夕,因此引发了美国媒体的骚动。除了欧洲刑警组织之外,美国特勤局目前也在调查这些恶意软件。特工 James Graham 针对这两名罗马尼亚黑客 Isvanca 和 Cismaru 的网络犯罪向美国司法部提供了有关证据。 这两名嫌疑人被指 于 1 月 9 日入侵了 123  台部署在华盛顿哥伦比亚特区警视厅 ( MPDC ) 的监控系统的安全摄像头(总共 187 个),该系统用于华盛顿警方监视华盛顿市的公共空间情况。 为了具体调查攻击情况,今年 1 月 12 日华盛顿警方 IT 人员和秘密服务代理人在确认了一些摄像头处于离线状态的情况下,使用远程桌面协议( RDP )软件连接到一台控制摄像头的服务器上,随后发现该服务器设备运行着许多不常见的软件,其中就包括两个勒索软件变种 Cerber 和 Dharma ,以及文本文件 USA.txt 。据悉,该文本文件中包含 179,616 个电子邮件地址,被用于向目标用户发送垃圾邮件。警方在取证过程中发现与两名黑客有关的邮件帐户 vand.suflete@gmail.com 中带有相同的文本文件。 参与调查的分析师对该邮件账号尤其感兴趣,从其中获得了链接至 Cerber 控制面板的信息,可以断定两名黑客长期租用勒索软件 Cerber 以便感染用户勒索钱财。也正是因为这一邮箱使调查人员成功追踪到黑客 Isvanca 和 Cismaru。 另外调查人员联系了 vand.suflete[at]gmail.com 电子邮件帐户中提到的一些人员和组织,以确定他们的系统是否已经被入侵。相关人员透露,被感染设备中发现的个别目标 IP 被追溯至英国的医疗保健公司,该公司向调查人员证实,其 eXpressApp Framework ( XAF )系统的用户账户已被泄露。 消息来源: TheRegister ,编译:榆榆,终审:FOX; 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。