黑客就数据泄露表示认罪 曾威胁 Uber 和 Lynda 支付巨额赎金

Brandon Charles Glover 和 Vasile Mereacre 是两名黑客,他们对在2016年攻击并勒索 Uber 和Lynda.com 一事认罪。 2017年11月,Uber首席执行官 Dara Khosrowshahi 承认黑客曾闯入公司数据库并盗取了5700万用户的个人数据,但公司在过去的一年里没有公开此事。 根据彭博社的报告,黑客通过 Uber 开发团队的 GitHub 获得了访问权限,并且要求Uber支付10万美元,否则将公开这些被盗数据。Uber 将付款伪造成漏洞赏金,派  Glover 和 Mereacre 分两次支付了 50,000 比特币并与他们签署了保密协议。 2018年9月,Uber同意就此事件美国各州和哥伦比亚特区支付1.48亿美元的和解金。 Lynda.com 是一个在线学习平台,其于2015 年被 LinkedIn 收购。2016 年,该公司提醒其 950 万客户声称公司遭到了黑客攻击,尽管只有 55,000 个帐户受到影响。与 Uber 不同,LinkedIn 拒绝向黑客付款,并试图找出他们。 本周,Glover 和 Mereacre 在美国地方法院出庭。两人都承认于2016年10月至2017年1月期间从部署在 Amazon Web Services 的公司窃取用户数据,并向他们索取费用。 两人现在面临最高五年的监禁和25万美元的罚款。下次听证会定于3月18日在美国地方法院举行。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新的 PHP 漏洞可能使黑客入侵在 Nginx 服务器上运行的网站

如果您正在 NGINX 服务器上运行任何基于 PHP 的网站,并且启用了 PHP-FPM 功能,请当心最近新公开的一个漏洞,黑客有可能利用这个漏洞远程入侵您的网站服务器。 PHP-FPM 是一个PHPFastCGI管理器,可为用 PHP 编程语言编写的脚本提供高级且高效的处理。 主要漏洞是 PHP-FPM 模块中的“ env_path_info”下溢内存损坏问题,攻击者可能借助这个漏洞在易受攻击的 Web 服务器上远程执行任意代码。 尽管公开发布的PoC漏洞专门针对运行PHP 7+版本的易受攻击的服务器,但PHP-FPM下溢错误也影响到了早期的PHP版本,并且可以采用其他方式进行武器化。 简而言之,如果存在以下情况,则网站容易受到攻击: NGINX经过配置,会将PHP页面请求转发到PHP-FPM处理器, fastcgi_split_path_info指令存在于配置中,并且是以’^’符号开头和以’$’符号结尾的正则表达式, PATH_INFO变量是使用fastcgi_param指令定义的, 没有诸如try_files $ uri = 404或if(-f $ uri)之类的检查来确定文件是否存在。 受影响的提供商之一就是Nextcloud,该公司昨天发布通知,警告其用户“Nextcloud NGINX的默认配置也会受到此漏洞影响”,并建议管理员立即采取行动。 在专家们向PHP开发人员小组报告该漏洞近一个月后,该漏洞补丁已于10月25号发布。 即使当前的配置不会受到攻击,用户也最好将PHP更新到最新的PHP 7.3.11和PHP 7.2.24。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

750 万 Adobe Creative Cloud 用户记录遭到泄露

由于配置错误,Adobe使用的 Elasticsearch 数据库无需密码就能连接。这一故障导致近 750 万 Adobe Creative Cloud 用户的基本信息暴露在互联网上。 这些信息主要包括帐户信息,涵盖用户 ID、国家、电子邮件地址、以及用户使用的Adobe 产品,还有帐户创建日期、最后登录日期,用户是否是 Adobe 员工以及订阅和付款状态。不包括密码或财务信息。 10月19日,Security Discovery 的专家 Bob Diachenko 和 CompariTech 的技术记者Paul Bischoff 发现了这些被泄露的数据。两人通知了Adobe的安全团队,后者在当天对服务器进行了维护。 这一次的数据泄漏不像过去在其他公司发现的那样严重,因为它不包含密码,付款数据,甚至没有用户的真实姓名。 但是,尚不清楚其他人是否也访问了该数据库并下载了其内容。黑客有可能向那些暴露了电子邮件地址的用户发送钓鱼邮件,并盗取用户的 Creative Cloud 帐户拿去暗网销售。 Adobe 于10月25日在一篇博客文章中对这场事故作出了回应,并表示此次事故是因为配置错误,使得服务器被暴露在互联网上。     消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

美国国土安全部门及 FBI 发布警告 提醒企业防范恶意脚本注入

E-skimming 是指黑客将恶意代码植入电子商务网站,并窃取信用卡数据或个人身份信息的行为。联邦调查局(FBI)近期对企业发布警告,提醒他们注意此类型的攻击。 “此警告专门针对在线进行信用卡付款的中小型企业和政府机构。黑客会通过将恶意代码注入网站来盗取信息。他们可能已经通过钓鱼攻击和攻击服务器厂商获得了员工访问权限。”——FBI. E-skimming 最早于2016年出现并迅速发展。在过去的几年中,黑客在 Magecart 组织下进行了许多次攻击。 实现 e-skimming 的方式有多种,例如利用电子商务平台 Magento,OpenCart 中的漏洞等等。其他方法还包括通过供应链攻击破坏这些平台的插件,或者将信用卡读取脚本注入某个公司的网站,或者获取管理员权限并在电子商店中植入恶意代码。 Magecart  组织的黑客主要致力于利用软件盗窃者窃取支付卡数据。自2010年以来,安全公司至少盗取了十几个团体的活动 ,其中就包括  英国航空,  Newegg,  Ticketmaster,  MyPillow和Amerisleep以及  Feedify。 为防范黑客攻击,FBI 提供了如下建议: 1.使用最新的安全软件更新和修补所有系统。需要将防病毒和反恶意软件升级到最新版,并且开启防火墙。 2.更改所有系统上的默认登录凭据。 3.对员工进行网络安全教育,不要轻易点击邮件中的链接或附件。 4.隔离和分段网络系统,防止黑客连续攻击。     消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

黑客盗取 BriansClub 超过 2600 万张信用卡信息

BriansClub 通过贩卖信用卡中的个人信息而盈利,是世界最大的黑市网站之一,却与于不久前遭到了黑客的攻击。最先报告数据泄露事件的 Brian Krebs 表示,黑客窃取了超过2600万张信用卡的信息。 专家估计,从 BriansClub 泄漏的被盗卡总数约占黑市上可用卡的30%。 BriansClub 的管理员确认,网站的数据中心已于今年早些时候被黑客入侵,并且声称被盗数据已经删除,但有多个消息确认这些数据仍在BriansClub上销售。 Krebs 还是俄罗斯黑客论坛 Verified 的管理员。据他所说,BriansClub 的攻击者的昵称为 “ MrGreen” ,并且他还经营着一家与自己同名的信用卡店。 目前这名 “ MrGreen” 已经被 Verified 拉黑。     消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

黑客伪造 WordPress 插件并植入后门

伪造 WordPress 插件是黑客的常用攻击方式之一。然而安全人员近期发现了一些具有后门功能的插件,如 initiatorseo 和 updrat123 等。 黑客依照 UpdraftPlus 伪造了这些恶意插件。前者拥有超过 200 万活跃用户,并且会定期发布更新。 恶意插件隐藏在 WordPress 首页,只有使用具有特定User-Agent字符串(随插件而异)的浏览器才能看到它们。 即使原始感染源被删除,黑客也仍然可以在用户的电脑上建立后门,并且仍然具有对服务器的访问权限。 这些后门通过 POST 请求,将恶意文件上传到服务器。该请求包含了文件下载位置的远程 URL ,以及将在受感染服务器上创建的文件的路径和名称。 到目前为止,这些 POST 参数对于每个插件都是唯一的。 黑客利用插件,将文件(即5d9196744f88d5d9196744f893.php) 上传至站点根目录。他们将会用文件中的脚本对其他站点进行暴力攻击。就算是管理员也看不到通过 WordPress 插件安装的后门。 此外,受感染的网站可能会遭到恶意攻击,包括 DDoS 和暴力攻击,发送垃圾邮件或被用于挖矿。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新型恶意软件 Tarmac 被发现针对 MacOS 用户

安全研究人员发现了一种新的Mac恶意软件,然而它的目的和功能目前仍然是一个谜。 这款恶意软件名为Tarmac(OSX / Tarmac),其通过在Mac用户的浏览器中运行恶意代码,将用户重定向到某个软件的更新页面——通常是Adobe的Flash Player。 在用户下载Flash Player更新的同时,其系统将会安装恶意软件二人组-首先是OSX / Shlayer恶意软件,然后是第一个启动的OSX / Tarmac。 自2019年1月开始传播 Confiant的安全研究人员Taha Karim表示,这次散播Shlayer + Tarmac组合的恶意活动始于今年1月。 Confiant 当时发布了一份有关2019年1月恶意广告活动的报告 ; 但是,他们只发现了Shlayer恶意软件,而没有发现Tarmac。 目前已经确定的Tarmac版本都比较旧,并且原始命令和控制服务器已关闭——或者已经被迁移。 Shlayer 会在受感染的主机上下载并安装 Tarmac。Tarmac 会收集有关受害者硬件设置的详细信息,并将此信息发送到其命令和控制服务器。 之后,Tarmac将等待新命令。但是由于服务器不可用,所以无法确定在这之后会发生什么。 从理论上讲,大多数恶意软件都非常强大,具有许多侵入性功能,Tarmac 也应该会造成巨大的威胁。但是目前一切都还只是谜。   主要受影响用户位于美国,意大利和日本 Karim 表示,分发 Shlayer 和 Tarmac 的恶意广告主要针对的是美国,意大利和日本的用户。 由于 Tarmac 的 payload 具有合法的 Apple 开发证书签名,因此 Gatekeeper 和 XProtect 不会在安装过程中报错或者中止。 如果用户想要查看自己的 Mac 系统是否受到此恶意软件感染,可以在Karim的Tarmac报告中寻找IoC。     消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Emotet 木马卷土重来,不断演变

随着 Emotet 僵尸网络被重新唤醒,其传播方式,有效负载,恶意文档模板和电子邮件模板也在不断发展。 休止活动长达几个月之后,Emotet 在本周一卷土重来。它开始制造垃圾邮件,通过邮件将恶意附件推送给毫无戒心的用户。Emotet 原本是一种窃取银行登录凭据的木马,但它现在被用来分发其他恶意软件。 仅仅几天之后,Emotet 就被分成不同的版本,并采用了新的文档模板,旨在进一步诱骗用户使用恶意 Word 宏。   新的 Emotet 文档模板 Emotet 使用了恶意 Word 文档模板,要求用户通过单击“启用内容”按钮“接受许可协议”。这样做,将启用嵌入在文档中的宏,然后将 Emotet 木马安装在收件人的计算机上。 正如微软和 JamesWT,Joseph Roosen,Brad Duncan,ps66uk 所说,Emotet 已将其恶意文档模板更改为“受保护视图”诱饵。此诱饵告受害人“由于文件在受保护的视图中打开而无法完成操作。某些活动内容已被禁用。单击启用编辑并启用内容”。 与上一个模板一样,如果单击“ 启用编辑”,然后单击“ 启用内容”,嵌入的宏就会运行脚本,然后将Emotet安装到计算机上。   垃圾邮件中包含了恶意下载链接或附件 我们看到的大多数 Emotet 垃圾邮件都包含附件,但有些还包含了用于下载恶意文档的链接。 例如,下面的 Emotet 垃圾邮件就包含了一份恶意 Word 文档附件。 下图的垃圾邮件包含了一个链接,用于下载恶意文档。 这意味着如果要保障用户安全,单独过滤附件是不够的。   利用 WScript 和 PowerShell 安装 payloads 虽然大多数针对 Emotet 的报道都将关注点放在了产生 PowerShell 的恶意附件上,但一些垃圾邮件也会通过 WScript 执行 JScript 脚本来安装恶意负载。 例如,下面是一个 PowerShell 命令的示例,该命令由 Emotet 附件执行。 不幸的是,没有办法禁用 PowerShell 执行的编码命令。但是可以通过以下命令禁用 PowerShell 脚本: Set-ExecutionPolicy -ExecutionPolicy Restricted 凭借其拥有的多种有效载荷,潜在用户以及广泛的传播,Emotet 对于网络安全是一个很大的威胁,需要所有管理员,安全专业人员和用户的密切关注。     消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

维基百科遭遇 DDoS 攻击,NCSC 提醒其他公司加强防范

在维基百科遭遇 DDoS 攻击并停运后,NCSC(英国国家网络安全中心)敦促其他组织对 DoS 攻击组织采取应对措施。 根据维基媒体德国公司(Wikimedia Deutschland),大规模 DDoS 攻击导致维基百科的大多数服务器瘫痪,美国,欧洲,英国和中东地区的用户在 9 月 6 日和 9 月 7 日期间无法进入维基百科网站。 根据非政府组织 NetBlocks,维基百科的网站大约停机了 9 个小时,其中 DDoS 攻击的目标是美国和欧洲的维基媒体基础设施。   恢复正常运行 “今天,维基百科遭遇恶意攻击,导致部分国家的用户在相当一段时间内无法访问我们的网站。”  维基百科的非营利性基金会发表推特称,“攻击仍在持续。为了使用户可以正常访问我们的网站,我们的团队正在努力阻止攻击。” “在遭遇此次攻击后,维基媒体社区和维基媒体基金会已经创建了专门的系统和员工来定期监控和解决风险。我们会从问题中吸取经验,并且提高防范能力。” 维基媒体基金会称。 NSCC强调,为了更好地应对 DoS 攻击,企业应将其运行模式设置为可扩展的,以便在大量流量涌入网站时,基础设施可以自动核算并分配更多资源来容纳这些流量。   消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Telegram 在修复隐私漏洞后发布新版本

Telegram 最新发布的客户端版本为 5.11,该版本修复了一个严重的隐私漏洞。由于此应用在 Google Play 商店的下载量超过1亿次,这将会是一起严重的隐私侵权事故。 Telegram 在 3 月发布了一项新功能,允许发件人删除已发送的邮件,同时将其从收件人的设备中删除。这项功能旨在保护发件人的隐私,适用于不小心发送或者想要撤回消息的情况。 在研究 Telegram 的 MTProto 协议时,安全研究员 Dhiraj Mishra 发现了与消息删除功能相关的错误。 他注意到,当发件人从 Telegram 中删除了一条消息,图像或文件时,它将从当前会话中删除,但不会从设备本地删除。对于Android用户,这将允许收件人在`/ Telegram / Telegram Images / `路径下查看已删除的媒体。 此错误不仅发生在单人会话中,还涉及到了 Telegram 超级组。如果用户在组内误发了一个文件并撤回,这样看似自己的隐私得到了保护,但其实组内所有成员都可以从其设备的文件系统访问该文件。 “假设你是一个 2,000,00 人的小组中的一员,你不小心分享了一个媒体文件,并且想要通过‘对所有人撤回’功能来删除它。”Mishra 在他的文章中说,“但是这个方法有漏洞,所以你的文件仍然存在于所有用户的存储中。” 在报告错误后,Telegram 奖励了Mishra 2,500 欧元。此错误已在 5.11 版本中修复,该版本今天针对 Android 和 iOS 发布。 用户可以通过安装此更新来修复该错误,但 Mishra 告诉我们,收件人仍然可以查看到在旧版本中未正确删除的媒体。     消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接