黑客通过伪造 PayPal 网站传播勒索软件

近期,有网站通过冒充 PayPal 官网,向不知情的用户传播 Nemty 勒索软件的新变种。 这个恶意软件的运营商正在尝试各种分发渠道,因为它被检测出是 RIG 漏洞利用工具包(EK)的有效载荷。   通过返现奖励引诱用户 当前最新的 Nemty 来自于该假冒 PayPal 网站,该网站承诺,将返还支付金额的 3-5% 给使用该网站进行支付操作的用户。   网友可以通过一些细节判断出此网站并非官网,该网站也被多家主流浏览器标记为危险,但用户还是有可能会继续下载和运行恶意软件“cashback.exe”。 安全研究人员 nao_sec  发现了新的 Nemty 分发渠道,并使用 AnyRun  测试环境来部署恶意软件并在受感染的系统上跟踪其活动。 自动分析显示,勒索软件加密受害主机上的文件大约需要7分钟。具体时间可能因系统而异。 幸运的是,该勒索软件可以被市场上最流行的防病毒产品检测到。对 VirusTotal 的扫描显示 68 个防病毒引擎中有 36 个检测到了该软件。   同形字攻击 因为网络犯罪分子使用的就是原网页的构造,所以该诈骗网站看起来就是官方网站。 为了增强欺骗性,网络犯罪分子还使用所谓的同形异义域名链接到了网站的各个部分(包括帮助和联系,费用,安全,应用和商店)。 骗子在域名中使用来自不同字母表的 Unicode 字符。浏览器会自动将它们转换为 Punycode  Unicode 中的内容看起来像 paypal.com,而在Punycode 中以 ‘xn--ayal-f6dc.com’ 的形式存在。 安全研究员 Vitali Kremez 指出这个 Nemty 勒索软件变种目前处于1.4版本,此版本修复了前版本中的一些小错误。 他观察到的一件事是“isRU” 检查已经被修改了,该检查可以验证受感染的计算机是否在俄罗斯,白俄罗斯,哈萨克斯坦,塔吉克斯坦或乌克兰。在最新版本中,如果检查结果为真,那么恶意软件不会随着文件加密功能而移动。   但是,这些国家/地区以外的计算机会被设为目标,他们的文件会被加密,副本也会被删除。 根据测试显示,黑客提出的赎金为 0.09981 BTC,约为 1,000美元,并且支付门户被匿名托管在了 Tor 网络上。 8月底,另一位安全研究员  Mol69 看到Nemty 通过RIG EK 进行分发,这样的做法十分反常,因为瞄准 Internet Explorer 和 Flash Player 这些不受欢迎的产品的攻击套件目前已经基本不存在了。   消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

研究人员披露新的 Steam 客户端零日漏洞,影响超过 9600 万 Windows 用户

Kravets 此次公布的 Steam 客户端零日漏洞是一种特权升级漏洞,将影响超过 9600 万用户。 首个 Steam 客户端零日漏洞就是被 Kravets 发现的,但在 Valve 解决此漏洞之后,研究员  Xiaoyin Liu  发现并披露了绕过 Valve 的补丁的方法。 结果Valve 不仅没有奖励 Kravets,还禁止他参加赏金计划。 Kravets 发现,攻击者可以利用 Steam 客户端服务的 NT AUTHORITY \ SYSTEM 特权,通过运行可执行文件实现特权升级。 据专家解释,此方法使用了 BaitAndSwitch,是一种为了赢得 TOCTOU(检查时间\使用时间)而将链接和 oplock 的创建相结合的技术。 黑客利用Steam游戏、Windows应用程序或操作系统本身的漏洞获得远程代码执行权限,并在权限提升之后使用 SYSTEM 权限运行恶意负载。 “因此,任何代码都可以以最大权限执行,这个漏洞类称为 “特权升级”(EOP)或 “本地特权升级 ”(LPE)。尽管任何应用程序本身都可能是有害的,但实现最大特权可能会导致灾难性的结果。” Kravetz 写道,“例如,禁用火墙和防病毒, rootkit的安装,隐藏 process-miner,窃取任何 PC 用户的私人数据 – 这些还不是全部。”     消息来源:SecurityAffairs,译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

黑客使用虚假网站 NordVPN 散播银行木马病毒

黑客们曾经通过破坏和滥用免费多媒体编辑网站 VSDC 散播 Win32.Bolik.2 银行木马,但现在他们改变了攻击策略。 黑客之前的做法是黑入正规网站,并将恶意软件捆绑在下载链接中。但现在黑客使用网站克隆,将银行木马散播到毫无防备的受害者的计算机上。 这使他们可以专注于为恶意工具添加功能,而无需再为渗透企业的服务器和网站而浪费时间。 更重要的是,他们创建的 nord-vpn.club 网站几乎完美克隆了流行的VPN 服务 NordVPN 的官方网站 nordvpn.com,这使得他们可以大范围传播 Win32.Bolik.2 银行木马。   成千上万的潜在受害者 克隆的网站还拥有由开放证书颁发机构 Let’s Encrypt 于 8 月 3 日颁发的有效 SSL 证书,有效期为 11 月 1 日。 Doctor Web 研究人员称:“Win32.Bolik.2 木马是 Win32.Bolik.1 的改进版本,具有多组分多态文件病毒的特性,” 。 “使用这种恶意软件,黑客可以进行网络注入、流量拦截,键盘记录和窃取多个 bank-client 系统的信息。” 这个恶意活动已于 8 月 8 日发起,他们主要攻击使用英语的网民,据研究人员称,已经有数千人为了下载 NordVPN 客户端而访问了 nord-vpn.club 网站。 制造 Bolik 蠕虫的黑客又回来了。他通过伪造 NordVPN,Invoicesoftware360 和 Clipoffice 等网站传播恶意软件 。 Arcticle:https://t.co/1ZJK5BdV4F  IOCs:https://t.co/Q9b9ECrZxu – Ivan Korolev(@ fe7ch)2019年8月19日 恶意软件分析师 Ivan Korolev 称,在感染用户的计算机之后,黑客使用恶意软件“主要用于网络注入/流量监控器/后门”。   通过克隆网站传播恶意软件 Win32.Bolik.2 和 Trojan.PWS.Stealer.26645 也是由同一个黑客组织于 2019 年 6 月下旬通过下面这两个虚假网站传播出去的: •invoicesoftware360.xyz(原为 invoicesoftware360. com) •clipoffice.xyz(原为 crystaloffice.com) 早在四月,免费多媒体编辑网站 VSDC 就遭遇了黑客攻击,这实际上是两年来的第二起事件。下载链接被用来散播 Win32.Bolik.2 银行木马和Trojan.PWS.Stealer( KPOT stealer)。 下载并安装受感染的 VSDC 安装程序的用户的计算机可能会被使用多组件多态的木马感染,病毒还有可能从浏览器,他们的Microsoft帐户,各种聊天应用程序等程序中窃取了敏感信息。   消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

入侵 Capital One 的黑客还涉嫌入侵其他 30 多家公司

联邦检察官透露,在 Capital One 数据泄露事件发生后被捕的 Paige Thompson 可能还攻击了其他 30 多个组织。 今年7月,美国最大的发卡机构和金融公司之一 Capital One 遭遇黑客攻击,1.06 亿信用申请信息被泄露。 一个网名为 “erratic” 的黑客攻击了 Capital One 的系统,并获得了大量的个人信息。 执法部门逮捕了嫌疑人 Paige A. Thompson(33),她将要对此次数据泄露事件负责。 根据 DoJ 报道,美国司法部长 Brian T. Moran 宣布,“一名前 Seattle 科技公司的软件工程师今天被捕,此人涉嫌网络欺诈以及窃取 Capital One 金融公司的数据。PAIGE A. THOMPSON,网名 erratic,33 岁,她今天在西雅图地方法院出庭,并将于 2019 年 8 月 1 日出席听证会。” 执法部门无法获知数据是否已被出售或分发给其他黑客。 西雅图的美国检察官办公室证实,在 Thompson 家的卧室里查获的服务器中存有 30 多家公司和教育机构的数据,但他们尚不清楚这些受影响组织的名字。 检察官称,绝大多数数据都没有涉及个人信息。他们仍在调查受影响组织的名字。 汤普森的律师没有立即回应要求发表评论的电子邮件。     消息来源:SecurityAffairs,译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

黑客制作免费游戏诈骗网站窃取 Steam 账号

这是一个精心设计的诈骗。玩家看似进入的是一个免费游戏网站,实际上黑客将会盗取他们的 Steam 帐户,然后利用此帐号再去攻击新的玩家。 黑客向受害者的朋友发送消息,告诉他们在给出的网站输入优惠码就能获得免费的 Steam 游戏。 用户点击消息中的链接后会进入 http://steamsafe.fun/?ref=freegame,他们随后将被重定向到黑客建立的诈骗网站。 当用户点击“抽奖”按钮时,该网站将假装从热门游戏列表中随机选出一个游戏,如 PUBG,CSGO,Tropico 4,ARK:Survival Evolved,Assassin’s Creed 等等。 然后它将显示一个 Steam 优惠码,并提醒用户需要登录 Steam 才能获取该游戏。 当用户点击登录按钮时,它将显示一个伪造的 Steam 单点登录(SSO)登录页面,它看起来和 Steam 登录网站一模一样,但实际上是一个诈骗网站。 如果用户输入他们的帐号和密码,该网站将自动在后台登录他们的帐户,更改密码,更改关联的电子邮件地址,以及更改相关的电话号码。 如下图所示,在我们登录 Steam 网站时,您必须检查当前网页是否是https://steamcommunity.com 。     消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

美国公司出售武器化 BlueKeep 漏洞利用

美国 Immunity 已经在其7月23日发布的版本为 7.23 的 CANVAS 自动化渗透性测试中添加了一个 BlueKeep 漏洞利用程序。 BlueKeep 是 Windows 远程桌面协议(RDP)服务中的远程代码执行(RCE)漏洞,它使未经身份验证的攻击者能够远程运行任意代码,发起拒绝服务攻击,并控制易受攻击的系统。 受到 BlueeKeep 影响的版本有 Windows XP,Windows Vista,Windows 7,Windows Server 2003 和 Windows Server 2008。Windows 10版本不受影响。 该漏洞具有极高危险性。 微软一再告诉用户打上补丁,并且美国国家安全局(NSA),美国国土安全部,德国BSI网络安全机构,澳大利亚网络安全中心和英国国家网络安全中心都发布了安全措施,敦促用户和公司修补旧版Windows。 Immunity 决定在其渗透测试工具中添加一个 RCE 漏洞利用程序,而不是仅仅通过扫描查找易受攻击的机器来帮助客户解决风险问题。这不是仅针对于 BLUEKEEP。 CANVAS RDP 库和漏洞利用程序的开发过程大约需要两个月,根据Cyxtera 的首席安全技术官 Aitel 的说法,每个版本都会变得更加稳定。 “我们将继续致力于对此漏洞的利用,并将随着它的发展而发布新版本。”Aitel 总结道。 美国网络安全和基础设施安全局(CISA)在6月份发布了针对 BlueKeep 的解决措施,同时宣布其利用未修补的 Windows 2000 实现了 RCE。   消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

流媒体服务遭受 IoT 僵尸网络 13 天的 DDoS 攻击

覆盖超过40 万台物联网设备的僵尸网络对一家流媒体应用程序进行了为期 13 天的分布式拒绝服务(DDoS)攻击。 攻击始于 4 月 24 日,黑客针对身份验证组件的攻击最高达到了每秒292,000 次,使其成为了最大的第7层 DDoS 攻击之一。 负责应对此次攻击的 Imperva 公司在攻击期间始终运行该服务,并观察了来自402,000个不同IP地址的请求。 该公司在今天的一份报告中称,大多数攻击设备都位于巴西,并指出这是他们所处理的最大的第7层DDoS攻击。 “为了掩盖他们的攻击,攻击者使用了与此公司的客服应用程序相同的用户代理。” 因为攻击者拥有数量庞大的机器用来发起进攻,蛮力保护在这种情况下不会起作用。当攻击数量达到系统限制时,机器们就会等待一段时间然后再继续攻击。 这种技术被命名为“low and slow”,因为攻击者需要较长时间才能实现其目标,但由于通过模仿合法用户活动进行攻击,此种攻击方式因此也更难以防御。   消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

德国安全局称有黑客传播 Sodinokibi 勒索软件

德国国家网络安全机构 BSI 发布警告称,有黑客通过将电子邮件伪装成 BSI 的官方消息传播 Sodinokibi 勒索软件。 黑客将一个微软快捷方式伪装成 PDF 文件,当受害人将其打开时便会被其指向的压缩包附件感染。 一旦执行,快捷方式将使用 PowerShell 命令启动位于 http://grouphk[.]xyz/out-1308780833.hta 的远程 HTA 文件(HTML 应用程序的简称),该命令只是将 HTTP 添加到 HTA  payload 的 URL 前。 据德国安全局称,下载 Sodinokibi(也称为 REvil 和 Sodin)payload 的网址的域名和下载 HTA 文件的域名是相同的。 下载之后,Sodinokibi 将加密受害者的文件,并为每个计算机添加一个随机且唯一的扩展名。 该软件还会在所有文件夹中创建名称为“扩展名 -HOW-TO-DECRYPT.txt”的记事本文档,其中包含前往支付网站的方式和链接。 用户将会被要求支付价值 2500 美元的比特币。若超过两天仍未付款,金额将会翻倍。勒索界面还显示了用于支付的比特币地址。 Sodinokibi 还曾被卡巴斯基观察到通过利用 Windows 7 到 10 和服务器版本的 Win32k 组件中的 CVE-2018-8453 漏洞来提升其在受感染电脑中的权限。   消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

美国纽约曼哈顿地区遭遇大面积断电,是否为伊朗反击?

据 Network Security 的专家报道,上周六晚,纽约市遭遇了停电事故,整个曼哈顿地区失去电力供应。有趣的是,停电这天恰好是 1977 年大停电纪念日。整个城市没有了电力,交通瘫痪,所有的日常活动都无法正常进行。 Con Edison 是纽约电力供应商公司之一,据他们所说,事件发生在周六的 16:47。此次事故是因为变压器故障引起的,不过全部的信息要等到调查结束才能公开。地方当局提到,电力服务已经在午夜时分完全恢复。 除了公共照明失效,停电还导致四个地铁站关闭(哥伦布圆环,洛克菲勒中心,哈德逊码头和第五大道)。据专家称,列车员们不得不手动操作机械,以此将乘客送至最近的车站。 由于停电,人们不得不用手机灯光照亮回家的路,而在大型住宅楼里,因为电梯没有工作,人们只能走楼梯。在曼哈顿的一些地方,如克林顿区,居民们不得不协助警方指挥交通。 还没有等到相关当局和公司确定事件的确切原因,谣言就已经传开了。根据国际网络安全研究所(IICS)的专家所说,有人认为这一事件(和其他类似事件)可能与美国政府和伊朗之间已开始的网络战存在联系。 最近,伊朗当局声称,他们已经拆除了中央情报局操纵的间谍网络,这与多次报道的间谍被捕事件有关,他们被捕时正在中东进行情报任务。还需要了解的是,受政府资助的黑客团体往往破坏力极大。有报道称黑客对其他政府的电网发动过攻击。他们使用了复杂的恶意软件变种,可以大规模地破坏能源供应。虽然距离调查结束还有很长的路要走,但专家们不应排除任何可能性。   消息来源:SecurityNewsPaper, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Buhtrap 黑客组织使用微软零日漏洞进行间谍行动

Buhtrap黑客组织已将其目标从俄罗斯金融业务和机构转移。自2015年12月进行网络间谍活动以来,其影响最大的活动是在2019年6月期间使用了近期修补的Windows零日漏洞。 Windows本地权限提升零日漏洞(CVE-2019-1132)被Buhtrap滥用于其攻击,它允许犯罪组织在内核模式下运行任意代码。微软在本月的补丁星期二修复了此漏洞。 尽管Buhtrap自2014年以来不断攻击银行客户,但它直到一年之后才被检测到。根据Group-IB和ESET研究人员的说法,它从2015年以后便开始寻找金融机构等更高级的目标。Group-IB报告称,“从2015年8月到2016年2月,Buhtrap成功对俄罗斯银行进行了13次攻击,总金额达18亿卢布(2570万美元)”。   被Buhtrap利用的Windows零日漏洞 ESET研究人员通过多个有针对性的活动观察到黑客组织的工具集“是如何通过用于在东欧和中亚进行间谍活动的恶意软件进行扩展的”。 2019年6月,Buhtrap利用零日漏洞攻击政府机构,主要攻击方式是滥用旧版Windows中的“win32k.sys组件中空指针的逆向引用”。   转为网络间谍 Buhtrap发展过程 “当他们在网上免费提供工具源代码的时候,很难将行为归罪于特定的参与者,”ESET说, “然而,因为他们在源代码泄露之前更改了目标,所以我们确信首批对企业和银行进行Buhtrap恶意软件攻击的人也参与了针对政府机构的攻击。” 此外,“尽管新的工具已经添加到他们的武器库中并且更新可以应用于旧版本,但不同的Buhtrap活动中使用的策略,技术和程序(TTP)在这些年中并没有发生显著变化。” ESET在关于Buhtrap集团网络间谍活动的报告最后提供了一份完整的IOC表单,其中包括C2服务器领域,恶意软件样本哈希,代码签名证书指纹以及MITRE ATT&CK技术的表格。   消息来源:BleepingComputer, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接