分类: 今日推送

数十亿设备面临 BLESA 低功耗蓝牙重连欺骗攻击的安全威胁

研究人员刚刚曝光了低功耗蓝牙协议存在的一个严重安全漏洞,其全名为低功耗蓝牙欺骗攻击(简称 BLESA),预计有数十亿计的智能手机、平板 / 笔记本电脑、物联网设备首次影响。与此前普遍涉及配对操作的常见漏洞不同,新型 BLESA 攻击是在易被忽略的蓝牙重新连接过程之后发生的。作为经典蓝牙标准的瘦版本,其旨在节省电能和保障续航。 得益于省电节能的特性,低功耗蓝牙(BLE)已在过去十年里被广泛采用,但相关安全漏洞也不断被研究人员曝光。近日,普渡大学的 7 名学者,就在一项新研究中曝光了 BLE 的重连欺骗漏洞。 配对操作期间,两台 BLE 设备(客户 / 服务端)已经过相互认证,并沟通好了彼此的加密密钥。在将蓝牙设备移出范围,下次又返回时,即可对其进行自动重连。 然而研究团队指出,BLE 的官方规范,并未使用足够强的语言来描述重连过程。结果导致在软件供应链的下游,两套系统之间被引入了一个现实的安全隐患。 因为设备重连期间的身份验证是“可选”项,而不是强制性的。若用户设备无法强制 IoT 设备对通信的数据进行身份验证,便很有可能被其绕过。 若被附近攻击者绕过了重连验证,便为 BLESA 攻击敞开了大门。具体说来是,攻击者可将带有错误信息的欺骗数据发送到 BLE 设备,并诱使用户或自动化流程作出错误的决定。 目前已知的是,基于 Linux 的 BlueZ IoT 设备、基于 Android 的 Fluoride、以及 iOS 的 BLE 堆栈都易受到 BLESA 攻击,而 Windows 平台上的 BLE 堆栈则相对安全。 在上月发布的论文中,可知截止 2020 年 6 月,苹果已将 CVE-2020-9770 分配给该漏洞,并作出了修复。然而运行 Android 10 的 Google Pixel XL,仍未采取更加切实有效的防护措施。 好消息是,BlueZ 开发团队表示将弃用易受 BLESA 攻击的部分代码,并换成可适当实现 BLE 重连的修补代码。 不过就像此前的所有蓝牙漏洞一样,对所有易受攻击的设备进行修补,将是系统管理员的一个噩梦(数十亿计的设备)。 如需了解更多有关 BLESA 攻击的详情,还请查阅 8 月在 USENINX WOOT 2020 会议上发表的这篇论文,原标题为《BLESA:针对低功耗蓝牙的重连欺骗攻击》。     (稿源:cnBeta,封面源自网络。)

美指控两名伊朗人入侵网络窃取并贩卖数据

据外媒报道,美联邦检察官于当地时间周三宣布,两名伊朗人被指控侵入美国电脑网络窃取数据,他们的这种行为不仅为获取个人经济利益所用而且还跟伊朗政府做起了生意。联邦检察官指控来自伊朗哈米丹的Hooman Heidarian和Mehdi Farhadi在黑市上出售窃取的数据,包括卖给伊朗政府。 Heidarian和Farhadi还被指控故意破坏网站、发布诋毁伊朗内部反对派、外国对手和其他他们认为跟伊朗敌对的实体的信息。 根据美司法部的一份新闻稿,这些数据包括国家安全、核信息、个人财务信息和知识产权等敏感信息。 目前,这两人都被FBI通缉。 据了解,该案件于当地时间周二在新泽西州的联邦法院提起,被指控的几个目标就在该州。 起诉书称,袭击的目标包括高等教育机构、人权活动人士、电信和媒体机构以及国防承包商。报告称,这些网络攻击至少可以追溯到2013年。 据称,其中一个目标是一个总部设在纽约的国际组织,该组织提倡非军事和安全使用核技术。起诉书称,在2015年达成联合全面行动计划(Joint Comprehensive Plan of Action)即伊朗核协议(Iran nuclear deal)之前,Heidarian和Farhadi窃取了敏感的核信息。 起诉书称,另一个目标是阿富汗的一个政府机构,该机构允许黑客访问到阿富汗总统的内部通讯。 美司法部负责国家安全的助理部长John Demers在一份声明中表示:“除非各国政府拒绝为网络犯罪提供安全港,否则我们不会将法治引入网络空间。今日的被告现在会明白,为伊朗政权服务不是一种资产而是一种犯罪枷锁,他们将一直背负着这种枷锁,直到他们被绳之以法的那一天。”     (稿源:cnBeta,封面源自网络。)

微软修复 Zerologon 高危漏洞:可提权为域管理员接管企业网络

系统管理员认为,除非软件更新是专门修复安全漏洞,那么不要在更新出来之后立即安装。就 Windows 更新而言,更是如此。不过推荐用户还是尽快安装今年8月补丁星期二发布的累积更新,因为它修复了严重的 Zerologon 安全漏洞。 在8月的补丁星期二活动日中,微软修复了编号为 CVE-2020-1472 的安全漏洞,这可能是历史上最严重的漏洞之一。攻击者可以利用该漏洞接管企业网络中当作域控制器运行的Windows Servers,可以一键成为Domain Admin。 虽然该漏洞的CVSS 评分为满分10分,但细节从未公开过,也就是说用户和IT 管理员从未意识到该漏洞的严重程度有多高。 Netlogon 是 Windows 上一项重要的功能组件,用于用户和机器在域内网络上的认证,以及复制数据库以进行域控备份,同时还用于维护域成员与域之间、域与域控之间、域DC与跨域DC之间的关系。 通过伪造用于特定 Netlogon 功能的身份验证令牌,他能够调用一个功能以将域控制器的计算机密码设置为已知值。之后,攻击者可以使用此新密码来控制域控制器并窃取域管理员的凭据。     (稿源:cnBeta,封面源自网络。)

调查:使用越来越普遍的二维码潜藏不少安全风险

据外媒报道,二维码(QR code)的使用在新冠大流行期间有所增加,因为它为非接触互动提供了完美的解决方案。但也有很多员工出于个人目的使用移动设备扫描二维码,而这将自己和企业资源都置于危险之中。安全平台MobileIron的一项新研究显示,84%的人以前扫描过二维码,32%的人在过去一周内做过这件事情,26%的人在过去一个月里这么做过。 在过去的六个月里,38%的受访者表示他们在餐馆、酒吧或咖啡馆扫描过二维码,37%的人在零售商和32%的人在消费产品上扫描过二维码。显然,二维码很流行,53%的受访者希望看到它们在未来得到更广泛的应用。43%的人计划在不久的将来使用二维码作为支付方式,40%的人表示如果可以选择的话,他们愿意使用通过邮件收到的二维码进行投票。 然而对于黑客来说,二维码也是一个诱人的攻击途径,因为手机用户界面会提示用户立即采取行动,同时限制用户在访问网站之前获取的信息数量。 MobileIron负责解决方案的全球副总裁Alex Mosher指出:“黑客正在通过移动威胁载体发起攻击,其中包括电子邮件、文本和短信、即时消息、社交媒体和其他通讯方式。我预计我们很快就会看到通过二维码发起的攻击。黑客可以轻易地将含有恶意软件的URL嵌入到二维码中,然后在扫描移动设备时窃取数据。或者黑客可以在指向钓鱼网站的二维码中嵌入恶意URL,鼓励用户泄露他们的身份信息,然后窃取并利用这些信息渗透到一家公司中。” 近3/4(71%)的受访者表示,他们无法区分正版和恶意二维码,不过67%的人能区分正版和恶意网址。 此外,67%的受访者表示知道二维码可以打开一个URL,但只有19%的受访者认为扫描二维码可以起草一封电子邮件,20%的人认为扫描二维码可以开发一个电话,24%的人认为扫描二维码可以发起一个文本消息。而35%的人不确定黑客是否能用二维码锁定目标。 Mosher补充称:“公司需要立即重新考虑他们的安全战略把重点放在移动设备上。与此同时,他们需要优先考虑一个无缝的用户体验。一个统一的端点管理解决方案可以提供所需的IT控制从而保护、管理和监视用于访问业务数据的每台设备、每位用户、每一款应用和每个网络并同时将生产力最大化。组织还可以在UEM的基础上构建移动威胁防御解决方案以检测和补救移动威胁–包括恶意二维码,即使设备处于脱机状态。”     (稿源:cnBeta,封面源自网络。)

OpBlueRaven:揭露APT组织 Fin7 / Carbanak之BadUSB攻击

本文旨在为读者提供有关PRODAFT&INVICTUS威胁情报(PTI)团队针对不同威胁者的最新详细信息,以及发现与臭名昭著的Fin7 APT组织合作的人是谁。 感谢您曾阅读在本系列文章的第一部分。在公开Fin7和REvil组织关系之前,我们试图与勒索软件的受害者联系,同时,我们将继续发布有关Fin7攻击者工具的文章。 在第一篇文章中,我们检查了Carbank后门控制面板的版本更改,并公开了以前未知的Tirion Loader。我们希望Fin7组织在未来使用该装载机取代Carbanak后门。 在本系列的这一部分中,我们将深入研究Fin7攻击者进行的BadUSB攻击。 我们将分以下几部分来介绍整篇文章: BadUSB攻击概述 macOS针对BadUSB攻击 攻击者收集的AV检测统计信息 受害者统计     … 更多内容请至Seebug Paper 阅读全文:https://paper.seebug.org/1336/ 消息与封面来源:threatinte  ,译者:芋泥啵啵奶茶 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

卡巴斯基:针对 Linux 的黑客攻击行为日益猖獗

根据卡巴斯基公布的最新报告,黑客已经将攻击的目标逐渐迁移到 Linux 服务器和工作站上。虽然 Windows 系统一直是黑客的攻击目标,但是高级持久性威胁(APTs)现在已经成为 Linux 世界的一个严重问题。 尽管像 TwoSail Junk、Sofacy 和 Equation 这样的著名例子已经不胜枚举,但是在大多数用户的认知里,Linux 系统很少甚至从不成为攻击目标。 事实上有许多专门为 Linux 设计的 webshell、后门和 rootkits。最近的一个例子,就是俄罗斯黑客组织 Turla 开发的 Penguin_x64 Linux 后门程序。韩国恶意软件组织 Lazarus 也增加了其Linux恶意软件库,各种工具被用于间谍和金融攻击。 卡巴斯基全球研究和分析团队(GReAT)负责人 Yury Namestnikov 表示: 我们的专家在过去多次发现了加强APT工具集的趋势,以Linux为中心的工具也不例外。为了保证系统的安全,IT和安全部门比以前更频繁地使用Linux。威胁行为者正在通过创建能够渗透此类系统的复杂工具来应对这一问题。我们建议网络安全专家考虑到这一趋势,实施额外的措施来保护他们的服务器和工作站。     (稿源:cnBeta,封面源自网络。)

OpBlueRaven:揭露 APT 组织 Fin7 / Carbanak 之 Tirion 恶意软件

本文旨在为读者提供有关PRODAFT&INVICTUS威胁情报(PTI)团队针对不同威胁者的最新详细信息,以及发现与臭名昭著的Fin7 APT组织合作的人是谁。 所有这些都源自威胁者方面的一次OPSEC故障,我们将尝试逐步扩展主题,类似于我们在不断发现的基础上扩大范围。 关于Fin7和Carbanak的前所未有的事实:第1部分 在5月至2020年7月之间;PRODAFT威胁情报团队的四名成员进行了BlueRaven行动。案例研究源于发现一组看似不重要的轻微OpSec故障。当然,后来发现这些威胁因素与臭名昭著的Fin7 / Carbanak威胁因素有联系。 PTI的OP源于攻击者一方的OPSEC故障。与以前发现和发布的数据不同,使此OP如此与众不同的是,我们设法发现了大量有关攻击者工具集的未发布信息,这些信息揭示了攻击者的TTP。   … 更多内容请至Seebug Paper 阅读全文:https://paper.seebug.org/1335/ 消息与封面来源:threatinte  ,译者:芋泥啵啵奶茶 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

乔·拜登竞选应用现漏洞:选民敏感信息可被轻易查询

据外媒TechCrunch报道,一名安全研究人员发现,美民主党总统候选人乔·拜登的官方竞选应用存在隐私漏洞–任何人都可以查询数百万美国人的敏感选民信息。这款名为Vote Joe的竞选应用允许拜登的支持者在即将到来的美国总统大选中鼓励朋友和家人投票,方法是上传他们的手机联系人列表然后看看他们的朋友和家人是否已经注册投票。 据悉,这款应用将用户上传的联系人跟TargetSmart提供的选民数据进行匹配。TargetSmart是一家政治营销公司,声称拥有超1.91亿美国人的个人文件。 当完成匹配后,该应用就会显示选民的姓名、年龄和生日以及他们在最近的选举中投了票。该应用还称,这将被有助于用户找到自己认识的人并鼓励他们参与进来。 虽然大部分数据都已经可以公开,但这个漏洞可以让任何人都通过这个应用轻松访问任何一位选民的信息。 移动专家App Analyst在以自己的名字命名的博客上详细介绍了自己的发现。他指出,其可以通过在自己的手机上创建一个以选民名字命名的联系人名单来欺骗该应用获取任何人的信息。 他告诉TechCrunch,更糟糕的是,该应用吸收的数据比实际显示的要多得多。通过拦截进出设备的数据,他可以看到更详细、更私密的信息,其中包括选民的家庭住址、出生日期、性别、种族和支持的政党。 拜登的竞选团队修复了这个漏洞并在周五发布了一个应用更新。 拜登竞选团队发言人Matt Hill告诉TechCrunch:“我们被告知,我们的第三方应用开发商从商业数据中提供了不需要的额外信息。于是我们迅速跟供应商合作解决了这个问题并删除了这些信息。我们致力于保护我们的员工、志愿者和支持者的隐私,我们将一直跟供应商合作来做到这一点。” TargetSmart的一名发言人表示,其他用户可以访问有限数量的公开或商业可用数据。 实际上在政治竞选活动中,交易和共享大量选民信息的情况并不少见,这些信息被称为选民档案,其中包括选民的姓名、家庭住址、联系方式以及他们登记的政党等基本信息。每个州的选民档案都有着很大的不同。 虽然这些数据中有很多是可以公开获得的,但政治公司也试图从其他来源获取更多的数据来丰富他们的数据库进而帮助政治竞选活动识别和锁定关键的摇摆选民。     (稿源:cnBeta,封面源自网络。)

YouTube 在英面临 30 亿美元诉讼:被指非法收集儿童数据

据外媒报道,英国一项新的诉讼称,谷歌的YouTube在知情的情况下在追踪儿童的网络踪迹,这种行为违反了英国的隐私法。据悉,该诉讼代表了超500万名13岁以下的英国儿童及其父母,他们要求赔偿20亿英镑的损失。诉讼则由研究人员和隐私倡导者Duncan McCann向英国高等法院提出的。技术倡导组织Foxglove则对其提供了支持。 起诉书称,YouTube系统性地违反了英国《数据保护法》和欧盟的《GDPR》中有关未成年用户隐私的规定和数据规定,该平台非法收集了数百万名儿童的数据用于广告投放。 Foxglove写道:“我们认为这是非法的,因为YouTube处理了使用该服务的每个孩子的数据–包括13岁以下的孩子。他们从这些数据中获利,因为广告商向他们支付在YouTube网站上投放定向广告的费用。他们做这些都是没有得到孩子父母的明确同意。” 当地时间周一,YouTube的一位发言人拒绝对彭博社发表评论,但表示该视频分享平台不适用于13岁以下的用户。 然而这已经不是谷歌第一次受到跟隐私相关的诉讼了。今年6月,一项50亿美元的集体诉讼在加州法院提起,谷歌被控在用户隐身状态下跟踪用户的浏览器习惯。2019年10月,一桩价值10亿英镑的集体诉讼在英国上诉法院被重新提起。该投诉称,谷歌故意绕过Safari浏览器的安全设置来跟踪iPhone用户。     (稿源:cnBeta,封面源自网络。)

近 2000 家 Magento 1 店遭到黑客攻击

2020年9月12日至13日,全球近2000家Magento 1店遭到黑客攻击,这是迄今为止规模最大的一次有记录的活动。这是一个典型的Magecart攻击:注入的恶意代码将截获不受怀疑的商店客户的付款信息。被检查的商店发现运行Magento版本1,该版本于去年6月宣布停止使用。 Sansec早期漏洞检测系统监控全球电子商务领域的安全威胁,检测到1904个不同的Magento商店,在结账页面上有一个独特的键盘记录(skimmer)。9月11日,有10家商店被感染,12日是1058家,13日是603家,14日是233家。 另请阅读:Adobe与Sansec合作,以提高Magento平台的安全性。 这项自动化活动是Sansec自2015年开始监测以来发现的最大规模的活动。此前的纪录是去年7月一天内有962家店铺被黑客入侵。本周末事件的规模之大说明了网络浏览的复杂性和盈利能力的提高。犯罪分子已经越来越自动化他们的黑客操作,以运行网络掠取计划在尽可能多的商店。 据Sansec估计,上周末,数万名顾客的私人信息通过其中一家受损商店被盗。 Magento exploit $ 5000 在此之前,许多受害商店没有发生过类似的安全事故。这表明攻击者使用了一种新的攻击方法来获得这些存储的服务器(写)访问权限。虽然我们仍在调查确切的原因,但这次活动可能与最近几周前上市的Magento 10天(漏洞利用)有关。 用户z3r0day在一个黑客论坛上宣布以5000美元的价格出售Magento 1“远程代码执行”攻击方法,包括指令视频。据称,不需要事先的Magento管理员帐户。z3r0day强调,由于Magento 1已经过时,Adobe不会提供官方补丁来修复这个漏洞,这使得这个漏洞对使用传统平台的店主造成了额外的伤害。 为了使交易更加顺利,z3r0day承诺只出售10份危险漏洞利用程序。 根据Sansec的实时数据,截至今天,仍有大约9.5 万家Magento 1商店仍在营业。 官方PCI要求在服务器上使用恶意软件和漏洞扫描程序,如Sansec的eComscan。Sansec还建议订阅替代的Magento 1补丁程序支持,例如Mage One提供的支持。 更新:攻击方法 截至周一,Sansec正在对两台受感染的服务器进行调查。攻击者使用IP 92.242.62.210(美国)和91.121.94.121(OVH,FR)与Magento管理面板进行交互,并使用“Magento Connect”功能下载和安装各种文件,包括名为的恶意软件mysql.php。将恶意代码添加到后,该文件已自动删除prototype.js。 2020-09-14T09:57:06  92.242.62.210  GET /downloader/ HTTP/1.1 2020-09-14T09:57:09  92.242.62.210  POST /downloader/ HTTP/1.1 2020-09-14T09:57:09  92.242.62.210  GET /index.php/admin/?SID=XXXX HTTP/1.1 2020-09-14T09:57:10  92.242.62.210  GET /index.php/admin/dashboard/index/key/<hash>/ HTTP/1.1 2020-09-14T09:57:13  92.242.62.210  GET /index.php/admin/system_config/index/key/<hash>/ HTTP/1.1 2020-09-14T09:57:15  92.242.62.210  GET /index.php/admin/system_config/edit/section/dev/key/<hash>/ HTTP/1.1 2020-09-14T09:57:19  92.242.62.210  POST /index.php/admin/system_config/save/section/dev/key/<hash>/ HTTP/1.1 2020-09-14T09:57:20  92.242.62.210  GET /index.php/admin/system_config/edit/section/dev/key/<hash>/ HTTP/1.1 2020-09-14T09:57:22  92.242.62.210  GET /index.php/admin/import/index/key/<hash>/ HTTP/1.1 2020-09-14T09:57:25  92.242.62.210  POST /index.php/admin/import/validate/key/<hash>/ HTTP/1.1 2020-09-14T09:57:25  92.242.62.210  GET /downloader/ HTTP/1.1 2020-09-14T09:57:28  92.242.62.210  POST /downloader/index.php?A=connectInstallPackageUpload&maintenance=1&archive_type=0&backup_name= HTTP/1.1 2020-09-14T09:57:29  92.242.62.210  GET /downloader/index.php?A=cleanCache HTTP/1.1 2020-09-14T09:57:31  92.242.62.210  GET /mysql.php HTTP/1.1 WEB服务器的日志显示,周末有很多人试图安装文件,可能是为了安装改进版的skimmer。 撇渣器分析:mcdnn.net 对于受影响的Magento 1商店,已将加载的撇渣器添加到文件prototype.js中,这是标准Magento安装的一部分。 该//mcdnn.net/122002/assets/js/widget.js服务根据其包含在哪个页面上来提供动态内容。仅当从结帐页面中引用时,它才会提供恶意的按键记录日志代码: 实际付款将被泄露到莫斯科托管的站点https://imags.pw/502.jsp,该站点与mcdnn.net域在同一网络上。     稿件与封面来源:Sansec,译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理, 转载请注明“转自 HackerNews.cc ” 并附上原文链接。