分类: 恶意软件

银行木马 Emotet 出现新型变种,可窃取用户金融凭证、利用 Windows API 检测沙箱

据外媒 11 月 18 日报道,网络安全公司趋势科技(Trend Micro)研究人员于近期发现银行木马 Emotet 出现新型变种,能够规避安全检测的同时窃取银行凭证等用户敏感信息。 Emotet 又名 Geodo,是目前流行的一款银行木马,首次曝光于 2014 年 6 月,其主要以 “ 嗅探 ” 网络活动窃取用户私人数据闻名。随着开发人员的不断优化,其影响规模可与 Dridex 和 Feodo 媲美。Emotet 主要通过附带恶意链接的垃圾邮件进行肆意分发,一旦用户点击触发后攻击者将可通过该恶意软件窃取用户重要凭证。 研究显示,黑客可通过恶意软件 Emotet 的 “dropper” 模块接口 “RunPE” 访问系统网络的基本输入输出流程、设备用户名称,以及系统上存储的特定文件。不过,由于 RunPE 的利用太过频繁,因此开发人员改用一条鲜为人知的 CreateTimerQueueTimer 接口,从而规避安全软件检测。 CreateTimerQueueTimer 是一个 Windows 应用程序编程接口(API),其主要为轻量级对象创建队列以便在指定的时间内选择回调函数。此外,该 API 接口允许 Emotet 每秒执行一次操作,从而检测该恶意软件是否运行于沙箱之中以规避安全监测。据悉,银行木马 Hancitor 和 VAWTRAK 早已利用该接口开展攻击活动。 值得注意的是,若该恶意软件入侵目标设备后发现没有管理员特权,则会创建一个自启动服务以便维护其在受害设备上的持久性,重命名并重启系统后进行加密操作,随后通过  POST 请求将数据发送到指定的 C&C 服务器。 目前,趋势科技就此次事件发布了恶意软件最新变种的“攻击指标”(IoCs),其安全研究人员 MalwareTech 随后也发表了有关 Emotet  C&C 服务器的具体细节并表示,攻击者通过被黑网站代理 C&C 服务器以规避安全监测的手法极其普遍,这些被黑网站通常都是运行多年的合法网站,就连安全公司很难将其标记为恶意服务器。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

银行木马 Terdot 卷土重现,新添网络间谍功能监控社交媒体敏感信息

据外媒报道,网络安全公司 Bitdefender 研究人员于近期发现银行木马 Terdot 在消失一年后卷土重现,旨在针对目标系统展开新一轮攻击浪潮。知情人士透露,虽然 Terdot 于 2016 年中期就已存在,但该木马再次重现着实引人注意。据称,该木马新添一项网络间谍功能,其主要监控与收集社交媒体账户敏感信息。 Terdot 是一款复杂的模块化恶意软件,其程序虽然主要基于 2011 年泄露的 Zeus 代码开发,但该木马开发人员还是对其进行了一部分修改,例如利用开源工具躲避 SSL 证书检测,并使用代理过滤网络流量后记录用户敏感信息。 调查显示,黑客主要将该银行木马植入有趣的 PDF 图标后通过垃圾邮件针对受损网站进行肆意分发。一旦用户点击触发文件,其系统将会自动运行 JavaScript 代码,从而在受害设备中植入恶意软件并同时向指定 C&C 服务器发送与更新命令。 此外,研究人员经进一步分析发现该木马不仅使用了域生成算法(DGA)规避安全措施检测,还利用了中间人(MITM)攻击操纵多数社交媒体与电子邮件的平台流量,从而实现用户信息拦截功能。安全专家表示现在的 Terdot 已经超越了银行木马 Trojan 的能力,它更专注于针对社交网络和电子邮件服务提供商等其他服务收集证书,研发者也似乎想将其打造成非常强大的网络间谍工具。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Google 商城 144 款应用遭恶意软件 Grabos 感染,下载量已破 1740 万次

据外媒 11 月 15 日报道,网络安全公司 McAfee 研究人员 Carlos Castillo 于本周发布一份安全报告,宣称今年 9 月曾在应用程序 “ 亚里士多德音乐播放器 2017 ” 中发现一款新型恶意软件 Grabos,允许用户免费下载音乐的同时,不断要求他们评价应用,从而获得权限并在用户不知情下安装额外程序。经进一步调查显示, Grabos 还潜伏在其他 143 款应用程序中且已被 1740 万安卓用户下载。 研究人员表示,该恶意软件不仅可以跟踪用户位置,还可强制应用播放特定广告,从而诱导用户点击链接后通过下载恶意软件牟取暴利。知情人士透露,McAfee 在发现该恶意软件时立即向谷歌进行了报备。随后,虽然谷歌迅速在 Google Play 商店中下线了所有受影响应用,但这并不意味着谷歌市场摆脱了威胁。据称,多数已被用户下载的受损应用于近期再次进行了更新。 此外,杀毒软件公司 ESET 与俄罗斯网络安全机构 Dr Web 在 McAfee 发布报告的 24 小时后也纷纷透露发现类似事件,其结果显示多款 Google 官方应用已遭恶意软件感染,致使数百万用户在不知情下下载并触发恶意软件。对此,研究人员表示,想要保护系统不受感染,其用户不应该完全依赖谷歌商店下载应用。相反,用户应该仔细检查应用的级别与评论并注意下载权限,以防在不知情下下载受感染应用。 原作者: Jason Murdock, 译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

勒索软件 Locky 出现新型变种:依赖僵尸网络 Necurs 与 DDE 机制展开新一轮攻击浪潮

HackerNews.cc 11 月 12 日消息,网络安全公司 Avira 研究人员近期发现勒索软件 Locky 出现新型变种,不仅可以通过僵尸网络 Necurs 开展大规模钓鱼攻击活动,还可利用动态数据交换(DDE)协议进行数据传输,从而规避安全软件检测的同时窃取用户重要信息。 研究显示,目前黑客主要通过合法的 Libre 与 Office 文件肆意分发恶意软件。一旦用户打开该恶意文件后系统将会自动触发一系列程序,从而最终在受害设备上对用户文件进行加密处理后发送到指定 C&C 服务器。研究人员在分析该恶意文件时还发现其中包含一份 LNK 文档,允许黑客通过粘贴的方式将命令复制到用户文本编辑器中,以便运行 PowerShell 脚本。 研究人员表示,该脚本内容清晰、极易阅读,其目的是从脚本嵌入的链接中下载另一个 PowerShell 脚本并通过 Invoke-Expression 函数运行。然而,第二个脚本所连接的服务器由黑客控制,并在下载该脚本时自动运行一份 Windows 可执行文件,其中包含多个阶段的混淆代码,以致诱导用户认为这是一个安全的文件。目前,研究人员认为勒索软件 Locky 的快速演变在当今的威胁领域中着实令人担忧,因为它还将继续进行深度 “优化”,从而感染更多设备。 原作者:Pierluigi Paganini,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

虚假微软应用借助 Google 搜索引擎传播勒索病毒

微软旗下的 Windows Movie Maker 是友好且易用的视频编辑应用,最早于 2000 年作为 Windows Essential 套件组成发布,最后一次更新是在 2012 年。今年 1 月 17 日,伴随着微软停止对该套件的支持,这款视频编辑应用也成为了部分用户的美好回忆。 据悉,当那些还不知道已经停止支持的用户尝试在 Google 上搜索 “Windows Movie Maker”,就会跳出一个名为 www.windows-movie-maker.org 的网站。点击链接之后,页面的布局和设计看上去像是正规网站,并且提供了 Windows 7/8/10/XP/Vista 系统版本的下载。 然而,当你尝试下载 Windows Movie Maker 时用户需要支付 29.95 美元才能享受“完整版本”。事实上,真正的 Windows Movie Maker 是完全免费的。除 Google 搜索网站外,用户在 Microsoft Store 上搜索这款视频编辑应用,虽然名字相同,但完全不具备微软官方应用的编辑功能。 安全公司 ESET 表示,很多网站利用 Google 搜索引擎的算法,使其自家网站在搜索结果中有更高的排名。公司表示在 2017 年 11 月 5 日,Win32/Hoax.MovieMaker 在以色列肆虐,11 月 6 日蔓延到菲律宾、以色列、芬兰和丹麦地区。 稿源:cnBeta,封面源自网络;

微软警示:银行木马 Qakbot 和 Emote 瞄准企业/家庭用户展开攻击活动

据外媒报道,微软在过去数月内确定了两款特洛伊木马 Qakbot 和 Emote 的更新活动,并且还指出这两款恶意软件具有相同的最终目标,即窃取用户资金或银行凭证。 调查显示,这两款银行木马原本针对网上银行用户,但现在,中小企业和其他组织也被感染。更糟糕的是,一些变种能够在系统和网络上传播,可能会恶化感染率。通常,作为附件提供的特洛伊木马将启动攻击过程。一旦下载执行并安装时,它会欺骗合法的 Windows 服务以降低怀疑。然后,它还会与命令与控制(C&C)服务器通信,该服务器将负责提供有关如何执行恶意软件说明。 据说 Qakbot 和 Emotet 可以感染网络共享文件夹和驱动器,包括可移动的 U 盘等。它们还可以使用服务器消息块(SMB)在其他机器上复制自己的副本。如果用户系统受到感染,微软建议断开与互联网连接以防止与(C&C)服务器通信。该公司还建议停止恶意软件的自动执行,并监控网络中断后可能的再次感染。 稿源:cnBeta,封面源自网络;

Google Play 商店自检测系统无效,逾 100 万安卓用户不幸下载冒牌 WhatsApp 应用

据外媒 Reddit 于 11 月 4 日报道,安全研究人员 Dexter Genius 近期发现黑客利用官方 Google Play 商店作为恶意软件存储仓库、部署冒牌 WhatsApp 应用。目前,已有超过 100 万的安卓用户下载使用。研究人员表示,这似乎又是谷歌自动检测系统失败的一次例证。 左边是冒牌的 WhatsApp 应用,右边是合法的 WhatsApp 应用 据悉,研究人员在对该款冒牌的恶意应用进行反编译后发现它是一个广告加载的包装器,其中包括了下载另一安卓应用程序包(apk)的代码。值得注意的是,第二款相关联的恶意应用试图隐藏自己,因此它不仅没有名称,而且还使用了一个空白的图标进行伪装。 调查显示,这个冒牌的应用似乎由合法的 WhatsApp 公司开发,但仔细观察后发现开发人员在名字的末尾添加了两个字节(0xC2 0xA0),使其最终形成一个隐藏空间。然而,最令人难以置信的是,该黑客所开发的这款应用竟能绕过谷歌安全检测感染超过一百万设备。 目前,该款冒牌应用已被谷歌官方应用商店删除。其相关人员透露,尽管 Google 已经付出很大的努力,但谷歌在其官方应用商店上部署的自动检测系统仍然无效。 原作者:Pierluigi Paganini, 译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

黑客利用 SEO 技术随机传播银行木马“ Zeus Panda ”

HackerNews.cc 11 月 3 日消息,思科 Talos 团队近期发现网络犯罪分子正利用搜索引擎优化(SEO)的关键字集合部署恶意链接,旨在传播银行木马 “ Zeus Panda (宙斯熊猫)” 后窃取用户财务凭证与其他敏感信息。据悉,黑客主要针对与金融相关的关键字集合进行重定向链接嵌入。目前,谷歌搜索引擎也未能幸免黑客攻击。  调查显示,启动此次攻击活动的载体似乎不像以往一样使用电子邮件为基础,而是通过特定的搜索关键字集合进行恶意部署。据称,黑客通过受攻击的 Web 服务器确保恶意搜索结果在搜索引擎中排名靠前,从而增加了被潜在受害者点击的可能。目前,安全专家已发现数百个恶意网页,其专门用来将受害者重定向至托管恶意 Word 文档的另一受感染网站。一旦用户点击该恶意文档,其系统将会自动下载并执行一个 PE32 可执行文件,从而通过银行木马 Zeus Panda 感染用户设备。 据称,相同的重定向系统和相关的基础设施已被黑客用于技术支持和杀毒软件攻击,以便分发 Zeus Panda。目前,搜索引擎的查询结果指向恶意网页,包括由黑客使用的 JavaScript 代码将用户重定向至其他中间站点,这将会执行另一页面的 HTTP GET 请求。此外,黑客为了改善感染过程,还实施了多阶段攻击部署。 值得注意的是,该恶意软件会自动检查系统语言,发现设备使用俄语、白俄罗斯语、哈萨克语或乌克兰语的键盘布局,则会暂停攻击。此外,安全专家还发现该恶意软件会造成大量异常调用,从而导致沙箱崩溃、阻止杀毒软件的检测与分析。安全专家表示,黑客还在试图寻找新攻击方式诱使用户运行恶意软件,而这些恶意软件可以通过各种有效负载感染潜在受害设备。对此,他们提醒用户在加强系统安全防御体系的同时,不要轻易点击未经检验的文件链接,从而有效规避黑客攻击活动。 原作者:Pierluigi Paganini,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

恶意软件 CryptoShuffler 已从流行的加密货币钱包中获利逾 15 万美元

据外媒 11 月 2 日报道,卡巴斯基实验室研究人员近期发现黑客正利用一款恶意软件 CryptoShuffler 设法从众多流行的加密货币(例如:Bitcoin、ZCash、 Ethereum、 Monero)钱包中窃取用户资金。目前,该黑客已获得逾 15 万美元比特币。 调查显示,该恶意软件最早可追溯至 2016 年年初,并一直针对流行加密货币钱包展开攻击。虽然 CryptoShuffler 活跃状态于去年年底达到顶峰后出现下滑现象,但研究人员近期发现该恶意软件于今年 6 月就已开始试图在雷达监控下运行。知情人士透露,CryptoShuffler 在感染受害用户的计算机设备后,开始监控用户剪贴板记录。据称,该恶意软件仅用于替换用户比特币钱包的合法地址时拦截了货币的传输,从而窃取用户大量资金。 卡巴斯基实验室的恶意软件分析师 Sergey Yunakovsky 表示:“该恶意软件运行方案简单有效,既无需访问池、无需网络交互、也无需任何可疑的处理器负载,因此 CryptoShuffler 是一个完美的例证。” 原作者:India Ashok,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

加拿大出现升级版 ATM 红外卡槽盗刷器 “Shimmers”,执法部门提醒全球银行机构加强防范

网络安全专家 Brian Krebs 于今年 7 月发布一份报告,指出黑客利用红外插入式卡槽器针对美国俄克拉荷马城至少四家银行的 ATM 设备展开网络攻击活动。据悉,插入式卡槽器是一款采用短距离红外通信技术的超薄微型设备,隐藏在 ATM 机卡槽内捕获信用卡数据并存储在嵌入式闪存中。虽然该设备构造简单,但主要通过天线将窃取的私人数据传输至隐藏在 ATM 机外部的微型摄像头中。 近期,加拿大安全专家发现黑客正利用一款名为 “Shimmers” 的升级版红外插入卡槽器开展新一轮攻击活动,旨在窃取目标用户基于芯片的信用卡和借记卡数据。 据悉,Coquitlam RCMP 经济犯罪部门的研究人员在一次例行的日常检查中发现一款测试卡正插在 ATM 机终端运行。随后,当他们将该终端打开时,看到 4 款超薄的塑料芯片,经检测发现均附带非法获取的信用卡或借记卡数据。研究人员表示,如果这些数据被成功窃取,其极有可能被用于伪造信用卡或借记卡后获取用户资金。 调查显示,Shimmers 已经被用来攻击位于零售商店和其他公共区域的 POS 设备,且都是通过存储在芯片背面磁条上的纯文本数据实现。另一方面,Shimmers 在信用卡芯片与 ATM 机上的芯片读取器之间存在一个夹层,使其可以在芯片上记录数据并由底层机器读取。 虽然此类攻击目前只在加拿大检测发现,但执法部门正警示全球的金融机构加强安全防御措施。此外,ATM 巨头 NCR 公司曾在一份警告中写道:“黑客攻击 ATM 设备是利用了一个原理,即部分金融机构没有实现 EMV 芯片卡标准,从而导致黑客在钻取漏洞后可以窃取用户大量资金。” 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。