分类: 恶意软件

以色列国防军遭“色诱”感染间谍软件 ViperRAT,泄露敏感信息

据 Lookout 和 卡巴斯基报道,一群高度复杂的由国家支持的黑客正在使用 Android 恶意软件 ViperRAT 对以色列军队进行间谍攻击,窃取士兵手机资料并监控日常活动。 目前已知 100 多名使用三星、HTC、LG 和华为等品牌手机的以色列国防军士兵设备感染了间谍软件,并远程泄漏了高价值的数据,包括照片和音频录音。 攻击策略:美人计 间谍组织冒充来自加拿大、德国和瑞士等不同国家且具有魅力的女性与士兵进行 Facebook 通信。之后,美女以各种手段诱骗士兵下载恶意软件,如 SR Chat 和 YeeCall Pro 此类的聊天软件,以及台球游戏、歌曲播放器等娱乐软件。恶意软件会扫描士兵的智能手机并下载另一个恶意应用程序 ViperRAT ,并伪装成 WhatsApp 更新、要求各种权限。 窃取、收集信息 恶意软件 ViperRAT 可控制电话的麦克风和相机,窃听士兵的对话并进行实况拍照,近 9000 张摄像头拍摄的照片已被加密传输给攻击者。收集的数据还包括地理位置,通话记录,个人照片,短信,基站信息,网络和设备数据,互联网浏览和应用下载历史记录。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

安卓木马 Marcher 窃取数十款银行 APP 账户凭证,杀毒软件无法卸载

一种新 Android 银行木马 Marcher 正在兴起,通过短信或彩信进行网络钓鱼攻击诱骗用户下载恶意软件,获取权限、收集数十家银行账户数据。重要的是,国内外二十多款杀毒软件拿它没办法,无法查杀卸载。 据 Securify 统计,在 11000 个受影响设备中近 5700 个属于德国移动设备、2200 个是法国移动设备。此外,大多数受感染的设备运行的是 Android 6.0.1 系统。 安全专家介绍,木马通过短信、彩信或者社交软件消息进行网络钓鱼,利用社会工程学诱骗用户点击下载木马,安装时应用程序将请求用户提供短信存储、访问以及设备管理员这样的高级权限。 木马通过两种方式发动攻击: 一种是拦截、发送带有验证的银行信息。 另外一种是“覆盖攻击”,当你使用银行 APP 时,木马会查询目标列表中是否存在该 APP,并有针对性的在屏幕上跳出对应银行的网络钓鱼窗口。黑客设计的钓鱼窗口十分逼真并要求用户输入银行凭证等信息。 许多有针对性的银行 APP 目前该银行木马主要针对国外数十家银行及社交应用 APP,银行如汇丰银行、PayPal、奥地利银行、苏格兰银行等,社交类如 Instagram、Play Store、 Facebook、Skype、Viber、WhatsApp、Gmail、Amazon 商城等详情可查看链接。 杀毒软件拿它没办法 此外,该木马有一个极大的“优势”,它可以躲避众多杀毒软件的查杀,让杀毒软件无法卸载它。众多杀毒软件受影响,如猎豹清理大师、 360 安全卫士、Norton、BitDefender、卡巴斯基、AVG 等二十多款。 它所利用的技术相当简单:查询设备是否运行杀毒软件,如果正在运行,恶意软件会强制手机返回主屏幕。即使杀毒软件检测到恶意软件,但要删除它必须要得到用户确认、授权,而一运行就返回主屏幕就导致用户无法点击确认,杀毒软件也就无法删除。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

Kelihos 晋升为一月最流行恶意软件榜单首位

据安全公司 CheckPoint 报道,2017 年第一季度恶意软件排名发生了些变化。恶意软件 Kelihos 上升到榜首位置,Conficker 蠕虫下降到第四名。惊人的是,8 年前的恶意软件 Conficker 仍然仍然是 2016 年最活跃的恶意软件系列之一。 Kelihos 是一种用于比特币盗窃的僵尸网络,全球有 5% 的组织受其影响。其次是 HackerDefender 和 Cryptowall 排在第二和第三名位置分别影响 4.5% 的组织。另外还有 Conficker 、Nemucod 、RookieUA、Nivdort、Zeus 、Ramnit、Necurs。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

新款 macOS 恶意软件也耍起了 Windows 平台上的“老伎俩”

虽然 Mac 恶意软件很罕见,但这并不表示 macOS 系统能完全免疫。外媒 Ars Technica 报道称,研究人员已经发现了一款新型 macOS 病毒,它使的都是曾经在 Windows 平台上耍过的“老伎俩”,利用了 Word 文档的“宏”(macro)功能来隐藏和执行恶意代码。 攻击者会引诱粗心的用户打开已被感染的 Word 文档,恶意软件会在加载恶意宏文件后被立即执行。万幸的是,识别这些受感染文件并不困难,因为它们的“打开方式”画风很不一样 —— 虽然系统会弹出许可请求,但只要在这一步刹住车,就可以阻止恶意软件的传播。但是万一,你还是“手滑”点击了“运行”,那么接下来的事情就无法控制了。攻击者可以在背后监视你、调取你的浏览器历史记录、或者启动继发感染(下载额外的恶意软件)。 昨天,本站也报道了一款来自伊朗的 macOS 恶意软件 MacDownloader ,伪装成虚假的软件更新,然后开始窃取用户的 Keychain,通过钓鱼手段骗得用户名和密码(以及其它凭证),最终将数据传回给攻击者。 对于 macOS 用户来说,避免此类攻击的最佳方式,就是慎从第三方或不被信任的网站下载软件,而是直接前往苹果 App Store、或者应用程序制作者的官方网站。 稿源:cnbeta,有删改,封面来源于网络

新 Mac 恶意软件伪装成 Flash 更新,攻击美国国防行业

安全研究人员最近发现了一款来自伊朗的 macOS 恶意软件 MacDownloader ,企图攻击与美国国防工业相关的个人和企业。研究人员在一个冒充是美国航空航天公司“联合科技公司( United Technologies Corporation )”的网站中发现这个恶意软件。该网站声称可提供“特殊项目和课程”,试图吸引潜在的攻击对象。此前该网站曾被用于传播 Windows 恶意软件。 目前访问该网站的访客会被恶意 Windows 或 MacOS 攻击,取决于访客使用的操作系统。如果是 MacDownloader,它会创建一个虚假的 Adobe Flash Player 对话提供 Flash 播放器的升级,或者是关闭窗口。研究人员表示 MacDownloader 起初伪装成一个虚假病毒删除工具,后来才重新包装成虚假 Flash Player 更新。 恶意软件会收集 Mac 用户数据将 Keychain 发送到攻击者服务器上。它还能够给出一个虚假的系统偏好对话框,骗取用户名和密码,用于访问加密的 Keychain 数据。 除了攻击美国国防工业之外,据悉该恶意软件还曾攻击过一位维护人权的人士,也就是说黑客还可以用这款恶意软件来攻击其他他们感兴趣的社区。 稿源:cnbeta,有删改,封面来源于网络

新木马以 Windows 为跳板传播恶意软件 Mirai

安全公司 Dr.Web 发现一种 Windows 木马 Trojan.Mirai.1 。黑客正在使用它传播恶意软件 Mirai 、感染物联网设备进行大规模 DDoS 攻击。 Windows 木马传播恶意软件 Mirai 该 Windows 木马被称为 Trojan.Mirai.1 ,其最重要的功能就是帮助 Mirai 感染更多的设备。木马使用 C ++ 语言编写,用于扫描指定范围 IP 地址的 TCP 端口,以便执行命令、传播恶意软件。木马启动后将连接命令和控制服务器下载配置文件( wpd.dat )、提取 IP 地址列表,并对设备多个端口进行扫描。如果感染设备运行 Linux 操作系统,它将执行一系列命令将其纳入 Mirai 僵尸网络,如果感染感染设备运行 Windows 系统,它将潜伏下来并继续传播寻找新目标。 Mirai Windows 版本针对更多端口 22 – Telnet 23 – SSH 135 – DCE/RPC 445 – Active Directory 1433 – MSSQL 3306 – MySQL 3389 – RDP 值得注意的是,木马虽然扫描 3389 端口但不通过 RDP 协议连接设备执行指令,而是通过 Telnet 、SSH 等端口连接到 Linux 设备,执行相关操作。 此外,木马还执行其他恶意操作。如果被攻击的计算机含有数据库管理系统 Microsoft SQL Server ,它将创建登录名:Mssqla 密码:Bus3456#qwein ,以管理员权限执行窃取数据等恶意操作。 以下是 Trojan.Mirai.1 的 SHA1 9575d5edb955e8e57d5886e1cf93f54f52912238 f97e8145e1e818f17779a8b136370c24da67a6a5 42c9686dade9a7f346efa8fdbe5dbf6fa1a7028e 938715263e1e24f3e3d82d72b4e1d2b60ab187b8 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

全球超过 140 家银行、电信和政府感染“无文件式”恶意软件

安全研究人员警告,世界各地的一百多家银行和金融机构感染了一种危险的复杂的恶意软件,几乎检测不到。俄罗斯安全公司卡巴斯基实验室周三详细介绍了他们的一些调查结果,表明一个或多个黑客群体针对至少 140 家银行和组织进行了这种攻击,旨在盗取凭证和金钱。 这种恶意软件特别狡猾,因为它属于一类“无文件”软件攻击程序,它完全存在于设备的内存中,几乎没有任何痕迹。这种类型的恶意软件不是全新的,但它的日益普及让安全研究人员和网络管理员非常担心,这种类型的恶意软件越来越受到网络犯罪分子的欢迎。 据报告,攻击者使用恶意软件监视受感染机器,获得来自受感染机构内部的凭据和信息,但也控制 ATM 和盗取现金。根据卡巴斯基实验室的调查结果,这些最近感染的常见特征之一是它们依靠 Windows PowerShell 等合法工具来获取设备控制权。他们还在注册表中隐藏 PowerShell 命令,以留下较少的证据。 卡巴斯基实验室将继续调查,发布进一步的信息,有关攻击者如何从 ATM 中盗取资金的详情将在 4 月提供。 稿源:cnBeta;封面源自网络

Slammer 蠕虫卷土重来,继续利用漏洞攻击 SQL Server 2000

据 Check Point 报道,世界上最著名的计算机蠕虫之一的 SQL Slammer 沉寂 13 年后,似乎又重新开始活动了。该蠕虫于 2003 年 1 月 25 日首次出现,曾在 10 分钟之内感染了约 7.5 万台计算机。 SQL Slammer 也被称为“蓝宝石”( Sapphire ),它利用 SQL Server 2000 的解析端口 1434 的缓冲区溢出漏洞对其服务进行攻击。它的目标并非终端计算机用户,而是服务器。它是一个单包的、长度为 376 字节的蠕虫病毒,随机产生 IP 地址并向其扩散。庞大的数据流量令全球的路由器不堪重负,如此循环往复,更高的请求被发往更多的路由器,导致它们一个个被关闭。(百科) 十多年后,Slammer 似乎要重出江湖。据 Check Point ThreatCloud 收集的全球数据显示,2016 年 11 月 28 日至 2016 年 12 月 4 日之间次类型攻击数量大幅增加,SQL Slammer 蠕虫成为此时间范围内最具威胁的恶意软件之一。 Check Point 检测到攻击尝试的目标多达 172 个国家,其中 26% 的攻击是针对美国网络,这表明这是一起大范围的攻击而不是有目标的针对性攻击。 攻击尝试的 IP 地址多来源于中国、越南、墨西哥和乌克兰。 虽然微软早已发布该漏洞的补丁,但是仍有很多服务器迟迟不愿及时打上补丁,这让蠕虫有了死灰复燃的可能性。就像微软去年发现,震惊一时的震网( Stuxnet )蠕虫所利用的漏洞 CVE-2010-2568 仍未被某些服务器打上补丁。 本文由 HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

俄亥俄州县政府感染勒索软件,911 调度等系统全部瘫痪被迫“手动”办公

据外媒报道,美国俄亥俄州利金县政府被迫关闭了感染勒索软件的计算机系统和电话系统,县各办事处回归“手动”处理工作。 县政府官员称:感染始于 1 月 31 日,系统已被及时关闭并尽可能多的“抢救”数据。当地媒体报道称,所有县级办事处都处于开放状态,但大量的在线服务和电话线已不再运作。此次网络攻击影响了许多地方政府部门,包括 911 指挥中心、审计办公室、警察局。政府员工无法使用电脑和电话,只能手动执行工作,庆幸的是尽管 911 指挥中心无法使用 IT 指挥调度系统,但公民仍可以通过拨打 911 报警专线进行求助。 目前,FBI 已经介入调查。县委员 Tim Bubb 表示没有发生数据泄露,文件仅被加密无法打开,政府相关事务也不受影响,只是运行效率没有往常那么高。县政府表示不打算支付赎金解密文件并拒绝透露勒索软件及赎金信息。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

俄网络间谍组织 Turla 使用新 JavaScript 恶意软件针对欧洲外交部

据卡巴斯基实验室周四报道,被称为“ Turla ”的俄罗斯网络间谍组织正在使用一种新的 JavaScript 恶意软件针对欧洲外交部机构。 Turla 是一个俄罗斯网络间谍 ATP 组织(也称为 Waterbug 、Venomous Bear、KRYPTON )自 2007 年以来一直处于活跃状态,主要针对欧洲的外交部等政府组织和军工企业。典型受害者如瑞士科技与军备制造企业 RUAG 公司、美国中央司令部。 去年 11 月,卡巴斯基实验室和微软发现了一种新的恶意软件“ KopiLuwak ”,据博客中介绍它使用多个 JavaScript 层来逃避检测。恶意代码通过在目标机器上创建注册表项以获得持久性。一旦感染了目标系统,恶意代码可执行一系列命令并收集信息,被窃取的数据将被加密并存储在一个临时文件中。恶意软件的 C&C 服务器 IP 地址以硬编码的形式存储在恶意代码中,并允许操作者通过 Wscript.shell.run() 执行任意命令。恶意软件仍利用 Office 文档的宏功能、借助钓鱼邮件传播。 目前已发现了一个受害者:攻击者伪装成卡塔尔驻塞浦路斯大使馆向塞浦路斯政府外交机构发送 “ 国庆招待会( Dina Mersine Bosio 大使的秘书).doc ”公函文件。卡巴斯基的研究人员认为恶意软件“ KopiLuwak ”将在未来更多地被使用。 从内容上推断,它可能是卡塔尔大使的秘书发送给塞浦路斯外交事务机构的。这意味着攻击者至少控制了一个卡塔尔外交部网络系统,从而发送钓鱼邮件。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。