分类: 恶意软件

OilRig 伊朗威胁组织伪装合法的思科工具 安装 Poison Frog 后门

臭名昭著的OilRig伊朗威胁组织通过使用各种PowerShell脚本将恶意软件伪装成合法的Cisco AnyConnect应用程序,以安装Poison Frog后门程序。 Poison Frog是OilRig集团武器库中最强大的后门之一,它包含一个面板,面板上有服务器端部件和PowerShell中曾用于各种备受关注网络攻击的Payload。 卡巴斯基研究人员还发现了一个新样本,它是一个用C语言编写的PE可执行文件,只有删除包含后门Powershell脚本的功能。在同样的逻辑下,还发现了另一个PowerShell脚本,它有两个不同的长字符串,包含DNS和HTTP后门也就是Poison Frog后门。 为了安装恶意软件,OilRig威胁组织成员还巧妙使用了计俩,将恶意软件伪装成合法的Cisco AnyConnect应用程序。 卡巴斯基研究人员发表报告称“信息弹出窗口会在每次点击时出现,起到欺瞒用户的作用,使用户误认为是应用程序或互联网的接入有问题,而实际上却是在悄悄的将后门安装在系统上。”   消息来源:gbhackers, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文  

有恶意软件以支持瑞典环保少女 Greta Thunberg 的名义进行传播

Proofpoint 网络安全研究人员刚刚发现,有一款名叫 Emotet 的恶意软件,正在以“支持 Greta Thunberg.doc”的名义进行传播。尽管看似一封电子邮件,但其本质上是一款窃取 Windows PC 上金融信息的网银木马。攻击者试图以这位瑞典环保少女的名义,邀请受害者参加圣诞前夕的气候变化抗议活动。 早些时候,Greta Thunberg 因一系列旨在提升全球环保意识的活动,被《时代》杂志评为了 2019 年度人物。 对于那些毫无戒心的网友们来说,需要对这类基于电子邮件的恶意软件传播活动提高警惕。 Proofpoint 安全研究人员指出,这轮攻击主要针对美国、欧洲和亚洲地区拥有 .edu 电子邮件地址的学生群体,甚至出现了使用多种语言的版本。 Proofpoint 补充道:“我们发现受攻击的 .edu 域名数量超过与任何特定国家 / 地区相关的域名。鉴于 Thunberg 得到了学生和年轻人群体的有力支持,黑客的套路也是有些讲究的”。 遗憾的是,转发此电子邮件,并不会对缓解气候危机有任何帮助,反而只会让更多计算机不小心感染上 Emotet 恶意软件。 这款网银木马伪装成了微软 Word 文档附件,并且使用了与邮件主题相同的“支持 Greta Thunberg.doc”文件名。 Proofpoint 提醒道:“假日期间,攻击者会毫不犹豫地瞄准和利用人们的善意,也算是一种另类的公益意识晴雨表了”。   (稿源:cnBeta,封面源自网络。)

GozNym 恶意软件窃取近 1 亿美元 幕后黑客被判刑

美国司法部发布报告:美国企业及金融机构盗窃案告破,其中三名犯罪分子已被监禁判刑。 该案件发生在2015至2016年间,犯罪分子主要是利用 GozNym banking Trojan病毒入侵全球的4000多台计算机来进行网络欺诈,最终盗取近1亿美元,美国和欧洲损失最为严重。而Goznym病毒的本质是一个银行木马,它由两大部分组成,分别是2012年首次出现的银行木马Gozi ISFB 以及类似勒索软件的木马下载器Nymaim。 今年五月,欧洲刑警组织捣毁这一犯罪网络,美国对该犯罪组织10名成员提出指控,5名成员当场被捕,包括开发者在内的另外五名成员潜逃。 周五,在匹兹堡的一家联邦法院,事件中担任财务的Krasimir  Nikolov以网络欺诈罪名被联邦政府指控。Nikolov于2016年9月被保加利亚当局逮捕,并于2016年12月被引渡到保加利亚。而在格鲁吉亚被逮捕起诉并判刑的另外两名成员Alexander Konovolov及Marat Kazandjian也分别被判监禁7年和5年。 该恶意软件运行流程为:先利用大规模恶意软件来攻击受害者的电脑,然后进行病毒传播,在受害者将他们的银行密码输入浏览器后,通过恶意软件来捕获账户密码,继而登录银行账户进行资金转移。 对于该案件的告破,美国检察官Scott W. Brady说到:“这是全球各执法伙伴共同合作的功劳。”   消息来源:thehackernews, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

加密货币挖矿僵尸网络使用 Taylor Swift 图像隐藏恶意软件payload

加密货币挖矿僵尸网络MyKingz(也称为Smominru,DarkCloud或Hexmen)在感染链中使用流行歌手泰勒·斯威夫特(Taylor Swift)的图像来隐藏恶意软件payload。   MIKINGZ僵尸网络的简短历史 MyKingz首次出现的时间在2017年底,其在此后一直是市场上最大的加密采矿恶意软件。 MyKingz背后的小组主要致力于感染Windows系统,通过在系统中部署各种挖矿程序来获取利润。 MyKingz具有僵尸网络中最多样化的Internet扫描和感染机制。如果有什么可以扫描的端口或者可以利用的漏洞,MyKingz有相当一部分的概率参与其中。从MySQL到MS-SQL,从Telnet到SSH,从RDP到IPC和WMI等,都是它的目标。 这使僵尸网络发展非常迅速。据报道,在MyKingz诞生的头几个月,它便已经感染了超过525,000个Windows系统,价值超过230万美元。 MyKingz也是EternalBlue漏洞的忠实拥护者,其隐藏在公司网络内部,规模估计高达100万个,并可能更大。 尽管有些人认为僵尸网络自2018年初以来就已经消失了,但Guardicore和Carbon Black在今年夏天发布的报告显示,僵尸网络仍然非常活跃,仍在感染大量计算机,估计每天大约有4700个新系统受到感染。 泰勒·斯威夫特 总部位于英国的安全公司Sophos在本月发现了该僵尸网络的新进展。 由于MyKingz的Internet扫描模块可以识别易受攻击的主机并在受感染的计算机上立足,因此,他们需要一种在被入侵的系统上部署各种恶意软件payload的方法。 据Sophos称,MyKingz的工作人员现在正在尝试进行隐写术,该技术可以使他们将合法文件内的恶意文件隐藏起来。MyKingz团队将恶意EXE隐藏在流行歌手Taylor Swift的JPEG图像内。 图片:Sophos Labs 使用此技术的目的是欺骗在企业网络上运行的安全软件。这些安全产品将只会使主机系统下载普通的JPEG文件,而不下载危险得多的EXE文件。 MyKingz绝不是第一个利用隐写术或名人形象的恶意软件团伙。去年,另一个恶意软件团伙使用女演员斯嘉丽·约翰逊(Scarlett Johansson)的图像在PostgreSQL数据库上部署了恶意软件。 近几个月来,恶意软件帮派也从图像中完全消失了,一些恶意软件操作正在尝试使用其他文件格式进行基于隐写术的攻击,例如WAV音频文件。 但是,尽管这对于MyKingz近期的攻击活动来说可能是一个有趣的发现,但使用Taylor Swift映像隐藏恶意软件并不是最主要的问题。 最主要的问题是,在过去的两年中,MyKingz被证明是对Windows计算机和企业网络的最大威胁之一。该僵尸网络很可能会破坏任何未打补丁或端口未保护的系统。 根据Sophos关于MyKingz的最新报告,MyKingz运营商目前平均每天可赚取约300美元,使他们的历史记录总数达到9,000 XMR左右,价值超过300万美元。     消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Geerban 勒索病毒正在爆破传播,还用了数十款密码抓取工具

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/PRvcgISEyjek0xh1MW50Qw   一、概述 腾讯安全御见威胁情报中心接受到用户求助,称其公司内服务器文件被全盘加密,被加密文件全部修改为.geer类型。经远程协助查看,攻击者疑似通过RDP弱口令登录成功后投毒,再将系统日志全部清除,并尝试在其机器上部署一系列扫描、对抗工具、密码抓取工具达数十个之多,攻击者利用这些工具,对内网其它机器实施攻击,以扩大勒索病毒对该企业网络的破坏数量,勒索更多不义之财。由于该病毒使用RSA+salsa20加密文件,暂无有效的解密工具,我们提醒各政企机构高度警惕,尽快消除危险因素,强化内网安全。 二、分析 该勒索病毒编写极为简洁,仅使用22个函数来完成加密过程。病毒涉及到的部分敏感操作均使用NT函数,希望借此躲过一些3环的调试下断和部分软件的Hook流程。同时,该病毒加密文件并不做类型区分、地域区分、会尝试加密全盘所有可访问到的文件,整个勒索加密模块更像是为了此次攻击,紧急编写制作而成。 病毒使用RSA+salsa20的方式对文件进行加密,RSA公钥硬编码Base64编码后存放,全局生成的salsa20密钥将被该公钥加密后作为用户ID使用,对每个文件生成salsa20密钥后使用全局密钥加密存放于文件末尾,被加密文件暂时无法解密。 如下图中,文件被加密后添加geer扩展后缀,同时留下名为READ_ME.txt勒索信,要求用户联系指定邮箱geerban@email.tg购买解密工具。 查看用户侧染毒环境可知,攻击者并不满足于只攻陷这一条服务器,还企图在内网中攻击其它机器。根据被加密的残留痕迹信息可知,攻击者在目标机器部署了大量对抗工具,主要有进程对抗工具(processhacker,Pchunter等),内网扫描工具(NS),系统日志清理工具(Loggy cleaner.exe),同时还有大量的本地密码抓取工具(包括mimikztz本地口令抓取,各类浏览器密码抓取,邮箱密码抓取,RDP,VNC登录口令抓取等工具)。 被攻击环境中存在大量残留的密码抓取工具,此时攻击者会尝试利用扫描工具进一步探测内网其它开放风险服务的机器,一旦该部分机器使用了与本机相同被窃取的弱密码,则也会同时成为攻击者加密目标。 联系攻击者可知,其索要0.37比特币的解密赎金,市值约1.7万人民币。 三、安全建议 企业用户: 尽量关闭不必要的端口,如:445、135,139等,对3389,5900等端口可进行白名单配置,只允许白名单内的IP连接登陆。 尽量关闭不必要的文件共享,如有需要,请使用ACL和强密码保护来限制访问权限,禁用对共享文件夹的匿名访问。 采用高强度的密码,避免使用弱口令密码,并定期更换密码。建议服务器密码使用高强度且无规律密码,并且强制要求每个服务器使用不同密码管理。 对没有互联需求的服务器/工作站内部访问设置相应控制,避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器。 对重要文件和数据(数据库等数据)进行定期非本地备份。 教育终端用户谨慎下载陌生邮件附件,若非必要,应禁止启用Office宏代码。 在终端/服务器部署专业安全防护软件,Web服务器可考虑部署在腾讯云等具备专业安全防护能力的云服务。 建议全网安装御点终端安全管理系统(https://s.tencent.com/product/yd/index.html)。御点终端安全管理系统具备终端杀毒统一管控、修复漏洞统一管控,以及策略管控等全方位的安全管理功能,可帮助企业管理者全面了解、管理企业内网安全状况、保护企业安全。 个人用户: 启用腾讯电脑管家,勿随意打开陌生邮件,关闭Office执行宏代码 打开电脑管家的文档守护者功能,利用磁盘冗余空间自动备份数据文档,即使发生意外,数据也可有备无患。 IOCs MD5: b27e50375a815f59a8a8b33fd5d04367

Ryuk 勒索软件涉嫌参与新奥尔良网络攻击

一周前,新奥尔良市官员在新闻发布会上确认该市受到勒索软件攻击,攻击事件发生于2019年12月13日上午。 IT人员立即通知所有了员工,并要求他们关闭计算机,以防威胁扩散。 政府部门的设备没有连接城网,当时还没查出是那种勒索软件感染了系统。 现在,媒体提供了有关这次攻击的更多消息。根据提交给VirusTotal的文件,新奥尔良市涉及的勒索软件可能是Ryuk Ransomware。 在勒索软件攻击新奥尔良市的第二天,2019年12月14日,可疑的内存转储 可执行文件 已从美国的IP地址上传到VirusTotal。 “Red Flare Security的Colin Cowie 发现其中一个内存转储多次提及了New Orleans 和 Ryuk” BleepingComputer报道。 Cowie发现的转储与名为yoletby.exe,其中包含对新奥尔良市的引用,包括域名,域控制器,内部IP地址,用户名,文件共享。同一转储包含对Ryuk勒索软件的引用,这种情况表明黑客在此次袭击中使用了该恶意软件。   专家还发现了证明此次攻击使用了Ryuk的证据。   “ v2.exe内存转储中有一个字符串很有意思,它指向的值是新奥尔良市政厅。” “经过进一步挖掘, BleepingComputer 找到了 v2.exe可执行文件,并在执行后确认它是Ryuk勒索软件。”     消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新型恶意程序 Snatch 曝光:进入安全模式加密数据向受害者勒索比特币

Sophos的安全研究团队近日发现了名为Snatch的勒索软件,利用Windows的功能来绕过安装在PC上的安全软件。这款勒索软件会让你的PC崩溃,并迫使受感染设备重新启动进入安全模式。而在安全模式下,通常会禁用防病毒和其他安全软件,从而允许该恶意程序作为服务进行自启,对PC进行全盘加密,最后向受害者勒索比特币。 在过去3个月内,Sophos已经收到了12例关于该勒索软件的反馈报告,要求比特币赎金在2900美元至51,000美元之间。在安全公告中写道:“Snatch可以在常见的Windows系统上运行,从Windows 7到Windows 10,所有32位和64位版本都受到影响。我们观察到Snatch无法在Windows以外的平台上运行。” (稿源:cnBeta,封面源自网络。)

TrickBot 银行木马传入我国,专门窃取国外银行登录凭据

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/nh-j3Zv1DTVg_xkIsjlLMQ   一、背景 腾讯安全御见威胁情报中心检测到TrickBot银行木马活跃,黑客在钓鱼文档中嵌入恶意VBA代码,宏代码通过创建和执行CMD脚本以及VBS脚本下载和传播银行木马TrickBot。监测数据显示,该木马已影响我国部分企业,中毒电脑系统信息及访问国外银行的登录信息会被窃取,受TrickBot银行木马影响较严重的地区为浙江,广东,北京等地。 TrickBot在2016年左右被发现,会在受害者通过浏览器访问在线银行时窃取网银信息,攻击目标包括澳大利亚、新西兰、德国、英国、加拿大、美国、以色列和爱尔兰等国银行系统,有国外研究者认为该组织已收集了2.5亿个电子邮箱。 TrickBot首次感染系统后,会安装计划任务“Ms visual extension”反复执行木马,然后将恶意代码注入Svchost.exe,下载多个加密的DLL模块,最终将injectdll32(64)注入浏览器进程,捕获与目标银行相关的HTTP请求并复制发送至C&C服务器。 TrickBot攻击流程 二、详细分析 当受害者打开恶意Word文档时,会显示如下图所示界面: 初次打开文档时,Office会提示是否允许宏执行,若选择允许,则文档界面中会提示一条告警消息,但是实际上后台VBA代码正在C:\Resources目录下创建5个后缀为.cmd的文件,然后通过CreateProcessA执行c:\Resources\BC4603BB450B14.cmd。 之后,BC4603BB450B14.cmd创建用于下载文件的VBS脚本pscolor.vbs, 并使用该脚本从https[:]//allpetsandpaws.com/DOYJIABZB.res或 http[:]//rygseminarios.com/egprod40.eof下载nas6.exe。 nas6.exe搜集当前系统CPUID序列号发送至https[:]//magnwnce.com/photo.png?id=,然后从http[:]//149.154.67.19/tin.exe下载Trickbot。 Trickbot重命名自身为“с그의길습을든意すスっジюл.EXE”,并拷贝到%ProgramData%和%Roaming%\swapper\目录下。重命名的文件名包含字母,韩文,中文,日文和保加利亚语,这会导致部分调试器无法加载该文件。 接着将木马安装为计划任务“Ms visual extension”,设置触发器在系统启动时木马执行一次,之后每隔11分钟执行一次。 定时任务触发后,taskeng.exe启动с그의길습을든意すスっジюл.EXE,然后将恶意代码注入子进程svchost.exe继续执行,进程树如下图所示。 TrickBot下载8个模块importDll64(或importDll32) ,injectDll64,mshareDll64,mwormDll64,networkDll64,pwgrab64,systeminfo64,tabDll64。同时下载所需配置文件存放到四个目录injectDll64_configs,networkDll64_configs,pwgrab64_configs,tabDll64_configs下。 systeminfo64负责收集受害者的系统信息,包括其Windows版本、CPU类型、RAM容量、用户帐户、已安装的软件和服务,不同信息字段以符号“aksgja8s8d8a8s97”进行分割并上传至服务器。 injectDll64最终能够将恶意代码注入Web浏览器(IE、Chrome和Firefox)从而窃取受害者的在线银行信息。被注入到svchost.exe执行时,injectDll64会枚举所有正在运行的进程,通过比较进程名来检查它是否是浏览器(包括“Chrome”、“IE”和“Firefox”浏览器)。 在选择一个进程之后,它创建一个命名管道(使用进程ID与一个常量字符串进行组合作为管道的名称),使用这个命名管道在svchost.exe和浏览器之间进行通信,以传输Sinj、dinj和dport的内容,之后InjectDll准备要注入到浏览器中的代码,并调用CreateRemoteThread执行注入。 TrickBot在一个线程中将银行信息(即Sinj、dinj和dpost的内容)传输到浏览器,之后在另一个线程中对WinInet和NSS3API的导出函数上设置钩子,从而利用注入的代码捕获来自浏览器的所有HTTP请求。 本地钩子函数能够使用银行信息对HTTP请求进行进一步的过滤,如果HTTP请求与目标银行匹配,则将该HTTP请求复制并发送到C&C服务器。 三、安全建议 中国国内在线银行系统普遍采用“U盾”来做登录认证、加密网银系统通信,TrickBot银行木马暂不能直接威胁国内网银资金安全,但对于国外银行系统的安全威胁却不容小视。腾讯安全专家建议用户采取以下安全措施,防止受害: 1、建议不要打开不明来源的邮件附件,对于邮件附件中的文件要谨慎运行,如发现有脚本或其他可执行文件可先使用杀毒软件进行扫描; 2、建议升级office系列软件到最新版本,对陌生文件中的宏代码坚决不启用; 3、推荐企业用户部署腾讯御点终端安全管理系统防御病毒木马攻击,个人用户启用腾讯电脑管家的安全防护功能; 4、推荐企业使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统; IOCs IP 149.154.67.19 181.129.104.139 170.238.117.187 Domain allpetsandpaws.com rygseminarios.com URL https[:]//allpetsandpaws.com/DOYJIABZB.res http[:]//rygseminarios.com/egprod40.eof http[:]//149.154.67.19/tin.exe http[:]//presifered.com/data3.php md5 c04f5dc534fa5b1acef3c08d9ab3f3cb 1c132ca1ec8b89977c0e3ee28763e3fc 参考链接: https://www.fortinet.com/blog/threat-research/deep-analysis-of-the-online-banking-botnet-trickbot.html https://www.deepinstinct.com/2019/07/12/trickbooster-trickbots-email-based-infection-module/(原文已被删,快照可供参考)  

SQL 爆破攻击近期多见,中招系统遭遇流氓软件推装

感谢腾讯御见威胁情报中心来稿! 原文:https://s.tencent.com/research/report/858.html 腾讯安全御见威胁情报中心检测到有黑产团伙通过SQL爆破投放多个病毒木马事件,用于投放的木马均伪装为图片格式后缀(jpg,png),其中包括“紫狐”木马、多个用于系统提权漏洞(CVE-2018-8120, CVE-2015-1701,ms16-032)攻击,及powershell脚本木马。紫狐木马安装后通过流氓推装软件刷量获利。 一、概述 腾讯安全御见威胁情报中心检测到有黑产团伙通过SQL爆破投放多个病毒木马事件,用于投放的木马均伪装为图片格式后缀(jpg,png),其中包括“紫狐”木马、多个用于系统提权漏洞(CVE-2018-8120, CVE-2015-1701,ms16-032)攻击,及powershell脚本木马。紫狐木马安装后通过流氓推装软件刷量获利。 紫狐木马家族最先出现在2018年,通过下载器进行传播,一直活跃至今,之后还多次通过刷量软件进行传播(详见:御见威胁情报中心在9月份披露的刷量软件“流量宝流量版”通过挂马攻击传播“紫狐”病毒事件),如今紫狐木马又通过SQL爆破入侵植入。 根据腾讯安全御见威胁情报中心监测数据显示,最新的病毒域名es.ldbdhm.xyz在11月初开始活跃至今。 该团伙攻击影响全国大部分省区,受害最严重的为广东、河北、四川等地。腾讯安全御见威胁情报中心近期先后披露了多个团伙在使用SQL爆破攻击企业网络。 二、详细分析 御见威胁情报中心近期监测到的攻击行动,是通过sql爆破入侵后会下载执行多个病毒文件,包括紫狐木马MSI安装包,提权漏洞,powershell脚本木马等等,入侵执行流程如下: 入侵阶段 通过sql爆破入侵,爆破成功后会执行多个脚本命令, 部分脚本命令如下: 执行的脚本的功能主要是下载执行,下载执行多个jpg, png,图片格式文件,这些文件用图片格式来伪装,实际上是powershell脚本病毒,MSI紫狐木马安装文件,EXE提权漏洞等, 下载文件及对应功能模块如下: Windows 权限提升 下载执行多个提权漏洞,包括CVE-2018-8120, CVE-2015-1701,ms16-032等多个提权漏洞进行提权,从而提升当前进程执行权限,以便于将病毒的MSI安装文件成功安装到计算机中及进行更多需要高权限操作的恶意行为。 ms16-032下载地址: hxxp://es.ldbdhm.xyz/sqlexec/1603232.jpg ms16-032提权漏洞利用代码: VE-2018-8120模块下载地址: hxxp://es.ldbdhm.xyz/sqlexec/1808164.jpg hxxp://es.ldbdhm.xyz/sqlexec/1808132.jpg CVE-2018-8120提权代码: 安装紫狐木马 下载的SMB1.jpg, SMB3.jpg,Sps.jpg等多个图片格式的文件实际上是MSI安装包,下载地址为hxxp://Es.ldbdhm.xyz/sqlexec/xxx.jpg 和历史版本的紫狐木马套路一致,MSI安装包内有三个PE文件:sysupdate.log, winupda32.log,winupda64.log,木马安装后会通过PendingFileRenameOperations实现开机启动。 MSI安装文件: 紫狐木马母体功能特点如下: winupda32.log,winupda64.log分别为x86, x64不同系统环境下DLL文件,加了VMP壳 通过系统PendingFileRenameOperations机制替换系统文件实现开机启动; 解密出DLL文件C:\Windows\SysWOW64\MsxxxxxxApp.dll并创建服务启动; 释放驱动模块隐藏自身行为并在后台推广安装各类软件,病毒通过在受害者电脑恶意推广安装这些软件获利。 三、安全建议 及时修复系统高危漏洞,推荐使用腾讯电脑管家或腾讯御点的漏洞修复功能检测并修复漏洞,包括:CVE-2018-8120, CVE-2015-1701,ms16-032等。 推荐使用腾讯电脑管家/腾讯御点拦截此类病毒的攻击,如有中招也可使用电脑管家/腾讯御点对“紫狐”病毒进行清理。 推荐企业用户使用腾讯御界高级威胁检测系统检测各种可疑攻击行为,包括各种漏洞利用行为的检测。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。 建议企业网管尽快检测SQL服务器是否存在弱密码风险,近期针对SQL服务器的弱口令爆破攻击非常多见,攻击者一旦爆破成功,可能给企业造成信息泄露,同时多种攻击方式可能导致勒索病毒、挖矿木马,甚至流氓软件在内网扩散传播,引发更大的损失。 IOCs: MD5: 364ac68062168fc334f478a2997c6298 4facb81f57e515a508040270849bcd35 3fe38271b009298b4cb0b01ef57edbf3 de5de649e0821b0dd3dadfa8235416ea be0384e85412a2668008f76dc3b3ccea f5df39c5ed4eb90c169216ace51ed833 5bab2f1dd53b3ae08dab8a1a2d7c145c 4658ddc4e03f0003f590666ab73261e3 2c62e2fbef311731ebbc26c785d10f2b 14018f47163809b0166591f87d1bb046 6467874d952a5ffc1edfd7f05b1cc86d beac6592dbd3a479a64789e43ec20f27 b43442df320d1f89defd772991b6335c ae3e7304122469f2de3ecbd920a768d1 URL: hxxp://es.ldbdhm.xyz/SMB3.jpg hxxp://es.ldbdhm.xyz/sqlexec/1808164.jpg hxxp://es.ldbdhm.xyz/sqlexec/1808132.jpg hxxp://es.ldbdhm.xyz/sqlexec/pe.jpg hxxp://es.ldbdhm.xyz/sqlexec/sps.jpg hxxp://es.ldbdhm.xyz/smb3p.jpg hxxp://es.ldbdhm.xyz/SMB1.jpg hxxp://es.ldbdhm.xyz/SMB2.jpg hxxp://es.ldbdhm.xyz/SMB2P.jpg hxxp://es.ldbdhm.xyz/smb1p.jpg hxxp://es.ldbdhm.xyz/sqlexec/1505164.jpg hxxp://es.ldbdhm.xyz/sqlexec/1603232.jpg hxxp://es.ldbdhm.xyz/sqlexec/1505132.jpg hxxp://es.ldbdhm.xyz/sqlexec/1603264.jpg

欧洲刑警组织逮捕 IM-RAT 背后 13 名黑客

欧洲刑警组织于上周宣布,他们在近期的一项国际执法行动中成功打击了Imminent Monitor RAT背后的犯罪网络。 Imminent Monitor RAT是一种可以让网络犯罪分子远程完全控制受害者的计算机的工具,被卖给了14,500多名买家,受害者覆盖124个国家。 此次行动还关闭了Imminent Monitor的基础架构和销售网站,这使得新老买家都无法使用该木马。 该黑客工具一开始被作为一种合法的远程管理框架而推广,随后被广泛用于访问用户的计算机,使得黑客得以窃取用户的在线银行和其他金融帐户的登录信息。 欧洲刑警组织还于今年6月对澳大利亚和比利时的IM-RAT开发商和雇员签发了搜查令,此次行动很有可能是为了确认该工具的转售者和用户。刑警组织还在澳大利亚,哥伦比亚,捷克,荷兰,波兰,西班牙,瑞典和英国逮捕了IM-RAT的13个重要客户。 执法人员还从客户手中缉获了430多种设备,并对大量计算机和IT设备进行了分析。 IM-RAT可以使攻击者完全控制受害者的计算机,从而使他们可以在受害者不知情的情况下执行以下所列的各种恶意行为: 1.记录击键, 2.从浏览器中窃取数据和密码, 3.通过网络摄像头监视受害者, 4.下载/执行文件, 5.禁用防病毒和防恶意软件, 6.终止正在运行的进程, 7.执行许多其他操作。 由于IM-RAT的功能,易用性以及终身访问权限,其成本仅为25美元,因此被评定为危险级别。 欧洲刑警组织欧洲网络犯罪中心(EC3)负责人史蒂文·威尔逊说道:“地球另一端的黑客现在只用花25美元就可以通过点击鼠标,访问我们的个人详细信息和亲人的照片,甚至监视我们。” 执法人员认为,IM-RAT受害者的数量下降了数万人,“调查人员已经取得了黑客窃取个人详细信息,密码,私人照片,录像带和数据的犯罪证据”。 在其他类似的国际联合行动中,名为Luminosity Link的远程访问木马的犯罪网络也于两年前被关停。 在Luminosity Link案中,一名21岁开发人员因非法使用计算机,洗钱和非法转移财产而被捕,并被判处 30个月监禁。 为避免成为此类威胁的受害者,我们建议个人用户和组织使您的所有软件升级至最新版本,正确配置防火墙,避免打开可疑的电子邮件附件或URL,并在不同网站上使用不同的密码。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接