分类: 恶意软件

英美政府网站被植入恶意软件 电脑被迫挖掘加密货币

据美国科技新闻网站 The Register 报道,包括美国和英国政府机构在内的数千家网站都在周日被一组代码感染了数小时,导致访问受感染网站的电脑秘密地挖掘数字加密货币。The Register 称,共有 4200 多个网站感染了该恶意软件,这款恶意软件是英国软件公司 Texthelp 公司开发的 Browsealoud 工具的恶意版本,这款工具原本的目的是为有视觉问题的人朗读网页内容。 最近一段时间,利用恶意软件感染电脑,使之为黑客挖掘数字货币的网络攻击日益猖獗。随着比特币和其他数字加密货币的交易量暴增,这种攻击模式最近几个月也越来越流行。 The Register 表示,访问受感染网站的电脑会被迫运行专门挖掘“ 门罗币 ”的软件,从而为幕后黑客谋取利益。 美国和英国执法部门以及 Texthelp 发言人均未对此置评。 Texthelp 此前对 The Register 表示,为了制止这一黑客活动,他们已经停用了 Browsealoud,该公司的工程团队也展开了调查。 稿源:cnBeta、新浪科技,封面源自网络;

Chrome 难抵恶意下载攻击 数秒内耗尽资源失去响应

在 IT 行业,“ 技术支持诈骗 ” 是一种相当令人不齿的行为。通常情况下,当受害者访问到某个受影响的网站的时候,其浏览器就会被无法轻易消除的 “ 弹窗警告 ” 给遮挡。如果不打电话过去请求付费支援,那么动手能力不佳的用户可能就要干瞪眼了。此前,这类攻击通常面向于微软 Windows 操作系统自带的旧款 IE 浏览器。但是现在,研究人员发现 Google Chrome 也会中招了。  据悉,新型攻击影响 64.0.3282.140 版本的 Google Chrome 浏览器。攻击者会让浏览器立即下载成千上万个文件,让浏览器在数秒内就资源耗竭失去响应。 Malwarebytes 分析师 Jerome Segura 表示,该漏洞利用了 Blob 和 msSaveblob 接口(允许将文件保存到计算机本地的功能)。 当用户不小心踩到地雷(陷阱页面)的时候,就会触发大量的下载,让 CPU 和内存占用率瞬间飙升: ● Segura 将这些网页称作 “ 恶意广告 ”,且其能够通过标准的广告拦截器来应对。 ● 此外,如果下载已被触发,用户也可以调出 Windows 任务管理器,然后手动终结浏览器进程。 Segura 指出,虽然 Chrome 有着严格的批量突发下载限制(文件下载间隔时会征求用户许可),但这种攻击的速度实在是太快了,浏览器根本来不及弹窗询问。 我们在 Windows 7 / 10 系统上进行了测试,在弹出对话框之前,浏览器就已经被卡死了。 如上方动图最后一帧所示,当浏览器弹出是否取消下载的提示时,下载就已经完成了。 甚至在你想要 ‘ 抢先 ’ 关闭标签页的时候,浏览器就已经失去响应了。 在此期间,我们没有看到任何提示 ‘ 接受或拒绝 ’ 下载尝试的对话框。 虽然 Windows Defender 即将推出的更新可以移除恐吓型的应用,但目前不清楚该软件是否有能力拦截这类下载攻击。当然,我们也希望 Google Chrome 能尽快推出一个漏洞修复补丁。 稿源:cnBeta,封面源自网络;

欧洲刑警组织联合英国国家犯罪调查局取缔 Luminosity RAT 幕后团伙

外媒 2 月 6 日报道,隶属欧洲刑警组织的欧洲网络犯罪中心和英国犯罪调查局于近期披露了一项国际执法行动的细节 — 来自欧洲、美国和澳大利亚的十几家执法机构联合拆除了一个 与 “ Luminosity RAT ” 远程访问木马(又名 LuminosityLink)有关的犯罪团伙。 据悉,Luminosity RAT 可以禁用目标设备上的防病毒和反恶意软件,执行诸如记录击键、窃取数据和密码、开启网络摄像头监视用户等命令。 英国犯罪调查局透露,Luminosity RAT 首次于 2015 年被发现, 2016 年开始变得非常流行。根据媒体资料,英国一个小型犯罪团伙通过使用恶意网站为遍布 78 个国家的 8,600 多名买家分发了 Luminosity RAT。 据悉,买家只需花费 40 美元就能获得 Luminosity RAT 远程访问木马,尽管该木马成本只要 30 美元。此外,Luminosity RAT 在技术方面也给买家提供了方便,例如买家掌握很少的技术知识也能部署该木马。 目前数以千计的受害用户被窃取了敏感信息,其中包括密码、私人照片、录像等。欧洲网络犯罪中心负责人史蒂芬·威尔逊表示虽然如今网络犯罪在不断升级更新,但通过跨越国界和强有力的协调行动,即使世界各地黑客人士通过远程犯罪也不能免于被捕。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

黑客渗透热门软件下载网站 MacUpdate 分发 Mac 加密货币矿工

外媒 2 月 6 日报道,网络安全公司 SentinelOne 的安全研究员发现,黑客利用热门的软件下载网站 MacUpdate 向 Mac 用户分发一个名为 OSX.CreativeUpdate 的加密货币挖掘矿工,其主要目的是通过劫持用户设备的 CPU,秘密窃取门罗币 。 据研究人员介绍,MacUpdate 网站提供的软件官方下载链接遭到黑客替换,从而导致用户设备受到感染。除此之外,这些假冒链接的域名还做了细微改变,使其看起来合法且令人信服。一旦用户下载安装,合法网站 public.adobecc.com 会被迫使安装一个有效负载,并试图打开原始应用程序的副本作为诱饵来触发恶意软件激活。 目前通过调查发现 Firefox、OnyX 和 Deeper 等应用被黑客替换了下载链接。研究人员认为黑客选择这三个应用程序的原因在于它们都是由 Platypus 开发的。因为 Platypus 开发工具可以从各种脚本(如 shell 或 Python 脚本)中生成完整的 macOS 应用程序,这意味着创建应用程序的门槛并不是很高。 据悉,MacUpdate 方面已针对该事件向用户表示了歉意,并就如何删除恶意软件提供了相关说明。 1、删除 可能已安装的上述应用[ Firefox、Onyx、Deeper ]的任何副本。 2、下载并安装应用的新副本。 3、在 Finder 中,打开主目录的窗口( Cmd-Shift-H )。 4、如果 Library 文件夹没有显示,按住 Option / Alt 键,点击“ Go ” 菜单,选择 “ Library(Cmd-Shift-L)”。 5、向下滚动找到 “ mdworker ” 文件夹(〜/ Library / mdworker /)。 6、删除整个文件夹。 7、向下滚动找到 “ LaunchAgents ” 文件夹(〜/ Library / LaunchAgents /)。 8、从该文件夹删除 “ MacOS.plist ” 和 “ MacOSupdate.plist ”(〜/ Library / LaunchAgents / MacOS.plist 和 〜/ Library / LaunchAgents / MacOSupdate.plist)。 9、清空垃圾。 10、重新启动系统。 MacUpdate  负责人建议用户在下载软件之前检查其是否合法,不要完全相信第三方网站或 Mac App Store 上的星级或评论,因为这些内容可能是伪造的。 消息来源:IBTimes,翻译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

俄罗斯暗网出现新型勒索软件 GandCrab ,要求支付达世币赎金、不得感染独联体国家

外媒 2 月 4 日消息,网络安全公司 LMNTRIX 的专家发现了一种名为 GandCrab 的新型勒索软件,通过感染受害用户系统以获得达世币(DASH)赎金(该服务由托管在 .bit 域中的服务器提供)。目前一些俄罗斯黑客团体正在暗网上为 GandCrab 广告宣传,主要通过使用 RIG 以及 GrandSoft 等开发工具包来分发该勒索软件。 在过去的几天里,LMNTRIX 实验室一直在追踪 GandCrab 勒索软件的流入,并发现此款勒索软件被设定为不得用于感染独联体(即前苏联成员国)国家的系统。 此外,一些有趣的地方也在追踪活动中被揭露: 1、有意向的买家被要求加入“ 合作伙伴计划 ”,其中勒索软件的利润分成 6:4  ; 2、大型合作伙伴能够将其收益比例提高到 70%; 3、作为一项勒索软件服务产品,GandCrab  需向 “ 合作伙伴 ” 提供技术支持和更新,比如输出了一个用户友好的管理控制台,可以通过 Tor 网络访问,以允许定制恶意软件(例如赎金金额、加密掩码等); 4、禁止合作伙伴针对独联体国家发起攻击(比如阿塞拜疆、亚美尼亚、白俄罗斯、哈萨克斯坦、吉尔吉斯斯坦、摩尔多瓦、俄罗斯、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦和乌克兰); 5、合作伙伴必须申请使用勒索软件,并且可用数量有限; 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

安全专家发现最新僵尸网络的控制主机也提供游戏私服

近日安全研究公司 Radware 发现了一个新的僵尸网络 “ JenX ”,其设计用途为在全球范围内劫持安全薄弱的物联网设备作为肉鸡,有趣的是安全公司发现 JenX 程序背后指向一支名为 San Calvicie 的黑客团队,而黑客团队用于分布式拒绝攻击 DDoS 的服务器控制主机位于东非的塞舌尔群岛。他们的控制主机除了执行 DDoS 攻击之外,还被用于作为R星经典游戏《侠盗猎车手:圣安地列斯》的私服主机。 僵尸网络主机可追溯到 San Calvicie 组织的官网,研究团队发现这些主机正在为 R 星游戏《侠盗猎车手:圣安地列斯》提供私服主机服务,玩家们可以在中创建 Mod,并要求其他玩家加入私服游戏。同时这些主机还提供防御 DDoS 攻击的服务,售价为每月 16 美元。 而与此同时,这些黑客也提供按需提供分布式拒绝攻击 DDoS 的服务,每次 20 美元。网站上如此宣传这项服务“神怒会砸向你要求攻击的 IP ”。这些组织最早提供 100Gbps 的 DDoS 的攻击服务,而在他们建立好 JenX 僵尸网络后,攻击流量直接升级至 300Gbps 。专家并不确定被劫持的物联网设备数量。 稿源:cnBeta,封面源自网络;

挖矿蠕虫 WannaMine:通过 NSA “永恒之蓝” 漏洞传播高级加密矿工

外媒 2 月1 日报道,安全公司 CrowdStrike 发现了一款名为 WannaMine 的新型 Monero 加密挖掘蠕虫,其利用与 NSA 相关的 EternalBlue (“ 永恒之蓝 ” )漏洞进行传播。据研究人员测试,WannaMine 能够感染从 Windows 2000 起的所有 Windows 系统(包括 64 位版本和 Windows Server 2003),并使其设备性能明显下降。 CrowdStrike 称目前一些矿业的日常运营已受到 WannaMine 影响,比如由于如此高的 CPU 利用率,导致矿业公司的系统以及应用程序崩溃。 研究人员经过分析后发现 WannaMine 的恶意代码十分复杂,因为它实现了一种类似于国家赞助的 APT 组织所使用的扩散机制和持久性模型。更详细地解释是:WannaMine 利用 Windows 管理工具( WMI )永久事件订阅来在受感染的系统上获得持久性。当注册一个永久事件订阅后,WannaMine 将在事件使用者中每 90 分钟执行一个 PowerShell 命令。 研究人员注意到,WannaMine 使用凭证收割机 Mimikatz 来收集用户凭据,从而达到横向移动的目的,但如果不能够横向移动的话,WannaMine 将更依赖于 EternalBlue 的利用。 相关报告: <Threat Hunting, the Investigation of Fileless Malware Attacks> 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

僵尸网络 Smominru 利用 NSA 泄露漏洞感染 52.6 万多设备挖掘门罗币

据媒体 1 月 31 日报道,“ 僵尸网络 ” 恶意软件 Smominru 已经通过泄露的 NSA 漏洞感染了 52.6 万多台电脑。 网络安全公司的软件安全研究人员已经发现了一个名为 Smominru 的新的全球僵尸网络,它也被称为 Ismo ,它使用了国家安全局( NSA )漏洞永恒之蓝来传播门罗币挖矿的恶意软件。 媒体称,这款 “ 永恒之蓝 ” 的漏洞被所谓的 “ 影子经纪人 ” (Shadow Brokers)黑客泄露,据报道,这些黑客还在幕后操纵着 2017 年的 “ WannaCry  蠕虫病毒勒索软件。 据证实,Smominru 僵尸网络自 2017 年 5 月起就开始感染电脑,每天大约会挖掘 24 个门罗币。到目前为止,据报道,“ 僵尸网络 ” 在新闻发布时已经成功挖掘了 8900 个门罗币,约合 210 万美元。研究人员说,在俄罗斯、印度和台湾发现了数量最多的 smominru 感染电脑。 根据证据,网络犯罪分子瞄准的是易受攻击的 Windows 系统,也使用了一种被泄露的 NSA 协议,叫做 EsteemAudit 。 根据 thehackernews.com 网站,专家们还通知 DDoS 保护服务 SharkTech, Smominru 的指挥和控制基础设施已经被检测到,但是他们没有得到回应。 正如 Cointelegraph 在 1 月 28 日报道的那样,通过在线广告进行大规模的门罗币挖掘恶意软件攻击,主要是由于有争议的加密货币挖掘和广告平台 cove,影响了全球范围内的大量用户和在线业务,包括 Youtube。 稿源:九个亿财经,封面源自网络;

卡巴斯基:色情诱导恶意软件 去年安卓用户成重灾区

俄罗斯安全公司卡巴斯基实验室本周三发布的一份安全报告称,去年谷歌安卓系统用户中至少有 120 万人遭遇到了色情内容相关的恶意软件,这是安卓设备上感染恶意软件用户总数 490 万人的四分之一。 使用色情内容吸引不知情的受害者点击恶意软件是一个普遍的伎俩,一个黑客团伙使用虚构色情应用在 2017 年在 100 万个安卓手机中盗取了约 89.2 万美元的总额,9 万个机器人构成的僵尸网络在推特中散布色情垃圾信息。卡巴斯基实验室的研究人员称他们几乎在成人网络内容诞生的第一天就看到色情内容,被作为散播恶意软件的诱饵。 在桌面的,卡巴斯基研究者发现色情相关恶意软件感染约 30 万次,比起移动设备发生的相关感染来说非常苍白。研究团队发现了网络上有 23 种针对安卓设备的不同的恶意软件,他们都非常依赖以色情内容作为诱饵。包括勒索病毒、木马等。谷歌拒绝就此置评,因为卡巴斯基的这项结论并未包括任何苹果 iOS 系统设备。 稿源:cnBeta.COM,封面源自网络

神秘大规模虚拟货币挖矿活动影响全球逾 3000 万系统

PaloAlto Networks 安全专家近期发现了一项大规模的加密货币挖矿活动,旨在使用开源的 XMRig 工具挖掘门罗币。目前该攻击活动已持续 4 个多月,涉及全球系统数量约达 3000 万,最受影响的国家有泰国(3,545,437),越南(1,830,065)和土耳其(665,058)。 据安全专家介绍,攻击者使用 VBS 文件和 URL 缩短服务来部署采矿工具。例如当攻击者使用 Adf.ly 短网址服务时,只要用户点击链接就会被重定向,随后下载加密货币挖矿软件 。 安全专家认为 Monero 的挖掘操作非常庞大,因为目前研究人员已经检测到超过 250 个独特的 Microsoft Windows PE 文件,其中大部分是从在线云存储提供商 4sync 下载的。 这些文件具有通用名称,可能是因为源自文件共享服务。 攻击者通过 VBS 文件执行 XMRig 挖矿软件,并利用 XMRig 代理服务来隐藏最终的矿池目的地。 此外,研究人员还注意到攻击者使用了 Nicehash 市场来交易哈希处理能力。 据 PaloAlto 的专家介绍,去年 10 月 20 日是该货币挖掘行动的一个里程碑,在此之前攻击者是使用 Windows 内置的 BITSAdmin 工具来从远程位置下载 XMRig 。(注意:一般情况下,最终的 playload 主要是由 “ msvc.exe ” 安装的。) 在 10 月 20 日之后,安全专家观察到攻击者开始使用 HTTP 重定向服务。 而在 11 月 16 日起,攻击者改变了恶意软件的攻击策略: 他们不再使用 SFX 文件,而是重新采用了一种在 Microsoft .NET Framework 中编译的可执行文件,该文件将 VBS 文件写入磁盘并修改受害用户的运行注册表项,以确保持久性。 目前安全人员观察到攻击策略最后一次改变是在 2017 年 12 月下旬,攻击者改变了用来部署恶意软件的 dropper: 在放弃 . NET 之后,他们使用 Borland Delphi 编译的 dropper 来创建必要的 VBS 文件。 与 .NET droppers 不同的是,这个特定的 dropper 将 VBS 文件放在受害用户的启动文件夹中,目的是为了获得持久性 。 令人奇怪的是,规模如此庞大的一个门罗币挖矿活动竟然在这么长的时间内都没有引起人们的注意,相关安全专家认为这种情况很是反常。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。