分类: 黑客事件

伊朗黑客组织开发 Android 恶意软件用于窃取双因素验证短信

安全公司Check Point表示,它发现了一个伊朗黑客组织开发的特殊Android恶意软件,能够拦截和窃取通过短信发送的双因素验证(2FA)代码。该恶意软件是该公司昵称为Rampant Kitten的黑客组织开发的黑客工具库的一部分。 伪装成欧盟驾照培训辅助应用的App Check Point表示,该组织至少活跃了6年,一直在从事针对伊朗少数族裔、反对组织和抵抗运动的持续监视行动。 这些活动涉及使用广泛的恶意软件系列,包括四种Windows信息窃取工具的变种和伪装在恶意应用程序中的Android后门。 其开发的Windows恶意软件主要用于窃取受害者的个人文件,但也窃取Telegram的Windows桌面客户端的文件,这些文件允许黑客访问受害者的Telegram账户。 此外,面向Windows分支的恶意软件还窃取KeePass密码管理器中的文件,与本周早些时候发布的CISA和FBI关于伊朗黑客及其恶意软件的联合警报中的功能描述一致。 但虽然Rampant Kitten黑客偏爱开发Windows木马,但他们也为Android开发了类似的工具。 在今天发布的一份报告中,Check Point研究人员表示,他们还发现了该组织开发的一个强大的Android后门。该后门可以窃取受害者的通讯录列表和短信,通过麦克风悄悄记录受害者,并显示钓鱼页面。但更值得关注的是,该后门还包含专门针对窃取2FA(双因素认证)的代码。 Check Point表示,该恶意软件会拦截并转发给攻击者任何包含 “G-“字符串的短信,该字符串通常被用于通过短信向用户发送谷歌账户的2FA代码前缀。 其思路是,Rampant Kitten运营商会利用Android木马显示谷歌钓鱼页面,获取用户的账户凭证,然后访问受害者的账户。 如果受害者启用了2FA,恶意软件的2FA短信拦截功能就会悄悄地将2FA短信代码的副本发送给攻击者,让他们绕过2FA。 但事实并非如此。Check Point还发现有证据表明,该恶意软件还会自动转发所有来自Telegram和其他社交网络应用的接收短信。这些类型的消息也包含2FA代码,该团伙很有可能利用这一功能绕过2FA,而不是谷歌账户。 目前,Check Point表示,它发现这个恶意软件隐藏在一个Android应用内,伪装成帮助瑞典讲波斯语的人获得驾照的服务。然而,该恶意软件可能潜伏在其他针对反对德黑兰、生活在伊朗境内外的伊朗人的应用内。 虽然人们普遍认为国家支持的黑客组织通常能够绕过2FA,但我们很少能深入了解他们的工具和他们如何做到这一点。      (稿源:cnBeta,封面源自网络。)

美司法部起诉五名中国公民 指控其对 100 多家企业发动黑客攻击

9月16日,美国政府指控APT41黑客组织的5名中国公民和2名马来西亚黑客,对全世界100多家公司发动黑客攻击。 这家名为APT41、又被称为“Barium”、“Winnti”、“邪恶熊猫”和“邪恶蜘蛛”的网络间谍组织至少从2012年就开始运作了,它不仅参与了从许多领域的有价值目标那里收集战略情报,而且还参与了对在线游戏行业的攻击。 美国司法部公布的新闻稿显示,五名中国黑客中的两名成员——张浩然和谭代林,于2019年8月被起诉,另外三名成员——蒋立志、钱川和付强,还有两名马来西亚同谋在2020年8月分别被起诉。 后来被起诉的三名中国黑客与一家网络安全公司——成都肆零肆公司有关联。 “至少从2008年开始,付就一直与蒋密切合作,并与蒋在多家互联网和视频游戏相关公司工作。付至少从2013年就开始与钱和蒋合作。在加入成都肆零肆公司之前,付自称是一名熟练的程序员和开发人员。 正如之前在多份报告中发现的,APT41集团专门从事软件供应链攻击,黑客窃取专有的“源代码、软件代码签名证书、客户帐户数据和有价值的商业信息”,并分发经过数字签名的恶意软件版本,以感染目标组织的系统。 法庭文件显示,在一些目标系统没有任何有价值的信息的情况下,被告还使用勒索软件和密码劫持恶意软件来赚钱。 目标产业包括“软件开发公司、计算机硬件制造商、电信供应商、社交媒体公司、电子游戏公司、非营利组织、大学、智囊团和外国政府,以及香港的民主政界人士和活动家。” 新闻稿显示:“被告还破坏了印度和越南的外国政府计算机网络,并锁定了英国的政府计算机网络。” 两名马来西亚黑客王安华(音译)和凌扬青(音译)于2020年9月14日在西塔万被马来西亚当局逮捕,目前正被引渡到美国。联邦调查局表示,5名中国公民仍然在逃。 “除了对所有被控被告发布逮捕令外,美国哥伦比亚特区地方法院于2020年9月签发了扣押令,他们最近扣押了数百个被告用于操作其计算机的帐户、服务器、域名和指挥控制(C2)“死机”网页。 “微软(谷歌、Facebook和Verizon Media除外)的行动是阻止被告继续访问黑客基础设施、工具、账户以及指挥和控制域名的整体努力的重要组成部分。” 目标公司位于美国和世界各地,包括澳大利亚、巴西、智利、香港、印度、印度尼西亚、日本、马来西亚、巴基斯坦、新加坡、韩国、台湾、泰国和越南。 张某和谭某被控25项电脑诈骗和洗钱罪,最高可判20年监禁。 蒋、钱、傅也面临着类似的指控的9项罪名,最高可判20年监禁。 王、凌被指控23项类似罪名,但由于他们也涉及虚假注册域名,因此将把洗钱罪的最高刑期增至27年。     稿件与封面来源:The Hacker News,译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理, 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

美国起诉 2 名黑客,称其为报复伊朗将军遭暗杀而攻击多家网站

据俄塔社15日报道,美国司法部网站在周二发布声明称,美国当局起诉了两名“黑客”,称他们为报复美国暗杀伊朗“圣城旅”前指挥官卡西姆·苏莱曼尼将军而对美国进行了网络攻击。 美国司法部称,一名19岁的伊朗人和一名25岁的巴勒斯坦人被控犯有网络攻击罪和串谋实施网络攻击。美国负责国家安全事务的助理司法部长约翰·德默斯称,“作为报复美国开展军事行动暗杀苏莱曼尼一事的运动的一部分,这两名黑客攻击了无辜的第三方。”德默斯强调,这两人正在伊朗和巴勒斯坦“躲藏起来,避免遭受审判”。 美国当局指控称,这两名“黑客”于2019年12月开始合作,在美国国防部今年1月3日宣布在伊拉克巴格达国际机场附近开展无人机袭击打死苏莱曼尼之后,他们入侵了58个美国网站。在遭到攻击之后,这些网站的页面上都出现了以伊朗国旗为背景的苏莱曼尼将军的肖像,上面用英语写着“Down with America”。 美国司法部网站声明截图 美国司法部在声明中强调,这些被指控的黑客如果承认自己犯有共谋罪,将面临最高5年的监禁和最高25万美元的罚款,如果被控实施网络犯罪,将面临最高10年的监禁,以及最高25万美元的罚款。目前,美国马萨诸塞州地方法院正在审理此案。 在美国空军去年12月29日对伊拉克民兵组织“真主党旅”位于叙利亚和伊拉克境内的5个目标发动数次袭击之后,中东局势急剧升级。美国五角大楼当时表示,“真主党旅”对此前发生在伊拉克基尔库克基地的袭击事件负有责任,袭击导致美国一名平民雇员丧生。 伊朗将军苏莱曼尼 资料图 1月3日,美国国防部宣布美军在巴格达机场附近发动无人机袭击打死伊朗将军苏莱曼尼,并表示袭击其实是“防御性的”,目的是保护驻伊拉克美军和其他国家的军队。美方还指出,苏莱曼尼似乎同意在美国驻巴格达大使馆前举行抗议活动。作为回应,伊朗在1月8日凌晨对美军在伊拉克的两个目标:艾因-阿萨德基地和埃尔比勒机场发动了导弹袭击。     (稿源:新浪科技,封面源自网络。)

调查:使用越来越普遍的二维码潜藏不少安全风险

据外媒报道,二维码(QR code)的使用在新冠大流行期间有所增加,因为它为非接触互动提供了完美的解决方案。但也有很多员工出于个人目的使用移动设备扫描二维码,而这将自己和企业资源都置于危险之中。安全平台MobileIron的一项新研究显示,84%的人以前扫描过二维码,32%的人在过去一周内做过这件事情,26%的人在过去一个月里这么做过。 在过去的六个月里,38%的受访者表示他们在餐馆、酒吧或咖啡馆扫描过二维码,37%的人在零售商和32%的人在消费产品上扫描过二维码。显然,二维码很流行,53%的受访者希望看到它们在未来得到更广泛的应用。43%的人计划在不久的将来使用二维码作为支付方式,40%的人表示如果可以选择的话,他们愿意使用通过邮件收到的二维码进行投票。 然而对于黑客来说,二维码也是一个诱人的攻击途径,因为手机用户界面会提示用户立即采取行动,同时限制用户在访问网站之前获取的信息数量。 MobileIron负责解决方案的全球副总裁Alex Mosher指出:“黑客正在通过移动威胁载体发起攻击,其中包括电子邮件、文本和短信、即时消息、社交媒体和其他通讯方式。我预计我们很快就会看到通过二维码发起的攻击。黑客可以轻易地将含有恶意软件的URL嵌入到二维码中,然后在扫描移动设备时窃取数据。或者黑客可以在指向钓鱼网站的二维码中嵌入恶意URL,鼓励用户泄露他们的身份信息,然后窃取并利用这些信息渗透到一家公司中。” 近3/4(71%)的受访者表示,他们无法区分正版和恶意二维码,不过67%的人能区分正版和恶意网址。 此外,67%的受访者表示知道二维码可以打开一个URL,但只有19%的受访者认为扫描二维码可以起草一封电子邮件,20%的人认为扫描二维码可以开发一个电话,24%的人认为扫描二维码可以发起一个文本消息。而35%的人不确定黑客是否能用二维码锁定目标。 Mosher补充称:“公司需要立即重新考虑他们的安全战略把重点放在移动设备上。与此同时,他们需要优先考虑一个无缝的用户体验。一个统一的端点管理解决方案可以提供所需的IT控制从而保护、管理和监视用于访问业务数据的每台设备、每位用户、每一款应用和每个网络并同时将生产力最大化。组织还可以在UEM的基础上构建移动威胁防御解决方案以检测和补救移动威胁–包括恶意二维码,即使设备处于脱机状态。”     (稿源:cnBeta,封面源自网络。)

卡巴斯基:针对 Linux 的黑客攻击行为日益猖獗

根据卡巴斯基公布的最新报告,黑客已经将攻击的目标逐渐迁移到 Linux 服务器和工作站上。虽然 Windows 系统一直是黑客的攻击目标,但是高级持久性威胁(APTs)现在已经成为 Linux 世界的一个严重问题。 尽管像 TwoSail Junk、Sofacy 和 Equation 这样的著名例子已经不胜枚举,但是在大多数用户的认知里,Linux 系统很少甚至从不成为攻击目标。 事实上有许多专门为 Linux 设计的 webshell、后门和 rootkits。最近的一个例子,就是俄罗斯黑客组织 Turla 开发的 Penguin_x64 Linux 后门程序。韩国恶意软件组织 Lazarus 也增加了其Linux恶意软件库,各种工具被用于间谍和金融攻击。 卡巴斯基全球研究和分析团队(GReAT)负责人 Yury Namestnikov 表示: 我们的专家在过去多次发现了加强APT工具集的趋势,以Linux为中心的工具也不例外。为了保证系统的安全,IT和安全部门比以前更频繁地使用Linux。威胁行为者正在通过创建能够渗透此类系统的复杂工具来应对这一问题。我们建议网络安全专家考虑到这一趋势,实施额外的措施来保护他们的服务器和工作站。     (稿源:cnBeta,封面源自网络。)

近 2000 家 Magento 1 店遭到黑客攻击

2020年9月12日至13日,全球近2000家Magento 1店遭到黑客攻击,这是迄今为止规模最大的一次有记录的活动。这是一个典型的Magecart攻击:注入的恶意代码将截获不受怀疑的商店客户的付款信息。被检查的商店发现运行Magento版本1,该版本于去年6月宣布停止使用。 Sansec早期漏洞检测系统监控全球电子商务领域的安全威胁,检测到1904个不同的Magento商店,在结账页面上有一个独特的键盘记录(skimmer)。9月11日,有10家商店被感染,12日是1058家,13日是603家,14日是233家。 另请阅读:Adobe与Sansec合作,以提高Magento平台的安全性。 这项自动化活动是Sansec自2015年开始监测以来发现的最大规模的活动。此前的纪录是去年7月一天内有962家店铺被黑客入侵。本周末事件的规模之大说明了网络浏览的复杂性和盈利能力的提高。犯罪分子已经越来越自动化他们的黑客操作,以运行网络掠取计划在尽可能多的商店。 据Sansec估计,上周末,数万名顾客的私人信息通过其中一家受损商店被盗。 Magento exploit $ 5000 在此之前,许多受害商店没有发生过类似的安全事故。这表明攻击者使用了一种新的攻击方法来获得这些存储的服务器(写)访问权限。虽然我们仍在调查确切的原因,但这次活动可能与最近几周前上市的Magento 10天(漏洞利用)有关。 用户z3r0day在一个黑客论坛上宣布以5000美元的价格出售Magento 1“远程代码执行”攻击方法,包括指令视频。据称,不需要事先的Magento管理员帐户。z3r0day强调,由于Magento 1已经过时,Adobe不会提供官方补丁来修复这个漏洞,这使得这个漏洞对使用传统平台的店主造成了额外的伤害。 为了使交易更加顺利,z3r0day承诺只出售10份危险漏洞利用程序。 根据Sansec的实时数据,截至今天,仍有大约9.5 万家Magento 1商店仍在营业。 官方PCI要求在服务器上使用恶意软件和漏洞扫描程序,如Sansec的eComscan。Sansec还建议订阅替代的Magento 1补丁程序支持,例如Mage One提供的支持。 更新:攻击方法 截至周一,Sansec正在对两台受感染的服务器进行调查。攻击者使用IP 92.242.62.210(美国)和91.121.94.121(OVH,FR)与Magento管理面板进行交互,并使用“Magento Connect”功能下载和安装各种文件,包括名为的恶意软件mysql.php。将恶意代码添加到后,该文件已自动删除prototype.js。 2020-09-14T09:57:06  92.242.62.210  GET /downloader/ HTTP/1.1 2020-09-14T09:57:09  92.242.62.210  POST /downloader/ HTTP/1.1 2020-09-14T09:57:09  92.242.62.210  GET /index.php/admin/?SID=XXXX HTTP/1.1 2020-09-14T09:57:10  92.242.62.210  GET /index.php/admin/dashboard/index/key/<hash>/ HTTP/1.1 2020-09-14T09:57:13  92.242.62.210  GET /index.php/admin/system_config/index/key/<hash>/ HTTP/1.1 2020-09-14T09:57:15  92.242.62.210  GET /index.php/admin/system_config/edit/section/dev/key/<hash>/ HTTP/1.1 2020-09-14T09:57:19  92.242.62.210  POST /index.php/admin/system_config/save/section/dev/key/<hash>/ HTTP/1.1 2020-09-14T09:57:20  92.242.62.210  GET /index.php/admin/system_config/edit/section/dev/key/<hash>/ HTTP/1.1 2020-09-14T09:57:22  92.242.62.210  GET /index.php/admin/import/index/key/<hash>/ HTTP/1.1 2020-09-14T09:57:25  92.242.62.210  POST /index.php/admin/import/validate/key/<hash>/ HTTP/1.1 2020-09-14T09:57:25  92.242.62.210  GET /downloader/ HTTP/1.1 2020-09-14T09:57:28  92.242.62.210  POST /downloader/index.php?A=connectInstallPackageUpload&maintenance=1&archive_type=0&backup_name= HTTP/1.1 2020-09-14T09:57:29  92.242.62.210  GET /downloader/index.php?A=cleanCache HTTP/1.1 2020-09-14T09:57:31  92.242.62.210  GET /mysql.php HTTP/1.1 WEB服务器的日志显示,周末有很多人试图安装文件,可能是为了安装改进版的skimmer。 撇渣器分析:mcdnn.net 对于受影响的Magento 1商店,已将加载的撇渣器添加到文件prototype.js中,这是标准Magento安装的一部分。 该//mcdnn.net/122002/assets/js/widget.js服务根据其包含在哪个页面上来提供动态内容。仅当从结帐页面中引用时,它才会提供恶意的按键记录日志代码: 实际付款将被泄露到莫斯科托管的站点https://imags.pw/502.jsp,该站点与mcdnn.net域在同一网络上。     稿件与封面来源:Sansec,译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理, 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

微软发布美国大选安全报告 黑客组织活动明显增加

美国总统大选在即,施加给科技公司的压力也越来越大,如何防止恶意组织的干扰是摆在他们面前的难题。在近日更新的官方博文中,微软表示外国黑客组织针对美国总统大选的活动明显增加。 博文中表示,在过去几周时间里对特朗普和拜登的网络攻击明显增加,这些攻击主要来自于三个黑客组织,分别为 Strontium, Zirconium 和 Phosphorus。 2019年9月至今,Strontium 已经影响了超过 200 多家组织,其中包括协助共和党和民主党的美国顾问,以及国内的国家和州党组织等。Strontium 的作案手法包括收割登录凭证以破坏账户。 而 Zirconium 在过去数月里发动了数千次攻击,其中有 150 次成功。微软报道称,Zirconium 在网络犯罪中采取了双管齐下的方式。其中之一是针对与总统竞选活动直接相关的人:拜登竞选活动一直是主要目标,还有至少一名此前参与特朗普政府的个人。该组织策略的第二项是针对参与国际事务的有影响力的人。Zirconium 使用 “网络信标 “来确定目标用户是否有有效的网络存在,并将其用于侦察活动。 去年微软已经对 Phosphorus 该组织进行了打击,在法院的帮助下即将积极努力控制这个组织正在使用的网络域名。在报告中称,Phosphorus曾多次尝试登录特朗普总统工作人员的账户,但都没有成功。 尽管这些黑客组织的活动有所增加,但微软表示,它已经挫败了大多数针对美国大选的企图,并积极通知那些被针对的人。该公司表示。     (稿源:cnBeta,封面源自网络。)

Evilnum 黑客使用新的基于Python的木马攻击金融公司

至少自2018年以来,一家以金融科技行业为目标的攻击者改变了策略,加入了一种新的基于Python的远程访问特洛伊木马(RAT),该木马可以窃取密码、文档、浏览器cookie、电子邮件凭据和其他敏感信息。 在Cyber eason研究人员昨天发表的一项分析中,Evilnum不仅调整了其感染链,而且还部署了一个名为“ PyVil RAT”的Python RAT,它具有收集信息,截屏,捕获击键数据,打开SSH shell的功能,并且部署了新工具。 网络安全公司表示:“从2018年的第一份报告到今天,该集团的TTP已经随着不同的工具而发展,而集团继续专注于金融科技目标。”。 “这些变化包括感染链和持久性的改变,随着时间的推移正在扩展的新基础设施,以及使用新的Python脚本远程访问木马(RAT)”来监视其受感染的目标。 在过去的两年中,Evilnum与针对英国和欧盟范围内的公司的几次恶意软件攻击活动有关,这些恶意软件攻击活动涉及使用JavaScript和C#编写的后门程序,以及通过从恶意软件服务提供商Golden Chickens购买的工具。 早在7月,APT小组就被定位为使用鱼叉式网络钓鱼电子邮件的公司,这些电子邮件包含指向托管在Google云端硬盘上的ZIP文件的链接,以窃取软件许可证,客户信用卡信息以及投资和交易文件。 虽然他们在受感染系统中获得最初立足点的作案手法保持不变,但感染程序已发生重大变化。 除了使用带有假冒的鱼叉式网络钓鱼电子邮件(KYC)来诱骗金融业员工触发恶意软件外,攻击还从使用具有后门功能的基于JavaScript的特洛伊木马转移到了能够提供隐藏在合法可执行文件的修改版本中的恶意有效载荷,旨在逃避检测。 研究人员说:“JavaScript是这个新感染链的第一步,最终以有效载荷的传递为最终结果,该载荷是用py2exe编译的Python编写的RAT,Nocturnus研究人员称其为PyVil RAT。” 多进程传递过程(“ ddpp.exe”)在执行时,解压缩shellcode以便与攻击者控制的服务器建立通信,并接收第二个加密的可执行文件(“ fplayer.exe”),该文件用作下一阶段的下载程序以进行提取Python RAT。 研究人员指出:“在该小组的先前活动中,Evilnum的工具避免使用域与C2进行通信,而仅使用IP地址。” “虽然C2 IP地址每隔几周更改一次,但与此IP地址关联的域列表却在不断增长。” 随着APT技术的不断发展,企业必须保持警惕,员工要警惕他们的电子邮件是否存在网络钓鱼企图,并在打开来自未知发件人的电子邮件和附件时保持谨慎。     稿件与封面来源:The Hacker News,译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理, 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

暗网 Empire Market 于三天前宕机 猜测跑路或管理员被捕

援引彭博社报道,全球最大的暗网之一 Empire Market 于三天前宕机。目前尚不清楚引发本次宕机的原因是什么,也不清楚该网站的管理员是谁。报道中采访的一位网络安全专家表示,像 Empire Market 这样的暗网宕机通常有两个原因,其一是管理员被逮捕,其二就是窃取了用户押金后跑路。 暗网 Empire Market 主要销售毒品,并提供包括护照、恶意软件在内的其他内容。彭博社报道称,在 Silk Road 和 AlphaBay 等暗网关闭之后,Empire Market 成为交易量最大的暗网市场。 帝国市场上的商品被换成了加密货币。为了在这样的市场上经营,任何想要出售的人都必须交纳押金。这笔钱会被托管,让网站的管理员对其进行控制。这使得他们有可能直接关闭网站,然后带着钱走人。一位接受彭博社采访的安全专家表示,帝国市场托管的金额很难估计,但至少是 “数百万美元”。     (稿源:cnBeta,封面源自网络。)

为拿回被朝鲜黑客盗走的加密货币 美政府提起诉讼

据外媒报道,美国政府日前提起诉讼以此来控制280个比特币和以太坊账户,据悉这些账户持有朝鲜黑客从两家加密货币交易所窃取的资金。法庭文件没有指明被黑的交易所,但官员表示,这两次黑客攻击分别发生在2019年7月1日和2019年9月25日。 在第一次事件中,朝鲜黑客窃取了价值27.2万美元的加密货币和代币,包括Proton代币、PlayGame代币和IHT Real Estate代币。而在第二次事件中,黑客窃取了多个虚拟货币,总价值超过250万美元。 美国官员表示,他们使用区块链分析追踪到两家被黑交易所门户网站被盗资金进入了280个账户中。 根据法庭文件,美国政府表示,朝鲜黑客使用了一种名为chain hopping的技术来洗黑钱。这种技术也被称为blockchain hopping,指的是从一种加密货币中获取资金并将其转换为另一种加密货币。 美司法部表示,朝鲜黑客通常会从一家交易所窃取资金然后将资金转移到另一家交易所,在那里他们会进行数次连锁交易,最终则将所有资金汇入他们追踪到的280个BTC和ETH账户中。 根据法庭文件了解到,这280个地址中的许多地址目前都被冻结在了它们建立的加密货币门户上。由于加密货币交易门户网站之间有着合作关系,它们会在遭到黑客攻击后立即冻结问题账户。 现在,美国政府想要正式控制这些账户以便将资金返还给被黑客攻击的交易所或用户。 美国司法部表示,这两起黑客攻击跟他们在2019年3月曝光的其他朝鲜黑客攻击和洗钱活动有关。 2019年9月,美国财政部曾制裁了三家朝鲜黑客组织,并冻结了跟其空壳公司相关的金融资产。美财政部官员表示,这三家组织参与了对加密货币交易所的黑客攻击,其目的是窃取资金然后转移给平壤政权手中。     (稿源:cnBeta,封面源自网络。)