分类: 黑客事件

外媒详解 Jabber 统治俄罗斯地下黑客组织原因

据外媒CyberScoop报道,虽然俄罗斯网络犯罪黑社会的大部分是一个谜团,但有一种技术却充当了贯穿整个谜团的关键共同链接,它就是Jabber。根据安全公司Flashpoint的最新研究,在一个尖端技术、创意和犯罪的领域,这个已有18年历史的即时通讯工具是讲俄语的网络罪犯最流行的交流工具。 虽然Jabber已经在俄罗斯社区占据了主导地位,但与此同时,它在世界各地的网络罪犯中也变得越来越受欢迎。 这不仅是对技术质量的证明也是对俄罗斯黑客趋势的影响的证明。 “在网络犯罪经济中,Jabber被视为沟通的黄金标准,”安全公司Flashpoint高级研究员Leroy Terrelonge III告诉CyberScoop。 Jabber(同时也被叫XMPP或Extensible Messaging and Presence Protocol)是一个开源的联合即时通讯工具,拥有数千个独立服务器和遍布全球的1000多万名用户。该技术运行在HipChat、索尼PS视频聊天应用和Electronic Arts的Origin等主流产品的幕后。而拥有超10亿用户的WhatsApp使用的则是XMPP的一个变体。记者和隐私保护积极分子在该平台上通常都会有属于自己的账号。 Terrelonge说指出,有俄罗斯人作为先锋,“Jabber在网络犯罪社区有着光明的未来。” Jabber对企业来说有用的诸多因素也是使其成为犯罪分子的理想选择的原因之一。该技术支持强大的加密和一系列高安全特性,再加上其开放性从而提高了它在后斯诺登时代的吸引力。 Jabber创建于1999年,经过十多年的发展拥有了数百万名用户。然而从2013年开始,随着世界越来越强烈地意识到网络上的大规模黑客攻击和监视活动,采用这种技术的人越来越多。在俄罗斯,用户最终开始放弃20世纪60年代的即时通讯工具ICQ转而使用Jabber提供的高级安全功能。据悉,ICQ主导了俄罗斯的在线交流近20年时间。在那里,下载并安全地使用带有非公开加密的信息并不是什么大问题。 对于不太成熟的网络罪犯,微软的通讯应用Skype通常就足够了。但即使是在Skype占主导地位的网络犯罪社区,Jabber也已经取得了进展,更老练的黑客则将其整合到Skype中。 Jabber的联盟意味着任何人都可以打开服务器并按照自己认为合适的方式运行。这对那些担心公司跟政府密切合作的罪犯来说极具吸引力,尤其在美国。一些Jabber服务器甚至就是专门为罪犯设置的。 最近被逮捕的Kelihos僵尸网络幕后主使Pyotr Levashov就是一位典型的俄语高级用户。为了运营他的全球业务,Levashov使用了一个加密的非官方Jabber服务器和账号。 然而,大多数黑客并不运行自己的Jabber服务器而是依赖他人运行的服务器。在地下信徒中,Exploit.im Jabber服务器是执法部门的首要目标。 据悉,Exploit.im是由Exploit社区运行的。这是一个半排外的俄语网络犯罪论坛,具有悠久的相对信任和真实性血统。若想要加入社区则需要进行一定程度的审查或支付。Exploit.im账号只提供给认证成员有效地证明了其用户的威望和信心。最重要的是,服务器的管理员承诺用户不会有日志记录并提供强大的隐私和可靠服务。         (消息及封面来源:cnBeta)

SolarWinds 事件持续发酵:黑客以 60 万美元出售 Windows 10 源代码

在对 SolarWinds 事件的深入调查中,微软发现部分内部帐号被黑客获取,并访问了公司的部分源代码。而现在,有一名黑客以 60 万美元的价格出售 Windows 10 源代码,但是无法确定真实性。 来自 Rendition Infosec 的安全研究人员 Jake Williams 报道了这一消息,他警告称这些黑客似乎来自俄罗斯知名黑客组织 Shadow Brokers。但他们可能是为了混淆视听,并非真正有这些源代码访问。 微软证实,黑客能够查看,但不能改变部分产品的源代码,并表示没有证据表明这一活动将微软服务的安全性或任何客户数据置于风险之中。微软表示,查看源代码并不会增加风险,因为该公司并不依赖源代码的保密性来保证产品的安全。         (消息来源:cnBeta;封面来自网络)

黑客攻击联网情趣用品以勒索赎金

一名黑客控制了连接到互联网的智能情趣用品:男性远程贞操笼,并要求用比特币支付赎金来解锁。“你的丁丁已经被我锁定。”根据一名安全研究人员获得的对话截图,黑客对其中一名受害者说。这位研究人员的名字叫Smelly,是收集恶意软件样本的网站vx-underground的创始人。 去年10月,安全研究人员发现,一款物联网情趣用品贞操笼,一种主要在BDSM社区中使用的放置并锁定在阴茎周围并可以联网远程上锁和解锁的性玩具制造商留下了一个API暴露,给了恶意黑客控制设备的机会。根据一位安全研究人员获得的黑客和几位受害者之间的对话截图,非常糟糕的事情就这样发生了。 不过万幸的是,”这件事发生的时候,我并没有锁上这个东西。”Robert在一次在线聊天中说,不然后果真的不堪设想。 受害者Robert表示,他收到了黑客的信息,要求支付0.02比特币(约合今天750美元)来解锁设备。他意识到自己的笼子肯定被 “锁住了”以至于无法使用。 “我现在已经不是笼子的主人了,所以我在任何时候都不能完全控制笼子。”另一位名叫RJ的受害者在一次在线聊天中表示。他收到了黑客发来的信息,黑客说他们已经控制了笼子,并希望支付一笔钱来解锁笼子。 这些黑客再次表明,仅仅因为你可以将某样东西连接到互联网上,并不意味着你必须这样做,尤其是如果你随后不注意保护设备或其连接的安全。 这款设备的中国制造商Qiui没有回应置评请求,这款设备的名字很贴切,叫做Cellmate。 对Cellmate设备进行安全查验的Pentest Partners安全研究员亚历克斯-洛马斯(Alex Lomas)证实,一些用户确实收到了勒索信息,并表示这凸显了这些设备制造商改进安全实践的必要性。           (消息及封面来源:cnBeta)

JetBrains 否认参与 SolarWinds 黑客攻击

捷克软件开发公司JetBrains今天声明,否认 《纽约时报》和《华尔街日报》 刊登的JetBrains涉嫌参与SolarWinds黑客攻击事件的报道。 调查人员认为,黑客将JetBrains的产品命名为TeamCity,该产品是用于将组件组装到软件应用程序中的CI / CD(持续集成/持续开发)服务器。 JetBrains首席执行官马克西姆·沙菲罗夫(Maxim Shafirov)发表博客表示: “ SolarWinds是我们TeamCity的用户,这是用作构建软件的持续集成和部署系统 。” 他补充说:“ SolarWinds或政府机构尚未与我们联系,提供有关违规的任何详细信息。我们会给予充分的合作。” 但俄罗斯JetBrains首席执行官并没有完全排除其产品被SolarWinds黑客滥用的可能性。 这位高管说:“要强调TeamCity是需要适当配置的产品。如果TeamCity被滥用,那很可能是由于配置错误,而不是特定的漏洞。” 我们仍不清楚所谓的JetBrains违规行为。 正如ETH安全研究中心研究员Stefan Soesanto早些时候在Twitter表示的那样:在对JetBrains承担责任之前,我们需要澄清更多细节。       消息及封面来源:ZDnet,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.c

美国和加拿大银行用户成为黑客目标

黑客正在分发一种新的以AutoHotkey(AHK)脚本语言编写的凭据窃取程序,这是自2020年初开始的攻击活动的一部分。 美国和加拿大银行用户是黑客的主要目标,特别是丰业银行、加拿大皇家银行、汇丰银行、Alterna银行、Capital One、Manulife和EQ Bank、还包括印度银行公司ICICI Bank。 AutoHotkey是Microsoft Windows的一种开源自定义脚本语言,旨在为宏创建和软件自动化提供简单的热键,允许用户在任何Windows应用程序中自动执行重复的任务。 多阶段感染链始于一个嵌入了Visual Basic for Applications(VBA)AutoOpen宏的带有恶意软件的Excel文件,该宏随后用于通过合法AHK脚本编译器可执行文件“adb.exe”删除并执行下载程序客户端脚本“adb.ahk”。 下载客户端脚本还负责实现持久性、分析受害者信息、以及从位于美国、荷兰和瑞典的C&C服务器下载并运行其他AHK脚本。 该恶意软件下载并执行AHK脚本以完成不同的任务,而不是直接从C&C服务器接收命令。 Trend Micro的研究人员表示:“攻击者可以决定上传特定的脚本来为每个用户或用户组实现自定义任务。这也阻止了主要程序被公开披露,特别是向其他研究人员或沙盒披露。” 其中最主要的是针对各种浏览器(比如Google Chrome、Opera、Microsoft Edge等)的凭证窃取程序。一旦安装,窃取程序会尝试在受感染的机器上下载SQLite模块(“sqlite3.dll”),使用它对浏览器应用程序文件夹中的SQLite数据库执行SQL查询。 最后,窃取程序从浏览器收集并解密凭证,并通过HTTP POST请求以明文形式将信息导出到C&C服务器。 恶意软件组件“在代码级别上组织得很好”,其中包含的使用说明(用俄语编写)可能意味着攻击链的背后存在一个“雇佣黑客”组织。 研究人员总结:“通过在受害者的操作系统中使用缺乏内置编译器的脚本语言,加载恶意组件并频繁更改C&C服务器,黑客就能隐藏其恶意意图。”         消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ”   

SolarWinds 黑客旨在窃取用户的云数据

微软表示,日前SolarWinds黑客正部署Solorigate后门,以破坏相关用户的云基础架构。 Microsoft 365 安全团队透露,SolarWinds供应链攻击幕后黑客旨在利用Sunburst / Solorigate后门感染受害者网络,进而破坏用户的云基础架构。 微软表示:“黑客可以随意挑选目标受众群体。根据调查,此网络攻击的下一阶段涉及本地活动,其目标是非本地访问云资源。” 一旦部署后门,黑客就可以窃取凭据、提升特权并在目标网络内获得创建有效SAML的权限,进而来访问云资源并窃取电子邮件及相关敏感数据。   专家表示:“这种网络攻击是具有极强的的隐身能力,因此我们很难发现相关活动。”  基于此,CISA和网络安全公司Crowdstrike都发布了用于审核Azure和MS 365安全环境的免费工具。           消息来源:Security Affairs,封面来自网络,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.c

芬兰国会议员的电子邮件帐户遭黑客攻击

芬兰国会议员表示:“芬兰议会技术监控部门发现,芬兰议会在2020年秋天遭受了网络攻击,此次攻击活动可能导致议员的电子邮件帐户遭到入侵。” 2020年秋天同一时刻,与俄罗斯有关的黑客访问了部分挪威议会代表的电子邮件数据。 芬兰中央刑警(KRP)正在议会的支持下调查安全漏洞。根据KRP专员Tero Muurman的说法,这次攻击互活动很可能是民族主义者开展的,目前未对议会的基础设施造成损害。“此次攻击活动影响广泛,但不幸的是,我们仍无法提供确切的数字。” 芬兰议会会长AnuVehviläinen表示,此次事件针对芬兰社会民主的恶意攻击活动。“我们不能接受任何形式的针对政府或非政府机构的网络攻击活动,” 她补充说,“为了加强网络安全,我们需要采取相关国家措施,配合欧盟和其他国际合作中的积极行动。”         消息来源:Security Affairs,封面来自网络,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.c  

黑客伪造付款表格 收集在线商店的付款信息

安全专家警告:黑客利用信用卡分离器可以收集Shopify、BigCommerce、Zencart和Woocommerce在线商店的付款信息,通过伪造付款表格,记录顾客进入实际结帐页面之前输入的信息。 在顾客提供了信用卡数据后,页面将引导顾客返回到实际付款页面,以避免引起怀疑。 该网络攻击活动之所以出色,是因为它针对不同平台,黑客可能已经破坏了被攻击商店的共享组件。 专家指出,这种多平台分离器使用的是编程生成的渗透域。第一个渗透域于2020年8月31日注册。 zg9tywlubmftzw5ldza.com; zg9tywlubmftzw5ldze.com; zg9tywlubmftzw5ldzu.com: zg9tywlubmftzw5ldzq.com; zg9tywlubmftzw5ldzm.com; zg9tywlubmftzw5ldzy.com; zg9tywlubmftzw5ldzi.com; zg9tywlubmftzw5ldzg.com …………………………………….. Sansec总结称:“此次攻击活动表明在线平台并非获利欺诈的边界,无论顾客是否输入付款详细信息,都存在一定的风险。”       消息及封面来源:Security Affairs,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.c

俄罗斯加密货币交易所 Livecoin 被黑客入侵 失去对服务器的控制权

俄罗斯加密货币交易所Livecoin在平安夜在其官方网站上发布消息,声称自己被黑客攻击,失去了对部分服务器的控制,并警告客户停止使用其服务。根据社交媒体上的帖子,攻击似乎发生在12月23日到12月24日之间的夜晚。黑客似乎已经控制了Livecoin的基础设施,然后继续将汇率修改为巨大且不现实的数值。 在12月24日晚间,Livecoin管理员设法夺回部分系统的访问权之前,比特币汇率已经从常规的2.3万美元/BTC膨胀到超过45万美元/BTC,以太币从600美元/ETH增长到1.5万美元,瑞波币价格从0.27美元/XRP增长到超过17美元/XRP。 汇率被修改后,神秘攻击者就开始兑现账户,产生巨额利润。 在其网站上发布的消息中,Livecoin管理员将这一事件描述为 “精心策划的攻击,正如我们假设的那样,在过去的几个月中已经准备好了”。 “我们失去了对所有服务器、后台和节点的控制。因此,我们无法及时停止服务。我们的新闻频道也受到了影响。”该公司说。 “目前,我们部分控制了前台,因此我们能够放置这个公告,”它补充道。Livecoin现在敦促用户停止存款,并通过网站的API和移动应用程序等其他接口进行交易。 正如大多数加密货币黑客所发生的那样,一些用户认为整个黑客事件根本就是内鬼自导自演,Livecoin表示,他们已经通知了当地执法部门。 根据CoinMarketCap的数据,Livecoin被列为互联网上第173家加密货币交易所,日交易额约为1600万美元,该网站自2014年3月以来一直活跃。         (消息来源:cnBeta;封面来源于网络)

泄露文件曝光任天堂侵入性监控黑客行动

据外媒报道,泄露的任天堂文件显示,一名正在研究3DS掌上游戏机漏洞的黑客遭到了可怕的监视行动。除了监控他的私人生活–包括他的教育方面、离开家的时间和他去的地方,这家公司都会从其工作的地方跟踪目标以迫使他停止活动。保护企业知识产权的间谍项目在世界各地都有在持续进行,但很少有行动细节泄露给公众。 然而对于任天堂来说不幸的是,相关信息被曝光,根据泄露的文件显示,成为这家公司的主机黑客的目标是一件多么可怕的事情,即使这些目标已经声明他们的工作不是为了盗版目的而设计的。 泄露文件披露了任天堂警方式的监视行动 在过去的24小时里,各种Twitter账号发布了最近从任天堂泄露的文件片段。虽然有许多有趣的项目,但最令人震惊的发现涉及了一名叫做Neimod的黑客,他曾在几年前发现了3DS掌机的漏洞。 当然,像任天堂这样的公司对Neimod这样的人的作品产生浓厚兴趣也并不奇怪。任天堂的文档将他描述为一位“技艺高超的硬件工程师”且“在任天堂产品的黑客领域享有很高的声誉”。 然而,泄露的文件还详细披露了这家游戏巨头准备如何阻止他的工作。 例如,文件揭露了深入挖掘Neimod教育状况的个人剖析、列出了他的工作生活细节,同时还提供了物理窥探他日常生活方式的证据,如什么时候能在家里找到他、谁来见他甚至他去银行和餐馆之类的地方等信息也都能找到。 有关拦截目标的详细行动计划 根据任天堂的计划,针对Neimod的行动始于2013年4月15日左右,其团队在当地一家酒店开会讨论并敲定他们的计划。在回顾了Neimod前一周的活动之后,该团队决定在哪里和何时进行接触–例如下班后或在家。 在一名监视Neimod的卧底调查人员负责搞清楚他下班的时间的情况下,“联络小组”被要求以友好、不具威胁性、专业和礼貌的方式接近目标Neimod。 在跟Neimod开始交谈之后,团队被要求奉承这个黑客,承认他的工程/编程天赋。另外他们还被告知,要提到他不会“促进盗版”发展的声明目的,但也要指出任天堂的担忧–公布了他的黑客行为可能就会促进这一点的发展。 无论Neimod同意还是拒绝,任天堂都做好了应对准备。由Eclipse-TT发布到Twitter上的幻灯片显示了一个流程图。 任天堂表示,如果双方能达成合作,它可以避免提起刑事诉讼。它还可能跟Neimod签订“赏金”合同,为发现和记录漏洞而支付报酬。在一定范围内,他的发现仍可以向公众公布,但要让他保留吹嘘权利。该公司写道,这可能有助于提升任天堂的形象。 只有当侵入性监控行动的细节远离公众视线时才有可能长期显著提升公众形象。然而现在随着Hacker Enforcement Proposal的全面泄露,这对任天堂来说可能会变得有点困难。 另一方面,这也可能也会让黑客停下来思考或将他们推向更糟糕的境地。         (消息及封面来源:cnBeta)