分类: 黑客事件

黑客攻击联网情趣用品以勒索赎金

一名黑客控制了连接到互联网的智能情趣用品:男性远程贞操笼,并要求用比特币支付赎金来解锁。“你的丁丁已经被我锁定。”根据一名安全研究人员获得的对话截图,黑客对其中一名受害者说。这位研究人员的名字叫Smelly,是收集恶意软件样本的网站vx-underground的创始人。 去年10月,安全研究人员发现,一款物联网情趣用品贞操笼,一种主要在BDSM社区中使用的放置并锁定在阴茎周围并可以联网远程上锁和解锁的性玩具制造商留下了一个API暴露,给了恶意黑客控制设备的机会。根据一位安全研究人员获得的黑客和几位受害者之间的对话截图,非常糟糕的事情就这样发生了。 不过万幸的是,”这件事发生的时候,我并没有锁上这个东西。”Robert在一次在线聊天中说,不然后果真的不堪设想。 受害者Robert表示,他收到了黑客的信息,要求支付0.02比特币(约合今天750美元)来解锁设备。他意识到自己的笼子肯定被 “锁住了”以至于无法使用。 “我现在已经不是笼子的主人了,所以我在任何时候都不能完全控制笼子。”另一位名叫RJ的受害者在一次在线聊天中表示。他收到了黑客发来的信息,黑客说他们已经控制了笼子,并希望支付一笔钱来解锁笼子。 这些黑客再次表明,仅仅因为你可以将某样东西连接到互联网上,并不意味着你必须这样做,尤其是如果你随后不注意保护设备或其连接的安全。 这款设备的中国制造商Qiui没有回应置评请求,这款设备的名字很贴切,叫做Cellmate。 对Cellmate设备进行安全查验的Pentest Partners安全研究员亚历克斯-洛马斯(Alex Lomas)证实,一些用户确实收到了勒索信息,并表示这凸显了这些设备制造商改进安全实践的必要性。           (消息及封面来源:cnBeta)

JetBrains 否认参与 SolarWinds 黑客攻击

捷克软件开发公司JetBrains今天声明,否认 《纽约时报》和《华尔街日报》 刊登的JetBrains涉嫌参与SolarWinds黑客攻击事件的报道。 调查人员认为,黑客将JetBrains的产品命名为TeamCity,该产品是用于将组件组装到软件应用程序中的CI / CD(持续集成/持续开发)服务器。 JetBrains首席执行官马克西姆·沙菲罗夫(Maxim Shafirov)发表博客表示: “ SolarWinds是我们TeamCity的用户,这是用作构建软件的持续集成和部署系统 。” 他补充说:“ SolarWinds或政府机构尚未与我们联系,提供有关违规的任何详细信息。我们会给予充分的合作。” 但俄罗斯JetBrains首席执行官并没有完全排除其产品被SolarWinds黑客滥用的可能性。 这位高管说:“要强调TeamCity是需要适当配置的产品。如果TeamCity被滥用,那很可能是由于配置错误,而不是特定的漏洞。” 我们仍不清楚所谓的JetBrains违规行为。 正如ETH安全研究中心研究员Stefan Soesanto早些时候在Twitter表示的那样:在对JetBrains承担责任之前,我们需要澄清更多细节。       消息及封面来源:ZDnet,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.c

美国和加拿大银行用户成为黑客目标

黑客正在分发一种新的以AutoHotkey(AHK)脚本语言编写的凭据窃取程序,这是自2020年初开始的攻击活动的一部分。 美国和加拿大银行用户是黑客的主要目标,特别是丰业银行、加拿大皇家银行、汇丰银行、Alterna银行、Capital One、Manulife和EQ Bank、还包括印度银行公司ICICI Bank。 AutoHotkey是Microsoft Windows的一种开源自定义脚本语言,旨在为宏创建和软件自动化提供简单的热键,允许用户在任何Windows应用程序中自动执行重复的任务。 多阶段感染链始于一个嵌入了Visual Basic for Applications(VBA)AutoOpen宏的带有恶意软件的Excel文件,该宏随后用于通过合法AHK脚本编译器可执行文件“adb.exe”删除并执行下载程序客户端脚本“adb.ahk”。 下载客户端脚本还负责实现持久性、分析受害者信息、以及从位于美国、荷兰和瑞典的C&C服务器下载并运行其他AHK脚本。 该恶意软件下载并执行AHK脚本以完成不同的任务,而不是直接从C&C服务器接收命令。 Trend Micro的研究人员表示:“攻击者可以决定上传特定的脚本来为每个用户或用户组实现自定义任务。这也阻止了主要程序被公开披露,特别是向其他研究人员或沙盒披露。” 其中最主要的是针对各种浏览器(比如Google Chrome、Opera、Microsoft Edge等)的凭证窃取程序。一旦安装,窃取程序会尝试在受感染的机器上下载SQLite模块(“sqlite3.dll”),使用它对浏览器应用程序文件夹中的SQLite数据库执行SQL查询。 最后,窃取程序从浏览器收集并解密凭证,并通过HTTP POST请求以明文形式将信息导出到C&C服务器。 恶意软件组件“在代码级别上组织得很好”,其中包含的使用说明(用俄语编写)可能意味着攻击链的背后存在一个“雇佣黑客”组织。 研究人员总结:“通过在受害者的操作系统中使用缺乏内置编译器的脚本语言,加载恶意组件并频繁更改C&C服务器,黑客就能隐藏其恶意意图。”         消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ”   

SolarWinds 黑客旨在窃取用户的云数据

微软表示,日前SolarWinds黑客正部署Solorigate后门,以破坏相关用户的云基础架构。 Microsoft 365 安全团队透露,SolarWinds供应链攻击幕后黑客旨在利用Sunburst / Solorigate后门感染受害者网络,进而破坏用户的云基础架构。 微软表示:“黑客可以随意挑选目标受众群体。根据调查,此网络攻击的下一阶段涉及本地活动,其目标是非本地访问云资源。” 一旦部署后门,黑客就可以窃取凭据、提升特权并在目标网络内获得创建有效SAML的权限,进而来访问云资源并窃取电子邮件及相关敏感数据。   专家表示:“这种网络攻击是具有极强的的隐身能力,因此我们很难发现相关活动。”  基于此,CISA和网络安全公司Crowdstrike都发布了用于审核Azure和MS 365安全环境的免费工具。           消息来源:Security Affairs,封面来自网络,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.c

芬兰国会议员的电子邮件帐户遭黑客攻击

芬兰国会议员表示:“芬兰议会技术监控部门发现,芬兰议会在2020年秋天遭受了网络攻击,此次攻击活动可能导致议员的电子邮件帐户遭到入侵。” 2020年秋天同一时刻,与俄罗斯有关的黑客访问了部分挪威议会代表的电子邮件数据。 芬兰中央刑警(KRP)正在议会的支持下调查安全漏洞。根据KRP专员Tero Muurman的说法,这次攻击互活动很可能是民族主义者开展的,目前未对议会的基础设施造成损害。“此次攻击活动影响广泛,但不幸的是,我们仍无法提供确切的数字。” 芬兰议会会长AnuVehviläinen表示,此次事件针对芬兰社会民主的恶意攻击活动。“我们不能接受任何形式的针对政府或非政府机构的网络攻击活动,” 她补充说,“为了加强网络安全,我们需要采取相关国家措施,配合欧盟和其他国际合作中的积极行动。”         消息来源:Security Affairs,封面来自网络,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.c  

黑客伪造付款表格 收集在线商店的付款信息

安全专家警告:黑客利用信用卡分离器可以收集Shopify、BigCommerce、Zencart和Woocommerce在线商店的付款信息,通过伪造付款表格,记录顾客进入实际结帐页面之前输入的信息。 在顾客提供了信用卡数据后,页面将引导顾客返回到实际付款页面,以避免引起怀疑。 该网络攻击活动之所以出色,是因为它针对不同平台,黑客可能已经破坏了被攻击商店的共享组件。 专家指出,这种多平台分离器使用的是编程生成的渗透域。第一个渗透域于2020年8月31日注册。 zg9tywlubmftzw5ldza.com; zg9tywlubmftzw5ldze.com; zg9tywlubmftzw5ldzu.com: zg9tywlubmftzw5ldzq.com; zg9tywlubmftzw5ldzm.com; zg9tywlubmftzw5ldzy.com; zg9tywlubmftzw5ldzi.com; zg9tywlubmftzw5ldzg.com …………………………………….. Sansec总结称:“此次攻击活动表明在线平台并非获利欺诈的边界,无论顾客是否输入付款详细信息,都存在一定的风险。”       消息及封面来源:Security Affairs,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.c

俄罗斯加密货币交易所 Livecoin 被黑客入侵 失去对服务器的控制权

俄罗斯加密货币交易所Livecoin在平安夜在其官方网站上发布消息,声称自己被黑客攻击,失去了对部分服务器的控制,并警告客户停止使用其服务。根据社交媒体上的帖子,攻击似乎发生在12月23日到12月24日之间的夜晚。黑客似乎已经控制了Livecoin的基础设施,然后继续将汇率修改为巨大且不现实的数值。 在12月24日晚间,Livecoin管理员设法夺回部分系统的访问权之前,比特币汇率已经从常规的2.3万美元/BTC膨胀到超过45万美元/BTC,以太币从600美元/ETH增长到1.5万美元,瑞波币价格从0.27美元/XRP增长到超过17美元/XRP。 汇率被修改后,神秘攻击者就开始兑现账户,产生巨额利润。 在其网站上发布的消息中,Livecoin管理员将这一事件描述为 “精心策划的攻击,正如我们假设的那样,在过去的几个月中已经准备好了”。 “我们失去了对所有服务器、后台和节点的控制。因此,我们无法及时停止服务。我们的新闻频道也受到了影响。”该公司说。 “目前,我们部分控制了前台,因此我们能够放置这个公告,”它补充道。Livecoin现在敦促用户停止存款,并通过网站的API和移动应用程序等其他接口进行交易。 正如大多数加密货币黑客所发生的那样,一些用户认为整个黑客事件根本就是内鬼自导自演,Livecoin表示,他们已经通知了当地执法部门。 根据CoinMarketCap的数据,Livecoin被列为互联网上第173家加密货币交易所,日交易额约为1600万美元,该网站自2014年3月以来一直活跃。         (消息来源:cnBeta;封面来源于网络)

泄露文件曝光任天堂侵入性监控黑客行动

据外媒报道,泄露的任天堂文件显示,一名正在研究3DS掌上游戏机漏洞的黑客遭到了可怕的监视行动。除了监控他的私人生活–包括他的教育方面、离开家的时间和他去的地方,这家公司都会从其工作的地方跟踪目标以迫使他停止活动。保护企业知识产权的间谍项目在世界各地都有在持续进行,但很少有行动细节泄露给公众。 然而对于任天堂来说不幸的是,相关信息被曝光,根据泄露的文件显示,成为这家公司的主机黑客的目标是一件多么可怕的事情,即使这些目标已经声明他们的工作不是为了盗版目的而设计的。 泄露文件披露了任天堂警方式的监视行动 在过去的24小时里,各种Twitter账号发布了最近从任天堂泄露的文件片段。虽然有许多有趣的项目,但最令人震惊的发现涉及了一名叫做Neimod的黑客,他曾在几年前发现了3DS掌机的漏洞。 当然,像任天堂这样的公司对Neimod这样的人的作品产生浓厚兴趣也并不奇怪。任天堂的文档将他描述为一位“技艺高超的硬件工程师”且“在任天堂产品的黑客领域享有很高的声誉”。 然而,泄露的文件还详细披露了这家游戏巨头准备如何阻止他的工作。 例如,文件揭露了深入挖掘Neimod教育状况的个人剖析、列出了他的工作生活细节,同时还提供了物理窥探他日常生活方式的证据,如什么时候能在家里找到他、谁来见他甚至他去银行和餐馆之类的地方等信息也都能找到。 有关拦截目标的详细行动计划 根据任天堂的计划,针对Neimod的行动始于2013年4月15日左右,其团队在当地一家酒店开会讨论并敲定他们的计划。在回顾了Neimod前一周的活动之后,该团队决定在哪里和何时进行接触–例如下班后或在家。 在一名监视Neimod的卧底调查人员负责搞清楚他下班的时间的情况下,“联络小组”被要求以友好、不具威胁性、专业和礼貌的方式接近目标Neimod。 在跟Neimod开始交谈之后,团队被要求奉承这个黑客,承认他的工程/编程天赋。另外他们还被告知,要提到他不会“促进盗版”发展的声明目的,但也要指出任天堂的担忧–公布了他的黑客行为可能就会促进这一点的发展。 无论Neimod同意还是拒绝,任天堂都做好了应对准备。由Eclipse-TT发布到Twitter上的幻灯片显示了一个流程图。 任天堂表示,如果双方能达成合作,它可以避免提起刑事诉讼。它还可能跟Neimod签订“赏金”合同,为发现和记录漏洞而支付报酬。在一定范围内,他的发现仍可以向公众公布,但要让他保留吹嘘权利。该公司写道,这可能有助于提升任天堂的形象。 只有当侵入性监控行动的细节远离公众视线时才有可能长期显著提升公众形象。然而现在随着Hacker Enforcement Proposal的全面泄露,这对任天堂来说可能会变得有点困难。 另一方面,这也可能也会让黑客停下来思考或将他们推向更糟糕的境地。         (消息及封面来源:cnBeta)

有证据表明 Citrix ADC 设备被黑客滥用发起 DDoS 攻击

援引外媒 ZDNet 今天早些时候报道,有攻击者利用 Citrix ADC 网络设备向 Steam、Xbox 等在线游戏服务发起拒绝服务攻击(DDoS)。首波攻击上周被德国 IT 系统管理员 Marco Hofmann 发现并记录在案。 图片来自于 WikiMedia 随后 Hofmann 追踪到了 Citrix ADC 设备上的 DTLS 接口。DTLS,即数据报传输层安全,是 TLS 协议的一个更多版本,实现在对流友好的 UDP 传输协议上,而不是更可靠的TCP。就像所有基于UDP的协议一样,DTLS是可欺骗的,可以作为DDoS放大载体。 这意味着,攻击者可以向具有DTLS功能的设备发送小的DTLS数据包,并将结果以一个大很多倍的数据包返回到一个被欺骗的IP地址(DDoS攻击受害者)。原数据包被放大多少倍,决定了具体协议的放大系数。对于过去基于 DTLS 的 DDoS 攻击,放大系数通常是原始数据包的 4-5 倍。 不过在本周一的报告中,在 Citrix ADC 设备上实现的 DTLS 似乎被放大了 35 倍,使其成为最有力的 DDoS 放大载体之一。在多家媒体报道之后,Citrix 也承认这个问题,并承诺会在圣诞节假期之后在明年 1 月中旬发布修复补丁。该公司表示,已经有证据表明有黑客利用该 DDoS 向全球少数客户发起攻击。 当攻击者滥用Citrix ADC设备时,他们可能最终会耗尽其上游带宽,造成额外的成本并阻止来自ADC的合法活动。 在Citrix准备好官方缓解措施之前,出现了两个临时的修复方法。第一种是在不使用Citrix ADC DTLS接口的情况下,禁用该接口。第二种是如果需要 DTLS 接口,建议强制设备验证传入的 DTLS 连接,尽管这可能会因此降低设备的性能。     (消息及封面来源:cnBeta)

欧洲刑警组织联合多国执法部门关闭 Safe-Inet 服务器 被黑客用于隐匿身份

本周二,欧洲刑警组织(Europol)宣布联合多国执法机构开展了 Operation Nova 活动,关闭了 Safe-Inet 在德国、荷兰、法国和美国境内的服务器,从而让网络犯罪分子更难掩盖他们的踪迹。据悉 Safe-Inet 是最受勒索软件和其他网络犯罪分子青睐的 VPN 服务,主要用于隐藏身份。 据欧洲刑警组织称,这项服务可以隐藏客户的 IP 地址,并在互联网上提供一定程度的匿名性。该服务已经在网络上活跃了十多年,它被犯罪分子用来进行勒索软件活动和从零售网站上窃取信用卡号码,以及其他攻击,如网络钓鱼活动和账户接管。 欧洲刑警组织在公告中写道:“这种VPN服务被高价卖给了犯罪团伙,作为避免执法拦截的最佳工具之一,提供多达5层的匿名VPN连接”。这些机构没有宣布对该VPN提供商或其任何客户进行任何逮捕或指控。然而,拿下VPN服务很可能会让使用该服务的犯罪分子更难继续行动,至少目前来看是这样的。 网络安全专家表示,在无法抓住网络犯罪分子或完全关闭其业务时,这种做法是有意义的,也符合各大科技公司采取的行动。例如,微软在12月查封了SolarWinds黑客事件中使用的网络域名,以阻止一场大规模的恶意软件活动。 在查获Safe-Inet的服务器之后,警方发现全球已有250个企业受到犯罪集团的监控,也立即警告这些企业,要求它们多加防范,以免受到勒索软体之类的网路攻击。         (消息及封面来源:cnBeta)