分类: 黑客事件

黑客伪造 WordPress 插件并植入后门

伪造 WordPress 插件是黑客的常用攻击方式之一。然而安全人员近期发现了一些具有后门功能的插件,如 initiatorseo 和 updrat123 等。 黑客依照 UpdraftPlus 伪造了这些恶意插件。前者拥有超过 200 万活跃用户,并且会定期发布更新。 恶意插件隐藏在 WordPress 首页,只有使用具有特定User-Agent字符串(随插件而异)的浏览器才能看到它们。 即使原始感染源被删除,黑客也仍然可以在用户的电脑上建立后门,并且仍然具有对服务器的访问权限。 这些后门通过 POST 请求,将恶意文件上传到服务器。该请求包含了文件下载位置的远程 URL ,以及将在受感染服务器上创建的文件的路径和名称。 到目前为止,这些 POST 参数对于每个插件都是唯一的。 黑客利用插件,将文件(即5d9196744f88d5d9196744f893.php) 上传至站点根目录。他们将会用文件中的脚本对其他站点进行暴力攻击。就算是管理员也看不到通过 WordPress 插件安装的后门。 此外,受感染的网站可能会遭到恶意攻击,包括 DDoS 和暴力攻击,发送垃圾邮件或被用于挖矿。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

最新报告称黑客正利用 WAV 音频文件隐藏挖矿恶意代码

根据最近几个月连续发布的两个安全报告,黑客正在尝试利用WAV音频文件来隐藏恶意代码。这项技术称之为隐写术(steganography),是一种将信息隐藏在另一种数据介质中的技术。 在软件领域,steganography也简称为“stego”,用于描述将文件或文本隐藏在其他格式的文件中的过程。例如,将纯文本隐藏在图像的二进制格式中。事实上黑客已经使用隐写术有十多年了,通常不会用来破坏或者感染设备,而是作为一种转移方法。隐写术允许隐藏恶意代码的文件绕过将不可执行文件格式(例如多媒体文件)列入白名单的安全软件。 以前所有使用隐写术进行恶意软件攻击的实例都围绕使用图像文件格式(例如PNG或JEPG)展开。最近发布的两份报告中的新颖之处在于发现黑客开始使用WAV音频文件,在今年开始被广泛使用。 早在今年6月份,就有报告检测到隐藏在WAV音频文件中的恶意程序活动。赛门铁克安全研究人员表示,他们发现了一个名为Waterbug(或Turla)的俄罗斯网络间谍组织,该组织使用WAV文件将恶意代码从其服务器隐藏并传输到已经感染的受害者。 BlackBerry Cylance在本月发现了第二个恶意软件活动。在今天发布并上周与ZDNet共享的报告中,Cylance说它看到了与赛门铁克几个月前类似的东西。 但是,尽管赛门铁克报告描述了一个国家级的网络间谍活动,但Cylance表示,他们看到WAV隐写技术在日常的加密采矿恶意软件操作中被滥用。Cylance说,这个特殊的威胁参与者正在将WAV音频文件中的隐藏DLL。 该黑客的使用WAV隐写技术用于挖矿,调用系统资源来挖掘加密货币。Lemos告诉ZDNet:“使用隐秘技术需要对目标文件格式有深入的了解。通常,复杂的威胁参与者希望长时间不被发现。 隐写术可以与任何文件格式一起使用,只要攻击者遵守该格式的结构和约束,这样对目标文件进行的任何修改都不会破坏其完整性。 换句话说,通过阻止易受攻击的文件格式来防御隐写术不是正确的解决方案,因为这样最后的结果是许多流行格式都下载不了,例如 JPEG、PNG、BMP、WAV、GIF、WebP、TIFF 等。   (稿源:cnBeta,封面源自网络。)

快Go矿工(KuaiGoMiner)控制数万电脑挖矿,释放远控木马窃取机密

感谢腾讯御见威胁情报中心来稿! 原文:https://s.tencent.com/research/report/824.html 腾讯安全御见威胁情报中心检测到“快Go矿工”(KuaiGoMiner)挖矿木马攻击。该木马利用NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”攻击工具针对互联网上的机器进行扫描攻击,并在攻击成功后植入挖矿和远控木马,已控制数万台电脑。 一、背景 腾讯安全御见威胁情报中心检测到“快Go矿工”(KuaiGoMiner)挖矿木马攻击。该木马利用NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”攻击工具针对互联网上的机器进行扫描攻击,并在攻击成功后植入挖矿和远控木马,已控制数万台电脑。因其使用的C2域名中包含“kuai-Go”,御见威胁情报中心将其命名为“快Go矿工”(KuaiGoMiner)。 “快Go矿工”(KuaiGoMiner)将挖矿程序伪装成系统进程explorer.exe、smss.exe运行,截止目前已挖矿获得门罗币242.7个,折合人民币9万余元。同时,病毒在攻陷机器上植入的gh0st远控木马,具有搜集信息、上传下载文件、键盘记录、执行任意程序等多种功能,中毒电脑会面临机密信息泄露的风险。 据腾讯御见威胁情报中心统计数据,在微软发布“永恒之蓝”相关漏洞补丁过去两年多之后,仍有约30%用户未修复“永恒之蓝”漏洞(MS17-010),这导致利用该漏洞攻击的病毒始终层出不穷。“快Go矿工” (KuaiGoMiner)分布在全国各地,受害最严重地区为广东、江苏、河南、北京。 从“快Go矿工” (KuaiGoMiner)影响的行业来看,主要为IT行业、制造业、科研和技术服务业。 二、详细分析 漏洞攻击 “快Go矿工” (KuaiGoMiner)在攻陷的系统下载攻击模块,释放NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”漏洞攻击工具,释放到C:\Windows\Fonts\cd\目录下。 开始攻击后依次启动脚本go.vbs->rme.bat->cmd.bat,并在cmd.bat中完成机器出口IP查询、随机IP地址生成,然后通过分别针对局域网IP地址和外网随机IP地址进行445/139端口扫描。 最后在load.bat和loab.bat中针对开放445/139端口的机器进行永恒之蓝漏洞攻击。攻击成功后在目标机器执行Payload,将Doublepulsar.dll注入lsass.exe执行,将Eternalblue.dll注入explorer.exe执行。 Doublepulsar.dll或Eternalblue.dll执行后在目标机器下载m.exe或n.exe,保存至C:\safe.exe并启动,开始新一轮的感染和攻击。 挖矿 “快Go矿工”(KuaiGoMiner)下载释放挖矿模块文件到C:\Windows\Fonts\data\目录下。其中smss.exe为32位矿机程序,explorer.exe为64位矿机程序,Services.exe为Windows服务安装工具NSSM。 通过user.vbs启动user.bat。并在user.bat中删除计划任务”Flash_Update”、”Update”、”Update_windows”,删除旧服务和计划任务“Microsoft_Update”。之后判断系统版本,利用NSSM(services.exe)分别将smss.exe和explorer.exe安装服务至32位和64位系统上,使用的服务名称为“Microsoft_Update”。 矿机采用开源挖矿程序XMRig编译,挖矿使用矿池地址:xmr-eu1.nanopool.org:14444, 钱包地址: 43uXVJimpGpcoftfAfM9AGAdHwnvuSK14Uy4wVGgJB968L6M3eXn8pgFpgNSLrbpgW8Xo5bBgHxAEMxPug8knokALBrLsV4 查询矿池目前挖矿获得收益为242.7个XMR,折合人民币约91000元。 远程控制 “快Go矿工”(KuaiGoMiner)释放经gh0st修改而成的远控木马到目录 C:\Users\[User]\AppData\Local\Temp\<random>.dll下。 连接C2地址fwq.kuai-go.com:12353,根据服务器返回的指令完成搜集系统信息、上传下载文件、删除系统记录、查看系统服务、运行和退出程序、远程桌面登陆、键盘记录等远程功能。 三、安全建议 1、 快Go矿工(KuaiGoMiner)手动清除方法: 删除目录 C:\Windows\Fonts\cd\ C:\Windows\Fonts\cd\data\ 删除文件 C:\Users\[User]\AppData\Local\Temp\<random>.dll 删除计划任务“Microsoft_Update” (执行文件路径C:\Windows\Fonts\cd\data\explorer.exe 或C:\Windows\Fonts\cd\data\smss.exe) 2、针对MS010-17 “永恒之蓝”漏洞的防御: 服务器暂时关闭不必要的端口(如135、139、445),方法可参考:https://guanjia.qq.com/web_clinic/s8/585.html 下载并更新Windows系统补丁,及时修复永恒之蓝系列漏洞: XP、Windows Server 2003、win8等系统访问:http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598 Win7、win8.1、Windows Server 2008、Windows 10,Windows Server 2016等系统访问:https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx 3、 建议企业用户部署腾讯御点终端安全管理系统防御病毒木马攻击。 4、使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。 IOCs MD5 339bec2b3e598b98218c16ed1e762b2a 57bd72d6dc95ff57b5321a62b9f7cde2 57003ef2a67c70f8959345f342536aa5 15d2c95fe9fe4134064e9a4f49d63cf1 20010658d789192eb69499bc5c1c9f11 546a5c41ec285686c9c082994ef193f5 830f8e648d2a7da4d512b384e29e9453 8bcf9ba698b20a6fb2fef348b8c55b1d c17f7c9c9265c4f8007d6def58174144 6dc336b2b1b4e8d5c8c5959c37b2729d 3e6c981f627122df8b428aac35cb586e 222d8a0986b8012d80edbecdc5c48714 532a0904faff2a3a8c79594c9df99320 IP 110.157.232.117 104.233.201.209 Domain w.zhzy999.net images.kuai-go.com update.kuai-go.com wx.kuai-go.com sex.kuai-go.com usa.kuai-go.com korea.kuai-go.com der.kuai-go.com fwq.kuai-go.com URL http[:]//w.zhzy999.net/images/m.exe http[:]//3.zhzy999.net/images/n.exe http[:]//images.kuai-go.com/images/logo.gif http[:]//der.kuai-go.com/img/1.rar http[:]//der.kuai-go.com/img/2.rar http[:]//110.157.232.117/images/m.exe http[:]//110.157.232.117/images/n.exe http[:]//110.157.232.117/img/1.rar http[:]//110.157.232.117/img/2.rar http[:]//110.157.232.117/img/3.rar 钱包 43uXVJimpGpcoftfAfM9AGAdHwnvuSK14Uy4wVGgJB968L6M3eXn8pgFpgNSLrbpgW8Xo5bBgHxAEMxPug8knokALBrLsV4

永恒之蓝下载器木马再添 BlueKeep 漏洞攻击,多系统版本均受影响

感谢腾讯御见威胁情报中心来稿! 原文:https://s.tencent.com/research/report/823.html   近日,腾讯安全御见威胁情报中心监测发现,“永恒之蓝下载器”木马再次更新,新增了BlueKeep漏洞CVE-2019-0708检测利用功能,影响Windows 7、XP、Server 2003、2008等多个系统版本。鉴于该漏洞危害影响极大,可形成类似WannaCry蠕虫式漏洞传播,腾讯安全建议企业用户及时安装相关补丁,并启用安全软件防御攻击,避免进一步造成重大安全事故。 据腾讯安全技术专家介绍,更新后的永恒之蓝下载器木马保留了MS17-010永恒之蓝漏洞攻击、SMB爆破攻击、sql爆破攻击等功能,并在攻击成功的目标机器上植入旧的攻击模块ipc.jsp,同时安装计划任务执行多个Powershell后门,下载执行新的攻击模块if.bin,为后续随时发动攻击做足准备。 (图:永恒之蓝下载器木马变种攻击流程图) 值得一提的是,CVE-2019-0708为RDP远程代码执行漏洞,该漏洞无需身份认证和用户交互,检测利用功能目前仅是上报漏洞信息并不会采取进一步攻击措施。截止目前,永恒之蓝相关漏洞未修复的比例接近30%,而BlueKeep漏洞未修复的比例接近20%,惊人的数据背后给用户网络安全带来巨大安全隐患。 自诞生以来,频繁更新的永恒之蓝下载器木马令广大用户提心吊胆。在去年2018年底,永恒之蓝下载器木马首次通过“驱动人生”系列软件升级通道突然爆发传播,利用“永恒之蓝”高危漏洞在企业内网呈蠕虫式传播,并通过云控下发恶意代码,仅2个小时受攻击用户便高达10万。所幸该攻击刚开始便被腾讯安全御见威胁情报中心率先拦截查杀,影响并未进一步扩大。此后不到一年的时间内,永恒之蓝下载器木马先后更新Powershell后门安装、SMB爆破攻击、MsSQL爆破攻击,同时使用黑客工具mimiktaz、psexec进行辅助攻击等20多个版本。不同以往,此次永恒之蓝下载器木马新增了BlueKeep漏洞检测代码,不排除攻击者随时启动BlueKeep漏洞进行攻击的可能。 (图:永恒之蓝下载器木马历史变种版本回顾) 针对该木马病毒对企业网络安全带来的潜在威胁,腾讯安全反病毒实验室负责人马劲松提醒广大企业用户,建议参考微软官方公告完成补丁安装,可暂时关闭135、139、445等不必要的服务器端口;使用腾讯御点终端安全管理系统的漏洞修复功能,及时修复系统高危漏洞;服务器使用高强度密码,切勿使用弱口令,防止黑客暴力破解;推荐部署腾讯御界高级威胁检测系统检测可能的黑客攻击。该系统可高效检测未知威胁,并通过对企业内外网边界处网络流量的分析,感知漏洞的利用和攻击。 (图:腾讯御界高级威胁检测系统)

恶意软件可让 ATM机按需吐出所有现金

近日某个上午,德国弗莱堡市的一位银行职员发现,某台 ATM 机似乎出现了问题。其控制面板上收到了一条奇怪的消息 ——“Ho!”可惜的是,这位员工没有立即意识到,黑客已经将恶意软件植入了自动柜员机中 —— 这也是所谓的“劫持”攻击的一部分。最终结果是,正如大家在许多影视作品中所见到的那样 —— 这台 ATM 吐出了一堆现金,直至钞箱被彻底清空。 资料图(来自:Wincor Nixdorf,via BGR) 通过 Motherboard 与一家德国新闻媒体联合进行的调查,可知黑客是如何逐步对运行过时软件、安全性较低的计算机进行攻击的。 有关部门显然不希望在事情经过上着墨太多,但多个消息来源证实,这种类型的 ATM 攻击,正在全世界范围内(包括美国地区)呈现上升趋势。这意味着银行的安防系统脆弱不堪,且基本没准备对此进行处理。 通常情况下,攻击者会先从 ATM 机上的访问点(如 USB 接口)下手,以安装恶意软件。相关攻击代码的成本竟然也十分低廉 —— 仅需 1000 美元,即可买到在欧洲各地进行肆意攻击的俄罗斯软件。 软件截图(来自:@CRYPTOINSANE / Twitter) 尽管好莱坞影视作品中经常出现让 ATM 机吐出大量现金的场景,但不幸的是,现实情况也是如此。 有消息人士向参与调查的记者透露,某些不良行为者在出售代码,使得任何人只要肯出钱购买,基本上都有攻破 ATM 机的可能。 网络安全专家 David Sancho 认为,这件事不会局限于世界的某个特定角落,而是在全球范围内都有可能发生。     (稿源:cnBeta,封面源自网络。)

NEMTY 勒索病毒 V1.6 变种节日期间高发,企业用户须小心防范

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/iJ_xP70Ft4JTkl4_7qx-zw   一、概述 腾讯安全御见威胁情报中心监测到NEMTY勒索病毒v1.6变种在国庆期间的感染量有明显上升,NEMTY勒索病毒出现于今年8月,该病毒早期版本加密文件完成后会添加NEMTY扩展后缀,也因此得名。NEMTY 1.6变种病毒加密文件完成后会添加“._NEMTY_random_7个随机字符”扩展名后缀,由于该病毒由于近期在国内感染有明显上涨趋势,被加密破坏的文件暂难以解密,我们提醒各企业提高警惕。 NEMTY病毒在国内主要依靠垃圾邮件,RIG EK(网页挂马漏洞利用工具包)传播,最新1.6版本较老本版病毒除增加少量病毒环境判断条件外,对其文件加密算法,密钥生成算法进行了更新。从该变种的感染数据看,国庆期间有明显上升。 主要受害地区为江苏、辽宁、河南等省。 NEMTY勒索病毒v1.6变种的主要特点: 会检查感染痕迹,已被感染的系统,不会二次感染; 病毒有感染白名单国家,俄罗斯、白俄罗斯、乌克兰及多个中亚国家不感染; 病毒加密文件前会结束若干个数据库软件、Office程序的进程,停止相关服务,使加密文件时避免文件锁定而中止; 病毒会添加计划任务来自动运行; 加密白名单中的文件或文件夹不会被加密; 病毒会删除磁盘卷影信息,避免用户通过这些信息恢复数据; 被加密的文件后辍为“_NEMTY_randome_7位随机字符串_” 二、详细分析 NEMTY勒索病毒v1.6变种外壳程序在内存中解密出勒索payload进一步执行,外壳最终解密方式为使用硬编码的字串循环异或 病毒运行后首先检查自身互斥体,注册表信息,当机器已经被感染过,则不再进行二次感染,使用互斥体为just_a_game 随后获取感染环境ip,国家,用户名,机器名,系统版本,GUID,解密出硬编码的rsa公钥信息,硬盘信息,加密扩展后缀信息等然后上报。在此过程中,会对当前感染的国家进白名单判定,以便在后续加密过程中对白名单国家进行放行,过程中涉及的大部分字串以Base64+RC4加密存放。 ip获取接口: http://api.ipify.org 国家获取接口: http://api.db-ip.com/v2/free/xxx.xxx.xxx.xxx/countryName 信息上报接口: https://nemty.hk/public/gate?data= 白名单国家列表: Russia(俄罗斯)、Belarus(白俄罗斯)、Kazakhstan(哈萨克斯坦)、Tajikistan(塔吉克斯坦)、Ukraine(乌克兰)、Azerbaijan(阿塞拜疆)、Armenia(亚美利亚)、Kyrgyzstan(吉尔吉斯坦)、Moldova(摩尔多瓦) 病毒执行过程中使用到的部分字串使用Base64解码+RC4解密,RC4-KEY:fuckav。 病毒加密前会在本地生成rsa密钥对,随后会将生成的公钥和硬编码的rsa公钥一同导入,硬编码公钥用于加密本地生成的rsa密钥信息,AES文件加密密钥将被本地生成的rsa公钥加密。 加密文件前结束进程名中包含以下关键字的进程: Sql Winword Wordpad Outlook Thunderbird Oracle Excel Onenote Virtualboxvm Node QBW32 WBGX Teams Flow 停止以下相关服务: DbxSvc OracleXETNSListener OracleServiceXE AcrSch2Svc AcronisAgent Apache2.4 SQLWriter MSSQL$SQLEXPRESS MSSQLServerADHelper100 MongoDB SQLAgent$SQLEXPRESS SQLBrowser CobianBackup11 cbVSCService11 QBCFMontorService QBVSS 将自身拷贝至user目录并设置计划任务 删除卷影信息 加密前避开以下白名单文件、目录 v1.6版本变种主要更新了密钥生成算法,较老版本相比新增了获取当前进程数进行随机干扰 v1.6版本文件加密使用AES-ECB进行加密,加密使用WinCryptAPI,密钥为生成的0x20字节的随机值计算sha256所得。 老版本密钥生成算法相对简单,文件加密使用修改过的AES-CBC模式,Key全局生成1次,IV对每个文件单独生成。 文件被加密后被添加_NEMTY_randome_随机7位字符串_扩展后缀 生成加密扩展名_NEMTY_random_-DECRYPT.txt的勒索说明文档,文档标题可看出病毒已更新至v1.6版本。 三、安全建议 企业用户针对该病毒的重点防御措施 1.该病毒主要通过垃圾邮件和网页挂马传播,需要企业用户小心处理电子邮件。及时升级操作系统补丁,避免因浏览器漏洞而导致网页挂马攻击发生; 2. 对重要文件和数据(数据库等数据)进行定期非本地备份,普通终端电脑可以使用腾讯御点终端管理系统及腾讯电脑管家内置的文档守护者备份数据。 企业用户通用的防病毒措施 1、尽量关闭不必要的端口,如:445、135,139等,对3389,5900等端口可进行白名单配置,只允许白名单内的IP连接登陆; 2、尽量关闭不必要的文件共享,如有需要,请使用ACL和强密码保护来限制访问权限,禁用对共享文件夹的匿名访问; 3、采用高强度的密码,避免使用弱口令密码,并定期更换密码。建议服务器密码使用高强度且无规律密码,并且强制要求每个服务器使用不同密码管理; 4、对没有互联需求的服务器/工作站内部访问设置相应控制,避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器; 5、教育终端用户谨慎下载陌生邮件附件,若非必要,应禁止启用Office宏代码; 6、在终端/服务器部署专业安全防护软件,Web服务器可考虑部署在腾讯云等具备专业安全防护能力的云服务。 8、建议全网安装御点终端安全管理系统(https://s.tencent.com/product/yd/index.html)。御点终端安全管理系统具备终端杀毒统一管控、修复漏洞统一管控,以及策略管控等全方位的安全管理功能,可帮助企业管理者全面了解、管理企业内网安全状况、保护企业安全。 个人用户 1、勿随意打开陌生邮件,关闭Office执行宏代码; 2、使用腾讯电脑管家拦截病毒。 3、打开电脑管家的文档守护者功能,利用磁盘冗余空间自动备份数据文档,即使发生意外,数据也可有备无患; IOCs MD5: 3e6672a68447e4e7c297e4dd7171b906 6c05aa998d0523f2855769bd30b2d0d1

Instagram 引入新工具 帮助抵御网络钓鱼攻击

外媒报道称,Instagram 刚刚为自家 App 引入了一项新功能,以帮助用户确定所谓的“官方邮件”是来自 Facebook、还是网络钓鱼攻击者。现在,用户可在接收到一封自称来自 Instagram 的邮件时,转到 App 内的“安全性”设置,并启用真实性检查选项,以甄别平台在过去 14 天内向用户发生的每一封邮件。 安全设置(题图 via TheVerge) 目前这项更新已经推出,但可能需要一段时间才能显示在现有用户的设置菜单中。新菜单将 Instagram 官方邮件分成了“安全”和“其它”两个类别,前者属于官方认证、后者则可能潜藏风险。 (安全邮件) ‘安全邮件’中的链接可以放心点击,但‘其它邮件’就要多长个心眼了 —— 因为它很可能是网络钓鱼者设下的全套,旨在忽悠用户交出真实的用户名和密码。 (其它邮件) 若担心后一种情况,我们建议您删除存在疑问的邮件。如果最糟糕的情况已经发生、且账户遭到了入侵,还请参考 Instagram 帮助页面列出的官方指南,以开展相应的补救操作。 据悉,随着网络钓鱼攻击的日渐升级,许多诈骗网站也都‘与时俱进’地拿出了针对双因素身份认证账户的攻击手段,甚至随后可跳转到真实的站点。   (稿源:cnBeta,封面源自网络。)

微软表示伊朗黑客组织的目标瞄准了 2020 年美国总统候选人

当地时间周五,微软透露,他们手上已有的证据表明一群来自伊朗的黑客试图访问属于2020年总统候选人的电子邮件帐户。在宣布这一发现的博客文章中,微软拒绝透露目标总统候选人的名字,但确认他们的账户暂时并未受到该公司称为“Phosphorous”的威胁组织的侵害。 CNBC后来报道说,特朗普2020年竞选遭受了网络攻击。但是,特朗普竞选活动的宣传总监蒂姆·默特(Tim Murtaugh)表示,“没有迹象表明我们的任何竞选基础设施被针对性地攻击。” 该活动只是伊朗黑客试图在今年8月至9月的30天内入侵的一组帐户中的一个。微软表示,其威胁情报中心观察到该组织进行了2700多次尝试识别电子邮件帐户的尝试,然后继续“攻击”其中的241个。 微软客户安全与信任副总裁汤姆·伯特(Tom Burt)表示:“攻击目标与美国总统竞选活动、现任和前任美国政府官员、报道全球政治的记者以及生活在伊朗境外的知名伊朗人有关。” “黑客的这些尝试也并不是一无所获,目前一共发现有四个帐户成功被盗。” 微软表示,Phosphorous试图获得对链接到微软电子邮件帐户的访问权限,以便对其进行破解,他们还尝试窃取与用户关联的电话号码。攻击技术并不复杂,目标也很明确,“他们试图使用获得目标人物的大量个人信息”。   (稿源:cnBeta,封面源自网络。)

FBI 正调查 2018 年投票应用黑客行为是否与密歇根大学课程相关

三名知情人士告诉美国有线电视新闻网(CNN),试图入侵2018年中期选举中使用的移动投票应用程序可能是高校学生在研究安全漏洞,而不是试图更改任何选票。西弗吉尼亚州南区美国律师迈克·斯图尔特(Mike Stuart)在周二的新闻发布会上透露,Voatz投票应用遭遇一次不成功的入侵程序,联邦调查局的调查“正在进行中”。 该应用程序自2018年以来一直被西弗吉尼亚州用来允许海外和军队选民通过智能手机投票,目前没有任何刑事诉讼被提起。 消息人士告诉CNN,FBI正在调查一个或多个试图入侵该应用程序的人,怀疑这一波入侵行为来自密歇根大学选举安全课程的一部分。密歇根州是该州选举安全研究的主要学术中心之一,设有开拓性的密歇根州选举安全委员会。 一位知情人士告诉美国有线电视新闻网,西弗吉尼亚州国务卿麦克·沃纳办公室此前曾与斯图尔特沟通,对Voatz应用程序的可疑活动来自与密歇根大学相关的IP地址。 联邦调查局拒绝对此事发表评论,西弗吉尼亚州国务卿办公室以及斯图尔特办公室也拒绝提供进一步评论。密歇根大学的发言人里克·菲茨杰拉德(Rick Fitzgerald)说,他“目前没有足够的信息来做出任何回应”。 Voatz联合创始人兼首席执行官尼米特·索恩尼(Nimit Sawhney)拒绝透露黑客试图进行攻击的细节,但这是2018年大选以来唯一一件严重到足以交给联邦调查局的事件。 一位知情人士说,FBI的调查源于密歇根州课程中的一个特定事件,该事件中,学生检查了移动投票技术的安全性,但被指示不要干涉现有的选举基础设施。一位知情人士说,今年春天,一名学生通过电子邮件通知教授称,联邦调查局已经获得了他们手机的搜查令。 此事凸显了网络安全研究中最有争议的问题之一:发现软件潜在漏洞的最佳方法之一是让研究人员像黑客一样思考并试图闯入。但是,美国的主要黑客相关的法律是《计算机欺诈和滥用法》,它非常严格,对发现获得“未经授权的访问”系统的人,无论出发点是什么,都将施加严厉的惩罚。 西弗吉尼亚州是目前唯一使用Voatz系统的州,支持使用这套系统的人士表示,该应用程序为军队和海外选民的低投票率提供了解决方案,它已经通过了一些安全测试,并且一直保持较好的安全记录。 Voatz还参加了由旧金山公司HackerOne运行的“漏洞赏金”计划,该计划邀请网络安全研究人员查找漏洞。如果研究人员发现严重问题,Voatz当前最多可向研究人员提供2000美元。   (稿源:cnBeta,封面源自网络。)

浪子回头 HildaCrypt 勒索软件开发者免费发布解密密钥

勒索软件是一个网络上的世界性问题,对于受害者而言,可能很难知道即便乖乖付款也是否会帮助他们重新获得对其恶意加密文件的访问权限。因此,当免费释放勒索软件解密密钥时,对他们而言总归是一个好消息,而这正是勒索软件HildaCrypt的最新动态。 在安全研究人员分享了最初被认为是新型勒索软件的详细信息之后,这种特定类型的勒索软件的开发人员已发布了解密密钥。 安全研究员GrujaRS分享了一种他们认为是STOP勒索软件变体的详细信息。但是,实际上,勒索软件已被错误识别,根据Bleeping Computer的报道,它实际上是HildaCrypt勒索软件的一种变体 – 这种恶意软件的开发人员承认了这一点。 尽管开发者说写出HildaCrypt是“只是为了好玩”,但由于HildaCrypt已被用于创建其他勒索软件工具,因此这可能是免费发行主密钥的决定。 您可以下载解密密钥,并在此处了解有关HildaCrypt勒索软件的更多信息。     (稿源:cnBeta,封面源自网络。)