分类: 黑客事件

GitHub 撤下被泄露的 Snapchat 源码 黑客扬言重新上传

Snapchat 是一款主打“阅后即焚”功能的消息应用,不过近日,这款 app 的源码也在代码托管网上上玩了一回“阅后即焚”。事情的起因是,一位据说来自巴基斯坦东南部 Sindh 省 Tando Bago 村的“the handle i5xx”,在 GitHub 上创建了一个名叫“Source-Snapchat”的资源库。 尽管发稿时,该资源已经被 Snap 公司依据《数字千年版权法案》(DMCA)提出的版权撤除请求而被 GitHub 移除,但事件还是引起了很大的反响。 据悉,该资源库自称为‘SnapChat 源代码’,并通过苹果的 Objective-C 语言编写,所以曝光的应该是 iOS 版 Snapchat 应用的全部或部分内容。 不过当前,我们还无法确定它属于其中服务的一个小组件,还是该公司的一个单独项目。 至于发布者‘i5xx’的身份,其账号信息关联的是‘Khaled Alshehri’,但很可能是个假名。外媒 TNW 指出,其姓氏在巴基斯坦并不常见。 此外,账号简介链接到了一个位于沙特的在线服务,其提供从安全扫描、iCloud 删除,到软件开发和 iTunes 礼品卡销售在内的各种技术服务。 四天前,GitHub 发布了一份来自 Snap Inc. 的 DMCA 版权撤除请求,不过它可能是在更早之前提交的(在线时间或超过 2 个月)。 需要指出的是,Snap Inc. 在 DMCA 请求中使用的语气(多段纯大写字母组成的句子),传达出了一种切实的恐慌感(甚至措辞来不及做得更加严谨)。 Snapchat 源代码被泄露,有人将它放到了这个 GitHub 资源库中。我司无法给出确切的 URL 指向,也不会公开发布它。 显然,这从侧面反映了此前上传的资源库内容的重要性。 然而有知情者指出,本次泄露并非出于恶意,只是某位研究人员无法将他的某些发现传达给该公司。在 GitHub 根据 DMCA 请求撤除之后,他还威胁再次上传源代码,直到该公司正式作出回应。 不过事实是,Snap Inc. 在 HackerOne 上有一个活跃的账户和 bug 赏金计划,且响应速度极快 —— 安全研究人员是很容易与该公司取得联系的。 根据 HackerOne 的官方统计数据,其在 12 小时内回复了初步报告,并已支付超过 22 万美元的奖金。外媒 TNW 已经联系 Snap 发表评论,感兴趣的朋友可以留意我们的后续报道。         稿源:cnBeta.COM,编译自:TNW,封面源自网络;

“匿名者”扬言攻击 QAnon 欲揭开阴谋论者“Q”的神秘面纱

据外媒报道,黑客活动群体“匿名者”刚刚在 YouTube 和 Twitter 上向 QAnon 发出了威胁,扬言在星期天攻击该“挺川”运动及其创建者。在 3 分钟的视频中,“匿名者”威胁攻破线上阴谋论 QAnon,因后者已从互联网越步至现实生活中 —— 其支持者甚至在佛罗里达州坦帕湾的集会上挥舞起了“Q”记号。“匿名者”担心,QAnon 的活动可能会对现实生活带来不利影响。 去年晚些时候,有人开始以“Q”的名义,在匿名看板上预告或点评重大事件。虽然无人知晓其幕后身份(有可能不止一个人在运营该账号),但其言论吸引了许多阴谋论爱好者的关注。 一位变声后的“匿名者”在视频中称,有人将会受到伤害,所以该团体呼吁大家一起采取行动。“匿名者”声称他们已经制定了计划,因其无法对人们被误导和利用一事做到袖手旁观。 对于这一威胁(#OpAQnon),QAnon 的 Twitter 账户并未立即作出回应。   稿源:cnBeta.COM,封面源自网络;

据称与伊朗相关的 APT 组织 RASPITE 瞄准美国电力公司

据外媒 Securityaffairs 报道,工业网络安全公司 Dragos 研究人员报告称,在伊朗境外运营的一个被称为 RASPITE 的网络间谍组织(又名Leafminer),一直以来瞄准美国、欧洲、中东和东亚的设施。该组织至少从 2017 年开始活跃,研究人员发现了其针对中东政府和其他类型组织的攻击活动。 上周,赛门铁克的研究人员根据对 Leafminer  组织的追踪,发布了一份关于网络间谍团队活动的详细报告,研究人员称该组织攻击活动的范围可能更广,他们发现了一份用伊朗波斯语编写的包含809个攻击目标的列表,列表按照其对地区和工业的兴趣对每个条目进行了分组,目标包括阿联酋、卡塔尔、巴林、埃及和阿富汗。这些目标的系统已被攻击者扫描。 现在 Dragos 研究人员证实了正是 RASPITE 一直瞄准攻击工业控制系统,黑客还访问了美国电力部门的业务。 黑客利用受到破坏的网站进行水坑攻击,为潜在的受害者提供感兴趣的内容。RASPITE 的攻击看起来类似于像 DYMALLOY 和 ALLANITE 的攻击,黑客通过注入网站链接以提示SMB连接,收集 Windows 凭据。然后,攻击者部署脚本来安装连接到 C&C 广告的恶意软件,然后让攻击者控制受感染的计算机。 根据Dragos的说法,即使 RASPITE 主要针对 ICS 系统,但也没有关于此类设备遭受破坏性攻击的消息。 迄今为止,RASPITE 的活动主要集中在电力部门的初始访问,虽然目标是电力设施,但目前没有迹象表明该组织具有破坏性的 ICS 攻击能力,包括像乌克兰那样的大规模停电。   消息来源:Securityaffairs,编译:吴烦恼; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

遭黑客入侵 美社交新闻网站 Reddit 数据再泄露

新浪科技讯 北京时间 8 月 2 日早间消息,美国社交新闻网站 Reddit 周三宣布,该公司的几个系统遭到黑客入侵,导致一些用户数据被盗,其中包括用户目前使用的电子邮箱以及 2007 年的一份包含旧加密密码的数据库备份。 Reddit 称,黑客获取了旧数据库备份的一个副本,其中包含了早期 Reddit 用户数据,时间跨度从 2005 年该网站成立到 2007 年 5 月。 “虽然这是一次严重的攻击,但攻击者并没有获得 Reddit 系统的写入权限。他们获得的是部分系统的只读权限,其中包含了备份数据、源代码和其他日志。” Reddit 创始工程师克里斯多夫·斯洛维(Christopher Slowe)写道。 斯洛维表示,Reddit 今年 6 月 19 日发现,攻击者在 6 月 14 日至 6 月 18 日期间入侵了该公司几名员工的帐号。 Reddit 表示,此次攻击是通过拦截员工的短信实现的,该短信中包含了一次性登录码。该公司还补充道,他们已经将此事通知受影响的用户。 斯洛维表示,该公司大约在 3 个月前聘请了第一位安全主管,“他目前还没有退出。”     稿源:新浪科技,封面源自网络;

三名乌克兰黑客因盗取美国 1500 万张信用卡记录被捕

据外媒报道,三名乌克兰公民近日因参与一项针对 100 多家美国企业的长期网络攻击行动而被捕。根据起诉书了解到,该团伙在过去总共从 6500 多个销售点终端盗取了超 1500 万张信用卡记录。据安全研究人员介绍,这个叫做 Carbanak 的团伙利用社交工程和网络钓鱼攻击渗入到企业并从中盗取金融数据。 最初的感染主要通过恶意软件诸如电子邮件附件或有时候假装丢失酒店预订信息或 SEC (美证券交易委员会)投诉文件展开。 在一次网络攻击中,该组织冒充 FDA (食品与药物管理局)的食品安全与应用营养中心,向目标企业发出了一封通报一起食品中毒事件的邮件。邮件写道:“你可以在列表附件中找到针对你家餐厅将展开的调查和检查时间。”实际上,这个附件是一个恶意软件。 现在,Dmytro Fedorov、Fedir Hladyr、Andrii Kolpakov被控犯有阴谋罪、电信欺诈罪、计算机黑客罪、访问设备欺诈罪、严重身份盗窃罪等 26 项罪名。起诉书指出,这些人建立了一个虚假的安全公司以此来掩护他们的黑客行为。据悉,针对这 3 人的逮捕行动则是在德国、波兰以及西班牙与乌克兰当局的合作下展开,眼下他们当中还有 2 人仍在等待引渡。 实际上这并非第一个与 Carbanak 网络攻击行动有关人员的逮捕行动,今年 3 月,西班牙国家警察宣布他们已经逮捕了该组织策划者 Denis K。     稿源:cnBeta.COM,封面源自网络;

美国土安全局成立国家风险管理中心:旨在帮助私营企业免遭网络攻击

据外媒报道,美国国土安全局(DHS)想要阻止下一个NotPetya。当地时间周二,该部门宣布成立国家风险管理中心,该中心将致力于协助私营企业避免遭受以及应对来自世界各地的网络攻击。重点是保护黑客攻击的重要基础设施。今年3月份的时候,DHS曾发出警告称,俄罗斯黑客一直在窥探着美国电网。 今年早些时候,美国官方指出,虽然2017年的NotPetya勒索软件网络攻击发生在乌克兰,但它却是有史以来最具破坏力的网络攻击,它给美国和欧洲国家造成了数十亿美元的损失。而在NotPety勒索软件出现前一个,WannaCry勒索软件攻击席卷全球,使许多医院、学校、机场被迫停止数字操作。 据悉,DHS部长Kirstjen Nielsen在纽约举办的网络安全峰会上宣布了成立国家风险管理中心的消息。她表示,对一家科技公司的网络攻击可能会迅速演变成一场会影响到金融、能源以及医疗保健系统的危机。 这项合作将允许私营公司向DHS寻求帮助,同时还能通过正在进行的网络攻击信息来帮助DHS展开进一步的工作。另外,Nielsen指出,在某些情况下,网络攻击的受害者可以向当地警方求助,而这个全新的国家中心将作为一种资源为民众提供更多的帮助。   稿源:cnBeta.COM,封面源自网络;

恶意网站忽悠 iOS 用户拨打假冒的 Apple Care 客服电话

来自印度的“技术支持诈骗”,最近又被发现玩出了新花样 —— 因为诈骗者会向苹果用户发去网络钓鱼电子邮件、将之忽悠到虚假的苹果网站、然后拨打所谓的 Apple Care 客服电话。由于普通用户难以了解网络钓鱼的复杂性和网页的格式,导致其很容易错误地相信自己的设备已经“因为非法活动而被苹果官方给锁定”。在受害者打去电话之后,诈骗者就会沿用老套路来索取钱财。 技术支持诈骗的花样又翻新 近年来,由于移动互联网和智能手机的兴起,“技术支持诈骗者”开始将目光瞄向了移动领域。因为很多人的生活都与移动设备紧密相连,所以这些目标成为了“新的肥肉”。 移动安全服务提供商 Lookout 的威胁情报研究院 Jeremy Richards 表示: 人们在使用移动设备时更加分心,且对其更加地信任,因此针对移动设备的网络钓鱼攻击的成功可能性更大。 与苹果 iCloud 服务相关的电子邮件地址,很容易受到这种类型的钓鱼诈骗。安全研究员试图拨打页面上提示的“客服电话”,接听通话的人自称是“来自 Apple Care 的 Lance Roger”。 根据套路剧本,用户会先收到一封标题惊悚的邮件,比如“[xxx]用户,您的账号 xxxx 有严重的警告”。其极力模仿了官方的格式,但明眼人总会发现有些不大自然。 举个例子,这封欺诈邮件可能警告称 —— 您账户(电子邮件地址)的登录尝试已被阻止,有人刚刚尝试用您的密码登录您的个人资料。 不过在点击了下方的‘检查活动’按钮之后,就会被跳转到印度某地的诈骗上。 该页面利用 JavaScript 混淆代码,将受害者重定向至另一个网站。而后该网站再次跳转到 applesecurityrisks.xyz —— 一个虚假的 Apple Care 支持页面。 更可恶的是,它会利用‘tel’事件来激活拨号。用户点击后,即尝试在 iOS 设备上发起 FaceTime 通话。 屏幕上的动画对话框,会催促受害者确认发起通话,毕竟他们的设备已经“因为非法活动而被锁定”。但实际上,网站脚本会通过浏览器的 UA,来判断用户的设备类型: window.defaultText=’Your |%model%| has been locked due to detected illegal activity! Immediately call Apple Support to unlock it!’; 万幸的是,安全研究人员已经将钓鱼欺诈网站的技术细节传递给了苹果安全团队成员。尽管该恶意网站仍处于活跃状态,但谷歌和苹果都已经将它标记为“欺诈”。   稿源:cnBeta,封面源自网络;

智利 1.4 万信用卡资料被黑客组织盗取

【环球网综合报道】据新加坡《联合早报》 26 日报道,智利政府周三 (25日) 晚透露,黑客盗取了智利约 1.4 万张信用卡的资料,并将这些资料公布在社交媒体上。 报道称,在这起案件中,黑客公布了信用卡卡号、有效期限及安全码,受攻击影响的银行包括桑坦德银行 (Santander)、伊塔乌银行 (Itau)、丰业银行 (Scotiabank) 和智利银行 (Banco de Chile),这些银行已通知客户遭入侵一事。 报道称,智利政府并未透露此次信用卡资料被盗事件可能造成的损失。 智利政府的银行监管机构表示,这起袭击行动是黑客组织“影子经纪人” (Shadow Brokers) 展开的,该组织因入侵美国国家安全局 (NSA) 而闻名。 今年 6 月,智利银行曾透露,黑客盗取了该银行 1000 万美元 (约 1360 万新元)。智利银行当时说,黑客是从东欧或亚洲发动袭击,部分遭盗窃的款项最后被汇到香港。     稿源:环球网,封面源自网络;    

奖金 10 万美元 约翰·迈克菲招募黑客攻击 Bitfi 数字钱包

McAfee反病毒软件创始人约翰迈克菲最近在社交媒体上高调招募黑客攻击他公司新产品Bitfi数字钱包,他表示会给那些可以闯入Bitfi钱包的人提供10万美元奖金。约翰迈克菲表示,对于那些声称没有什么设备是不可破解的人来说,Bitfi钱包真的是世界上第一个不可攻击的设备,任何可以破解它的人都可获得10万美元的赏金。 Bitfi营销团队已经足够快速地制定了一些关于这场比赛的官方规则。这个团队表示:“我们坚信奖金的价值在于努力解决任何可能对Bitfi钱包安全性的担忧。这个赏金计划并不是为了帮助Bitfi识别安全漏洞,因为我们已经声称我们的钱包安全性是绝对的,并且钱包不会受到外部攻击的攻击或侵入。相反,这个活动旨在向任何声称或认为没有任何不可攻击或者他们可以侵入Bitfi钱包的人展示,这样的尝试是徒劳的,并且关于Bitfi钱包的广告声明是准确的。” 不过参与攻击Bitfi数字钱包攻击活动的黑客首先需要购买一个Bitfi钱包才能参与这次活动,并额外支付50美元才能将一些加密货币加载到设备上供参与者攻击和偷窃。申请赏金的规则很简单:“如果您成功提取硬币并清空钱包,这将被视为成功的黑客攻击,并且提供钱包清空的证据,然后你可以保留提取的数字货币,Bitfi说他们会向你支付10万美元。“ 约翰迈克菲还要求参与者公开任何攻击尝试,以便该过程可以帮助其他人进一步攻击Bitfi钱包。   稿源:cnBeta,封面源自网络;

长生生物官网被黑客攻击:不搞你 对不起祖国的花朵

新浪财经讯 7月23日消息,长生生物(14.500, 0.00, 0.00%)科技股份有限公司官网首页被黑客攻击,并配图“不搞你,对不起祖国的花朵”。 新浪财经打开长生生物的官网,显示网站已无法打开,错误提示404,截止发稿,网站尚未恢复。 7月23日早间,深交所公告显示,长生生物拟披露重大事项,7月23日开市起临时停牌。 根据深交所《关于长生生物科技股份有限公司股票临时停牌的公告》,长生生物科技股份有限公司拟披露重大事项,根据该所《股票上市规则》和《中小企业板上市公司规范运作指引》的有关规定,经公司申请,长生生物于2018年7月23日开市起临时停牌,待公司通过指定媒体披露相关公告后复牌,敬请投资者密切关注。 7月16日,长生生物便因子公司生产疫苗存在记录造假等违法违规行为走出跌停走势,随后的4个交易日,该公司也连续跌停。在一周的5个交易日中连续5日一字跌停,停牌前收报14.50元/股。   稿源:新浪财经,封面源自网络;