分类: 黑客事件

美国检方指控 9 人利用SIM卡劫持牟取 240 万美元非法所得

美国检方本周向9名嫌犯提出指控,被指涉嫌劫持SIM卡并窃取不知情用户的加密货币。根据法庭文件显示,这9人的犯罪组织已经牟取了240多万美元的非法所得。美国密歇根州东区检察官办公室的检察官在一份非机密起诉书中声称,居住在美国和爱尔兰的6人创建了黑客组织“The Community”。 检方表示这支小团队伙同其他人员组建了的这个黑客圈子,共同实施了名为SIM卡劫持的欺诈活动,通过贿赂或者欺诈手段说服移动电话运营商将电话号码转移到新的SIM卡上。在获得电话号码之后,黑客就可以绕过双因素身份认证等安全措施,从而让他们可以控制受害者的账户。 黑客的目标主要是受害者手中的加密货币,文件显示The Community共发起7次活动。在其中一项活动追踪,检方发现三家手机公司经营者接受贿赂,从而给本次犯罪提供了便利。据悉9名黑客面临多起欺诈和身份盗窃指控,而电话公司的员工则被指控犯有电汇欺诈罪。如果罪名成立,每个人都可能面临数十年的监禁。   (稿源:cnBeta,封面源自网络。)

Binance 遭黑客入侵 损失价值超 4000 万美元的比特币

HackerNews.cc 5 月 8 日消息,全球最大的加密交易货币场所之一Binance,今日确认公司损失了近4100万美元的比特币。这似乎是该公司迄今为止遭受的最大黑客攻击。 Binance的CEO赵长鹏发声明说公司早在5月7号前就已发现大规模的安全漏洞。黑客因此窃取了大约7000个比特币,价值4060万美元。 据该公司称,恶意攻击者使用了各种攻击技术,包括网络钓鱼和计算机病毒,实施了这一入侵,并侵入了一个BTC热钱包(一个连接到互联网的加密货币钱包)。该钱包约占公司比特币持有总量的2%,并在一次交易中提取了被盗的比特币。更令人不安的是,该公司承认,黑客设法获取了用户的关键信息,如API密钥、双因素身份验证码,以及其他潜在的信息。这些信息是登录Binance帐户所必需的。但幸运的是,用来储存大部分资金的线下钱包即Binance的冷库仍然是安全的。此外,联网的个人用户钱包没有受到直接影响。 Binance已经将其平台上的所有存款和取款业务暂停了大约一周,同时全面审查了安全性并调查了这起事件。CEO表示,该公司去年建立了一个名为“用户安全资产基金(SAFU)”的内部保险机制,该机制将覆盖黑客攻击的全部金额,不会影响用户。   消息来源:Thehackernews, 译者:Vill,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

黑客集团内部是如何运作的?它们也有CEO和项目经理

网络犯罪组织会为了争夺客户而相互竞争,会花重金招募最优秀的项目经理,甚至会寻找合适的人才来担任类似于首席执行官的角色,在规范管理人员配置和攻击事务之外负责如何帮助牟取更多的资金。来自IBM和谷歌的安全研究人员描述了网络犯罪组织内部是如何运作的,并且称它们经常会公司化运作。 IBM Security威胁情报主管Caleb Barlow表示:“我们观察到他们也有比较严明的纪律,在办公时间里很活跃,他们也会在周末休息,他们也会定时工作,他们也会休假。它们会以公司化进行运作,会有一个老板全权管理所有攻击行为。它们就像是你雇佣装修公司一样,它们有着很多的分包商,就像是水电工、木工和油漆工一样,它们也和你一样正常上下班。” Barlow表示了解恶意黑客如何构建和运营其业务非常重要,而公司化可以更好地掌握他们正在攻击的任务。虽然并非所有网络犯罪组织都完全相同,但大体结构应该是这样的:领导者,例如CEO,会监督整个组织的更广泛目标。而他或者她会雇佣和领导诸多“项目经理”,而每个项目经理负责每次网络攻击的不同部分。 恶意软件的攻击者可能首先购买或创建有针对性的攻击工具,以窃取集团所需的确切信息。另一位攻击者可能会发送欺诈性电子邮件,将恶意软件发送给目标公司。一旦软件成功交付,第三位攻击者可能会努力扩大集团在目标公司内的访问权限,并寻求可以在暗网上进行销售的相关信息。 IBM还提供了一张信息图,展示了从犯罪集团的角度,如何发起为期120天针对一家财富500强公司的真实案例。负责IBM X-Force业务安全事件响应的Christopher Scott表示称在这种情况下,对财富500强企业的攻击意味着窃取和破坏数据,不同的颜色大致代表不同的工作职能。 在图形的左侧,专门破坏公司网络的攻击者以自己的方式进入业务以获得立足点。其他“项目经理”通过窃取他们的凭证来破坏各种员工帐户,并使用这些帐户执行该计划中的不同任务,从访问敏感区域或收集信息。时间线上的差距代表了黑客停止进行某些活动的时期,因此他们不会将公司用来检测犯罪活动的传感器干扰。 在120天周期尾声的时候,以鲜红色为代表的黑客专家最终画上句号,使用不同的恶意代码来破坏公司的各种数据。隶属于Alphabet集团“Other Bet”下方,专门从事网络安全的Chronicle公司研究主任Juan Andres Guerrero-Saade解释称:“如果我是一名优秀的开发人员,那么我会选择创建勒索软件并将其出售,或者将其像那些提供software-as-a-service的公司一样作为服务出售。然后我会不断维护这款恶意软件,如果你找到受害者并让他们受到感染支付赎金,那么我将收取10%或20%的分成。”   (稿源:cnBeta,封面源自网络。)

以色列国防军首次以空袭方式成功阻止激进组织哈马斯的网络攻击

以色列国防军(IDF)近日表示已经成功阻止了加沙地带的激进组织哈马斯(Hamas)上周末发起的网络攻击,并对该建筑进行了空袭。这也是IDF首次通过物理攻击方式来打击网络攻击。由于哈马斯和ID在过去三天内发生了多次互相攻击,从而导致了严重的暴力事件。 来自于 IDF 据悉哈马斯向以色列发射了600多枚火箭弹,而以色列国防军则对其数百枚军事目标进行了自己的罢工。到目前为止,至少有27名巴勒斯坦人和4名以色列平民被杀,其中有100多人受伤。以色列和哈马斯之间的紧张局势在去年有所增加,抗议和暴力事件仍时有爆发。 在上周六的战斗中,IDF表示哈马斯发起了针对以色列的网络攻击,但是并没有透露具体的攻击目标。但以色列时报称,哈马斯的目的是“[破坏]以色列公民的生活质量”。IDF表示这次网络攻击并不复杂,而且在进行物理打击之后哈马斯将不再具备网络能力。     (稿源:cnBeta,封面源自网络。)

安全研究人员玩上怀旧梗:“邪恶大眼夹”可帮助隐性感染 Office 文档

一种名叫Evil Clippy(邪恶大眼夹)的工具现在正在帮助黑客感染您的Office文档。白帽黑客一边写病毒一边玩上了怀旧梗,还配上了剧情:“多年的嘲笑使得大眼夹走向黑暗的一面。”来自荷兰的安全研究人员刚刚发布了这一“协助安全专家和测试人员创建恶意MS Office文档的工具”。 Evil Clippy可以使恶意的Microsoft Office文档无法被反病毒软件检测到,它可以隐藏VBA宏,并让流行的宏分析工具发生混淆。 该应用程序依赖于Office功能才能够运行,例如“VBA Stomping”。如果检测到已知MS Office版本,则可以使用伪代码替换恶意VBA源代码,而恶意代码仍将通过p-code执行。这样一来,该应用程序可以欺骗任何分析VBA源代码的工具,包括防病毒软件。 安全研究人员可以在此处找到该工具的最新源代码)。     (稿源:cnBeta,封面源自网络。)

GitHub 源码被黑客洗劫和勒索事件 微软也未能幸免

Git仓库被黑客洗劫和勒索的事件,似乎微软也未能幸免。微软确认其开源开发平台昨天也被黑客攻击,他们被要求支付款项才能归还他们窃取的数百个源码。黑客擦除了微软多达392个代码存储库,并提出勒索要求。此前,黑客攻击了包含微软在内的大批受害者的Git存储库,删除了所有源代码和最近提交的内容,并留下了支持比特币支付的赎金票据。 勒索信息如下: “要恢复丢失的代码并避免泄漏:将比特币(BTC)发送到我们的比特币地址,并通过电子邮件admin@gitsbackup.com与您联系,并附上您的Git登录信息和付款证明,” “如果您不确定我们是否有您的数据,请联系我们,我们会向您发送证明。您的代码已下载并备份到我们的服务器上,“ “如果我们在未来10天内未收到您的付款,我们会将您的代码公开或以其他方式使用。” GitLab安全总监Kathy Wang发表声明回应网络攻击: “我们已确定受影响的用户帐户,并已通知所有这些用户。根据我们的调查结果,我们有充分证据表明受损帐户的帐户密码以明文形式存储在相关存储库的部署中。“ Atlassian的安全研究员杰里米·加洛韦(Jeremy Galloway)已经独立证实,大量用户受到了这种黑客行为的影响。 GitHub建议启用双因素身份验证,为帐户添加额外的安全层。   (稿源:cnBeta,封面源自网络。)  

黑客轻松接管 29 个僵尸网络,只因运营商太菜

ZDNet 网站报导,安全专家一次性接管了 29 个僵尸网络,原理十分简单,利用了运营商技术“太菜”的方法。 在采访中,安全专家 Subby 介绍了他接管的这 29 个僵尸网络,他指出其实这些僵尸网络都比较小,最初的机器人数量显示总计将近 40 000,但在删除重复数据后,实际数量仅为 25 000,这样的数据对于一个单独的 IoT 僵尸网络来说都是很小的,更不用说是 29 个的总和了。 同时,因为机器少,所以输出流量也相当低,Subby 说:“我能够获得一个可靠的网络流量图,该图表由所有僵尸网络产生的流量组合而来,它的速度低于 300 gbit/ s” 谈到为什么能一次性轻易黑掉 29 个僵尸网络,Subby 解释一些僵尸网络运营商经常使用比较弱的凭证来保护其 C&C 服务器后端。 Subby 使用了一个用户名词典和一个常用密码列表对这些僵尸网络的 C&C 基础设施进行暴力破解,收获非常多。这其中,有一些设备使用了非常弱的用户与密码组合,如`root:root`、`admin:admin`和`oof:oof`。 为什么会发生这种情况?Subby 解释:“很大一部分僵尸网络运营商只是简单地关注在社区中传播的教程,或者是在 YouTube 上学习以建立他们的僵尸网络”,他说:“在对着这些教程按部就班的过程中,他们不会更改默认凭据。而且就算他们更改了凭据,通常密码也很弱,因此容易受到暴力破解的影响。”   (稿源:开源中国,封面源自网络。)

几大 Git 平台仓库被劫,黑客欲勒索比特币

数百名开发人员的 Git 仓库被黑客删除,取而代之的是赎金要求。 攻击于5月3日开始,包括 GitHub、Bitbucket 和 GitLab在内的代码托管平台都受到了影响。 目前已知的情况是,黑客从受害者的 Git 仓库中删除了所有源代码和最近提交的 Repo,只留下了 0.1 比特币(约 ¥3850)的赎金票据。 黑客声称所有源码都已经下载并存储在他们的一台服务器上,并且给受害者十天时间支付赎金,否则,他们会公开代码。 想要恢复丢失的代码并避免泄露:请将 0.1 比特币(BTC)发送至我们的比特币地址 1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA,并将您的 Git 登录信息和付款证明发送至 admin@gitsbackup.com。如果您不确定我们是否有您的数据,请与我们联系,我们将向您发送证明,您的代码已下载并备份在我们的服务器上。如果我们在接下来的 10 天内没有收到付款,我们将公开代码或以其他方式使用。 在 GitHub 上搜索可发现已有 391 个仓库受影响,这些仓库的代码和提交信息均被一个名为 “gitbackup” 的账号删除。 尽管如此,BitcoinAbuse 平台显示,该比特币地址目前还未收到赎金。 一名用户指出 GitHub 在发现攻击后暂停帐户并进行调查:“GitHub 昨晚在他们调查时暂停了我的帐户,希望今天能听到他们的消息,我可能很幸运。” 据 ZDNet 的报道,好消息是,在深入挖掘受害者的案例后,StackExchange 安全论坛的成员发现黑客实际上没有删除,仅仅是改变了 Git 提交标头,这意味着在某些情况下可以恢复代码提交。 此页面提供了有关如何恢复损坏的 Git 仓库的说明。 最新消息,GitLab 的安全总监 Kathy Wang 告诉 BleepingComputer: 我们根据 Stefan Gabos 昨天提交的赎金票据确定了消息来源,并立即开始调查此问题。我们已确定受影响的用户帐户,并且已通知所有这些用户。根据调查结果,我们有充分证据表明,受损帐户的帐户密码以明文形式存储在相关存储库的部署中。我们强烈建议使用密码管理工具以更安全的方式存储密码,并尽可能启用双因素身份验证,这两种方法都可以防止出现此问题。 目前,平台和用户都在努力解决问题,此处正在持续讨论可能的解决方案。   (稿源:开源中国,封面源自网络。)

黑客掌控数万个 iTrack 和 ProTrack 账号 甚至可远程关闭汽车引擎

援引外媒Motherboard报道,一名黑客成功入侵了两款GPS定位追踪应用,从而允许让他监控数万辆汽车的位置,甚至能够关闭部分汽车的引擎。这名叫做L&M的黑客成功入侵了7000多个iTrack账号以及超过20,000个ProTrack账户,这两款应用被用于监控和管理车队的。该黑客可以跟踪南非,摩洛哥,印度和菲律宾等少数国家的车辆。 根据部分GPS定位追踪设备厂商的设定,如果车辆停靠或者车速低于每小时12英里就可以进行远程关闭汽车引擎,而黑客在成功入侵之后可以操控擅自关闭这些汽车引擎。通过对ProTrack和iTrack的Android应用程序进行逆向工程,L&M表示所有客户在注册时都会获得默认密码123456。 随后他使用应用的API强行调取了数百万用户名称,然后使用定制的脚本使用这些用户名和默认秘密进行登陆。这允许他控制了数万个使用默认密码的账号,并提取了相关信息。 根据L&M提交给Motherboard的用户数据样本来看,黑客从ProTrack和iTrack客户那里搜集了大量信息,包括他们所使用的GPS跟踪设备的名称、型号、设备的唯一ID号(技术上称为IMEI号码);用户名,真实姓名,电话号码,电子邮件地址和物理地址。 L&M表示他的攻击目标是公司,而不是客户。正是这些公司的疏忽导致客户存在安全风险,它们只是想要牟利,而并不想要保护他们的客户。L&M表示:“我绝对可以在全球范围内造成大规模的交通事故。我已经控制了上万辆汽车,只要我点击我就可以关闭他们的汽车引擎。”但是L&M表示从未关闭过汽车引擎,因为他认为这样太危险了。 虽然黑客没有证明他能够关闭汽车引擎,但是Concox(ProTrack GPS和iTrack的GPS设备制造商之一)的发言人向Motherboard确认如果车辆低于每小时20公里(大约每小时12英里),可以远程关闭汽车引擎。根据黑客提供的截图,这些应用程序具有“停止引擎”的功能。   (稿源:cnBeta,封面源自网络。)

卡巴斯基:除华硕外至少还有6家公司受到“影锤”行动攻击

在深入调查后卡巴斯基表示,华硕并非是影锤(ShadowHammer)攻击行动的唯一受害者,至少还有6家其他组织被攻击者渗透。除了华硕之外,卡巴斯基表示还有来自泰国的游戏发行商Electronics Extreme、网页&IT基础服务公司Innovative Extremist、韩国游戏公司Zepetto,另外还有来自韩国的一家视频游戏开发商、一家综合控股公司和一家制药公司。 影锤(ShadowHammer)攻击行动在最初是在华硕的升级服务中发现的新型供应链攻击方式。华硕电脑一般都默认预装了华硕的Live Update Utility软件,用于更新华硕电脑专用的驱动、软件、BIOS和补丁等,用户在使用该软件更新时可能会安装植入后门程序的软件更新包。黑客疑似入侵控制了华硕的更新服务,篡改使用合法证书签署的安装包,在官方给用户推送的升级软件包中加入了恶意代码。 在随后的深入调查中卡巴斯基的安全专家找到了很多采用类似算法的攻击特征,以及使用有效和合法证书签署的其他恶意程序样本,最终表明华硕并非唯一一家受到影锤(ShadowHammer)攻击,渗透IT基础设施的公司。专家发现了类似于华硕的恶意攻击样本,使用类似的算法来计算API函数的哈希值,并且在所有恶意样本中广泛使用IPHLPAPI.dll文件。 除了华硕之外,卡巴斯基还发现了来自其他三家亚洲游戏公司也是本次攻击的受害者,包括 ●  Electronics Extreme:僵尸生存游戏《感染:幸存者故事》(Infestation: Survivor Stories)的开发商 ●  Innovative Extremist:一家提供Web和IT基础服务的公司,但同时也从事游戏领域的开发 ●  Zepetto:开发视频游戏《特战先锋》(Point Blank)的韩国游戏公司 除了上述三家游戏公司之外,卡巴斯基还表示发现了三家被成功渗透的韩国企业,包括一家视频游戏开发商、一家综合控股公司和一家制药公司。目前卡巴斯基的研究人员仍在警告他们,他们也是ShadowHammer行动背后黑客组织发起的供应链攻击的受害者。 据悉影锤(ShadowHammer)攻击行动分为两个阶段: 第一个阶段是无差别的大规模攻击,黑客针对所有的华硕用户推送恶意升级包,用户安装恶意升级包后都会启动黑客植入的恶意代码,等待进入第二个阶段。 第二个阶段是针对性的定向攻击,只针对数百个目标用户,恶意代码会获取用户机器的MAC地址与数百个MAC地址比对,一旦匹配成功就会连接黑客的服务器激活更多的恶意代码。   在成功入侵受害者系统之后,用作恶意软件删除程序的木马化游戏将首先检查是否有多个流量/处理器监视工具正在运行,或者系统语言是否设置为简体中文或俄语。如果检测到上述任何一项为真,那么后门将会自动停止执行。 如果成功通过了系统审查阶段,那么 恶意软件将开始收集系统信息(网络适配器MAC地址,系统用户名,系统主机名和IP地址,Windows版本,CPU架构,当前主机FQDNm,域名,当前可执行文件名,驱动器C :卷名称和序列号,屏幕分辨率和系统默认语言ID) 在下一个感染阶段,所有信息都通过HTTP通过POST请求发送到C&C服务器,然后后门将发送GET请求以接收命令。 发现了以下命令: DownUrlFile  – 将URL数据下载到文件 DownRunUrlFile  – 将URL数据下载到文件并执行它 RunUrlBinInMem  – 下载URL数据并作为shellcode运行 UnInstall  – 设置注册表标志以防止恶意软件启动 UnInstall命令将注册表值HKCU \ SOFTWARE \ Microsoft \ Windows \ {0753-6681-BD59-8819}设置为1,这可防止恶意软件再次与C2联系。没有文件从磁盘中删除,文件应该可以通过取证分析发现。   (稿源:cnBeta,封面源自网络。)