分类: 安全快讯

SolarWinds 新漏洞可使黑客安装 SUPERNOVA 恶意软件

黑客可能已利用SolarWinds Orion软件中的身份验证绕过漏洞,在目标环境中部署SUPERNOVA恶意软件。 CERT协调中心发布的咨询报告表示,用于与所有其他Orion系统监视和管理产品接口的SolarWinds Orion API存在安全漏洞(CVE-2020-10148),该漏洞可能允许黑客执行未经身份验证的攻击API命令,从而导致SolarWinds实例的妥协。 SolarWinds在12月24日发布的安全公告表示,黑客可通过利用Orion Platform中的漏洞来部署恶意软件。但到目前为止,我们仍不清楚相关漏洞的细节。 在过去的一周中,Microsoft透露黑客可能正在滥用SolarWinds的Orion软件,在目标系统上投放另一种名为SUPERNOVA的恶意软件。 网络安全公司Palo Alto Networks的Unit 42威胁情报小组和GuidePoint Security也证实了这一点,他们都将其描述为.NET Web Shell:一种通过修改SolarWinds Orion应用程序的“ app_web_logoimagehandler.ashx.b6031896.dll”模块。 虽然DLL的目的是通过HTTP API将用户配置的图像返回到Orion Web应用程序的其他组件,但恶意添加使它可以从被控制的服务器接收远程命令并在服务器用户上下文中的内存执行命令。 Unit 42研究人员指出:“SUPERNOVA的新颖之处在于:在内存中执行、其参数存在极强的复杂性、.NET运行时实施完整的编程API存在极强的灵活性。” 政府机构和网络安全专家正在努力挽救此次黑客攻击的后果,并汇总全球入侵活动。 为了修复身份验证绕过漏洞,安全专家建议用户将SolarWinds Orion Platform更新至最新版本: 2019.4 HF 6(2020年12月14日发布) 2020.2.1 HF 2(2020年12月15日发布) 2019.2 SUPERNOVA补丁(2020年12月23日发布) 2018.4 SUPERNOVA补丁(2020年12月23日发布) 2018.2 SUPERNOVA补丁(2020年12月23日发布)       消息及封面来源:The Hacker News,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

警方逮捕 21 位 WeLeakInfo 网站用户

WeLeakInfo是一种现已失效的在线服务网站,曾出售其他网站被入侵数据的访问权。 英国国家犯罪局(NCA)表示,该网站的用户利用被盗个人凭据进一步实施了网络犯罪。 在被捕的21名男子(18至38岁之间)中,有9人因涉嫌违反《计算机滥用法》而被拘留,9人涉嫌欺诈罪,另外3人正在接受调查。NCA还从犯罪嫌疑人身上查获了价值41,000多英镑的比特币。 今年1月初,美国联邦调查局(FBI)、NCA、荷兰国家警察总队、德国Bundeskriminalamt和北爱尔兰警察局共同攻破了WeLeakInfo的域。 该网站的服务于2017年推出,为用户提供搜索引擎,用户可访问从10,000多个数据泄露事件中非法获取的个人信息,其中包含超过120亿索引的被盗凭证,涉及姓名、电子邮件地址、用户名、电话号码和账户密码等信息。   最重要的是,WeLeakInfo提供了订阅计划:允许在一天(2美元)、一周(7美元)、一个月(25美元)或三个月的订阅期间无限搜索和访问这些数据泄露的结果。 订阅费用使入门级黑客都可以访问该网站,以每天低至2美元的价格获取大量数据缓存,并利用这些信息发起网络攻击活动。 在该域名于1月被查封后,两名22岁男子因经营该网站而被捕,其中一人在荷兰、另一人在北爱尔兰。 NCA表示,一名犯罪嫌疑人还购买了其他网络犯罪工具,例如远程访问特洛伊木马(RAT)和加密程序,另外三名犯罪嫌疑人藏有不雅儿童照。 NCA的Paul Creffield表示:“人们在多个站点上设置的重复密码为黑客提供了便利。因此,密码设置非常重要。”       消息及封面来源:The Hacker News,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

FBI 和欧洲刑警组织查获被控支持“黑社会犯罪组织”的 VPN 服务

美国密歇根州东区检察官办公室详细介绍了一项名为“Operation Nova”的国际执法工作,该行动的目标是一项被指控支持犯罪分子的 “防弹”VPN服务。这项工作是由FBI、欧洲刑警组织和其他机构联合开展的,德国罗伊特林根警察总部负责协调这项行动。 在“Operation Nova”行动中,执法机构共同进行了取缔工作;它针对的是一个被指控为犯罪分子提供“防弹托管服务”的运营。行动中查封了三个域名,包括“insorg.org”、“safe-inet.com”和“safe-inet.net”。这些网站现在呈现的是被执法部门查封的通知。 除其他外,美国司法部将 “防弹托管服务 “描述为:“…可能包括忽略或编造借口,以回应客户的受害者提出的滥用投诉; 将客户账户或数据从一个IP地址,服务器或国家转移到另一个IP地址,以帮助他们逃避检测; 不保存日志(因此,没有任何日志可供执法部门审查)。通过提供这些服务,防弹主机明知故犯地支持客户的犯罪活动,成为犯罪计划的共犯。” 官员们在谈到“Operation Nova”行动时介绍说,据称在网络上发生的犯罪活动有接管账户、勒索软件、电子窃取数据泄露和鱼叉钓鱼等。据报道,支持是以英语和俄语两种语言“高价提供给黑社会犯罪组织”的。 国际执法机构关闭了与被查封域名有关的服务器,美国当局也关闭了与位于美国的服务器有关的服务器。     (消息及封面来源:cnBeta)

Emotet 僵尸网络每天攻击数 10 万个邮箱

经过将近两个月的休整之后,Emotet僵尸网络复苏,并开展了每天数十万个网络攻击活动。 Emotet僵尸网络于2014年以银行木马的身份诞生,并发展成提供全方位服务的威胁传递机制。它可在受害者计算机上安装一系列包括信息窃取者、电子邮件收集器、自我传播机制等恶意软件。该僵尸网络最近一次出现是在10月份,目标群体是民主党全国委员会(DNC)志愿者。五个月的中断之后,它在7月重新活跃,并丢弃了Trickbot木马。2月份的一次竞选活动中,有人发现了来自受害者银行的短信。 Cofense研究人员布拉德·哈斯(Brad Haas)在星期二的博客中说:“Emotet僵尸网络后是恶意电子邮件活动最多的发件人之一,但通常一次休眠数周或数月。” “今年,这种中断从2月持续到7月中旬,这是Cofense在过去几年中看到的最长的中断。从那以后,他们观察到整个十月底的Emotet僵尸网络活动正常,直到今天都没有新的案例。” 研究人员说,僵尸网络在有效载荷方面也始终如一。在十月份,最常见的辅助负载是TrickBot、Qakbot和ZLoader,而今天我们观察到的是TrickBot。 TrickBot恶意软件是众所周知的复杂木马,于2016年作为银行恶意软件首次开发,与Emotet一样,它具有自我转换和添加新功能 以 逃避检测 或增强其感染能力的历史。感染了TrickBot木马的用户的设备将成为僵尸网络的一部分,黑客可使用该僵尸网络加载第二阶段的恶意软件,研究人员称其为“几乎所有其他恶意软件有效负载的理想丢弃程序”。TrickBot感染的典型后果是银行帐户被接管、高额电汇欺诈和勒索软件攻击。它最近实现了旨在检查目标系统的UEFI / BIOS固件的功能。微软和其他公司于10月对恶意软件的基础架构进行拆除之后,该恶意软件却严重复苏。 Proofpoint在Twitter上指出: “我们看到了相关英文、德文、西班牙文、意大利文并受密码保护的zip和URL的线程劫持的带有Word附件的诱饵。” Proofpoint威胁研究高级主管Sherrod DeGrippo说:“我们的团队仍在审核新样品,到目前为止,我们只发现了微小的变化。例如,Emotet二进制文件现在被用作DLL而不是.exe。当Emotet运行时,我们每天会观察到数十万封电子邮件。”她指出:“我们通常会看到Emotet在12月24日至1月初停止运营。如果他们继续这种模式,那么最近的活动对他们来说将是短暂而罕见的。” 研究人员同时指出,“黑客在不同的网络诱饵之间交替变化,以使社会工程学用户能够使用包括COVID-19主题的宏。尽管缺乏重大发展,该恶意软件的复兴仍应引起人们的注意。” 鉴于今年的严峻形势,安全人员建议相关组织和个人应提高警惕,并继续采取相关保护措施。         消息及封面来源:Threat Post;译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

有证据表明 Citrix ADC 设备被黑客滥用发起 DDoS 攻击

援引外媒 ZDNet 今天早些时候报道,有攻击者利用 Citrix ADC 网络设备向 Steam、Xbox 等在线游戏服务发起拒绝服务攻击(DDoS)。首波攻击上周被德国 IT 系统管理员 Marco Hofmann 发现并记录在案。 图片来自于 WikiMedia 随后 Hofmann 追踪到了 Citrix ADC 设备上的 DTLS 接口。DTLS,即数据报传输层安全,是 TLS 协议的一个更多版本,实现在对流友好的 UDP 传输协议上,而不是更可靠的TCP。就像所有基于UDP的协议一样,DTLS是可欺骗的,可以作为DDoS放大载体。 这意味着,攻击者可以向具有DTLS功能的设备发送小的DTLS数据包,并将结果以一个大很多倍的数据包返回到一个被欺骗的IP地址(DDoS攻击受害者)。原数据包被放大多少倍,决定了具体协议的放大系数。对于过去基于 DTLS 的 DDoS 攻击,放大系数通常是原始数据包的 4-5 倍。 不过在本周一的报告中,在 Citrix ADC 设备上实现的 DTLS 似乎被放大了 35 倍,使其成为最有力的 DDoS 放大载体之一。在多家媒体报道之后,Citrix 也承认这个问题,并承诺会在圣诞节假期之后在明年 1 月中旬发布修复补丁。该公司表示,已经有证据表明有黑客利用该 DDoS 向全球少数客户发起攻击。 当攻击者滥用Citrix ADC设备时,他们可能最终会耗尽其上游带宽,造成额外的成本并阻止来自ADC的合法活动。 在Citrix准备好官方缓解措施之前,出现了两个临时的修复方法。第一种是在不使用Citrix ADC DTLS接口的情况下,禁用该接口。第二种是如果需要 DTLS 接口,建议强制设备验证传入的 DTLS 连接,尽管这可能会因此降低设备的性能。     (消息及封面来源:cnBeta)

专家推测执法机构是如何破解 iPhone 强大的加密并提取数据的

近日,有密码学专家提出了一个有关苹果 iPhone 智能机的一套理论。首先,即便有着定期推送的 iOS 补丁和增强保护措施,但执法机构仍可轻易闯入用户设备。其次,苹果公司日渐强大的加密技术,所能保护的数据量却少于以往。作为对 ACLU 诉请 FBI 揭示有关 iPhone 破解方式的回应,约翰·霍普金斯信息安全研究所助理教授 Matthew Green 于本周三通过 Twitter 发表了他的最新观点。 据悉,该理论基于 Matthew Green 带领的两名学生 Maximilian Zinkus 和 Tushar M. Jois 的相关研究。即执法机构无需攻破 iPhone 上最强大的加密算法,因为并非所有用户数据都受到这方面的保护。 Matthew Green 补充道,取证工具开发公司不再需要攻破苹果的安全加密区芯片(Secure Enclave Processor),毕竟这么做的难度非常高。 后来他和学生们想到了一个可行的方案,并且推测出了政府与执法机构是如何从锁定的 iPhone 中提取数据的。(详细的文章会在假日后公布) 据悉,iPhone 可处于首次解锁前的 BFU 模式、以及解锁后的 AFU 模式。最初打开设备电源并输入密码时,设备可进入 AFU 状态。 随着用户输入 Passcode,iPhone 也将同步导出保留在内存中、并用于加密文件的不同密钥集。当用户再次锁定其设备时,它也不会转入 BFU 模式、而是维持在 AFU 状态。 Matthew Green 指出,在用户再次解锁其设备前,只有一组加密密钥被从 iPhone 的内存中清除。 被清除的密钥集,正好属于解密特定保护级别的 iPhone 文件子集。而保留在内存中的其它密钥集,则可用于解密其它所有文件。 基于此,执法机构只需利用已知的软件漏洞来绕过 iOS 的锁屏保护措施,即可在后续解密大多数文件。加上以普通权限运行的代码,取证工具还可像合法应用程序那样访问数据。 尴尬的是,由苹果官方文档可知,最强的加密保护等级,似乎仅适用于邮件和应用启动数据。这样即便与 2012 年的同类情况进行比较,苹果在用户数据的安全保护上反而还倒退了。 最后,除了 iOS,Matthew Green 还指出了 Android 移动设备上存在的类似情况。这位密码学教授表示:“手机加密无法从根本上拦截别有用心的攻击者”。       (消息来源:cnBeta;封面来自网络)

黑客免费公布 27 万加密货币钱包 Ledger 用户信息

近日,一名网络攻击者在黑客论坛发帖,免费公布了从 Ledger 窃取的电子邮件和邮寄地址。Ledger 是一家硬件加密货币钱包,用于存储、管理和销售加密货币。这些钱包中的资金使用 24 个字的恢复短语以及一个可选的秘密口令来保护所有者。 在今年 6 月 Ledger 网站被爆出现数据泄漏事件,利用安全漏洞允许攻击者访问用户的联系人信息。今天,一位威胁攻击者分享了一个存档,其中包括“All Emails (Subscription).txt” 和 “Ledger Orders (Buyers) only.txt”两个文本,包含数据泄漏期间被盗取的数据。 All Emails (Subscription).txt 包含了 1,075,382 名订阅 Ledger 通讯的人的电子邮件地址;而 Ledger Orders (Buyers) only.txt 包含了 272,853 名购买 Ledger 设备的人的姓名、邮寄地址和电话号码。 网络安全情报公司 Cyble 已经与 BleepingComputer 分享了这份泄露的文件,外媒随后已经与 Ledger 的所有者确认,数据是准确的。Ledger 在推特中进一步确认,这次数据转储很可能来自2020年6月的数据泄露事件。         (消息及封面来源:cnBeta)

报道称第二个黑客组织已经瞄准了 SolarWinds

据外媒ZDNet报道,随着SolarWinds供应链攻击事件后的取证证据慢慢被发掘出来,安全研究人员发现了第二个威胁行为体,它利用SolarWinds软件在企业和政府网络上植入恶意软件。关于这第二个威胁行为体的细节仍然很少,但安全研究人员认为这第二个实体与疑似俄罗斯政府支持的入侵SolarWinds的黑客组织没有关系,后者在Orion应用内植入恶意软件。 原始攻击中使用的恶意软件代号为Sunburst(或Solorigate),作为Orion应用的“booby-trapped”(诡雷代码)更新交付给SolarWinds客户。在受感染的网络上,恶意软件会ping其创建者,然后下载名为Teardrop的第二个阶段性后门木马,允许攻击者开始动手操作键盘会话,也就是所谓的人为操作攻击。 但在SolarWinds黑客事件公开披露后的头几天,最初的报告提到了两个第二阶段的有效载荷。来自Guidepoint、赛门铁克和Palo Alto Networks的报告详细介绍了攻击者如何同时植入一个名为Supernova的.NET web shell。 安全研究人员认为攻击者是利用Supernova webshell来下载、编译和执行一个恶意Powershell脚本(有人将其命名为CosmicGale)。 然而,在微软安全团队的后续分析中,现在已经澄清Supernova网页壳并不是原始攻击链的一部分。他们发现Supernova安装在SolarWinds上的公司需要将此次事件作为一个单独的攻击事件来处理。 根据微软安全分析师Nick Carr在GitHub上的一篇文章,Supernova webshell似乎被种植在SolarWinds Orion安装上,这些安装已经暴露在网上,并被利用类似于追踪为CVE-2019-8917的漏洞。 Supernova与Sunburst+Teardrop攻击链有关的困惑来自于,和Sunburst一样,Supernova也被伪装成了猎户座应用的DLL–Sunburst隐藏在SolarWinds.Orion.Core.BusinessLayer.dll文件内,Supernova则隐藏在App_Web_logoimagehandler.ashx.b6031896.dll内。 但在12月18日周五晚些时候发布的分析报告中,微软表示,与Sunburst DLL不同,Supernova DLL并没有使用合法的SolarWinds数字证书进行签名。 Supernova没有被签名这一事实被认为是攻击者极不正常的行为,在此之前,攻击者在操作上表现出了非常高的复杂性和对细节的关注。 这包括花几个月时间在SolarWinds的内部网络中不被发现,提前在Orion应用中添加虚拟缓冲区代码以掩饰日后添加恶意代码,并将他们的恶意代码伪装成SolarWinds开发人员自己编写的样子。 这些似乎都是太明显的错误,最初的攻击者不会这么做,因此,微软认为这个恶意软件与最初的SolarWinds供应链攻击无关。       (消息来源:cnBeta;封面来自网络)

黑客组织 Pawn Storm 的非复杂性攻击策略

远程访问木马(RAT)的防御者不会立即辨别这是来自APT黑客的恶意软件。同样,网络服务(例如电子邮件、Microsoft Autodiscover、SMB、LDAP和SQL)的恶意攻击也是如此。在2020年,APT黑客组织Pawn Storm使用非复杂的攻击方法。 …… 更多内容请至Seebug Paper  阅读全文:https://paper.seebug.org/1434/         消息来源:trendmicro,封面来自网络,译者:江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

特朗普淡化美近期遭遇的网络攻击影响:被指跟俄有关

据外媒报道,当地时间周六,特朗普总统在Twitter上回应了针对美国政府部门、机构和私营公司的大规模网络攻击,其称“假新闻媒体(Fake News Media)”夸大了这一网络攻击的程度。此前,特朗普一直对此次攻击保持沉默。 网络安全专家、网络官员和政策制定者一致认为,此次黑客攻击是俄罗斯网络运营商Cozy Bear的一个部门所为,据信该部门得到了俄罗斯总统普京的情报部门的支持。 人们普遍担心,它们仍存在于美国政府和企业的计算机系统中而没有被发现。 据悉,这可能是美国历史上影响最大的黑客攻击事件,它已经促使两党议员呼吁做出坚决回应。 然而特朗普拒绝承认其自己的情报和国家安全专家的这一说法。“假新闻媒体的网络攻击远比实际情况严重。我得到了全面通报,一切都在良好的控制之下。” 在国家安全这个紧急问题上,特朗普和他的国务卿之间的分歧正在不断扩大。蓬佩奥在未来几天将要面临一个选择–继续讲述黑客攻击的真相并开始承认选举的现实。 在特朗普的国家安全官员在收集有关乌兰过攻击证据的同时,其却花费越来越多的时间来跟包括律师Sidney Powell在内的盟友讨论阴谋论。这位现总统的推文就是他广泛捍卫俄罗斯的一种延续。 特朗普在执政期间一直为俄罗斯辩护,包括其干预美国2016年大选以及其付钱给塔利班杀害驻阿富汗美军等。 另外,他还在继续传播虚假的选举声明,即在没有证据的情况下暗示黑客影响了2020年总统大选的结果。 美国网络安全和基础设施安全局表示,此次黑客袭击对联邦政府、州、地方、部落和领土政府以及关键基础设施实体和其他私营部门组织都构成了严重风险。 当选总统拜登则于当地时间周四表示,此次黑客袭击令人高度关注,另外他还承诺要让那些应对此次袭击负责的人付出“巨大代价”。 微软总裁布拉德·史密斯也对此发表了意见,他认为就相当于对美国及其政府和包括安全公司在内的其他关键机构发起了网络攻击。 据悉,黑客攻击的对象了包括了美国防部、国务院、国土安全部、财政部、商务部、能源部、国家核安全局、美国家卫生研究院及多家跨国公司。         (消息及封面来源:cnBeta)