标签: 勒索软件

新型僵尸勒索软件 Virobot 肆虐微软 Outlook

根据趋势实验室披露的安全报告,一种全新的僵尸网络勒索软件Virobot正通过微软Outlook进行大肆传播。报告中指出该恶意软件同时兼具僵尸网络和勒索软件的特征,在微软Outlook上以垃圾邮件的方式进行传播。 报告中写道:“Virobot首次发现于2018年9月17日,是对臭名昭著的Locky勒索软件变种分析7天之后发现的。一旦感染Virobot,它就会检查注册表键值(计算机GUID和产品秘钥)来确认系统是否应该加密。然后通过加密随机数生成器(Random Number Generator)来生成加密和解密你要。此外伴随着生成的秘钥,Virobot还会将收集的受害者数据通过POST发送到C&C服务器上。” 趋势科技还表示Virobot还可以记录用户敲击键盘的次数,并共享诸如信用卡信息和密码在内的诸多敏感数据。键盘记录器也会将这些信息发送至C&C服务器上。所以为了预防受到感染,请确保你不要打开非可靠源的附件。   稿源:cnBeta,封面源自网络;

布里斯托尔机场大屏被勒索软件攻占 耗时2天终于恢复

因机场网络内多台电脑受到恶意勒索软件攻击,布里斯托尔机场(Bristol Airport)在经历了长达两天的宕机之后所有航班信息屏终于恢复正常。本次网络袭击事件发生于上周五早晨,显示航班信息的大屏幕上显示需要支付赎金才能解锁。布里斯托尔机场方面并未就此向黑客妥协,拒绝支付赎金,所有受影响的系统全部都被拆除,而且必须由机场的IT管理人员进行手动恢复。 在勒索软件攻击期间,机场的工作人员不得不使用白板以及海报等方式显示到达的航班以及登机信息。布里斯托尔机场官方推文称:“数字屏上的实时航班信息目前已经完成了核心区域的修复,不过目前在我们上仍未完成。航班不受该技术问题影响,对于给您带来的任何不便,我们深表歉意。”   稿源:cnBeta,封面源自网络;

研究人员发现了具有僵尸网络功能勒索功能和挖掘加密货币功能的新蠕虫

Palo Alto Networks的Unit 42研究团队发现了一种新的恶意软件类,能够针对Linux和Windows服务器,将加密货币挖掘,僵尸网络和勒索软件功能结合在一个自我扩展的蠕虫软件包中。正如Unit 42所详述的那样,名为Xbash的新恶意软件系列与Iron Group有关,Iron Group是一个以前知道可以执行勒索软件攻击的威胁行为者,显然已经转向更复杂的攻击媒介。 据观察,Xbash使用可利用的漏洞和弱密码强制组合在服务器之间传播,与其他勒索软件不同,默认情况下启用了数据销毁功能,没有恢复功能,几乎不可能进行文件恢复。此外,Xbash的僵尸网络和勒索软件组件通过利用未受保护和易受攻击但未修补的服务来定位Linux服务器,立即清除MySQL,PostgreSQL和MongoDB,并要求比特币赎金恢复数据。 另一方面,Xbash的加密货币挖掘和自传播模块旨在使用未修补的Hadoop,Redis和ActiveMQ数据库中的已知漏洞来破坏Windows系统。此外,Xbash具有自我传播的能力,类似于Petya / NoPetya和WannaCry的能力,以及尚未启用的传播功能集合,但可以使其在企业或家庭网络中快速传播。 Xbash还具有由代码编译,代码压缩和转换以及代码加密提供支持的反检测功能,所有这些功能都会模糊其恶意行为,以防止反恶意软件工具检测到它。Unit 42已经发现48个传入到Xbash勒索软件组件中的硬编码钱包总计6000美元,这意味着新的恶意软件系列已经活跃并收集受害者的赎金。   稿源:cnBeta,封面源自网络;

亚特兰大市政府拒付勒索软件赎金 宁可耗费数百万美元去修复

3 月 22 号的时候,亚特兰大市遭遇了一场大规模的勒索软件攻击,政府机构的一些关键系统也不幸中招,迫使官员放弃了电子邮件和数字系统,转而使用传统的纸笔记录方案。路透社上月报道称,攻击者索取价值高达 5.1 万美元的比特币赎金,但该市觉得不能助长黑客的嚣张气焰,于是决定硬扛下来。为了让系统恢复正常运转,当前承包商仍在修复,即便此举会耗费更多资金。 攻击导致许多机构和官员无法访问包含数字记录和电子邮件等内容的系统。一些勒索软件的会设置时间期限,比如超期赎金翻倍、或者直接删除被其恶意加密的文件。 目前暂不清楚该市拒付赎金的原因,也不知其是否尝试过支付。然而一些纳税人很遗憾地发现,该市最终竟然耗费了数百万美元来解决这个问题。 由亚特兰大政府网站公开的紧急采购信息可知,官员们将大把钱(超过 250 万美元)砸到了 SecureWorks 和 Pioneer Technology Group 等承包商身上。 稿源:cnBeta,封面源自网络;

ZLAB 发布有关勒索软件即服务平台的恶意软件分析报告

近日,CSE CybSec ZLab 恶意软件实验室的安全专家对暗网上主要 RANSOMWARE-AS-A-SERVICE(勒索软件即服务)平台进行了有趣的分析,其中包括 RaaSberry、Ranion、EarthRansomware、Redfox、Createyourownransomware、DataKeeper 等勒索软件。 多年来,暗网的传播创造了新的非法商业模式。除了毒品和支付卡数据等典型的非法商品外,地下黑客还出现了其他服务,例如黑客服务和恶意软件开发。新的平台允许没有任何技术技能的不法人士创建自己的勒索软件并将其传播。 勒索软件是感染受害者的机器并阻止或加密他们的文件的恶意代码,黑客通过其来要求受害用户支付赎金。当勒索软件安装在受害者机器上时,它会搜索并定位敏感文件和数据,包括财务数据,数据库和个人文件。开发勒索软件的目的是为了让受害者的机器无法使用。用户只有两种选择:一是在没有获取原始文件的保证的情况下支付赎金,二是将 PC 从互联网断开。 由此,RaaS 商业模式的兴起使得恶意行为者无需任何技术专业知识就可以毫不费力地发起网络敲诈活动,这也正是导致新的勒索软件市场泛滥的原因。 勒索软件即服务是恶意软件销售商及其客户的盈利模式,使用这种方法的恶意软件销售商可以获取新的感染媒介,并有可能通过传统方法(如电子邮件垃圾邮件或受损网站)接触到他们无法达到的新受害者。RaaS 客户可以通过 Ransomware-as-a-Service 门户轻松获取勒索软件,只需配置一些功能并将恶意软件分发给不知情的受害者即可。 当然,RaaS 平台不能在 Clearnet 上找到,因此它们隐藏在互联网暗网中。但通过非传统搜索引擎浏览黑网页,可以找到几个提供 RaaS 的网站。在该网站上,每个人为勒索软件提供不同的功能,允许用户选择加密阶段考虑的文件扩展名; 向受害者要求的赎金以及恶意软件将实施的其他技术功能。 此外,除了使用勒索软件即服务平台之外,购买定制恶意软件还可以通过犯罪论坛或网站进行,其中可以雇佣黑客来创建个人恶意软件。从历史上看,这种商业一直存在,但它专门用于网络攻击,如间谍活动、账户黑客攻击和网站篡改。一般情况下,只有当黑客了解到它可以盈利时,他们才开始提供这种特定的服务。 ZLAB 完整分析报告: 《ZLAB MALWARE ANALYSIS REPORT: RANSOMWARE-AS-A-SERVICE PLATFORMS》 消息来源:Security Affairs,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Verizon 发布《 2018 年数据泄露调查报告》:勒索软件已成为最流行的恶意软件

据外媒报道,美国电信巨头 Verizon 于本周二在其 2018 年数据泄露调查报告 (DBIR)中称,勒索软件攻击事件数量在过去一年中翻了一倍,成为最流行的恶意软件,这是因为黑客组织想通过锁定关键的业务系统来要求支付赎金,从而获取巨大的利益。 Verizon 执行董事安全专业服务部门的 Bryan Sartin 在一份声明中表示:“勒索软件是目前最流行的恶意软件攻击形式。近年来它的使用量大幅增加,因为现在企业仍然没有投资合适的安全策略来打击勒索软件,这意味着他们在面对勒索攻击时别无选择,只能向网络犯罪分子支付赎金”。 Verizon 在分析了 53,000 多起安全事件(其中包括 2,215 起违规事件)后表示,勒索软件攻击占特定恶意软件事件的 39%。 推动勒索软件攻击的一个趋势是针对关键业务系统(非台式机)的能力,这些系统可能对公司造成更多损害,并且很可能黑客组织试图将其作为勒索目标从中获取更多的利益。目前随着时间的推移,勒索软件事件中的资产类别已经从用户设备走向服务器,Verizon 说这是因为黑客意识到加密文件服务器或数据库比单个用户的设备更具破坏性。 Verizon 表示,横向移动和其他威胁活动经常会卷入其他可用于感染和遮挡的系统中。这些勒索软件攻击对黑客组织来说很有吸引力,因为黑客本身几乎不需要承担任何风险或成本,并且也不需要违反保密条款来实现其目标。 Verizon 在其报告中称,目前许多黑客已将钱财视为其首要任务,根据调查,有 76% 的违规行为都是出于财务动机。 例如 2017 年勒索软件最突出的例子 —  5 月份的 WannaCry 和 NotPetya 攻击。WannaCry 勒索软件通过感染 150 个国家 30 多万个系统,要求支付 300 美元的赎金才能解密密钥。与此同时,NotPetya 加密了主引导记录,并要求以比特币作为赎金支付的主要形式。 10 月份,另一宗勒索软件活动 BadRabbit 震动了安全行业 ,这项与俄罗斯 Telebots 有关的活动是在俄罗斯、乌克兰和东欧的网站上使用恶意软件发起的。在该事件中,攻击者瞄准基础设施(不仅仅只是桌面系统)并造成了巨大损害,其中乌克兰遭受了关键网络资产和基础设施的最大破坏。 最近,在 2018 年 3 月,亚特兰大市成为勒索软件攻击的目标。该起事件影响了几个部门,并瘫痪了处理付款和传递法院信息的政府网站。随后,亚特兰大市被要求支付 51,000 美元以换取密钥来解密系统。 为减轻勒索软件攻击的可能性,Verizon 在其报告中建议用户应确保有常规备份,并且隔离那些很重要的资产,以及将其放在业务连续性的优先级上。 Verizon 发现,总体而言,黑客、恶意软件和社交攻击(如网络钓鱼)等是过去一年中最多的安全违规事件。 除此之外,分布式拒绝服务(DDoS)攻击是 Verizon 2018 年报告强调的另一个重大威胁。Verizon 表示:“ DDoS 攻击可能会对任何人造成影响,因为它经常会被用作伪装启动或者停止后重新启动,以隐藏正在进行的其他违规行为。 目前来说,大多数网络犯罪分子具有经济动机,因此,他们针对金融、保险和零售行业发起的攻击不足为奇。Corero Network Security 的产品管理总监 Sean Newman 认为对于能够希望实现 100% 正常运行的在线公司而言,实时检测并自动减轻攻击的 DDoS 技术应该是必备的要求。 消息来源:threatpost,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

黑客通过远程桌面服务安装新型 Matrix 勒索软件变体

MalwareHunterTeam 本周发现了两个新的 Matrix Ransomware 变体,这些变体正在通过被黑客入侵的远程桌面服务进行安装。尽管这两种变体都会对计算机的文件进行加密,但其中一种更加先进,可提供更多调试消息并使用密码来擦除可用空间。 根据勒索软件执行时显示的调试消息以及 BleepingComputer 论坛中的各种报告,该勒索软件目前正在通过攻击者直接连接到互联网的远程桌面服务向受害者分发。一旦攻击者获得访问计算机的权限,他们将上传安装程序并执行它。 目前有两种不同的 Matrix 版本正在发布。这两种变体都安装在黑客 RDP 上,加密未映射的网络共享,加密时显示状态窗口,清除卷影副本以及加密文件名。不过,这两个变体之间有一些细微差别,第二个变体([RestorFile@tutanota.com])稍微高级一些。这些差异如下所述。 变体 1:[Files 4463@tuta.io] 这种由[ Files4463@tuta.io ]扩展名标识的变体是较不先进的变体。当这个变体正在运行时,它将同时打开以下两个窗口来显示感染的状态。 一个窗口是关于加密的状态消息,另一个窗口是关于网络共享扫描的信息。 当文件被加密时,它会加密文件名,然后附加[ RestorFile@tutanota.com ]扩展名。 例如, test.jpg 会被加密并重命名为 0ytN5eEX-RKllfjug。[ Files4463@tuta.io ]。 该变体还会在每个扫描的文件夹中放置命名为!ReadMe_To_Decrypt_Files!.rtf 的赎金记录。该赎金说明包含用于联系攻击者并进行赎金支付的 Files4463@tuta.io,Files4463@protonmail.ch 和 Files4463@gmail.com 电子邮件地址。 该变体还将桌面背景更改为以下图像。 不幸的是,Matrix Ransomware 的这种变体无法免费解密。 变体 2:[RestorFile@tutanota.com] 第二个变体通过使用[ RestorFile@tutanota.com ]扩展名来标识。虽然这个变体的操作方式与前一个类似,但它有点更先进,因为它具有更好的调试消息,并且在加密完成后利用 cipher 命令覆盖计算机上的所有可用空间。 此外,该变体使用不同的联系人电子邮件地址,不同的扩展名和不同的赎金票据名称。 当这个变体正在运行时,它将利用下列窗口显示感染的状态。 请注意,与前一个版本相比,此版本中显示的日志记录更多。 当文件被加密时,它将加密文件名,然后附加[ RestorFile@tutanota.com ]扩展名到它。 例如, test.jpg 会被加密并重新命名为 0ytN5eEX-RKllfjug [RestorFile@tutanota.com ]。 此变体还会在每个扫描的文件夹中放置名为 #Decrypt_Files_ReadMe#.rtf 的赎金备注。 该赎金说明包含用于联系攻击者并进行赎金支付的 RestorFile@tutanota.com,RestoreFile@protonmail.com 和 RestoreFile@qq.com 电子邮件地址。 它还会将桌面背景更改为以下图像。 在此变体完成加密计算机后,它将执行“ cipher.exe / w:c ”命令以覆盖 C:驱动器上的可用空间。 这是为了防止受害者使用文件恢复工具来恢复他们的文件。 不幸的是,像以前的版本一样,这个版本不能免费解密。 如何保护您免受 Matrix Ransomware 的侵害 为了保护自己免受勒索软件攻击,一定要使用良好的计算习惯和安全软件。首先,您应始终拥有可靠且经过测试的数据备份,以备在紧急情况下可以恢复,如勒索软件攻击。 由于 Matrix Ransomware 可能通过黑客入侵的远程桌面服务进行安装,因此确保其正确锁定非常重要。这包括确保没有运行远程桌面服务的计算机直接连接到 Internet。而应将运行远程桌面的计算机放在 VPN 后面,以便只有那些在您的网络上拥有 VPN 帐户的人才能访问它们。 设置适当的帐户锁定策略也很重要,这样可以使帐户难以被强制通过远程桌面服务强制执行。 您还应该拥有安全软件,其中包含行为检测以对抗勒索软件,而不仅仅是签名检测或启发式检测。例如,Emsisoft 反恶意软件和 Malwarebytes 反恶意软件都包含行为检测功能,可以防止许多(如果不是大多数)勒索软件感染对计算机进行加密。 最后但并非最不重要的一点是,确保您练习以下安全习惯,在许多情况下这些习惯是所有最重要的步骤: – 备份 – 如果您不知道是谁发送的,请不要打开附件。 – 直到您确认该人实际寄给您的附件才开启附件, – 使用 VirusTotal 等工具扫描附件。 – 确保所有的 Windows 更新一旦出来就安装好! 另外请确保您更新所有程序,特别是 Java,Flash 和 Adobe Reader。 较旧的程序包含恶意软件分发者通常利用的安全漏洞。 因此重要的是让他们更新。 – 确保您使用的是安装了某种使用行为检测或白名单技术的安全软件。 白名单可能是一个痛苦的训练,但如果你愿意与它一起存货,可能会有最大的回报。 – 使用硬密码并且不要在多个站点重复使用相同的密码。 稿源:东方安全,封面源自网络;

波音遭遇勒索软件攻击, WannaCry 成为最大怀疑对象

据西雅图时报报道,波音公司于本周三遭遇了勒索软件攻击(疑似“ WannaCry ”), 其商用飞机制造总工程师 Mike VanderWel 警告称,该勒索软件正在从波音公司南卡罗来纳州北查尔斯顿的工厂扩散出去,并且可能已经导致 777 的翼梁自动装配工具产线瘫痪。VanderWel 担忧 恶意软件可能不仅会感染用于飞机功能测试的设备,也可能扩展到“飞机软件”中。 但随后波音在 Twitter 上发表声明说,媒体的报道与真实情况具有一定差距,因为根据波音网络安全运营中心的检测,恶意软件的入侵仅影响到少数系统,并且安全人员也已经采取了补救措施。 虽然 WannaCry 偶尔还是会被发现试图传播,但大多数情况下,安全研究人员已经能够有效地拦截这个勒索软件。这就是为什么一年之后,所有发布的补丁程序和 AV 软件都能检测到它。 目前,波音公司遭受的勒索软件还没有被 100% 确认为 WannaCry,安全人员猜测它也有可能只是 WannaCry 的模仿版。 消息来源:bleepingcomputer,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

亚特兰大市遭勒索软件网络攻击 机场停用 WiFi

民航资源网 2018 年 3 月 24 日消息:当地时间 3 月 22 日美国亚特兰大市政府遭遇网络攻击,随后亚特兰大国际机场关闭了机场的 WiFi 系统,使得机场 63000 余员工及每天 27.5 万人次的旅客无网可用。 3 月 22 日早上亚特兰大市政府遭到了勒索软件的网络攻击,多个内部系统受到影响。政府建议员工不要使用自己的电脑。 3 月 22 日下午亚特兰大机场通过官方 Twitter 宣布,临时关闭机场 WiFi 系统,机场正在努力解决这一问题。23 日机场方面表示,网络系统仍不能使用,此外安检等待以及航班信息等受到了影响,提醒旅客联系航空公司查询。 亚特兰大机场发言人表示,关于机场何时恢复WiFi尚无时间表。他表示,机场并没有受到网络攻击的直接影响,但出于谨慎考虑,决定将系统下线。 稿源:凤凰网、民航资源网,封面源自网络;

[信息图]企业传统防御方式已跟不上新型网络威胁

最新报告指出诸如勒索软件之类的攻击之所以能够绕过传统的安全解决方案,是因为这些组织往往忽略了补丁、更新或者更迭当前产品和服务的重要性。根据网络安全公司 Webroot 最新的研究报告称:自 2017 年 9 月份以来,已经有超过 5000 家网站被 JavaScript 加密货币矿工 CoinHive  劫持用于挖取 Monero 币。 Webroot首席技术官Hal Lonas说道:“从过去一年的新闻头条中,我们可以明显感觉到攻击者变得越来越有攻击性,且攻击方式更加的灵活。劫持来挖取加密货币的攻击方式已经成为新的威胁,它达到了攻击者的攻击预期:匿名性、易部署性、低风险和高回报。企业需要使用实时威胁情报来检测这种新威胁,并且在形成进一步伤害之前检测到这些恶意行为。” 从调查数据来看Windows 10的安全性几乎是Windows 7的两倍。但是迁移率非常的低,在2017年年底只有32%的企业设备已经升级至更新的操作系统。 此外钓鱼网络攻击也变得更有针对性,开始利用社会工程学和IP掩码方式来提高入侵成功率。平均计算下来,钓鱼网站在线时间只有4-8个小时,意味着它们正在规避传统的反钓鱼策略。 稿源:cnBeta,封面源自网络;