标签: 勒索软件

Sodinokibi 勒索软件首次发布被盗数据

由于未及时支付赎金,Sodinokibi勒索软件背后的攻击者首次发布了从一名受害者那里窃取的文件。自上个月以来,Sodinokibi(也称为REvil)公开表示,他们将开始效仿Maze,如果受害者不支付赎金,就公开从受害者那里窃取的数据。他们在俄罗斯黑客和恶意软件论坛上首次发布了大约337MB所谓的被盗受害者文件的链接。 攻击者称:这些数据属于Artech信息系统公司(该公司被称为是少数民族和女性员工最多的公司,同时也是美国较大的IT公司之一),如果该公司不支付赎金,他们将发布更多的数据。 “这些数据只是我们所拥有数据一小部分。如果还不采取任何行动,我们将向第三方出售剩余的更重要以及更有趣的数据,而这些数据中还包含财务细节。” 目前,Artech网站因不明原因已全线关闭,Bleeping Computer 向Artech方求证相关问题,也并未得到回复。 正如我们反复提及的,对勒索软件攻击造成的数据泄露事件应该以透明方式来解决,若试图采取隐藏方式,公司员工、客户数据不仅会被暴露,还可能有罚款和被诉讼的危险。而这种利用被盗数据作为砝码的行为不仅不会解决事情,还会使事情变得更糟。   消息来源:bleepingcomputer, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接  

报告显示 WannaCry 依然是最让人头疼的勒索软件

Precise Security公布的一份新报告显示,WannaCry在去年勒索软件感染排行榜当中位居第一。Precise Security称,超过23.5%的设备最终被勒索软件锁定,其中垃圾邮件和网络钓鱼邮件仍然是去年最常见的感染源。不少于67%的勒索软件感染是通过电子邮件传递的,缺乏网络安全培训和薄弱的密码和访问管理是导致电脑在攻击后被加密的主要原因。 这份报告显示,针对政府机构,医疗保健,能源部门和教育的勒索软件攻击数量继续增加。一些简单的勒索软件以难以逆转的方式锁定系统,但更高级的恶意软件利用了一种称为加密病毒勒索的技术进行攻击。 WannaCry勒索软件爆发发生在2017年5月,当时第一批Windows电脑通过一个名为EternalBlue的NSA漏洞被感染。微软很快发布了补丁来阻止这一漏洞,包括不受支持的Windows XP操作系统,但目前仍有许多用户在使用没有打过补丁的设备。 与其他勒索软件感染一样,WannaCry对存储在设备上的文件进行加密,并要求用户支付解密密钥的费用。WannaCry攻击者要求受害者以比特币支付,据统计,它在全球造成了约40亿美元的损失。 WannaCry制造了一系列引人注目的受害者,包括英国的NHS系统,其设备运行的是未修补的Windows,主要是Windows XP。修补设备并保持安全软件完全更新,是阻止WannaCry攻击的最简单方法,同时不要打开来自不受信任来源的消息和文件。   (稿源:cnBeta,封面源自网络。)

VPN 警告:REvil 勒索软件盯上未打补丁的 Pulse Secure VPN 服务器

使用REvil(Sodinokibi)勒索软件勒索大型组织的网络罪犯瞄准未打补丁的Pulse Secure VPN服务器,并禁用防病毒软件。 安全研究人员正在敦促使用Pulse Secure VPN的组织立即进行修补,否则将面临犯罪分子的“大规模”勒索软件攻击,这些犯罪分子可以轻松地使用Shodan.io IoT搜索引擎来识别易受攻击的VPN服务器。 上个月,在纳斯达克上市的美国数据中心提供商CyrusOne遭到REvil(Sodinokibi)勒索软件攻击,而去年夏天,美国的几个网络服务商、德克萨斯州的20多个地方政府机构以及400多个牙医诊所也相继遭到了网络攻击。 由于犯罪分子利用该勒索软件来加密关键业务系统,并要求巨额赎金解密,英国安全研究员凯文·博蒙特将REvil归为“big game”类别,该勒索软件病毒株于去年4月被发现,主要是使用Oracle WebLogic中的漏洞来感染系统。 去年10月,美国CISA、美国国家安全局联合英国国家网络安全中心发布的警告称:REvil瞄准的Pulse secure VPN服务器还未打补丁。此前有证据显示,政府支持的黑客正在利用Pulse Secure 以及Fortinet VPN产品中的漏洞,由于该漏洞已被网络犯罪分子广泛使用,因而波及范围也越来越广。 凯文·博蒙特指出:由于该服务器允许远程攻击者在没有有效凭据的情况下连接公司网络,同时禁用多种形式的身份验证,在这样的情况下以纯文本的形式远程查看包括活动目录和账户密码在内的日志和缓存密码,导致Pulse Secure VPN 漏洞情况越来越糟糕。上周发生的两起漏洞事件都采用了类似的手段:通过访问网络来获取域管理控制,然后使用开源VNC远程访问软件来访问移动网络。 在这样的流程后,所有安全端口都会被禁用,REvil(Sodinokibi)勒索软件会通过PsExec渗透到Windows远程管理系统中。网络安全公司Bad Packets 1月4日扫描数据显示:仍有3825台Pulse secure VPN服务器漏洞还未被修补,其中去年10月警报中所提到的CVE-2019-11510漏洞就包含其中,而1300多个易受攻击的漏洞VPN服务器均位于美国。   消息来源:zdnet, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

微软建议勒索软件攻击受害者不要向黑客支付赎金

如今,勒索软件攻击变得越来越普遍,但与此同时,同意支付解密密钥费用的受害者人数也在增加。简而言之,勒索软件攻击是加密存储在受感染设备上的文件,并随后锁定系统。要求受害者为解密密钥支付赎金,从技术上讲,这将使他们能够重新获得对设备和文件的访问权限。 虽然无法保证黑客实际上会提供解密密钥,但越来越多的公司同意在设备受到威胁后向网络罪犯付款。最近几天有两个这样的案件。首先,黑客设法闯入新泽西州最大的医院 Hackensack Meridian Health 网络并锁定所有电子设备后,医院已经付钱给黑客以重新获得对系统的控制权。此外,加拿大公司 LifeLabs 同意支付赎金,以换取 1500 万客户的数据。 对此,微软在一篇文章当中表示,微软绝不鼓励勒索软件受害者支付任何形式的勒索要求。支付赎金通常是昂贵,危险的,并且只会加重攻击者继续作战的能力。最重要的是,向网络犯罪分子付费以获得勒索软件解密密钥,并不能保证您的加密数据将被还原。 文章接着详细介绍了公司在勒索软件攻击时的准备方法,重点放在关键系统和文件的备份上。恢复到已知良好状态的能力,是应对任何信息安全事中最关键的策略,尤其是对付勒索软件方面。保持安全的其他方法包括电子邮件过滤,系统补丁和漏洞管理,防病毒保护以及应用程序白名单等等。   (稿源:cnBeta,封面源自网络。)

Ryuk 勒索软件涉嫌参与新奥尔良网络攻击

一周前,新奥尔良市官员在新闻发布会上确认该市受到勒索软件攻击,攻击事件发生于2019年12月13日上午。 IT人员立即通知所有了员工,并要求他们关闭计算机,以防威胁扩散。 政府部门的设备没有连接城网,当时还没查出是那种勒索软件感染了系统。 现在,媒体提供了有关这次攻击的更多消息。根据提交给VirusTotal的文件,新奥尔良市涉及的勒索软件可能是Ryuk Ransomware。 在勒索软件攻击新奥尔良市的第二天,2019年12月14日,可疑的内存转储 可执行文件 已从美国的IP地址上传到VirusTotal。 “Red Flare Security的Colin Cowie 发现其中一个内存转储多次提及了New Orleans 和 Ryuk” BleepingComputer报道。 Cowie发现的转储与名为yoletby.exe,其中包含对新奥尔良市的引用,包括域名,域控制器,内部IP地址,用户名,文件共享。同一转储包含对Ryuk勒索软件的引用,这种情况表明黑客在此次袭击中使用了该恶意软件。   专家还发现了证明此次攻击使用了Ryuk的证据。   “ v2.exe内存转储中有一个字符串很有意思,它指向的值是新奥尔良市政厅。” “经过进一步挖掘, BleepingComputer 找到了 v2.exe可执行文件,并在执行后确认它是Ryuk勒索软件。”     消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新型恶意程序 Snatch 曝光:进入安全模式加密数据向受害者勒索比特币

Sophos的安全研究团队近日发现了名为Snatch的勒索软件,利用Windows的功能来绕过安装在PC上的安全软件。这款勒索软件会让你的PC崩溃,并迫使受感染设备重新启动进入安全模式。而在安全模式下,通常会禁用防病毒和其他安全软件,从而允许该恶意程序作为服务进行自启,对PC进行全盘加密,最后向受害者勒索比特币。 在过去3个月内,Sophos已经收到了12例关于该勒索软件的反馈报告,要求比特币赎金在2900美元至51,000美元之间。在安全公告中写道:“Snatch可以在常见的Windows系统上运行,从Windows 7到Windows 10,所有32位和64位版本都受到影响。我们观察到Snatch无法在Windows以外的平台上运行。” (稿源:cnBeta,封面源自网络。)

勒索软件渗透纽约警察局的指纹数据库 导致系统关闭

据外媒Softpedia报道,在一个承包商连接到网络以配置数字显示器后,勒索软件感染了运行纽约警察局(NYPD)指纹数据库的计算机。该事件发生在2018年10月,导致NYPD在总共23台计算机上发现感染后,关闭了LiveScan指纹跟踪系统。但是,该部门官员声称该感染“从未执行”,这意味着勒索软件没有造成任何损害,但是NYPD出于谨慎考虑而决定使该系统关闭。 NYPD官员在接受《纽约邮报》采访时表示,该软件已重新安装在200台计算机上,并且指纹数据库于第二天早上恢复上线。NYPD负责信息技术的副局长Jessica Tisch表示:“我们想深入了解这一点。对于我们来说,深入了解这一点真的很重要。到周六清晨—我记得它仍然尚未恢复—我们正在使系统上线。” 勒索软件通常会锁定文件的访问权限,直到受害者支付解密密钥的费用为止。当承包商插入他们用来配置数字显示器的NUC微型PC时,该勒索软件便感染了NYPD网络。NYPD表示,他们确实对此事件对承包商提出了质疑,但未给予任何处罚。 此外,NYPD声称其网络中只有约0.1%的计算机受到了影响,而没有任何文件被锁定。该机构尚未共享有关感染背后的黑客团体,勒索软件和操作被感染设备的承包商的详细信息。 然而尽管NYPD已经避免了一场网络噩梦,但该部门网络中潜在的勒索软件感染可能会带来灾难性的影响。NYPD数据库还连接到更大的州级别自动指纹识别系统,该系统拥有大约700万个文件,如果被勒索软件感染可能会被锁定,并且在恢复之前可能将使系统连续数天保持脱机状态。   (稿源:cnBeta,封面源自网络。)

收到这样的邮件请立即删除:勒索软件伪装成 Windows 更新诱骗用户点击

如果您收到一封声称来自微软的电子邮件,并要求安装所谓的关键更新,那么请立即删除这封邮件。安全公司Trustwave近日发现了新的恶意程序活动踪迹,它们利用电子邮件方式进行传播,伪装成为Windows更新让设备感染Cyborg勒索软件。 这是一种非常典型的攻击方式,首先给潜在目标发送电子邮件,邮件中会包含虚假的Windows更新。该更新似乎使用的是JPG文件扩展名,实际上是一个可执行文件,一旦启动,便从GitHub下载其他有效负载。 rustwave解释称:“根据我们的调查,受感染的设备会从一个名为misterbtc2020的GitHub账号中下载名为bitcoingenerator.exe的文件,该账号在几天前还处于活跃状态,目前已经被删除。该文件包含了btcgenerator存储库。就像附件一样,这是.NET编译的恶意软件,也就是Cyborg勒索软件。” 勒索软件感染设备后,用户文件将被加密并重命名为使用“777”扩展名。此时,用户文件被锁定,勒索软件将文本文档放置在桌面上,以向受害者提供有关如何获取解密密钥的指令。 在勒索消息中写道:“不用担心,你可以赎回所有文件!您可以发送一个加密文件[sic],我们将免费对其进行解密。您必须按照以下步骤来解密文件:将500美元的比特币发送到钱包[钱包号码],然后向我们的邮箱发送通知。” Trustwave警告说:“任何拥有该Builder的人都可以创建和分发Cyborg勒索软件。攻击者可以使用其他不同的主题来诱骗用户点击,并以不同的形式来逃避电子邮件网关的审查。攻击者可以使用已知的勒索软件扩展名,来误导受感染的用户识别出这种勒索软件。” 不用说,最简单的安全保护方法是避免打开电子邮件并下载附件。更新安全软件还可以帮助检测受感染的文件,并阻止勒索软件感染您的设备。   (稿源:cnBeta,封面源自网络。)

墨西哥国有石油公司 Pemex 遭遇勒索软件打击

周日,DoppelPaymer勒索软件感染并破坏了墨西哥国有石油公司 PetróleosMexicanos(Pemex)的系统。 黑客向Pemex提出的金额为565 比特币。 此外,DoppelPaymer的TOR网站更新后的文字如下: “我们还收集了所有的私人敏感数据。如果你拒绝付款,我们会将这些数据传播给其他人,这可能会损害您的商誉。” pic.twitter.com/BoHi1lVigF — MalwareHunterTeam(@malwrhunterteam),2019年11月12日 据该公司称,公司只有不到5%的计算机感染了勒索软件。 图片来自BleepingComputer “和其他国际政府以及金融公司和机构一样,Pemex 经常收到威胁和网络攻击。” 该公司发布的安全公告中写道。“11月10日星期日,这家国有生产公司遭遇了网络攻击,这些攻击最终被及时消除,并且只影响了不到5%的个人计算机设备的运行。此次事件过后,Pemex重申其燃料生产,供应和库存是有安全保障的。” Petróleos Mexicanos 声称它迅速解决了此事件,同时强调其运营和生产系统没有受到影响。 Pemex确认其基础设施与所有主要的国家和国际政府以及金融组织一样,正不断面对来自黑客的攻击,因此公司正在持续加强安全措施。 DoppelPaymer勒索软件是BitPaymer勒索软件的 forked 版本,它可能是由某些网络犯罪团伙以TA505身份开发的。   消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

托管提供商 SmarterASP.NET 承认遭到勒索软件攻击 客户数据被加密

SmarterASP.NET是一家拥有超过44万客户的知名ASP.NET托管提供商。昨日该公司发布公告称,遭到勒索软件的攻击,这也是2019年遭到攻击而下线的第三家大型网络托管公司,黑客不仅破坏了该公司的托管业务而且还对客户服务器上的数据进行了加密。   SmarterASP.NET官方表示正在努力恢复客户数据,但尚不清楚该公司是支付了赎金,还是从备份中进行了恢复。目前该公司并没有回复外媒的评论请求。 根据其官网显示的信息,该公司承认遭到了黑客攻击。该消息说:“您的托管帐户受到攻击,黑客已经加密了您的所有数据。我们现在正在与安全专家合作,尝试解密您的数据,并确保不会再发生这种情况。” 本次网络攻击不仅对客户数据进行了加密,SmarterASP.NET官网也被迫下线。在周六全天下线之后,在周日上午恢复重新上线。服务器恢复工作进展缓慢。许多客户仍然无法访问其帐户和数据,这些被加密的客户数据包括网站文件和后台数据库。   (稿源:cnBeta,封面源自网络。)