标签: 微软

CVE-2020-1472:微软警告黑客正在利用严重的 Windows 安全漏洞

早些时候,美国土安全部旗下的网络与基础设施安全局(CISA)发布了有关 Windows Server 操作系统的罕见漏洞警告,因为攻击者可借此来完全控制网络上的每台计算机。此前 CISA 仅假设有黑客正在利用该漏洞,并建议系统管理员尽快部署微软八月发布的补丁更新。然而周四的时候,微软证实其已观察到新的 Windows 漏洞攻击。 作为近期曝光的最严重的 Windows 漏洞之一,按去哪研究人员证实其拿到了 10.0 的严重性评分,促使 CISA 建议所有政府机构、企业和个人立即部署微软几周前发布的修补程序。 由于 Netlogon 远程协议(MS-NRPC)漏洞太过严重,软件巨头还计划在明年初发布第二次更新,以进一步缓解这方面的隐患。 Zerologon 的危险性在于,其允许不怀好意者接管网络上的任何计算机,而无需事先窃取任何登陆凭证。攻击涉及伪造 Netlogon 的身份验证令牌,然后为所有功能敞开大门。 密码验证方案中的缺陷,使得这一切成为了可能。在被授予了度网络的访问权限之后,攻击者或借助其它恶意软件来感染计算机,并从受害设备上提取数据。 微软在本周四发布了有关此事的最新消息,称其正在积极追踪利用 CVE-2020-1472 Netlogon EoP 漏洞(简称 Zerologon)的活动,并表示已观察到有攻击者在具体实施中掺入了其它漏洞攻击。 KrebsOnSecurity 指出,该漏洞影响大多数受支持的 Windows Server 版本(从 2008 到 2019)。遗憾的是,尽管已经收到了 CISA 的警告,也不是每个人都能对其网络进行修补。 大多数 Windows 用户甚至对补丁不加理会,因而在管理员对网络进行修补之前,各企业单位和政府机构都将成为 Zerologon 攻击的潜在目标。     (稿源:cnBeta,封面源自网络。)

微软修复 Zerologon 高危漏洞:可提权为域管理员接管企业网络

系统管理员认为,除非软件更新是专门修复安全漏洞,那么不要在更新出来之后立即安装。就 Windows 更新而言,更是如此。不过推荐用户还是尽快安装今年8月补丁星期二发布的累积更新,因为它修复了严重的 Zerologon 安全漏洞。 在8月的补丁星期二活动日中,微软修复了编号为 CVE-2020-1472 的安全漏洞,这可能是历史上最严重的漏洞之一。攻击者可以利用该漏洞接管企业网络中当作域控制器运行的Windows Servers,可以一键成为Domain Admin。 虽然该漏洞的CVSS 评分为满分10分,但细节从未公开过,也就是说用户和IT 管理员从未意识到该漏洞的严重程度有多高。 Netlogon 是 Windows 上一项重要的功能组件,用于用户和机器在域内网络上的认证,以及复制数据库以进行域控备份,同时还用于维护域成员与域之间、域与域控之间、域DC与跨域DC之间的关系。 通过伪造用于特定 Netlogon 功能的身份验证令牌,他能够调用一个功能以将域控制器的计算机密码设置为已知值。之后,攻击者可以使用此新密码来控制域控制器并窃取域管理员的凭据。     (稿源:cnBeta,封面源自网络。)

微软否认 Windows Defender 新功能是一个安全风险

据外媒mspoweruser报道,他们两天前曾报道过Windows Defender增加了通过命令行下载文件的功能。比如MpCmdRun.exe -DownloadFile -url [url] -path [path_to_save_file]。然而有安全研究人员表示担心,新功能增加了Windows 10的攻击能力,它可能会被用来下载恶意二进制文件。 对此,微软现在发表声明回应称:“尽管有这些报告,微软Defender杀毒软件和微软Defender ATP将仍然保护客户免受恶意软件。这些程序可以侦测经由防病毒文件下载功能下载到系统的恶意文件。” 另外微软还表示,该功能不能用于特权升级。 虽然微软否认该功能存在的安全风险,但众所周知,攻击越严重系统的安全性越低。一些用户抱怨称,他们无法通过禁用该新功能来锁定自己的电脑。     (稿源:cnBeta,封面源自网络。)

微软将修改 HOSTS 屏蔽 Win10 遥测数据视作一个严重的安全风险

作为完善 Windows 10 开发的一个重要组成部分,微软希望联网用户允许其上传部分遥测用的系统数据。通常情况下,它会包括 CPU、内存等硬件的基础配置信息,并在传输过程中予以完全的加密。基于分析,微软得以确定系统的安全性和可靠性问题,从而为后续的修复奠定基础。 尽管微软不允许用户彻底禁用遥测收集,但你始终可以清理被 Windows 收集的相关诊断数据。 矛盾的是,虽然遥测被视作 Windows 10 开发所必须、且其它企业也在利用相同的方案来改进其软件,但一些批评人士仍将其视作微软的一项“间谍”行为。 近日,微软为 Windows 10 内置的 Windows Defender(又名 Microsoft Defender)安全软件引入了一项更改。 当检测到用户尝试通过编辑 HOSTS 文件来阻止遥测时,该软件就会发出相应的警告。 维基百科上的资料称,HOSTS 文件被用于辅助网络名称解析(即主机名称到 IP 地址的相关映射)。 但在近日的 Windows 10 更新之后,Microsoft Defender 将特别检查用户的 HOSTS 文件是否已经阻止了微软的遥测服务。 如果尝试编辑 HOSTS 文件以阻止遥测,则会触发 Windows Defender 的这一警告,以阻止用户采取这一措施。 你会注意到对 HOSTS 文件的相关编辑操作将被拒绝保存,且被安全中心标记为“SettingsModifier:Win32 / HostsFileHijack”。 除非点击允许放行,否则这项涉及“严重安全风险”的文件编辑操作将无法继续。当然,这项更新也有助于防止系统文件遭遇其它形式的恶意篡改。     (稿源:cnBeta,封面源自网络。)

微软修复了 2018 年起就存在的 0day 级别 Windows 文件签名漏洞

作为8月11日补丁周二的一部分,一个0day级别的漏洞被修复,它影响到Windows 7、Windows 8.1、Windows 10和几个Windows Server版本,微软还承认已经留意到利用此漏洞发生的攻击已经出现。这是操作系统中的一个欺骗漏洞,详情记录在CVE-2020-1464中,后果是黑客最终可以通过成功利用它来加载不当签名的文件。 “存在一个欺骗漏洞可以令Windows错误地验证文件签名。成功利用该漏洞的攻击者可以绕过安全功能,加载不正当签名的文件。在攻击场景中,攻击者可以绕过旨在防止加载不当签名文件的安全功能。”微软表示,看起来这个缺陷从2018年起就存在。 KrebsOnSercurity透露,该欺骗漏洞最早是由VirusTotal的经理Bernardo Quintero向微软报告的,公司随后向他证实了这一发现。但是,”微软已经决定不会在当前版本的Windows中修复这个问题,并同意我们能够在博客上公开报道这个案例和我们的发现。”在引用源强调的一篇博客文章中如此描述。 安全研究员、KZen Networks的创始人Tal Be’ery也指出,有证据表明该缺陷在2018年夏天就被发现了,不知为何微软当时就决定不打补丁。 微软则回避了关于为什么要等到现在才打补丁的问题。但更糟糕的是,微软在2018年不发布修复程序,等到2020年8月才解决操作系统缺陷,这意味着本身就暴露在攻击之下的Windows 7设备不再获得补丁,因为其非付费性质的支持早在2020年1月就结束了。     (稿源:cnBeta,封面源自网络。)

微软 2020 年 8 月周二补丁修复 120 个漏洞和 2 个零日漏洞

据外媒报道,微软今日开始推出August 2020 Patch Tuesday(2020年8月周二)安全更新补丁。从Edge到Windows再到SQL Server、.NET Framework,这家公司为13款产品修复了120个漏洞。在本月修复的120个漏洞中,有17个漏洞被评为“严重”级别,还有两个零日漏洞–不过在微软提供今日补丁之前,黑客就已经利用了这些漏洞。 零日漏洞# 1 本月修复的两个零日漏洞中的第一个是Windows操作系统中的一个漏洞。据微软披露,攻击者可以利用被追踪到的CVE-2020-1464漏洞让Windows让不正确的文件签名生效。 这家操作系统制造商指出,攻击者可以利用这个漏洞绕过安全特性,加载不正确签名的文件。 就像所有微软的安全建议一样,关于漏洞和真实攻击的技术细节还没有公开。微软安全团队使用这种方法来防止其他黑客推断漏洞是如何以及在哪里存在的并延长其他漏洞出现的时间。 零日漏洞# 2 至于第二个零日漏洞–CVE-2020-1380出现在IE附带的脚本引擎中。微软表示,它收到了来自杀毒软件制造商卡巴斯基的报告,黑客发现IE脚本引擎中的远程代码执行(RCE)漏洞并在现实世界中滥用它。 虽然这个漏洞存在于IE脚本引擎中,但微软其他本地应用也受到了影响,比如该公司的Office套件。这是因为Office应用使用IE脚本引擎在Office文档中嵌入和呈现web页面,脚本引擎在这一特性中扮演了主要角色。 这意味着黑客可以通过引诱恶意网站上的用户或发送陷阱式办公文件来对漏洞加以利用。     (稿件与封面来源:cnBeta)

微软发布紧急安全更新 修复 Windows 10/Server 中的安全漏洞

距离本月的补丁星期二活动日还有大约两周时间,但由于在 Windows 10 以及 Windows Server 中发现了安全漏洞,今天微软发布了两个紧急安全更新。微软表示,这两个漏洞虽然没有公开披露,被黑客利用的可能性较小,但公司等不到7月14日的补丁星期二活动日发布这个更新了。 微软在安全公告中写道:“微软Windows Codecs Library处理内存中对象的方式存在远程代码执行漏洞。成功利用该漏洞的攻击者可以获取信息,进一步危害用户的系统。” 据悉,受影响的 Windows 版本包括 Windows 10 version 1709 Windows 10 version 1803 Windows 10 version 1809 Windows 10 version 1903 Windows 10 version 1909 Windows 10 version 2004 Windows Server 2019 Windows Server version 1803 Windows Server version 1903 Windows Server version 1909 Windows Server version 2004   (稿源:cnBeta,封面源自网络。)

微软向公众开放与新冠病毒相关的黑客攻击活动的威胁数据

据外媒报道,微软周四宣布,该公司正在将其收集的与新冠病毒相关的黑客攻击活动的威胁情报公开。“作为一个安全情报社区,当我们分享的信息能够提供更完整地了解攻击者的转移技术时,我们就会更强大,”微软威胁情报团队在一篇博文中说。“这种更完整的视图使我们都能更主动地保护、检测和防御攻击。” 微软决定开放其feed,以提高人们对攻击者在新冠大流行期间不断变化的技术的认识–尤其是对于那些可能不具备该公司所拥有的广泛可见性的人来说。该安全团队写道:“微软每天处理跨越身份、端点、云端、应用和电子邮件的数万亿个信号,这为我们提供了广泛的COVID-19主题攻击的可视性,使我们能够在整个安全栈中检测、保护和应对这些攻击。” 由26个成员组成的网络安全威胁共享非营利组织 “网络威胁联盟”(Cyber Threat Alliance)总裁兼首席执行官迈克尔-丹尼尔(Michael Daniel)表示,大流行期间犯罪活动的转变首次将目标锁定在使用新平台的人身上。 “总的来说,安全行业的恶意活动数量并没有增加;但是,我们看到这种犯罪活动的重点发生了迅速而急剧的转移,”前白宫网络安全协调员Daniel告诉CyberScoop。“坏人已经试图利用人们的恐惧、整体信息的匮乏以及许多在线平台的首次用户的增加等因素,将重点转移到了COVID-19的相关主题上。” 在网络犯罪分子和国家行为者开始用新冠病毒和医疗保健主题的鱼叉钓鱼邮件或虚假的移动应用程序在全球范围内瞄准受害者几个月后,微软进行了这一举动。微软正在提供的信息包括在大流行病相关的鱼叉钓鱼电子邮件活动中的恶意附件中使用的文件散列指标。其中包括的许多电子邮件诱饵都模仿了世界卫生组织和红十字会的品牌,而其他诱饵似乎是在与目标共享有关COVID-19的信息。 微软分享的283个威胁指标可以通过微软的Graph Security API或Azure Sentinel的GitHub页面获得。 Mandiant Threat Intelligence的高级首席分析师Sarah Jones告诉CyberScoop,这种公开的共享很可能会对致力于打击新冠病毒相关威胁的中小型企业有所帮助。“我们还没有机会观察到微软的这一功能,不过,拥有多种方式整合和查询外部的intel feeds,对于网络防御者来说总是有帮助的。”ones说。“此外,向客户发布高质量的和经过审核的‘Compromise指标’馈送,对于中小型企业来说,可以成为一种力量的倍增器。” Cofense首席技术官Aaron Higbee对这一举措表示欢迎,但他补充说,滥用微软Office 365的网络钓鱼邮件非常猖獗。 “我们赞扬所有的努力,以保护人们免受网络钓鱼攻击的攻击,这些攻击利用了人们对大流行病的恐惧和担忧。”Higbee告诉CyberScoop。“Cofense的客户对微软无法过滤掉网络钓鱼邮件表示出越来越多的不满。当他们得知钓鱼邮件来自于Office 365账户,并且钓鱼套件托管在Office 365上时,他们就会变得特别恼火。我很好奇,在微软选择分享的283个网络钓鱼指标中,有多少个是托管在Office 365内的。” 几个星期前,多个网络安全志愿者团体联合起来,帮助医疗机构在大流行期间应对突发的网络安全威胁。其他公司此前已经宣布,他们正在更广泛地提供服务。   (稿源:cnBeta,封面源自网络。)

多操作系统平台资产风险状况研究:微软漏洞最多

Kenna Security 发布了一份新的报告,其中对 Microsoft、Linux 和 Mac 资产的风险状况进行了研究。Cyentia 研究所撰写了《 Prioritization to Prediction: Volume 5: In Search of Assets at Risk》报告,该报告基于 Kenna Security 来自 450 个组织的 900 万资产的数据。 报告指出,微软资产的 70% 至少具有一个高风险漏洞。在整个研究期间,研究人员共发现了 Microsoft 资产中的 2.15 亿个漏洞,其中已完成修复的漏洞有 1.79 亿个,占比 83%。根据 Kenna Security 的说法,其余未修补的 3600 万个漏洞要高于 Max、Linux 和 Unix 资产的总和。 微软还拥有最高的封闭式高风险漏洞百分比,为 83%。紧随其后的是 Apple OSX,其次是 Linux/unix 和网络设备/IoT 设备。此外,40% 的 Linux 和 Unix 资产以及 30% 的网络设备具有已知漏洞。 不过,Kenna Security 也指出,较少的漏洞不一定表示设备更安全。在一个单个高风险漏洞可能造成灾难性后果的世界中,有效的补丁程序优先级和速度是安全性的关键,而与设备或软件类型无关。 尽管 Microsoft 具有比其他漏洞更多的漏洞,但这不一定表示其存在总风险,因为 Microsoft 还可以更快地修复漏洞。该报告发现,基于 Windows 的资产每月平均有 119 个漏洞,并且平均每 36 天修补一次这些漏洞。与此相比,网络设备每月平均只有 3.6 个漏洞,但这些漏洞则大约需要一年的时间才能完成修补。 苹果的补丁率位列第二高,为 79%。Linux、Unix 和其他网络设备的补丁率则为 66%。 Cyentia Institute 的合伙人兼创始人 Wade Baker 表示:“通过自动修补和’Patch Tuesdays’,Microsoft 能够解决其系统上的关键漏洞的速度非常出色,但其仍然存在很多漏洞。 “另一方面,我们看到许多资产,例如 routers 和 printers,它们的高风险漏洞具有更长的保质期。公司需要围绕这些权衡因素调整其风险承受能力,策略和漏洞管理功能。” 报告地址: https://www.kennasecurity.com/resources/prioritization-to-prediction-report-volume-five   (稿源:cnBeta,封面源自网络。)

微软发布令牌漏洞公告:可绕过 Chromium 沙盒执行任意代码

谷歌的安全团队近日发现存在于Windows 10 May 2019(Version 1903)功能更新中的某个BUG,能够破坏所有基于Chromium浏览器的沙盒。想要利用这个漏洞发起攻击比较复杂,主要是更改操作系统代码中与安全令牌分配有关的代码。将“NewToken->ParentTokenId = OldToken->TokenId”更改为了“NewToken->ParentTokenId = OldToken->ParentTokenId;”。 在今天微软发布的安全公告(CVE-2020-0981 | Windows令牌安全特性绕过漏洞)对其进行了最简洁的解释: 当Windows无法正确处理令牌关系时,存在安全功能绕过漏洞。成功利用该漏洞的攻击者可以让具有一定完整性级别的应用程序在不同的完整性级别执行代码,从而导致沙盒逃脱。 谷歌的Project Zero安全团队发现了这个漏洞,如果被黑客利用能够绕过Chromium沙盒,运行任意代码。幸运的是,在本月补丁星期二活动日发布的累积更新(KB4549951)中,已经修复了这个漏洞。   (稿源:cnBeta,封面源自网络。)