标签: 微软

微软发布紧急安全更新:修复 SMBv3 协议漏洞

在本月的补丁星期二活动日上,微软对所有受支持的Windows 10系统发布了累积更新,并对Edge、Internet Explorer和其他组件进行了安全改进。在活动日期间,网络上意外曝光了存在于SMBv3协议中全新蠕虫漏洞,为此今天微软发布了紧急更新对其进行了修复。 该协议允许计算机上的应用程序读取文件,以及向服务器请求服务。然而新曝光的严重漏洞或被攻击者利用,在 SMB 服务器或客户机上执行远程代码。 该公司在昨日的安全公告中解释称:该漏洞影响 1903 / 1909 版本的 Windows 10 和 Windows Server 操作系统。庆幸的是,目前尚无漏洞被利用的报告。 据悉,未经身份验证的攻击者,可将特制数据包发送到目标 SMBv3 服务器。得逞之前,攻击者需配置恶意的 SMBv3 服务器,并诱使用户连接到该服务器。需要注意的是,在宣布漏洞的同一天,微软并未在“星期二补丁”中修复这一缺陷。 面向Windows 10 Version 1903和Version 1909,微软今天紧急发布了累积更新KB4551762,修复了这个严重的SMBv3漏洞,并替代此前发布的KB4540673通过Windows Update部署。 微软推荐用户尽快安装该更新,以避免受到该漏洞的影响。用户可以通过在“更新和安全性”>“ Windows Update”中检查更新来下载并安装重要的安全更新。与预览更新不同,这是一个强制性修补程序,如果您今天不手动安装,它将在某些时候自动在后台安装。   (稿源:cnBeta,封面源自网络。)

微软:99.9% 被入侵的帐户未启用多因素身份验证

在上周举行的 RSA 安全会议上,微软工程师讲到,他们每月追踪到的 99.9% 受感染帐户都没有启用多因素身份验证(MFA),而该解决方案可以阻止大多数自动帐户攻击。根据微软的数据,他们每天跟踪超过 300 亿次登录和超过 10 亿的月活用户。平均每个月约有 0.5% 的账户被盗,在 2020 年 1 月,这一数字具体约为 120 万。 当企业账户被攻击时,情况将会更糟。微软表示,截至 2020 年 1 月,在这些高度敏感的帐户中,只有 11% 启用了多因素身份验证(MFA)解决方案。 多数 Microsoft 帐户被黑客入侵的主要来源是密码喷洒(password spraying),攻击者通常会选择比较容易猜测的密码,挨个账户进行破解尝试,然后使用第二个密码依次尝试攻击,以此类推。 第二种主要的攻击方式是密码重放(password replays),也就是使用一套被泄露的数据,在另外一个平台尝试登入,如果用户在不同平台重复使用相同的账号密码就会中招。 微软身份和安全架构师 Lee Walker 指出,60% 的用户会重复使用密码,最好不要这样混淆,企业和非企业环境中的账户也应区分开来。 述两类攻击基本都是针对较旧的身份验证协议进行的,例如 SMTP、IMAP、POP 等,主要原因是这些旧式身份验证协议不支持 MFA 解决方案,于是非常容易被黑客利用。 Walker 提醒那些使用旧式身份验证协议的组织,应当立即将其禁用。微软的数据显示,禁用了旧协议的租户,账户被入侵率下降了 67%。 此外,微软建议,每个组织都应优先考虑为用户帐户启用 MFA 解决方案,“这样可以阻止 99.9% 的帐户被黑客入侵。”   (稿源:开源中国,封面源自网络。)

因严重 IE 漏洞 微软再为已停止支持的 Windows 7 发布安全更新

Windows 7和IE浏览器都已经于上月停止支持,但由于最新曝光的严重IE漏洞微软决定再次为Windows 7系统提供安全补丁。在发现了一个被黑客广泛使用的JavaScript引擎漏洞之后,微软决定为所有IE 9之前的旧版浏览器提供安全更新。 CVE-2020-0674公告中写道: 这个远程代码执行漏洞存在于IE浏览器处理脚本引擎对象的内存中。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式来破坏内存。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。 如果当前用户使用管理用户权限登录,则成功利用此漏洞的攻击者可以控制受影响的系统。然后,攻击者可能会安装程序。查看,更改或删除数据;或创建具有完全用户权限的新帐户。 在网络攻击情境中,攻击者可能会制作专门利用该IE漏洞的特制网站,然后诱使用户查看该网站。攻击者能够访问托管在IE渲染引擎上的应用或者微软Office办公文档中嵌入标记为“初始化安全”的ActiveX控件。攻击者还可能利用受感染的网站,接受或托管用户提供的内容或广告。这些网站可能包含可以利用此漏洞的特制内容。 该漏洞利用可以通过任何可承载HTML的应用程序(例如文档或PDF)来触发,并且在Windows 7、8.1和10上具有“严重”等级,并且目前正被黑客广泛使用。 Microsoft将发布针对所有这些操作系统以及Windows Server 2008、2012和2019的补丁程序。   (稿源:cnBeta,封面源自网络。)

Microsoft.com 等微软系网站被发现存在子域劫持问题

NIC.gp 的安全研究员和开发人员 Michel Gaschet 于近日提出,Microsoft 在其数千个子域的管理方面存在问题,存在有许多子域可以被劫持并用于攻击用户、员工或显示垃圾内容。据 ZDNet 报道称,Gaschet 在接受其采访时说,在过去三年中,他一直在向 Microsoft 报告带有错误配置的 DNS 记录的子域,但该公司要么忽略报告,要么就是默默地保护某些子域。 Gaschet 表示,他已经在 2017 年向微软报告了 21 个容易受到劫持的 msn.com 子域 [1, 2],并在 2019 年报告了 142 个错误配置的 microsoft.com 子域 [1, 2]。此外,他还分享了其于去年向微软报告的 117 个 microsoft.com 子域列表。 Gaschet 透露,在其报告的所有错误配置的子域中,微软仅解决了其中的几个,被修复的数量占比只有他所报告数量的 5%-10% 左右。并称,该操作系统制造商通常会修复较大的子域,例如 cloud.microsoft.com 和 account.dpedge.microsoft.com,却使其他子域暴露在劫持之下。 他还表示,大多数 Microsoft 子域在其各自的 DNS 条目中容易受到基本错误配置的攻击。Gaschet 称,“根本原因/错误是忘记了 DNS 条目,指向不再存在或根本不存在的内容,例如 DNS 条目内容中的错字。” Gaschet 在 Twitter 上指出,至少有一个垃圾邮件小组已经发现了他们可以劫持 Microsoft 的子域,并通过将其托管在信誉良好的域中来增加其垃圾内容。并表明,他已在至少四个合法的 Microsoft 子域中发现了印度尼西亚扑克赌场的广告,分别为 portal.ds.microsoft.com、perfect10.microsoft.com、ies.global.microsoft.com 和 blog-ambassadors.microsoft.com。 目前,ZDNet 已向微软征求意见,并要求该公司在当日的 Twitter 话题中对 Gaschet 提出的一系列问题发表评论。 Gaschet 在 Twitter 上猜测,微软不优先解决这些问题的原因之一是因为“subdomain takeovers”不属于公司的漏洞悬赏计划的一部分,这意味着即使所报告的问题很严重,这些报告也不会得到优先处理。 同时,Gaschet 敦促微软改变其管理 DNS 记录的方式。并称,这是造成这些错误配置的主要原因。   (稿源:开源中国,封面源自网络。)

微软平均每天检测到超 7 万个活跃的Web Shell

根据Microsoft发布的报告,该公司平均每天检测到77,000个活动的Web Shell,它们分布在46,000台受感染的服务器上。 Web Shell是用Web开发编程语言(例如ASP,PHP,JSP)编写的代码,攻击者将其植入Web服务器上以进行远程访问和执行代码。 平均每天检测到77,000个web shell,这一数字不得不让人意识到黑客的活动有多么频繁。 微软发布的报告称:“Microsoft Defender高级威胁防护(ATP)  每月在平均46,000台不同的计算机上能检测到77,000个web shell”。 “Web shell具有多方面的威胁,企业应该为此建立全方面的防御。”微软总结道。“增强服务器对互联网的可检测性是发现和解决Web Shell威胁的关键。可以通过监视Web应用程序目录中是否写入了Web脚本文件来检测Web Shell。Outlook Web Access(OWA)之类的应用程序很少更改,应当警惕写入这类应用程序目录的脚本。”   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

微软警告 TA505组织正在改变网络攻击策略

微软安全专家发现TA505网络犯罪团伙正在发起网络钓鱼活动,使用带有HTML重定向器附件发送恶意Excel文档。据悉,这是TA505团伙首次采用这种策略。 TA505黑客团伙自2014年以来一直活跃于零售和银行业。该团伙以一些规避技术而闻名,随着时间推移这些技术被用于安全规避控制,主要是通过几种恶意软件渗透到公司内部,如滥用所谓的LOLBins,使得受害者在合法情况下滥用程序。此外,TA505集团还与Locky、BitPaymer、费城、globeimparter和Jaff勒索软件家族一起参加了旨在分发Dridex banking特洛伊木马的活动。 网络安全公司Eversion的安全专家发表报告称:TA505已经危害了1000多个组织。 “我们在对这场运动的分析过程中,我们能确定至少一家总部位于美国的电气公司、一家美国州政府网络以及世界上最大的25家显示出妥协迹象的银行都包含其中。” 目前,微软通过发布推特证实这项网络钓鱼活动。 “这是第一次使用HTML重定向器观察Dudear ,其中,攻击者还使用不同语言的HTML文件。值得注意的是,他们还使用IP回溯服务来跟踪下载恶意Excel文件的固定IP地址。” 此外,微软专家还透露,攻击者正在使用电子邮件上附带的的HTML定向程序。一旦受害者打开邮件,HTML就会定向下载一个恶意的Excel文件,而该文件最终将丢弃有效载荷,攻击者可以使用IP回溯服务跟踪下载恶意Excel文件的计算机的IP地址。这是TA505第一次使用这种技术,过去,该组织使用携带恶意软件的垃圾邮件或者使用恶意的url来作为附件,在受害者被诱骗打开Excel文档后,不可以使用在线预览,但可进行文档编辑。 目前有好消息称:微软安全情报部门已经确认微软威胁防护系统能够中和攻击,office 365能够检测此活动中使用的恶意附件和URL,microsoft defender atp也能够检测TA 505使用的恶意html、excel文件和有效负载。   消息来源:securityaffairs, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

NSA 发现 Win10 漏洞 影响全球数十亿用户

继Adobe 星期二发布2020年第一个补丁程序软件更新后,微软也发布了一月份安全公告,警告数十亿用户有49个漏洞需要更新。周二发布的补丁程序的特别之处在于它更新修复了一个由美国国家安全局(NSA)发现的被广泛应用于windows10、Server 2016和2019版本中的一个核心组件。 CVE-2020-0601: Windows CryptoAPI欺诈漏洞 根据微软发布的官方公告:这个被称为“’NSACrypt”并定义为CVE-2020-0601的漏洞存在于Crypt32.dll模块中,该模块被包含在windows API系统,会对数据进行加密以及对各种“通行证和加密信息传递”进行解密处理。 但问题在于Crypt32.dll模块主要采用椭圆曲线加密(ECC)方式(该加密形式主要在SSL/TLS证书中使用),而椭圆曲线加密是目前公钥加密行业的标准。NSA在发布的新闻稿中对此现象解释到:攻击者通过通行证会破坏windows的加密验证方式,实现远程代码的执行。 攻击者通过滥用漏洞会破坏的验证方式有: HTTPS连接 签名文件和电子邮件 用户模式进下启动可执行签名代码 尽管该漏洞的技术细节尚未公开,但微软证实:若攻击者成功利用漏洞,会在用户不知情的情况下仿冒用户数字签名,进行恶意软件程序安装,也可以仿冒用户安装任何合法软件。此外,CryptoAPI中的漏洞还可能使远程攻击者更容易冒充网站或对受影响软件上的信息进行解密。 国家安全局表示:“此漏洞是我们与安全社区研究合作的一个例子,为确保用户安全,在此之前一个漏洞已被私下披露进行发布更新,若我们不对漏洞进行修复,其后果会很严重。 除了威胁等级被评为“重要”的Windows CryptoAPI欺诈漏洞之外,微软还修补了48个其他漏洞,其中8个是核心漏洞,其余40个都是重要漏洞。目前对于此种漏洞没有彻底的解决办法,建议用户可通过点击“窗口设置→更新和安全→窗口更新→单击“检查电脑上的更新”来安装最新的软件更新。 Windows系统中的其他重要的RCE漏洞 其中两个是会影响windows远程网关的CVE-2020-0609和CVE-2020-0610,未经身份验证的攻击者可以利用这些网关通过RDP请求在目标系统上执行恶意代码。 “此漏洞采用的是身份预先认证,不需要用户进行交互认证。成功利用此漏洞,攻击者可以在目标系统上执行任意代码,”windows顾问说。而CVE-2020-0611远程桌面客户端中的一个关键问题是它可能会导致反向RDP攻击,恶意服务器可以在连接客户端的计算机上执行任意代码。 “要利用这一漏洞,攻击者需要控制服务器,然后说服用户连接到它,而攻击者还可能危及合法服务器,在其上托管恶意代码,并等待用户连接”微软顾问说到。 幸运的是,微软本月修复的漏洞并未发现被公开披露或任意利用。   消息来源:thehackernews, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

黑客谎称微软遭受伊朗网络攻击进行邮件钓鱼

黑客正试图利用伊朗最近可能发动网络攻击的警告,来搜集Microsoft登录凭据进行网络欺诈。由于美国和伊朗之间关系日渐紧张,美国政府就伊朗可能会对重要基础设施发起网络攻击发出警告。在这样的局势下,一名攻击者谎称自己源于“Microsoft MSA”并发送了主题为“电子邮件用户受到伊朗网络攻击”的邮件,谎称微软服务器受到了来自伊朗的网络攻击来进行网络欺诈。 仿冒邮件还写到:为了应对这一攻击,微软会将邮件和数据锁定在服务器上以此保护用户免受伤害,若想要再次获得锁定用户的数据访问权,用户需要重新登录。 关于进行网络欺诈的电子邮件 据收到该钓鱼邮件的用户Michael Gillett说:他发现该邮件能够绕过Outlook的垃圾邮件过滤器,到达收件人的邮箱中。 以下是邮件内容 Cyber Attack 我们的服务器今天遭到伊朗政府的网络攻击,为了确保您的网络安全,我们不得不采取额外措施来保护您的帐户和个人数据。 一些电子邮件和文件可能会被锁定,为了您的账户安全,您需要再次登录账户。如果您在接收电子邮件时仍有问题,请耐心等待,我们的技术支持团队正在加紧处理,会尽快恢复数据。 Restore Data 如果收件人点击“还原数据”按钮,则会返回到仿冒的Microsoft登录页面,但从URL可以看到,这并不是一个合法的Microsoft站点。 伪造的Microsoft登录页面 如果用户输入登录凭证,用户信息将会被攻击者盗取被进行其他方面的网络攻击,而这些攻击可能包括:有针对性的网络欺诈、凭证填充攻击,数据盗窃。 因此,在这里提醒用户:当收到奇怪电子邮件,要求登录账户执行某项操作时,需要保持警惕,有问题可以联系网络或邮件账户管理员。此外,用户还要注意检查包含Microsoft登录表单在内的任何登录页面的URL,而合法的登录表单会在Microsoft.com、live.com和outlook.com域上进行公布。   消息来源:bleepingcomputer, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

微软成功清理与朝鲜黑客攻击有关的 50 个域名

外媒报道称,微软刚刚清理了由朝鲜网络黑客组织 APT37 运营的 50 个域名。软件巨头称,这些域名一直被 Thallium(亦称作 PT37)组织用于发动网络攻击。通过持续数月的关注、监视和追踪,该公司数字犯罪部门(DCU)和威胁情报中心(MSTIC)团队得以厘清 Thallium 的基础架构。 12 月 18 日,总部位于雷德蒙德的微软,在弗吉尼亚法院向 Thallium 发起了诉讼。圣诞节过后不久,美当局即批准了法院命令,允许该公司接管被朝鲜黑客用于攻击目的的 50 多个域名。 此前,这些域名常被用于发送网络钓鱼电子邮件和网站页面。黑客会诱使受害者登陆特制的站点,窃取凭证,从而获得对内部网络的访问权限,并执行后续针对内网的升级攻击。 微软表示,除了追踪该组织的网络攻击,该公司还调查了被感染的主机。微软企业客户副总裁 Tom Burt 表示: “攻击主要集中在美、日、韩三国的目标,受害者包括了政府雇员、智囊团、高校工作人员、平权组织成员、以及普通人”。 在诸多案例中,黑客的最终目标是感染受害机器,并引入 KimJongRAT 和 BabyShark 两个远程访问木马(RAT)。 Tom Burt 补充道:“一旦将恶意软件安装在受害者计算机删,它就会从中窃取信息,保持潜伏并等待进一步的指示”。 当然,这并不是微软首次通过法院命令来阻断有外国背景的黑客组织的运作。 此前,微软曾对有俄方背景的 Strontium(又名 APT28 或 Fancy Bear)黑客组织发起过 12 次行动(上一次是 2018 年 8 月)、并成功撤下了 84 个域名。 以及通过法院命令接管了与伊朗有关的网络间谍组织 Phosphorus(APT35)运营的 99 个域名。   (稿源:cnBeta,封面源自网络。)

微软建议勒索软件攻击受害者不要向黑客支付赎金

如今,勒索软件攻击变得越来越普遍,但与此同时,同意支付解密密钥费用的受害者人数也在增加。简而言之,勒索软件攻击是加密存储在受感染设备上的文件,并随后锁定系统。要求受害者为解密密钥支付赎金,从技术上讲,这将使他们能够重新获得对设备和文件的访问权限。 虽然无法保证黑客实际上会提供解密密钥,但越来越多的公司同意在设备受到威胁后向网络罪犯付款。最近几天有两个这样的案件。首先,黑客设法闯入新泽西州最大的医院 Hackensack Meridian Health 网络并锁定所有电子设备后,医院已经付钱给黑客以重新获得对系统的控制权。此外,加拿大公司 LifeLabs 同意支付赎金,以换取 1500 万客户的数据。 对此,微软在一篇文章当中表示,微软绝不鼓励勒索软件受害者支付任何形式的勒索要求。支付赎金通常是昂贵,危险的,并且只会加重攻击者继续作战的能力。最重要的是,向网络犯罪分子付费以获得勒索软件解密密钥,并不能保证您的加密数据将被还原。 文章接着详细介绍了公司在勒索软件攻击时的准备方法,重点放在关键系统和文件的备份上。恢复到已知良好状态的能力,是应对任何信息安全事中最关键的策略,尤其是对付勒索软件方面。保持安全的其他方法包括电子邮件过滤,系统补丁和漏洞管理,防病毒保护以及应用程序白名单等等。   (稿源:cnBeta,封面源自网络。)