标签: 恶意软件

加密货币挖矿类恶意软件仍是互联网的一大威胁 但已有下滑的趋势

Check Point 最新发布的全球恶意软件报告显示,加密货币挖矿类恶意软件,仍然是互联网上最为活跃的一大威胁,前十里面有五个都是它。其主要借助浏览器的 JavaScript 脚本来作妖,当网友不慎访问到恶意网站时,其 CPU 资源占用就会迅速飙升。除了被黑客攻击的站点,一些不道德的 Web 开发者还是与恶意软件开发者同流合污,从灰色的挖矿过程中分得一杯羹。 好消息是,随着加密货币价格的暴跌,这类恶意软件的驱动力也有所下滑。甚至主打“正经挖矿”功能的 Coinhive ,都在上周宣布了正式停止运营的消息。 与此同时,GandCrab 之类的勒索软件和网银木马正在崛起,并衍生出了逃避反病毒软件追踪的新手段。 需要指出的是,尽管与 PC 相比,移动设备的境况略好一些,但这并不意味着后者就能完全免疫。 因为包括 Lotoor 和 Triada 在内的三大移动恶意软件,都能够获取设备的管理权限,允许其监视用户、窃取密码、或注入广告。 其中 Triada 借助了别出心裁的手段来攻入移动设备 —— 不是直接利用漏洞,而是将合法的应用重新打包并上传,然后引诱缺乏戒备心的用户去下载。 一旦进入系统,这些糖衣里面的炮弹就会被释放,提取安全密钥并做出更多匪夷所思的事情。   (稿源:cnBeta,封面源自网络。)

“俄罗斯套娃”恶意软件通过海盗湾盗版下载传播

卡巴斯基实验室研究人员发现了一种新的恶意软件,通过海盗湾的torrent tracker网站进行传播。这种恶意软件以经典的俄罗斯玩偶命名,旨在通过广告软件和工具感染用户电脑,将恶意软件传播到设备上。它携带一个特洛伊木马下载程序伪装成日常电脑使用的合法软件的破解版本。 Torrent服务是希望分发恶意代码网络犯罪分子的热门目标,尤其是因为搜索非法内容的用户经常断开其在线安全解决方案连接或忽略系统警告以安装下载的内容。海盗湾使用已建立的seed服务器传播盗版,没有已知的恶意活动历史,由于其良好声誉,潜在的受害者没有理由怀疑要下载的文件是恶意木马。 安装运行后,会向受害者显示一份海盗湾网页的副本,该页面实际上是一个网络钓鱼页面,要求受害者输入凭据以继续安装。稍后,这个恶意软件使用这些证书创建新的seed服务,分发更多的盗版材料。卡巴斯基的研究表明,到目前为止,网络钓鱼链接已经被访问了大约1万次。 即使没有输入用户凭据,感染仍会继续进行。恶意软件将进一步解包恶意模块,包括一个恶意点击器,除此之外,还可以检查触发广告软件安装程序的“同意”框,用未经请求的软件“淹没“受害者的设备。卡巴斯基表示,在受害者电脑上安装的程序当中大约70%是广告软件,10%被检测为可以将其他恶意软件带到电脑上的恶意软件。     (稿源:cnBeta,封面源自网络。)

安全专家发出警告:黑客正在测试感染 Mac 的新方法

趋势科技发出警告,黑客正在测试一种感染 Mac 的新方法。其能够绕过 macOS 的 Gatekeeper 安全特性,将包含恶意软件的可执行文件部署到受害者的计算机上。据悉,这家安全企业是在分析 Little Snitch 时,发现的这一最新威胁。Little Snitch是一个易于作为洪流访问的防火墙应用程序。研究人员认为,黑客仍在研究恶意软件及其使用方式。 需要指出的是,Mac 用户无法安装 EXE 文件,这是 Windows 使用的可执行文件格式。如果 macOS 用户尝试安装 EXE 文件,那他们将看到一条错误提示。 然而黑客似乎已经找到了这个问题(尤其是攻破 Gatekeeper)的解决办法 —— 将 EXE 文件打包在 DMG 文件中(后者是 Mac 上的应用程序封装格式)。 趋势科技在报告中指出,自家安全研究人员在野外发现了其中一种恶意软件。它能够绕过 Gatekeeper,因其只检查和验证 macOS 上的本机文件。 在对 Little Snitch Setup.dmg 安装程序进行分析后,我们发现其中包含了 EXE 格式的可执行文件。 不过,目前在未发现与恶意软件相关的特定攻击模式,大多数感染发生在英国、澳大利亚、亚美尼亚、卢森堡、南非和美国地区。 由于 EXE 文件无法在 macOS 上运行,因此攻击者需要将之与 Mono 捆绑在一起。后者是一个免费框架,可让 Mac 用户运行 Windows 可执行文件。 据悉,在感染系统之后,恶意软件能够收集大量数据,包括已安装的其它应用程序、型号、名称等内容。最终,研究人员指出: 这类恶意软件是专门针对 macOS 用户设计的,因为当尝试在 Windows 上运行恶意软件时,反而会发生错误。 对此,我们的建议依然是 —— 避免从未经验证的来源下载软件和其它文件、并在 Mac 上启用多层防护。   稿源:cnBeta,封面源自网络;

安全机构 abuse.ch 公布近10万个恶意网站

据官方博客文章,2018 年 3 月底,非盈利安全机构 abuse.ch 运行了一个名为 URLhaus 的项目。这个致力于收集和分享散布恶意软件的网站 URL 的项目取得了巨大的成功,URLhaus 在 10 个月内关闭了近 10 万个恶意软件散发站点。 在此期间,来自世界各地的 265 名安全研究人员查明并向 URLhaus 提交恶意软件站点,平均每天提交的站点数量有300个。这帮助他人保护自己的网络,也使用户免受恶意软件的攻击。 在活跃信息安全社区的帮助下,URLhaus 帮助主机提供商确认和重新调解受损网站。这并不是个简单的任务,尤其是对拥有数量庞大客户的主机提供商来说。但也因为这样,网络中存在着大量的被劫持网站,被用来散发恶意软件。 据统计,每个恶意网站平均活动期间超过一周(8天10小时又24分钟),这足够它们每天感染数千台装置。恶意网站的主机提供商中,有 2/3 是位于中国或美国。abuse.ch 希望几个国内的主机提供商可以有效减少反应所需的时间,及时处理好已知恶意网站的问题,而不是让散布恶意软件站点存在一个月以上。   稿源:开源中国,封面源自网络;

McAfee 报告:加密货币恶意软件数量过去 1 年增长 4000%

随着加密货币的价值断崖式下跌,黑客会更加猖獗地攻击最后狠狠捞一笔还是偃旗息鼓等待加密货币反弹后再割?只有时间能给出答案。根据McAfee实验室近期公布的最新研究报告,针对加密货币的恶意软件数量在过去一年中增长了4000%。 McAfee实验室发布的2018年12月威胁报告[PDF]中,这家安全公司强调称2018年第一季度针对加密货币矿工的恶意软件数量大幅增长。这一趋势在第二季度似乎略有减少,但在第三季度,环比增长近40%。McAfee注意到在过去几个季度中,这种新型勒索软件系列的数量有所下降。这表明这些攻击者正转向更有利可图的加密劫持模式(cryptojacking)。 由于普遍缺乏适当的安全控制,类似于IP摄像头等物联网设备和路由器等设备非常容易受到攻击。这些设备虽然没有强大的CPU,但庞大的数量依然可以为黑客带来有价值的回报。在过去两年中,恶意软件总体上已经出现了稳定和可预测的增长,这一趋势没有显示出放缓的迹象。   稿源:cnBeta,封面源自网络;

研究发现全球有 41.5 万多台路由器受到秘密挖矿软件感染

据外媒报道,研究人员发现,全球超41.5万台路由器感染了旨在窃取路由器计算能力并偷偷挖掘加密货币的恶意软件。这些仍在继续的网络攻击尤其影响最严重的则是MikroTik路由器。有记录显示,针对该品牌的一系列加密攻击始于今年8月,当时安全专家发现有20多万台设备被感染。从那以后,这个数字又增加一倍多。 虽然大多数受影响的设备最初都集中在巴西,但数据显示,在全球范围内也有大量设备受到了影响。 值得指出的是,被入侵设备的数量可能略有下降,但遭到攻击的路由器总数仍相当高。 安全研究员VriesHD指出:“如果实际被感染的路由器总数在35万到40万台左右,对此我也不会感到惊讶。” 有趣的是,尽管攻击者过去倾向于使用CoinHive–一种用于面向隐私加密货币Monero (XMR)的挖掘软件–但研究人员注意到,攻击者已经开始转向了其他挖掘软件。“CoinHive、Omine和CoinImp是使用最多的服务,”VriesHD表示,“过去80%到90%用的都是CoinHive,但最近几个月已经转向了Omine。” 今年8月,研究人员报告称巴西有20多万台设备在遭到劫持后被用于秘密开采加密货币。等到9月,易受攻击设备的总数已经增加到了惊人的28万台。 好在一些受害者可以做一些事情来保护自己。来自Bad Packets Report的安全专家Troy Mursch建议受影响的MikroTik设备的用户立即下载他们设备可用的最新固件版本。VriesHD则表示ISP可以通过强制对路由器进行无线更新来帮助对抗这些恶意软件的传播。此外他还补充称:“针对这个特殊问题的补丁已经发布了好几个月了,我已经看到成千上万的ISP从名单上消失了。然而不幸的是,似乎仍有大量的ISP根本不打算采取行动来减轻攻击。”   稿源:cnBeta,封面源自网络;

报告:针对 iOS 设备的加密货币挖矿攻击上升近 400%

据外媒报道,来自Check Point研究团队的《2018年9月全球威胁指数》数据显示,针对iOS设备以及使用Safari浏览器设备的加密挖矿恶意软件数量出现了近400%的增长。Check Point威胁情报部门经理Maya Horowitz表示:“加密挖矿仍旧是全球个组织面临的主要威胁。最有趣的是,在9月最后两周,针对iPhone和Safari浏览器的攻击增加了四倍。” 另外他还指出,这些针对苹果设备的攻击并没有使用什么新功能,为此他们将对这一背后的可能原因继续展开调查。 据了解,所有针对运行iOS和Safari设备的攻击都使用了JavaScript挖矿程序–Coinhive,它能非常容易地被集成到任何web应用程序中以此来窃取程序打开时的处理能力。 攻击者利用Coinhive挖矿程序来暗中挖掘门罗币(Monero),不同于比特币的是,门罗币区块链提供的是几乎无法追踪的交易,这一特性使其对大多数网络骗子来说相当具有吸引力。 在Check Point 2017年12月份的《全球威胁指数》中,Coinhive占据了第一的位置。 尽管基于Coinhive的攻击并不是为窃取数据以及感染其他受害者而设计的,但它却能将遭其攻击的设备锁住并为之服务。很显然,这对于那些不具备足够网络安全专业知识的用户来说是个极其令人难搞的问题。 Check Point在报告指出,增长背后的原因尚不清楚,但这倒是提醒了人们,移动设备是一个组织攻击界面中经常被忽视的元素。至关重要的是,移动设备要得到全面的威胁预防解决方案保护,这样它们才不会成为企业安全防御的薄弱环节。 眼下,基于Coinhive的加密货币挖矿攻击影响了全球近19%的组织,与此同时,像Cryptoloot、XMRig、Jsecoin等其他加密挖矿程序也出现在了Check Point的十大威胁指数榜单中。   稿源:cnBeta,封面源自网络;

ESET 曝光 Lojax:首个被利用的 UEFI rootkit 案例

ESET 安全专家刚刚宣布,他们已经发现了首个在野外被利用的“统一可扩展主机接口”(UEFI)rootkit 案例。这款恶意软件被称作 Lojax,被“高级持续威胁”(APT)的 Sednit 组织(又名 APT28、STRONTIUM、Sofacy、或 Fancy Bear),用于攻击巴尔干和欧洲中东部的政府机构。安全研究人员表示,他们发现该 UEFI rootkit 捆绑了能够“修补”受害者系统固件的工具,以便将 Lojax 恶意软件安装在目标系统的底层深处。 ESET 声称,在将 UEFI 模块写入系统 SPI 闪存时,该 rootkit 曾成功使用过一次。该模块能够在系统启动过程中,于磁盘上执行恶意软件。 研究人员留意到了这种持久的侵入性,因为它可以在重装系统、或更换硬盘之后依然存活 —— 除非你重新刷写,以清理系统的 UEFI 固件。 虽然重刷 UEFI 固件的解决方案很是简单,但并不是每个人都会轻松执行。值得庆幸的是,ESET 指出该 UEFI rootkit 没有正确的签名。 这意味着,借助该恶意软件发起的任何形式的攻击,都可以通过启用安全机制来规避。ESET 建议大家这么做,以便严格验证系统固件加载的每个组件的签名是否正确。 Sednit 曾在多起引人注目的全球攻击中搅过混水,包括 2016 美总统大选前、针对民主党全国委员会(DNC)发起的黑客攻击。 该组织被认为有俄政府的资助背景,且最近被美方发现其对保守团体实施了电子欺骗。   稿源:cnBeta,封面源自网络;

微软将防病毒软件添加到 Office 应用程序以解决宏恶意软件问题

微软已将所有Office应用程序与防病毒软件集成,以防止出现宏恶意软件攻击。该公司正在使用反恶意软件扫描接口(AMSI)来处理嵌入在文档中的VBA宏。最近,我们报道了黑客如何使用微软Excel文档来执行CHAINSHOT恶意软件攻击。这些类型的攻击越来越普遍,黑客可以轻松访问受害者的计算机。 各种防病毒公司已经添加了新的AMSI接口,以防止通过恶意JavaScript,VBScript和PowerShell进行攻击。当调用潜在的高风险函数或方法时,Office会暂停宏的执行,并通过AMSI接口请求扫描到那时记录的宏行为。 微软未来指出,解决方案可能并不完美,但好过什么话也没有。也就是说,由于微软正在使用ATP和WindowsDefender,因此可以共享结果并阻止新的威胁。默认情况下,在支持VBA宏的所有Office 365应用程序中启用Office AMSI集成,包括Word,Excel,PowerPoint和Outlook。微软将扫描所有宏,除非它们由受信任方签名或者在受信任位置打开。   稿源:cnBeta,封面源自网络;

CoinHive 挖矿劫持仍在肆虐 至少 28 万路由器被检出感染

最近几年,区块链领域闹出了许多幺蛾子。比如为了攫取不当的加密货币挖矿收益,某些人制作了能够窃取设备算力的恶意软件,有几个挖矿网络的受害者规模甚至相当庞大。就在过去几天,研究人员发现了另外 3700 台秘密运行恶意的加密货币挖矿软件的路由器。 截止目前,此类受感染设备的总数已经超过了 28 万台 —— 仅在 30 天的时间里,就增加了 8 万。 8 月初的时候,这波攻击就已经登上了媒体的头条。当时黑客利用此前未被发现的漏洞,入侵了巴西的 20 多万台路由器。 攻击者成功地对 MicroTik 路由器实施了“零日攻击”,为其注入了 CoinHive 的修改版本。CoinHive 的一小段代码,支持利用简易的浏览器来挖掘门罗币。 最近的研究表明,该加密货币僵尸网络,每月有超过 25 万美元的产出。不过安全人员指出,挖矿劫持不是 MicroTik 路由器面临的唯一威胁。 一款危险的、名叫 Android Banker 的特洛伊木马病毒,当前正在互联网上传播。继 1 月首次曝光后,已有近 200 个针对性的网银应用受害。 Android Banker 可以绕过双因素认证,来窃取用户名和密码。若不幸受到影响,还请将所有账号的用户名和密码都重置,比如流行的 Bitfinex 和 Blockfolio 。 安全研究人员 Lukas Stefanko 指出,最近持续的威胁很是严重。因其能够动态改变、针对特定的受害者进行定制,所以是一个相当危险的威胁。 由于 Android Banker 主要通过虚假版本的 Adobe Flash Player 分发,因此普通人可以相对简单地避开大部分雷区 —— 确保未知来源的应用程序被阻止且无法运行。 如果你对本文所述的木马和恶意软件的细节感兴趣,并希望知晓如何制定让公司免受网络钓鱼攻击的安全策略,可移步至这里查看(传送门)。     稿源:cnBeta,编译自:TNW,封面源自网络;