标签: 恶意软件

最新安全报告:单反相机已成为勒索软件攻击目标

恶意勒索软件近年来已经成为计算机系统的主要威胁,在成功入侵个人电脑,医院、企业、机构和政府部门的系统之后就会进行加密锁定,只有用户交付一定的赎金才能解锁。不过现在安全研究人员发现了单反相机同样存在这项的安全风险。援引安全软件公司Check Point今天发布的一份报告,详细说明了如何在数码单反相机中远程安装恶意程序。研究人员Eyal Itkin发现,黑客可以轻易地在数码相机上植入恶意软件。 他表示标准化的图片传输协议是传递恶意软件的理想途径,因为它是未经身份验证的,可以与WiFi和USB一起使用。该报告中指出通过黑客可以在热门景点部署有风险的WiFi热点,只要单反连接到这些热点之后就能进行攻击,从而进一步感染用户的PC。 在一段视频中,Itkin展示了他如何通过WiFi入侵Canon E0S 80D并加密SD卡上的图像,以便用户无法访问它们。他还指出,相机对于黑客来说可能是一个特别有价值的目标:毕竟相机中可能会存在很大用户不想要删除的影像资料。而且在真正的勒索软件攻击中,黑客设定的赎金往往不会太高,因此很多人会愿意交付赎金来摆脱不便。 Check Point表示它在3月份披露了佳能的漏洞,并且两人于5月份开始工作以开发补丁。上周,佳能发布了安全公告,告诉人们避免使用不安全的WiFi网络,在不使用时关闭网络功能,并在相机上更新并安装新的安全补丁。 Itkin表示目前他们只对佳能设备进行了测试,但是他告诉The Verge:“由于协议的复杂性,我们还认为其他供应商也可能容易受到这种攻击,但这取决于他们各自的实施情况。”   (稿源:cnBeta,封面源自网络。)

破坏型攻击爆发:制造业沦为重灾区

研究人员表示在过去6个月中网络攻击所造成的破坏力翻倍,而且受影响的组织中有50%属于制造业。基于近阶段的网络攻击,本周一IBM的X-Force IRIS事件响应团队发布了新的安全研究报告,强调破坏型恶意软件正在快速爆发。通过对恶意代码的分析发现,诸如Industroyer,NotPetya或Stuxnet在内的恶意程序不再是纯碎的窃取数据和秘密监控,而是造成更有破坏力的伤害。这些破坏行为包括锁定系统、让PC崩溃、渲染服务不可操作以及删除文件等等。 研究人员表示:“在历史上,像Stuxnet,Shamoon和Dark Seoul这样的破坏性恶意软件通常是被有国家背景的黑客所使用。不过自2018年年末以来,网络攻击份子开始不断将这些破坏型代码整合到自己的攻击中,例如LockerGoga和MegaCortex这样的新型勒索软件。” 而制造业是这些攻击的主要目标,目前曝光的案件中50%以上和工业公司有关。其中石油、天然气和教育领域的组织是重灾区,非常容易受到这种类型的攻击。最常见的初步感染手段就是网络钓鱼电子邮件,然后窃取进入内部网络所需要的电子凭证,注水漏洞攻击,劫持目标连接从而让对方妥协。 在发动恶意攻击之前,一些黑客将潜伏在公司系统中数月。IBM的X-Force IRIS事件响应团队的全球补救负责人Christopher Scott表示:“目前在破坏型恶意软件中存在另种攻击行为,前期保持缓慢发展,直到收集到需要的所有信息才会进行破坏;而另一种则是单纯的入侵然后破坏。” 报告中称当一家企业遭受破坏型恶意软件攻击之后,平均会有12000个工作站受到损坏,并且在攻击事件发生之后可能需要512个小时或者更长时间才能恢复。在一些极端情况下,恢复时间甚至可以延长到1200个小时。而大公司的恢复成本非常高,平均成本高达2.39亿美元。作为对比,Ponemon Institute估计,平均数据泄露将花费392万美元。   (稿源:cnBeta,封面源自网络。)

BT 客户端 BitLord 被发现捆绑间谍软件

BitTorrent 客户端 BitLord 被发现捆绑了名叫 PremierOpinion 的间谍软件,该间谍软件会利用中间人攻击的方法捕捉机器的 SSL/TLS 流量。它会安装一个代理在端口 8888、8443 和 8254,安装一个本地系统证书,该证书会被所有应用程序自动信任。 当所有流量都经过它的代理,它会解密所有加密流量,监视用户的在线活动。 PremierOpinion 主要通过捆绑在其它软件进行传播,其中之一是 BitLord。BitLord 最早是基于比特彗星源代码的一个 BitTorrent 客户端,能利用 VLC 串流视频。   (稿源:cnBeta,封面源自网络。)

南非电力公司遭遇勒索软件攻击 导致约翰内斯堡市电中断

作为南非最大的城市兼金融中心,约翰内斯堡刚刚遭遇了一起针对 City Power 电力公司的勒索软件攻击,导致一些居民区的电力中断。由 @CityPowerJhb 官方 Twitter 账号公布的信息可知,这家企业负责为当地居民提供预付费电力供应,但恶意软件加密了该公司的数据库、内部网络、Web Apps、以及官方网站。 (截图 via ZDNet) 昨日开始扎根的恶意软件感染事故,现正在阻止顾客购买电力、或将fuyu电力反馈(回售)给 City Power,因为部分居民正在使用光伏面板来发电。 南非商业内幕(Business Insider South Africa)报道称,7 月 25 日也是许多南非人的标准发薪日,通常这天会有许多人领导工资就去充值。 然而过去 12 小时,许多 City Power 用户都在 Twitter 上抱怨市电中断且无法充值。作为该市所属的电力企业,该公司还称,由于无法访问内部应用程序,其中断响应已变得更加困难。 不过在紧急情况下,该公司正在增加备用支持团队的人员数量。至于影响该公司电网的勒索软件的名称,City Power 并未透露。 近年来,针对各大城市基础设施的勒索软件攻击正变得越来越普遍。为了尽快访问缺乏备份的市政文件,一些城市已主动支付过巨额的赎金,比如佛罗里达州的里维埃拉海滩市(60 万美元)和莱克城(50 万美元),以及佐治亚州的杰克逊县(40 万美元)。 此前,亚特兰大和巴尔的摩市经历了大规模的勒索软件感染,摧毁了各式各样的城市服务,最终让其付出了数千万美元的代价,以重建市政 IT 网络。 至于越南内斯堡,其应该庆幸勒索软件尚未突破其关键的 IT 网络。且最近几个月来,市政或电力等基础设施服务,正在成为越来越多的勒索软件团伙的攻击目标。   (稿源:cnBeta,封面源自网络。)

流媒体服务遭受 IoT 僵尸网络 13 天的 DDoS 攻击

覆盖超过40 万台物联网设备的僵尸网络对一家流媒体应用程序进行了为期 13 天的分布式拒绝服务(DDoS)攻击。 攻击始于 4 月 24 日,黑客针对身份验证组件的攻击最高达到了每秒292,000 次,使其成为了最大的第7层 DDoS 攻击之一。 负责应对此次攻击的 Imperva 公司在攻击期间始终运行该服务,并观察了来自402,000个不同IP地址的请求。 该公司在今天的一份报告中称,大多数攻击设备都位于巴西,并指出这是他们所处理的最大的第7层DDoS攻击。 “为了掩盖他们的攻击,攻击者使用了与此公司的客服应用程序相同的用户代理。” 因为攻击者拥有数量庞大的机器用来发起进攻,蛮力保护在这种情况下不会起作用。当攻击数量达到系统限制时,机器们就会等待一段时间然后再继续攻击。 这种技术被命名为“low and slow”,因为攻击者需要较长时间才能实现其目标,但由于通过模仿合法用户活动进行攻击,此种攻击方式因此也更难以防御。   消息来源:BleepingComputer, 译者:xyj,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Lookout 研究发现:功能强大的 Monokle 恶意软件或产自俄罗斯

研究人员发现了一些有史以来最先进、功能最全面的移动监视软件。自 2016 年 3 月以来,这种被称作 Monokle 的 Android 应用程序就已经被发现。据说 Monokle 由俄罗斯国防承包商开发,旨在帮助该国情报机构干预 2016 美总统大选。安全研究机构 Lookout 发布的一份报告称,Monokle 使用了几种新式手段,包括修改 Android 可信证书存储区,可通过互联网 TCP 端口、电子邮件、短信或电话通信下达指令和控制网络。 Monokle 将自己伪装为正常应用图标(题图 via ARSTechnica) 更令人意想不到的是,Monokle 提供了离线监控功能,即便在互联网连接不可用的情况下,该软件也能够正常工作。下面是 Lookout 披露的 Monokle 的完整功能: ● 检索日历信息,包括事件名称、时间、地点等描述; ● 针对 HTTPS 流量和其它受 TLS 保护的通信的中间人攻击; ● 收集 WhatsApp、Instagram、VK、Skype、imo 的帐户信息和检索消息; ● 通过短信或指定的控制电话发送关键字(控制短语)和接收外带消息; ● 将短信发送给攻击者指定的号码; ● 重置用户密码; ● 录制环境音频(并可制定高 / 中 / 低音质); ● 拨打电话; ● 通话录音; ● 检索流行办公应用的文档文本; ● 拍摄照片、视频和截图; ● 记录包括手机解锁 PIN 码在内的密码; ● 检索加密盐,以帮助获取存储在设备上的 PIN 码等密码; ● 接受来自一组指定电话号码的命令; ● 检索联系人、电子邮件、通话记录、浏览历史记录、帐户和相应的密码; ● 获取包括品牌、型号、功率级别、Wi-Fi 或移动数据连接、屏幕开启或关闭等在内的设备信息; ● 若设备已开启 root 权限,Monokle 可以 root 身份执行任意 shell 命令; ● 追踪设备位置; ● 获取附近蜂窝基站信息; ● 获取已安装应用列表; ● 获取附近 Wi-Fi 详情; ● 删除任意文件; ● 下载攻击者指定的文件; ● 重启设备; ● 卸载自身并删除受感染手机中的所有痕迹。 基于对某些 Monokle 样本的分析,Lookout 研究人员猜测还有针对苹果 iOS 设备开发的 Monokle 版本。 开发者可能无意中将某些 iOS 控制代码添加到了 Android 示例中,可针对密钥字符串、iCloud 连接、Apple Watch 加速度计数据、iOS 权限、以及其它 iOS 功能或服务。 之所以将这类恶意软件称作 Monikle,是因为它包含了所谓的 monokle-agent 组件。尽管目前 Lookout 研究人员尚未发现任何 iOS 样本,但其认为它们可能正在开发过程中。 Monokle 恶意软件样本的签名日期排布(图自:Lookout) Lookout 研究人员认为 Monokle 与圣彼得堡的 STC 公司有特殊的联系,时任美国总统奥巴马曾对这家俄罗斯国防承包商施加过制裁,理由是其涉嫌干预 2016 美总统大选。 有线索表明,Monokle 与 STC 的控制服务器有连接,且后者的加密证书被用于该恶意软件的样本签名。此外,Monokle 的复杂性表明,其背后或有政府力量在提供暗中支持。 Lookout 还举了 PegASUS 这个例子,这款由以色列开发的针对 iOS 和 Android 设备的强大间谍应用程序,曾于 2016 年被用于对抗阿联酋的不同政见者、并于今年被再次用于英国律师。 Lookout 安全情报高级经理 Christopher Hebeisen 在接受 ArsTechnica 采访时称,我们又一次见到了有国防承包商来生产一种用于监视移动设备用户的高度复杂的恶意软件。 Lookout 指出,这样的行为,会对移动设备造成极高的被攻击风险。不过研究人员也发现,Monokle 被伪装成了极少数的应用程序,表明该监视工具是专门为攻击有限数量的特定人群而开发的。 根据 App 的名称和图标,Lookout 列出了 Monokle 潜在攻击目标的一些特征 —— 某教信众、居住在东欧高加索和附近地区、对一款名叫 UzbekChat 的消息应用程序感兴趣。 其表示,大多数应用程序都被打包进了合法的功能,以防止用户对这款恶意软件产生怀疑。   (稿源:cnBeta,封面源自网络。)

以微软用户为目标的恶意软件正伪装成以假乱真的浏览器更新

微软用户正成为新恶意软件活动的目标,其目的是感染设备后通过安插TrickBot木马窃取密码。一个外观看起来非常像微软官方的假Office 365页面提供了一个用于部署恶意软件包的虚假浏览器更新。MalwareHunterTeam的专家发现,该页面经过了精心设计,看上去尽可能相似,以至于它甚至包含指向微软官方域名的链接。 但是,在登录页面几秒钟后,恶意网站将向用户提供适用于其浏览器的警告,并建议下载并安装更新。 Google Chrome和Mozilla Firefox用户可以收到特别为他们定制的,让人疑惑的页面上。最经常看到的提示时“您使用的是较早版本的Chrome浏览器”,使用Google Chrome浏览网页的设备上会显示这一消息。 该警告的名称为Chrome Update Center或Firefox Update Center,具体取决于所使用的浏览器。 用户下载“更新”后,它会部署TrickBot特洛伊木马程序,该马程序专门查找浏览器中存储的密码,浏览历史记录和自动填充数据。它还可以创建已安装程序的列表以及遍历在设备上运行的Windows服务,然后将所有被盗信息传输到服务器,恶意软件通过安装到Windows的svchost.exe进程中来避免检测,这让用户在手动检查恶意进程时更加困难,尽管防病毒解决方案应该能够阻止它。   (稿源:cnBeta,封面源自网络。)

Buhtrap 黑客组织使用微软零日漏洞进行间谍行动

Buhtrap黑客组织已将其目标从俄罗斯金融业务和机构转移。自2015年12月进行网络间谍活动以来,其影响最大的活动是在2019年6月期间使用了近期修补的Windows零日漏洞。 Windows本地权限提升零日漏洞(CVE-2019-1132)被Buhtrap滥用于其攻击,它允许犯罪组织在内核模式下运行任意代码。微软在本月的补丁星期二修复了此漏洞。 尽管Buhtrap自2014年以来不断攻击银行客户,但它直到一年之后才被检测到。根据Group-IB和ESET研究人员的说法,它从2015年以后便开始寻找金融机构等更高级的目标。Group-IB报告称,“从2015年8月到2016年2月,Buhtrap成功对俄罗斯银行进行了13次攻击,总金额达18亿卢布(2570万美元)”。   被Buhtrap利用的Windows零日漏洞 ESET研究人员通过多个有针对性的活动观察到黑客组织的工具集“是如何通过用于在东欧和中亚进行间谍活动的恶意软件进行扩展的”。 2019年6月,Buhtrap利用零日漏洞攻击政府机构,主要攻击方式是滥用旧版Windows中的“win32k.sys组件中空指针的逆向引用”。   转为网络间谍 Buhtrap发展过程 “当他们在网上免费提供工具源代码的时候,很难将行为归罪于特定的参与者,”ESET说, “然而,因为他们在源代码泄露之前更改了目标,所以我们确信首批对企业和银行进行Buhtrap恶意软件攻击的人也参与了针对政府机构的攻击。” 此外,“尽管新的工具已经添加到他们的武器库中并且更新可以应用于旧版本,但不同的Buhtrap活动中使用的策略,技术和程序(TTP)在这些年中并没有发生显著变化。” ESET在关于Buhtrap集团网络间谍活动的报告最后提供了一份完整的IOC表单,其中包括C2服务器领域,恶意软件样本哈希,代码签名证书指纹以及MITRE ATT&CK技术的表格。   消息来源:BleepingComputer, 译者:xyj,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

黑客通过恶意软件感染 Pale Moon 存档服务器

Pale Moon 网络浏览器团队今天宣布,他们的 Windows 档案服务器遭到破坏,黑客在 2017 年 12 月 27 日用恶意软件感染了 Pale Moon 27.6.2 及以下的所有存档安装程序。 攻击者使用脚本,将 Win32 / ClipBanker.DY Trojan 变种注入存储在服务器上的 .exe 文件,使得下载 Pale Moon 浏览器安装程序和自解压存档的用户感染恶意软件。Pale Moon 团队在 7 月 9 日发现了安全漏洞,并立即切断了与受影响服务器的所有连接,以阻止恶意软件进一步传播给其他用户。 受感染文件的时间戳显示,攻击者使用自动进程在本地感染这些文件,该进程向存储在受感染服务器上的每个可执行文件注入大约 3MB 的恶意 payload。 Pale Moon 的开发团队在漏洞分析中解释说,从未下载安装程序的用户“基本不会受到感染”。为了确保安全,用户可以通过列表逐步检查他们下载的安装程序是否被篡改,而那些下载受感染文件的用户应该“使用信誉良好的防病毒软件对系统进行全面扫描和清理,以清除此恶意软件。”   攻击中使用的恶意软件删除程序  感染过程   在恶意可执行文件启动后,将使用一个剪贴板软件感染受害者的计算机 –  ESET 检测其为 MSIL/Agent.B 的变体。之后,后台会创建一个在启动时执行剪贴板的任务,同时前台启动 Pale Moon 安装程序以分散受害者的注意力并隐藏的恶意活动。 正在创建的任务   虽然我们能够分析 Pale Moon 攻击者使用的恶意软件的行为,但因为我们无法启动它并获得有关其功能的更多信息,可能还带有恶意软件分析和VM 检测功能。     消息来源:BleepingComputer, 译者:xyj,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

2500 万 Android 设备被“Agent Smith”恶意软件感染

根据报道,一种名为 Agent Smith 的新型 Android 恶意软件已经感染了 2500 万部手机,其目的是推送广告或劫持有效的广告事件。 受害者被引诱从第三方应用商店下载伪装成照片应用程序、色情相关应用程序或游戏等病毒程序,一旦下载完毕,这些程序就会下载 Agent Smith。 该恶意软件通常伪装成 Google Updater、Google Update for U 或 com.google.vending 等实用工具 ,并对用户隐藏其图标。 接下来,恶意软件检查目标手机上的应用程序,然后获取带有恶意广告模块的“补丁”识别 APK 的更新。为了完成更新安装过程,恶意软件利用 Janus 漏洞,该漏洞可以让其绕过 Android 的 APK 完整性检查。Janus 是一个可追溯到 2017 年的 Android 漏洞。 Check Point 估计,每个受害者手机上可能有多达 112 个应用程序被那些显示广告的应用程序所取代。 他们写道:“一旦完成了杀毒链,Agent Smith 就会利用用户应用程序来显示广告,表面上只是用来推销广告,但是它的运营商可能会利用它来做更坏的事情,比如窃取银行凭证”。 Check Point 说,Agent Smith 潜伏在第三方应用商店,如 9 App,主要为印度用户,阿拉伯人和印度尼西亚用户服务。受感染数量最多的是印度(超过1 500万),其次是孟加拉国(超过250万)和巴基斯坦(近170万),印度尼西亚以 57 万个受感染的设备名列第四。但是还发现,在沙特阿拉伯(245 K)、澳大利亚(141 K)、英国(137 K)和美国(303 K)的设备上也出现了感染。 该恶意软件并不局限于只感染一个应用程序,它将取代其目标列表中的任何和全部,受感染的设备将逐渐得被重新检查,并提供最新的恶意补丁。恶意软件中被编码的目标 Android 应用程序列表包括以下内容: • com.whatsapp • com.lenovo.anyshare.gps • com.mxtech.videoplayer.ad • com.jio.jioplay.tv • com.jio.media.jiobeats • com.jiochat.jiochatapp • com.jio.join • com.good.gamecollection • com.opera.mini.native • in.startv.hotstar • com.meitu.beautyplusme • com.domobile.applock • com.touchtype.swiftkey • com.flipkart.android • cn.xender • com.eterno • com.truecaller 研究人员分析说:“我们将 Agent Smith 传播与位于广州的一家中国互联网公司联系起来,该公司的前端合法业务是帮助中国 Android 开发者在海外平台上发布和推广他们的应用程序”。 Check Point 报告说,Agent Smith 在 Android 5.0 版(40%)和 6.0 版(34%)的手机中最为普遍,9% 的受感染手机的是 8.0 版。谷歌最新版本的 Android 操作系统是 Pie,版本为 9.0。 研究人员认为: Agent Smith 提醒我们,仅靠系统开发人员的努力还不足以建立一个安全的 Android 生态系统,它需要系统开发人员、设备制造商、应用程序开发人员和用户的关注和行动,以便及时修补、分发、采用和安装漏洞修补程序。   (稿源:开源中国,封面源自网络。)