标签: 恶意软件

伪装为 WAV 的恶意软件在受害设备上挖矿 但其 bug 导致 BSOD

Guardicore的安全研究人员揭示了一种复杂的恶意软件攻击,该攻击成功地破坏了属于医疗技术行业中型公司的800多种设备。恶意软件伪装成WAV文件,并包含一个Monero挖矿软件,它利用臭名昭著的EternalBlue漏洞来危害网络中的设备。 这款恶意软件唯一的bug,是最终导致受感染的电脑蓝屏死亡(BSOD),并且显示相关错误代码,最终引起受害者怀疑,并引发对事件的深入调查。 研究人员表示,BSOD于10月14日首次发现,当时发生致命崩溃的机器正在尝试执行长命令行(实际上是基于base-64编码的PowerShell脚本)。对脚本进行解码后,研究人员获得了可读的Powershell脚本,该脚本用于部署恶意软件。该脚本首先检查系统架构(基于指针大小)。然后,它读取存储在上述注册表子项中的值,并使用Windows API函数WriteProcessMemory将该值加载到内存中。研究人员指出,恶意软件负载通过获取和调用函数指针委托来执行。 该恶意软件尝试使用基于EternalBlue的漏洞传播到网络中的其他设备,该漏洞与WannaCry于2017年使用的漏洞相同,感染了全球数千台电脑。在对恶意软件进行反向工程之后,研究人员发现该恶意软件实际上隐藏了伪装成WAV文件的Monero挖矿模块,使用CryptonightR算法来挖掘Monero虚拟货币。此外,该恶意软件利用隐写术并将其恶意模块隐藏在外观清晰的WAV文件中。” 研究人员发现,完全删除恶意软件(包括终止恶意进程)阻止了在受害设备上发生BSOD。   (稿源:cnBeta,封面源自网络。)

美政府为低收入家庭提供手机被植入恶意程序 且无法清除

为美国低收入家庭提供的智能手机近日被发现存在恶意程序,更严重的是无法在不影响手机正常工作的情况下,清除该恶意程序。援引Malwarebytes Labs本周三公布的博文,详细披露了预装在UMX U686CL手机中的恶意程序。这是一款由美国政府生命线救援项目牵头,并由Assurance Wireless提供的一款廉价Android手机。 博文中称,这款低端Android手机上存在两款恶意程序,而且都是通过预装方式直接嵌入到系统代码中的。尽管其中一款恶意程序可以被移除,但是需要繁琐的步骤并需要阻止未来的版本更新;而另一个恶意程序将其自身硬编码到设置应用中,意味着如果将其删除会导致手机无法使用。 Assurance Wireless的母公司Sprint在随后提交的声明中,表示这两款程序并不应该归类为恶意程序。公司在本周五提交的声明中写道:“我们已经发现了这个问题,并接触了设备厂商Unimax来了解根本原因。但是经过我们的初步测试,我们认为媒体描述的这两款应用程序是恶意程序。”   (稿源:cnBeta,封面源自网络。)  

谷歌 Chrome 恶意扩展窃取了价值 16000 美元的加密货币

一份报告显示,一个恶意的谷歌Chrome扩展程序成功进入Chrome网络商店,盗取了价值至少1.6万美元的加密货币。该扩展名为“ Ledge Secure”,声称可以用作Google Chrome浏览器中的一种加密货币钱包,从而以某种方式成功突破了Google的过滤器,最终被Chrome网络商店上架以供用户下载。 至少有一个用户确认安装了扩展程序后,自己的加密货币被盗了,目前尚不知道最终受害者的具体人数。Decrypt报告说,该扩展程序扫描了该设备,并将种子短语发送给该扩展程序的作者,这几乎可以使恶意行为者窃取任何加密货币。以Twitter用户“ hackedzec”为例,这个扩展造成600 ZEC币的损失,价值约16000美元。 法国Ledger公司在Twitter上证实了这个扩展不是一个合法的插件,并建议用户避免在自己的设备上安装它。目前此恶意扩展工作细节尚未透露,谷歌已经从Chrome网店中删除了这个扩展,建议所有安装它的人尽快检查钱包,确保没有密码被盗。   (稿源:cnBeta,封面源自网络。)

Sodinokibi 攻击了加州 IT 服务提供商 Synoptek 并获得赎金

Synoptek 是一家总部位于美国加利福尼亚州的IT管理和云托管服务提供商,其在前段时间遭遇了Sodinokibi勒索软件攻击,并向其支付了赎金以解密其文件。 最近几周,Sodinokibi 勒索软件在美国的攻击行动异常活跃,去年12月,美国主要数据中心提供商之一CyrusOne也遭到了该勒索软件的打击。 Synoptek 拥有的客户超过1100个,包括地方政府,金融服务,医疗保健,制造业,媒体,零售和软件。 感染时间发生在12月23日,黑客首先入侵了公司网络,然后安装了勒索软件。 该公司证实了此次攻击,但没有说明是否会向黑客支付赎金。 “12月23日发生了勒索事件,但我们对此采取了应对措施。” Synoptek在周五美国东部时间下午6点之前在推文中写道,“我们立即采取了行动,并正在与客户一起努力解决这个问题。” Synoptek首席执行官蒂姆·布里特(Tim Britt)在一封电子邮件中告诉 CRN,此次攻击仅影响到了Synoptek的部分客户。Britt 称其员工在26号圣诞假期结束之前已经解决了大多数客户的问题。 Sodiniokibi团伙似乎专注于针对美国IT提供商。该恶意软件于2019年8月感染了PercSoft公司,并于12月感染了Complete Technology Solutions的系统。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

英国外汇兑换公司 Travelex 因遭到恶意软件攻击暂停服务

据外媒报道,一家大型国际外汇兑换公司证实在12月31日的时候遭到了恶意软件攻击并由此暂停了一些服务。据悉,这家总部位于伦敦的公司在全球经营着1500多家门店。该公司表示,为了保护数据以及阻止恶意软件的进一步传播,作为预防他们将对系统做下线处理。 目前,这家公司的英国网站处于离线状态,当用户登入后会看到“服务器错误”的提示。这家公司网站表示,他们正在升级过程中所以处于离线状态。Travelex通过官推表示,员工现无法在网站上或通过应用进行交易。据称,一些门店甚至采取手动操作的方式来处理客户的请求。 而像Tesco Bank等需要依赖Travelex的公司也因此陷入宕机状态。 不过Travelex指出,截止到目前还没有发现有客户数据遭到泄露,但其并没有就此做详细说明或提供相关证据。   (稿源:cnBeta,封面源自网络。)

新发现!FIN7 的新型装载程序应用在 Carbanak 后门

专家们发现了一种被FIN7网络犯罪集团称为BIOLOAD的新型加载程序,该程序被用在Carbanak 后门作为新变化的释放器。 Fortinet EnSilo的研究人员发现,被称为BIOLOAD的新型的装载程序与FIN7黑客组织有关联。 Fin7黑客组织自2015年末开始活跃,活动目标是窃取全球范围内的企业支付卡信息,目前疑似已经袭击了100多家美国公司,袭击领域主要集中在其在餐饮、酒店和工业等行业。2018年8月,臭名昭著的FIN7网络犯罪集团三名犯罪人员被起诉,并受到网络欺诈、黑客入侵、盗取身份密码等行为的指控。 此外,BIOLOAD加载程序与BOOSTWRITE加载程序还存在极大的关联。 从相似角度看,BOOSTWRITE也是一个与FIN7组织相关联的加载程序,它也能够将恶意软件直接放入内存,但BIOLOAD通过二进制植入技术,采用dll的劫持方法,将恶意代码加载到合法程序中。 在研究过程中,Fortinet EnSilo的研究人员在FaceFodUninstaller.exe二进制文件中发现了一个恶意的动态链接库,这个链接库从windows 10 1803中开始清理安装Windows OS.此外,研究人员还发现黑客们在DLL“Winbio”所在的“\ System32 \ WinBioPlugIns”文件夹中被植入了恶意的WinBio.dll。 从不同角度看,BIOLOAD装载机样本于分别2019年3月和7月进行了编制,而BOOSTWRITE样本于5月编制。在加载器上,BIOLOAD不支持多个有效载荷,而使用XOR来解密有效载荷,并不是ChaCha密码。在秘钥连接上,BIOLOAD从受害者的名字中获得解密密钥而不是连接远程服务器来获取解密密钥。 2019年1月至4月的时间戳显示,BIOLOAD加载器主要被用来进行程序攻击,并进行Carbank病毒传输。专家发现,这些新的Carbank 病毒样本在对受感染的机器运行上针对防病毒解决方案检查相比以往会更多。而根据针对恶意软件攻击观察的TTPs分析表明:BIOLOAD是由FIN7网络犯罪集团开发的,很可能是BOOSTWRITE的前身。 Fortinet因此得出结论:“这是第一起FaceFodUninstaller.exe被威胁行为者滥用的主体案件,Fin7拥有最新工具的共享代码库,以及同样的技术和后门,导致了因加载程序而引发网络犯罪。时间戳以及更简单的功能表明BIOLOAD是在BOOSTWRITE基础上的更新。” Fortinet建议:由于加载程序是专门为每台目标计算机构建的,需要管理权限才能部署,因此建议相关部门要注意收集有关目标网络的信息。   消息来源:securityaffairs, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文

OilRig 伊朗威胁组织伪装合法的思科工具 安装 Poison Frog 后门

臭名昭著的OilRig伊朗威胁组织通过使用各种PowerShell脚本将恶意软件伪装成合法的Cisco AnyConnect应用程序,以安装Poison Frog后门程序。 Poison Frog是OilRig集团武器库中最强大的后门之一,它包含一个面板,面板上有服务器端部件和PowerShell中曾用于各种备受关注网络攻击的Payload。 卡巴斯基研究人员还发现了一个新样本,它是一个用C语言编写的PE可执行文件,只有删除包含后门Powershell脚本的功能。在同样的逻辑下,还发现了另一个PowerShell脚本,它有两个不同的长字符串,包含DNS和HTTP后门也就是Poison Frog后门。 为了安装恶意软件,OilRig威胁组织成员还巧妙使用了计俩,将恶意软件伪装成合法的Cisco AnyConnect应用程序。 卡巴斯基研究人员发表报告称“信息弹出窗口会在每次点击时出现,起到欺瞒用户的作用,使用户误认为是应用程序或互联网的接入有问题,而实际上却是在悄悄的将后门安装在系统上。”   消息来源:gbhackers, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文  

Maze 勒索软件公布从彭萨科拉市盗取的文件

Maze勒索软件近期发布2GB的文件,有消息称这些文件正是从彭萨科拉市所盗取。 本月彭萨科拉市遭到勒索软件攻击,该市的通信系统受到影响,网络系统几近瘫痪。据Bleeping Computer证实,这一事件的发生正是因为受到Maze勒索软件的攻击。昨天,Maze勒索软件也发布了32GB文件中的2GB文件,他们声称这些文件来源于在加密网络前就已盗取该市的网络数据,若想解密数据,需花费赎金100万美元。 在Bleeping Computer与Maze相关黑客人员的商讨中,Maze方透露,他们所盗取的文件远不止发布的2GB. “这是媒体报道的错误,我们所盗取的数据远不止如此,我们也不想给这座城市造成压力,也早已表明了真实的意图,但现在还没到我们想到的预期。” 当Bleeping Computer询问他们是否打算发布其余的数据时,他们的回答是“这取决于彭萨科拉市政府”。   消息来源:bleepingcomputer, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文

有恶意软件以支持瑞典环保少女 Greta Thunberg 的名义进行传播

Proofpoint 网络安全研究人员刚刚发现,有一款名叫 Emotet 的恶意软件,正在以“支持 Greta Thunberg.doc”的名义进行传播。尽管看似一封电子邮件,但其本质上是一款窃取 Windows PC 上金融信息的网银木马。攻击者试图以这位瑞典环保少女的名义,邀请受害者参加圣诞前夕的气候变化抗议活动。 早些时候,Greta Thunberg 因一系列旨在提升全球环保意识的活动,被《时代》杂志评为了 2019 年度人物。 对于那些毫无戒心的网友们来说,需要对这类基于电子邮件的恶意软件传播活动提高警惕。 Proofpoint 安全研究人员指出,这轮攻击主要针对美国、欧洲和亚洲地区拥有 .edu 电子邮件地址的学生群体,甚至出现了使用多种语言的版本。 Proofpoint 补充道:“我们发现受攻击的 .edu 域名数量超过与任何特定国家 / 地区相关的域名。鉴于 Thunberg 得到了学生和年轻人群体的有力支持,黑客的套路也是有些讲究的”。 遗憾的是,转发此电子邮件,并不会对缓解气候危机有任何帮助,反而只会让更多计算机不小心感染上 Emotet 恶意软件。 这款网银木马伪装成了微软 Word 文档附件,并且使用了与邮件主题相同的“支持 Greta Thunberg.doc”文件名。 Proofpoint 提醒道:“假日期间,攻击者会毫不犹豫地瞄准和利用人们的善意,也算是一种另类的公益意识晴雨表了”。   (稿源:cnBeta,封面源自网络。)

数十个含恶意软件的《星战9》种子资源正出现在多个网站中

每当备受期待的节目或电影上映甚至临近上映时,盗版内容就会开始泛滥。成千上万的人开始寻找免费在线观看最新内容的方法,而一些不良行为者总是很快就可以利用这一趋势。例如去年,恶意软件伪装成《权力的游戏》等剧集,该剧的种子资源病毒泛滥,占比高达17%。 由于剧集非常受欢迎,骗子借此机会将病毒和其他危险软件与伪造甚至真实的视频文件一起传播。 现在,似乎骗子再次利用了这些策略。在迪士尼发行《星球大战:天行者崛起》电影之后,似乎很多互联网用户已经成为“以星球大战为主题的恶意软件攻击的受害者”。据报道,卡巴斯基实验室在2019年发现了285103次这类攻击。 就其本身而言,这是一个惊人的数字,但据报道,最近,该公司在“ 30多个”网站和社交媒体帐户中发现了65个恶意软件“活动”。所有这些活动旨在针对希望免费下载最新《星球大战》电影的个人。对于更精通技术的用户而言,这些“活动”中的大多数显然都是可疑的,并且很容易避免。 但是,对于那些缺乏网络经验的人来说,很容易就可以从表面上获得这些太过真实的提议,这些人似乎经常成为此类陷阱的受害者。 在接下来的几周内,虚假的《星球大战》下载“活动”的数量可能只会增加,因此卡巴斯基建议用户保持警惕,并最好前往影院观看电影。另外,也可以等待其登陆官方流媒体或下载平台,例如Amazon,Disney +或其他平台。   (稿源:cnBeta,封面源自网络。)