标签: 恶意软件

Joker 恶意软件感染超过 50 万台华为 Android 设备

超过50万名华为用户从该公司的官方Android商店AppGallery下载了感染Joker恶意软件的应用,订阅了高级移动服务。研究人员在AppGallery中发现了10个看似无害的应用,这些应用含有连接到恶意命令和控制服务器以接收配置和附加组件的代码。 反病毒厂商Doctor Web的一份报告指出,这些恶意应用保留了其宣传的功能,但下载的组件可以让用户订阅高级移动服务。为了让用户无法察觉,受感染的应用程序要求访问通知,这使得他们能够拦截订阅服务通过短信传递的确认代码。 据研究人员介绍,该恶意软件最多可以为一个用户订阅五项服务,不过威胁行为人可以随时修改这一限制。恶意应用程序的清单包括虚拟键盘、相机应用程序、启动器、在线信使、贴纸收集、着色程序和游戏。 其中大部分来自一个开发商,两个来自不同的开发商。这十款应用被超过53.8万名华为用户下载。这些应用告知华为,该公司从AppGallery中删除了这些应用。虽然新用户不能再下载它们,但已经在设备上运行这些应用的用户需要进行手动清理。 研究人员表示,AppGallery中被感染的应用程序下载的相同模块也存在于Google Play上的其他应用程序中,被其他版本的Joker恶意软件使用。完整的被感染应用列表可在这里获得。一旦激活,恶意软件就会与其远程服务器通信,以获取配置文件,其中包含任务列表、高级服务的网站、模拟用户交互的JavaScript。 Joker恶意软件的历史最早可以追溯到2017年,并不断在通过Google Play商店分发的应用中找到它的踪迹。2019年10月,卡巴斯基的安卓恶意软件分析师Tatyana Shishkova在推特上发布了70多个被入侵的应用,这些应用已经进入了官方商店。 而关于Google Play中恶意软件的报道也不断出现。2020年初,谷歌宣布,自2017年以来,已经删除了约1700个感染了Joker的应用。去年2月,Joker仍然存在于商店中,即使在去年7月,它也继续从谷歌的防御系统中溜走。   (消息及封面来源:cnBeta)

Gigaset Android 更新服务器遭遇黑客攻击 并在用户设备上安装恶意软件

Gigaset 透露,在其 Android 设备上发现的恶意软件感染事件,是由外部更新服务提供商的服务器遭到黑客攻击而导致的。这家德国电信设备制造商表示,此事似乎可追溯到 3 月 27 日,受影响的智能机型号包括 GS100、GS160、GS170、GS180、GS270(plus)、以及 GS370(plus)等系列。 通过与安装的系统更新 App 下载并安装,这批恶意软件的形式也是五花八门。Gigaset 表示已及时向更新服务提供商发出了警告,并在 4 月 7 日阻断了进一步的感染。 目前 Gigaset 已经为受影响的设备部署了自动清除恶意软件的措施,并建议用户将设备连接到互联网(打开 WLAN 或开启移动数据)和连接至充电器。 如果一切顺利的话,感染恶意软件的设备可在 8 小时内得到恢复。以下是本次 Gigaset 设备上感染的恶意软件完整列表: ● Gem ● Smart ● Xiaoan ● asenf ● Tayase ● com.yhn4621.ujm0317 ● com.wagd.smarter ● com.wagd.xiaoan 此外 Gigaset 敦促用户访问“设置”应用,以检查设备是否存在安装疑似恶意软件的感染迹象,并且确保设备上的其它软件也都更新到了最新版本。 具体受影响的设备型号包括 GS160 / GS170 / GS180 全版本,以及 GS100_HW1.0_XXX_V19、GIG_GS270_S138、GIG_GS270_plus_S139、GIG_GS370_S128 和 GIG_GS370_plus_S128 等最高版本。 除此之外,GS110、GS185、GS190、GS195、GS195LS、GS280、GS290、GX290、GX290plus、GX290 PRO、GS3 和 GS4 系列并未受到本次事件的影响。   (消息及封面来源:cnBeta)

Android 恶意软件冒充 Netflix 劫持 WhatsApp 会话

安全研究人员在Google Play上的一款应用中发现了一个新的Android恶意软件变种,该软件通过承诺免费订阅Netflix来吸引受害者。周三,Check Point Research(CPR)表示,这种 蠕虫类移动恶意软件是在Android应用的官方存储库Google Play商店中被发现的。 这款被称为 “FlixOnline “的恶意软件将自己伪装成一个合法的Netflix应用,似乎重点针对WhatsApp消息应用。COVID-19大流行迫使我们许多人长期呆在家里,商店关门,酒吧关闭,允许外出的次数有限,我们转而使用流媒体服务来打发时间。到2020年底,Netflix的付费用户数突破了2亿大关。很可能是由于COVID-19的刺激,恶意软件运营商决定抓住这一趋势。”FlixOnline “欺诈性应用承诺全球 “无限娱乐”,并因大流行而免费订阅两个月的高级Netflix。 然而,一旦下载,该恶意软件就会 “监听 “WhatsApp的对话,并自动回复带有恶意内容的信息。安装后,该应用会要求获得覆盖权限,这是盗窃服务凭证的常见行为,它还要求忽略电池优化,它可以阻止设备自动关闭软件以节省电力。此外,FlixOnline还要求获得通知权限,使恶意软件能够访问与WhatsApp通信相关的通知。 WhatsApp消息的自动回复包括以下内容,发送给受害者的联系人,”在世界任何地方60天获得2个月的Netflix高级免费服务。”,并且附带一条恶意链接。据研究人员介绍,该恶意软件可以通过恶意链接进一步传播,窃取WhatsApp的对话数据,并在安卓设备上安装后,有能力通过消息服务传播虚假信息或有害内容。 此次活动中使用的恶意链接会将受害者发送到一个虚假的Netflix网站,试图获取用户的信用卡信息和证书。然而,由于该消息是从命令和控制(C2)服务器获取的,其他恶意活动可能会链接到不同的钓鱼网站或恶意软件有效载荷。 在被发现之前,FlixOnline约造成500名受害者,时间大约为两个月,而且该恶意软件很可能会再次出现。CPR将其发现告知谷歌,目前该应用已从Play Store中删除。WhatsApp也被告知该活动,但由于没有可利用的漏洞或问题,恶意软件使用通过消息应用程序传播,因此不需要采取行动。           (消息及封面来源:cnBeta)

Android 间谍软件伪装成系统更新

安全研究人员表示,一种强大的新型Android恶意软件伪装成关键的系统更新,可以完全控制受害者的设备,并窃取他们的数据。该恶意软件被发现捆绑在一个名为 “系统更新 “的应用中,必须在Android设备的应用商店Google Play之外安装。 一旦用户安装后,该应用就会隐藏并隐秘地将受害者设备中的数据发送到的自己控制的服务器。发现该恶意应用的移动安全公司Zimperium的研究人员表示,一旦受害者安装了该恶意应用,该恶意软件就会与运营商的Firebase服务器进行通信,用于远程控制设备。 该间谍软件可以窃取信息、联系人、设备细节、浏览器书签和搜索历史记录,从麦克风记录通话和环境声音,并使用手机摄像头拍照。该恶意软件还可以跟踪受害者的位置,搜索文档文件,并从设备的剪贴板上抓取复制的数据。 恶意软件隐藏在受害者身边,并试图通过向攻击者的服务器上传缩略图而不是完整的图像来减少网络数据的消耗,从而逃避捕获。该恶意软件还能捕获最新的数据,包括位置和照片。 Zimperium首席执行官Shridhar Mittal表示,该恶意软件很可能是定向攻击的一部分。诱骗别人安装恶意应用是一种简单但有效的方法,可以危害受害者的设备。这就是为什么安卓设备会警告用户不要安装应用商店以外的应用。但许多旧设备并不能运行最新的应用,迫使用户依赖来自盗版应用商店的旧版应用。             (消息及封面来源:cnBeta)  

破解 D-Link DIR3060 固件加密—分析篇(上)

在第一篇中,我们突出了相关侦察步骤!在本文中,我们深入研究了IDA历险,更好地了解imgdecrypt如何操作,以确保最新路由器型号的固件完整性。 将二进制文件加载到IDA中时,将会出现一个功能列表。我们已经发现二进制代码应该是从调试符号中剥离出来的,使得调试整个代码变得较为困难,但从IDA提供给我们的方式来看,它还是相当不错的。 … 更多内容请至Seebug Paper阅读全文:https://paper.seebug.org/1524/           消息来源:Low-level adventures,译者:小江; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

使用 Go 编程语言编写的恶意软件数量爆发式增长

根据网络安全公司 Intezer 本周发布的一份报告,自 2017 年以来使用 Go 编程语言编写的恶意软件数量呈现爆发式增长,增幅超过 2000%。从报告中可以看到,恶意软件作者已逐渐从 C/C++ 转向 Go,这是一种由谷歌在 2007 年开发并推出的编程语言。 虽然首个基于 Go 语言开发的恶意软件在 2012 才被检测到,但在短短几年时间里该语言已经在恶意软件领域快速流行起来。Intezer 在报告中说:“在 2019 年之前,发现用 Go 编写的恶意软件更多的是一种罕见的现象,而在 2019 年期间,它变成了一种日常现象”。 如今,Golang(Go 的另一种称呼)已经取得了突破性进展,并被广泛采用。有国家背景的黑客组织(比较出名的有 APT)、网络犯罪运营商,甚至安全团队都在使用它,他们经常用它来创建渗透测试工具包。 Golang 之所以会出现这种突然暴涨的现象,主要有三个原因。首先是 Go 支持跨平台编译的简易流程。这使得恶意软件开发者只需编写一次代码,就可以从同一个代码库中编译出多个平台的二进制文件,使他们可以从同一个代码库中针对 Windows、Mac和Linux,这种多功能性是其他许多编程语言通常不具备的。 第二个原因是,基于 Go 的安装文件仍然很难被安全研究人员分析和逆向工程,这使得基于Go的恶意软件的检出率一直很低。第三个原因与 Go 对网络数据包和请求工作的支持有关。 Intezer解释说:“Go有一个非常好写的网络堆栈,很容易使用。Go已经成为云的编程语言之一,很多云原生应用都是用它编写的。例如,Docker、Kubernetes、InfluxDB、Traefik、Terraform、CockroachDB、Prometheus和Consul都是用Go编写的。这很有意义,因为创建Go背后的原因之一是发明一种更好的语言,可以用来取代谷歌内部使用的C++网络服务”。         (消息及封面来源:cnBeta)

微软与 FireEye 敦促国会制定强制性的安全报告披露规则

在调查发现 SolarWinds 黑客攻击事件对美国企业和联邦政府有着极其深远的影响之后,微软和 FireEye 高管于本周二联合敦促国会采取行动,以制定强制性的安全报告披露规则。微软总裁 Brad Smith 在提交给参议院情报委员会的文书中表示:“我们需要让私营机构承担明确、一致的披露义务,否则企业会在遭受黑客入侵时纷纷保持沉默”。 显然,作为 SolarWinds 入侵事件的余波,安全行业对当下的糟糕状况感到十分无奈,因而 Brad Smith 认为大家是时候做出集体的转变。 我们需要用明确、一致性的义务,来代替这种可怕的沉默。只有这样,私营组织才会在遭受到重大事件影响时及时披露信息。 曾因参与早期调查而受到赞誉的 FireEye 首席执行官 Kevin Mandia 补充道: 企业应该有一种方法来披露可能对国家安全造成重大影响的安全公告,而不必担心因此而受到法律的制裁。 与此同时,美国政府应考虑制定一个联邦层面的披露方案。除了分享威胁情报,还应通报与黑客攻击 / 入侵事件相关的细节。 FireEye 指出,去年 12 月,拥有复杂背景的黑客组织成功利用了 SolarWinds 的软件漏洞,渗透了多达 1.8 万名客户的内部网络,其中就包括 FireEye 和微软。 某位白宫官员在上周表示,在长达数月的行动期间,其已证实有 9 个联邦机构和 100 家私营实体受到了 SolarWinds 黑客事件的影响,且情报官员直指攻击者与俄方有关。 Kevin Mandia 和 Brad Smith 指出:“遗憾的是,按照现行的法律,相关企业并不需要主动公开披露黑客攻击事件”。 “虽然法律上没有提出举报和披露的义务,但我们认为这么做仍然很有必要。 除了保障每位客户的权益,还有助于维护联邦政府的安全。 如果没有这方面的信息披露与共享,那我们就无法确保这个国家的安全。” 据悉,虽然目前全美多州已明确规定要以某种形式披露安全公告,但在经历了多年的拉扯之后,联邦政府仍未能将此事摆上重要的日程。 参议院情报委员会主席 Mark Warner 周二表示:“我们可能等到有意披露的机构,但也可能对黑客攻击事件毫不知情。就算其它大型企业也可能成为受害者,但就是没人选择挺身而出”。 基于此,Mark Warner 认为越来越有必要制定一套强制性的安全公告和信息共享披露制度,并且建议在联邦层级上做出相应的努力。           (消息及封面来源:cnBeta)

加州车辆管理局警告称其承包商数据或遭泄露

加州车辆管理局(DMV)日前警告说,在一个承包商遭遇勒索软件攻击后,可能出现数据泄露。总部位于西雅图的自动资金转移服务(AFTS)表示,自2019年以来,DMV一直用于与国家数据库核实地址变更,本月早些时候受到了一个不明勒索软件的攻击。 DMV在通过电子邮件发送的一份声明中表示,此次攻击可能已经泄露了“过去20个月的加州车辆登记记录,其中包含姓名、地址、车牌号和车辆识别号”。但DMV表示,AFTS无法获取客户的社会安全号码、出生日期、选民登记、移民身份或驾照信息,并没有被泄露。 DMV表示,此后已经停止了所有向AFTS的数据传输,并在此后启动了一项紧急合同,以防止任何宕机。 AFTS在美国各地被用于处理付款、发票和核实地址。已经有几个市镇确认他们受到数据泄露的影响,这表明它可能并不限于加州的DMV。但目前还不知道是什么样的勒索软件袭击了AFTS。勒索软件通常会对公司的文件进行加密,并会解锁以换取赎金。但由于许多公司都有备份,一些勒索软件组织威胁说,除非支付赎金,否则将把被盗文件公布在网上。 AFTS无法立即获得评论。它的网站已经离线,并有一条简短的消息。“AFTS的网站和所有相关的支付处理网站由于技术问题而无法使用. 我们正在努力尽快恢复它们。” “我们正在研究实施更多的措施来加强安全性,以保护车管所和与我们签订合同的公司所持有的信息,”加州DMV局长史蒂夫·戈登说。 据报道,去年加州DMV通过出售司机的个人信息,包括向债券商和私人调查员出售信息,每年赚取超过5000万美元。 加州有超过3500万辆注册车辆。       (消息及封面来源:cnBeta)

Linux 恶意软件 Kobalos 曝光

安全公司 ESET 近日放出了一则警告,提醒一款被挂有木马的 OpenSSH 软件,或被用于从 HPC 高性能计算集群中窃取 SSH 证书。这款 Linux 恶意软件被称作 Kobalos,安全研究人员称之“小而复杂”且“诡计多端”。即使攻击规模不大,但 Kobalos 后门还是渗透了一些主要目标,包括美国政府、欧洲大学、以及亚洲某些大型互联网服务提供商(ISP)的系统。 参考希腊神话中一个顽皮的小动物,ESET 研究人员将这款恶意软件命名为 Kobalos 。但除了 Linux、FreeBSD 和 Solaris,安全专家还发现了能够在 AIX、甚至 Windows 平台上运行的恶意软件变种的蛛丝马迹。 通过逆向工程可知,Kobalos 能够在互联网上扫描受害者。而且在大多数情况下,受害者主要集中在大型系统和超级计算机领域(另有涉及部分私有服务器设施),但目前尚未揪出相关事件的幕后黑手。 过去一年,互联网上曝光了多起涉及 HPC 集群的安全事件。比如 EGI CSIRT 调查发现有计算资源被利用于加密货币的挖矿,受害者包括波兰、加拿大等地的受感染服务器。 新闻中还提到过英国的 Archer 超级计算机(其 SSH 证书被盗),但目前尚不清楚黑客利用哪些恶意软件对其发起了怎样的攻击。 ESET 研究人员补充道,尽管 Kobalos 的代码库很是精简,但却包含了用于运行命令和远程服务器控制的代码。 为缓解攻击,安全公司建议用户为 SSH 服务器连接同时启用双因素身份验证。 最后,ESET 将其检测到的这款恶意软件正式命名为 Linux / Kobalos(或 Linux / Agent.IV)。 而用于 SSH 证书窃取的程序,则被称作 Linux / SSHDoor.EV、Linux / SSHDoor.FB、或 Linux / SSHDoor.FC 。           (消息来源:cnBeta;封面源自网络)

2020 年被勒索软件攻击的组织至少支付了 3.5 亿美元赎金

根据区块链分析公司 Chainalysis 上周发布的统计报告,被勒索软件攻击的机构和组织在 2020 年至少支付了 3.5 亿美元的赎金。该数字是通过追踪与勒索软件攻击相关的区块链地址的交易来编制的。尽管 Chainalysis 拥有加密货币相关网络犯罪最完整的数据集之一,但该公司表示实际金额会超过这个预估值。 在报告中指出,2020 年勒索软件支付的赎金占加密货币总交易金额的 7% 左右。Chainalysis 表示,与 2019 年相比,这一数字增长了 311%,并将这一突然增加的原因归咎于一些新的勒索软件从受害者那里获取了大量的资金,以及一些已经存在的勒索软件提高了赎金金额。   在勒索黑客组织中,报告指出有Ryuk、Maze(现已解散)、Doppelpaymer、Netwalker(被当局破坏)、Conti 和 REvil(又名Sodinokibi) 等集团。尽管如此,诸如 Snatch、Defray777(RansomExx)和 Dharma,去年也获得了价值数百万美元的赎金。 Chainalysis 表示,它还追踪了犯罪分子如何通过区块链转移赎金。他们的发现与往年没有太大区别,他们指出,犯罪分子通常通过比特币混合服务进行洗钱,然后将资金送到合法和高风险的加密货币交易门户,将资金兑换成现实世界的货币。 但 Chainalysis 团队也证实了Advance Intelligence 上个月发布的一份报告,该报告发现,勒索软件团伙经常使用这些资金来支付其他网络犯罪服务。 Chainalysis表示,它也看到了向防弹托管提供商、漏洞销售商和渗透测试服务(也称为初始访问经纪人)支付的款项,因为勒索软件行动与他们的 “供应商 “打交道。           (消息及封面来源:cnBeta)