标签: 恶意软件

APT 组织窃取 D-Link 公司数字证书签署其恶意软件

据外媒报道,ESET 的安全研究人员发现一项新的恶意软件活动,与 APT 组织 BlackTech 有关,该组织正在滥用从 D-Link 网络设备制造商和台湾安全公司 Changing Information Technology 窃取的有效数字证书签署其恶意软件,伪装成合法应用程序。 由受信任的证书颁发机构(CA)颁发的数字证书是用来对计算机应用程序和软件进行加密签名,计算机将信任这些有数字证书程序的执行,不会发出任何警告消息。近年来一些寻找绕过安全方案技术的恶意软件作者和黑客一直在滥用可信任数字证书,他们使用与受信任软件供应商相关联的受损代码签名证书来签署其恶意代码,以避免被目标企业网络和用户设备上检测到。 据安全研究人员介绍,此网络间谍组织技术娴熟,他们大部分瞄准东亚地区,尤其是台湾。ESET 确定了两个恶意软件系列,第一个被称为 Plead 的恶意软件是一个远程控制的后门,旨在窃取机密文件和监视用户,Plead 至少从 2012 年就开始利用有效证书签署其代码;第二个恶意软件是密码窃取程序,旨在从Google Chrome,Microsoft Internet Explorer,Microsoft Outlook 和 Mozilla Firefox 收集保存的密码。 研究人员向 D-link 和 Changing Information Technology 通报了该问题,受损的数字证书分别在2018年7月3日和7月4日予以撤销。 这不是黑客第一次使用有效证书来签署他们的恶意软件。2003 年针对伊朗核加工设施的 Stuxnet 蠕虫也使用了有效的数字证书。   消息来源:TheHackerNews、Securityaffairs,编译:吴烦恼; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

恶意软件伪装成《堡垒之夜》作弊外挂 作弊者遭感染被投送恶意广告

《绝地求生》《堡垒之夜》这些现象级游戏背后最令人厌恶的非作弊行为莫属,近日有尝试使用作弊外挂的《堡垒之夜》玩家感染恶意软件被劫持用于中间人攻击,注入各类恶意广告,而他们都曾经尝试过下载一款伪装成自瞄功能的外挂软件。 近日,据串流软游戏软件Rainway报道,从6月26日开始他们收到了超过38.1万起错误报告。通过发掘日志公司工程师发现,这些用户尽管有者不同的硬件和IP,但他们都曾经在平台串流玩过《堡垒之夜》,而造成这一异常错误报告现象的原因是这些感染了恶意软件的玩家,发起中间人攻击试图通过Rainway服务器代理向多个广告平台发起连接请求。由于Rainway采用了内部白名单,这些无法连接的请求产生了许多错误报告。工程师通过网址追踪到了这一恶意软件的源头,并且对比数千种外挂插件,找到了使用相同URL的《堡垒之夜》外挂插件。这一外挂插件号称能够提供自瞄功能,并且获得免费的V货币。 而起真实的目的是让作弊者劫持发动中间人攻击,投送多个广告或者恶意网址。工程师发现这一伪装成作弊外挂的恶意软件已经被下载了超过7.8万次。   稿源:cnBeta,封面源自网络;

特斯拉起诉前员工:黑进内部生产系统 盗取并泄露机密数据

新浪科技讯 北京时间6月21日凌晨消息,本周三,据美国内华达州联邦法庭公布的诉讼文件显示,特斯拉起诉了一名前员工,称其盗取了该公司的商业机密并向第三方泄露了大量公司内部数据。 据诉讼文件显示,特斯拉起诉了曾在内华达州Tesla Gigafactory超级工厂工作的前过程技术人员马丁·特里普(Martin Tripp)。该名员工承认曾开发恶意软件进入特斯拉内部生产操作系统,偷取大量数据并交给第三方,还向媒体发表不实言论。这些被泄露的数据包括“数十份有关特斯拉的生产制造系统的机密照片和视频”。 特里普开发的恶意软件安装在了三台不同员工的电脑上,所以在他离开特斯拉后,还能继续从该公司传输数据到第三方。而电脑被安装该恶意软件的员工也将受到牵连。 另外,特里普还向媒体发表不实言论。诉讼文件写道:“特里普曾称有缺陷的电池元组被用在了部分特斯拉Model 3车型中,而事实上并没有。特里普还夸大了特斯拉在生产制造过程中生产的有缺陷物料的数量。” 诉讼文件写道:“在特里普加入特斯拉几个月后,特里普的领导认为他的工作绩效不佳,并时常与同事发生冲突。由于这些原因,在2018年5月17日前后,特里普被安排到了新岗位。特里普对此表示不满。” 本周早些时候,特斯拉首席执行官伊隆·马斯克(Elon Musk)在一封发给员工的邮件中提到,有一名员工曾对公司的运营造成“持续性的、蓄意的破坏”。马斯克写道:“他的全部罪行还不清楚,就他已经承认的来说,影响极坏。”   稿源:新浪科技,封面源自网络;

俄罗斯 Telegrab 恶意软件获取桌面版 Telegram 的凭证、cookie、桌面缓存和关键文件

思科 Talos 集团的安全专家发现了一种新型的恶意软件 Telegrab ,针对桌面版端到端加密即时消息服务 Telegram 发起攻击。 分析表明,这个恶意软件是由现一个讲俄语的攻击者开发的,目标受害者是讲俄语的用户。 研究人员捕获的恶意代码是 Telegrab 恶意软件的一个变体,于 2018 年 4 月 4 日首次出现在野利用,目的是从 Telegram 应用程序中收集缓存和关键文件。第二个版本于 2018 年 4 月 10 日出现,与第一版不同,这一版除了搜集文本文件、浏览器凭证和 cookie 以外,还能获取桌面版 Telegram 的缓存以及移动登录凭证,进而劫持活跃的 Telegram 会话。 Talos研究人员发现,恶意代码有意避免与匿名服务相关的IP地址。幕后攻击者使用多个pcloud.com硬编码帐户来存储泄密数据,被盗信息未经过加密,导致任何访问这些帐户凭证的人都可以获取泄露数据。   稿源:Freebuf,封面源自网络;

Nigelthorn 恶意软件滥用 Chrome 扩展感染超过 10 万个系统

近日,研究人员发现名为 Nigelthorn 的恶意软件异常活跃,利用 Google Chrome 扩展程序 Nigelify 发起攻击,已经感染了 100 多个国家超过 10 万个计算机系统。被感染的计算机大多位于菲律宾、委内瑞拉以及厄瓜多尔。 这个恶意软件可以窃取凭证、挖矿,还能实行点击劫持以及其他恶意活动。 研究人员表示,该恶意软件主要利用 Facebook中的链接传播,受害者点击链接之后,会被重定向到虚假的 YouTube 页面,并被诱导下载并安装有助于播放视频的 Chrome 扩展程序。一旦受害者点击安装,恶意软件就会以扩展程序的方式添加到浏览器中。不管是 Windows 系统还是 Linux 系统,只要运行 Chrome 浏览器,就有可能遭到相关攻击。 稿源:Freebuf,封面源自网络;

PANDA Banker 恶意软件攻击银行机构、加密货币交易平台以及社交媒体

安全公司 F5 近日发布报告,称黑客利用 PANDA Banker 恶意软件频繁攻击银行机构、加密货币交易平台以及社交媒体。 PANDA Banker 的主要特征是窃取账号和凭证,进而利用“man in the browser”攻击窃取受害者财物。 F5 表示,PANDA Banker 持续针对日本公司发起攻击,同时,美国、加拿大以及拉丁美洲的金融机构也没能幸免。报告表明,PANDA Banker 最初只攻击全球的金融服务,但随着全球掀起加密货币热潮,在线加密货币交易服务也成了 PANDA Banker 的目标。社交媒体、搜索网站、电子邮件甚至成人网站等可能被用于挖矿的途径也都纷纷沦陷。 稿源:Freebuf,封面源自网络;

微软:2017 年报告技术支持骗局超 15.3 万起 比去年增长 24%

近年来技术支持诈骗已经成为窃取用户个人信息的主要方式,除了传统的邮件、伪造的网站和各种错误警告之外,黑客还会利用各种恶意软件以及未经请求的电话方式来开展恶意活动。然而外媒 ZDNet 表示,这种情况在未来只会变得更加糟糕。 在刚刚过去的 2017 年,微软客户支付服务收到来自全球 183 个国家,总共超过 15.3 起关于技术支持诈骗的案件。Windows Defender 研究项目经理 Erik Wahlstrom 表示,案件数量比 2016 年多了 24%。 Wahlstrom 表示除了个人被窃取之外,在这些案件中还有15%的人会遭遇经济损失,平均损失在 200 美元至 400 美元之间。去年 12 月份,就有不少人被诈骗为伪装的安全软件支付 25 美元。同月,微软收到来自荷兰的技术支持诈骗,结果用户银行账户损失了 89000 欧元(约合 68.7 万人民币)。 稿源:cnBeta,封面源自网络。

垃圾邮件捆绑分发 XTRAT、Loki 多款恶意程序,美日澳等国受灾严重

近日,趋势科技安全专家发表博文称其发现了一起垃圾邮件活动。通过该垃圾邮件,黑客组织能够分发与 Adwind RAT 捆绑在一起的 XTRAT 和 DUNIHI 后门以及 Loki 恶意软件。目前专家们在 1 月 1 日至 4 月17 日期间共检测到 5,535 例 Adwind 感染病例,其中美国、日本、澳大利亚等国家受影响较为严重。 这场垃圾邮件活动主要被用来分发两种广告系列,其中一种是 XTRAT 后门(又称“ XtremeRAT ”, BKDR_XTRAT.SMM)与信息窃取者木马 Loki(TSPY_HPLOKI.SM1)一起提供跨平台远程访问木马 Adwind(由趋势科技检测为JAVA_ADWIND.WIL)。而另一个单独的 Adwind RAT 垃圾邮件活动中,研究人员观察到使用带有被追踪为 DUNIHI 后门的 VBScript 。 研究人员表示,这两个广告系列都滥用合法的免费动态 DNS 服务器hopto [。] org,并且试图通过不同的后门程序来增加系统感染成功率。也就是说当其中一种恶意软件被检测到,其他的恶意软件会继续完成感染工作。Adwind、XTRAT 和 Loki 背后的骗子使用武器化的 RTF 文档触发 CVE-2017-11882 漏洞,以交付 Adwind、XTRAT 和 Loki 软件包。 攻击链 自 2013 年以来,Adwind 就可以在所有主流操作系统(Windows,Linux,MacOSX,Android)上运行,并且以其各种后门功能而闻名,如(但不限于): -信息窃取 -文件和注册表管理 -远程桌面 -远程外壳 -流程管理 -上传,下载和执行文件 XTRAT 与 Adwind 具有类似的功能,例如信息窃取,文件和注册表管理,远程桌面等。它还具有以下功能: -屏幕截图桌面 -通过网络摄像头或麦克风录制 -上传和下载文件 -注册表操作(读取,写入和操作) -进程操作(执行和终止) -服务操作(停止,启动,创建和修改) -执行远程shell并控制受害者的系统 DUNIHI 具有以下后门功能:执行文件、更新本身、卸载自己、下载文件、上传文件、枚举驱动程序、枚举文件和文件夹、枚举过程、执行 Shell 命令、删除文件和文件夹、终止进程、睡眠。 为了处理像 Adwind 这样的跨平台威胁,专家建议采取多层次的安全措施,IT 管理员应定期保持网络和系统的修补和更新,并且由于 Adwind 的两种变体都通过电子邮件发送,所以必须确保电子邮件网关的安全,以减轻滥用电子邮件作为系统和网络入口点的威胁。 趋势科技完整分析: 《 XTRAT and DUNIHI Backdoors Bundled with Adwind in Spam Mails 》 消息来源:Security Affairs,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Verizon 发布《 2018 年数据泄露调查报告》:勒索软件已成为最流行的恶意软件

据外媒报道,美国电信巨头 Verizon 于本周二在其 2018 年数据泄露调查报告 (DBIR)中称,勒索软件攻击事件数量在过去一年中翻了一倍,成为最流行的恶意软件,这是因为黑客组织想通过锁定关键的业务系统来要求支付赎金,从而获取巨大的利益。 Verizon 执行董事安全专业服务部门的 Bryan Sartin 在一份声明中表示:“勒索软件是目前最流行的恶意软件攻击形式。近年来它的使用量大幅增加,因为现在企业仍然没有投资合适的安全策略来打击勒索软件,这意味着他们在面对勒索攻击时别无选择,只能向网络犯罪分子支付赎金”。 Verizon 在分析了 53,000 多起安全事件(其中包括 2,215 起违规事件)后表示,勒索软件攻击占特定恶意软件事件的 39%。 推动勒索软件攻击的一个趋势是针对关键业务系统(非台式机)的能力,这些系统可能对公司造成更多损害,并且很可能黑客组织试图将其作为勒索目标从中获取更多的利益。目前随着时间的推移,勒索软件事件中的资产类别已经从用户设备走向服务器,Verizon 说这是因为黑客意识到加密文件服务器或数据库比单个用户的设备更具破坏性。 Verizon 表示,横向移动和其他威胁活动经常会卷入其他可用于感染和遮挡的系统中。这些勒索软件攻击对黑客组织来说很有吸引力,因为黑客本身几乎不需要承担任何风险或成本,并且也不需要违反保密条款来实现其目标。 Verizon 在其报告中称,目前许多黑客已将钱财视为其首要任务,根据调查,有 76% 的违规行为都是出于财务动机。 例如 2017 年勒索软件最突出的例子 —  5 月份的 WannaCry 和 NotPetya 攻击。WannaCry 勒索软件通过感染 150 个国家 30 多万个系统,要求支付 300 美元的赎金才能解密密钥。与此同时,NotPetya 加密了主引导记录,并要求以比特币作为赎金支付的主要形式。 10 月份,另一宗勒索软件活动 BadRabbit 震动了安全行业 ,这项与俄罗斯 Telebots 有关的活动是在俄罗斯、乌克兰和东欧的网站上使用恶意软件发起的。在该事件中,攻击者瞄准基础设施(不仅仅只是桌面系统)并造成了巨大损害,其中乌克兰遭受了关键网络资产和基础设施的最大破坏。 最近,在 2018 年 3 月,亚特兰大市成为勒索软件攻击的目标。该起事件影响了几个部门,并瘫痪了处理付款和传递法院信息的政府网站。随后,亚特兰大市被要求支付 51,000 美元以换取密钥来解密系统。 为减轻勒索软件攻击的可能性,Verizon 在其报告中建议用户应确保有常规备份,并且隔离那些很重要的资产,以及将其放在业务连续性的优先级上。 Verizon 发现,总体而言,黑客、恶意软件和社交攻击(如网络钓鱼)等是过去一年中最多的安全违规事件。 除此之外,分布式拒绝服务(DDoS)攻击是 Verizon 2018 年报告强调的另一个重大威胁。Verizon 表示:“ DDoS 攻击可能会对任何人造成影响,因为它经常会被用作伪装启动或者停止后重新启动,以隐藏正在进行的其他违规行为。 目前来说,大多数网络犯罪分子具有经济动机,因此,他们针对金融、保险和零售行业发起的攻击不足为奇。Corero Network Security 的产品管理总监 Sean Newman 认为对于能够希望实现 100% 正常运行的在线公司而言,实时检测并自动减轻攻击的 DDoS 技术应该是必备的要求。 消息来源:threatpost,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

新型 ATM 恶意软件 ATMJackpot 出现,专家预测即将在野外现身

Netskope 威胁研究实验室发现了一种新的 ATM 恶意软件 ATMJackpot。该恶意软件似乎源于香港,并于 2018 年 3 月 28 日在二进制文件中有时间戳。这种恶意软件很可能还在开发中。 与以前发现的恶意软件相比,此恶意软件的系统占用空间更小。 目前还不清楚 ATMJackpot 恶意软件的攻击媒介,通常是这种恶意软件是通过 ATM 上的 USB 手动安装的,还是从受损的网络下载的。 ATMJackpot 恶意软件首先将 Windows 类名称“ Win ”注册到恶意软件活动的过程中,然后恶意代码创建该窗口,在窗口中填充选项并启动与 XFS 管理器的连接。XFS 管理器实现访问 API,以控制来自不同供应商的 ATM 设备。恶意软件开启与服务提供商和注册的会话以监控事件,然后打开与自动提款机,读卡器和密码键盘服务提供商的会话。 一旦与服务提供商的会话打开,恶意软件就能够监视事件并发出命令。专家认为,恶意软件的作者将继续改进它,他们预计它很快就会在野外发现。 美国特勤局警告称,网络犯罪分子针对美国的 ATM 机器,迫使他们通过“ jackpotting ”攻击吐出数百美元,近几年 ATM 机累积奖金攻击的数量正在增加。 2017 年 5 月,欧洲刑警组织在欧洲各地逮捕了 27 起针对自动柜员机的头奖攻击案,2017 年 9 月,欧洲警察组织警告说,ATM 攻击正在增加。犯罪组织正在通过银行的网络瞄准 ATM 机,这些业务涉及钱币骡子的出钱。此外,几周前,据称 Carbanak 集团的负责人在西班牙被警方逮捕,因其涉嫌在一家银行网络主席窃取约 8.7 亿英镑(10 亿欧元)。 消息来源:东方安全,封面源自网络;