标签: 网络安全

网络安全漏洞暴露了 Clearview AI 的源代码和应用程序数据

备受争议的面部识别创业公司Clearview AI的安全漏洞意味着其源代码,一些秘密密钥和云存储凭据,甚至其应用程序的副本都可以公开访问。 TechCrunch报道说,网络安全公司SpiderSilk的首席安全官Mossab Hussein发现了Clearview AI一个暴露的服务器,他发现该服务器被配置为允许任何人注册为新用户并登录。 Clearview AI最早在1月份成为头条新闻,当时《纽约时报》的一次曝光详细介绍了其庞大的面部识别数据库,其中包括从网站和社交媒体平台上抓取的数十亿张图像。用户上传感兴趣的人的照片,Clearview AI的软件将尝试将其与数据库中任何相似的图像进行匹配,从而有可能从单个图像中揭示一个人的身份。 自从其作品公开以来,Clearview AI一直辩护说自己的软件仅适用于执法机构。但是,有报道称Clearview一直在向包括梅西百货和百思买在内的私营企业销售其系统。现在,此类不良的网络安全做法可能会使此功能强大的工具落入公司客户列表之外的不法之徒手中。 据TechCrunch称,该服务器包含公司面部识别数据库的源代码,以及允许访问其Windows,Mac,Android和iOS应用程序副本云存储的密钥和凭据。Mossab Hussein因此能够截取该公司iOS应用程序的屏幕截图,苹果公司最近因为违反其规则而阻止了该应用程序。Mossab Hussein还表示,他可以访问该公司的Slack令牌,这可能允许访问该公司的内部私人通讯。 Mossab Hussein还说,他从该公司的云存储中发现了大约7万个视频,这些视频是从一栋住宅楼中安装的摄像头拍摄的。 Clearview AI的创始人Hoan Ton-That告诉TechCrunch,这些镜头是在大楼管理层许可下捕获的,这是尝试制作安全摄像机原型的一部分。据报道该建筑物本身位于曼哈顿,但TechCrunch指出,负责该建筑物的房地产公司未回复置评请求。 针对网络安全故障,Clearview AI表示,未公开任何可识别个人身份的信息,搜索历史或生物识别信息并补充说公司已对服务器进行了全面的审核,以确认未发生其他未经授权的访问,这表明Mossab Hussein是唯一访问配置错误服务器的人,服务器公开的密钥也已更改,因此它们不再起作用。 上市后,Clearview AI的系统遭到了科技公司和美国当局的激烈批评。用于建立其数据库的平台(包括Facebook,Twitter和YouTube)已指示Clearview停止抓取图像,已告知警察部门不要使用该软件,佛蒙特州总检察长办公室最近针对该指控展开了调查。它可能违反了数据保护规则。   (稿源:cnBeta,封面源自网络。)

报告称网络钓鱼套件的平均价格上涨了 149%

从事网络安全研究的Group-IB表示,该公司通过分析汇总已知的网络犯罪市场和黑客论坛上发布的交易数据,2019年网络犯罪黑市上出售的网络钓鱼套件的平均价格从2018年录得的122美元飙升至去年的304美元。 尽管网络钓鱼工具包的卖家数量(增长了120%)和网络钓鱼工具包广告的数量(2019年增长了一倍)双双增加,但由于“供需两旺”,钓鱼工具包的价格继续快速上扬。 在Group-IB在2019年识别和跟踪的16200个钓鱼套件中,伪造亚马逊、谷歌、Instagram、Office 365和PayPal的登录页面的手段最为常见。 亚马逊和PayPal是已知的最常用的网络钓鱼行动的目标,因为访问这两个账户可以让黑客直接利用受害者的资金进行欺诈性交易。 访问谷歌和Office 365账户往往会导致企业网络遭到破坏,这也解释了为什么大多数网络钓鱼工具包都支持针对这两项服务的攻击。 另外一个有趣的现象是黑客也热爱“网红”,围绕着黑客入侵和出售高用户数的Instagram账号,这里又形成了一个网络犯罪社区。 这种交易大多发生在一个名为OGUsers的论坛上,而这似乎也吸引了网络钓鱼套件的卖家加入到这个网站上,作为可以购买钓鱼套件的三大网络犯罪论坛之一,它仅次于Exploit和Crimenetwork。 2019年网络钓鱼工具包价格上涨有一系列原因。其中最主要的一个原因是,近年来随着浏览器越来越难被黑客入侵,这种网络钓鱼懒人工具包的效率下降了。这反过来推动了越来越多的黑客拥抱基于电子邮件的攻击,将其作为入侵组织的主要手段。 如今,网络犯罪生态系统中的很大一部分是由基于电子邮件的攻击所驱动的。虽然大多数电子邮件攻击主要集中在传递受恶意软件感染的文件或引诱用户到可以下载恶意软件的网站上,但这些攻击中也有很大一部分是网络钓鱼。 网络钓鱼,指的是引诱用户到一个托管虚假登录页面的网页,收集登录信息并引诱受害人做出泄露隐私数据的动作从而从中牟利。制作精良的网络钓鱼工具包会附带大量的钓鱼模板和功能,可以绕过电子邮件安全系统。 此外,还有其他原因。比如说,买家也在从过去的错误中汲取教训。廉价或免费的钓鱼套件往往含有后门,所以现在大多数买家已经学会了去购买高价值的产品,而不是免费的工具,这无形中增加了需求量,钓鱼套件的价格也随之水涨船高。 网络安全领域的一个公理是:黑客工具的价格与合法产品的安全性间接成正比。黑客工具的价格越高,合法产品越难被黑客入侵。换句话说,2019年网络钓鱼工具价格上涨是一个很好的消息,因为这意味着电子邮件安全系统在检测攻击方面的能力越来越强。   (稿源:cnBeta,封面源自网络。)

以色列研究人员演示通过风扇振动和智能手机来窃取 PC 数据

除了软硬件和网络通讯协议上的漏洞,近年来我们还见到了各种稀奇古怪的 PC 数据窃取方案,比如通过芯片工作时的电磁波、或人耳难以察觉的扬声器 / 麦克风方案来泄露数据。近日,以色列本·古里安大学的研究人员更是突发奇想,演示了如何通过风扇振动和智能手机,成功地从 PC 上窃取数据。 即便是物理上相互隔离、且没有接入到互联网,这套被称作 AiR-ViBeR 的方案,还是能够以人们难以察觉的方式来泄露数据。 理论上,我们可以将 CPU、GPU、机箱风扇等机电组件的振动模式与特殊的恶意软件结合使用,以直接操控风扇的转速。 视频详见:https://www.cnbeta.com/articles/tech/968891.htm 概念验证期间,研究人员使用了一部和计算机放在同一张桌面上的智能机。尽管两者之间没有物理和常见的无线连接,但手机仍可通过加速度计来记录振动的变化。 三星 Galaxy S10 等高端设备,其内置的传感器已拥有足够的精确度,分辨率达到了 0.0023956299 m / s2 。 这种方式的另一个优点,就是攻击者无需破解任何移动设备 —— 无需在 Android / iOS 设备上启用特殊的权限,即可在后台神不知鬼不觉地读取加速度计的数据。 相关代码甚至可以借助 Web 浏览器的 JavaScript 脚本来实现,不过目前这项研究的最远传输距离也只有 1.5 米、且速度相当缓慢,因此大家没必要太过担心。   (稿源:cnBeta,封面源自网络。)

安全漏洞让用户紧张 Zoom引入重量级安全员修复

4月17日消息,据国外媒体报道,由于视频会议平台Zoom的安全漏洞引起美国相关部门注意且让客户担忧,公司雇佣了一批重量级安全员来修复漏洞。 疫情期间广受欢迎的Zoom在过去两周内已经聘请了数十名外部安全顾问。据知情人士透露,这些人中有来自Facebook、微软和谷歌等公司的前安全和隐私专家,他们希望迅速解决有关安全漏洞的问题。 Facebook前首席安全官亚历克斯·斯塔莫斯(Alex Stamos)表示,Zoom此举是借鉴了微软将近20年前为恢复Windows软件形象而采取的行动。微软在2002年转向“值得信赖的计算”之前,存在多年的安全问题让Windows用户容很易受到互联网蠕虫和其他病毒的攻击,从而损害微软的声誉。 疫情期间数百万人呆在家中,使得Zoom人气飙升,也引来了很多网络流氓和黑客的注意,以及隐私倡导者的审查。未经授权闯入会议的“Zoombombing”现象成为许多用户面临的问题。 报道称,安全专家在Zoom用于保护对话安全的密码系统中发现了大量软件漏洞和错误,这让Zoom公司受到打击。 据曾与公司合作过的顾问说,Zoom公司修复其系统和声誉所利用的资源远远少于当时已经是软件巨头的微软公司。 “他们被推到聚光灯下接受世界上最大科技公司才会受到的严格审查,”斯塔莫斯说。“那些公司往往有数百名工程师组成的团队,多年专门致力于安全实践。” Zoom目前引入的安全公司包括英国安全供应商NCC Group PLC、总部位于美国纽约的Trail of Bits、位于亚利桑那州坦佩的Bishop Fox以及位于德克萨斯州奥斯汀的Praetorian Security等公司。Zoom还正在使用CrowdStrike和Queen Associates旗下安全情报机构DarkTower提供的安全情报服务。 Zoom公司首席执行官袁征在4月1日的一篇博客文章中宣布,Zoom公司将冻结产品开发,并承诺在未来90天内解决公司安全问题。几天后他说,“我真的搞砸了。”他还表示,公司现在会优先考虑安全性,而不是易用性。   (稿源:网易科技,封面源自网络。)

警惕某黑产团伙针对 Windows/Linux 双平台的批量抓鸡行动,已有上千台服务器失陷

感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/zFW8Niekso7uVCyOjoMn2w 一、概述 近期腾讯安全威胁情报中心发现一黑产团伙通过多种自动化扫描爆破工具攻击Windows/Linux服务器,攻击者使用的爆破工具包括ssh/mysql/rdp等多种爆破工具,爆破成功后会在windows/Linux平台植入后门。腾讯安全威胁情报中心在攻击者的HFS服务器上发现3个攻击载荷,包括2个针对Linux系统的DDoS僵尸网络木马billgates及一个针对windows系统的后门窃密木马。 攻击载荷服务器 该黑产团伙的主要特点: 1.针对windows/Linux双平台的攻击载荷都是通过生成器生成,可配置上线地址,自动化、专业化程度高。 2.入侵手段主要是通过多种自动化扫描爆破工具包进行扫描爆破,包括3306/1433端口(mysql/sqlServer默认端口)、3389端口(远程桌面)、SSH爆破等等。 3.通过一键免杀工具进行免杀,通过代理频繁更换服务器IP躲避追踪,频繁更换HFS服务器上的文件,使点击量重新计数等方式躲避追踪查杀。 4.攻击载荷针对Linux系统的是DDoS僵尸网络木马billgates,针对windows系统的为后门窃密类木马。 该黑产团伙从四月份开始活跃,目前已有上千台主机失陷,失陷主机分布在全国各地,排名前三的省份为浙江、江苏、广东。 受该团伙攻击失陷的服务器分布 二、黑客攻击工具包分析 腾讯安全威胁情报中心的检测数据显示,攻击载荷同一台机器上的IP地址每天都会修改更换一个。该黑产团伙为了躲避追踪,用了代理工具频繁修改IP地址,所使用的域名xnsj.f3322.net近期被解析指向的多个IP,实际上也是同一台机器设备: 我们在这台HFS服务器上发现多个黑客工具包,包括3389抓鸡工具包、 红尘网安1433工具包,Linux爆破工具、3306抓鸡、SA弱口令、1433扫描工具、 一键免杀工具、 Linux/win平台生成器、DDoS压力测试工具等等。 部分黑客工具包及说明: 黑客工具包对应的功能 3389抓鸡工具包为远程桌面爆破工具,内置了爆破密码字典: 红尘网安1433工具包及3306工具包主要是针对mysql及sqlsver进行弱密码爆破: DDoS压力测试工具 三、Billgates僵尸网络木马分析 该团伙针对攻陷的Linux服务器会安装Billgate僵尸网络木马,Billgates僵尸网络最早出现在2014年,是最为活跃的僵尸网络家族之一,曾多次被安全厂商披露,在本案例中Billgates bot通过生成器生成,可配置ip/域名及端口。 Billgates bot生成器 持久化配置 Billgates Bot在多个目录创建了自启动脚本及文件。包括在自启动目录init.d创建自启动脚本。 DbSecuritySpt及在rc.d多个目录创建了自启动项 创建的自启动项: DDoS攻击 在函数MainProcess中完成主要的DDoS攻击功能,包括Tcp/Udp/Syn洪水攻击,DNS反射攻击等。 完整的攻击类型如下: MainProcess函数DDoS功能: 四、针对Windows平台的后门分析 该黑产团伙投放的Windows平台后门木马,也是通过生成器生成,可配置C2上线地址,监听端口,及标识码。 此外还可以选择是否加UPX壳及是否添加到开机自启动(默认添加)。 有后门类木马的几乎所有功能,包括键盘记录嗅探,文件下载、上传、执行,执行CMD命令等等。 目前其C2地址为116.207.21.252|xnsj.f3322.net:1999 功能函数: 五、安全建议 1.针对Linux平台的排查:可通过排除相关启动项查看是否中招,如果有包含 /etc/rc.d/init.d/DbSecuritySpt等自启动项则表示已经中招,建议网管及时清除。 2.推荐企业用户使用腾讯T-Sec终端安全管理系统(御点)查杀该团伙安装的Windows系统后门木马;   3.建议网管使用高强度密码,并经常更换,避免遭遇爆破入侵。推荐企业用户部署适当的腾讯安全完整解决方案提升系统安全性。 IOCs: MD5: 488d0393825b9d4aeebd30e236020d78 e133a6078a38e983c1a7a3fb14670c63 fe642d12ef1f884395a3bfd501949ebf b21f8aa2d18cb64b779161d475b68209 7145110d75992a0f0ab2332293fb73ab b4caaea9a5621a595d051da143b40015 935c5a016862605b9d62564c3acdb2aa 544344fb1410184109f85e6343bf0e15 4363993917d8386de4a4d07b4a1f70de 49ec29cab36ccf726c8c25f7aca6875c be89d31b7d876bc6058bd8e64f88c9e1 IP 116.207.21.252 111.176.102.38 116.207.16.45 111.176.101.97 域名: xnsj.f3322.net

微软发布字体解析远程代码执行漏洞补丁,建议用户尽快修补

感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/RvTZWvcXiXsI7xB6L9RWIg 漏洞背景 3月23日,微软发布公告ADV200006称Adobe Type Manager Library中存在2个未修补的漏洞,当Windows Adobe Type Manager Library处理Adobe Type 1 PostScript 格式字体时存在两个远程执行代码漏洞。 4月15日,谷歌安全团队称已发现该漏洞的野外利用,微软在4月例行安全更新中,已修补CVE-2020-1020/CVE-2020-0938漏洞。 腾讯安全团队已对漏洞进行分析,该漏洞可稳定利用: 视频详见:https://mp.weixin.qq.com/s/RvTZWvcXiXsI7xB6L9RWIg 漏洞版本 Windows 10 for 32-bit Systems Windows 10 for x64-based Systems Windows 10 Version 1607 for 32-bit Systems Windows 10 Version 1607 for x64-based Systems Windows 10 Version 1709 for 32-bit Systems Windows 10 Version 1709 for ARM64-based Systems Windows 10 Version 1709 for x64-based Systems Windows 10 Version 1803 for 32-bit Systems Windows 10 Version 1803 for ARM64-based Systems Windows 10 Version 1803 for x64-based Systems Windows 10 Version 1809 for 32-bit Systems Windows 10 Version 1809 for ARM64-based Systems Windows 10 Version 1809 for x64-based Systems Windows 10 Version 1903 for 32-bit Systems Windows 10 Version 1903 for ARM64-based Systems Windows 10 Version 1903 for x64-based Systems Windows 10 Version 1909 for 32-bit Systems Windows 10 Version 1909 for ARM64-based Systems Windows 10 Version 1909 for x64-based Systems Windows 7 for 32-bit Systems Service Pack 1 Windows 7 for x64-based Systems Service Pack 1 Windows 8.1 for 32-bit systems Windows 8.1 for x64-based systems Windows RT 8.1 Windows Server 2008 for 32-bit Systems Service Pack 2 Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation) Windows Server 2008 for Itanium-Based Systems Service Pack 2 Windows Server 2008 for x64-based Systems Service Pack 2 Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation) Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1 Windows Server 2008 R2 for x64-based Systems Service Pack 1 Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation) Windows Server 2012 Windows Server 2012 (Server Core installation) Windows Server 2012 R2 Windows Server 2012 R2 (Server Core installation) Windows Server 2016 Windows Server 2016 (Server Core installation) Windows Server 2019 Windows Server 2019 (Server Core installation) Windows Server, version 1803 (Server Core Installation) Windows Server, version 1903 (Server Core installation) Windows Server, version 1909 (Server Core installation) 漏洞分析 漏洞模块为atmfd.sys(Windows 10 1703后是fontdrvhost.exe),成因在于Windows解析PostScript字体中的BlendDesignPositions或BlendVToHOrigin时,没有经过安全检查,导致处理模块可能引发越界写,栈溢出的问题。 SetBlendDesignPositions BlendDesignPositions格式如下: Win7 x86环境下,atmfd!SetBlendDesignPositions在解析BlendDesignPositions array时,会将内容全部保存到栈上,缓冲区的大小是960(0x3C0),因此最多存放16个sub-array,当sub-array数量大于16时,会引发溢出: ParseBlendVToHOrigin atmfd!ParseBlendVToHOrigin在处理数组BlendVToHOrigin时存在两处溢出。 Win7x86下由于定义的int v12[2]仅有8个字节,当NumMasters大于2时,引发缓冲区溢出: NumMasters大小可以在字体文件中通过构造特殊的BlendDesignPositions或WeightVector控制: 第二处溢出发生在atmfd.sys读取BlendVToHOrigin时,首先获取当前NumMasters并根据其大小将BlendVToHOrigin的数据复制到栈中的V11,由于NumMasters可控,当NumMasters过大时会对栈中的v11造成溢出,V11同样也是8字节: 第二次溢出时,由于V12在V11的高地址方向,所以当V11溢出时会覆写V12中保存的指针。 补丁分析 由于win7已停止更新,win10 1703后微软把atmfd.sys模块的功能移植到fontdrvhost.exe中,补丁前后漏洞模块共做了2处修改,2个函数均存在栈溢出漏洞: 补丁后SetBlendDesignPositions中增加了条件判断,sub-array数量超过16时返回错误,避免溢出: 补丁后ParseBlendVToHOrigin中启用了GS保护栈的完整性,并在读取BlendVToHOrigin数组前,限制了NumMasters大小; 解决方案 1. 推荐企业用户部署腾讯T-Sec高级威胁检测系统(腾讯御界)对黑客利用漏洞的攻击行为进行检测。腾讯T-Sec高级威胁检测系统,是基于腾讯安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统,该系统可及时有效检测黑客对企业网络的各种入侵渗透攻击风险。参考链接:https://cloud.tencent.com/product/nta 腾讯T-Sec高级威胁检测系统可检测利用Type 1字体漏洞的攻击行为 2.推荐企业用户使用腾讯T-Sec终端安全管理系统(御点)修补各终端系统的安全漏洞,个人用户可使用腾讯电脑管家的漏洞修补功能安装补丁,也可使用Windows Update。 时间线 3月23日,微软发布通告ADV200006称Adobe Type Manager Library中存在2个未修补的漏洞; 3月24日,腾讯安全发布漏洞通告; 4月15日,微软官方发布CVE-2020-1020/CVE-2020-0938漏洞通告及补丁。 参考链接: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1020 https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0938

响尾蛇(SideWinder)APT组织使用新冠疫情为诱饵的攻击活动分析

感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/yxUTG3Qva169-XiYV0pAyQ   一、背景介绍 伴随新冠疫情在全球范围的爆发,疫情的动态资讯成为我们每天必会定接触到的外界信息,在这种大环境下,我们对疫情主题相关的推送信息警惕性会相对变低。而善于浑水摸鱼,披狼皮装羊的APT组织自然不会放过这种增热点的机会,以“新冠疫情”为主题的APT攻击活动从2月份起就持续不断。 最近,腾讯安全威胁情报中心就捕获到了一起响尾蛇(SideWinder)APT组织以新冠疫情为主题针对巴基斯坦军方的攻击活动。 响尾蛇(SideWinder)是腾讯安全威胁情报中心最早在2018年披露的APT攻击组织,该组织最早的攻击活动可以追溯到 2012 年。该组织主要针对巴基斯坦、中国大陆的政府、军工、军事目标等进行攻击活动。攻击武器库包括PC端、移动端等。 二、技术分析 本次攻击的诱饵为一个名为Pak_Army_Deployed_in_Country_in_Fight_Against_Coronavirus.pdf.lnk的快捷方式文件: 该lnk文件的基本属性 诱饵的生成时间和其他属性 可以看到攻击者的诱饵生成时间为2019年的6月19日,在vmware虚拟机生成。 执行快捷方式后,会从http://www.d01fa.net/images/D817583E/16364/11542/f2976745/966029e下载hta文件并且执行。 下载回来的hta会对受害设备上的.NET进行版本检测,删除除了V2和V4以外的版本,还通过shell指令指定执行的版本,此外,样本之后释放的的rekeywiz.exe.config配置文件目的与之相同,均为防止不同.NET版本之前出现兼容性问题。 除了对受害设备.NET版本进行版本选择之外,HTA文件还会对设备上的杀软进行检测: 之后,会创建一个HTA实例,通过url下载第二个HTA文件并将之执行,同时释放命名为“Pak_Army_Deployed_in_Country_in_Fight_Against_Coronavirus.pdf”的PDF诱饵文档: 释放的诱饵文档为: 可以看到,诱饵内容跟新冠疫情、巴基斯坦军方相关。 第二个HTA文件其数据解密方式,以及总体框架与第一个HTA文件相同,主要功能是在C:\ProgramData\创建了一个fontFiles文件夹(包含释放的四个文件:Duser.dll、rekeywiz.exe、rekeywiz.exe.config、SOHYXY.tmp),利用rekeywiz.exe白文件加载Duser.dll黑文件。该白加黑的手法也是SideWinder惯用伎俩。其中TMP文件的文件名为随机字符: Duser.dll为一个加载器,主要目的是对之前释放的SOHYXY.tmp文件进行简单的异或解密,然后进行加载: 解密后的SystemApp.dll文件,是为最终释放的RAT。 该RAT的功能跟之前的类似,包括信息收集、文件上传等。 如对用户信息、设备信息、网卡信息、已安装杀软的信息、磁盘驱动设备信息、设备已安装进程信息等进行窃取、收集: 文件上传途径有两种,对应RAT在配置模块中的两个等待上传的文件列表,C2通过下发指令修改配置模块,实现对所有文件或指定文件的上传。文件上传: 对C2的下发指令进行分析,可得出以下指令集: RAT会在fontFiles文件夹中新建名为“font”的文件,用于保存C2下发的指令,但指令是经过加密的,经过解密之后,可查看指令明文,而每一次指令下发,原指令数据都会被覆盖,生成新的font文件。 三、关联分析 除了发现的以“新冠疫情”为主题的样本以外,我们还发现了SideWinder(响尾蛇)的多个其他攻击活动。 如Additional_CSD_Rebate.pdf.lnk,以向退役军人发放csd回扣卡为主题的进行钓鱼活动: 诱饵文件除了lnk之外,还有使用office漏洞的攻击,如 但是最终执行的payload都大同小异,就不再赘述。 四、安全建议 1、建议重要机构网管培训工作人员不要随意打开不明来源的邮件附件,在邮件目的及发件人均未知的情况下,建议不要访问附件。 2、建议企业用户使用腾讯T-Sec终端安全管理系统(御点)修补漏洞,及时安装系统补丁,可减少被漏洞攻击的风险,同时注意打开Office文档时,避免启用宏代码。 3、推荐企业用户部署腾讯T-Sec高级威胁检测系统(御界)对黑客攻击行为进行检测。 腾讯T-Sec高级威胁检测系统,是基于腾讯安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统,该系统可及时有效检测黑客对企业网络的各种入侵渗透攻击风险。参考链接:https://cloud.tencent.com/product/nta 五、附录 1、IOCs 3c9f64763a24278a6f941e8807725369 40fd59323c3883717faca9424b29b9aa 3e0c08851aafbca17dda7ce54ba52cb9 1aa880affbd363401e1a25c07ad1ef1e 95413052d03971654687d8508a6a32e9 7a4f9c2e5a60ec498c66d85d2df351e8 120e3733e167fcabdfd8194b3c49560b 7442b3efecb909cfff4aea4ecaae98d8 bfad291d000b56ddd8a331d7283685b2 fef12d62a3b2fbf1d3be1f0c71ae393e 58363311f04f03c6e9ccd17b780d03b2 9b1d0537d0734f1ddb53c5567f5d7ab5 URL https://cloud-apt.net/202/AEETLbHd0DGh9r86lU6CFOCttbakx5vMmEGfKLTP/16364/11542/9c8ea254 https://www.d01fa.net /202/AEETLbHd0DGh9r86lU6CFOCttbakx5vMmEGfKLTP/16364/11542/9c8ea254 http://www.d01fa.net/plugins/16364/11542/true/true/ http://cloud-apt.net /plugins/16364/11542/true/true/ http://www.d01fa.net/cgi/8ee4d36866/16364/11542/58a3a04b/file.hta http://cloud-apt.net /cgi/8ee4d36866/16364/11542/58a3a04b/file.hta http://www.d01fa.net/images/D817583E/16364/11542/f2976745/966029e http://www.fdn-en.net/images/0B0D90AD/-1/2418/9ccd0068/9d68236 http://www.nrots.net/images/5328C28B/15936/11348/7c8d64e9/e17e25e http://ap-ms.net/202/M2qIMRE6Wu5W0pgsgYpzoKzlzclgtHbcLzhudKaF/-1/12571/d2d06434 https://www.sd1-bin.net/images/2B717E98/-1/12571/4C7947EC/main.file.rtf https://reawk.net/202/jQcPZ3kx6hGod25WMnTocKStUToZEPRy6WfWkEX3/-1/12571/87854fea 2、参考链接 https://s.tencent.com/research/report/799.html https://s.tencent.com/research/report/659.html https://mp.weixin.qq.com/s/CZrdslzEs4iwlaTzJH7Ubg  

TikTok 视频地址未启用 HTTPS 连接 研究者警告易受篡改攻击

热门短视频应用 TikTok 近日被发现存在一个较大的安全隐患,由于部分资源内容未启用安全的 HTTPS 加密连接,导致其容易被黑客攻击而篡改。开发者 Talal Haj Baktry 和 Tommy Mysk 以近期流行的新冠病毒资讯类视频为例,对 TikTok 默认通过 HTTP 连接的资源进行了拦截追踪和篡改攻击。 月份的时候,专注于研究热门 App 中漏洞的两人,发现了一个能够用于窥探 iOS 用户剪贴板中内容的 bug 。 现在,Baktry 和 Mysk 又揭示了月用户 8 亿的热门短视频应用 TikTok 中的一个安全隐患 —— 即便是最新的版本,其仍在通过未加密的 HTTP 连接,来获取 CDN 上的资源。 这意味着 Android / iOS 客户端的 TikTok 用户的观看历史记录易受拦截,甚至为更隐蔽的中间人攻击(MITM)敞开了大门。 研究人员警告称,攻击者甚至可以通过入侵本地网络,将客户端上的视频替换成任何虚假的信息。 为作概念验证,二人搭建了模仿 TikTok 内容交付网络(CDN)的假服务器,然后顺利地利用 MITM 技术欺骗看 TikTok 客户端,将虚假信息视频呈现在了用户的手机屏幕上。 二人以充满错误信息的有关新冠病毒的编造视频片段,代替了世界卫生组织和红十字会的官方内容。Baktry 和 Mysk 写道: “我们成功拦截了 TikTok 的流量,并欺骗客户端来显示编造后的视频,就像它是经过验证的官方账户所发布的那样。对于那些以误导事实来污染互联网内容的人们来说,这简直是一款完美的工具”。 需要指出的是,这种特定的攻击需要访问确切的路由器配置,意味着它很可能被 Wi-Fi 运营商所利用。 此外,默认以 HTTP 连接来调取 CDN 内容的方式,或导致 TikTok 被恶意的无线网络接入点、虚拟专用网、互联网服务提供商、甚至情报机构所利用。 据悉,TikTok 通过 HTTP 来传说包括视频、个人资料照片和剪辑的预览图像等信息,但视频仍是此类社交媒体平台的最主要功能。 为消除安全等方面的诸多不良影响,大多数线上服务和网站都已经转移到 HTTPS 连接。遗憾的是,尽管苹果和谷歌也向 App 开发者提出了要求,但仍提供了向后兼容的非强制性选项。   (稿源:cnBeta,封面源自网络。)

旧金山国际机场证实其网站遭黑客入侵 员工密码或遭窃取

旧金山国际机场已确认,其两个网站在3月份被黑客入侵,攻击者似乎已经访问了其员工和承包商的用户名和密码。该机场在4月7日的一份通知中证实,SFOConnect.com和SFOConstruction.com这两个网站是 “网络攻击的目标”,黑客在这两个网站上 “插入了恶意的计算机代码,以窃取一些用户的登录凭证”。如果被窃取,这些登录凭证可能会让攻击者进入机场的网络。目前还不知道是否有任何额外的保护措施,如多因素认证等,以防止网络漏洞。 该通知还补充说:”用户可能会受到这次攻击的影响,包括那些通过基于Windows操作系统的个人设备或非机场维护的设备从机场网络以外的Internet Explorer访问这些网站的用户。” 通知称,机场于3月23日将员工专用网站下线,并发布了强制重置密码的通知。现在两个网站都已恢复运行。 旧金山国际机场的发言人没有立即发表评论。 攻击者利用现有的漏洞在网站上注入代码以获取输入的数据,如用户名和密码甚至信用卡信息等,这种情况并不罕见。 两年前,英国航空的网站上有38万名客户的信用卡记录被黑客在其网站和移动应用上注入恶意代码,导致38万名客户的信用卡记录被盗取。这次攻击导致了欧洲历史上最大的数据泄露罚款–约2.3亿美元–这要归功于当时新出台的GDPR法规。   (稿源:cnBeta,封面源自网络。 )

安全研究人员再次对恶意软件 xHelper 发出警告

安全研究人员再次对难以删除的恶意程序 xHelper 发出警告。过去一年,xHelper 主要通过第三方应用商店在俄罗斯、欧洲和西南亚运行 Android 6 和 7 的设备上传播。一旦安装它就难以卸载了,即使设备恢复到出厂设置也无法清除它。 当它伪装成合法应用安装到设备上之后,它会通过互联网下载一个木马收集信息,然后下载另一个木马,再利用一组漏洞利用代码获得设备的 root 权限。 这组漏洞利用代码主要针对中国制造的  Android 6 和 7 的设备。获得 root 权限之后,恶意程序会挂载到启用写访问的操作系统分区,改变 mount() 函数代码,防止其遭到删除。 要彻底删除 xHelper 可能需要完全抹掉设备上的文件,重新安装一个干净的版本,恢复出厂设置无法消灭它。   (稿源:cnBeta,封面源自网络。)