标签: 零日漏洞

卡巴斯基透露有黑客同时利用 Windows 10 和 Chrome 零日漏洞发动攻击

微软和谷歌都已经在昨天发布软件更新用于修复部分安全漏洞,这其中就包括某个在野外已遭到利用的零日漏洞。这些零日漏洞由卡巴斯基发现但是高级黑客团体早已利用,黑客借助这些漏洞可以直接在计算机上安装间谍软件。而经过溯源后卡巴斯基指出无法将攻击者归于任何特定攻击者,但攻击者使用的部分代码与拉撒路集团有相似性。 拉撒路集团是知名勒索软件WannaCry的始作俑者,而该集团也被安全公司认为是由北韩资助的国家级黑客团队。 利用漏洞攻击韩语新闻网站加载恶意软件: 卡巴斯基调查后发现最初攻击者利用某韩语新闻网站的漏洞嵌入恶意脚本,当用户浏览该网站时就会加载该脚本。 而这个恶意脚本里有代码是专门针对Google Chrome 的,黑客利用的漏洞是谷歌官方此前并未发现的零日漏洞。 恶意脚本被加载后会再调用Win32K 安全漏洞下载并安装恶意软件,该恶意软件会自动连接远程服务器获取指令。 也就是说主要用户浏览这个韩语网站就会被感染恶意软件,在这期间不需要用户执行任何交互动作即可完成攻击。 #攻击者将恶意脚本伪装成流行的jQuery库 卡巴斯基称这次攻击事件为Operation WizardOpium<script type="text/javascript" scr="hxxp://code.jquery.cdn.behindcorona.com/jquery-validates.js"></script> 潜在攻击者可能是拉撒路集团: 卡巴斯基在经过溯源和分析后表示没有确切证据能够将此次攻击事件与任何已知的高级持续性威胁团体关联起来。 但攻击者使用的相关代码与拉撒路集团有非常弱的相似性,这表明潜在的攻击团体可能是名声在外的拉撒路集团。 拉撒路集团曾发动过多次知名的网络攻击,包括WannaCry勒索软件、孟加拉国家银行失窃案、远东银行失窃案。 而该集团也被证实是北韩资助的国家级黑客组织,这次攻击的载体是韩语新闻网站也就是说主要目标是韩国用户。 因此按常理推测的话此次攻击是拉撒路集团发动的可能性非常大,不过卡巴斯基称暂时没有足够多的确切的证据。 卡巴斯基认为相关攻击代码与拉撒路集团有非常弱的相似性也可能是其他攻击者试图将调查视线转到拉撒路身上。 微软已经在例行更新中修复漏洞: 事实上这次安全漏洞不仅影响Windows 10, 据微软官方说明所有受支持的Windows版本包括服务器版均受影响。 出现安全漏洞的依然是最近非常热门的Win32K 组件,该组件从去年年底到现在已经被发现多个高危的零日漏洞。 微软表示攻击者借助此漏洞可以在内核模式下运行任意代码,包括安装软件、删改数据或新增同权限的用户账户。 受影响的版本包括Windows 7 SP1~Windows 10所有版本、Windows Server 2008 R2 到Server 2019版等等。 当然Windows 7 SP1之前的版本例如XP以及Windows 10已经停止支持的版本比如1803之前的版本也会受影响。 不过这些已经停止支持的版本并没有安全更新用于修复漏洞,所以建议用户们还是尽早升级受支持的版本比较好。 谷歌也已经修复零日漏洞: 这次攻击者同时利用Windows操作系统和Google Chrome漏洞比较罕见,不过现在这个漏洞利用方式已被封堵。 谷歌浏览器开发团队在接到卡巴斯基报告后已经及时修复漏洞,用户只要开启自动更新就可以自动升级到最新版。 目前谷歌浏览器在国内已经部署服务器可以提供更新,用户也可以点击这里访问中国官网下载谷歌浏览器安装包。   (稿源:cnBeta,封面源自网络。)

ZoneAlarm论坛遭遇黑客攻击,暴露成千上万用户数据

Check Point Technologies拥有的流行安全软件公司ZonaAlar 遭遇了数据泄露,安全漏洞暴露了ZonaAlarm论坛用户的数据。 ZoneAlarm套件包括面向用户和小型组织的防病毒软件和防火墙解决方案,下载量接近1亿。 虽然ZoneAlarm或者其母公司Check Point都还没有公开这次的事件,但该公司本周末悄悄地通过电子邮件警告了所有用户。 尚不清楚攻击者何时破坏了ZoneAlarm论坛。消息表明,攻击者获得了对论坛成员数据的未经授权的访问,包括姓名,电子邮件地址,哈希密码和生日。 好消息是,受影响的用户数量不大,此事件仅影响了“ forums.zonealarm.com”域,该域名下大约有4,500个订阅者。 “该论坛与公司的其他网站不同,只有少数的用户注册使用,”公司在通知邮件中解释道,“目前该网站为了解决问题而处于非活动状态,并将在修复后立即恢复。登录论坛后,系统将要求您重置密码。” 此次事件是由于缺少补丁程序管理所致。公司发言人解释说,攻击者利用了vBulletin论坛软件中的CVE-2019-16759远程执行代码漏洞。 9月,一位匿名黑客披露了技术细节和概念验证漏洞利用代码,以解决该漏洞中一个严重的零日远程代码执行漏洞。黑客可以远程利用此漏洞。黑客发布 的PoC对于5.0.0至5.5.4版本都有效,ZoneAlarm论坛正在运行5.4.4版本。 论坛软件的小部件文件在通过URL参数接受配置的方式中产生了零日漏洞。专家发现该软件包无法验证参数,攻击者可以利用该软件包注入命令,并在易受攻击的安装上远程执行代码。 此事件发生后,ZoneAlarm 关闭了论坛网站并开始对事件进行调查。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

研究人员披露新的 Steam 客户端零日漏洞,影响超过 9600 万 Windows 用户

Kravets 此次公布的 Steam 客户端零日漏洞是一种特权升级漏洞,将影响超过 9600 万用户。 首个 Steam 客户端零日漏洞就是被 Kravets 发现的,但在 Valve 解决此漏洞之后,研究员  Xiaoyin Liu  发现并披露了绕过 Valve 的补丁的方法。 结果Valve 不仅没有奖励 Kravets,还禁止他参加赏金计划。 Kravets 发现,攻击者可以利用 Steam 客户端服务的 NT AUTHORITY \ SYSTEM 特权,通过运行可执行文件实现特权升级。 据专家解释,此方法使用了 BaitAndSwitch,是一种为了赢得 TOCTOU(检查时间\使用时间)而将链接和 oplock 的创建相结合的技术。 黑客利用Steam游戏、Windows应用程序或操作系统本身的漏洞获得远程代码执行权限,并在权限提升之后使用 SYSTEM 权限运行恶意负载。 “因此,任何代码都可以以最大权限执行,这个漏洞类称为 “特权升级”(EOP)或 “本地特权升级 ”(LPE)。尽管任何应用程序本身都可能是有害的,但实现最大特权可能会导致灾难性的结果。” Kravetz 写道,“例如,禁用火墙和防病毒, rootkit的安装,隐藏 process-miner,窃取任何 PC 用户的私人数据 – 这些还不是全部。”     消息来源:SecurityAffairs,译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

KDE 存在一个很容易利用的 0day 漏洞,影响广泛

安全研究员 Dominik Penner 披露了 Linux KDE 桌面环境上存在的一个 0day 漏洞。 根据 Dominik 的说法,此漏洞存在于 KDE v4 与 v5 版本中,该漏洞使得嵌入在 .desktop 和 .directory 文件中的命令在打开文件夹或者将压缩文件夹提取到桌面时即可执行,目前几乎所有 Linux 发行版都在使用易受攻击的 KDE 版本。 .desktop 和 .directory 文件是符合 freedesktop.org 标准的桌面环境使用的配置文件,它们用于配置应用和文件夹的显示方式。.desktop 文件用于在 KDE 菜单中注册应用程序,而 .directory 文件用于描述 KDE 应如何显示文件夹。 在 BleepingComputer 的采访中,Dominik 解释:“KDE 4/5 容易受到 KDesktopFile 类中的命令注入漏洞的攻击。当实例化 .desktop 或 .directory 文件时,它通过 KConfigGroup::readEntry() 函数使用 KConfigPrivate::expandString()  不安全地评估环境变量和 shell 扩展。使用特制的 .desktop 文件,当用户在文件管理器中下载和查看文件,或者将链接拖放到文档或桌面上,就会被攻击。” 问题主要出在 KDE 允许 Shell 扩展通过环境变量或执行命令动态生成字段的值,“它们使用与 freedesktop 规范相同的语法,但是因为它们也允许 Shell 扩展(freedesktop 不允许这样做),所以这是可利用的。” 如开头 gif 所示,BleepingComputer 做了个简单的测试,可以很直观地了解该漏洞的执行过程。 该测试特别简单,测试者创建了一个 ZIP 文件,其中包含了一个带有 .directory 文件的子文件夹,在该配置文件的 icon 字段中,嵌入了一个启动并执行 kcalc 计算器的 test.sh 脚本。 因为目前无法关闭 KDE 桌面的 Shell 扩展来缓解该问题,所以 Dominik 建议用户检查每一个 .desktop 或 .directory 文件并禁用任何动态条目。   (稿源:开源中国,封面源自网络。)

研究发现对于 Windows 10 而言 大多数零日漏洞都已无效

微软已经证明他们最新的操作系统是最安全的:自2015年以来,只有40%的Windows零日漏洞可以成功利用在最新的Windows版本。微软安全响应中心的安全工程师Matt Miller撰文分析了2015年至2019年间的零日漏洞。 早在二月份,著名黑客米勒在BlueHat以色列安全会议上发表了演讲,他表示,在发布补丁之前,Windows漏洞可被利用,但通常几个月后就会失效。 事实也是如此,由于Control Flow Guard和Device Guard安全系统的加入,只要开启了更新操作系统功能的用户大多受到保护。在三分之二的实战演练中,由于添加到操作系统中的安全保护措施,0day漏洞对最近版本的Windows无效。 此外,调查结果显示,在过去12年中,微软解决的所有安全漏洞中有70%是与内存管理相关的问题。Miller的MSRC同事目前正在探索Rust作为C和C ++的替代品。语言的安全功能可能会导致与内存相关的错误数量进一步减少。   (稿源:cnBeta,封面源自网络。)

苹果发布静默更新:移除受 Zoom 安全漏洞影响的Web服务器

援引外媒 TechCrunch 报道,在曝光视频会议应用 Zoom 存在严重的零日漏洞–可以在 Mac 上使用隐藏的 Web 服务器打开视频通话之后,苹果决定亲自介入并已采取相应的措施方案。苹果发布了一个静默更新,意味着无需用户参与的情况下在 Mac 设备上移除这些网页服务器,能够防止所有已经安装 Zoom 软件的 Safari 用户进一步受到感染。     尽管 Zoom 在昨天已经发布了紧急修复补丁来移除这些网页服务器,不过显然苹果担心用户并不会主动更新,或者没有意识到打补丁的重要性,从而忽略了这个补丁更新。苹果的介入无疑提供了更妥善的安全解决方案,不仅是因为很多用户可能在暂时不会打开 Zoom,而且很多用户还卸载了这款应用程序。 不过需要注意的是,如果没有安装 Zoom 的紧急更新就执行卸载程序,这些网页服务器依然会留在用户计算机设备上,因此 Zoom 无法通过更新的应用程序卸载它。这就意味着唯一可靠和简单的方法就是苹果的介入。苹果报告称本次调整并不会影响 Zoom 应用在 Mac 设备上的功能。 Zoom 发言人 Priscilla McCarthy 告诉 TechCrunch:“我们很高兴与Apple合作测试此更新。我们希望今天解决 Web 服务器问题。我们感谢用户的耐心,因为我们会继续努力解决他们的问题。 本周早些时候,安全研究员 Jonathan Leitschuh 公开披露了在 Mac 电脑上 Zoom 视频会议应用中出现的一个严重零日漏洞。他已经证明,任何网站都可以在安装了 Zoom 应用的 Mac 电脑上打开视频通话。 这在一定程度上是可行的,因为 Zoom 应用在 Mac 电脑上安装了一个网络服务器用于接收普通浏览器不会接收的请求。事实上,即便卸载了 Zoom, 网络服务器仍会持续存在,并且可以在不需要用户干预的情况下重新安装 Zoom。   (稿源:cnBeta,封面源自网络。)

微软修复了五个 SandboxEscaper 零日漏洞中的四个

过去几个月,微软一直深受“沙箱逃逸”(SandboxEscaper)零日漏洞的困扰。因为黑客那边不按常理出牌,不仅没有给出 90 天的预备披露时间,还接二连三地抛出了针对 Windows 操作系统的特权提升漏洞。万幸的是,尽管准备工作有点仓促,该公司还是设法修复了已流出概念验证代码的五个漏洞中的四个,且目前尚无被人在野外利用的报道。 视频来源:https://twitter.com/i/status/1130968702239891456 据悉,已修补的这四个 SandboxEscaper 漏洞分别为: ● CVE-2019-1069 | 任务计划程序的特权提升漏洞 ● CVE-2019-1053 | Windows Shell 的特权提升漏洞 ● CVE-2019-1064 | Windows 特权提升漏洞 ● CVE-2019-0973 | Windows Installer 特权提升漏洞 鉴于漏洞的普遍严重程度,还请诸位及时安装每月发布的安全更新。   (稿源:cnBeta,封面源自网络。)

不满支持论坛,安全人员连续公布三个 WordPress 插件漏洞

被曝含 0day 漏洞的插件是 Yuzo Related Posts 和 Yellow Pencil Visual Theme Customizer,目前这两个插件已下架,开发人员建议用户尽快将涉及插件移除。 近日,有安全研究人员连续在 Plugin Vulnerabilities 平台上,对外公布了 3 个 WordPress 外挂程式的 0day 漏洞,将 10 万个 WordPress 网站于陷于安全风险中。相关研究人员在公布这些漏洞时,提到他们只是为了抗议 WordPress 支持论坛版(WordPress Support Forum)的版主行为。只要版主停止不当行为,他们会立即终止对外揭露 0day 漏洞。 被揭露漏洞的 3 个 WordPress 插件分别是 Social Warfare、Yuzo Related Posts 和 Yellow Pencil Visual Theme Customizer。其中,Warfare 是个社交网站分享插件,有超过 6 万个 WordPress 网站安装了该插件。研究人员在 3 周前公布了 Social Warfare 的安全漏洞,插件开发人员即时将它修补了。 另外两个插件就没这么幸运了。可用来自动找出相关文章的 Yuzo Related Posts 原本拥有 6 万个安装数量,可自定义主题的 Yellow Pencil Visual Theme Customizer 则有 3 万个安装数量,这两个插件都都惹来了攻击,目前已在 WordPress 插件商店下架,插件开发人员还建议用户应尽快将所安装的版本移除。 据了解,原本安全人员在公开漏洞前,会给开发者一定的缓冲时间。而这次漏洞曝光,研究人员故意不遵循责任揭露,直接对外公开这些 WordPress 插件漏洞。他们声称目的是为了抗议 WordPress 支持论坛版主的不当行为。这些版主明知有些热门插件含有漏洞,却未通知相关的开发人员。版主们甚至会联手隐瞒插件的安全问题,为了推广特定安全服务而阻拦用户得到其它帮助。 这次漏洞接连曝光事件,看起来很像是 Plugin Vulnerabilities 平台与 WordPress 支持论坛之间的恩怨而引发的。前者不仅是为 WordPress 打造,定位更是专门对抗 WordPress 插件漏洞的服务。但不论如何,原本应该是维护 WordPress 安全的事件,目前却已危及到了众多 WordPress 网站的安全。   (稿源:开源中国,封面源自网络。)

卡巴斯基实验室:win32k.sys 又曝出了新的零日漏洞

卡巴斯基实验室在安全公告中称,其安全研究人员在 win32k.sys 中又发现了一个新的零日漏洞,代号为 CVE-2019-0859 。2019 年 3 月,卡巴斯基的自动化漏洞利用防护(EP)系统检测到了对微软 Windows 操作系统中的漏洞尝试。但在进一步分析后,他们发现 win32k.sys 中确实存在新的零日漏洞,而且这是实验室最近几月内第五次发现被利用的本地提权漏洞。 Win7 SP1 x64 上的 win32k!xxxFreeWindow+0x1344 弹窗(图自:Kaspersky Lab) 2019 年 3 月 17 日,卡巴斯基实验室向微软提交了漏洞报告,该公司确认了该漏洞,并分配了 CVE-2019-0859 这个编号。 万幸的是,微软已经为该漏洞发布了一个补丁,并通过 Windows Update 进行了推送。 卡巴斯基实验室称,功劳簿上有 Vasiliy Berdnikov 和 Boris Larin 这两位安全研究人员的名字。 至于 CVE-2019-0859 漏洞的技术细节,主要是 CreateWindowEx 函数中隐含的 Use-After-Free 漏洞。 执行期间,CreateWindowEx 会在首次创建时,将 WM_NCCREATE 消息发送到窗口。 借助 SetWindowsHookEx 函数,可在窗口调用过程之前,设置处理 WM_NCCREATE 消息的自定义回调。 然而在 win32k.sys 中,所有窗口都由 tagWND 结构呈现,其具有“fnid”字段(亦称 Function ID)。 该字段用于定义窗口的类,所有窗口分为 ScrollBar、Menu、Desktop 等部分,此前卡巴斯基已经分享过与我们已经写过与 Function ID 相关的 bug 。 在 WM_NCCREATE 回调期间,窗口的 Function ID 被设置为 0,使得我们能够钩子内部为窗口设置额外数据,更重要的是 Hook 后立即执行的窗口过程的地址。 将窗口过程更改为菜单窗口过程,会导致执行 xxxMenuWindowProc,且该函数会将 Function ID 启动到 FNID_MENU(因为当前消息等于 WM_NCCREATE)。 在将 Function ID 设置为 FNID_MENU 之前操作额外数据的能力,可强制 xxxMenuWindowProc 函数停止菜单的初始化、并返回 FALSE 。 因此发送 NCCREATE 消息将被视为失败的操作,CreateWindowEx 函数将通过调用 FreeWindow 来停止执行。 卡巴斯基实验室发现,野外已经有针对 64-bit 版本的 Windows 操作系统的攻击(从 Windows 7 到 Windows 10),其利用了众所周知的 HMValidateHandle 漏洞来绕过 ASLR 。 成功利用后,漏洞会借助 Base64 编码命令来执行 PowerShell,主要目的是从 https // pastebin.com 下载执行二、三阶段的脚本。 其中三阶段脚本的内容很是简洁明了 —— 捷豹 shellcode、分配可执行内存、将 shellcode 复制到已分配的内存、以及调用 CreateThread 来执行 shellcode 。 shellcode 的主要目标,是制作一个简单的 HTTP 反向 shell,以便攻击者完全控制受害者的系统。     (稿源:cnBeta,封面源自网络。)

Chrome 扩展程序可防止基于 JavaScript 的 CPU 旁路攻击

据外媒报道,某学术团队创建了一个名为 Chrome Zero 的 Chrome 扩展程序,据称可阻止使用 JavaScript 代码从计算机中的 RAM 或 CPU 泄露数据的旁路攻击。目前该扩展程序仅在 GitHub 上提供,并且不能通过 Chrome 官方网上商店下载。 安全专家表示,目前有 11 种最先进的旁路攻击可以通过在浏览器中运行的 JavaScript 代码执行。 根据对这些先进的旁路攻击进行研究之后,研究人员确定了 JavaScript 旁路攻击试图利用的 5 种主要数据/特性:JS 可恢复的内存地址、精确的时间信息、浏览器的多线程支持、JS 代码线程共享的数据以及来自设备传感器的数据。 针对以上情况,Chrome Zero 试图通过拦截 Chrome 浏览器应执行的 JavaScript 代码,重写封装器中的某些 JavaScript 函数、属性以及对象来抵御旁路攻击。 尤其值得注意的是,安全专家表示 Chrome Zero 不仅能够消除旁路攻击,并且还具有最低的性能影响。此外,自 Chrome 49 发布以后,Chrome Zero 将能够阻止 50% 的 Chrome  0day 攻击。 消息来源:bleepingcomputer.,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。