标签: 黑客

俄罗斯黑客瞄准了各国驻欧洲大使馆和相关官员

根据CheckPoint Research的一份新报告,俄罗斯黑客最近通过向官员发送伪装成美国国务院官方文件的恶意附件,攻击了欧洲的一些大使馆。黑客攻击的目标是尼泊尔、圭亚那、肯尼亚、意大利、利比里亚、百慕大和黎巴嫩等国的欧洲大使馆。 他们通常通过电子邮件向官员们发送带有恶意宏的微软Excel表格,这些宏看上去似乎来自美国国务院。一旦被打开,黑客就可以通过恶意软件Teamviewer来完全控制被感染的电脑。 很难说这场运动背后是否有地缘政治动机,因为它不是针对某个特定地区,受害者来自世界各地。政府财政官员也受到这些攻击,CheckPoint Research指出,黑客对这些受害者特别感兴趣的,他们似乎都是从几个税务部门精心挑选出来的政府官员。 黑客看起来非常老练,精心策划了攻击,使用针对受害者的利益量身定制的诱饵文件,并针对特定的政府官员。 虽然黑客是俄国人,但这些袭击不太可能是由俄罗斯国家赞助,CheckPoint Research认为他们发动攻击应该是出于经济动机。   (稿源:cnBeta,封面源自网络。)

华硕回应 Live Update 软件漏洞:仅数百台受到影响

来自卡巴斯基实验室(Kaspersky Labs)的安全研究人员周一表示,他们发现去年黑客通过华硕Live Update软件的漏洞入侵计算机,向100多万华硕电脑用户发送了恶意软件,导致这些电脑可能存在后门。据台湾地区媒体《中时电子报》报道,华硕今天下午表示,此事件已在华硕的管理及监控之中。 华硕称,媒体报道华硕Live Update工具程序(以下简称Live Update)可能遭受特定APT集团攻击,APT通常由第三世界国家主导,针对全世界特定机构用户进行攻击,甚少针对一般消费用户。经过华硕的调查和第三方安全顾问的验证,目前受影响的数量是数百台,大部份的消费者用户原则上并不属于APT集团的锁定攻击范围。 华硕表示,Live Update为华硕笔记本电脑搭载的自动更新软件,部份机型搭载的版本遭黑客植入恶意程序后,上传至档案服务器(download server),企图对少数特定对象发动攻击,华硕已主动联系此部份用户提供产品检测及软件更新服务,并由客服专员协助客户解决问题,并持续追踪处理,确保产品使用无虞。 针对此次攻击,华硕已对Live Update软体升级了全新的多重验证机制,对于软体更新及传递路径各种可能的漏洞,强化端对端的密钥加密机制,同时更新服务器端与用户端的软件架构,确保这样的入侵事件不会再发生。   (稿源:新浪科技,封面源自网络。)

CrowdStrike 发布 2019 网络安全威胁报告 黑客最快20分钟内得逞

CrowdStrike 刚刚发布了最新一期的全球网络安全威胁报告,指出在安全漏洞曝出之后,黑客最快可在不到 20 分钟的时间内展开行动。去年的时候,这家安全研究机构引入了“突破时间”的概念,特指首个节点设备遭到黑客入侵后,攻击者在网络中横向移动所需的时间。 CrowdStrike 表示,最新报告基于超过 3 万次企图入侵的数据。 CrowdStrike 衡量了各个地区的平均行动速度,发现在利益的驱使下,网络攻击者的行为,呈现出了一定的差异化。 以俄罗斯为例,CrowdStrike 发现那里的黑客是行动最快的。在最初攻击开始后的第 18 分钟,即可在网络中横向移动。 不过排名第二的组织,平均耗时已达 2 小时 20 分,最慢的更是接近 10 个小时。 2018 年开始的调查还显示,针对大型组织发动的勒索软件攻击、以及黑客之间展开的复杂合作,已经变得愈发常见。   (稿源:cnBeta,封面源自网络。)

澳大利亚总理认为一个“成熟的国家行为体”应对黑客攻击行为负责

据外媒CNET报道,澳大利亚总理斯科特·莫里森(Scott Morrison)周一表示,一个“成熟的国家行为体”是对议会网络黑客攻击事件的幕后推手。莫里森称,最近对澳大利亚议会计算机网络的黑客攻击是由一个“成熟的国家行为体”进行的,在全国大选前几周提出了对外国政治干预的担忧。 莫里森表示,包括自由党—国家党联盟以及反对派工党在内的主要政党的网络都遭受攻击。他没有明确说出涉嫌发起黑客攻击的国家。 “恶意行为者使用的方法不断发展,这一事件再次强化了网络安全作为每个人业务的基本组成部分的重要性,”莫里森说道。 自俄罗斯干预2016年美国大选以来,对外国干涉选举的担忧有所增加。美国官员指责国家支持的俄罗斯黑客入侵民主党全国委员会的服务器窃取电子邮件,使克林顿的竞选活动陷入尴尬境地。 莫里森接着表示,目前还没有收集到干预选举的证据,但该国政府已采取“一系列措施”,以确保选举制度的完整性。预计全国大选将于5月举行。他表示,负责监督国家网络安全的澳大利亚网络安全中心正在与反病毒公司合作,以确保该国有能力发现恶意活动。   稿源:cnBeta,封面源自网络;

与《我的世界》相关的炸弹威胁恶作剧导致数百所学校撤离 两名涉事黑客遭指控

据外媒 The Verge 报道,近日一个与《我的世界》(Minecraft)相关的炸弹威胁恶作剧导致英国和美国数百所学校的学生撤离,而两名涉事黑客已被逮捕指控。 Timothy Dalton Vaughn和George Duke-Cohan,他们各自的黑客别名 “wantbyfeds” 和 “DigitalCrimes” ,在 2 月 8 日因黑客犯罪、阴谋和“涉及爆炸物的州际威胁” 被指控,指的是他们将众多炸弹威胁发送到不同的学校。 法院文件声称,Vaughn 和 Duke-Cohan 在一个名为 Apophis Squad 的黑客组织内行动,协调了一系列“炸弹和学校射击威胁,旨在引起对迫在眉睫的危险的恐惧,并导致两大洲数百所学校在很多场合关闭。“ 关于 Vaughn 和 Duke-Cohan 的行动的报道于 2018 年 3 月首次出现。他们向学校发送电子邮件,迫使撤离,但英国诺桑比亚警方的一份声明证实这是一个可追溯到美国的恶作剧。 该部门在 Twitter 上写道:“警方已经调查过这些电子邮件 – 这些电子邮件似乎来自美国 – 并且可以确认没有可行的威胁。” Sky News 随后报道称,这些电子邮件被“欺骗”,试图让 VeltPvP(一种流行的《我的世界》服务器)的域名暂停。检察官声称,Apophis Squad 也使用这些电子邮件,听起来威胁 Zonix,一个经常用于《我的世界》的客户,以及 VeltPvP。根据法庭文件,Vaughan 和 Duke-Cohen 使用 Discord 服务器和 IRC 房间与 Apophis Squad 的其他成员协调各个学校的电子邮件。 威胁是在几个月的时间内发出的,在法庭文件中提到了许多事件。Apophis Squad 将使用 Twitter 向想要放学一天的人发送黑客小组现金,并发送恶作剧电子邮件作为回应。2018 年 4 月 28 日,Duke-Cohen 根据 Apophis Squad Twitter 的推文发布了他们“计划在周一尽可能多地打击学校”的推文。       稿源:cnBeta.COM,封面源自网络;

安全专家发出警告:黑客正在测试感染 Mac 的新方法

趋势科技发出警告,黑客正在测试一种感染 Mac 的新方法。其能够绕过 macOS 的 Gatekeeper 安全特性,将包含恶意软件的可执行文件部署到受害者的计算机上。据悉,这家安全企业是在分析 Little Snitch 时,发现的这一最新威胁。Little Snitch是一个易于作为洪流访问的防火墙应用程序。研究人员认为,黑客仍在研究恶意软件及其使用方式。 需要指出的是,Mac 用户无法安装 EXE 文件,这是 Windows 使用的可执行文件格式。如果 macOS 用户尝试安装 EXE 文件,那他们将看到一条错误提示。 然而黑客似乎已经找到了这个问题(尤其是攻破 Gatekeeper)的解决办法 —— 将 EXE 文件打包在 DMG 文件中(后者是 Mac 上的应用程序封装格式)。 趋势科技在报告中指出,自家安全研究人员在野外发现了其中一种恶意软件。它能够绕过 Gatekeeper,因其只检查和验证 macOS 上的本机文件。 在对 Little Snitch Setup.dmg 安装程序进行分析后,我们发现其中包含了 EXE 格式的可执行文件。 不过,目前在未发现与恶意软件相关的特定攻击模式,大多数感染发生在英国、澳大利亚、亚美尼亚、卢森堡、南非和美国地区。 由于 EXE 文件无法在 macOS 上运行,因此攻击者需要将之与 Mono 捆绑在一起。后者是一个免费框架,可让 Mac 用户运行 Windows 可执行文件。 据悉,在感染系统之后,恶意软件能够收集大量数据,包括已安装的其它应用程序、型号、名称等内容。最终,研究人员指出: 这类恶意软件是专门针对 macOS 用户设计的,因为当尝试在 Windows 上运行恶意软件时,反而会发生错误。 对此,我们的建议依然是 —— 避免从未经验证的来源下载软件和其它文件、并在 Mac 上启用多层防护。   稿源:cnBeta,封面源自网络;

Twitter 声称账户劫持漏洞已修复 黑客:胡扯

新浪科技讯 北京时间12月29日上午消息,Twitter平台出现一个漏洞,由伦敦安全研究人员组成的团队说,利用漏洞,他们可以在无授权条件下通过英国名人、记者的账户发布消息。后来Twitter发声明称漏洞已经修复。不过发现漏洞的黑客却说,Twitter睁眼说瞎话,漏洞根本没有修复。 周五时,Twitter新闻发言人告诉记者,他们已经修复漏洞,通过漏洞,黑客可以瞄准与英国手机号码挂钩的特定账户,利用账户发送欺诈信息。然而,在Twitter发表声明之后,黑客仍然可以继续利用名人账户发送未授权信息。 媒体追问Twitter,公司回应称正在进行调查,以确保账户安全协议能够如预期一样生效。   稿源:新浪科技,封面源自网络;

伊朗相关黑客利用网络钓鱼攻击活动人士和美国官员

据外媒报道,根据伦敦网络安全竞购Certfa最新公布的一份报告显示,与伊朗政府相关的黑客将实施了制裁的他国官员、活动人士和记者作为其网络钓鱼黑客攻击目标。获悉,目标包括了原子科学家、美国财政部官员以及今年被美国总统特朗普撤销的伊朗核协议的支持者和批评者。 Certfa发现,这场活动是由一个叫做Charming Kitten的黑客组织发起。研究人员在报告中写道:“换句话说,受到伊朗政府支持的黑客根据伊朗政府的政策和国际利益选择攻击目标。” 对此,伊朗政府并未立即置评。 报道称,该黑客行动在很大程序上主要依赖于诱骗邮箱用户交出他们电子邮件的用户名和密码。不过像Yubikey等这样的物理令牌有助于防止此类黑客攻击,因为当登录重要邮箱账号时设备必须在场才行。 Certfa指出,黑客们为了给自己的行动增加合法性会选择在某些情况下指示受害者在输入用户名和密码之前打开其在谷歌页面上的网站。研究人员说,他们已经将这种情况反映给了谷歌,为此谷歌关闭了该公司服务上的黑客页面。 目前还不清楚究竟有多少受害人落入了这个网络钓鱼的全套,而这些黑客之所以被发现看来是因为他们犯了一个基础错误。据称,他们在网上留下了一个不安全的信息,研究人员正是通过这个找到了他们并从中获取了钓鱼活动的细节信息。   稿源:cnBeta,封面源自网络;

卡巴斯基曝光 DarkVishnya 银行内网攻击案件细节

在影视作品中,经常能见到通过 USB 存储器发起的网路入侵攻击。剧情通常是从目标公司中挑选一位容易下手的雇员,让他在工作场所的某个地方插入。对于有经验的网络犯罪者来说,这显然是一件很容易暴露的事情。但没想到的是,同样的剧情,竟然在现实中上演了。2017~2018 年间,卡巴斯基实验室的专家们,受邀研究了一系列的网络盗窃事件。 它们之间有一个共同点 —— 有一个直连公司本地网络的未知设备。有时它出现在中央办公室、有时出现在位于另一个国家或地区的办事处。 据悉,东欧至少有 8 家银行成为了这种袭击的目标(统称 DarkVishnya),造成了数千万美元的损失。 每次攻击可分为相同的几个阶段:首先,网络犯罪分子以快递员、求职者等为幌子,潜入了组织的大楼、并将设备连接到本地网络(比如某个会议室中)。 在可能的情况下,该装置会被隐藏或混入周围环境,以免引起怀疑。如上图所示的带插座的多媒体桌子,就很适合植入隐蔽的设备。 根据网络犯罪分子的能力和个人喜好,DarkVishnya 攻击中使用的设备也会有所不同。在卡巴斯基实验室研究的案例中,通常有如下三种: ● 上网本或廉价笔记本电脑; ● 树莓派计算机; ● Bash Bunny — 一款用于执行 USB 攻击的特殊工具。 在本地网络内,该设备会显示为“未知计算机、外部闪存驱动器、甚至键盘”。然后再通过内置或 USB 连接的 GPRS / 3G / LTE 调制解调器,远程访问被植入的设备。 结合 Bash Bunny 在外形尺寸上与 USB 闪存盘差不多的事实,这使得安全人员在搜索时,难以决定从何处先下手。 攻击的第二阶段,攻击者远程连接到设备、并扫描本地网络,以访问共享文件夹、Web 服务器、和其它开放式资源。 此举旨在获取有关网络的信息,尤其是业务相关的服务器和工作站。与此同时,攻击者试图暴力破解或嗅探这些机器的登录凭证。 为克服防火墙的限制,它们使用本地 TCP 服务器来植入 shellcode 。 若防火墙阻止其从一个网段跳跃到另一个网段、但允许反向连接,则攻击者会借助其它可被利用的资源,来构建所需的通信隧道。 得逞后,网络犯罪分子会实施第三阶段: 登录目标系统,使用远程访问软件来保留访问权限,接着在受感染的计算机上启用 msfvenom 创建的恶意服务。 因为黑客利用了无文件攻击(Fileless Attacks)和 PowerShell,所以能够绕过白名单技术、或者域策略。 即便遇到了无法绕过的白名单,或者 PowerShell 被目标计算机阻止,网络犯罪分子亦可借助 impacket、winecesvc.exe 或 psexec.exe 等可执行文件,发动远程攻击。 最后,卡巴斯基实验室曝光了如下恶意软件: not-a-virus.RemoteAdmin.Win32.DameWare MEM:Trojan.Win32.Cometer MEM:Trojan.Win32.Metasploit Trojan.Multi.GenAutorunReg HEUR:Trojan.Multi.Powecod HEUR:Trojan.Win32.Betabanker.gen not-a-virus:RemoteAdmin.Win64.WinExe Trojan.Win32.Powershell PDM:Trojan.Win32.CmdServ Trojan.Win32.Agent.smbe HEUR:Trojan.Multi.Powesta.b HEUR:Trojan.Multi.Runner.j not-a-virus.RemoteAdmin.Win32.PsExec Shellcode 监听端口: tcp://0.0.0.0:5190 tcp://0.0.0.0:7900 Shellcode 连结点: tcp://10.**.*.***:4444 tcp://10.**.*.***:4445 tcp://10.**.*.***:31337 Shellcode 管道: \\.\xport \\.\s-pipe   稿源:cnBeta,封面源自网络;

黑客向热门 JavaScript 库注入恶意代码 窃取 Copay 钱包的比特币

尽管上周已经发现了恶意代码的存在,但直到今天安全专家才理清这个严重混乱的恶意代码,了解它真正的意图是什么。黑客利用该恶意代码获得(合法)访问热门JavaScript库,通过注射恶意代码从BitPay的Copay钱包应用中窃取比特币和比特币现金。 这个可以加载恶意程序的JavaScrip库叫做Event-Stream,非常受者欢迎,在npm.org存储库上每周下载量超过200万。但在三个月前,由于缺乏时间和兴趣原作者将开发和维护工作交给另一位程序员Right9ctrl。Event-Stream,是一个用于处理Node.js流数据的JavaScript npm包。 根据Twitter、GitHub和Hacker News上用户反馈,该恶意程序在默认情况下处于休眠状态,不过当Copay启动(由比特币支付平台BitPay开发的桌面端和移动端钱包应用)之后就会自动激活。它将会窃取包括私钥在内的用户钱包信息,并将其发送至copayapi.host的8080端口上。 目前已经确认9月至11月期间,所有版本的Copay钱包都被认为已被感染。今天早些时候,BitPay团队发布了Copay v5.2.2,已经删除Event-Stream和Flatmap-Stream依赖项。恶意的Event-Stream v3.3.6也已从npm.org中删除,但Event-Stream库仍然可用。这是因为Right9ctrl试图删除他的恶意代码,发布了不包含任何恶意代码的后续版本的Event-Stream。 建议使用这两个库的项目维护人员将其依赖树更新为可用的最新版本–Event-Stream版本4.0.1。此链接包含所有3,900+ JavaScript npm软件包的列表,其中Event-Stream作为直接或间接依赖项加载。   稿源:cnBeta,封面源自网络;