标签: 黑客

研究发现黑客已渗透十多家运营商 必要时可切断通讯网络

黑客已经悄然渗透到全球十多家移动运营商,完全掌控了公司的通讯网络。根据总部位于波士顿的安全公司Cybereason近期发布的安全警告,在过去七年中黑客一直利用已经渗透的运营商网络来窃取敏感数据,甚至于在必要的时候可以完全关闭通讯网络。 该公司的安全研究人员本周二表示,他们一直在调查名为Operation Softcell的黑客活动,攻击目标主要针对欧洲、亚洲、非洲和中东地区的移动运营商。自2012年开始不断有移动运营商被悄然渗透,获取完整的网络控制权限,并吸取了数百GB的用户数据。 Cybereason安全研究主管Amit Serper表示:“这些黑客拥有所有用户名和密码,并为自己创建了一系列特权,能够做任何他们想要做的事情。黑客拥有高级别的访问权限,如果愿意的话他们甚至可以关闭整个通讯网络。” Serper表示目前没有证据表明有美国运营商受到影响,但是这个黑客活动仍在持续活跃,甚至可能会衍生出更强大的病毒控制形态。Cybereason发现,虽然他们能够破坏网络信号,但黑客更关注间谍活动而不是中断。黑客窃取了数百GB的呼叫数据记录,其中包括敏感信息,如实时地理定位。 在获得对移动运营商内部服务器的访问权限之后,黑客可以访问数亿客户的呼叫数据记录。这将提供诸如地理位置数据,呼叫日志和文本消息记录之类的信息。虽然黑客可以访问数百万人的数据,但他们只窃取了不到100名高度针对性的受害者的数据。 Cybereason的安全实践副总裁Mor Levi表示,袭击者可能会成为政府和军方中高调受害者的目标。 Cybereason的研究人员发现,攻击者通过利用旧漏洞获取了对十几家移动运营商的访问权限,例如隐藏在Microsoft Word文件中的恶意软件或者找到属于该公司的公开服务器。 一旦他们进入,恶意软件就会通过搜索同一网络上的所有计算机进行传播,并尝试通过登录尝试来充斥他们。只要凭证有效,它就会继续传播,直到黑客到达呼叫者数据记录数据库。   (稿源:cnBeta,封面源自网络。)

佛罗里达州一城市同意向黑客支付 60 万美元赎金 以恢复电脑记录

据美联社报道,佛罗里达州一个城市同意向接管其计算机系统的黑客支付60万美元赎金,这是全球数千起针对政府和企业勒索资金的攻击中的最新一起。Riviera Beach市议会本周一致投票通过向黑客支付赎金。三周前黑客入侵了该城市的系统后,该委员会已经投票支出将近100万美元购买新电脑和硬件。 当一位员工点击允许黑客上传恶意软件的电子邮件链接时,黑客显然入侵了该城市的系统。除了加密记录外,这还对该市造成许多问题,包括残疾人电子邮件系统,只能通过支票向员工和供应商支付,911调度员无法将电话号码输入计算机。该市表示,响应时间没有延迟。 发言人Rose Anne Brown周三表示,这个拥有35000名居民的城市一直在与外部安全顾问合作,他们建议支付赎金。她承认,无法保证黑客在收到赎金后就会发布记录。付款由保险承保。联邦调查局在其网站上表示,其“不支持”向黑客付款,但Riviera Beach并不孤单:许多政府机构和企业都这样做。 “我们依赖他们(顾问)的建议,”她说。黑客要求用加密货币比特币付款。虽然可以跟踪比特币的使用情况,但账户的所有者不一定是已知的,这使其成为勒索软件攻击中受欢迎的支付方式。 近年来,美国和全世界的许多政府和企业都受到了攻击。上个月入侵事件发生后,巴尔的摩拒绝向黑客支付76000美元。美国政府去年因两名伊朗人涉嫌发起200多起勒索软件攻击而起诉他们,其中包括针对亚特兰大和新泽西州纽瓦克的攻击。联邦检察官说,这些尚未被捕的男子收到的赎金超过600万美元,并对计算机系统造成3000万美元的损失。 去年,联邦政府还指控一名朝鲜程序员发起“WannaCry”攻击,该攻击感染了150个国家的政府、银行、工厂和医院的计算机。据信他还从一家孟加拉国银行盗取了8100万美元。 美国联邦调查局周三没有对Riviera Beach攻击事件发表评论,但据称去年报告了1493起勒索软件攻击事件,受害者向黑客支付了360万美元 。其中一些是针对个人的。 密歇根州立大学刑事司法教授Tom Holt说道,黑客经常攻击计算机系统中常见和已知的漏洞。他表示,机构的技术经理需要检查他们的系统是否存在这些缺陷,并教他们的员工不要打开可疑的电子邮件或点击可疑的链接。联邦调查局表示,企业还需要定期在安全计算机上备份数据。 Holt表示,大多数攻击来自美国境外,使他们难以进行追踪。他表示许多受害者会选择向黑客支付赎金,因为这可能是找回丢失数据的唯一途径。Holt说道:“他们可能不会支付建议的初始赎金,但他们可能会与第三方提供商协商索取赎金。” 他表示,在几乎所有情况下,攻击者在付款后解密计算机,允许受害者检索他们的数据,不过WannaCry攻击是一个例外。   (稿源:cnBeta,封面源自网络。)

巴尔的摩勒索攻击事件已造成 1800 万美元损失

美国马里兰州巴尔的摩在5月上旬遭遇了严重的网络攻击,导致市政系统近乎瘫痪。本周二,市长Bernard “Jack” Young及其内阁成员召开新闻发布会介绍了恢复工作的最新进展。该市财政部部长预估本次网络攻击造成了将近1000万美元的损失,这还不包括由于逾期和城市无法处理付款而造成的800万美元损失。 目前恢复工作进展并不顺畅,只有不到三分之一的公务员获得了新的登陆凭证,而且该市的很多业务目前还只能通过纸张的方式进行处理解决。 市长Young在新闻发布会上强调:“所有城市服务依然是开放的,巴尔的摩同样也欢迎企业入驻”。市长罗列了在网络中断期间仍在继续运作的关键服务,该市财务总监亨利·雷蒙德(Henry Raymond)称目前诸多政府系统虽然不理想,但仍可以管理使用。 目前部分电子邮件和电话服务已经恢复,很多系统也重新上线,但是支付处理系统和其他用于处理城市交易的工具仍处于手动解决状态下。公共工程部主任Rudy Chow警告居民预计未来的水费将超出正常水平,因为该市的智能电表和水费计费系统仍处于脱机状态,无法生成账单。 停车票以及城市的超速、闯红灯摄像头拍摄的罚单,如果有收到纸质罚单可以亲自支付。该市政府官员表示,截至5月4日,该市已恢复所有停车和摄像机违规行为的数据,但仍缺乏查看违规行为的能力。对于与城市的许多其他互动也是如此,目前需要邮寄或手工递送纸质文件和手动变通办法。 公务员被要求以个人账号来接收新网络和邮件凭证,并且在允许获得新密码之前显示公务员编号。市长副总参谋长Sheryl Goldstein表示,尽管这是一个耗时的过程,巴尔的摩市的信息技术办公室(BCIT)正在全天候工作推动恢复工作,其中有超过10,000名城市员工需要完成整个过程并分散在城市各处的办公室。   (稿源:cnBeta,封面源自网络。)

黑客通过 Rootkit 恶意软件感染超 5 万台 MS-SQL 和 PHPMyAdmin 服务器

Guardicore Labs 的安全研究人员发布了一份报告,该报告关于在全球范围内攻击 Windows MS-SQL 和 PHPMyAdmin 服务器的黑客活动,代号“Nanshou”,且这一攻击源头是中国黑客。 报告称,包括属于医疗保健、电信、媒体和 IT 公司等在内的 50,000 多台服务器受到了攻击,一旦受到攻击,目标服务器就会被恶意负载感染。黑客还安装了一个复杂的内核模式 rootkit 来防止恶意软件被终止。 这并非典型的加密攻击,它使用 APT (Advanced Persistent Threat,高级持续性威胁,本质是针对性攻击)中经常出现的技术,例如假证书和特权升级漏洞。 该攻击活动于 4 月初被首次发现,但可以追溯至 2 月 26 日,每天有超过 700 个新的受害者。研究人员发现已存在 20 多种不同的有效恶意负载,这期间每周至少会有一个新的恶意负载被创建,受感染的计算机数量在一个月内就已翻倍。 在使用管理权限成功登录身份验证后,攻击者在受感染系统上执行一系列 MS-SQL 命令,以从远程文件服务器下载恶意负载,并以 SYSTEM 权限运行它。 在后台,有效负载利用已知的权限提升漏洞(CVE-2014-4113)来获取受感染系统的 SYSTEM 权限。 然后,有效负载在受感染的服务器上安装加密货币挖掘恶意软件以挖掘 TurtleCoin 加密货币。 研究人员还发布了一份完整的 IoC(危害指标)列表和一个免费的基于 PowerShell 的脚本,Windows 管理员可以使用它来检查他们的系统是否被感染。 由于攻击依赖于 MS-SQL 和 PHPMyAdmin 服务器的弱用户名和密码组合,因此,强烈建议管理员为账户设置一个复杂密码。 调查报告完整版:https://www.guardicore.com/2019/05/nansh0u-campaign-hackers-arsenal-grows-stronger/   (稿源:开源中国,封面源自网络。)

巴尔的摩市已被加密货币勒索软件困扰两周

本月早些时候,黑客成功地在巴尔的摩市部署了一批勒索软件。在两周的时间里,它已经导致了该市一系列重要的公共服务被关闭。外媒指出,本次攻击锁定了大约 10000 台政府计算机。虽然攻击者的真实身份不得而知,但其向政府勒索 13 个莱特币(当前市值约 10.2 万美元),否则就不予恢复设备上的正常数据。 (图 via:Bleeping Computer,文自:BGR) 显然,勒索软件已经让巴尔的摩全市沦为了人质,因为市政府无法访问电子邮件账户,甚至连给雇员发工资都做不到。此外,市民无法支付一系列公共事业费用,房地产相关的交易也无法顺利展开。 令人欣慰的是,市政官员表示他们无意支付这部分赎金,因为只要妥协过一次,无疑会鼓励别有用心者在未来发起更多类似的攻击。 只是在此期间,巴尔的摩市正在耗费大量的心力、以恢复基础服务的正常运行。 在数日前发布的新闻稿中,巴尔的摩市市长 Bernard Young 说到:“我们建立了一套基于 Web 的事故指挥方案,将操作转换到了手动模式,并会通过其它方案来继续向公众提供服务” 巴尔的摩市将继续调整和完善那些被中断服务的交付,同时寻求重新激活任何完全中断的服务的方法。 在恢复的过程中,我们还与 FBI 合作展开了调查,不过具体的细节还无法向大家分享。如被允许,我们将继续向公众通报相关进展。 Bernard Young 补充道:作为控制勒索软件并实施工具更新的一部分,该市正在与业内顶尖的网络安全专家合作,以确保此类事件不再发生。 至于一切恢复正常运转的时间,目前暂不得而知。不过按照估计,部分系统可能要画上几个月的时间,才能完全恢复。 正如许多大企业那样,巴尔的摩市拥有数千套系统和相关应用程序。当前的重点是让关键服务优先上线,并在期间将安全性视为首要任务之一。 市民们可在未来几周内看到部分服务开始恢复运转,但一些较复杂的系统,可能需要几个月才能彻底恢复。 实际上,这并不是巴尔的摩市首次遭遇勒索软件攻击。因为去年的时候,该市的 911 应急报警系统就曾遭遇过一次。幸运的是,这次勒索软件并没有影响到 911 系统。 至于本轮勒索软件攻击的细节,《巴尔的摩太阳报》指出,罪魁祸首是被称作 RobbinHood 的勒索软件变种。在对其展开深入研究后,专家称其是由经验丰富的编程者捣鼓出来的。   (稿源:cnBeta,封面源自网络。)

新的 Windows 10 0day 漏洞被黑客恶意公开

名为SandboxEscaper的安全研究人员发布了一个针对Windows 10的零日漏洞,SandboxEscaper之前已经发现过类似的漏洞,可能是因为糟糕的与微软安全团队的沟通经历,这次他们毫不客气地说“迫不及待地想要销售他们[微软]软件中的漏洞。”截至撰稿时,@SandboxEscaper的Twitter帐户已被暂停,但博客文章依然存在。 新漏洞被归类为本地特权升级(LPE)漏洞,可用于通过在任务计划程序中利用漏洞来为黑客提升在计算机上运行有害代码的权限。幸运的是,黑客不能单独利用此漏洞在第一时间侵入计算机,但可能会与这些类型的漏洞结合使用。 除了漏洞的源代码外,SandboxEscaper还发布了一个视频展示了这个零日漏洞被攻击的情况。它已经过测试并确认可以在Windows 10 32位系统上运行,但我们相信,经过一些修改,便可以看到它可以在所有版本的Windows上运行,一直“向下兼容”到Windows XP和Windows Server 2003。 据微软并没有预先警告这个漏洞,所以公司现在必须争分夺秒才能解决这个问题。下一个补丁星期二定于6月中旬,与此同时,攻击者可以利用这段空窗期攻击世界各地的系统。   (稿源:cnBeta,封面源自网络。)

美国检方指控 9 人利用SIM卡劫持牟取 240 万美元非法所得

美国检方本周向9名嫌犯提出指控,被指涉嫌劫持SIM卡并窃取不知情用户的加密货币。根据法庭文件显示,这9人的犯罪组织已经牟取了240多万美元的非法所得。美国密歇根州东区检察官办公室的检察官在一份非机密起诉书中声称,居住在美国和爱尔兰的6人创建了黑客组织“The Community”。 检方表示这支小团队伙同其他人员组建了的这个黑客圈子,共同实施了名为SIM卡劫持的欺诈活动,通过贿赂或者欺诈手段说服移动电话运营商将电话号码转移到新的SIM卡上。在获得电话号码之后,黑客就可以绕过双因素身份认证等安全措施,从而让他们可以控制受害者的账户。 黑客的目标主要是受害者手中的加密货币,文件显示The Community共发起7次活动。在其中一项活动追踪,检方发现三家手机公司经营者接受贿赂,从而给本次犯罪提供了便利。据悉9名黑客面临多起欺诈和身份盗窃指控,而电话公司的员工则被指控犯有电汇欺诈罪。如果罪名成立,每个人都可能面临数十年的监禁。   (稿源:cnBeta,封面源自网络。)

黑客集团内部是如何运作的?它们也有CEO和项目经理

网络犯罪组织会为了争夺客户而相互竞争,会花重金招募最优秀的项目经理,甚至会寻找合适的人才来担任类似于首席执行官的角色,在规范管理人员配置和攻击事务之外负责如何帮助牟取更多的资金。来自IBM和谷歌的安全研究人员描述了网络犯罪组织内部是如何运作的,并且称它们经常会公司化运作。 IBM Security威胁情报主管Caleb Barlow表示:“我们观察到他们也有比较严明的纪律,在办公时间里很活跃,他们也会在周末休息,他们也会定时工作,他们也会休假。它们会以公司化进行运作,会有一个老板全权管理所有攻击行为。它们就像是你雇佣装修公司一样,它们有着很多的分包商,就像是水电工、木工和油漆工一样,它们也和你一样正常上下班。” Barlow表示了解恶意黑客如何构建和运营其业务非常重要,而公司化可以更好地掌握他们正在攻击的任务。虽然并非所有网络犯罪组织都完全相同,但大体结构应该是这样的:领导者,例如CEO,会监督整个组织的更广泛目标。而他或者她会雇佣和领导诸多“项目经理”,而每个项目经理负责每次网络攻击的不同部分。 恶意软件的攻击者可能首先购买或创建有针对性的攻击工具,以窃取集团所需的确切信息。另一位攻击者可能会发送欺诈性电子邮件,将恶意软件发送给目标公司。一旦软件成功交付,第三位攻击者可能会努力扩大集团在目标公司内的访问权限,并寻求可以在暗网上进行销售的相关信息。 IBM还提供了一张信息图,展示了从犯罪集团的角度,如何发起为期120天针对一家财富500强公司的真实案例。负责IBM X-Force业务安全事件响应的Christopher Scott表示称在这种情况下,对财富500强企业的攻击意味着窃取和破坏数据,不同的颜色大致代表不同的工作职能。 在图形的左侧,专门破坏公司网络的攻击者以自己的方式进入业务以获得立足点。其他“项目经理”通过窃取他们的凭证来破坏各种员工帐户,并使用这些帐户执行该计划中的不同任务,从访问敏感区域或收集信息。时间线上的差距代表了黑客停止进行某些活动的时期,因此他们不会将公司用来检测犯罪活动的传感器干扰。 在120天周期尾声的时候,以鲜红色为代表的黑客专家最终画上句号,使用不同的恶意代码来破坏公司的各种数据。隶属于Alphabet集团“Other Bet”下方,专门从事网络安全的Chronicle公司研究主任Juan Andres Guerrero-Saade解释称:“如果我是一名优秀的开发人员,那么我会选择创建勒索软件并将其出售,或者将其像那些提供software-as-a-service的公司一样作为服务出售。然后我会不断维护这款恶意软件,如果你找到受害者并让他们受到感染支付赎金,那么我将收取10%或20%的分成。”   (稿源:cnBeta,封面源自网络。)

安全研究人员玩上怀旧梗:“邪恶大眼夹”可帮助隐性感染 Office 文档

一种名叫Evil Clippy(邪恶大眼夹)的工具现在正在帮助黑客感染您的Office文档。白帽黑客一边写病毒一边玩上了怀旧梗,还配上了剧情:“多年的嘲笑使得大眼夹走向黑暗的一面。”来自荷兰的安全研究人员刚刚发布了这一“协助安全专家和测试人员创建恶意MS Office文档的工具”。 Evil Clippy可以使恶意的Microsoft Office文档无法被反病毒软件检测到,它可以隐藏VBA宏,并让流行的宏分析工具发生混淆。 该应用程序依赖于Office功能才能够运行,例如“VBA Stomping”。如果检测到已知MS Office版本,则可以使用伪代码替换恶意VBA源代码,而恶意代码仍将通过p-code执行。这样一来,该应用程序可以欺骗任何分析VBA源代码的工具,包括防病毒软件。 安全研究人员可以在此处找到该工具的最新源代码)。     (稿源:cnBeta,封面源自网络。)

俄罗斯黑客瞄准了各国驻欧洲大使馆和相关官员

根据CheckPoint Research的一份新报告,俄罗斯黑客最近通过向官员发送伪装成美国国务院官方文件的恶意附件,攻击了欧洲的一些大使馆。黑客攻击的目标是尼泊尔、圭亚那、肯尼亚、意大利、利比里亚、百慕大和黎巴嫩等国的欧洲大使馆。 他们通常通过电子邮件向官员们发送带有恶意宏的微软Excel表格,这些宏看上去似乎来自美国国务院。一旦被打开,黑客就可以通过恶意软件Teamviewer来完全控制被感染的电脑。 很难说这场运动背后是否有地缘政治动机,因为它不是针对某个特定地区,受害者来自世界各地。政府财政官员也受到这些攻击,CheckPoint Research指出,黑客对这些受害者特别感兴趣的,他们似乎都是从几个税务部门精心挑选出来的政府官员。 黑客看起来非常老练,精心策划了攻击,使用针对受害者的利益量身定制的诱饵文件,并针对特定的政府官员。 虽然黑客是俄国人,但这些袭击不太可能是由俄罗斯国家赞助,CheckPoint Research认为他们发动攻击应该是出于经济动机。   (稿源:cnBeta,封面源自网络。)