安全快讯Top News

FireEye:多数勒索软件会选择在 IT 人员不上班时发动攻击

根据网络安全公司 FireEye 发布的最新报告:为了最大程度地提高攻击效率,绝大多数勒索软件都会选择在正常上班时间之外采取行动,以避免被 IT 人员发现并扫除。在 FireEye 调查的案例中,76% 的勒索软件是在周末、或者上午 8 点 ~ 下午 6 点之外的时间段完成部署的。 FireEye 表示:通常情况下,IT 人员不会在上述时间段内上班,因此响应效率会变得更慢。在某些情况下,比如传统节假日或周末,一些企业根本不会安排任何 IT 人员值班。 数据还显示,在大约 75% 的事件中,从恶意活动到勒索软件的部署,至少会间隔三天左右的时间。这意味着,若是 IT 部门的响应足够迅速,就有很大的可能性避免感染。 不过这家网络安全公司预计,未来勒索软件感染的数量将继续增加。更糟糕的是,威胁行为发起者会不断升级赎金要求,甚至将勒索软件攻击与其它策略结合起来,比如针对关键业务系统和窃取数据。 如上文所示,破局的关键,是能否在恶意软件的部署和破坏之间介入。若信息技术专家能够及时发现并消除威胁(或让系统具有防止受到威胁的能力),便可转移大部分与勒索软件相关的应对成本。   (稿源:cnBeta,封面源自网络。)

Intel 处理器曝新漏洞 打补丁性能骤降 77%

幽灵、熔断漏洞曝光后,Intel、AMD处理器的安全漏洞似乎突然之间增加了很多,其实主要是相关研究更加深入,而新的漏洞在基本原理上也差不多。事实上,Intel、AMD、ARM、IBM等芯片巨头都非常欢迎和支持这类漏洞安全研究,有助于提升自家产品的安全性,甚至资助了不少研究项目,近日新曝光的LVI漏洞就是一个典型。 LVI的全称是Load Value Injection,大致就是载入值注入的意思,由安全研究机构BitDefender首先发现,并在今年2月10日汇报给Intel。 它影响Intel Sandy Bridge二代酷睿以来的绝大部分产品,只有Cascade Lake二代可扩展至强、Coffee Lake九代酷睿Comet Lake十代酷睿部分免疫,Ice Lake十代酷睿完全免疫。 该漏洞可以让攻击者绕过Intel SGX软件保护扩展机制,从处理器中窃取敏感信息,类似幽灵漏洞,不过Intel、BitDefender都认为它只有理论攻击的可能,暂不具备实质性威胁。 Intel表示,受影响产品只有关闭超线程才能规避此漏洞,不过同时Intel也更新了SGX平台软件、SDK开发包,以避免潜在的安全威胁,简单说就是在受影响指令前增加了一道LFENCE指令保护墙。 Intel以往的安全补丁经常会影响性能,但幅度都不是很大,这次又会怎样呢? Phoronix找了一颗至强E3-1275 v6(Kaby Lake),在Linux环境下进行了测试,包括未打补丁、分支预测前载入LFENCE、RET指令前载入LFENCE、载入后执行LFENCE、同时载入LFENCE/RET/分支预测。 结果发现,分支预测和RET指令前载入LFENCE影响不大,性能只损失3%、8%左右,但后两种情况损失惨重,幅度高达77%。 这不是一夜回到解放前,直接就打回原始社会了…… 不过幸运的是,LVI漏洞对普通消费者可以说几乎毫无影响,因为主流PC根本用不到SGX,企业用户倒是因为经常使用SGX、虚拟化而必须重视起来。 同样幸运的是,要想利用这个漏洞极为复杂,理论上可以通过JavaScript发起攻击,但难度极大。   (稿源:cnBeta,封面源自网络。)

疫情追踪应用暗藏 Covid Lock 勒索软件 下载安装请留心

随着新冠病毒引发的 COVID-19 疫情在全球的爆发,各种鱼龙混杂的“疫情追踪器”也开始盯上粗心的移动设备用户。一旦被名为 CovidLock 的勒索软件给劫持,用户将不得不支付 100 美元的赎金,以解锁他们的 Android 智能机。 据悉,这款勒索软件会锁定受害者的手机屏幕并更改设备密码。如果此前未设定密码,CovidLock 还会自动设置一个密码,以迫使用户就范。 DomainTools 分析称,受害者必须支付相当于 100 美元的 BTC 赎金才能解锁他们的智能手机,否则将窃取照片、联系人之类的敏感信息,甚至在网络上泄露一部分细节。 截图文字显示 —— 你的手机已被加密,请在 48 小时内支付 100 美元的 BTC,否则包括联系人、照片、视频等在内的所有内容将被删除,所有社交媒体账户会被公开、且本机存储将被完全抹除。 此外攻击者警告称 —— 你的 GPS 已被监视,我们已知晓你的位置。如尝试进行任何愚蠢的操作,手机将触发自毁。 好消息是,通过逆向工程,DomainTools 已经搞定了这款勒索软件的解锁密钥,此外研究团队正密切关注攻击者的 BTC 钱包,更多细节将很快公布。 对于普通用户来说,谨记远离任何不信任的应用来源,并仔细检查手机已安装的每款 App 的权限设置。   (稿源:cnBeta,封面源自网络。)

卡巴斯基曝光两款 Android 恶意软件 可控制用户 Facebook 账户

安全大厂卡巴斯基刚刚公布了两款危害 Android 设备的新型恶意软件,警告其可能控制用户的 Facebook 等社交媒体账户。受感染的机器会向攻击者敞开用户社交帐户的访问权限,并被广泛应用于垃圾邮件和网络钓鱼等活动。更糟糕的是,两款恶意软件会协同工作,并逐步对用户设备展开破坏。 第一款恶意软件会尝试在受感染的 Android 设备上取得 root 权限,使得网络犯罪分子能够提取 Facebook 的 cookie,并将之上传到受控服务器。 卡巴斯基指出,通常情况下,仅拥有账号 ID 是不足以控制用户账户的。网站已经采取了一些安全措施,以阻止可疑的登陆尝试。 第二款 Android 木马可在受感染的设备上设置代理服务器,使得攻击者能够绕过安全措施,从而实现对设备的几乎完全控制,以染指受害者的社交媒体账户。 庆幸的是,只有少数人受到 Cookiethief 的威胁。但估计过不了多久,类似的攻击方法会变得越来越普遍。 卡巴斯基恶意软件分析师 Igor Golovin 表示:通过结合这两种方法,攻击者可在不引起受害者明显怀疑的情况下达成对 cookie 信息的窃取和账户的控制。 尽管这是一个相对较新的威胁,迄今为止的受害者只有 1000 人左右,但这一数字仍可能进一步增长,尤其是网站很难检测到行为的异常。 尽管我们在日常的网页浏览过程中不怎么关注,但 cookie 信息其实无处不在。作为处理个人信息的一种方法,其旨在收集线上的有关数据。 最后,卡巴斯基建议用户应养成良好的习惯,始终通过受信任的来源下载应用、阻止第三方 cookie 访问并定期清除,以充分抵御此类攻击。   (稿源:cnBeta,封面源自网络。)

一波未平一波又起:公主邮轮承认公司存在数据泄露问题

据外媒报道,在两艘邮轮爆发了新冠病毒后被迫在全球范围内停止运营的Princess Cruises(公主邮轮)目前已证实存在数据泄露问题。据信,这份发布在其网站上的通知实际上是在3月初发布的。该份通知称,公司在2019年4月至7月的4个月时间内发现了大量未经授权的电子邮件账号登入,其中一些包含了职工、邮轮工作人员和客人的个人信息。 Princess Cruises指出,姓名、地址、社会安全号码和政府证件如护照号码和驾驶执照号码以及财务和健康信息都可能被窃取。但这家公司表示,潜在的影响数据并不是针对每位客人。 另外这家公司表示,他们是在2019年5月发现了这一网络可疑活动。目前并不清楚为何该它花费了近一年时间才披露这一漏洞。对此,该公司发言人没有立即回应置评请求。 拥有Princess品牌的嘉年华邮轮公司(Carnival)本周股价下跌了逾30%,此前这家公司宣布将暂停旗下18艘邮轮的营运。该公司在日本和最近的美加州分别发生了两起涉及载有数十名新冠病毒感染者的事件。 此外,Princess Cruises也没有说明是在哪个司法管辖区报告了这一数据泄露事件。如果是在欧洲,则会因违反欧洲数据保护规定而会被处以高达其年营业额4%的罚款处罚。   (稿源:cnBeta,封面源自网络。)

White Source 研究报告:开源漏洞在 2019 年增长近 50%

开源组件已成为当今许多软件应用程序的基础组成部分,这也使得其在安全性方面受到越来越严格的审查。根据开源管理专家 WhiteSource 发布的一份新报告,可知 2019 年公开的开源软件漏洞数增加到了 6000 多个,增速接近 50% 。庆幸的是,有超过 85% 的开源漏洞已被披露,且提供了相应的修复程序。 遗憾的是,开源软件的漏洞信息并没有集中在一处发布,而是分散在数百种资源中。有时索引的编制并不正确,导致搜索特定数据成为了一项艰巨的挑战。 根据 WhiteSource 的数据库,在国家漏洞数据库(NVD)之外报告的所有开源漏洞中,只有 29% 最终被登记在册。 此外研究人员比较了 2019 年漏洞排名前七的编程语言,然后将之与过去十年的数量进行了比较,结果发现历史基础最好的 C 语言占有最高的漏洞百分比。 PHP 的相对漏洞数量也大幅增加,但没有迹象表明其流行度有同样的提升。尽管 Python 在开源社区中的普及率持续上升,但其漏洞百分比仍相对较低。 报告还考虑了通用漏洞评分系统(CVSS)的数据,是否是衡量补漏优先级的最佳标准。 过去几年中,CVSS 已进行了多次更新,以期达成为可对所有组织和行业提供支持的客观可衡量标准。 然而在此过程中,CVSS 也改变了高严重性漏洞的定义。这意味着在 CVSS v2 标准下被定为 7.6 的漏洞,在 CVSS v3.0 标准下可能被评为 9.8 。 对于各个开源软件的开发团队来说,这意味着他们面临着更多的高严重性漏洞问题,导致现有超有 55% 的用户被高严重性或严重性问题所困扰。 报道作者总结道:列表中提及的开源项目漏洞,并不意味着其本质上是不安全的。作为用户,也应了解相关安全风险,并确保将开源依赖保持在最新状态。   (稿源:cnBeta,封面源自网络。)

微软发布紧急安全更新:修复 SMBv3 协议漏洞

在本月的补丁星期二活动日上,微软对所有受支持的Windows 10系统发布了累积更新,并对Edge、Internet Explorer和其他组件进行了安全改进。在活动日期间,网络上意外曝光了存在于SMBv3协议中全新蠕虫漏洞,为此今天微软发布了紧急更新对其进行了修复。 该协议允许计算机上的应用程序读取文件,以及向服务器请求服务。然而新曝光的严重漏洞或被攻击者利用,在 SMB 服务器或客户机上执行远程代码。 该公司在昨日的安全公告中解释称:该漏洞影响 1903 / 1909 版本的 Windows 10 和 Windows Server 操作系统。庆幸的是,目前尚无漏洞被利用的报告。 据悉,未经身份验证的攻击者,可将特制数据包发送到目标 SMBv3 服务器。得逞之前,攻击者需配置恶意的 SMBv3 服务器,并诱使用户连接到该服务器。需要注意的是,在宣布漏洞的同一天,微软并未在“星期二补丁”中修复这一缺陷。 面向Windows 10 Version 1903和Version 1909,微软今天紧急发布了累积更新KB4551762,修复了这个严重的SMBv3漏洞,并替代此前发布的KB4540673通过Windows Update部署。 微软推荐用户尽快安装该更新,以避免受到该漏洞的影响。用户可以通过在“更新和安全性”>“ Windows Update”中检查更新来下载并安装重要的安全更新。与预览更新不同,这是一个强制性修补程序,如果您今天不手动安装,它将在某些时候自动在后台安装。   (稿源:cnBeta,封面源自网络。)

微软证实影响 Windows 10 操作系统的 SMBv3 协议漏洞

微软已经确认,在 Windows 10 操作系统的最新版本中,存在着一个 SMBv3 网络文件共享协议漏洞。该协议允许计算机上的应用程序读取文件,以及向服务器请求服务。然而新曝光的严重漏洞或被攻击者利用,在 SMB 服务器或客户机上执行远程代码。 该公司在昨日的安全公告中解释称:该漏洞影响 1903 / 1909 版本的 Windows 10 和 Windows Server 操作系统。庆幸的是,目前尚无漏洞被利用的报告。 据悉,未经身份验证的攻击者,可将特制数据包发送到目标 SMBv3 服务器。得逞之前,攻击者需配置恶意的 SMBv3 服务器,并诱使用户连接到该服务器。 需要注意的是,在宣布漏洞的同一天,微软并未在“星期二补丁”中修复这一缺陷。有鉴于此,该公司建议 IT 管理人员禁用 SMBv3 压缩功能,以防止攻击者借此发起攻击。 至于更多替代方法,亦可查阅微软门户网站(ADV200005)提供的详细信息。如果一切顺利,其有望在下月的“补丁星期二”那天得到正式修复。 如有需要,还可订阅微软的安全通知服务,以及时知晓后续进展。   (稿源:cnBeta,封面源自网络。)

研究发现数以千计的指纹文件暴露在不安全的数据库中

研究人员周三说,数千份指纹记录被暴露在一个不安全的数据库中。研究人员周三说,一个包含约76000个独特指纹记录的网络服务器被暴露在互联网上。这些不安全的指纹数据,以及员工的电子邮件地址和电话号码,都是由巴西公司Antheus Tecnologia收集。 该数据库包含近230万个数据点,其中大部分是服务器访问日志,据反病毒研究人员表示,现在这个数据库已经得到了保护。指纹数据以二进制数据流的形式存储,二进制数据流由1和0组成。森说,获得数据的黑客可能会把这些数据转换回指纹的生物特征图像。 研究人员认为,即使黑客目前无法找到一种方法将这些数据用于不良目的,但随着技术的进步,这种情况也会改变。也许将来他们会找到利用这些指纹数据的方法。   (稿源:cnBeta,封面源自网络。)

调查发现医院很多设备采用过时操作系统 易受黑客攻击

根据网络安全公司Palo Alto Networks周二发布的一项研究显示,医院中连接互联网的成像设备有很大一部分运行过时的操作系统。该公司发现,83%的这些设备运行在过时的软件上,即使这些软件包含黑客可以利用的已知漏洞,也无法更新。 与2018年相比,该数字显着增加,这与微软今年早些时候终止对Windows 7的支持相吻合。相当多的电脑都运行甚至更老的操作系统,包括Windows XP,微软于2014年停止了对Windows XP的支持。成像设备包括进行X射线,MRI,乳房X线照片和CAT扫描,它们都需要电脑提供支持和控制。 安全专家表示,保持操作系统更新是使黑客远离设备的最重要步骤之一。但是,更新停止发布时,黑客却不会停止寻找可利用的漏洞。当最终黑客找到了可以破坏过时操作系统的漏洞时,制造商有时仍会提供更新,但不能保证一定会提供更新。 黑客可能有多种动机将医院中的设备作为目标。其中,成像和其他医疗设备(例如输液泵和患者监控系统)都可能容易受到勒索软件攻击,并指出医院已经遭受了勒索软件攻击,他们锁定了系统并要求付费才能重新拿回控制权。他们还可以利用医院电脑的计算能力来挖掘加密货币,这种攻击称为“加密劫持”。这可能会导致设备过热或故障。 这项研究调查了医院和其他企业中总共有120万个互联网连接设备。商业分析公司Gartner表示,这是48亿个互联网连接设备中的一小部分。该研究没有提及成像设备的特定品牌。研究人员表示,医院可能难以更新其成像设备,因它们无法直接从像微软这样的软件制造商那里购买。相反,他们必须依靠向第三方出售设备的供应商来提供补丁,这是一个需要改进的过程。   (稿源:cnBeta,封面源自网络。)