安全快讯Top News

研究发现重新打包的恶意软件被用来攻击其他黑客

Cybereason 的 Amit Serper 在一轮新的恶意软件活动中发现,通过重新打包被感染的恶意软件,黑客本身也成为了其他黑客的攻击目标。此前多年,黑客普遍在利用现有的工具来实施网络犯罪行动,比如从数据库中窃取数据、通过破解 / 注册码生成器来解锁试用软件的完整版等。 然而功能强大的远程工具本身,也成为了某些别有用心者的目标。通过注入木马,制作者可在工具打开后获得对目标计算机的完全访问权限。 Amit Serper 表示,攻击者倾向于在黑客论坛上发布经其重新打包的工具来‘诱骗’其他黑客,甚至为已经遭到恶意软件破坏的系统进一步打开后门。 如果黑客利用这些木马工具对某企业发动了网络攻击(包括从事安全研究工作的白帽),那重新打包攻击工具的那个人,也能够访问到受害者的敏感数据。 据悉,这些迄今未知的攻击者,正在使用功能强大的 njRat 木马来注入代码并重新打包黑客工具,攻击者可完全访问目标桌面、文件、木马、甚至网络摄像头和麦克风。 该木马至少可追溯到 2013 年,当时它经常被用于对付中东地区的目标,多通过网络钓鱼电子邮件和受感染的闪存驱动器来传播。 然而最近,黑客已将恶意软件注入到休眠或不安全的网站中,以逃避检测。以最近的攻击为例,可知幕后黑手正在使用相同的黑客技术来托管 njRat 。 Amit Serper 指出,攻击者破坏了不知谁拥有的几个网站,以托管数百个 njRat 恶意软件样本、以及攻击者用于控制的基础结构。 更糟的是,这种将 njRat 木马注入黑客工具的过程几乎每天都在发生,意味着它可能是在无人直接干预的情况下自动完成的。 至于幕后主使者和发起攻击的确切原因,目前暂不得而知。   (稿源:cnBeta,封面源自网络。)

17 年历史的 RCE 漏洞已影响数个 Linux 系统

一个影响点对点协议守护程序(Point-to-Point Protocol daemon,pppd)软件,并具有 17 年历史的远程代码执行(remote code execution,RCE)漏洞已对几个基于 Linux 的操作系统造成了影响。Pppd 软件不仅预先安装在大多数 Linux 系统中,而且还为流行的网络设备的固件提供 power。 该 RCE 漏洞由 IOActive 的安全研究人员 Ija Van Sprundel 发现,其严重之处在于,由守护程序软件的可扩展身份验证协议(EAP)数据包解析器中的逻辑错误所导致的堆栈缓冲区溢出漏洞。 根据 US-CERT 发布的咨询报告表示,该漏洞已被标记为 CVE-2020-8597。在严重程度方面,CVSS 则将其评为 9.8 分。 将一个 crooked EAP 打包程序发送到目标 pppd 客户端或服务器后,黑客就可以对此漏洞进行利用。其可以利用此漏洞并在受影响的系统上远程执行任意代码,从而接管系统的全部控制权。 而加重该漏洞严重程度的是,点对点协议守护程序通常具有很高的特权。这也就导致一旦黑客通过利用该漏洞控制服务器,就可以获得 root-level 的访问特权。 据 Sprundel 透露,该漏洞在 2.4.2 到 2.4.8 的 pppd 版本或过去 17 年中发布的所有版本中都一直存在。他已经确认以下 Linux 发行版已受到 pppd 漏洞的影响: Ubuntu Debian Fedora SUSE Linux Red Hat Enterprise Linux NetBSD 此外,还有以下设备也附带了受影响的 pppd 版本,并且容易受到攻击: TP-LINK products Synology products Cisco CallManager OpenWRT Embedded OS 建议用户们在补丁发布后尽快更新其系统,以规避潜在的攻击。   (稿源:开源中国,封面源自网络。)

知名分析平台 Sensor Tower 被爆秘密收集数百万用户数据

援引Buzzfeed News报道,知名APP分析平台Sensor Tower利用VPN应用和去广告应用程序,来收集Android和iOS平台数百万用户用户的数据。这些应用程序的全球下载量已超过3500万次,但是在应用描述中并没有透露和Sensor Tower有联系,或者会收集用户数据给该公司。 外媒发现自2015年以来,Sensor Tower推出了至少20款Android和iOS应用程序。目前在Google Play商城上架的 有四款,分别为Free and Unlimited VPN, Luna VPN, Mobile Data和Adblock Focus。在App Store商城上架的有Adblock Focus和Luna VPN两款。 在Buzzfeed News联系了谷歌和苹果之后,谷歌下架了Mobile Data应用,苹果移除了Adblock Focus。两家公司均表示将会继续开展调查。 Sensor Tower的应用程序会提示用户安装根证书,发行商可以通过这个小文件来访问所有通过电话传递的流量和数据。该公司告诉BuzzFeed News,它仅收集匿名使用和分析数据,这些数据已集成到其产品中。 Malwarebytes的Android分析员Armando Orozco表示,为应用程序授予root特权会使用户面临巨大风险。他说:“您的典型用户会仔细考虑一下,哦,我正在屏蔽广告,但并没有真正意识到这可能具有多大的侵入性。” Sensor Tower移动洞察负责人Randy Nelson表示,出于竞争原因,该公司未透露这些应用的所有权。他说:“当考虑到这些类型的应用程序与一家分析公司之间的关系时,这很有道理-特别是考虑到我们作为一家初创公司的历史,”他补充说,该公司最初的目标是构建广告拦截器。 Nelson表示该公司的应用程序不会收集敏感数据或个人身份信息,并且“列出的这些应用程序中的绝大多数现已停用(处于非活动状态),有一些正在淘汰中”。   (稿源:cnBeta,封面源自网络。)

Android 安全警告:10 亿台设备不再获得更新

据消费者监管机构透露,如果你仍在运行 Android 6.0 或更早版本,则会容易受到恶意软件的攻击。目前来看,全球有超过十亿的 Android 设备不再受到安全更新的支持,它们都是十分容易受到攻击的对象。 据统计,40% 的 Android 设备不再从 Google 接收到重要的安全更新,这使它们面临更大的恶意软件或其他安全漏洞风险。Android 10 是目前最新的版本,虽然它和其前身 Android 9 (Pie) 及 8 (Oreo) 仍在接收安全更新,但使用低于 Android 8 的任何设备都会带来安全风险。 根据 Google 去年公布的数据,全球约 40% 的 Android 活跃用户使用的是 6.0 或更早版本:Marshmallow (2015), Lollipop (2014), KitKat (2013), Jellybean (2012), Ice Cream Sandwich (2011) 以及 Gingerbread (2010)。而根据《 Android 安全公告》中的政策,2019年未发布针对 7.0 以下版本(Nougat)的 Android 系统的安全补丁。 这就意味着,全球有超过 10 亿部手机和平板电脑处于活跃状态,但不会再收到安全更新。有人购买了许多已使用三年的 Android 设备进行了验证,其中大多数只能运行 Android 7.0。结果显示,消费者团体聘请的安全专家能够用恶意软件感染所有设备,其中一些设备还会被多次感染。 测试中的所有手机均被 Joker(也称为 Bread)恶意软件成功感染,此外,被测试的每台设备也都被 Bluefrag 感染了,这是一个严重的安全漏洞,主要针对 Android 蓝牙组件。 事实上,对于应该为智能设备提供多长时间的更新,以便消费者可以做出明智的购买决定,并且一旦不再提供安全更新,客户如何获得有关其选择的更好信息等此类问题,应该具有更大的透明度。 谷歌表示,他们一直在致力于提升 Android 设备的安全性。他们每月都会提供安全更新、错误修复和其他保护措施,并持续与硬件和运营商合作伙伴保持合作,以确保 Android 用户能获得快速、安全的使用体验。 不过交付操作系统安全更新的时间取决于设备、制造商和移动运营商。由于智能手机制造商会对 Android 操作系统的某些部分进行定制,因此他们部署补丁和更新的速度通常比谷歌在自己设备上部署的速度更慢,或者根本没有部署。   (稿源:开源中国,封面源自网络。)

首款破解 2FA 的 Android 恶意程序曝光:可窃取银行帐号

上月,总部位于阿姆斯特丹的网络安全公司ThreatFabric发现了名为Cerberus的恶意程序。它是有史以来首款能够成功窃取Google Authenticator应用程序生成的2FA(两因素身份验证)代码功能的Android恶意软件。该软件目前正在开发过程中,目前没有证据表明已用于实际攻击。 研究人员表示,该恶意程序混合了银行木马和远程访问木马(RAT)特性。一旦Android用户被感染,黑客便会使用该恶意软件的银行木马功能来窃取移动银行应用程序的帐号凭据。 ThreatFabric的报告指出,远程访问特洛伊木马(Cerberus)是在6月底首次发现的,它取代了Anubis木马,并逐渐成为一种主要的恶意软件即服务产品。 报告指出,Cerberus在2020年1月中旬进行了更新,新版本引入了从Google Authenticator窃取2FA令牌以及设备屏幕锁定PIN码和滑动方式的功能。 即使用户账户受到2FA(Google Authenticator生成)保护,恶意程序Cerberus可以通过RAT功能手动连接到用户设备。然后,黑客将打开Authenticator应用程序,生成一次性密码,截取这些代码的屏幕截图,然后访问该用户的帐户。 安全团队表示:“启用窃取设备的屏幕锁定凭据(PIN和锁定模式)的功能由一个简单的覆盖层提供支持,该覆盖层将要求受害者解锁设备。从RAT的实现中,我们可以得出结论,建立此屏幕锁定凭据盗窃是为了使参与者能够远程解锁设备,以便在受害者不使用设备时进行欺诈。这再次显示了罪犯创造成功所需的正确工具的创造力。” 在本周发表的研究中,来自Nightwatch Cybersecurity的研究人员深入研究了导致这种攻击的根本原因,即Authenticator应用程序首先允许对其内容进行屏幕截图。 Android操作系统允许应用程序阻止其他应用程序截屏其内容,从而保护其用户。这是通过在应用程序的配置中添加“ FLAG_SECURE”选项来完成的。Google并未将此标记添加到Authenticator的应用中,尽管该应用通常处理一些非常敏感的内容。 Nightwatch研究人员表示,谷歌早在2014年的10月就收到了相关的问题报告,当时有用户在GitHub上注意到这个错误配置。2017年,Nightwatch在2017年的时候又向谷歌的安全团队报告了相同的问题,此外还发现微软的Authenticator同样存在能够截图问题。   (稿源:cnBeta,封面源自网络。)

微软:99.9% 被入侵的帐户未启用多因素身份验证

在上周举行的 RSA 安全会议上,微软工程师讲到,他们每月追踪到的 99.9% 受感染帐户都没有启用多因素身份验证(MFA),而该解决方案可以阻止大多数自动帐户攻击。根据微软的数据,他们每天跟踪超过 300 亿次登录和超过 10 亿的月活用户。平均每个月约有 0.5% 的账户被盗,在 2020 年 1 月,这一数字具体约为 120 万。 当企业账户被攻击时,情况将会更糟。微软表示,截至 2020 年 1 月,在这些高度敏感的帐户中,只有 11% 启用了多因素身份验证(MFA)解决方案。 多数 Microsoft 帐户被黑客入侵的主要来源是密码喷洒(password spraying),攻击者通常会选择比较容易猜测的密码,挨个账户进行破解尝试,然后使用第二个密码依次尝试攻击,以此类推。 第二种主要的攻击方式是密码重放(password replays),也就是使用一套被泄露的数据,在另外一个平台尝试登入,如果用户在不同平台重复使用相同的账号密码就会中招。 微软身份和安全架构师 Lee Walker 指出,60% 的用户会重复使用密码,最好不要这样混淆,企业和非企业环境中的账户也应区分开来。 述两类攻击基本都是针对较旧的身份验证协议进行的,例如 SMTP、IMAP、POP 等,主要原因是这些旧式身份验证协议不支持 MFA 解决方案,于是非常容易被黑客利用。 Walker 提醒那些使用旧式身份验证协议的组织,应当立即将其禁用。微软的数据显示,禁用了旧协议的租户,账户被入侵率下降了 67%。 此外,微软建议,每个组织都应优先考虑为用户帐户启用 MFA 解决方案,“这样可以阻止 99.9% 的帐户被黑客入侵。”   (稿源:开源中国,封面源自网络。)

英特尔 CSME 爆出严重安全漏洞 现已发布修复补丁

近日英特尔发布公告称自家CPU主控存在严重的安全漏洞,允许黑客绕过存储加密、授权内容保护,并在物联网设备中接管控制硬件传感器。目前英特尔官方已经发布了固件和软件更新,并提供检测工具以缓解这些漏洞的影响。 该漏洞存在于啊英特尔融合的安全性和可管理性引擎(CSME)中,具有物理访问权限的攻击者可以在单个平台上执行以下操作: 绕过英特尔反重播保护, 从而允许对存储在英特尔CEME内的机密进行潜在的暴力攻击; 获得未经授权的英特尔管理引擎BIOS扩展 (英特尔MEBX) 密码; 篡改英特尔CSME文件系统目录或服务器平台服务和可信执行环境数据文件的完整性。 英特尔®融合安全管理引擎(英特尔® CSME)子系统中的潜在安全漏洞可能允许: 特权提升 拒绝服务 信息泄露 受影响产品: 在12.0.49 (仅限 IoT:12.0.56)、13.0.21、14.0.11 之前,此潜在漏洞不会影响英特尔® CSME 版本。英特尔 CSME/ME 版本10和11。 此外英特尔还提供了检测工具CSME_Version_Detection_Tool_Windows .zip:适用于 Windows用户 该下载包含两个版本的工具: 第一个版本是一种交互式 GUI 工具,可用于发现设备的硬件和软件细节,并提供风险评估。建议对系统的本地评估使用此版本。 该工具的第二个版本是控制台可执行文件,它将发现信息保存到 Windows 注册表和/或 XML 文件中。对于想要跨多台机器执行批量发现的 IT 管理员来说,这一版本更方便,可以找到面向固件更新的系统。 CSME_Version_Detection_Tool_Linux tar gz:适用于 Linux 用户,该工具的版本是一个命令行可执行文件,它将显示被测系统的风险评估。   (稿源:cnBeta,封面源自网络。)  

使用设备出厂密码存在高安全风险 F-Secure 建议用户及时更改

据外媒报道,仍有许多人在用着糟糕的密码,这是一个巨大的安全风险。很显然在这件事情上产品公司也有错,因为它们在其设备中使用了极容易被猜到的默认用户名和密码–而黑客们深谙这点。 作为一种网络攻击模式检测方式,来自安全公司F-Secure的研究人员在世界各国设置了一系列“蜜罐”诱饵服务器。黑客尝试使用的一些最流行密码出现在了许多最糟糕的密码列表中,像“12345”和“password”但“admin”被证明是最流行的。 许多黑客尝试使用的另一个密码则是“vivx”,这是中国大华公司DVR的默认密码。名单上的另外两个密码“1001chin”和“taZz@23495859”也是其他嵌入式设备的出厂默认密码,包括路由器。 据透露,99.9%的蜜罐流量来自机器人、恶意软件及其他工具。这些攻击可以来自任何联网设备,从传统的PC到智能手表乃至IoT牙刷。 大部分攻击来自美国,而最受欢迎的攻击目的地则是乌克兰,其次是中国、奥地利和美国。 值得注意的是,许多攻击者都会通过其他国家的代理展开攻击,这么做的目的当然是为了避开身份验证环节,所以这份表单的准确性还有待商榷。 当提到最受攻击的TCP端口时,SMB端口445则是当中最受欢迎的,其有5.26亿次点击量,这表明攻击者依旧热衷于使用SMB蠕虫和诸如欺骗机器人之类的攻击。Telnet以5.23亿次的点击量位居第二,这表明对IoT设备的攻击仍非常常见。 另外,该报告还提醒消费者更改设备的默认密码和出厂设置并遵守标准的安全防范措施比如说及时更新固件和补丁。另外,不要使用糟糕的密码。   (稿源:cnBeta,封面源自网络。)

警惕 Linux 挖矿木马 SystemMiner 通过 SSH 爆破入侵攻击

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/yNiGdnLDbKE9lm_iZVOxPA   一、概述 近日某企业Linux服务器出现卡慢,CPU占用高等现象,向腾讯安全威胁情报中心求助。工程师征得客户同意对该企业网络运行情况进行安全审计。通过对故障服务器进行安全检查,发现该服务器遭遇SSH弱密码爆破入侵。入侵者植入定时任务实现持久化,定时任务下载执行病毒母体INT, INT内置了多个bash命令,会进一步下载执行Linux挖矿木马SystemMiner。 此外入侵者还会利用运维工具ansible、knife等执行命令批量攻击感染内网其他机器,会尝试下载脚本卸载腾讯云云镜、阿里云安骑士等安防产品以实现自保护,入侵者还会修改hosts文件屏蔽其他挖矿网址以独占挖矿资源。 二、病毒分析 1.    入侵阶段 腾讯安全运维专家通过查看失陷主机相关日志,发现入侵者尝试数短时间内爆破SSH接近三千次,爆破入侵成功后会创建执行定时任务kpccv.sh。 2.    持久化 通过创建定时任务实现持久化,定时任务为sh脚本,脚本内容经过base64编码加密。定时任务执行周期为59分钟以内的一个随机数值。 Kpccv.sh经过bash64加密,其主要功能是下载病毒母体INT执行。为了避免下载地址失效,内置了多个下载地址。tencentxjy5kpccv.拼接tor2web.io,tor2web.in等得到完整的下载链接。 Kpccv.sh解密后的内容如下: 3.    病毒母体INT分析 INT为ELF格式可执行文件,运行后创建一子进程执行,内置了多个bash命令,经base64编码加密,每个bash脚本命令都对应着完整的功能模块,下文依次分析每个bash命令实现的具体功能。 3.1 本地持久化 该bash模块主要功能是实现本地持久化,创建定时任务0kpccv,定时任务执行周期为59分钟以内的一个随机数值。定时任务执行kpccv.sh脚本,写入脚本的内容经过了base64编码,其主要功能是下载执行病毒母体INT。 Base64解码后的bash脚本: 3.2 内网渗透&自保护 利用运维工具ansible、knife、salt执行命令实现对内网机器批量感染,执行命令经过base64编码,解码后其功能为下载执行病毒母体INT 下载脚本尝试卸载腾讯云云镜、阿里云安骑士等安全防护产品以实现自保护。 下载可执行文件bot,trc模块执行,目前下载链接已失效。 3.3  清理其他挖矿木马&屏蔽矿池网址 该模块主要功能是清理机器上的挖矿木马,并且修改hosts文件,将常见的挖矿网址systemten.org、pm.cpuminerpool.com等映射到ip地址0.0.0.0,以实现屏蔽其他挖矿网址实现独占系统资源。 3.4 下载执行挖矿木马 执行最核心的功能,下载执行挖矿木马。下载链接通过拼接而成,tencentxjy5kpccv.拼接tor2web.io等,挖矿模块cpu为ELF格式可执行文件。 执行门罗币挖矿,矿池配置如下: 三、安全建议 腾讯安全专家建议各企业对Linux服务器做以下加固处理: 1.采用高强度的密码,避免使用弱口令,并建议定期更换密码。建议服务器密码使用高强度无规律密码,并强制要求每个服务器使用不同密码管理; 2.排查相关Linux服务器是否有kpccv等相关定时任务,有则结束相关进程,清理相关木马文件; 3.在终端/服务器部署专业安全防护软件,Web服务器可考虑部署在腾讯云等具备专业安全防护能力的云服务平台。 4.推荐企业部署腾讯T-Sec高级威胁检测系统(腾讯御界)及时捕捉黑客攻击。御界高级威胁检测系统,是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。(https://s.tencent.com/product/gjwxjc/index.html) IOCs: MD5: 177e3be14adcc6630122f9ee1133b5d3 e5f8c201b1256b617974f9c1a517d662 b72557f4b94d500c0cd7612b17befb70 域名: tencentxjy5kpccv.t.tor2web.io tencentxjy5kpccv.t.tor2web.io tencentxjy5kpccv.t.tor2web.to tencentxjy5kpccv.t.tor2web.in tencentxjy5kpccv.t.onion.to tencentxjy5kpccv.t.onion.in.net tencentxjy5kpccv.t.civiclink.network tencentxjy5kpccv.t.onion.nz tencentxjy5kpccv.t.onion.pet tencentxjy5kpccv.t.onion.ws tencentxjy5kpccv.t.onion.ly 矿池: 136.243.90.99:8080

受 CAA 代码问题影响 Let’s Encrypt 将于 3 月 4 日撤销部分证书

Let’s Encrypt 刚刚宣布,其将于 3 月 4 日起撤销大量 TLS / TTS 证书,并正在向受影响的客户发邮件告知,以便其及时地更新。2 月底的时候,该机构公布起在 CAA 代码中发现了一个 bug,因此需要吊销这部分证书。为避免业务中断,Let’s Encrypt 建议客户在 3 月 4 日前更换受影响的证书,否则网站访客会看到一个与证书失效有关的安全警告。 Let’s Encrypt 在邮件中写道:很遗憾,这意味着我们需要撤销受此错误影响的一批证书,其中包括您的一个或多个证书。因此造成的不便,我们深表歉意。 如果客户无法在证书被吊销(3 月 4 日)前更新,网站访客将看到安全警告,直到证书再次更新。新证书的续签流程,可以在 ACME 文档中找到。 你也可以通过官方工具来查看是否需要更新证书,或者道论坛翻阅相关主题。如有其它疑问,可在撰写帖子时,于模板中发起提问。 据悉,这批证书的吊销时间为世界标准时(UTC)3 月 4 日 00:00 整。   (稿源:cnBeta,封面源自网络。)