内容转载

= ̄ω ̄= 内容转载

CISA 命令美国政府机构紧急修补 PrintNightmare 漏洞

本月早些时候,安全研究人员意外地发布了一个零日漏洞和概念验证代码,证明了Windows 10 Print Spool中的一个漏洞可用于远程代码执行攻击。微软迅速地发布了一个带外修复程序,现在网络安全和基础设施安全局(CISA)已经命令政府机构紧急对联邦计算机应用这个补丁。 CISA说:”已经验证了各种概念证明的有效性,并担心如果不加以缓解,利用这一漏洞可能导致机构网络的全面系统受损。这一判断是基于目前威胁者在外部对这一漏洞的利用,进一步利用这一漏洞的可能性,受影响的软件在联邦企业中的普遍性,以及机构信息系统被破坏的高可能性。” 紧急指令21-04主要内容,并附有最后期限: 在2021年7月14日(星期三)美国东部时间晚上11:59之前,停止并禁用所有微软活动目录(AD)域控制器(DC)上的打印线轴服务。 在美国东部时间2021年7月20日(星期二)晚上11:59之前,将2021年7月的累积更新应用于所有Windows服务器和工作站。 在美国东部时间2021年7月20日(星期二)晚上11:59之前,对所有运行微软Windows操作系统的主机(行动1下的域控制器除外)完成指令中详述的选项1、2或3。 验证上述选项1、2和3的注册表和/或组策略设置是否正确部署。 在美国东部时间2021年7月20日(星期二)晚上11:59之前,确保技术和/或管理控制措施到位,以确保新配置的或以前断开连接的服务器和工作站得到更新,并在连接到机构网络之前拥有上述定义的设置。 在2021年7月21日(星期三)美国东部时间下午12:00之前,使用所提供的模板提交一份完成报告。 CISA还建议机构在所有不用于打印的系统上禁用Windows 10 Print Spool,普通Windows 10用户则可以通过安装刚刚发布的2021年7月累积更新来保护自己。     (消息及封面来源:cnBeta)

Guess 遭受勒索软件攻击后出现数据泄露事件

据Techtwiddle报道,在2月发生勒索软件攻击后,流行的时尚和零售商Guess让客户了解到网络攻击后发生的数据泄露事件。2021年6月3日,Guess完成了对存储在被黑系统中的文件的全面分析,并能够确定所有受影响者的地址。从6月9日开始,Guess开始向受影响的客户发送通知信,为他们提供免费的身份入侵安全解决方案,并由Experian提供一年的免费信用监控。 据悉,该公司客户的护照号码、金融账户号码、驾驶执照号码,甚至社会安全号码都被盗。据该公司称,大约有200GB的数据受到影响。考虑到Guess在美国、加拿大、欧洲、中东和亚洲经营着超过1250个公司拥有的和独立的零售点,这并不令人惊讶。 据称DarkSide是这次勒索软件攻击的幕后黑手 Guess从未披露过勒索软件攻击背后的威胁行为者的身份。DataBreaches.Net在三个月前的一篇文章中透露,网络犯罪组织DarkSide在其网站上发布了被盗信息。在过去的一年里,DarkSide对商业网络发起了一系列攻击,要求用赎金来换取解密和恢复受害者服务器中被删除的数据。 这个网络犯罪集团在5月入侵了Colonial Pipeline公司的网络,由于这次攻击的影响,他们受到了美国政府不受欢迎的关注。东海岸出现石油短缺的事实,促使美国政府立即采取更严格的措施加强网络防御。他们甚至说,他们将把勒索软件攻击的调查提升到与恐怖主义类似的优先级。 在国家施加大规模压力后,DarkSide说他们没有想到会造成这么大的损失,他们随后宣布解散他们的黑客组织。   (消息及封面来源:cnBeta)

REvil 勒索软件组织的基础设施和网站已神秘下线

昨晚,REvil 勒索软件组织的基础设施和网站已神秘下线。该组织又称之为 Sodinokibi,利用多个明网和暗网运作,用作赎金谈判网站、勒索软件数据泄露网站和后台基础设施。从昨晚开始,REvil 勒索软件组织所使用的网站和基础设施已经神秘地关闭了。 在接受外媒 BleepingComputer 采访的时候,Tor 项目的 Al Smith 表示:“简单来说,显示的这个错误通常意味着该 Onion 网站已经离线或者被禁用。如果你想要确认的话,你需要联系 Onion 网站的管理员”。虽然 REvil 网站在一段时间内失去连接并非闻所未闻,但所有网站同时关闭的情况并不常见。 此外,decoder[.]re 明网不再能被 DNS 查询解析,可能表明该域名的 DNS 记录已被撤销,或后端 DNS 基础设施已被关闭。Recorded Future 的 Alan Liska 说,REvil 网站在美国东部时间今天上午 1 点左右下线了。 今天下午,LockBit 勒索软件的代表在 XSS 俄语黑客论坛上发帖说,据传 REvil 团伙在得知政府的传票后删除了他们的服务器。 Advanced Intel 的 Vitali Kremez 将这段话翻译出来就是:“根据未经证实的信息,REvil 服务器基础设施收到了政府的法律要求,迫使 REvil 完全擦除服务器基础设施并消失。然而,这并没有得到证实”。Kremez 解释说:“根据经验,顶级论坛的管理部门在怀疑其用户被警方控制时,会对其进行禁言”。 不久之后,XSS 管理员禁止 REvil 的 “Unknown”账户,即勒索软件团伙面向公众的代表,离开论坛。     (消息及封面来源:cnBeta)

微软支持为被 Trickbot 感染的用户提供路由器上门更换服务

为打压某个国际黑客组织,微软正积极在拉美地区展开行动,比如主动为受 Trick博通 感染的巴西用户更换路由器。Daily Beast 在一篇报道中披露了详情,可知该组织位于俄罗斯、白罗斯、乌克兰和苏里南等地,且很早前就已被美国网络司令部和微软等信息安全公司给盯上。 Trickbot 会将受感染的计算机组成一个大型僵尸网络,以开展勒索软件攻击和其它非法活动。 微软指出,Trickbot 会劫持受害者的路由器和物联网设备。这些设备不仅很容易被感染,且受害者也难以察觉。 对于普通人来说,要从路由器中清除恶意软件,显然并不是一件轻松的事情,因而上门更换就成了一项最佳福利。 据说最近,微软正在与执法机构展开联合打击行动,并已取得一些进展。比如上月,司法部指控了一名据说协助 Trickbot 恶意软件开发的女性。 此外早在 2020 年,微软就宣称斩断了该组织 94% 的服务器基础设施,以阻止针对美国大选的任何攻击。 然而微软旗下致力于打击数字犯罪的部门总经理 Amy Hogan-Burney 在接受 The Daily Beast 采访时称,打击 Trickbot 仍是一场旷日持久的巨大挑战。 消息称,Trickbot 会对医院、学校和政府机构发起攻击,窃取登录凭据和锁定计算机系统以勒索赎金。 为此,与当地互联网服务提供商展开深入合作,为受感染的基层用户提供免费的路由器更换,即可发挥更进一步的效用。   (消息及封面来源:cnBeta)

Serv-U 套件发现远程代码执行漏洞 SolarWinds 敦促客户尽快打补丁

SolarWinds 公司敦促客户尽快安装补丁,以修复 Serv-U 远程代码执行漏洞。目前已经有相关证据表明该漏洞被“单一威胁行为者”利用,并且已经对少部分客户发起了攻击。 在本周五发布的公告中,SolarWinds 公司表示:“微软提供的相关证据表明已经有少量、针对性的客户受到影响。 尽管目前 SolarWinds 还无法预估有多少客户可能直接受到该漏洞的影响。据现有的证据,没有其他 SolarWinds 产品受到此漏洞的影响。SolarWinds 目前无法直到可能受影响客户的身份”。 该漏洞被追踪为 CVE-2021-35211,主要影响 SolarWinds 旗下的 Serv-U Managed File Transfer 和 Serv-U Secure FTP 两款产品,被远程攻击者利用之后可以指定任意代码。SolarWinds 表示:“如果环境中没有启用SSH,那么该漏洞就不存在”、 微软威胁情报中心(MSTIC)和微软进攻性安全研究团队在今年 5 月发布的 Serv-U 15.2.3 HF1 中发现的这个漏洞,并确认影响到之前发布的所有版本。 SolarWinds 已通过发布 Serv-U 15.2.3 版热修复(HF)2 解决了微软报告的安全漏洞。该公司补充道,SolarWinds 旗下的其他产品和 N-able 产品(包括 Orion Platform 和 Orion Platform 模组)均不受 CVE-2021-35211 的影响。 这家位于美国的软件公司警告说:“SolarWinds在2021年7月9日星期五发布了一个热修复程序,我们建议所有使用Serv-U的客户立即安装这个修复程序,以保护您的环境”。SolarWinds提供了更多信息,说明如何查找您的环境在微软报告的攻击中是否受到损害。   (消息及封面来源:cnBeta)

抵御跨站攻击:Mozilla 为 Firefox 90 引入元数据请求标头功能

Mozilla 很高兴地宣布,Firefox 90 版本将支持基于“元数据请求标头”的获取功能,使得 Web 应用程序能够保护自身和用户免受各种跨源威胁。据悉,此类威胁涵盖了跨站点请求伪造(CSRF)、跨站点泄露(XS-Leaks)、以及投机性跨站点执行侧信道(Spectre)攻击。 跨站攻击的背后,其实涉及 Web 的基本安全问题。出于开放的特性,其难以允许 Web 服务器端严格区分自身应用程序(浏览器选项卡)的请求、或源自可能以不同方式打开的恶意(跨站点)应用程序的请求。 如上图所示,假设用户登录了托管于 https://banking.com 的银行网站,并开展了网银相关的某些活动。 与此同时,被恶意攻击者控制的网站、也可在不同的浏览器标签页中打开并执行来自 https://attacker.com 的一些恶意操作。 于是在用户正常交互的过程中,网银 Web 服务器端可能收到某些例外操作,但却几乎无法分辨到底由用户本人、还是另一标签页中的恶意攻击代码发起的操作。 最终导致网银或常见的 Web 应用程序服务器刻板地接收任意操作,并允许发起相关攻击。 好消息是,从 Firefox 90 开始,Mozilla 将允许 Web 浏览器通过 HTTP 请求头来获取元数据(Sec-Fetch-*),从而让 Web 服务器更好地区分同源 / 跨站攻击请求。 借助 Sec-Fetch-* 系列请求标头中提供的附加上下文(支持 Dest、Mode、Site、以及 User 这四种请求标头),Web 服务器将能够火眼金睛地拒绝或忽略恶意请求。 Fetch Metadate 请求标头的启用,可为各种 Web 应用服务带来深度防御机制。此外 Firefox 将很快推出新的站点隔离安全架构,以进一步解决上述某些问题。   (消息及封面来源:cnBeta)

拜登与普京通电话 呼吁对勒索软件攻击采取行动

白宫发布声明称,美国总统乔·拜登周五与俄罗斯总统弗拉基米尔·普京通电话,敦促普京采取行动打击该国的黑客。美国认为,世界各地公司最近遭到的勒索攻击是俄罗斯黑客所为。声明说,“拜登强调俄罗斯需要采取行动打击在俄罗斯运作的勒索软件组织,并强调他致力于继续应对勒索软件构成的更广泛威胁。” 声明称,拜登强调,面对这种持续的挑战,美国将采取任何必要行动保卫其人民和关键基础设施。白宫发言人Jen Psaki说,通话持续了大约1个小时。 Psaki告诉记者,美国和俄罗斯的网络官员将于下周举行会谈。   (消息及封面来源:新浪财经综合)

微软:PrintNightmare 补丁有效 能绕过是因为错误使用 Windows

几天前微软紧急发布了一个带外(OOB)更新 KB5004945, 以修复“PrintNightmare”高危零日漏洞。但随后安全专家发现只需要修改注册表中的一个值就能绕过这个补丁,依然能利用该漏洞执行远程操作。 不过微软官方对本次更新予以肯定,表示在注册表安全设置下新更新能够保护用户,但修改注册表的行为是不安全的,在常规状态下不太会发生。微软官方回应道 我们已经收到了这方面的信息,并已着手进行调查,但目前我们并没有发现任何绕过该更新的情况。我们观察到可以绕过更新的方法,但这需要管理员将默认注册表设置更改为不安全的配置。参见 CVE-2021-34527 指南,以了解保护系统所需的设置的更多信息。   (消息及封面来源:cnBeta)

韩国原子能研究所遭到黑客 12 天攻击 NIS 公布更多细节

援引 KBS World 报道,韩国原子能研究所(KAERI)近日遭到了长达 12 天的网络攻击,并基本确认攻击方来自朝鲜。在 8 日举行的国会情报委员会会议上,韩国国会情报委员会(NIS)两名干事金炳基和河泰庆表示今年上半年因黑客攻击造成的损失环比增加 9%,其中 KAERI 疑似遭到了朝鲜黑客组织的攻击。 河泰庆表示,在 6 月 1 日接到 KAERI 的报告之后就着手展开调查,整个攻击时长超过 12 天,所幸的是核心技术资料并没有被窃取。NIS 认为本次黑客攻击的幕后主使可能就是朝鲜。 据河泰庆公开的资料,5 月 14 日未经批准的 13 个外部 IP 地址入侵韩国原子能研究院内网。通过朝鲜网络攻击专门研究组织“IssueMakersLab”追查这些 IP 来源后发现,部分 IP 地址与疑似有朝鲜军队侦察总局背景的黑客组织“Kimsuky”服务器相连。 河泰庆表示,部分 IP 地址还盗用前韩国总统统一外交安全事务特别助理文正仁的电子邮件用户名。这是朝鲜与 2018 年文正仁电子邮件遭黑客攻击有关的间接证据,是证明该案系朝鲜黑客组织所为的决定性证据。河泰庆表示,如果国家核心技术被朝鲜外泄,其严重性可能不亚于2016年国防部内网被黑客攻破事件。   (消息及封面来源:cnBeta)

以色列安全研究揭示了一场全球性的黑客行动

《以色列早报》称,研究人员利亚德-莫德科维茨和奥菲尔·哈帕兹发现了一个针对多个组织的网络攻击,并破坏了服务器以挖掘加密货币或获取数据。大约有2000家公司受到攻击,并以其服务器为发射平台,对更多组织进行攻击,由于攻击是分散的,这使得他们更难追踪。 网络攻击的主要目标主要是印度、越南和美国的媒体、旅游、卫生和教育行业的商业和机构服务器。这些针对Windows服务器的网络攻击最终目的是挖掘数字货币,或者是用恶意软件或木马程序感染它们,并窃取存储的敏感信息。有趣的是,黑客删除了其他恶意代理的恶意软件,并采用更复杂的方法来确保他们对机器的独家访问。此外,他们还在拿到权限后,删除了自己的木马和恶意软件作为预防措施。 这些服务器是通过攻击微软开发的SMB协议而被入侵的。这些入侵使网络犯罪分子能够反复访问网络,随后在暗网上出售窃取的凭证。每台被入侵的Windows服务器估计价值约为300美元,因此将这一数字乘以2000个组织,就能获得60万美元的利润,这是一笔非常可观的收益。 来自Guardicore的研究人员发布了一个工具,可以让网络安全负责人确定其组织的系统是否容易受到网络攻击,以及他们应该采取什么行动来保护其系统免受类似的网络攻击。 阅读报告全文: https://www.guardicore.com/labs/smb-worm-indexsinas/   (消息及封面来源:cnBeta)