分类: 恶意软件

警惕间谍软件!逾 200 Playstore 应用程序或存在风险

近日,研究人员观察到有超过200个Android应用程序正在传播一款名为Facestealer的间谍软件以窃取用户凭据和其他有价值的信息,如与受害者帐户相关的Facebook cookie和个人身份信息。据统计,在这些应用程序中,42个伪装为VPN服务,20个为相机程序,13个照片编辑程序。 “与另一款移动恶意软件Joker类似,Facestealer经常会更改自身代码,从而产生许多变体,”趋势科技(Trend Micro)的分析师Cifer Fang、Ford Quin和Zhengyu Dong在一份新报告中这样写道,“自从被发现以来,这款间谍软件一直困扰着Google Play。” 资料显示,2021年7月,Facestealer首次被Doctor Web公司发现并记录,定性为一组入侵 Android官方应用市场的欺诈性应用,其目的是窃取Facebook登录证书等敏感数据。 除此之外,趋势科技还透露,它发现了40多个流氓加密货币矿工应用程序,这些应用程序瞄准了对虚拟货币感兴趣的用户,旨在诱骗用户观看广告和支付订阅服务。有些应用程序甚至会更进一步,试图窃取用于恢复加密货币钱包访问的私钥和助记短语(种子短语),例如Cryptomining Farm Your own Coin。 为避免成为此类诈骗应用的受害者,研究人员向用户提供了若干建议,包括:查看差评,验证开发者合法性,避免从第三方应用商店下载应用等。 新研究分析了在野外安装的恶意 Android 应用程序 基于2019年至2020年期间在1170万多台设备上安装的880万应用程序,来自NortonLifeLock和波士顿大学的研究人员发表了他们所谓的“最大的设备上的潜在有害应用程序(PHA)研究”。 该研究指出,“PHA在谷歌Play上的平均停留时间为77天,在第三方市场上为34天”。研究还指出,由于在PHA被发现和被移除之间存在时滞,因此有3553款应用在被移除后出现了跨市场迁移。 最重要的是,研究表明,当用户切换设备并在从备份恢复时自动安装应用程序的时候,PHA 的平均停留时间要长得多。 据悉,通过使用三星Smart Switch移动应用程序,已有多达1.4万个PHA转移到了 3.5万台新的三星设备上,这些应用程序在手机上的存在时间约为93天。 学者表示:“Android 安全模型严重限制了移动安全产品在检测到恶意应用程序时可执行的操作,从而使 PHA在受害设备上持续存在很长时间,而当前的移动安全程序使用的警告系统也无法说服用户迅速卸载PHA。” 转自 Freebuf,原文链接:https://www.freebuf.com/news/333470.html 封面来源于网络,如有侵权请联系删除

既能挖矿还能勒索,Eternity 恶意软件工具包正通过 Telegram 传播

据Bleeping Computer网站5月12日消息,目前,在网络上出现了一个名为“Eternity “(永恒不朽)的恶意软件即服务项目,威胁参与者可以购买恶意软件工具包,并根据所进行的攻击使用不同的模块进行定制。 这个模块化的工具包包括了信息窃取器、挖矿器、剪切板、勒索软件程序、蠕虫传播器以及即将上线的 DDoS攻击机器人,其中的每一个模块都单独购买。目前,该工具包正在一个 拥有 500 多名成员的专用 Telegram 频道上进行推广,发布者在该频道上会发布更新说明、使用说明并讨论相关的使用建议。对于那些购买了恶意软件工具包的人,可以在选择他们想要激活的功能并使用加密支付后,利用 Telegram Bot 自动构建二进制文件。 Eternity提供的主要模块 工具概览 以包年为时间单位,这些不同模块价格差异也往往较大: 挖矿器:90美元/年,具有隐藏任务管理器、进程被杀死时自动重启和启动持久性的功能; 剪切板:110 美元/年,是一种实用程序,可监视剪贴板中的加密货币钱包地址,以将其替换为攻击者自身的钱包; 信息窃取器:260 美元/年,能窃取存储在 20 多个网络浏览器中的密码、信用卡、书签、令牌和cookie 等数据; 蠕虫传播器: 390 美元/年,使恶意软件能够通过 USB 驱动程序、本地网络共享、本地文件、云驱动器、Python 项目(通过解释器)、Discord 帐户和 Telegram 帐户自行传播; 勒索软件程序:490 美元/年,能够针对文档、照片和数据库使用 AES 和 RSA 组合的离线加密。开发者声称它是 FUD(完全无法检测到),并且能够设置一个倒计时器,使文件在到期时完全无法恢复,以给受害者带来额外的压力,迫使他们迅速支付赎金。 勒索软件倒计时器 发现Eternity 项目的Cyble 分析师认为,虽然他们还没有机会检查所有模块,但他们已经看到恶意软件的样本在野外传播和使用,并且在Telegram上已经搜集到了一些真实的威胁反馈。 通过查看窃取器模块,Cyble 分析师发现与 Jester Stealer 有几个相似之处,两者都可能源自一个名为DynamicStealer的 GitHub 项目。因此,Eternity很可能是该代码的副本,通过进行修改和更名后在Telegram 上出售。 由于这些模块支持自动化构建,并对如何使用进行了详细说明,使其能够成为“新手”黑客手中的有力武器,并对互联网用户构成严重威胁。 转自 FreeBuf,原文链接:https://www.freebuf.com/news/333021.html 封面来源于网络,如有侵权请联系删除

新型隐形 Nerbian RAT 恶意软件横空出世

Bleeping Computer 网站披露,网络安全研究人员发现一个名为 Nerbian RAT 的新型恶意软件,它具有逃避研究人员检测和分析的能力。 Proofpoint 的安全研究人员首先发现该新型恶意软件,并发布了一份关于新型 Nerbian RAT 恶意软件的报告。 据悉,新型恶意软件变体采用 Go 语言编写,使其成为跨平台的64位威胁。目前,该恶意软件通过使用宏文档附件的小规模电子邮件分发活动进行传播。 冒充世界卫生组织 恶意软件背后的操纵者冒充世界卫生组织(WHO),分发 Nerbian RAT 恶意软件,据称该组织正在向目标发送COVID-19信息。 最新活动中看到的钓鱼邮件(Proofpoint) RAR  附件中包含带有恶意宏代码的 Word 文档,如果在 Microsoft Office 上打开,并将内容设置为 “启用”的话,一个 bat 文件会执行 PowerShell 步骤,下载一个 64 位的 dropper。 这个名为 UpdateUAV.exe 的 dropper 也采用  Golang  编写,为了保证其大小可控,被打包在 UPX 中。 在部署 Nerbian RAT 之前,UpdateUAV 重用来自各种 GitHub 项目的代码,以整合一组丰富的反分析和检测规避机制。除此以外,该投放器还通过创建一个预定任务,每小时启动该 RAT 来建立持久性。 Proofpoint 将反分析工具列表总结如下: 检查进程列表中是否存在反向工程或调试程序 检查可疑的 MAC 地址 检查 WMI 字符串,看磁盘名称是否合法 检查硬盘大小是否低于 100GB,这是虚拟机的典型特征 检查进程列表中是否存在任何内存分析或篡改检测程序 检查执行后的时间量,并与设定的阈值进行比较 使用 IsDebuggerPresent API 来确定可执行文件是否正在被调试。 所有上述这些检查使 RAT 实际上不可能在沙盒、虚拟化环境中运行,从而确保恶意软件运营商的长期隐蔽性。 Nerbian RAT 的功能特点 Nerbian RAT 恶意软件以 “MoUsoCore.exe “形式下载,之后保存到 “C:\ProgramData\USOShared\”中,支持多种功能,背后操作者可以任意选择配置其中的一些功能。 值得注意的是,它具有两个显著功能,一个是以加密形式存储击键的键盘记录器,另外一个是适用于所有操作系统平台的屏幕捕获工具。 另外,它与 C2 服务器的通信是通过 SSL(安全套接字层)处理的,因此所有的数据交换都是加密的,并受到保护,有效防止了网络扫描工具在传输过程中进行检查。 完整的感染过程 (Proofpoint) 应当密切关注 毫无疑问,Proofpoint 发现的 Nerbian RAT ,是一个有趣的、复杂的新型恶意软件,它通过大量的检查、通信加密和代码混淆,专注于隐蔽性。 不过,就目前而言,Nerbian RAT 恶意软件还是通过低容量的电子邮件活动进行分发,所以还构不成大规模威胁,但如果其背后操作者决定向更广泛的网络犯罪社区传播,情况可能会变得很糟糕。 转自 FreeBuf,原文链接:https://www.freebuf.com/news/332896.html 封面来源于网络,如有侵权请联系删除

勒索软件 REvil 回归,新版本正在积极开发中

5月9日,Secureworks Counter Threat Unit (CTU) 的研究人员发布的报告显示,臭名昭著的勒索软件 REvil(又名 Sodin 或 Sodinokibi)在销声匿迹一段时间后再度开始活动。 研究人员对新发现的样本进行分析,发现在短时间内已经出现多个修改过的新版本,表明 REvil 再次处于积极的开发过程中。 4月20日,REvil 在 TOR 网络中的数据泄露站点开始重定向到新的主机,这是一个明显的复苏信号,网络安全公司 Avast 在一周后披露,他们已在野外阻止了一个看起来像新的 Sodinokibi / REvil的勒索软件样本变种。 根据对另一个时间戳为3月11日的样本源代码进行检查,发现与2021年10月的样本相比已经有了明显的更改,包括对其字符串解密逻辑、配置存储位置和硬编码公钥的更新,并修订了赎金记录中显示的 Tor 域,与上个月发现的新 Tor 域相匹配: REvil 泄露站点:blogxxu75w63ujqarv476otld7cyjkq4yoswzt4ijadkjwvg3vrvd5yd[.]onion REvil 赎金支付网站:landxxeaf2hoyl2jvcwuazypt6imcsbmhb7kx3x33yhparvtmkatpaad[.]onion 2022 年 3 月样本中的字符串解密逻辑更改(资料来源:Secureworks) 作为一种勒索软件即服务 (RaaS),REvil是最早采用双重勒索计划的组织之一,即以泄露窃取的数据为由威胁受害者支付赎金。该勒索软件组织自 2019 年开始运作,在2021年7月针对 Kaseya 云端系统供应链攻击中曾开出7000万美元的赎金要求,创勒索软件最高赎金记录。但在2021年10月份的多国联合执法行动中,REvil的服务器被查,今年1月初,俄罗斯联邦安全局 (FSB) 在该国多地进行突袭后,逮捕了多名组织成员。 REvil的复出被认为与俄乌战争有关,就在上个月,美国单方面退出了与俄罗斯为保护关键基础设施进行合作的计划。此外这也表明,勒索软件即使被打压或解散后,也能够很容易的死灰复燃,当下要彻底根除网络犯罪组织可谓困难重重。 转自 FreeBuf,原文链接:https://www.freebuf.com/news/332892.html 封面来源于网络,如有侵权请联系删除

恶意 NPM 软件包瞄准德国公司进行供应链攻击

5月11日,网络安全研究人员在NPM注册表中发现了一些恶意软件包,专门针对一些位于德国的知名媒体、物流和工业公司进行供应链攻击。 JFrog研究人员在一份报告中表示,“与NPM库中发现的大多数恶意软件相比,这一有效负载危险性更高。它是一个高度复杂的、模糊的恶意软件,攻击者可以通过后门完全控制被感染的机器。” DevOps公司表示,根据现有证据,这要么是一个复杂的威胁行为,要么是一个“非常激进”的渗透测试。 目前,大部分恶意软件包已经从注册表中移除,研究人员追踪到四个“维护者”bertelsmannnpm、boschnodemodules、stihlnodemodules和dbschenkernpm,这些用户名表明其试图冒充像贝塔斯曼、博世、Stihl和DB Schenker这样的合法公司。 “维护者”bertelsmannnpm 一些软件包的名称非常具体,它意味着对手设法识别了公司内部存储库中的库以进行依赖混淆攻击。 供应链攻击 上述发现来自Snyk的报告,该报告详细描述了其中一个违规的软件包“gxm-reference-web-aut -server”,并指出恶意软件的目标是一家在其私有注册表中有相同软件包的公司。 Snyk安全研究团队表示:“攻击者很可能在该公司的私人注册表中,掌握了这样一个包的存在信息。” Reversing实验室证实了黑客攻击行为,称上传至NPM的恶意模块版本号比私有模块的版本号更高,从而迫使模块进入目标环境,这是依赖混淆攻击的明显特征。 该实验室解释“运输和物流公司的目标私有软件包有0.5.69和4.0.48版本,与恶意软件包的公开版本名称相同,但其使用的是版本0.5.70和4.0.49。” JFrog称这种植入是“内部开发”,并指出该恶意软件包含两个组件,一个是传输器,它在解密和执行JavaScript后门之前,向远程遥测服务器发送有关被感染机器的信息。 后门虽然缺乏持久性机制,但设计用于接收和执行硬编码的命令和控制服务器发送的命令,评估任意JavaScript代码,并将文件上传回服务器。 研究人员称,这次攻击的目标非常明确,并且其掌握了非常机密的内部信息,甚至在NPM注册表中创建的用户名公开指向目标公司。 在此之前,以色列网络安全公司Check Point披露了一项长达数月的信息窃取活动,该活动使用AZORult、BitRAT、Raccoon等商用恶意软件攻击德国汽车行业。 转自 FreeBuf,原文链接:https://www.freebuf.com/news/332868.html 封面来源于网络,如有侵权请联系删除

CERT-UA 警告恶意垃圾邮件传播 Jester 信息窃取程序

近期,乌克兰计算机应急响应小组(CERT-UA)检测到某恶意垃圾邮件活动,该活动旨在传播名为Jester Stealer的信息窃取程序。 据调查,乌克兰CERT发现的该恶意邮件主题为“化学攻击”,邮件中包含一个带有恶意链接的Microsoft Excel文件。当用户打开该Office文档并激活嵌入的宏后,整个感染过程就开始了。经过政府专家的调查,发现该恶意可执行文件是从受感染的网络资源中下载的。 对此,乌克兰计算机应急响应小组及时发布了相应的公告,公告中称:政府应对乌克兰计算机紧急情况的团队CERT-UA披露了有关“化学攻击”主题的大量电子邮件以及指向带有宏的 XLS文档的链接的恶意活动。如果你打开文档并激活宏,下载并运行该EXE文件,这将激活恶意程序JesterStealer并对您的计算机造成一定伤害。 据研究,JesterStealer能够从Internet浏览器、MAIL/FTP/VPN 客户端、加密货币钱包、密码管理器、邮件、游戏程序等窃取凭据和身份验证令牌。 该信息窃取恶意软件实现了反分析功能(反虚拟机/调试/沙盒),但它没有实现任何持久性机制。威胁参与者使用静态配置的代理地址通过 Telegram 泄露数据。从发布的公告中得知,通过静态定义的代理地址(包括在 TOR 网络中)窃取的数据在 Telegram 中传输给攻击者。 转自 Freebuf,原文链接:https://www.freebuf.com/news/332628.html 封面来源于网络,如有侵权请联系删除

Red Canary 警告 Raspberry Robin 恶意软件会通过 USB 驱动器实现传播

Red Canary 安全研究人员刚刚揭示了一款攻击企业的“Raspberry Robin”恶意软件,可知该蠕虫病毒会通过被感染的外部硬盘驱动器而感染 Windows PC 。其实早在 2021 年 11 月,网络安全情报公司 Sekoia 就已经曝光过被“Raspberry Robin”所利用的“QNAP 蠕虫”。但自 9 月以来,Red Canary 在某些技术与制造商客户的网络中对其展开了持续的跟踪。 (来自:Red Canary 官网) 除了潜藏旗下的恶意软件性质,我们尚不清楚“Raspberry Robin”恶意软件的后期实际工作目的。 攻击流程图 当用户将受感染的 USB 驱动器连接到他们的计算机时,Raspberry Robin 就会在暗地里开启传播。 利用 ROT13.lnk 文件来修改注册表 该蠕虫会将自己伪装成 .lnk 快捷方式文件,然后调用 Windows 命令提示符(cmd.exe)来启动恶意软件。 Raspberry Robin 的 cmd.exe 命令 接着它会利用微软标准安装程序(MSIexec.exe)连接到远程的命令与控制(C2)服务器 —— 通常是易受攻击的 QNAP 设备 —— 以通过后者的出口节点来洗清攻击者的确切网络痕迹。 引用设备名称的混合大小写命令 Red Canary 推测,Raspberry Robin 会通过从 C2 服务器安装恶意的动态链接库(DLL)文件,以维持长期潜伏状态。 Raspberry Robin 的恶意 msiexec.exe 命令 然后该恶意软件会利用 Windows 中包含的两个实用程序来调用 DLL —— 其中 Windows 设置管理器(fodhelper)旨在绕过用户账户控制(UAC),而 ODBC 驱动程序配置工具(odbcconf)则用于执行与配置 DLL 。 恶意 rundll32.exe 命令 不过安全研究人员承认这只是一个可行的假设,当前他们尚不明确相关 DLL 的作用、也未搞清楚该恶意软件是如何利用 USB 驱动器实现传播的。 转自 cnBeta,原文链接:https://www.cnbeta.com/articles/tech/1267401.htm 封面来源于网络,如有侵权请联系删除

DLL 反制:安全研究人员提出阻止勒索软件加密文件的新策略

尽管恶意软件开发者擅长利用各种软硬件漏洞来达成目的,但他们散播的成品也并非毫无破绽。比如近日,安全研究人员 John Page(又名 hyp3rlinx)就介绍了一招反制勒索软件的新套路。由个人网站和 Twitter 账号上发布的内容可知,John Page 专精于找到恶意软件本身的漏洞,并于近日分享了阻止勒索软件加密受害者文件的方法。 视频截图(来自:malvuln / YouTube) 据悉,许多勒索软件都会被 DLL 劫持所影响。通常攻击者会利用这种动态链接库来诱骗程序加载,以运行他们预期中的恶意代码。 但转念一想,你也大可合理利用该技术来“反劫持”并阻止某些类型的勒索软件。 视频链接:https://tv.sohu.com/v/dXMvODIyMjQwNTMvMzQ2MTE1MDg2LnNodG1s.html John Page 在网站上分享了针对 REvil、Wannacry、Conti 等最新版恶意软件的漏洞和自定义 DLL 的详情。 可知要顺利解套,DLL 需在攻击者可能放置恶意软件的潜在目录中守株待兔。 截图(来自:Malvuln 网站) John Page 还建议采用分层策略,比如将之放在包含重要数据的网络共享上。 由于动态链接库不会在勒索软件访问它们之前被调用,因而此举可无视绕过反病毒软件防护的勒索软件活动。 遗憾的是,DLL 反劫持套路只适用于微软 Windows 操作系统,而无法轻松照搬到 Mac、Linux 或 Android 平台上。 此外它只能尝试避免被勒索软件加密文件,而不能阻止被攻击者访问系统和泄露数据。   转自cnBeta,原文链接:https://www.cnbeta.com/articles/tech/1265609.htm 封面来源于网络,如有侵权请联系删除

小心:勒索软件 Magniber 伪装成 Windows 更新传播

在最新活动中,恶意软件 Magniber 利用虚假的 Windows 10 更新实现传播。这款恶意软件非常善于紧跟最新时事进行传播,在 2021 年使用 PrintNightmare 漏洞来感染受害者;在 2022 年 1 月,它再次通过 Edge 和 Chrome 浏览器进行传播。 援引科技媒体 BleepingComputer 报道,目前已经有多例感染报道,似乎覆盖全球各地。这款恶意程序伪装为 Windows Update 更新,并连接了以下虚假的 knowledge base (KB) ID。 这些恶意更新是通过warez和盗版网站传播的。一旦恶意文件被安装,它们会继续删除加密驱动器的备份卷影副本,并创建一个包含赎金说明的”README”HTML文件(如右侧图片所示)。 在勒索软件的付款网站上,威胁者要求受害者支付大约2600美元或0.068比特币(BTC),如果五天不付款,赎金就会翻倍。   转自cnBeta,原文链接:https://www.cnbeta.com/articles/tech/1264377.htm 封面来源于网络,如有侵权请联系删除

安全专家发现新型恶意 Windows 11 网站:镜像内含恶意文件

自 Windows 11 系统 2021 年 6 月发布以来,不断有各种活动欺骗用户下载恶意的 Windows 11 安装程序。虽然这种情况在过去一段时间里有所遏制,但现在又卷土重来,而且破坏力明显升级。 网络安全公司 CloudSEK 近日发现了一个新型恶意软件活动,看起来非常像是微软的官方网站。由于使用了 Inno Setup Windows 安装程序,它分发的文件包含研究人员所说的“Inno Stealer”恶意软件。 恶意网站的URL是“windows11-upgrade11[.com]”,看来 Inno Stealer 活动的威胁者从几个月前的另一个类似的恶意软件活动中吸取了经验,该活动使用同样的伎俩来欺骗潜在的受害者。 CloudSEK说,在下载受感染的ISO后,多个进程在后台运行,以中和受感染用户的系统。它创建了Windows命令脚本,以禁用注册表安全,添加 Defender 例外,卸载安全产品,并删除阴影卷。 最后,一个.SCR文件被创建,这是一个实际传递恶意有效载荷的文件,在这种情况下,新颖的 Inno Stealer 恶意软件在被感染系统的以下目录中。恶意软件有效载荷文件的名称是”Windows11InstallationAssistant.scr”。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1259879.htm 封面来源于网络,如有侵权请联系删除