分类: 恶意软件

攻击者使用 Python 勒索软件加密 VMware ESXi 服务器

Sophos报告称,最近观察到的一次攻击使用了基于python的勒索软件变种,目标是一个组织的VMware ESXi服务器,攻击者加密了所有虚拟磁盘。 攻击者使用了自定义Python脚本,该脚本一旦在目标组织的虚拟机管理程序上执行,就会使所有虚拟机脱机。 Sophos的安全研究人员解释说,攻击者相当迅速地执行了勒索软件:在最初的攻击大约三小时后,加密过程就开始了。 初始访问时,攻击者破坏了一个没有设置多因素身份验证的TeamViewer帐户,该帐户在一个具有域管理员凭据的用户的计算机的后台运行。 Sophos解释说,攻击者在该组织所在的时区等了30分钟后登录,然后下载并执行了一个工具来识别网络上的目标,然后他们顺利找到一个VMware ESXi服务器。 凌晨2点左右,攻击者获取了一个SSH客户端登录服务器,利用ESXi服务器上的内置SSH服务ESXi Shell,该服务可在ESXi服务器上进行管理。 在首次扫描网络3小时后,攻击者登录到ESXi Shell,复制Python脚本,然后对每个数据存储磁盘卷执行该脚本,从而对虚拟机的虚拟磁盘和设置文件进行加密。 该脚本只有6kb大小,但允许攻击者使用多个加密密钥、各种电子邮件地址以及要附加到加密文件的文件后缀对其进行配置。 根据Sophos的说法,该脚本包含多个硬编码加密密钥,以及生成更多密钥的程序,研究人员因此得出结论,勒索软件每次运行都会生成一个唯一的密钥。 因此,在这种特定的攻击中,由于攻击者对三个目标ESXi数据存储分别执行了脚本,因此为每个加密过程创建了一个新的密钥。该脚本不传输密钥,而是将它们写入文件系统,并使用硬编码的公钥进行加密。 “Python是预先安装在基于linux的系统(如ESXi)上的,这使得基于Python的攻击可能发生在这些系统上。ESXi服务器对勒索软件威胁者来说是一个有吸引力的目标,因为它们可以一次攻击多个虚拟机,其中每个虚拟机都可能运行关键业务应用程序或服务,”Sophos首席研究员Andrew Brandt说。   消息来源:SecurityWeek,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

FontOnLake Rootkit 恶意软件攻击 Linux 系统

网络安全研究人员详细介绍了一项新的黑客行动,该行动可能以东南亚的实体为目标,工具是一种以前未被识别的Linux恶意软件,该恶意软件被用于进行远程访问,此外还可以收集凭证和充当代理服务器。 该恶意软件家族被斯洛伐克网络安全公司ESET称为“FontOnLake”,据说具有“设计良好的模块”,可以不断升级新功能。上传到VirusTotal的样本表明,可能最早在2020年5月,利用该威胁的入侵就发生了。 Avast和Lacework实验室正在追踪同样的恶意软件,其代号是HCRootkit。 ESET研究人员Vladislav Hrčka说:“FontOnLake工具隐匿性强,再加上先进的设计和较低的攻击次数,都表明它们被用于有针对性的攻击。”“为了收集数据或进行其他恶意攻击,这个恶意软件家族使用修改过的合法二进制文件,这些二进制文件被用以加载进一步的组件。事实上,为了隐藏它的存在,FontOnLake总是与一个rootkit同时出现。这些二进制文件通常在Linux系统上使用,而且持续时间按比较长。” FontOnLake的工具集包括三个组件,包括木马版本的合法Linux实用程序,该程序用于加载内核模式的rootkit和用户模式后门,所有这些都使用虚拟文件相互通信。基于c++的移植设备本身被设计用来监视系统,在网络上秘密执行命令,并窃取帐户凭证。 后门的第二种排列还具有代理、操作文件、下载任意文件的功能,而第三个变体除了合并其他两个后门的功能外,还配备了执行Python脚本和shell命令的功能。 ESET表示,他们发现了两个不同版本的Linux rootkit,它们基于一个名为Suterusu的开源项目,在功能上有重叠,包括隐藏进程、文件、网络连接和自身,同时也能够执行文件操作,提取并执行用户模式的后门。 目前还不清楚攻击者是如何获得对网络的初始访问权限的,但这家网络安全公司指出,攻击背后的活动者“极度谨慎”,通过依赖不同的、特别的C2服务器和不同的非标准端口来避免留下任何痕迹。 Hrčka说:“攻击者对网络安全非常精通,这些工具可能在未来的活动中被重复使用。”“由于大多数功能的设计只是为了隐藏它的存在,中继通信,并提供后门访问,我们认为这些工具主要用于维护基础设施,以服务于其他未知的恶意目的。”   消息来源:TheHackerNews,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

勒索病毒组织 FIN12 采用新模式进行网络攻击

它的攻击目标主要是一些国外大型企业与机构,从这些大型企业获得高额的赎金,平均收入为60亿美元。 它能在2.5天内部署勒索软件,这速度比大多数组织都要快。 医疗保健组织是其主要目标之一。 这个活动频繁的勒索软件团伙是FIN12,因使用RYUK勒索恶意软件而为人所知,网络安全公司Mandiant称该组织与去年调查的约20% 的勒索软件攻击有关。 与一些勒索软件攻击组织不同,FIN12迄今为止似乎都是为了赚大钱——而且是很快的。“他们速度太快了。这就是他们的不同之处,”Mandiant 情报分析副总裁John Hultquist如此说道。 Mandiant 表示,FIN12似乎是一个讲俄语的组织,至少自2018年10月以来一直在活动。 FIN12专门从事勒索软件攻击。它与Trickbot团伙关系密切,自2020年2月以来,它在攻击中使用了 Cobalt Strike Beacon 工具,以及Trickbot和Empire工具。 Mandiant 在发布的关于FIN12一份报告中说,FIN12的大多数受害者通常都在北美,但它也向欧洲和亚太地区的组织投放勒索软件。大约20% 的 FIN12受害者是医疗保健组织。 美国政府官员最近一直在制定新的政策举措,以遏制勒索软件网络犯罪。就在本周,美国司法部(DoJ)成立了国家加密货币执法小组(National Cryptocurrency Enforcement Team) ,以打击非法使用加密货币的行为,因为加密货币是勒索软件运营商选择的匿名支付渠道。美国司法部还宣布了“民事网络欺诈倡议”(Civil Cyber-Fraud Initiative) ,以确保政府承包商公开其网络安全协议和网络攻击,从而保护相关机构免受与供应链相关的网络攻击。 在科洛尼尔管道运输公司遭受软件攻击之后,美国总统拜登在五月份发布了一项网络安全行政命令。即便如此,勒索软件攻击由于其利润丰厚和匿名性,数量也不会很快减少。本周,在华盛顿举行的 Mandiant 网络防御峰会上,Mandiant 公司首席执行官凯文•曼迪亚在一个主题问答环节中向国家安全局(NSA)局长、美国网络司令部司令Gen. Paul Nakasone提问,“五年后勒索软件是否仍将是一个巨大的威胁?”得到的回答是: “每一天。”庆幸的是美国政府正在加倍努力打击勒索软件。 但联邦调查局、研究人员和事件反应专家面临的难题是,揭露这些攻击的真正主谋越来越困难。他们不是勒索软件代码编写者,也不是 FIN12或其他勒索软件攻击部署组织,而是那些罪犯,他们目标定位精确,通过与 FIN12和其他组织签订合同向目标投放勒索软件。 根据 Mandiant 的说法,这种多层次、分阶段的网络犯罪攻击模式,使得接触或阻止与 FIN12和其他组织签约的犯罪分子变得更加困难。FIN12相对精简和快速部署勒索软件的模型就是这方面的一个典型案例。 “想象一下,如果我们有一个对手在这个领域造成了20% 的损失,而且主要集中在医疗保健方面,而我们还没有有效地识别它们,”Hultquist 说。由于 FIN12利用其他网络犯罪团伙的工作获得了对目标组织的初始访问权,他们可以集中精力部署 Ryuk 或其他勒索软件。Mandiant 公司认为,这种模式使得 FIN12能够在今年上半年将勒索软件的处理时间减少一半,短至2.5天,而在去年尚需5天。 “这些效率的提高可能至少部分归功于它们在攻击过程链中单一阶段的专业化,使它们能够更快地发展自己的专业技能。FIN12似乎也有意优先考虑速度,因为我们很少观察到这些威胁者从事数据盗窃勒索。“然而,这些威胁者也有可能会改变他们的行动,以便在未来更频繁地进行数据盗窃。例如,FIN12可以确定,相比勒索软件攻击造成的停机时间,某些行业更重视数据泄露的威胁,FIN12会选择对那些被认为具有特别高价值的目标使用这种策略。”   消息来源:DarkReading,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

TangleBot:Android 木马恶意软件最危险软件之一,可完全接管手机

据外媒报道,网络安全分析师最近发现了一种被他们称为“TangleBot”的Android恶意软件。这种恶意软件非常复杂,能够劫持手机的大部分功能。一旦被感染,手机就会成为终极间谍/跟踪设备。 Proofpoint研究人员指出,TangleBot通过向美国和加拿大的Android设备发送短信来锁定用户。这些短信被伪装成Covid-19法规和助推器的信息以及跟潜在停电有关的消息,另外还会鼓励受害者点击一个显示需要Adobe Flash更新的网站链接。 如果选择对话框,恶意网站将把恶意软件安装到智能手机上。攻击者依赖于用户无视Adobe在2020年12月停止对Flash的支持以及自2012年以来移动设备不支持Flash的事实。 如果欺骗成功,TangleBot就可以完全渗透到整个手机中。该恶意软件可以控制来自麦克风和摄像头的音频和视频、查看访问的网站、访问输入的密码集合、从短信活动和设备上的任何存储内容中提取数据。TangleBot还可以授予自己修改设备配置设置的权限并允许攻击者查看GPS定位数据。 黑客获得的功能基本上提供了全面监视和数据收集能力。TangleBot提供了一些关键的区别性功能使其特别具有威胁性,其中包括高级行为、传输能力和用于混淆的字符串解密程序。 除了间谍软件和键盘记录能力外,该恶意软件还可以阻止和拨打电话,不可避免地导致拨打高级服务的可能性。与此同时,语音生物识别能力可被用来冒充受害者。 报告指出,在TangleBot中看到的复杂程度使其在其他形式的恶意软件中脱颖而出。“与键盘记录功能、覆盖能力和数据渗透有关的特征是任何恶意软件武库中的常规行为,然而,TangleBot以高级行为和传输能力使自己与众不同,同时还展示了试图挫败生物识别语音认证安全系统的恶意软件的最新发展。TangleBot的最后一个组成部分在原来的Medusa中没有看到,它先进地使用了一个字符串解密程序以帮助混淆和掩盖恶意软件的行为。” 用来将木马软件的目的和功能隐藏在许多混淆层之下的尖端技术是导致出现TangleBot的原因。这些方法包括隐藏的.dex文件、模块化和功能化的设计特点、最小化的代码以及大量未使用的代码。 对于Google的操作系统来说,Android恶意软件和特洛伊木马变得越来越常见,而且不仅仅是通过短信,智能手机也会被暴露。GriftHorse恶意软件被成功嵌入到正式批准进入Google Play和其他第三方应用商店的应用中,使其能够感染超过1000万台设备并窃取数千万美元。 对于Android系统来说,这是一个令人担忧的状况,研究人员在报告中的结束语也呼应了这一点。 “如果说今年夏天Android生态系统向我们展示了什么,那就是Android系统充斥着聪明的社会工程、彻头彻尾的欺诈和恶意软件,这些都是为了欺骗和窃取移动用户的金钱和其他敏感信息,”研究团队说道,“这些计划可能看起来很有说服力并可能利用恐惧或情绪进而导致用户放松警惕。” 安全公司Eset最近的分析清楚地概述了这些言论,其显示了Android恶意软件在多个威胁领域的增长。   (消息及封面来源:cnBeta)

GriftHorse 恶意软件已经感染了超过 1 千万台安卓设备

安全研究机构Zimperium发现了新的安卓恶意软件GriftHorse,它可以欺骗用户并且订阅高级短信服务。据信,GriftHorse恶意软件已经感染了70多个国家超过1000多万台安卓设备。 据信,操作该恶意软件的团伙每月收入在150万至400万美元之间。安全研究人员发现从2020年11月开始,GriftHorse恶意软件已经感染了70多个国家1000多万部Android设备,并为其运营商每月赚取数百万美元。 移动安全公司Zimperium发现,GriftHorse恶意软件通过在官方Google Play商店和第三方Android应用商店上看起来很良性的应用程序进行传播。GriftHorse恶意软件让用户订阅高级短信服务。如果用户安装了这些恶意应用程序,GriftHorse开始向用户发送弹出窗口和通知,提供各种奖品和特别优惠。 点击这些通知的用户会被重定向到一个在线页面,在那里他们被要求确认他们的电话号码,以便获得优惠。但实际上,用户是在为自己订阅每月收费超过30欧元(35美元)的高级短信服务,这些钱然后被转到GriftHorse运营者的口袋里。 Zimperium研究人员Aazim Yaswant和Nipun Gupta几个月来一直在跟踪GriftHorse恶意软件。他们发现,GriftHorse开发者还投资于恶意软件的代码质量,使其尽可能地避免被发现。 Yaswant和Gupta表示,威胁者所表现出的复杂程度、对新技术的使用和决心使他们能够在几个月内不被发现。根据他们到目前为止所看到的情况,研究人员估计,GriftHorse团伙目前每月从他们的计划中赚取120万欧元至350万欧元(每月150万至400万美元)。 该活动已经积极发展了几个月,从2020年11月开始,最后更新的时间可以追溯到2021年4月。这意味着他们的第一批受害者之一,已经损失了200多欧元。受害者的累积损失加起来为这个网络犯罪集团带来了巨大的利润。 Zimperium是应用防御联盟的成员,它与Google联系报告了所有被GriftHorse感染的应用,这些应用现在已经从Play Store中删除。   (消息及封面来源:cnBeta)

恶意软件 ERMAC 从银行和钱包应用程序窃取数据

手机恶意软件Blackrock背后的威胁分子又回来了,他们携带了一种名为ERMAC的更恶毒的Android银行木马。据网络安全专家称,该恶意软件从银行和钱包应用程序中窃取金融数据。 荷兰网络安全公司ThreatFabric最先发现该Android恶意软件,据该公司报道,在8月底,恶意软件ERMAC伪装成谷歌Chrome开始了它的第一次主要活动。 自那以后,ERMAC攻击的范围扩大,包括银行应用程序、快递服务、政府应用程序、媒体播放器,甚至像McAfee这样的杀毒解决方案。 专家认为,黑客已经盯上了波兰。 “在写这篇博客的时候,我们发现ERMAC以波兰为目标,打着配送服务和政府应用的幌子分发,”ThreatFabric的首席执行官Cengiz Han Sahin在一篇博客文章中写道。 ERMAC几乎完全基于臭名昭著的银行业木马Cerberus。与它的原始恶意软件和其他银行恶意软件一样,ERMAC的开发目的是窃取联系信息和短信。 它还可以打开任意应用程序,并对大量金融应用程序执行叠加攻击,以获得登录凭证。这种银行恶意软件还具有一些功能,可以清除某个应用程序的缓存,并窃取存储在设备上的账户信息。 “ERMAC的行为再次表明,恶意软件源代码泄露不仅不会加速恶意软件组织的消失,还会给威胁环境带来新的攻击者/参与者,”Threatfabric说。 建立在Cerberus基础上的ERMAC引入了一些新功能。Threatfabric指出:“尽管它缺乏像RAT这样强大的功能,但它仍然对全世界的移动银行用户和金融机构构成威胁。” ThreatFabric还公布了ERMAC目标应用程序列表,包括Usługi Bankowe、WiZink、tu banco senZillo、桑坦德阿根廷、Touch 24 Banking BCR和Volksbank hausbanking。 许多应用软件,类似My AMP, Bankwest, CommBiz, CUA移动银行,汇丰澳大利亚分行,荷兰国际集团澳大利亚银行,麦格理认证,麦格理移动银行,ME银行,NAB移动银行,NPBS移动银行,myRAMS, Suncorp银行,UBank移动银行,CA移动,Tangering移动银行和Bitcoin&Ripple钱包,也包括在ERMAC目标应用的列表中。 在撰写本文时,网络安全公司已经列出了受到该恶意软件攻击名单,包括378个银行和钱包应用程序。   消息来源:IBTimes,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Bloodstealer 木马:新的恶意软件访问玩家的游戏账号,窃取数据和密码

据一份最新报告显示,攻击者正在通过新的恶意软件访问玩家的Steam、GOG、Epic Games和EA Origin账户并窃取他们的信息。 网络安全公司卡巴斯基将这种恶意软件命名为“BloodyStealer”,并警告玩家,这种恶意软件能够从上述网站的会话数据和密码中获取信息。 据报道,该木马正在暗网和暗网论坛上做广告和出售,价格为每月10美元或“终身许可证”40美元。卡巴斯基公司于今年3月首次发现了“BloodyStealer”。 除了会话数据和密码,卡巴斯基的研究人员认为,BloodyStealer还可以抓取设备数据、桌面文件、银行信息、内存日志、BT种子文件和屏幕截图等信息。恶意软件收集的数据会被转移到远程服务器上,在那里它们最有可能通过Telegram频道或暗网平台变现。 卡巴斯基进一步透露,自从该恶意软件被发现以来,已经检测到它被用于攻击拉丁美洲、欧洲和亚太地区用户。 “与其他现存的恶意软件工具相比,BloodyStealer在市场上仍然是一个全新的工具;然而,通过分析现有的遥测数据,我们在欧洲、拉丁美洲和亚太地区发现了BloodyStealer,”卡巴斯基在一篇博客文章中指出。“在调查期间,我们发现BloodyStealer主要攻击家庭用户。” 当玩家下载有问题的文件或应用程序时,他们就很容易受到攻击,这些文件或应用程序大多带有允许他们在游戏中作弊的功能。也就是说,为了保护他们的设备免受BloodyStealer和其他恶意软件的攻击,玩家应该保持警惕,避免使用可疑的应用程序或文件,因为它们可能是恶意软件。 此外,对于玩家来说,使用双因素身份验证来保护自己的账户也是很重要的。如果想要获得游戏或注册与游戏相关的订阅,从官方网站获得这些内容是比较安全的。   消息来源:IBTimes,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Morphisec 发现了信息窃取软件 Jupyter infostealer 新版本

网络安全研究人员发现了一个通过MSI安装程序分发的新版本的Jupyter infostealer。 2020年11月,Morphisec的研究人员发现,威胁者一直在使用.Net infostealer(记为Jupyter),从受害者那里窃取信息。 恶意软件Jupyter能够从多个应用程序收集数据,包括主要的浏览器(基于Chrome的浏览器,Firefox和Chrome),还能够在受感染的系统上建立后门。 “Jupyter是一个主要针对Chromium、Firefox和Chrome浏览器数据的信息收集器。然而,它的攻击链、传递链和加载程序充分说明它具备了建立完整后门功能的功能。”Morphisec发表的分析写道。它的行为包括: 一个C2的客户端 下载并执行恶意软件 PowerShell脚本和命令的执行 将shellcode置入到合法的Windows配置应用程序中。 专家们在10月份的一次例行事件反应过程中发现了Jupyter infostealer,但根据取证数据,早在5月份该软件的早期版本就出现了。 该恶意软件不断更新,以逃避检测,并增加新的信息窃取功能,最新版本是在11月初创建的。 在发现它的时候,Jupyter正要下载一个ZIP归档文件,其中包含伪装成合法软件(即Docx2Rtf)的安装程序(innosetup可执行程序)。 2021年9月8日,研究人员观察到一个新的传递链,通过使用执行Nitro Pro 13合法安装二进制文件的MSI有效负载,该链能够避免检测。 MSI安装程序负载超过100MB,绕过在线AV扫描仪,并使用第三方的“一体化”应用程序打包工具,混淆视听。 在执行MSI有效负载时,一个嵌入在Nitro Pro 13合法二进制文件中的PowerShell加载程序将被执行。 “这个加载程序与以前的Jupyter加载程序非常相似,因为它在VirusTotal上持有一个躲避检测的文件,可使检测率低至0,这对于完整的PowerShell加载程序(带有嵌入式负载的加载程序代码)是很少见的。专家们发表的分析写道。“我们在各个博客中广泛讨论了Jupyter infostealer,发现新的变体使用的是相同的代码模式。 在研究人员分析的两种变体中,有一种是签发给一家名为“TACHOPARTS SP Z O O”的波兰企业的有效证书。专家分析的另一种变体带有一份名为“OOO Sistema”的已失效证书。 “自我们在2020年首次发现Jupyter infostealer/后门以来,它的进化证明了威胁者总是在创新手段。他们的攻击可以轻易通过VirusTotal的检测,这进一步表明威胁者利用各种手段逃避检测方案。”专家们总结道,“显然,我们需要一种新的方法来预防威胁。”   消息来源:SecurityAffairs,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Firefox 插件“Safepal 钱包”窃取加密货币

一个名为“ Safepal Wallet”的恶意Firefox插件,欺骗用户,窃取钱包余额,并在Mozilla插件网站上存在了7个月才被发现。 尽管恶意的浏览器插件已经被关闭,BleepingComputer 发现威胁者建立的钓鱼网站仍在运行。 一位名为Cali的Mozilla插件用户解释说:“今天我浏览了Mozilla Firefox的插件列表,我正在搜索 Safepal 钱包扩展,以便在web浏览器中我也可以使用加密货币钱包。” 在使用 Safepal 证书安装并登录该插件数小时后,Cali发现自己的钱包余额清空了。 “我深深地震惊了……我看到了我最后的交易记录,发现我的4000美元资金被转移到了另一个钱包。我不敢相信这是一个在Mozilla Firefox插件列表中的插件,”他在Mozilla的论坛中说道。 BleepingComputer 从“ Safepal 钱包”的附加页面发现,该插件至少从2021年2月16日起就开始使用了。 页面上,这个235kb的插件吹嘘自己是一个 Safepal 应用程序,可以安全地“在本地保存私钥”,还有令人信服的产品图片和营销材料。 为了在Mozilla网站上发布插件,开发者必须遵循提交流程,即提交的插件“随时接受Mozilla的审查”。但是,目前还不清楚提交的文件的安全程度。 Cali本月公开报道此事不到五天,Mozilla的发言人回应说,他们正在进行调查。该插件的介绍页面已被Mozilla删除。 虽然 Safepal在苹果应用商店和谷歌Play上都有官方智能手机应用,但我们并不知道是否有官方的“ Safepal ”浏览器扩展。 幸运的是,在Mozilla插件网站上,一些用户发布了一星评论,警告其他人不要下载“ Safepal Wallet”。 但是,对于Cali来说,一切为时已晚,收回资金的机会很渺茫。 “我已经和警察谈过了,他们对此无能为力。他们告诉我无法追踪到黑客。”Cali说。 BleepingComputer 联系Mozilla了解更多关于这个问题的信息: Mozilla的一位发言人告诉 BleepingComputer :“扩展安全对Mozilla来说很重要,我们的生态系统持续对千变万化的威胁做出回应。” “我们目前的重点是减少恶意扩展可能造成的损害,引导用户使用我们审查和监控的推荐扩展,帮助用户了解安装扩展带来的风险,让用户更容易地向我们反馈潜在的恶意扩展。” “根据我们的插件政策,当我们发现到插件会对安全和隐私造成威胁时,我们会采取措施阻止它们在Firefox中运行。关于这个插件,我们采取行动阻止其运行并从Firefox插件商店中删除了它。” 在调查恶意的火狐插件时,BleepingComputer 发现了插件使用的钓鱼域。如下所示的这个网页,在假插件的主页也被列为“支持网站”: https://safeuslife.com/tool/ WHOIS 记录显示,该钓鱼网站是在今年1月通过 Namecheap 注册的。在写这篇文章的时候,这个网页仍然在运营,它指示受害者输入他们的“12个单词的备份短语,用于匹配 SafePal 钱包。” 但是,一旦输入了备份短语并提交了表单,页面就会刷新,但没有任何明显的响应,备份短语却已悄无声息地发送给攻击者。 加密货币钱包和许多在线服务一样,如果用户忘记密码,由12个随机生成的单词组成的备份短语便可以用来恢复用户的私钥和钱包。但是,备份短语十分重要且私密,只能在特殊情况下使用,而且只能在服务提供商可信的应用程序或网站上使用。 备份短语如果被盗,攻击者可以控制你的钱包,以及访问和转移资金。 最近,加密货币诈骗正在增多,威胁者正在寻找更新的、难以检测的方法来欺骗用户。就在上周,有人入侵了Bitcoin.org官方网站,成功地骗走了1.7万美元。[详细请点击] 在之前的攻击中,包括npm、PyPI和GitHub在内的开源库被滥用,用以传播加密窃取和加密挖掘恶意软件。 随着网络平台上威胁者的日益增多,用户在提供安全密码或在线转移加密货币时应谨慎。 BleepingComputer 已经联系了 Mozilla 和 Safepal 寻求进一步的回应,同时向 Namecheap 报告了钓鱼域名。   消息来源:BleepingComputer,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接  

新型恶意软件 Tangle Bot 窃取用户手机信息,安卓用户为主要目标

网络安全公司Proofpoint/Cloudmark最近发现了一种新的威胁,可以通过短信控制受害者的手机。美国和加拿大也发现了这种威胁,根据报告,Android用户是这种恶意软件的主要目标。 这种安全威胁被命名为Tangle Bot,因为它能够接管一些设备的功能,包括联系人列表、电话记录、摄像头和麦克风以及互联网接入。 这种恶意软件的工作原理与至今存在于英国和欧洲的流感机器人威胁一样。就像名字Tangle一样,这个恶意软件可以误导目标通过伪造的Covid-19警报,安装篡改过的软件。该警报包括关于Covid-19疫苗可用的加强剂的信息以及新的监管政策。 在疫情已经造成恐慌的情况下,这类信息极具煽动性,很可能欺骗目标,因为信息附加一些链接,而目标很可能相信该链接里宣称提供更多疫情期间帮助的信息。 在点击链接之后,跳转网页将显示“Adobe Flash Player需要更新”,如果用户同意更新并点击了更新安装按钮, TangleBot将植入手机,开始接管包括控制电话簿,记录屏幕等功能,攻击者也可以随时打开设备摄像头和麦克风。根据Proofpoint的说法,TangleBot甚至可以通过覆盖屏幕的方法访问在线金融应用程序。随后,受害者的设备还会被用来转发伪造的的Covid-19警报。 如果目标发现设备被恶意软件入侵并将其卸载,黑客暂时不会使用窃取的信息,让用户相信什么都没有被窃取,但信息早已泄露。 所以,保护设备不受攻击的最好方法是避免从未知渠道打开链接,应用程序应该只从可信的来源安装。   消息来源:DigitalInformationWorld,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接