分类: 热点

亚马逊前工程师因 2019 年 Capital One 网络攻击事件而被定罪

一名前亚马逊网络服务(AWS)工程师因入侵客户的云存储系统并窃取跟2019年Capital One大规模违规事件有关的数据而被认定有罪。美国西雅图地区法院周五判定Paige Thompson犯有七项计算机和电信欺诈罪,这将使其最高可被判处20年的监禁。 Thompson在网上的名字是Erratic,他因在2019年7月实施Capital One黑客攻击而被捕。该漏洞是有史以来最大的漏洞之一,其曝光了美国和加拿大超过1亿人的姓名、出生日期、社保号码、电子邮件地址和电话号码。此后,Capital One因涉嫌未能确保用户数据安全而被罚款8000万美元并跟受影响的客户达成了1.9亿美元的和解。 美国司法部的一份新闻稿指出,汤普森开发了一种工具,其可扫描AWS的错误配置账户,然后利用这些账户进入Capital One和其他几十个AWS客户的系统。检察官还称,Thompson“劫持”了公司的服务器一安装加密货币挖掘软件,然后将任何收入转移到她的个人加密货币钱包。后来,她还在网上论坛和信息中“吹嘘”她的不当行为。 当时,由于Thompson在网上对她在Capital One攻击事件中的角色表现出不同寻常的坦诚,所以人们对Thompson是道德黑客还是安全研究员存在一些争议–她将客户的敏感数据发布在一个公开的GitHub页面上并在Twitter和Slack上分享漏洞的细节。今年早些时候,美司法部明确表示,它不会根据《计算机欺诈和滥用法》起诉安全研究人员。但美国检察官显然不相信Thompson的行为属于这一例外。 美国检察官Nick Brown在一份声明中说道:“她远不是一个试图帮助公司解决计算机安全问题的有道德的黑客,而是利用错误来窃取有价值的数据并试图使自己致富。”据悉,Thompson的判刑听证会将于2022年9月15日举行。   转自 cnBeta,原文链接:https://www.cnbeta.com/articles/tech/1282357.htm 封面来源于网络,如有侵权请联系删除

俄对乌克兰展开新一轮恶意软件攻击

Hackernews 编译,转载请注明出处: 网络安全公司ESET 和Broadcom的Symantec表示,他们发现了一种新的数据雨刷恶意软件,用于对乌克兰数百台电脑的新一轮攻击。俄罗斯军队正式对乌克兰展开全面军事行动。 这家斯洛伐克公司将这款雨刷命名为”HermeticWiper” (又名 KillDisk.NCV) ,其中一个恶意软件样本编写于2021年12月28日,这意味着攻击的准备工作可能已经进行了近两个月。 ESET 在一系列推文中说: “雨刷二进制文件是使用Hermetica 数字有限公司签发的代码签名证书签名的。”“雨刮器使用 EaseUS Partition Master 软件的合法驱动程序,以破坏数据。最后,雨刮会重新启动计算机。” 其中至少有一次入侵涉及直接从 Windows 网域控制器中部署恶意软件,这表明攻击者已经控制了目标网络。 数据清除攻击的规模和影响尚不清楚,感染背后的黑客身份也不得而知。但这是今年第二次有破坏性的恶意软件被部署到乌克兰的计算机系统中,第一次是在1月中旬  WhisperGate 攻击事件。 此前,在乌克兰发生了第三波“大规模”分布式拒绝服务(DDoS)攻击,数家乌克兰政府和银行机构在周三遭到攻击,乌克兰外交部(Ministry of Foreign Affairs)、部长内阁(Cabinet of minister)和议会(Rada)的网络门户遭到破坏。 上周,乌克兰最大的两家银行 PrivatBank 和 Oschadbank,以及乌克兰国防部和武装部队的网站由于来自不明角色的 DDoS 攻击而瘫痪,英国和美国政府将矛头指向俄罗斯总参谋部情报部(GRU),克里姆林宫否认了这一指控。 使用 DDoS 攻击的行为会产生大量垃圾信息,目的是压倒目标,使他们无法访问。随后,CERT-UA 对2月15日事件的分析发现,这些事件是通过类似 Mirai和 Mēris这样的僵尸网络,利用感染的 MikroTik 路由器和其他物联网设备实现的。 此外,据说仅在2022年1月,乌克兰国家机构的信息系统就遭受了多达121次的网络攻击。 这还不是全部。Accenture本周早些时候发布的一份报告显示,暗网上的网络犯罪分子正试图利用目前的政治紧张局势,在 RaidForums 和 Free Civilian 市场上推销他们的数据库和网络访问,因为其中包含乌克兰公民和重要基础设施实体的信息,“希望获得高额利润”。 自今年年初以来,破坏性的恶意网络行为不断发生,乌克兰执法机构将这些攻击描述为散布焦虑、削弱人们对国家保护公民能力的信心,以及破坏国家团结的行为。 2月14日,乌克兰安全局(SSU)表示: “乌克兰正面临着有组织地制造恐慌、传播虚假信息和歪曲事实的行动”。“所有这些加在一起,只不过是又一场大规模的混合战争。”     消息来源:TheHackerNews,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文

美运营商对短信路由方式做出安全调整

根据帮助短信路由的通信公司Aerialink的公告,美国所有的主要运营商都对短信的路由方式进行了重大改变,以防止黑客能够轻易地对目标短信进行改道。此举是在Motherboard网站调查后发生的。 该调查发现一个黑客,以最小的努力,支付16美元,就可以重新路由短信,然后使用这种能力,闯入一些在线帐户,包括Postmates,WhatsApp和Bumble,暴露了美国电信基础设施存在的一个缺陷。 3月25日来Aerialink公告表示,无线运营商将不再支持在各自的无线号码上启用短信或彩信文本,这一变化是全行业的,影响到移动生态系统中的所有短信提供商。请注意,Verizon、T-Mobile和AT&T已经在全行业范围内收回了被覆盖的支持短信的无线号码。因此,任何Verizon、T-Mobile或AT&T的无线号码,如果曾作为BYON启用文本,则不再通过Aerialink网关路由消息流量。 T-Mobile,Verizon和AT&T没有立即回应评论请求。联邦通信委员会(FCC)和CTIA(运营商的贸易机构)也没有回应评论请求。上周,Motherboard公布了一项调查,其中假名Lucky225的黑客向一家名为Sakari的公司支付了一小笔钱,以证明这个问题,此前并没有详细报道。Sakari是一家帮助企业进行短信营销和群发信息的公司。作为其中的一部分,Sakari从另一家名为Bandwidth的公司获得了短信改道的能力,而Bandwidth又从另一家名为NetNumber的公司获得了这种能力。 当输入相应的电话号码时,Lucky225被要求签署一份文件,基本上是用小指头发誓确保目标已同意短信改道。Lucky225真实身份是网络安全公司Okey Systems的首席信息官,在输入Motherboard提供的电话号码几分钟后,Lucky225就开始收到原本要发给Motherboard手机的短信。从这里,Lucky225登录了各种使用短信作为登录或认证机制的服务。 不难看出,这种攻击对安全保障造成的巨大威胁。美国联邦通信委员会必须利用其权力迫使电话公司保护其网络免受黑客攻击。对此,Sakari公司联合创始人Adam Horsman表示,Sakari推出了一项安全功能,输入的号码会收到一个自动呼叫,以确保号码所有者同意信息改道。现在,随着运营商切断手机号码短信的启用,广大的商业短信公司生态系统很可能根本无法执行这项服务。 Horsman在周四的一份声明中告诉Motherboard,我们欢迎这一消息,并希望行业内的其他公司也能效仿。我们Sakari的政策一直是只支持VoIP和固定电话号码的短信功能,一旦行业问题被提出,我们就对任何移动号码进行了全面封杀。 作为我们内部审计的一部分,除了Lucky225的账户,我们没有发现其他手机号码受到影响。           (消息来源:cnBeta;封面源自网络)

微软分享 Exchange Server 攻击背后的破坏活动情报

许多企业内部的Exchange服务器正在忙着打补丁,但微软警告说,调查发现,在已经被入侵的系统上潜伏着多种威胁。攻击者惯常使用Web Shell脚本来获得服务器上的持久权限,或者攻击者在早期的攻击中就已经窃取了凭证。微软在3月2日发布了Exchange内部系统的补丁。四个Exchange错误已经受到了一个名为Hafnium的国家支持的黑客组织的攻击。 微软本周早些时候表示,已经检测到92%的脆弱的Exchange服务器已经打了补丁或采取了缓解措施。然而,网络安全公司F-Secure表示,已经有 “数万台”Exchange服务器被入侵。 在一篇新的博客文章中,微软重申了它的警告,即 “给系统打补丁并不一定能消除攻击者的访问”。”许多被入侵的系统还没有收到二次行动,例如人为操作的勒索软件攻击或数据外流,这表明攻击者可能正在建立和保留他们的访问权限,以便以后的潜在行动,”微软365 Defender威胁情报团队指出。 在系统被入侵的地方,微软敦促管理员实践最小特权原则,减轻网络上的横向移动。最低权限将有助于解决常见的做法,即Exchange服务或计划任务已被配置为具有高级权限的帐户来执行备份等任务。”由于服务账户凭证不会经常改变,这可以为攻击者提供很大的优势,即使他们由于防病毒检测而失去了最初的Web Shell访问,因为该账户可以用于以后提升权限,”微软指出。 以DoejoCrypt勒索软件(又名DearCry)为例,微软指出,该病毒株使用的web shell会将一个批处理文件写入C:\Windows\Temp\xx.bat。这在所有被DoejoCrypt击中的系统中都被发现,并且可能为攻击者提供了一条重新获得访问的途径,在那里感染已经被检测和删除。 “这个批处理文件会执行安全账户管理器(SAM)数据库以及系统和安全注册表蜂巢的备份,允许攻击者稍后访问系统上本地用户的密码,更关键的是,在注册表的LSA[本地安全]部分,那里存储着服务和计划任务的密码,”微软指出。 即使在受害者没有被勒索的情况下,攻击者使用特殊设计后的xx.bat批处理文件也可以通过当初投放该文件的Web Shell设法继续访问。在下载勒索软件载荷和加密文件之前,Web Shell还会协助下载Cobalt Strike渗透测试套件。换句话说,受害者今天可能没有被勒索,但攻击者已经在网络上留下了明天动手的工具。 Exchange服务器面临的另一个网络犯罪威胁来自于恶意加密货币矿工。据观察,Lemon Duck加密货币僵尸网络就在利用脆弱的Exchange服务器。有趣的是,Lemon Duck的操作者用xx.bat文件和一个Web Shell清理了一台之前已经被黑过的Exchange服务器,使其独占Exchange服务器的权限。微软还发现,服务器被用来安装其他恶意软件,而不仅仅是挖掘加密货币。 微软同时公布了大量的泄密指标,系统管理员可以利用这些指标来搜索这些威胁的存在和凭证被盗的迹象。           (消息及封面来源:cnBeta)

Android 间谍软件伪装成系统更新

安全研究人员表示,一种强大的新型Android恶意软件伪装成关键的系统更新,可以完全控制受害者的设备,并窃取他们的数据。该恶意软件被发现捆绑在一个名为 “系统更新 “的应用中,必须在Android设备的应用商店Google Play之外安装。 一旦用户安装后,该应用就会隐藏并隐秘地将受害者设备中的数据发送到的自己控制的服务器。发现该恶意应用的移动安全公司Zimperium的研究人员表示,一旦受害者安装了该恶意应用,该恶意软件就会与运营商的Firebase服务器进行通信,用于远程控制设备。 该间谍软件可以窃取信息、联系人、设备细节、浏览器书签和搜索历史记录,从麦克风记录通话和环境声音,并使用手机摄像头拍照。该恶意软件还可以跟踪受害者的位置,搜索文档文件,并从设备的剪贴板上抓取复制的数据。 恶意软件隐藏在受害者身边,并试图通过向攻击者的服务器上传缩略图而不是完整的图像来减少网络数据的消耗,从而逃避捕获。该恶意软件还能捕获最新的数据,包括位置和照片。 Zimperium首席执行官Shridhar Mittal表示,该恶意软件很可能是定向攻击的一部分。诱骗别人安装恶意应用是一种简单但有效的方法,可以危害受害者的设备。这就是为什么安卓设备会警告用户不要安装应用商店以外的应用。但许多旧设备并不能运行最新的应用,迫使用户依赖来自盗版应用商店的旧版应用。             (消息及封面来源:cnBeta)  

37 多万台 Exchange 服务器已部署补丁

本月对于 IT 管理员来说是非常忙碌的,因为他们不得不尽快对内部的 Exchange Server 实例部署补丁。不过在政府的高度重视、微软的积极引导下,现在情况有所好转。微软今天宣布,92% 易受攻击的 Exchange IP 均已部署补丁或者得到缓解。 微软安全响应中心(MSRC)今天发布推文,表示 Exchange Server 实例被修复的势头强劲。在推文中写道:“我们的工作仍在继续,但是我们看到内部 Exchange 服务器更新的强劲势头。全球92%的 Exchange IP 已经打上补丁或得到缓解。上周全球范围改善了 43%” 。 从上图可以看到,还有将近 3 万个实例并没有被打上补丁。根据 RiskIQ 的遥测数据,在微软自 3 月 1 日以来观察到的 40 万个实例中,约占 8%。除了 IT 管理员的努力外,显著的减少可以归功于微软在过去几周内发布的多个建议,以及它在 Microsoft Defender 中引入的一键工具和自动缓解功能。 该公司还发布了对不再支持的预置Exchange Server实例的带外更新。剩下的实例需要多长时间才能打上补丁还有待观察,但微软可能会寄希望于未来几周持续的势头,以便实现这一目标。         (消息来源:cnBeta;封面源自网络)

破解 D-Link DIR3060 固件加密—分析篇(上)

在第一篇中,我们突出了相关侦察步骤!在本文中,我们深入研究了IDA历险,更好地了解imgdecrypt如何操作,以确保最新路由器型号的固件完整性。 将二进制文件加载到IDA中时,将会出现一个功能列表。我们已经发现二进制代码应该是从调试符号中剥离出来的,使得调试整个代码变得较为困难,但从IDA提供给我们的方式来看,它还是相当不错的。 … 更多内容请至Seebug Paper阅读全文:https://paper.seebug.org/1524/           消息来源:Low-level adventures,译者:小江; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

71% 的 Office 365 用户遭恶意账户接管

网络检测和响应公司Vectra AI的最新研究显示,由于COVID-19,88%的公司已经加快了云和数字化转型项目。但它还发现,71%的Office 365用户遭遇恶意账户接管。 令人担忧的是,只有三分之一的安全专业人员认为他们可以立即识别和阻止账户接管攻击,大多数人预计需要几天甚至几周的时间来拦截这种违规行为。Vectra公司CTO团队技术总监Tim Wade说:”我们经常看到基于身份的攻击被用来绕过传统外围防御,如多因素认证(MFA)。帐户接管正在取代网络钓鱼成为最常见的攻击载体,而MFA防御系统现在已经变成减速带,而无法阻止攻击。组织需要认真对待这一点,并计划在业务发生实质性中断之前检测和控制账户泄露。恶意访问,即使是短时间的,也会造成巨大的损失。” 安全团队对自己公司安全措施有效性有很高的信心。近五分之四的人声称对绕过防火墙等外围防御的攻击有良好或非常好的可视性。然而,管理层受访者和SOC分析师等从业人员之间的意见存在有趣的对比,管理人员对自己的防御能力表现出更大的信心。总的来说,微软Office365客户提到的最主要的安全问题是云端保存的数据被泄露的风险、账户被接管的风险以及黑客隐藏行踪的能力。 经理们明显比那些在工作场所进行具体工作的人更有信心,这里有一定程度的自欺欺人,也许是因为与高级管理层分享的指标往往更多关注的是被阻止的攻击量,而不是攻击的严重性或达成确定结论的调查数量。不管是什么原因,重要的是不要自满,要对新类型的攻击保持持续的警惕。           (消息及封面来源:cnBeta)

微软或从美国网络安全资金中获 1.5 多亿美元拨款

北京时间3月16日早间消息,据报道,消息人士称,微软将从美国政府获得1.5亿美元的网络安全资金,这占了美国新冠救助资金中用于网络安全防卫的近四分之一。然而,一些立法者对此感到不满,他们并不希望美国政府为这家软件公司提供资金。黑客攻击对国家安全构成重大威胁,这令美国立法者深感挫折,因此美国国会在周四签署的新冠救助法案中配置了网络安全方面的援助资金。 俄勒冈州参议员罗恩·怀登(Ron Wyden)是国会情报委员会的主要民主党人,他说:“微软长期忽视软件设计方面的缺陷,造成了重大漏洞,并被黑客所利用。如果解决这一问题的唯一办法是给微软更多的钱,那么政府需要重新评估对这家公司的依赖。”“对那些向政府销售不安全软件的公司,如果还继续给与更大的政府合同,这样的做法无异于是在奖励这些公司。” 微软此前表示,它将优先修复那些遭到广泛攻击的漏洞。 根据媒体获得的一份美国网络基础设施安全开支计划草案,在6.5亿美元的新资金中,约有1.5亿多美元被用于“安全云平台”的建设。知情人士透露,这笔钱实际上已经编入了微软的预算,主要用于帮助联邦机构升级现有的微软软件,以提高其云系统的安全性。 微软的一项称为“活动日志”的关键服务,允许其客户端监视其所在云中的数据流量,从而发现可能的黑客活动。微软周日表示,尽管其所有云产品都具有安全功能,“但规模较大的组织机构可能需要更先进的功能,比如更深入的安全日志以及调查这些日志并采取行动的能力。” 大多数主要软件都曾经遭到过黑客的攻击,而微软产品的广泛流行性又使其成为了黑客们的首要目标。 许多针对政府机构以及私营公司的攻击是通过操纵微软的系统来进行。 虽然主管网络的一些美国高官认为除了向微软拨款别无选择,但怀登和其他三名立法者已公开对这一拨款计划表示担忧。在2月26日的一场听证会上,针对微软收取额外日志费用的问题,罗得岛州众议员吉姆·兰格文(Jim Langevin)就向微软总裁布拉德·史密斯(Brad Smith)提出了质疑。 兰格文问道:“这究竟是微软的一种盈利方式,还是向客户提供的成本价服务?” 史密斯的回答是:“我们是一家营利性公司。我们所做的一切都是为了产生回报,而不是做慈善。” 微软已经把安全产品变成了一个重要的收入来源,该业务目前每年可为微软带来100亿美元的收入,较以前增长了40%。         (消息及封面来源:cnBeta)

10 余个 APT 黑客组织攻击微软 Exchange 服务器

3 月 2 日,微软面向 Microsoft Exchange Server 2013, 2016 和 2019 紧急发布带外(Out of Band)安全更新,修复了一个预认证的远程代码执行(RCE)漏洞链(CVE-2021-26855、CVE-2021-26857、CVE-2021-26858和CVE-2021-27065)。 黑客可以利用这些漏洞在不知道有效账户凭证的情况下接管任意可访问的 Exchange 服务器。截止发稿为止,目前有超过 5000 台右键服务器检测到了 webshells,超过 6 万个客户受到影响,而欧洲银行业管理局等多个重要机构遭到攻击。 该漏洞最早是由知名漏斗研究专家 Orange Tsai 发现的,他在 2021 年 1 月 5 日向微软报告了这些漏洞。不过根据外媒 Volexity 的报道,有迹象表明早在 1 月 3 日就有黑客利用该漏洞链发起了攻击。因此,如果这些日期是正确的,那么这些漏洞要么是由两个不同的漏洞研究团队独立发现的,要么就是这些漏洞的信息以某种方式被恶意团伙获得。 2021 年 2 月 28 日开始,不断有 Exchange 用户遭到网络攻击,首先是 Tick,然后 LuckyMouse、Calypso 和 Winnti 团伙也开始迅速发起攻击。这表明,多名黑客在补丁发布之前就获得了漏洞的细节,这意味着我们可以摒弃他们通过对微软更新进行逆向工程构建漏洞的可能性。 在补丁发布的第 2 天,黑客采取了更加疯狂的攻击,包括 Tonto Team 和 Mikroceen 等团队也对 Exchange 服务器发起攻击。有趣的是,所有这些都是对间谍活动感兴趣的高级持续威胁(APT)组织,除了一个例外(DLTMiner),它与一个已知的加密采矿活动有关。下图是攻击时间线概要。 在过去几天时间里,ESET 研究人员一直在密切关注这些漏洞的 webshell 检测数量。基于 ESET 的遥测数据,在补丁发布日有超过 115 个国家的 5000 多台 Exchange 服务器被标记为 webshell,而实际受感染的服务器数量肯定更多。图 2 展示了微软补丁前后的检测情况。 图 3 的热图显示了根据 ESET 遥测的 webshell 检测的地理分布情况。由于大规模的利用,它很可能代表了全球安装 ESET 安全产品的易受攻击的 Exchange 服务器的分布情况。 ESET 已经确定了超过 10 个不同的网络威胁者,他们很可能利用最近的 Microsoft Exchange RCE,以便在受害者的电子邮件服务器上安装植入物。 我们的分析是基于电子邮件服务器,我们在这些服务器上发现了离线地址簿(OAB)配置文件中的webshell,这是利用RCE漏洞的一种特殊技术,已经在42单元的一篇博客文章中详细介绍过。遗憾的是,我们不能排除一些威胁行为者可能劫持了其他组投放的webshells,而不是直接使用该漏洞。一旦漏洞被利用,webshell 被安装到位,我们观察到有人试图通过它安装更多的恶意软件。我们还注意到,在某些情况下,几个威胁行为者针对的是同一个组织。           (消息及封面来源:cnBeta)