近日，澳大利亚网络安全中心（ACSC）就信息窃取恶意软件不断升级的威胁发出警告。警告中提到：这种恶意软件会从受害者的设备中窃取敏感数据，包括登录凭证、财务信息和个人文件等。 越来越多的网络犯罪分子正利用这种信息窃取程序对企业网络进行未经授权的访问，导致企业遭遇勒索软件攻击、数据泄露和经济损失等严重后果。这些数据一旦外流，就会成为暗网市场上的高价商品，网络犯罪分子会将其拍卖给出价最高者。这些被窃取的凭证往往成为更严重攻击的入口，如勒索软件、商业电子邮件泄露和知识产权盗窃。 信息窃取者的能力 信息窃取攻击的生命周期通常分为四个阶段： 1.收购： 网络犯罪分子通过各种渠道获取信息窃取者，包括恶意软件即服务 （MaaS） 平台，这降低了技术不太熟练的犯罪分子的进入门槛。 2.分配： 一旦获得权限，恶意软件就会通过网络钓鱼电子邮件、恶意广告、破解软件和其他欺骗性方法进行分发，通常以用于工作和休闲的个人设备为目标，这种做法在远程工作环境中尤为常见。 3.数据收集： 成功感染后，恶意软件会从受害者的设备中收集敏感信息，重点关注存储在 Web 浏览器中的凭据、身份验证 cookie 和其他关键数据。 4.货币： 最终，被盗数据会统一在暗网市场上出售，通常由初始访问代理购买。这些经纪人专门进入公司网络并将该访问权限转售给其他网络犯罪分子，然后这些网络犯罪分子执行更具破坏性的攻击。 美国可持续发展协会 ACSC 建议企业应采取积极主动的网络安全措施以降低信息窃取者带来的风险的重要性，具体包括： 实施多因素身份验证 (MFA)：在所有关键服务中实施多因素身份验证（MFA），特别是针对特权用户账户。 安全意识培训：定期教育员工有关网络钓鱼、恶意下载的危险以及安全密码管理的重要性。 设备管理：确保所有访问企业网络的设备（包括个人设备）都遵守严格的安全策略。 网络监控：持续监控异常活动，尤其是远程连接和特权账户。   转自FreeBuf，原文链接：https://www.freebuf.com/news/410057.html 封面来源于网络，如有侵权请联系删除

微软的网络安全研究人员最近发现，隶属于伊朗革命卫队的APT组织 Peach Sandstorm 在 2024 年 4 月至 7 月期间将新的多级后门 Tickler 添加到他们的武器库中。 该组织攻击卫星设备是因为它们对于军事和全球通信等现代设施至关重要。此类攻击的实施者可以通过破坏卫星系统来利用它，从而破坏通信和数据泄露，并影响导航和计时信息。 这种定制恶意软件袭击了美国和阿联酋的卫星、通信、石油或天然气以及政府行业。 技术分析 Peach Sandstorm 冒充“go-http-client”用户代理，对数千个组织发起密码喷洒攻击，主要针对美国和澳大利亚的国防、航天、教育和政府部门。 该组织还通过 LinkedIn 使用虚假的俄罗斯和西方个人资料进行情报收集，以便联系美国人和西欧人并为他们制定商业提案。 经过深度攻击后，他们还使用虚假的 Azure订阅来获取其他 C&C 服务。 微软注意到多个领域都存在此类活动，并且公司直接联系了那些受到影响的客户。 Microsoft Threat Intelligence 发现了两个 Tickler 恶意软件样本，它们由 Peach Sandstorm 于 2024 年 7 月部署。 第一个样本伪装成 PDF，这是一个 64 位 C/C++ PE 文件，使用 PEB 遍历来定位“kernell32.dll”。该样本还收集网络数据并通过 HTTP POST 将其发送到 C2 服务器。 Peach Sandstorm 攻击链（来源 – 微软） Tickler 恶意软件的第二个样本 sold.dll 下载了额外的有效负载，包括用于 DLL 侧加载的合法 Windows 二进制文件（msvcp140.dll、LoggingPlatform.dll、vcruntime140.dll、Microsoft.SharePoint.NativeMessaging.exe）以及能够执行各种命令（如 systeminfo、dir、run、delete、upload、download）的恶意 DLL。 Peach Sandstorm 通过创建具有学生订阅的 Azure 租户（通过新帐户和破坏现有的教育部门帐户）建立了 C2 基础设施。 他们设置了多个 azurewebsites[.]net 域作为 C2 节点，其他伊朗组织（如 Smoke Sandstorm）也采用了这种策略。 Peach Sandstorm事件活动包括： 欧洲防御组织中的横向 SMB 运动。 在一家制药公司遭遇密码泄露后，尝试安装 AnyDesk。 中东卫星运营商通过 Microsoft Teams 上的恶意 ZIP 捕获 AD 快照。 这些技术使 Peach Sandstorm 能够扩大访问权限、保持持久性并在受感染的网络中收集敏感数据。 缓解措施： 重置密码、撤销会话 cookie 并撤消攻击者 MFA 更改。 实施 Azure 安全基准，阻止旧式身份验证并强制执行 MFA。 保护具有最小权限的帐户，使用 Entra Connect Health 进行监控，并使用密码保护。 启用云和实时保护、EDR 阻止模式和防篡改保护。 教育用户有关登录安全性并过渡到无密码身份验证。   转自安全内参，原文链接：https://mp.weixin.qq.com/s/yYyjB8B6JVd_vbC2wfmQeg 封面来源于网络，如有侵权请联系删除

据BleepingComputer消息，GitHub  teloxide rust 库的一位贡献者发现，GitHub项目中的评论以提供修复程序为幌子，实际在其中植入了Lumma Stealer 恶意软件。 BleepingComputer 进一步审查发现， GitHub 上的各种项目中有数千条类似的评论，这些评论都为用户的提问提供了虚假的修复程序。 以下图为例，该评论告诉用户从 mediafire.com 或通过 bit.ly URL 下载受密码保护的压缩包，然后运行其中的可执行文件。 逆向工程师告诉 BleepingComputer，仅在 3 天时间里就有超过2.9万条推送该恶意软件的评论。 传播Lumma Stealer 恶意软件的评论回复 含有 Lumma Stealer的安装程序 单击该链接会将用户带到一个名为“fix.zip”的文件下载页面，其中包含一些 DLL 文件和一个名为 x86_64-w64-ranlib.exe 的可执行文件。通过在 Any.Run分析发现，这是一个Lumma Stealer 信息窃取恶意软件。 Lumma Stealer 是一种高级信息窃取程序，能够从 Google Chrome、Microsoft Edge、Mozilla Firefox 和其他 Chromium 浏览器中窃取 cookie、凭证、密码、信用卡和浏览历史记录。此外，它还能窃取加密货币钱包、私钥和名称为 seed.txt、pass.txt、ledger.txt、trezor.txt、metamask.txt、bitcoin.txt、单词、wallet.txt、*.txt 和 *.pdf 等名称的文本文件。这些数据被收集并发送回给攻击者，攻击者可以使用这些信息进行进一步的攻击或在网络犯罪市场上出售。 虽然 GitHub的工作人员会在检测到这些评论时进行删除，但已经有受害者在Reddit上进行了反馈。 就在最近，Check Point Research 披露了名为Stargazer Goblin 的攻击者进行的类似活动，他们通过在Github上创建3000多个虚假账户传播恶意软件。目前尚不清楚这两起事件是否由同一攻击者所为。   转自FreeBuf，原文链接：https://www.freebuf.com/news/409987.html 封面来源于网络，如有侵权请联系删除

美国四机构联合报告指出，自2024年2月问世以来，RansomHub勒索软件已经入侵至少210个目标，涉及美国多个关键基础设施领域。 8月29日，美国联邦调查局（FBI）、网络安全和基础设施安全局（CISA）、多州信息共享和分析中心（MS-ISAC）以及卫生与公众服务部（HHS）共同发布了一份咨询报告，指出RansomHub对受害者进行”双重勒索攻击”。 报告指出：“自2024年2月成立以来，ansomHub通过加密和泄露数据的方式对至少210个目标进行了攻击。” 这些目标来自多个关键基础设施领域，包括水和废水、信息技术、政府服务和设施、医疗保健和公共卫生、紧急服务、食品和农业、金融服务、商业设施、关键制造、运输和通信行业。 联邦机构表示，RansomHub（前身为Cyclops和Knight）已经将自己确立为一种高效且成功的服务模式。（它最近吸引了来自LockBit和ALPHV等其他知名勒索软件变体的附属成员）。 E安全了解到，Check Point发布的2024年6月《全球威胁指数》报告，揭示了勒索软件即服务 (RaaS) 领域发生的变化，RansomHub跃居榜首，取代LockBit3成为最猖獗的勒索软件团伙。这种新型的勒索软件即服务（RaaS）运作模式，勒索者获取赎金以保证不泄露被盗文件，若谈判失败就将文件出售给出价最高的人。这个勒索组织主要通过数据盗窃进行敲诈，而不是加密受害者的文件。此外他们也被认为可能是Knight勒索软件源代码的潜在买家。 自今年年初以来，RansomHub组织公开承认对以下几家美国机构的网络入侵行为负责：美国非营利性信用合作社Patelco、Rite Aid连锁药店、佳士得拍卖行和美国电信提供商Frontier Communications 。Frontier Communications后来向超过750,000名客户发出警告，他们的个人信息被泄露。 四家机构在报告中给出了建议：网络防御者应该修补已经被利用的漏洞，并对 webmail、VPN和链接到关键系统的账户使用强密码和多因素身份验证（MFA）。此外，还建议将软件更新并执行漏洞评估作为安全协议的标准部分。这四个机构还提供RansomHub感染指标（IOC），以及2024年8月FBI发现的其关联方的策略、技术和程序（TTP）信息。 “不鼓励支付赎金，因为支付赎金并不能保证受害者文件被恢复。”联邦机构补充说。“此外，付款还可能使攻击者变本加厉组织实施犯罪行为。”   转自E安全，原文链接：https://mp.weixin.qq.com/s/YG2muhIvnrX6VQW0jsA7aw 封面来源于网络，如有侵权请联系删除

安全研究人员发现了一种新型恶意软件活动，它利用 Google Sheets（电子表格） 作为命令和控制 (C2) 机制。 Proofpoint 从 2024 年 8 月 5 日开始检测到这一活动，它冒充了欧洲、亚洲和美国政府的税务机关，目的是通过一种名为 Voldemort 的定制工具瞄准全球 70 多个组织，该工具可以收集信息并传递额外的有效载荷。 目标行业包括保险、航空航天、交通、学术、金融、技术、工业、医疗保健、汽车、酒店、能源、政府、媒体、制造、电信和社会福利组织。 此次疑似网络间谍活动尚未被归咎于特定黑客组织，攻击活动发送了多达 20,000 封电子邮件。 这些电子邮件声称来自美国、英国、法国、德国、意大利、印度和日本的税务机关，提醒收件人有关其税务申报的变化，并敦促他们点击将用户重定向到中间登录页面的 Google AMP Cache URL。 诱饵电子邮件 该页面的作用是检查User-Agent 字符串以确定操作系统是否为 Windows，如果是，则利用search-ms:URI 协议处理程序显示 Windows 快捷方式 (LNK) 文件，该文件使用 Adobe Acrobat Reader 伪装成 PDF 文件，试图诱骗受害者启动它。 Proofpoint 研究人员 Tommy Madjar、Pim Trouerbach 和 Selena Larson 表示：“如果执行 LNK，它将调用 PowerShell 从同一隧道上的第三个 WebDAV 共享（\library\）运行 Python.exe，并将同一主机上的第四个共享（\resource\）上的 Python 脚本作为参数传递。这会导致 Python 运行脚本而不将任何文件下载到计算机，而是直接从 WebDAV 共享加载依赖项。” 该 Python 脚本旨在收集系统信息并以 Base64 编码字符串的形式将数据发送到攻击者控制的域，然后向用户显示诱饵 PDF 并从 OpenDrive 下载受密码保护的 ZIP 文件。 诱饵PDF 该 ZIP 存档包含两个文件，一个合法的可执行文件“CiscoCollabHost.exe”，容易受到 DLL 侧载攻击，另一个是恶意 DLL“CiscoSparkLauncher.dll”（即 Voldemort）文件，该文件容易受到侧载攻击。 Voldemort 是一个用 C 语言编写的自定义后门，具有信息收集和加载下一阶段有效负载的功能，该恶意软件利用 Google Sheets 进行 C2、数据泄露以及执行来自操作员的命令。 Proofpoint 称该活动与高级持续性威胁 (APT) 有关，但由于使用了电子犯罪领域流行的技术，因此带有“网络犯罪色彩”。 “攻击者滥用文件架构 URI 来访问外部文件共享资源以进行恶意软件分阶段，特别是 WebDAV 和服务器消息块 (SMB)。这是通过使用架构‘file://’并指向托管恶意内容的远程服务器来实现的。”研究人员说。 这种方法在充当初始访问代理（IAB）的恶意软件家族中越来越 流行，例如Latrodectus、DarkGate和XWorm。 此外，Proofpoint 表示它能够读取 Google Sheet 的内容，总共识别出六名受害者，其中一名被认为是沙盒或“已知研究人员”。 此次攻击活动被认为不同寻常，这增加了攻击者在锁定一小部分目标之前撒下大网的可能性。攻击者的技术水平可能各不相同，他们也有可能计划感染多个组织。 研究人员表示：“虽然该活动的许多特征与网络犯罪威胁活动相符，但我们认为这很可能是为了支持尚未知晓的最终目标而进行的间谍活动。这种巧妙而复杂的能力与非常基本的技术和功能的混合，使得评估攻击者的能力水平和高度自信地确定该活动的最终目标变得十分困难。” 这一进展是在 Netskope 威胁实验室发现了 Latrodectus 的更新版本（1.4 版）之后取得的，该更新版本配备了一个新的 C2 端点，并增加了两个新的后门命令，允许它从指定服务器下载 shellcode 并从远程位置检索任意文件。 安全研究员 Leandro Fróes表示：“Latrodectus 的进化速度非常快，为其有效载荷添加了新功能。了解其有效载荷的更新可以让防御者保持自动管道的正确设置，并利用这些信息进一步寻找新的变种。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/rsoYdXoY-r3x7lsqVi6szg 封面来源于网络，如有侵权请联系删除

网络安全公司 ESET 称，与韩国有关的网络间谍组织 APT-C-60 利用 Windows 版 WPS Office 中的0day漏洞在东亚目标上安装 SpyGlace 后门。 WPS Office 是中国金山软件开发的一款办公套件，在亚洲非常受欢迎。据报道，它在全球拥有超过 5 亿活跃用户。 该黑客组织被追踪为 APT-C-60，0day漏洞编号为 CVE⁠⁠2024⁠-⁠7262。ESET 将 APT-C-60 描述为“与韩国结盟的网络间谍组织”。 该漏洞允许远程代码执行，已被用来向东亚目标投放名为 SpyGlace 的自定义后门。该0day漏洞 (CVE-2024-7262) 至少自 2024 年 2 月下旬以来就已在野外攻击中被利用，影响的版本从 12.2.0.13110（2023 年 8 月）到 12.1.0.16412（2024 年 3 月）。 CVE-2024-7262 存在于软件处理自定义协议处理程序的方式中，特别是“ksoqing://”，它允许通过文档内特制的 URL 执行外部应用程序。 由于对这些 URL 的验证和清理不当，该漏洞允许攻击者制作导致任意代码执行的恶意超链接。 APT-C-60 创建了电子表格文档（MHTML 文件），其中嵌入了隐藏在诱饵图像下的恶意超链接，以诱骗受害者点击它们，从而触发漏洞。 处理后的 URL 参数包括一个 base64 编码的命令，用于执行特定插件 (promecefpluginhost.exe)，该插件试图加载包含攻击者代码的恶意 DLL (ksojscore.dll)。 该DLL是APT-C-60的下载器组件，用于从攻击者的服务器获取最终的有效负载（TaskControler.dll），这是一个名为“SpyGlace”的自定义后门。 攻击链 中国网络安全公司安恒信息（DBAPPSecurity）最近发布了对 WPS Office 漏洞的分析，此前该公司确定该漏洞已被利用来向中国用户传播恶意软件。 SecurityWeek已经看到中国公司和政府机构发布的多份有关 APT-C-60 的报告，该组织在中国被追踪为“伪猎人”。其中一些报告将该 APT 与韩国联系起来。 根据2022 年底 ThreatBook（微步在线） 的一份报告，APT-C-60 还针对了韩国的实体。 ESET 周三报告称，2 月底，一份利用 CVE-2024-7262 漏洞的恶意文档被上传到 VirusTotal。攻击者创建了看似无害的电子表格，当目标用户点击单元格时触发漏洞。 诱饵文档嵌入了一张隐藏恶意超链接的图片 关于此漏洞的另一个有趣的事实是，它也可以通过在 Windows 资源管理器的预览窗格中单击来触发，这使得它更加危险。 据 ESET 称，WPS Office 开发商金山在 2024 年 3 月发布版本 12.1.0.16412 时修补了该0day漏洞。自 2023 年 8 月以来发布的软件版本均受到影响，但仅限于 Windows。 在对 CVE-2024-7262 进行分析时，ESET 发现开发商只修复了部分错误代码，该漏洞仍然可被利用。随后，该供应商发布了针对第二个漏洞的补丁，补丁编号为 CVE-2024-7263。 WPS Office 是一款流行的办公套件，根据官方网站的数据，其全球活跃用户超过 5 亿。这使其成为漏洞利用开发人员的一个有价值的目标。 安全专家建议所有WPS 用户应尽快将软件更新到最新版本。 ESET 提供了APT-C-60 攻击的技术细节以及攻击检测指标 ( IoC )，参考链接：https://github.com/eset/malware-ioc/tree/master/apt_c_60   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/BdUFk6X5CAmBuH7__6UXqg 封面来源于网络，如有侵权请联系删除

伊朗黑客组织APT33利用新型Tickler恶意软件对美国和阿联酋的政府、国防、卫星、石油和天然气部门组织的网络进行后门攻击。 根据微软安全研究人员撰写的报告，代表伊朗利益的威胁组织（也被追踪为 Peach Sandstorm 和 Refined Kitten）在 2024 年 4 月至 7 月期间使用了这种新恶意软件作为情报收集活动的一部分。 在这些攻击过程中，攻击者利用 Microsoft Azure 基础设施进行命令和控制 (C2)，使用欺诈性的、攻击者控制。 APT33 在 2024 年 4 月至 5 月期间成功发动密码喷洒攻击，入侵了国防、航天、教育和政府部门的目标组织。在这些攻击中，他们试图使用少量常用密码访问许多帐户，以避免触发帐户锁定。 “尽管密码喷洒活动在各个行业中都持续出现，但微软观察到 Peach Sandstorm 专门利用教育行业中被盗用的用户账户来获取运营基础设施。在这些情况下，攻击者访问了现有的 Azure 订阅或使用被盗用账户创建订阅来托管其基础设施。”微软表示。 黑客控制的 Azure 基础设施被用于后续针对政府、国防和航天领域的行动。 APT33 Tickler 攻击流程 微软补充道：“在过去的一年里，Peach Sandstorm 使用定制工具成功入侵了多家组织，主要是上述领域的组织。” 伊朗黑客组织还在 2023 年 11 月使用了这种策略，攻击了全球国防承包商的网络并部署了 FalseFont 后门。 今年 9 月，微软警告称，APT33 活动已再次出现，自 2023 年 2 月以来，该活动针对全球数千个组织发起了大规模密码喷洒攻击，针对国防、卫星和制药领域。 微软宣布，从 10 月 15 日开始，所有 Azure 登录尝试都必须进行多重身份验证 (MFA)，以保护 Azure 帐户免遭网络钓鱼和劫持。 该公司此前发现，MFA 可使 99.99% 启用 MFA 的账户抵御黑客攻击，并将入侵风险降低 98.56%，即使攻击者试图使用之前被入侵的凭据入侵账户。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/uczzZDeRMymYI9BBmqqYog 封面来源于网络，如有侵权请联系删除

近日，工业和信息化部网络安全威胁与漏洞信息共享平台（CSTIS）监测发现，黑客组织正在利用SharpRhino新型远程访问木马实施网络攻击。 SharpRhino利用数字签名的32位安装程序进行传播，其中包含自解压的受密码保护的.7z存档以及用于执行感染的附加文件，该恶意软件在安装过程中会修改Windows注册表，释放“LogUpdate.bat”，实现在设备上执行PowerShell脚本，部署勒索病毒负载。根据监测，本轮SharpRhino恶意软件传播以部署冒充合法开源网络扫描工具网站的方式为主，攻击目标主要为IT从业人员。 建议相关单位及用户立即组织排查，及时更新防病毒软件，实施全盘病毒查杀，谨慎下载运行来源不明的应用程序，保持操作系统、系统和应用软件更新，及时修复已知安全漏洞，防范网络攻击风险。   转自安全内参，原文链接：https://www.secrss.com/articles/69485 封面来源于网络，如有侵权请联系删除

卡巴斯基安全研究人员发现，钉钉和微信等中国即时通讯应用的用户是苹果 macOS 版后门HZ RAT的目标。 卡巴斯基研究员 Sergey Puzan表示，这些文件“几乎完全复制了 Windows 版后门的功能，仅在于有效载荷有所不同，该载荷以来自攻击者服务器的 shell 脚本的形式接收” 。 HZ RAT于 2022 年 11 月首次由德国网络安全公司 DCSO 记录，该恶意软件通过自解压 zip 档案或恶意 RTF 文档进行分发，据推测是使用Royal Road RTF 武器化器构建的。 涉及 RTF 文档的攻击链旨在通过利用公式编辑器中存在多年的 Microsoft Office 漏洞 ( CVE-2017-11882 ) 来部署在受感染主机上执行的 Windows 版本的恶意软件。 另一方面，第二种分发方法伪装成合法软件（如 OpenVPN、PuTTYgen 或 EasyConnect）的安装程序，除了实际安装诱饵程序外，还执行负责启动 RAT 的 Visual Basic 脚本 (VBS)。 HZ RAT 的功能相当简单，它连接到命令和控制 (C2) 服务器以接收进一步的指令。这包括执行 PowerShell 命令和脚本、将任意文件写入系统、将文件上传到服务器以及发送心跳信息。 鉴于该工具的功能有限，人们怀疑该恶意软件主要用于凭证收集和系统侦察活动。 证据表明，早在 2020 年 6 月，该恶意软件的首次迭代就已在野外被发现。根据 DCSO 的说法，该活动本身被认为至少从 2020 年 10 月开始活跃。 卡巴斯基发现的最新样本于 2023 年 7 月上传到 VirusTotal，它冒充了 OpenVPN Connect（“OpenVPNConnect.pkg”），一旦启动，就会与后门中指定的 C2 服务器建立联系，运行与 Windows 版本类似的四个基本命令: 执行 shell     命令（例如系统信息、本地 IP 地址、已安装应用程序列表、来自钉钉、Google 密码管理器和微信的数据） 将文件写入磁盘 发送文件到 C2 服务器 检查受害者的可用性 它于 2023 年 7 月被上传到 VirusTotal，在研究时，与其他后门样本一样，没有被任何供应商检测到。安装程序采用合法“OpenVPN Connect”应用程序的包装器形式，而 MacOS 软件包目录 除了原始客户端外还包含两个文件：exe和 init。 Puzan 表示：“该恶意软件试图从微信获取受害者的微信 ID、电子邮件和电话号码。至于钉钉，攻击者对更详细的受害者数据感兴趣：用户所在组织和部门的名称、用户名、公司电子邮件地址和电话号码。” 获取微信数据 获取钉钉数据 对攻击基础设施的进一步分析显示，除位于美国和荷兰的两台 C2 服务器外，几乎所有 C2 服务器都位于中国。 除此之外，据说包含 macOS 安装包（“OpenVPNConnect.zip”）的 ZIP 存档是先前从一家名为 miHoYo 的中国视频游戏开发商的域中下载的，该开发商以《原神》和《崩坏》而闻名。 目前尚不清楚该文件是如何上传到相关域名（“vpn.mihoyo[.]com”）的，以及服务器是否在过去某个时间点受到攻击。该活动的范围也尚不确定，但经过这么多年，后门仍在使用，这一事实表明该活动取得了一定程度的成功。 Puzan 表示：“我们发现的 macOS 版本的 HZ Rat 表明，此前攻击背后的黑客仍然活跃。该恶意软件仅收集用户数据，但之后可能会被用来在受害者的网络中横向移动，一些样本中存在的私有 IP 地址就表明了这一点。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/PawbCmwf3DgTzKdrLV8phw 封面来源于网络，如有侵权请联系删除

一种名为 NGate 的新型 Android 恶意软件可以通过将近场通信 (NFC) 芯片读取的数据传递到攻击者的设备来窃取信用卡中的资金。 具体来说，NGate 使攻击者能够模拟受害者的卡并进行未经授权的付款或从 ATM 提取现金。 该活动自 2023 年 11 月起开始活跃，根据知名安全公司 ESET 最近的一份报告，捷克用户越来越多地因手机端安装恶意软件被窃取银行凭证，在某些情况下也被用于直接盗窃现金。 通过 NFC 芯片窃取卡数据 攻击始于恶意文本、带有预先录制的自动呼叫消息或恶意广告，以诱骗受害者在其设备上安装恶意应用。 这些网络应用程序被宣传为紧急安全更新，并使用目标银行的官方图标和登录界面来欺骗用户窃取客户访问凭据。 安装 WebAPK 的虚假 Play Store 页面 这些应用在安装时不需要任何权限。它们会利用运行中的网络浏览器的 API 来获取对设备硬件组件的必要访问权限。 一旦通过 WebAPK 完成网络钓鱼步骤，受害者就会被诱骗在第二个攻击阶段的后续步骤中安装 NGate。 安装后，该恶意软件会激活一个名为“ NFCGate ”的开源组件，该组件由大学研究人员为 NFC 测试和实验而开发。 该工具支持设备上的捕获、中继、重放和克隆功能，并且并不总是要求设备“root”才能工作。 NGate 使用该工具捕获靠近受感染设备的支付卡 NFC 数据，然后直接或通过服务器将其转发到攻击者的设备。 攻击者可能会将这些数据作为虚拟卡保存在其设备上，并在使用 NFC 提取现金的 ATM 上重播信号，或在销售点 (PoS) 系统上付款。 NFC数据中继过程 在一段视频演示中，ESET 的恶意软件研究员 Lukas Stefanko 还展示了如何使用 NGate 中的 NFCGate 组件来扫描和捕获钱包和背包中的卡数据。在这种情况下，商店中的攻击者可以通过服务器接收数据，并使用受害者的卡进行非接触式支付。 Stefanko 指出，该恶意软件还可用于克隆某些 NFC 门禁卡和令牌的唯一标识符，以进入限制区域。 获取卡密码 在大多数 ATM 机上提取现金都需要输入卡的 PIN 码，研究人员称 PIN 码是通过对受害者进行社会工程学而获得的。 完成 PWA/WebAPK 网络钓鱼步骤后，诈骗者会打电话给受害者，假装他们是银行职员，告知他们有影响他们的安全事件。然后，他们发送一条短信，其中包含一个下载 NGate 的链接，据称这是一个用于验证现有支付卡和 PIN 的应用程序。 一旦受害者使用自己的设备扫描卡并输入 PIN 码在恶意软件的网络钓鱼界面上进行“验证”，敏感信息就会被传递给攻击者，从而实现提款。 完整攻击概述 捷克警方已经在布拉格抓获了一名实施此类取款行为的网络犯罪分子，但随着这种手段越来越流行，它对 Android 用户构成了重大风险。 ESET 还强调了克隆区域访问标签、交通卡、身份证、会员卡和其他 NFC 技术的可能性，因此直接的金钱损失并不是唯一的糟糕情况。 如果您不经常使用 NFC，可以通过禁用设备的 NFC 芯片来降低风险。在 Android 上，前往“设置”>“已连接设备”>“连接偏好设置”>“NFC”，然后将开关切换至关闭位置。 如果您需要始终激活 NFC，请仔细检查所有应用程序权限并仅限制需要它的用户的访问；仅从机构的官方网页或 Google Play 安装银行应用程序，并确保您使用的应用程序不是 WebAPK。 谷歌发言人表示，Android 的默认恶意软件扫描程序 Google Play Protect 检测到了 NGate：“根据我们目前的检测，Google Play 上未发现任何包含此恶意软件的应用程序。Google Play Protect 会自动保护 Android 用户免受该恶意软件已知版本的侵害，该功能在安装有 Google Play 服务的 Android 设备上默认开启。Google Play Protect 可以警告用户或屏蔽已知有恶意行为的应用，即使这些应用来自 Play 以外的来源。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/fy6zidETEJ6DbYEWALpuzA 封面来源于网络，如有侵权请联系删除