NVIDIA 拒绝支付赎金后 威胁者利用代码签署恶意软件 可在 Windows 中加载
利用窃取过来的 NVIDIA 代码，威胁者利用签名证书来签署恶意软件，使其看起来值得信赖，并允许在 Windows 中加载恶意驱动程序。本周，NVIDIA 公司证实，他们遭受了一次网络攻击，使威胁者得以窃取员工的证书和专有数据。 对本次泄露事件负责的勒索集团 Lapsus$ 表示，他们已经窃取了 1TB 的数据，并在 NVIDIA 拒绝与他们谈判后开始在网上泄露这些数据。泄漏的数据包括 2 份被盗的代码签名证书，这些证书是 NVIDIA 开发人员用来签署其驱动程序和可执行文件的。 代码签名证书允许开发人员对可执行文件和驱动程序进行数字签名，以便 Windows 和终端用户能够验证文件的所有者，以及它们是否被第三方篡改过。为了提高 Windows 的安全性，微软还要求内核模式的驱动程序在操作系统加载之前必须进行代码签名。 在 Lapsus$ 泄露了英伟达的代码签名证书后，安全研究人员很快发现，这些证书被用来签署恶意软件和威胁者使用的其他工具。根据上传到 VirusTotal 恶意软件扫描服务的样本，被盗的证书被用来签署各种恶意软件和黑客工具，如 Cobalt Strike 信标、Mimikatz、后门和远程访问木马。 例如，一个威胁者用该证书签署了一个 Quasar 远程访问特洛伊木马[VirusTotal]，而另一个人用该证书签署了一个 Windows 驱动程序[VirusTotal]。虽然这 2 个被盗的英伟达证书都已过期，但Windows仍然允许在操作系统中加载用这些证书签名的驱动程序。 （消息及封面来源：cnBeta）
去年针对 Linux 发行版本的恶意软件数量同比增加 35%
根据 CrowdStrike 的威胁遥测数据，在 2021 年针对 Linux 发行版本（被物联网设备广泛部署）的恶意软件数量比 2020 年增加了 35%。其中 XorDDoS、Mirai 和 Mozi 这前三个恶意软件家族在 2021 年占所有基于 Linux 的 IoT 恶意软件的 22%。 与 2020 年相比，Mozi 在 2021 年的野外样本数量大幅增加了 10 倍。这些恶意软件家族的主要目的是破坏脆弱的互联网连接设备，将它们聚集成僵尸网络，并利用它们来进行分布式拒绝服务（DDoS）攻击。 当今大多数的云基础设施和网络服务器都运行 Linux，但它也为移动和物联网设备提供动力。它之所以受欢迎，是因为它提供了可扩展性、安全功能和广泛的发行版，以支持多种硬件设计和在任何硬件要求上的巨大性能。 随着各种 Linux 构建和分布在云基础设施、移动和物联网的核心，它为威胁者提供了一个巨大的机会。例如，无论是使用硬编码凭证、开放端口还是未修补的漏洞，运行Linux的物联网设备对威胁者来说都是一个低风险的果实–它们的大规模破坏会威胁到关键互联网服务的完整性。预计到2025年底，将有超过300亿台物联网设备连接到互联网，为威胁和网络犯罪分子创造一个潜在的巨大攻击面，以创建大规模的僵尸网络。 僵尸网络是一个连接到远程指挥和控制（C2）中心的受损设备网络。它在更大的网络中发挥着小齿轮的作用，并能感染其他设备。僵尸网络经常被用于DDoS攻击，向目标发送垃圾邮件，获得远程控制，并进行加密等CPU密集型活动。DDoS攻击使用多个连接互联网的设备来访问一个特定的服务或网关，通过消耗整个带宽来阻止合法流量的通过，导致其崩溃。 ● XorDDoS XorDDoS是一个为多种Linux架构编译的Linux木马，范围从ARM到x86和x64。它的名字来自于在恶意软件和网络通信中使用XOR加密到C2基础设施。当针对物联网设备时，该木马已知会使用SSH暴力攻击来获得对脆弱设备的远程控制。 在 Linux 机器上，XorDDoS 的一些变种显示，其操作者扫描和搜索Docker服务器，并打开2375端口。这个端口提供了一个未加密的Docker套接字和对主机的远程root无密码访问，攻击者可以滥用它来获得对机器的root访问。 ● Mozi Mozi 是一个点对点（P2P）僵尸网络，利用分布式哈希表（DHT）系统，实施自己的扩展DHT。DHT提供的分布式和去中心化的查找机制使Mozi能够将C2通信隐藏在大量合法的DHT流量后面。Mozi通过强加SSH和Telnet端口来感染系统。然后它封锁这些端口，以便不被其他恶意行为者或恶意软件覆盖。 ● Mirai Mirai 恶意软件在过去几年中声名鹊起，特别是在其开发者公布了 Mirai 的源代码之后。与Mozi类似，Mirai滥用弱协议和弱密码，如Telnet，利用暴力攻击入侵设备。 自从Mirai的源代码公开后，出现了多个Mirai变种，这个Linux木马可以被认为是当今许多Linux DDoS恶意软件的共同祖先。虽然大多数变种在现有的Mirai功能上进行了补充，或实现了不同的通信协议，但在其核心部分，它们共享相同的Mirai DNA。 （消息及封面来源：cnBeta）
跑分软件 UserBenchmark 被 23 款安全软件误标记为“恶意软件”
反病毒软件主要根据各种病毒特征进行预防、隔离等操作，但有时候也会出现误杀的情况。UserBenchmark 就是最新案例。根据 VirusTotal，这个流行的免费基准测试工具已被近二十个网站标记为恶意软件。 UserBenchmark 是一个轻量级的免费软件，可以测试你的 CPU、GPU、内存、存储驱动器（SSD和/或HDD）和 USB 驱动器。该软件最近的一些版本还包括一个“技能工作台”（Skill Bench），基本上也是为用户提供基准测试。 但是，如上所述，目前有近20种反病毒软件，准确地说，有23种，将该软件标记为恶意软件，其中绝大多数将其识别为木马程序（如下图）。这个问题并不完全是新问题，因为像这样的案例是由用户在网上论坛上报告的。 微软也在这个反恶意软件的名单中，将UserBenchmark标记为一个恶意的木马。根据微软安全情报1.353.1394.0版本，UserBenchmark是”危险的，可以执行攻击者的命令”。该应用程序已被标记为”严重”威胁。 从上面的截图来看，由于 UserBenchmark 的 Nullsoft 脚本安装系统（NSIS）性质，它似乎被检测为恶意软件。事实上，NSIS的网站指出，这是一个常见的误报问题，因为许多反病毒程序将 NSIS 文件标记为潜在的恶意软件。但是，这可能确实是一个值得警惕的问题，因为在 NSIS 包内捆绑恶意软件也是可能的。 （消息及封面来源：cnBeta）
微软警告 NOBELIUM 攻击技术愈加泛滥 谨防 HTML 代码夹带恶意软件
早在 5 月，微软就认定有俄罗斯背景的 NOBELIUM 黑客组织要对持续数月的 SolarWinds 网络攻击事件负责，并同企业、政府和执法机构达成了合作，以遏制此类网络攻击的负面影响。早些时候，微软更进一步地剖析了 NOBELIUM 使用的一套更加复杂的恶意软件传送方法。可知其用于造成破坏，并获得“HTML Smuggling”系统的访问权。 HTML Smuggling 技术概览（图自：Microsoft Security） 微软表示，HTML Smuggling 是一种利用合法 HTML5 和 JavaScript 功能、以高度规避安全系统检测的恶意软件传送技术。 钓鱼邮件示例 近年来，这项技术已被越来越多地用于部署网银恶意软件、远程访问木马（RAT）、以及其它有针对性的钓鱼邮件活动。 Mekotio 活动中曝光的威胁行为 其实早在今年 5 月，这项技术就已经在 NOBELIUM 发起的钓鱼邮件活动中被观察到，最近的案例包括网银木马 Mekotio、AsyncRAT / NJRAT 和 Trickbot（控制肉鸡并传播勒索软件负载和其它威胁）。 HTML Smuggling 网页代码示例 顾名思义，HTML Smuggling 允许攻击者在特制的 HTML 附件或网页中“夹带私货”。当目标用户在浏览器中打开时，这些恶意编码脚本就会在不知不觉中被解码，进而在受害者的设备上组装出有效负载。 被 JavaScript 加花的 ZIP 文件 换言之，攻击者没有直接通过网络来传递可执行文件，而是绕过了防火墙、再在暗地里重新构建恶意软件。举个例子，攻击者会在电子邮件消息中附上 HTML Smuggling（或重定向）页面链接，然后提示自动下载序列。 钓鱼页面 为帮助用户辨别愈演愈烈的 HTML Smuggling 攻击，微软在文中给出了一些演示实例，告诫银行与个人采取必要的防御措施，同时不忘推销一下自家的 Microsoft 365 安全解决方案。 在浏览器中构造的、带有密码保护下载器的 JavaScript 实例 据悉，Microsoft 使用多层方法来抵御网络威胁，通过与一系列其它终端防御措施协同合作，以阻止在攻击链的更高层执行并减轻来自更复杂攻击的后果。 Trickbot 钓鱼活动的 HTML Smuggling 攻击示例 最后，微软强烈建议广大客户养成良好的习惯，抽空了解各类恶意软件感染案例，同时将非必要的本地 / 管理员权限调到最低。 （消息及封面来源：cnBeta）
深入研究 Snake Keylogger 的新变种恶意软件
Fortinet 的 FortiGuard 实验室最近发现了一个用于传播恶意软件的微软 Excel 样本。在研究了它的行为之后，我发现它是 Snake Keylogger 恶意软件的一个新变种。 Snake Keylogger是一个模块化的`.NET`键盘记录器。它最早出现在2020年末，主要行为是从受害者的设备中窃取敏感信息，包括保存的证书、受害者的按键、受害者屏幕的截图和剪贴板数据。 2021年7月，Snake Keylogger 首次进入 TOP 10大流行恶意软件报告，这意味着 Snake Keylogger 影响力正在增加，并威胁更多人的设备和敏感数据。 在这个威胁研究博客中，你将了解 Snake Keylogger 的变体是如何通过捕获的 Excel 样本下载和执行的，这个变体使用了什么技术来保护它不被分析，它从受害者的机器上窃取了什么敏感信息，以及它如何将收集到的数据提交给攻击者。 更多内容请至Seebug Paper 阅读全文：https://paper.seebug.org/1752/ 消息来源：Fortinet，封面来自网络，译者：Zoeppo。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。
前微软专家对 OneDrive 托管恶意软件表达不满 该问题已存在十多年
自 21 世纪以来，微软多次在公开场合强调公司在安全方面的努力，但遗憾的是似乎仍然无法跟上当今存在的大量威胁。前微软高级威胁情报分析师凯文·鲍蒙（Kevin Beaumont）上周在个人 Twitter 上发布推文，发泄他对 OneDrive 托管恶意软件的不满。 Baumont 在推文中写道： 如果微软不能防止自己的 Office 365 平台被直接滥用于 Conti 勒索软件，那么就不应该公开宣传自己拥有 8000 名安全员工、以及是数万亿信号的安全领导者。OneDrive 的滥用现象已经持续了多年时间，请尽快修复它。 Baumont 还分享了 OneDrive 团队的报告和行动时间的收据，当联系到一个潜在的威胁时，微软的回应达到接近一个月。他在推文中写道： 比糖衣炮弹般的响应时间更令人不满的是，微软设法从其延迟的反应中获利。 有趣的是，微软消费了你的API，并在他们的安全产品中使用它来阻止你名单上的东西（我是做这个的团队成员），但没有人愿意清理网络。所以被坑了吧，非E5。 作为一名前高级威胁情报分析师，博蒙特也对竞争对手的做法提出了一些见解，其他公司也存在这样的问题。根据第三方分析公司 Abuse.ch 的数据，虽然微软在托管恶意软件的平台中排名前三，但 Google 和 Discord 位居榜首，Slack 和 Pastebin 也位居前五。恶意软件的问题并不仅限于微软，但 Baumont 的批评使该公司不断挣扎的问题变得更加突显。 微软承认 Baumont 的观点，并同意它将需要调查进一步的改进，以更好地应对和防止其产品中的恶意软件。微软表示： 滥用云存储是一个全行业的问题，我们一直在努力减少使用微软的服务来造成伤害。我们正在调查进一步的改进，以防止和快速应对本报告中列出的滥用类型。我们继续鼓励客户在网上养成良好的计算习惯，包括在点击网页链接、打开未知文件或接受文件传输时谨慎行事，我们也鼓励客户使用此表格报告滥用行为。 然而，作为一个全行业的云存储问题，该公司还需要与其他公司合作，提出更多永久性的解决方案。 （消息及封面来源：cnBeta）
TangleBot：Android 木马恶意软件最危险软件之一，可完全接管手机
据外媒报道，网络安全分析师最近发现了一种被他们称为“TangleBot”的Android恶意软件。这种恶意软件非常复杂，能够劫持手机的大部分功能。一旦被感染，手机就会成为终极间谍/跟踪设备。 Proofpoint研究人员指出，TangleBot通过向美国和加拿大的Android设备发送短信来锁定用户。这些短信被伪装成Covid-19法规和助推器的信息以及跟潜在停电有关的消息，另外还会鼓励受害者点击一个显示需要Adobe Flash更新的网站链接。 如果选择对话框，恶意网站将把恶意软件安装到智能手机上。攻击者依赖于用户无视Adobe在2020年12月停止对Flash的支持以及自2012年以来移动设备不支持Flash的事实。 如果欺骗成功，TangleBot就可以完全渗透到整个手机中。该恶意软件可以控制来自麦克风和摄像头的音频和视频、查看访问的网站、访问输入的密码集合、从短信活动和设备上的任何存储内容中提取数据。TangleBot还可以授予自己修改设备配置设置的权限并允许攻击者查看GPS定位数据。 黑客获得的功能基本上提供了全面监视和数据收集能力。TangleBot提供了一些关键的区别性功能使其特别具有威胁性，其中包括高级行为、传输能力和用于混淆的字符串解密程序。 除了间谍软件和键盘记录能力外，该恶意软件还可以阻止和拨打电话，不可避免地导致拨打高级服务的可能性。与此同时，语音生物识别能力可被用来冒充受害者。 报告指出，在TangleBot中看到的复杂程度使其在其他形式的恶意软件中脱颖而出。“与键盘记录功能、覆盖能力和数据渗透有关的特征是任何恶意软件武库中的常规行为，然而，TangleBot以高级行为和传输能力使自己与众不同，同时还展示了试图挫败生物识别语音认证安全系统的恶意软件的最新发展。TangleBot的最后一个组成部分在原来的Medusa中没有看到，它先进地使用了一个字符串解密程序以帮助混淆和掩盖恶意软件的行为。” 用来将木马软件的目的和功能隐藏在许多混淆层之下的尖端技术是导致出现TangleBot的原因。这些方法包括隐藏的.dex文件、模块化和功能化的设计特点、最小化的代码以及大量未使用的代码。 对于Google的操作系统来说，Android恶意软件和特洛伊木马变得越来越常见，而且不仅仅是通过短信，智能手机也会被暴露。GriftHorse恶意软件被成功嵌入到正式批准进入Google Play和其他第三方应用商店的应用中，使其能够感染超过1000万台设备并窃取数千万美元。 对于Android系统来说，这是一个令人担忧的状况，研究人员在报告中的结束语也呼应了这一点。 “如果说今年夏天Android生态系统向我们展示了什么，那就是Android系统充斥着聪明的社会工程、彻头彻尾的欺诈和恶意软件，这些都是为了欺骗和窃取移动用户的金钱和其他敏感信息，”研究团队说道，“这些计划可能看起来很有说服力并可能利用恐惧或情绪进而导致用户放松警惕。” 安全公司Eset最近的分析清楚地概述了这些言论，其显示了Android恶意软件在多个威胁领域的增长。 （消息及封面来源：cnBeta）
因担心通风报信 FBI 暂缓公开 REvil 恶意软件的密钥
今年夏季 REvil 团伙发起了将近 3 周的大规模恶意软件攻击，美国联邦调查局（FBI）秘密扣留了密钥。该密钥本可以解密多达 1500 个网络上的数据和计算机，包括医院、学校和企业运营的网络。 援引华盛顿邮报报道，联邦调查局渗透了 REvil 团伙的服务器以获得该密钥。不过在和其他机构讨论之后，FBI 决定暂缓公开该密钥，因为担心有用户向犯罪分子通风报信。消息人士告诉《华盛顿邮报》，FBI 不希望有人向 REvil 团伙通风报信，并希望能打掉他们的行动。 不过在 FBI 介入之前，REvil 于 7 月 13 日消失了。由于还没有解释的原因，联邦调查局最终在 7 月 21 日才拿出密钥。本周二在国会问询时，FBI 局长克里斯托弗·雷（Christopher Wray）表示：“我们作为一个团体做出决定，而不是单方面的。这些都是复杂的……决定，旨在创造最大的影响，而这需要时间来对付对手，我们必须调集资源，不仅是在全国各地，而且是在全世界”。 7 月 13 日，REvil 勒索软件组织的基础设施和网站已神秘下线。该组织又称之为 Sodinokibi，利用多个明网和暗网运作，用作赎金谈判网站、勒索软件数据泄露网站和后台基础设施。 路透社13日报道称，被西方认为在俄罗斯境内活动的“REvil”至今已向受害者收取了数千万美元的赎金。过去几周，该黑客组织宣称向全球800家至1500家企业发动了袭击。美国联邦调查局（FBI）认为“REvil”是5月底导致全球最大肉类生产商JBS美国分公司运营瘫痪的罪魁祸首。 （消息及封面来源：cnBeta）
黑客正出售在显卡 VRAM 内隐藏恶意软件的工具
想在电脑杀毒软件检查系统RAM时将恶意代码隐藏起来？很简单，只需将其隐藏在显卡的VRAM中。最近有人在网上出售一种能够实现这种功能的概念验证工具，这对Windows用户来说可能是个坏消息。 Bleeping Computer写道，最近有人在一个黑客论坛上出售一种PoC。他们没有透露关于该工具的太多细节，但其工作原理是在GPU内存缓冲区分配地址空间来存储恶意代码，并从那里执行它。 卖家补充说，该代码只在支持OpenCL 2.0或更高版本的Windows电脑上工作。他们证实它在AMD的Radeon RX 5700和Nvidia的GeForce GTX 740M和GTX 1650显卡上可以工作。它也适用于英特尔的UHD 620/630集成图形。 8月8日，论坛上出现了宣传该工具的帖子。大约两周后（8月25日），卖家透露，他们已经将PoC卖给了别人。8月29日，研究小组Vx-underground在Twitter上说，恶意代码使GPU在其内存空间中执行二进制。它将”很快”展示这一技术。 我们过去曾见过基于GPU的恶意软件，例如你可以在GitHub上找到开源的Jellyfish攻击方式，这是一个基于Linux的GPU rootkit PoC，利用了OpenCL的LD_PRELOAD技术。JellyFish背后的研究人员还发布了基于GPU的键盘记录器和基于GPU的Windows远程访问木马的PoC。 这种方法的技术核心是通过DMA[直接内存访问]直接从GPU监控系统的键盘缓冲区，除了页表之外，在内核的代码和数据结构中没有任何挂钩或修改。对攻击代码原型实现的评估表明，基于GPU的键盘记录器可以有效地记录所有的用户按键，将它们存储在GPU的内存空间中，甚至可以就地分析记录的数据，而运行时间的开销甚至可以忽略不计。 早在2011年，安全人员就发现了一种新的恶意软件威胁，利用GPU来挖掘比特币。但是最近PoC的卖家说，他们的方法与JellyFish不同，因为它不依赖代码映射回用户空间。 （消息及封面来源：cnBeta）
恶意软件开发者转向冷门编程语言 以躲避安全分析与检测
根据黑莓研究与情报团队周一发布的一份新报告，近期 Go（Golang）、D（DLang）、Nim 和 Rust 编程语言的使用率迎来了较大的增幅。背后的原因，则是恶意软件开发者正试图借助冷门的编程语言来躲避安全社区的分析检测、或解决开发过程中遇到的某些痛点。 特点是，恶意软件开发者正在试图利用冷门编程语言来便携加载器和释放器。通过这套组合拳，主流安全分析手段或难以察觉初步和进阶的恶意软件部署。 黑莓团队表示，为避免在目的端点上被揪出，一阶释放器与加载器正变得越来越普遍。 一旦恶意软件绕过了能够检测更典型恶意代码形式的现有安全机制，就会进一步解码、加载和部署包括特洛伊木马在内的恶意软件。 报告中点名的恶意软件，包括了 Remcos 和 NanoCore 远程访问木马（RAT），以及常见的 Cobalt Strike 信标。 然而一些拥有更多资源的恶意软件开发者，正在将他们的恶意软件通过冷门语言来重新包装，比如 Buer 或 RustyBuer 。 基于当前的趋势，安全研究人员表示，网络犯罪社区对 Go 语言的兴趣尤为浓厚。 黑莓称，有深厚背景的高级持续性威胁（APT）组织、以及商品化的恶意软件开发者，都相当有意于通过冷门语言来升级他们的武器库。 今年 6 月，CrowdStrike 亦曝光了一款勒索软件新变种，可知其借鉴了 HelloKitty / DeathRansom 和 FiveHands 的功能，且通过 Go 语言对其主要负载进行加密封包。 之所以作出这样的假设，是因为基于 Go 语言的新样本正在“半定期”地出现。其不仅涵盖了所有类型的恶意软件，还针对多个活动中的所有主要操作系统。 此外尽管 DLang 不像 Go 那样“流行”，其在 2021 开年至今的采用率也在缓步上升。 研究人员指出，通过使用新颖或不寻常的编程语言，恶意软件开发者将对安全分析人员的逆向工程工作造成很大的阻碍。 此外他们正在避免使用基于签名的检测工具，提升目标系统的交叉兼容性，且代码库本身也可能套上一层来隐藏。 最后，黑莓威胁研究副总裁 Eric Milam 评论道：恶意软件制作者以快速适应和修改利用新技能而被业界所熟知，但行业客户也必须对这样的重要趋势提高警惕，因为将来的安全形势只会变得更加严峻。 （消息及封面来源：cnBeta）