据外媒ZDNet报道，随着SolarWinds供应链攻击事件后的取证证据慢慢被发掘出来，安全研究人员发现了第二个威胁行为体，它利用SolarWinds软件在企业和政府网络上植入恶意软件。关于这第二个威胁行为体的细节仍然很少，但安全研究人员认为这第二个实体与疑似俄罗斯政府支持的入侵SolarWinds的黑客组织没有关系，后者在Orion应用内植入恶意软件。 原始攻击中使用的恶意软件代号为Sunburst（或Solorigate），作为Orion应用的“booby-trapped”（诡雷代码）更新交付给SolarWinds客户。在受感染的网络上，恶意软件会ping其创建者，然后下载名为Teardrop的第二个阶段性后门木马，允许攻击者开始动手操作键盘会话，也就是所谓的人为操作攻击。 但在SolarWinds黑客事件公开披露后的头几天，最初的报告提到了两个第二阶段的有效载荷。来自Guidepoint、赛门铁克和Palo Alto Networks的报告详细介绍了攻击者如何同时植入一个名为Supernova的.NET web shell。 安全研究人员认为攻击者是利用Supernova webshell来下载、编译和执行一个恶意Powershell脚本（有人将其命名为CosmicGale）。 然而，在微软安全团队的后续分析中，现在已经澄清Supernova网页壳并不是原始攻击链的一部分。他们发现Supernova安装在SolarWinds上的公司需要将此次事件作为一个单独的攻击事件来处理。 根据微软安全分析师Nick Carr在GitHub上的一篇文章，Supernova webshell似乎被种植在SolarWinds Orion安装上，这些安装已经暴露在网上，并被利用类似于追踪为CVE-2019-8917的漏洞。 Supernova与Sunburst+Teardrop攻击链有关的困惑来自于，和Sunburst一样，Supernova也被伪装成了猎户座应用的DLL–Sunburst隐藏在SolarWinds.Orion.Core.BusinessLayer.dll文件内，Supernova则隐藏在App_Web_logoimagehandler.ashx.b6031896.dll内。 但在12月18日周五晚些时候发布的分析报告中，微软表示，与Sunburst DLL不同，Supernova DLL并没有使用合法的SolarWinds数字证书进行签名。 Supernova没有被签名这一事实被认为是攻击者极不正常的行为，在此之前，攻击者在操作上表现出了非常高的复杂性和对细节的关注。 这包括花几个月时间在SolarWinds的内部网络中不被发现，提前在Orion应用中添加虚拟缓冲区代码以掩饰日后添加恶意代码，并将他们的恶意代码伪装成SolarWinds开发人员自己编写的样子。 这些似乎都是太明显的错误，最初的攻击者不会这么做，因此，微软认为这个恶意软件与最初的SolarWinds供应链攻击无关。       （消息来源：cnBeta；封面来自网络）

攻击者总是在寻找一种方法来执行受害者机器上的文件，并且希望不被发现。一种方法是使用一种脚本语言。如果受害者的操作系统中没有内置的编译器或解释器，那么这种脚本语言就无法执行。Python、AutoIT和AutoHotkey（AHK）就属于这种脚本语言。特别是，AHK是一种面向Windows的开源脚本语言，旨在提供简单的键盘快捷方式或热键、快速的微创建以及软件自动化。AHK还允许用户使用代码创建一个compiled.EXE文件。 更多内容请至Seebug Paper  阅读全文：https://paper.seebug.org/1432/         消息及封面来源：trendmicro，译者：芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

网络安全研究人员披露了一种针对越南政府证书颁发机构VGCA的供应链攻击，该攻击破坏了机构的数字签名工具包，并在系统上安装了后门。 网络安全公司ESET在本月初发现了这种“ SignSight”攻击，其中涉及修改CA网站（“ ca.gov.vn”）上托管的软件安装程序，插入名为PhantomNet或Smanager的间谍软件工具。 根据ESET的遥测，该网络攻击活动发生在2020年7月23日至8月16日，涉及的两个安装程序：“ gca01-client-v2-x32-8.3.msi”和“ gca01-client-v2-x64-8.3” .msi”（适用于32位和64位Windows系统），已被篡改并安装后门。 在将攻击报告给VGCA之后，该机构确认“他们早已知道此类网络攻击，并通知了下载该木马软件的用户。” ESET的Matthieu Faou说：“对于APT黑客组织来说，认证机构网站的妥协是一个很好的机会，因为访问者对负责签名的国家组织高度信任。” 越南政府密码委员会授权的数字签名工具是电子身份验证计划的一部分，政府部门和私人公司使用该数字签名工具通过存储数字签名的USB令牌（也称为PKI令牌）对文档进行数字签名，通过上述驱动程序进行操作。 用户感染木马病毒的唯一方法是在手动下载并执行了官方网站上托管的受感染软件。病毒软件将启动GCA程序以掩盖该漏洞，伪装成名为“ eToken.exe”的看似无害的文件的PhantomNet后门。后门程序（最近一次编译于4月26日进行）负责收集系统信息，并通过从硬编码的命令和控制服务器（例如“ vgca.homeunix [.] org”和“ office365.blogdns”）检索的插件来部署其他恶意功能。 [.] com”），模仿相关软件的名称。 ESET表示，除越南外，菲律宾也存在受害者，但黑客的交付机制和最终目标仍然未知，对交付后的相关信息也知足甚少。 该事件强有力地说明了为什么供应链攻击正日益成为网络间谍组织中常见的攻击媒介，因为它使黑客可隐秘地同时在多台计算机上部署恶意软件。 ESET在11月披露了在韩国进行的Lazarus攻击活动，该活动使用合法的安全软件和被盗的数字证书在目标系统上分发远程管理工具（RAT）。 在上周，一个被称为Able Desktop的聊天软件被蒙古的430个府机构使用，提供HyperBro后门程序：Korplug RAT和名为Tmanger的木马。 本周发现的针对SolarWinds Orion软件的供应链攻击破坏了美国几家主要的政府机构，包括国土安全部、商务部、财政部和州政府。 Faou总结说：“恶意代码通常隐藏在许多正常代码中，因此供应链攻击通常十分隐蔽且很难被发现。”         消息及封面来源：The Hacker News ；译者：小江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

随着5G网络的逐渐推广，许多潜在缺陷可被黑客利用以进行一系列网络攻击活动，包括使用户无法访问网络并拦截数据的DoS攻击等。 这些发现成为了伦敦网络安全公司Positive Technologies于6月发布的“ 2020年LTE和5G网络漏洞报告”中的“ 5G独立核心安全研究”的基础素材。 该公司表示：“网络安全的关键要素包括设备的正确配置以及网络要素的认证和授权。在缺少这些元素的情况下，黑客便很容易利用PFCP中的漏洞进行网络攻击，并在用户不知情的情况下利用用户身份进行网络犯罪。” 5G的安全优势 5G的主要安全优势之一是可防止被监视和加密国际移动用户身份（IMSI）号码，IMSI是SIM卡附带的唯一标识符，用于识别蜂窝网络的用户。 5G核心（5GC）还使用传输控制协议（TCP）代替流控制传输协议（SCTP）来更新IT协议栈，HTTP / 2替代了Diameter协议以实现应用层安全，用于网络功能之间的加密通信。 5G移动网络根据4G演进核心（EPC）技术以独立或非独立模式进行部署，该框架由多达九个网络功能（NF）组成，负责注册用户、管理会话和存储用户数据，并通过基站（gNB）使用户（UE或用户设备）连接到Internet。 研究人员认为，这一系列技术潜在地为用户和运营商网络的攻击打开了大门，使黑客得以进行DoS攻击。 DoS和MitM攻击 系统体系结构的一个问题是通过分组转发控制协议（PFCP）以专用于会话管理的接口（会话管理功能或SMF ）。 黑客可能会选择删除会话或修改PFCP数据包，导致互联网访问中断（CVSS得分6.1）甚至拦截网络流量（CVSS得分8.3）。 安全人员还发现管理网络存储库功能（NRF）的部分5G标准存在问题，该功能允许在控制平面中注册NF，并在存储库中添加现有网络功能，通过控制下的NF访问用户数据（CVSS评分8.2）。通过删除关键组件的相应NF配置文件，滥用NRF中缺少授权的权限，从而导致用户的服务损失。 暗中监视用户的位置 用户身份验证漏洞可公开分配给每个订阅永久标识符（SUPI），并通过欺骗基站泄漏的身份验证信息为最终用户提供服务。 另外，管理用户配置文件数据的用户数据管理（UDM）模块中的设计问题可以允许具有“访问相关接口的对手直接连接到UDM或通过模拟网络服务提取包括位置数据（CVSS评分7.4）的必要信息。” 研究人员说：“访问此类数据将严重危害安全性：它使黑客可在用户不知情的情况下监视用户。” 黑客还可以使用用户标识信息模拟隐形会话，从而模拟负责用户注册（CVSS评分8.2）的计费访问和移动性管理功能（AMF）模块。 评估、监测和保护的需求 毫无疑问，5G在安全方面取得了一定进步，但随着5G网络用户的数量持续增长，相关审查也变得日益重要。 研究人员总结：“操作员在设备配置中的失误对5G安全性影响深远，设备供应商负责所有架构网络保护功能的技术实施，因此其地位十分重要。为防止黑客攻击，运营商必须采取及时的保护措施，如正确配置设备、使用防火墙并进行安全监视等”       消息及封面来源：The Hacker News ；译者：小江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

援引外媒 ZDNet 报道在对 SolarWinds 黑客事件深度调查中 ，微软通过和一家科技联盟合作查封并沉洞了在本次事件中扮演核心角色的域名。该域名是avsvmcloud[.]com，作为恶意软件的命令和控制(C&C)服务器，通过该公司的 Orion 应用程序的木马化更新交付给约 18000 名 SolarWinds 客户。 在 2020 年 3-6 月期间，SolarWinds Orion 更新了 2019.4 到 202.2.1 版本，其中均包含名为 SUNBURST（也称为Solorigate）的恶意软件。一旦安装在计算机上，该恶意软件会休眠 12-14 天，然后ping avsvmcloud[.]com 的一个子域。 根据安全公司FireEye的分析，C&C域名会回复一个包含CNAME字段的DNS响应，其中包含另一个域名的信息，SUNBURST恶意软件会从那里获得进一步的指令和额外的有效载荷，以便在受感染公司的网络上执行。 今天早些时候，一个科技公司联盟查封并下架了avsvmcloud[.]com，将该域名转入微软所有。熟悉今天行动的消息人士将此次查封描述为 “保护性工作”，目的是防止 SolarWinds 黑客背后的威胁行为者向受感染的计算机交付新的订单。       （消息及封面来源：cnBeta）

由于采用了合法的非恶意软件的外观，木马开源软件隐蔽且有效的攻击很难被发现。但通过仔细调查可发现其可疑行为，从而暴露其恶意意图。 开源软件如何木马化？我们如何检测到它们？为了回答这些问题，让我们看一下最近的相关调查。 …… 更多内容请至Seebug Paper  阅读全文：https://paper.seebug.org/1429/       消息来源：trendmicro，封面来自网络，译者：小江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

企业监控软件提供商SolarWinds目前处于最严重的供应链攻击的中心，该公司表示，多达18000名客户可能安装了受污染的Orion产品。 据SolarWinds披露，这起事件很可能是外部国家对供应链进行高度复杂、有针对性和人工攻击的结果。 该公司还在其安全公告中重申，除了2019.4 HF 5和2020.2版本的SolarWinds Orion平台外，监控软件的其他版本或其他非Orion产品均未受到该漏洞的影响。 目前，关于黑客如何侵入SolarWinds网络的细节仍不清楚。根据安全研究员Vinoth Kumar的报告，一个可公开访问的SolarWinds GitHub存储库似乎正在泄露“downloads.solarwinds.com”域的FTP凭据。从而允许攻击者将伪装为Orion软件更新的恶意可执行文件上传到门户。更糟糕的是，FTP服务器受一个普通密码的保护。 在Kumar去年披露之后，该公司于2019年11月22日解决了这一配置错误。 此前一天，网络安全公司FireEye表示，他们发现了一个长达9个月的全球性入侵活动。攻击者的目标是公共和私人实体，这些实体将恶意代码引入SolarWinds Orion软件的合法软件更新中，以进入这些公司的网络并安装一个名为SUNBURST的后门（SolarWinds.Orion.Core.BusinessLayer.dll）。 微软在一份报告中表示，“恶意的DLL使用avsvmcloud.com域调用远程网络基础结构，以准备第二阶段有效负载，在组织中横向移动，泄露数据。”       消息及封面来源：The Hacker News ；译者：芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

一伙为不法分子提供攻击工具的黑客找到了一种非常巧妙的方法，能够绕过目标网络的多因素身份验证（MFA）系统。根据安全公司 Volexity 本周一发布的博文，他们在 2019 年年末和 2020 年年初发现了这些攻击者的踪迹，并不少于 3 次利用该方法潜入某些机构内部。 在一次入侵期间，Volexity 的研究人员注意到黑客使用一种新颖技术绕过了 Duo 提供的 MFA 保护。在受感染的网络上获得管理员特权后，黑客使用这些不受束缚的权限从运行 Outlook Web App 的服务器上窃取了名为 akey （企业为各种网络服务提供帐号身份验证）的 Duo 机密。 然后，黑客使用 akey 生成 cookies。因此，当拥有正确用户名和密码的用户登录之后，黑客就能通过 cookies 接管账户。Volexity 认为该方法是由黑客集团  Dark Halo 提供的。研究人员 Damien Cash，Matthew Meltzer，Sean Koessel，Steven Adair 和 Thomas Lancaster 写道： “在 Volexity 对 Dark Halo 的第二次调查进入尾声的时候，研究人员观察到黑客通过 Outlook Web App 访问了用户的电子邮件账户。出于某些原因，这是完全意外的，最重要的原因是目标邮箱是受到 MFA 保护的。 来自Exchange服务器的日志显示，攻击者提供的用户名和密码身份验证正常，但没有通过Duo受到第二方面的挑战。来自Duo身份验证服务器的日志进一步表明，未尝试登录到该帐户。 Volexity能够确认不涉及会话劫持，并且通过OWA服务器的内存转储，还可以确认攻击者提供了与名为duo-sid的Duo MFA会话绑定的cookie。 Volexity对这一事件的调查确定，攻击者已从OWA服务器访问了Duo集成密钥（akey）。然后，该密钥使攻击者可以得出在duo-sid cookie中设置的预先计算的值。成功进行密码身份验证后，服务器评估了duo-sid cookie并确定其有效。 这使攻击者知道用户帐户和密码，然后完全绕过帐户上设置的MFA。此事件强调了确保与密钥集成关联的所有机密（例如与MFA提供者的机密）在发生泄露后应进行更改的必要性。此外，重要的是，不仅要在违规后更改密码，而且不要将密码设置为与以前的密码类似的内容（例如，Summer2020！vs Spring2020！或SillyGoo $ e3 vs SillyGoo $ e2）。”         （消息及封面来源：cnBeta）

一伙为不法分子提供攻击工具的黑客找到了一种非常巧妙的方法，能够绕过目标网络的多因素身份验证（MFA）系统。根据安全公司 Volexity 本周一发布的博文，他们在 2019 年年末和 2020 年年初发现了这些攻击者的踪迹，并不少于 3 次利用该方法潜入某些机构内部。 在一次入侵期间，Volexity 的研究人员注意到黑客使用一种新颖技术绕过了 Duo 提供的 MFA 保护。在受感染的网络上获得管理员特权后，黑客使用这些不受束缚的权限从运行 Outlook Web App 的服务器上窃取了名为 akey （企业为各种网络服务提供帐号身份验证）的 Duo 机密。 然后，黑客使用 akey 生成 cookies。因此，当拥有正确用户名和密码的用户登录之后，黑客就能通过 cookies 接管账户。Volexity 认为该方法是由黑客集团  Dark Halo 提供的。研究人员 Damien Cash，Matthew Meltzer，Sean Koessel，Steven Adair 和 Thomas Lancaster 写道： 在 Volexity 对 Dark Halo 的第二次调查进入尾声的时候，研究人员观察到黑客通过 Outlook Web App 访问了用户的电子邮件账户。出于某些原因，这是完全意外的，最重要的原因是目标邮箱是受到 MFA 保护的。 来自Exchange服务器的日志显示，攻击者提供的用户名和密码身份验证正常，但没有通过Duo受到第二方面的挑战。来自Duo身份验证服务器的日志进一步表明，未尝试登录到该帐户。 Volexity能够确认不涉及会话劫持，并且通过OWA服务器的内存转储，还可以确认攻击者提供了与名为duo-sid的Duo MFA会话绑定的cookie。 Volexity对这一事件的调查确定，攻击者已从OWA服务器访问了Duo集成密钥（akey）。然后，该密钥使攻击者可以得出在duo-sid cookie中设置的预先计算的值。成功进行密码身份验证后，服务器评估了duo-sid cookie并确定其有效。 这使攻击者知道用户帐户和密码，然后完全绕过帐户上设置的MFA。此事件强调了确保与密钥集成关联的所有机密（例如与MFA提供者的机密）在发生泄露后应进行更改的必要性。此外，重要的是，不仅要在违规后更改密码，而且不要将密码设置为与以前的密码类似的内容（例如，Summer2020！vs Spring2020！或SillyGoo $ e3 vs SillyGoo $ e2）。           （消息及封面来源：cnBeta）

在周四发布的联合安全警报中，美国网络基础设施安全局及联邦调查局表示：针对美国K-12教育的勒索软件网络攻击的数量有所增加，这些网络攻击活动通常会导致数据泄露和远程学习的中断。 警报写道：“截至2020年12月，FBI、CISA和MS-ISAC持续收到来自K-12教育机构的网络攻击报告。” “黑客可能将学校视为攻击目标，预计这类攻击将持续到2020/2021学年。” 勒索软件攻击 CISA和FBI表示：“ 针对K-12教育机构的今年所有网络攻击中，勒索软件一直是最重大的威胁。MS-ISAC数据显示2020学年开始之际，针对K-12教育的勒索软件事件的百分比有所增加。”他们说：“在8月和9月，MS-ISAC已知的勒索软件事件中有57％针对K-12教育，而从1月到7月，针对K12教育的网络攻击占比只有28％。” 该数字与Emsisoft最新报告一致  ，该公司还注意到2020年第三季度针对教育行业的勒索软件攻击激增。 根据两家机构收到的报告，今年针对美国K-12的五个最活跃的勒索软件组织是Ryuk、Maze、Nefilim、AKO和Sodinokibi / REvil。 这五个都是勒索软件操作，它们已知运行“泄漏站点”，通常在这些泄漏站点上从没有付款的受害者中转储数据，这也存在将学生数据在线发布的危险。 商品性恶意软件 但是，勒索软件攻击的增加并不是本学年K-12教育机构面临的唯一问题。CISA和FBI表示，商品性质的恶意软件已在美国网络攻击中流行。 恶意软件的变种是偶然性的，因为它们不仅影响教育机构，还影响其他组织。 在K-12网络攻击上最常见的恶意软件感染中，ZeuS（Zloader）木马（Windows）和Shlayer loader（macOS）在感染排行榜上名列前茅。 我们不应轻视这种恶意软件，因为这些威胁通常演变成更大的网络攻击，需要立即加以解决。 DDOS攻击和视频会议中断 除了恶意软件之外，美国网络基础设施安全局及联邦调查局还警告K-12教育机构要注意其他形式的网络攻击：包括DDoS攻击和实时视频会议中断（也称为“ 缩放轰炸”）。 随着学校IT系统现在需要满负荷工作以保持学校资源正常运行，DDoS攻击已成为最受欢迎的攻击媒介，用于勒索学校以牟取收益或学生逃课。 这两点由卡巴斯基 在今年早些时候指出，针对教育机构的DDoS攻击数量在美国乃至全世界都大量增加。 自2020年3月以来，视频会议中断一直是学校面临的问题。 警报中也包含应对措施，受害组织可以采用这些对策预防今年以来最常见的威胁。       消息及封面来源：zdnet；译者：小江 本文由 HackerNews.cc 翻译整理 转载请注明“转自 HackerNews.cc ”