黑客利用开源工具入侵非洲多个金融机构
HackerNews 编译，转载请注明出处： Palo Alto Networks 旗下的研究团队 Unit 42 发现了一个针对非洲多家金融机构的新型恶意活动。 这些被追踪为 CL-CRI-1014 的攻击者，至少自 2023 年以来一直活跃地针对非洲金融行业。Unit 42 研究人员评估认为，他们扮演着初始访问经纪人（IABs）的角色，即先获取目标的初始访问权限，然后在暗网上将其出售给其他攻击者。 为了实施攻击，黑客通常利用一系列开源工具，包括攻击框架 PoshC2、隧道工具 Chisel，以及公开可用的软件如微软的 PsExec 和远程管理工具 Classroom Spy。后者替代了该组织先前活动中使用的 MeshAgent。 他们还创建隧道进行网络通信并执行远程管理操作。 Unit 42 的研究结果已在其 6 月 24 日发布的报告中分享。 攻击链解析 以下是 Unit 42 研究人员观察到的 CL-CRI-1014 最新活动中典型的攻击链步骤： 攻击者使用 PsExec 远程连接到另一台机器，将其作为代理； 在代理机器上使用 Chisel 绕过目标组织系统的防火墙保护，并连接到多台机器； 在部分机器上，攻击者使用 PsExec 投递 PoshC2 并在系统内进行侦察活动，网络流量通过 Chisel 隧道传输； 在其他机器上，攻击者使用 PsExec 运行 PowerShell 并安装 Classroom Spy。 攻击者在攻击流程中如何使用 PsExec、Chisel、PoshC2 和 Classroom Spy（如下图）。来源：Unit 42, Palo Alto Networks PoshC2 是攻击者用来执行命令并在受感染环境中建立立足点的关键工具。该框架支持生成不同类型的植入程序（PowerShell、C#.NET 和 Python），并预装了多种攻击模块。 Classroom Spy 具备一系列功能，包括： 实时监控电脑屏幕（包括截图）； 控制鼠标和键盘； 在机器间收集和部署文件； 记录访问的网页； 键盘记录； 录音； 访问摄像头； 打开终端； 收集系统信息； 监控和阻止应用程序。 最后，CL-CRI-1014 采用了多种方法来规避检测，包括使用加壳器、用窃取的签名为其工具进行签名，以及使用来自合法产品的图标。 没有证据表明该活动利用了目标组织产品或服务中的任何漏洞。 消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
Fog 勒索软件突袭亚洲金融机构，员工监控软件遭武器化引安全界警醒
HackerNews 编译，转载请注明出处： 赛门铁克安全团队近日披露，亚洲某金融机构上月遭遇Fog勒索软件攻击。该事件因攻击者使用非常规工具链及战术引发研究人员高度关注，其异常特征包括： 非典型工具植入 首次在勒索攻击中发现合法员工监控软件Syteca的滥用。该软件通常用于企业记录员工屏幕活动、追踪键盘输入等行为，但在此次攻击中被黑客武器化。 开源渗透工具滥用 攻击者部署多款非常规开源渗透测试工具（具体工具未公开），此类工具此前极少出现在勒索攻击前期准备阶段。 GC2渗透框架的异常使用 利用GC2框架通过Google Sheets/Microsoft SharePoint远程执行指令，并经由Google Drive/SharePoint实现数据外泄。该手法虽在2023年APT41攻击中出现过，但在勒索攻击中尚属首次。 攻击者在部署勒索软件后，竟反常地尝试建立持久化访问权限。赛门铁克高级情报分析师Brigid O Gorman指出：“绝大多数勒索攻击在完成数据窃取与加密后即终止，而此次攻击者表现出明确的网络持续控制意图。” 赛门铁克专家提出两种可能性： 勒索攻击可能仅是间谍行动的伪装，真实目的是长期渗透。 不排除黑客“顺带牟利”策略——在实施间谍活动同时通过勒索获取额外收益。 攻击路径与技术细节 初始入侵点：2台存在长期漏洞的Microsoft Exchange服务器被攻陷，此为勒索团伙常用入口 潜伏周期：攻击者在受害网络内部潜伏长达两周才启动勒索程序 痕迹清除：专项清理操作日志等数字证据，增加溯源难度 工具作用存疑：Syteca具体用途尚未明确，推测可能用于信息窃取或间谍监控 BeyondTrust技术总监James Maude补充道：“黑客越来越多地滥用合法软件，既能规避安全检测，又可集中资源进行社会工程攻击——尤其在用户拥有本地管理员权限的环境中，此类战术效果显著。” Fog勒索组织背景补充 该组织自2024年5月活跃，早期专注攻击美国教育机构（如俄克拉荷马大学）。其曾以“政府效率部（DOGE）”名义发送钓鱼邮件，借埃隆·马斯克相关话题嘲讽受害者，引发媒体关注。此次针对金融机构的复杂攻击，标志其战术升级与目标扩张。 赛门铁克最终结论：虽无确凿证据指向特定国家支持，但异常工具使用、持久化企图及勒索-间谍双重动机特征，表明这绝非普通勒索攻击，其背后可能隐藏更精密的地缘政治意图。 消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
印度央行宣布禁止金融机构提供加密货币服务
北京时间 6 日讯，当地时间周四，印度央行宣布，接受监管的印度金融机构禁止提供加密货币相关服务。该银行在声明中表示，鉴于相关风险，该禁令立即生效。该银行同时表示，将为那些已经提供加密货币服务的公司另行规定特定时间以结束该项服务。 该禁令发布之前，印度政府早就发布过相关交易风险警示。印度央行表示，加密货币还会引发消费者保护、市场诚信和洗钱等问题。 周四发布的声明只是加强金融市场更广泛监管政策的一部分。 稿源：cnBeta、新浪美股，封面源自网络；
趋势科技报告：揭露 Lazarus APT 组织针对金融机构使用的恶意软件及工具
外媒 1 月 25 日消息，趋势科技的安全专家于近期发布了有关 Lazarus APT 组织在最近针对金融机构的攻击中使用的恶意软件和工具。 Lazarus（音译 “ 拉撒路 ”）堪称全球金融机构首要威胁。该组织自 2009 年以来一直处于活跃状态，据推测早在 2007 年就已涉足摧毁数据及破坏系统的网络间谍活动。调查显示，黑客组织 Lazarus 与 2014 年索尼影业遭黑客攻击事件及 2016 年孟加拉国银行数据泄露事件都有关系。 在 2014 年和 2015 年，Lazarus 组织的活动激增，其成员主要使用定制化的恶意软件进行攻击，相关专家认为该组织的攻击方式非常复杂。 在上一次针对金融公司的活动中，网络间谍利用与 Lazarus 有关的 RATANKBA 木马变种，发起了“水坑攻击”。 据悉，被称为 RATANKBA 的恶意软件只是 Lazarus 军火库中的武器之一。这个恶意软件自 2016 年年底以来一直活跃 ，其最近一次使用是在针对金融机构攻击活动中。 在这些攻击活动中使用的变种（TROJ_RATANKBA.A）提供了多种有效载荷，其中包括针对银行系统的黑客攻击工具和软件。 另一个新的 RATANKBA 变体（BKDR_RATANKBA.ZAEL – A）于 2017 年 6 月发现，主要使用 PowerShell 脚本而不是更传统的 PE 可执行形式。 专家们注意到，RATANKBA 木马是通过武器化的 Office 文档（包含与加密货币和软件开发相关的主题）、CHM 文件和脚本下载程序交付的。攻击者并没有实施与恶意软件的实时通信，一旦目标机器沦陷，攻击者将使用远程控制器工具将作业发送到系统，然后由 RATANKBA 处理作业队列，检索收集的信息。 恶意软件 RATANKBA 感染流程 研究人员称 Lazarus APT 使用的控制器工具实现了一个图形化的 UI 界面，允许黑客将代码推送到服务器并从中下载受害者配置文件。 在这次金融攻击的活动中，研究人员识别和入侵了网络间谍用来暂时存储被盗数据的服务器，随后发现大约 55％ 的受害用户位于印度和邻国，这些用户大多数都没有使用微软软件的企业版本。据悉，受害用户的 IP 地址不属于大型银行或金融机构，趋势科技认为可能是印度三家网络软件开发公司或者韩国某家公司的雇员。 根据 Lazarus APT 组织成员的个人资料显示，趋势科技猜测黑客可能会是韩国本地人。目前鉴于 Lazarus 在其运营中善于使用各种各样的工具和技术，因此该组织很可能继续更新优化恶意活动的攻击策略。 报告详细内容可查阅： <Lazarus Campaign Targeting Cryptocurrencies Reveals Remote Controller Tool, an Evolved RATANKBA, and More> 消息来源： Security Affairs ，编译：榆榆，校审：FOX 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。
比特币主要交易平台账号突遭印度四大银行冻结，事前并未通知
1 月 21 日消息，去年价格疯涨的比特币已引起越来越多的监管部门和金融机构的担心，外媒的报道表明，印度四家大银行已冻结了印度主要比特币交易平台的账号。外媒在报道中提到的印度四家银行分别是印度同心银行、HDFC 银行、YES 银行和印度工业信贷投资银行，都是印度排名非常靠前的私营银行，其中的印度工业信贷投资银行还是印度第二大银行，也是印度最大的私营银行。 从银行方面的消息来看，他们冻结比特币交易平台的账号是因为交易可疑。但印度这四家银行此次冻结比特币交易平台账号非常突然，在冻结之前他们并没有通知相关的比特币交易平台，相关的比特币交易平台在这四家银行的账号是在一夜之间就受到了影响。 除了冻结印度主要比特币交易平台的账号，印度商业银行还要求比特币交易平台增加抵押品，这对印度比特币交易平台也是很大的考验。 在外媒看来，此次印度同心银行等四家大银行冻结比特币交易平台的账号非同寻常，四家银行同时行动并不多见，外媒认为这还可能只是比特币等加密货币在印度崩溃的第一步。 虽然主要的比特币交易平台已受到了此次印度四家大银行冻结账户的影响，也还不清楚此事最终会如何发展，但还没有一家比特币交易平台有很快停止交易的打算。 稿源：cnBeta，封面源自网络
俄罗斯黑客从美俄 ATM 窃取千万美元，下一目标锁定拉美银行
据媒体 12 月 12 日报道，俄罗斯网络安全公司 Group-IB 于 12 月 11 日表示，一个此前未被检测到的俄语黑客组织，在 2016-2017 年间通过瞄准银行转账系统，从至少 18 家银行机构中悄然窃取了近千万美元，这些金融机构大多为美国和俄罗斯的公司组织。该黑客组织发起的攻击始于 18 个月前，他们利用转账系统漏洞从银行的自动柜员机（ATM）中窃取钱财。Group-IB 警告称，目前针对银行的攻击似乎正在进行中，拉丁美洲的银行可能会成为下一个目标。 Group-IB 研究人员在一份长达 36 页的报告中指出，这一黑客组织首次攻击发生在 2016 年春季，针对的是美国最大的银行信息系统——美国银行 First Data 的“ STAR ”网络，该系统连接了超过 5000 家机构的ATM机。 图片来自 securityaffairs.co First Data 在一份声明中表示，在 2016 年早些时候，First Data 发现一些在“ STAR ”网络运营的小型金融机构的凭证曾违反了借记卡管理规定，导致 First Data 开始执行新的强制性安全数据控制措施。First Data 称，“ STAR ”网络从未被攻破。First Data 还称，其正在继续调查几起黑客研究如何通过 SWIFT 银行系统进行转账的事件，但没有说明黑客是否成功实施了此类攻击。 SWIFT 在去年 10 月表示，黑客仍在瞄准其银行间通讯系统，但在去年孟加拉国央行发生 8100 万美元劫案之后，银行间通讯系统加强了安全管控。 Group-IB 曾将黑客组织称为 “ 赚钱者（MoneyTaker）”。据悉，该黑客组织此前使用过名为 “ MoneyTaker ” 软件来劫持支付订单，然后通过一个低级的、名为 “ 金钱骡子（money mules）” 网络从自动柜员机中提取资金。 Group-IB 安全研究人员表示，他们已经确定 18 家银行机构受到了攻击，其中包括分布在美国 10 州的 15 家银行金融机构，两家俄罗斯银行以及一家英国银行。除银行外，金融软件公司和一家律师事务所也成为了攻击目标。 图片来自 securityaffairs.co Group-IB 称，在美国遭受攻击的 14 个 ATM 机上，每起被盗事件损失的资金平均为 50 万美元。俄罗斯每起事件平均损失为 120 万美元，但其中一家银行成功截获了一起攻击事件，并追回了部分被盗资金。 该报告称，这一黑客组织还窃取了拉丁美洲及美国 200 家银行所使用的 OceanSystems 美联储链接传输系统内的文件。此外，他们还成功地攻击了俄罗斯的银行间通讯系统—— AW CRB。 Group-IB 称，一旦黑客侵入了目标银行和金融机构，他们会窃取银行内部文件，为将来发动 ATM 攻击做准备。在俄罗斯，黑客入侵银行系统后会继续对银行网络进行监控，至少有一家美国银行的文件被盗用了两次。Group-IB 表示，其已通知国际刑警组织和欧洲刑警组织，以协助针对该案的执法调查。 这些身份不明的黑客利用不断变化的工具和战术，绕过反病毒和其他传统安全软件，同时又在小心翼翼地清除他们的操作痕迹，从而避开监控。为了掩饰他们的举动，黑客们使用了来自美国银行、美联储、微软和雅虎等品牌的安全证书。 稿源：cnBeta，封面源自网络；
黑客伪造美国合法金融机构的安全信息发动网络钓鱼攻击
据外媒 9 月 29 日报道，安全研究人员近期发现网络犯罪分子通过伪造来自美国银行与 TD 商业银行等私人金融机构的合法域名、机构标志与其邮件底部的保密声明发送网络钓鱼邮件，旨在向不知情受害者分发恶意软件、窃取重要信息。 调查显示，攻击者伪造合法银行安全信息发送网络钓鱼邮件，并在邮件中指示用户下载附件、填写个人信息并对其进行回复等一系列操作。据悉，该封电子邮件中所附带的 Word 文档包含一款恶意软件，用户一旦下载并安装将会允许攻击者在 Windows 设备上重写用户目录文件。 值得注意的是，该款恶意软件可以规避部分杀毒软件检测，因为附带恶意软件的文档是安全的。若受害者设备成功安装该款恶意软件，攻击者就可对其进行访问与操控，从而窃取用户重要信息。目前，研究人员建议用户提高网络钓鱼防范意识、不要轻易点击未知名链接并确保安装全方位杀毒软件以避免遭受钓鱼攻击活动。 原作者：Hyacinth Mascarenhas，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。