研究人员警示新型 Vect RaaS 变种出现
HackerNews 编译，转载请注明出处： 安全研究人员发现了一个新的勒索软件即服务（RaaS）组织，该团伙已攻陷巴西及南非多家机构。 据勒索软件专业公司Halcyon称，该团伙被命名为 “Vect”，于 2025 年 12 月启动招募计划后，目前正持续吸纳加盟攻击者。 该组织声称其恶意软件是使用C++独立开发的，而不是像多数同类团伙那样，重新利用Lockbit 3.0或Conti等知名勒索软件的泄露源代码。 该勒索软件采用 ChaCha20-Poly1305 认证加密算法，据称在无硬件加速的系统上，其加密速度是 AES-256-GCM 算法的 2.5 倍。其采用间歇加密技术部署，为提升加密速度，仅对部分数据块进行加密混淆。 Halcyon声称：“尽管该团伙成立时间较短，但展现出超乎寻常的成熟度，其宣称可提供跨平台勒索软件，覆盖 Windows、Linux 及 VMware ESXi 系统；支持安全模式执行以压制安全工具；还配备高速间歇加密功能，兼顾攻击速度与破坏性。” “Vect 目前似乎处于早期验证阶段，已宣称攻陷巴西、南非各一家机构，大概率在大规模扩张前测试自身攻击能力。” 加盟者的收入分成模式显然是“慷慨”的，入门费为 250 美元，且独立国家联合体（CIS）区域申请者可免缴该费用 —— 这一规则暗示了该团伙的藏身区域。 该行动的成熟度表明它是由一些有经验的RaaS参与者运营的，Red Piranha的另一项分析声称。 Red Piranha在一份研究报告中解释道：“该组织的操作安全措施引人注目，使用门罗币进行支付以保持财务匿名性，通过 TOX 协议实现加盟攻击者间的加密点对点通信；基础设施完全依托 TOR 隐藏服务搭建，未在公网留下任何痕迹。” “自主研发恶意软件、采用新型加密算法、具备跨平台攻击能力、搭配完善操作安全措施，这些特征共同表明，Vect 的操控者是资深威胁行为者，可能是老牌勒索软件加盟者的品牌转型或全新布局。” 该机构补充说，初始访问很可能是通过暴露的RDP/VPN、窃取的凭据、网络钓鱼或漏洞利用实现初始入侵。 Vect 采用经典双重勒索模式，目前已攻陷的两家机构均被列在其公开数据泄露平台上。 建议采取的防护措施 Halcyon建议网络防御者关注以下方面，以降低Vect带来的风险： 加固边界设备防范初始入侵：需重点防护飞塔（Fortinet）账号及管理界面（Vect 曾在俄语论坛求购被盗飞塔账号）；及时安装更新补丁，限制管理员权限暴露范围，对所有远程访问及特权访问强制要求高强度身份认证。 跨 Windows、Linux、VMware ESXi 系统开展威胁遏制：对管理网络进行分段隔离，限制虚拟机管理程序管理平面的访问权限，通过管控管理协议与文件共享，阻断攻击者横向渗透路径。 重点监测安全模式与间歇加密行为：加强对可疑安全模式启动、快速选择性文件加密（间歇加密典型特征）的监控；集中收集并核查相关日志与遥测数据，实现快速范围界定与威胁遏制。 部署反勒索软件防护方案：采用可在恶意二进制文件运行前阻断执行、能检测并阻止勒索软件运行时行为与数据窃取尝试、可拦截篡改操作及网络入侵的防护工具。 消息来源: infosecurity-magazine： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
思科最新发布《 2017 年中网络安全报告 》
据外媒 7 月 20 日报道，思科（ Cisco ）根据长期积累的研究成果最新发布《 2017 年中网络安全报告 》，指出全球行业安全状况有所改善，网络威胁变化与复杂程度有增无减。据称，其改善主要体现在检测时间。2015 年 11 月检测时间长达 39 小时，2016 年 11 月至 2017 年 5 月检测时间已缩短至 3.5 小时。 从另一个角度看，科技发展创造了一个日益增长、亟待维护的威胁局面，但 IT 动态环境可见度的缺乏、影子 IT 带来的风险、安全警报此起彼伏、IT 安全环境的复杂程度致使资源匮乏的安全团队不得不与当下强劲多变的网络威胁奋力搏杀。 该报告不仅分析了现有威胁，还针对不断演变的攻击手段进行点评，对愈发冷酷无情的敌对势力做出两种令人堪忧的预测。第一种预测是针对 IoT 设备开展的大规模 DDoS 攻击的滞后行为不容乐观。物联网僵尸网络活动表明，部分操作人员正为大范围、高冲击力的攻击活动做着准备，此举可能危及互联网自身。第二种预测是采取锁定系统、销毁部分数据行径的勒索软件正逐步演变为 “ 破坏服务 ”（ DeOS ）威胁。 思科指出，对于攻击者的经济价值来说，勒索软件的杀伤力远低于针对企业电子邮件入侵（ BEC ）。BEC 的诈骗目标主要为可能已采取成熟威胁防御与防诈措施的大型组织机构。然而，BEC 邮件不包含恶意软件或可疑链接，可以绕过最为复杂的威胁防御工具展开攻击活动，因此成功率较高。目前，思科还强调了恶意软件发展的五大趋势。 第一种趋势：攻击者正通过需要用户采取某种积极行动的分发系统展开攻击，例如受密码保护的恶意文档（电子邮件正文提供密码）在沙箱环境不显示任何恶意证据，正常转发至其他用户群体。 第二种趋势：勒索软件开发人员通过利用开放源代码库（如 Hidden Tear 与 EDA2 ）以教育目的为由快速、便捷、廉价地公开发布勒索软件源代码。 第三种趋势：Satan 等勒索软件即服务（ RaaS ）平台的持续增长为那些期待无需写代码即可发动攻击的懒人提供便利。 第四种趋势：无文件或内存驻留恶意软件日益盛行。这种做法完全依赖 PowerShell 或 WMI 在内存中运行恶意软件，无需在文件系统或注册表中写入任何代码，除非攻击者想要将持久机制放置于适当位置。由于硬盘上没有恶意软件，因此可以有效规避检测。 第五种趋势：攻击者更多地依赖匿名与中心化基础设施为命令与控制造成混淆，例如 Tor2web。 另外，使用漏洞工具包传送恶意软件的情况正在减少，垃圾邮件数量攀升，尤其是包含宏负载恶意文件的垃圾邮件，因为此类垃圾邮件需要用户交互才能感染系统并提供有效负载。 原作者：Kevin Townsend，译者：青楚，译审：游弋 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文链接。
研究报告：恶意软件即服务为黑客提供更多网络犯罪平台
近年来，随着网络犯罪分子以组织化形式存在，黑客攻击手段已越来越多的被用于商业化发展。即网络犯罪分子可通过租用扩展黑客工具与技术（漏洞套件、勒索软件）构建威胁发动攻击，将其演变成大型企业攻击活动。调查显示，恶意软件即服务（MaaS）的普及滥用日益增加，为网络犯罪分子提供了包括勒索软件即服务（RaaS）、DDoS 即服务、网络钓鱼即服务等在内的一系列服务攻击模式。近期，两组研究人员发现两起类似服务攻击活动。 恶意软件 Ovidiy Stealer7 攻击活动 Proofpoint 安全研究人员发现恶意软件 Ovidiy Stealer7 在以俄语为主的暗网论坛中低至 7 美元出售，即便是技术小白也能轻松窃取目标设备信息。 Ovidiy Stealer 于今年 6 月开始在暗网销售，有开发团队定期更新。分析显示，该恶意软件目前具有多个版本，主要攻击包括英国、荷兰、印度与俄罗斯在内的用户设备。 研究人员发现，虽然恶意软件 Ovidiy Stealer7 单一可定制的版本价格低廉，但目标系统可执行文件仍然能够被攻击者加密并难以检测与分析。此外，恶意软件的窃取功能攻击多个应用程序与浏览器（包括 Google Chrome、Opera、FileZilla、Amigo、Kometa、Torch与Orbitum），不过网络犯罪分子也可购买仅在单个浏览器上运行的版本。目前，恶意软件正通过恶意电子邮件附件、下载恶意链接、虚假软件或各文件托管网站上的工具分发传播。 网络钓鱼攻击平台 Hackshit Netskope Threat 研究人员发现的另一种新 Phishing-as-a-Service（PhaaS）平台 Hackshit，为初学网络犯罪分子提供了低成本的 “ 自动化解决方案 ”，允许窃取用户登录凭据及其他敏感信息。 Hackshit 允许网络犯罪分子为多个目标站点（包括 Yahoo、Facebook与Google Gmail）生成独特网络钓鱼页面。 另外，Hackshit 还能够利用 Let’s Encrypt 颁发的 SSL 证书为 Web 服务器提供免费 SSL / TLS凭证，使假冒网站看起来更为逼真。 原作者：Swati Khandelwal，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。
Petya 勒索软件原作者出现，希望帮助 NotPetya 受害者恢复文件
据 外媒 28 日消息，疑似 Petya 勒索软件原作者现身 Twitter，表示愿意帮助 NotPetya 勒索软件受害者恢复文件。 从 Janus 在 Twitter 信息上看，他可能已经掌握一个主解密秘钥，或适用于新版的 NotPetya 感染文件，能够帮助受害者解密被锁住的文档。 Janus 曾在去年 3月以 勒索软件即服务（RaaS）的方式将 Petya 出售给其他黑客，这意味着任何人都能通过点击按钮启动 Petya 勒索软件攻击，加密任何人的系统并索要赎金。消息显示， Petya 的源代码从未被泄露过，目前一些安全研究员仍在努力通过逆向寻找可能的解决方案。 虽然目前 Janus 表示正在检查新勒索软件 NotPetya 的代码，但也有专家表示即使他的主密钥成功地解密了受害者硬盘驱动器的主文件表（MFT），在研究人员找到修复 MBR 的方法之前，它也不会有太大的帮助，因为系统中被替换的 MBR 文件早已损坏。 稿源：据 thehackernews 报道翻译整理，译者：FOX
Shifr RaaS 仅需三步即可创建勒索软件
勒索软件作为一种有利可图的商业模式一直被网络犯罪分子广泛利用。鉴于此，新型勒索软件即服务（RaaS）在网络生态系统中取得长足发展也就不足为奇了。恰好，本周末安全专家发现一款名为 Shifr 的新型 RaaS，仅需三步即可创建一款简单的勒索软件。 据悉，该网站托管在 Dark Web 上，堪称最易使用的 RaaS 网站，消费者可以用比特币支付赎金。Shifr 采用 Go 语言编写，命名源自加密字段扩展名，可能与 Trojan.Encoder.6491（首款用 Go 语言编写的勒索软件）有关。 对于 Shifr 服务而言，勒索软件的创建过程十分简单，犯罪分子仅需提供恶意软件要求的赎金、接收受害者支付赎金的比特币地址并解决 CAPTCHA 问题。 其他 RaaS 门户网站通常需要以收取入门费或验证客户身份确保只有精通一定骗术的网络犯罪分子才能获得勒索软件样本，而此项服务仅需简单几步即可提供完整的武器化样本。有别与其他 RaaS 服务之处在于，Shifr 供应商仅收取 10% 的维护费用，这与 Cerber RaaS 收取的六成份额相比不足挂齿。 目前，我们仍不能排除 Shifr RaaS 是骗局的可能，运营商也不会向经销商支付削减费用。唯一能够确定的是勒索软件不仅不复杂还缺少许多必要功能，或为正在进行项目。此外，研究人员还注意到犯罪分子采用相同的服务器托管支付门户网站与 RaaS 服务，这并不是一种专业的做法。 综上所述，不难预测各类 RaaS 服务将在未来一个月内得到迅速传播。 原作者：Pierluigi Paganini，译者：游弋，校对：FOX 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。
勒索软件 Fatboy 实施动态 RaaS 模式，基于地理位置设置赎金
据外媒 8 日报道，安全情报公司 Recorded Future 近期发现勒索软件 Fatboy 开始实施动态 RaaS 模式，基于受害者地理位置设置赎金金额。 勒索软件 Fatboy 于 3 月 24 日在俄罗斯知名网络犯罪论坛被发现，其恶意软件开发人员 “ polnowz ” 在通过 Jabber 支持与指导后，以合作伙伴关系在论坛中传播这一勒索软件，另有论坛成员协助进行产品翻译工作。 研究人员表示，该勒索软件由开发人员采用 C++ 程序编写，提供 12 种语言用户界面，适用于 x86 与 x64 架构的所有 Windows 操作系统。据悉，Fatboy 最有趣的特征是基于 《经济学人》提出的“巨无霸指数” 设置支付方案，这意味着受害者将根据各地区的生活成本支付不同赎金金额。 勒索软件 Fatboy 目前已感染超过 5000 种扩展名文件，其中攻击者除使用 AES-256 加密每个文件以外，还会使用 RSA-2048 加密所有密钥。一旦目标系统感染勒索软件，其设备将收到一张勒索赎金票据，警告受害者在特定期限内缴纳赎金，否则将丢失所有系统文件。 调查显示，勒索软件 Fatboy 开发人员自 2017 年 2 月 7 日起已从勒索活动中至少赚取 5,321 美元。此外，攻击者还利用 FatBoy RaaS 模式控制目标系统数据信息，其中包括受害者所处的国家、赎金支付时间及受感染机器详细信息等数据统计。 原作者：Pierluigi Paganini， 译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接
俄黑客推出“人性化” RaaS 业务，连小孩都能发起勒索软件攻击了
据外媒 21 日报道，安全研究人员近期发现暗网市场中正在出售一种新型勒索软件 Karmen 以及其衍生出的“勒索软件即服务（RaaS）模式”。调查显示，俄罗斯网络犯罪组织 DevBitox 以用户名 Dereck1 的身份在顶级暗网中出售这款勒索软件。 勒索软件 Karmen 于 2017 年 3 月在暗网中被发现出售，但首次感染事件可追溯至 2016 年 12 月。与其他变体一样，该勒索软件加密受害者数据，并要求缴纳赎金方可提供解密密钥。目前攻击者主要针对美国与德国用户设备。 攻击者除了将勒索软件 Karmen 设计为人性化通用技能与知识外，还采用了先进的安全逃避技术。例如，在系统中检测到沙箱环境或任何其他类型的安全分析软件，Karmen 将自动删除解密部分，重新获取受害者文件访问权限。 此外，勒索软件还具备专用控制面板功能，允许人们定制个性化攻击服务。Recorded Future 研究人员表示，对于购买勒索软件 Karmen 的网络犯罪分子来说，使用控制面板是极其简单的事情，因为仅需极少的技术与知识。 Recorded Future 安全团队主管 Andrei Barysevich 透露，目前只要花个 175 美元，就连五岁小孩都能进行勒索软件攻击了。而勒索软件 Karmen 附带的“ 客户端 ” 页面还能让购买者跟踪已感染设备，并提供支付赎金的更新状态。 至今为止，DevBitox 组织已销售 20 份勒索软件 Karmen ，还剩 5 份可供潜在客户购买。据统计显示，暗网上利用 RaaS 模式出售勒索软件的趋势显著增长，网络犯罪分子通过定制出售恶意软件，旨在允许技术知识有限的人员发起大规模攻击。 原作者：India Ashok，译者：青楚，译审：狐狸酱 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文链接