利用恶意软件和钓鱼攻击，Roaming Mantis 针对 Android 和 iOS 用户发起攻击
在袭击德国、台湾、韩国、日本、美国和英国之后，Roaming Mantis将转向法国，并针对法国Android和iOS用户发起攻击，这次攻击可能会危及数万台设备。Roaming Mantis被认为是一个出于经济动机的威胁行为者，早在2月时，就曾针对欧洲用户发起过攻击。在最近观察到的一次网络攻击活动中，该攻击者被发现使用SMS通信来引诱用户在其 Android 设备上下载恶意软件，如果用户使用 iOS，他们将被重定向到 Apple 凭据的网络钓鱼页面。 在近期发布的一份报告中，网络安全公司SEKOIA的研究人员表示，Roaming Mantis现在正在Android设备上投放XLoader (MoqHao) 有效荷载，这是一种强大的恶意软件，可以计算远程访问、信息窃取和短信垃圾邮件等功能。正在进行的Roaming Mantis活动以法国用户为目标，他们向潜在受害者发送短信，并引诱用户点击链接。用户会收到一条短信，告知他们已经收到了一个包裹，他们需要检查并安排送货。 如果用户位于法国并且使用iOS设备，他们将被定向到窃取Apple凭据的网络钓鱼页面。Android用户则被指向一个提供移动应用程序安装文件的站点（Android Package Kit – APK）。但对于法国以外的用户，Roaming Mantis的服务器显示404 错误并且攻击停止。 在攻击中，APK执行并模仿Chrome安装，并请求风险权限，例如短信拦截、拨打电话、读写存储、处理系统警报、获取帐户列表等。命令和控制 (C2) 配置是从硬编码的Imgur配置文件目标中检索的，这些攻击以base64编码以逃避检测。 SEKOIA证实，到目前为止，有超过90000个唯一的IP地址从C2主服务器请求XLoader。 截至目前，其表示在Roaming Mantis 网络钓鱼页面上提交Apple iCloud凭据的iOS用户数量未知，有可能比预期的更高。 网络钓鱼页面 SEKOIA的分析师报告称，自去年4月Cymru团队的最后一次分析以来，Roaming Mantis的基础设施并没有太大变化，这些服务器在TCP/443、TCP/5985、TCP/10081 和 TCP/47001上仍然有开放端口，而4月份看到他们仍在使用相同的证书，他们在SMS消息中使用的域名要么是在Godaddy注册的，要么使用动态DNS服务，例如duckdns.org，而入侵集合使用了一百多个子域名，每个IP地址都有几十个FQDN解析。有趣的是，Roaming Mantis的短信钓鱼(SMS phishing)活动依赖独立于XLoader使用的C2服务器，分析人员可以识别出其中9个托管在EHOSTIDC和VELIANET系统上的活动。 转自 FreeBuf，原文链接：https://www.freebuf.com/news/339517.html 封面来源于网络，如有侵权请联系删除
DNS 劫持恶意软件 Roaming Mantis 升级，针对全球 iOS、Android 和桌面用户
据外媒报道， 卡巴斯基实验室发现针对 Android 设备的路由器 的 DNS 劫持恶意软件 Roaming Mantis 现在已升级到了针对 iOS 设备以及桌面用户。最初该恶意软件被发现在上个月劫持了网络路由器，目的旨在散布窃取用户登录凭证和双重身份验证密码的 Android 银行恶意软件。而目前根据卡巴斯基实验室的安全研究人员的说法，通过增加针对 iOS 设备的钓鱼攻击以及针对 PC 用户的加密货币挖掘脚本，Roaming Mantis 活动背后的犯罪集团已经扩大了他们的目标。此外，尽管最初的袭击旨在针对来自东南亚的用户 ，但目前该新活动已经演变到支持 27 种语言，以扩大在欧洲和中东地区的业务范围。 与之前的版本类似，新的 Roaming Mantis 恶意软件通过 DNS 劫持进行分发，攻击者更改无线路由器的 DNS 设置，将流量重定向到由他们控制的恶意网站。因此，当用户试图通过一个被破坏的路由器访问任何网站时，他们都会被重定向到恶意网站，这些网站可用于：提供 Android 用户虚假银行恶意软件；提供 iOS 用户 钓鱼网站；提供桌面用户使用加密货币挖掘脚本的站点。 为了保护免受此类恶意软件的侵害，安全研究人员给出了以下建议： “建议您确保您的路由器运行最新版本的固件并使用强密码保护； 由于黑客活动使用攻击者控制的 DNS 服务器伪装合法域名，将用户重定向到恶意下载文件，所以建议您在访问站点前确保其启用了 HTTPS； 您还应该禁用路由器的远程管理功能，并将可信的 DNS 服务器硬编码到操作系统网络设置中； 建议 Android 用户从官方商店安装应用程序，并设置禁用安装未知来源的应用程序； 检查您的 Wi-Fi 路由器是否已被入侵，查看您的 DNS 设置并检查 DNS 服务器地址，如果它与您的提供商发布的不符，请将其修正，并立即更改所有帐户密码。” 卡巴斯基实验室分析报告： 《Roaming Mantis dabbles in mining and phishing multilingually》 消息来源：Thehackernews，编译：榆榆，审核：吴烦恼; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。
Roaming Mantis 通过 DNS 劫持攻击亚洲的智能手机
卡巴斯基实验室的研究人员发现一种最新的通过域名系统( DNS )劫持技术传播的安卓恶意软件，其主要攻击目标为亚洲地区的智能手机。这种攻击行动被称为 Roaming Mantis，目前仍然非常活跃，其攻击目的是窃取包括凭证在内的用户信息，从而让攻击者可以完全控制被感染的安卓设备。2018 年 2 月至 4 月期间，研究人员在超过 150 个用户网络中检测到这种恶意软件，主要受害者位于韩国、孟加拉国和日本，而且受害者可能更多。研究人员认为这次攻击行动的幕后应该有一个网络犯罪组织，其目的应该是为了获利。 卡巴斯基实验室全球研究和分析团队(GReAT)亚太区总监 Vitaly Kamluk 表示：“日本的一家媒体最近报道了这次攻击事件，但是在我们稍微进行了一些研究后发现，这种威胁并非起源自日本。事实上，我们发现了多个线索，表明这种威胁幕后的攻击者说的是中文或韩语。不仅如此，大多数受害者也不在日本。Roaming Mantis 似乎主要针对韩国的用户，日本受害者似乎是某种附带危害。 卡巴斯基实验室的发现表明这种恶意软件背后的攻击者寻找易受攻击的路由器进行攻击，通过一种非常简单却有效的劫持受感染路由器 DNS 设置的手段传播这种恶意软件。攻击者入侵路由器的方法仍然未知。一旦 DNS 被成功劫持，用户访问任何网站的行为都会指向一个看上去真实的 URL 地址，其中的内容是伪造的，并且来自攻击者的服务器。这些地址会要求用户“为了获得更好的浏览体验，请升级到最新版 Chrome。”点击链接会启动被植入木马的应用被安装，这些被感染的应用通常被命名为“ facebook.apk ”或“ chrome.apk ”，其中包含攻击者的安卓后门程序。 Roaming Mantis 恶意软件会检查设备是否被 root，并请求获得有关用户进行的任何通信或浏览活动通知的权限。它还能收集多种数据，包括两步验证凭证。研究人员发现一些恶意软件代码提到了韩国常见的手机银行和游戏应用程序 ID。综合起来，这些迹象表明这次攻击行动的目的可能是为了获得经济利益。 卡巴斯基实验室的检测数据发现了约 150 个被攻击目标，进一步分析还发现平均每天有数千个对攻击者命令和控制( C2 )服务器的连接，表明攻击的规模应该更大。 Roaming Mantis 恶意软件的设计表明其是为了在亚洲地区进行广泛的传播。此外，它支持四种语言，分别为韩语、简体中文、日语和英语。但是，我们收集到的证据显示这起攻击幕后的威胁者最精通的是韩语和简体中文。 卡巴斯基实验室日本安全研究员 Suguru Ishimaru 说：“ Roaming Mantis 是一个活跃并且迅速变化的威胁。所以我们现在就发表了相关发现，而没有等到找到所有答案后再发布。这次的攻击似乎有相当大的动机，我们需要提高用户的防范意识，让人们和企业能够更好地识别这种威胁。这次攻击使用了受感染的路由器以及劫持 DNS 的手段，表明采用强大的设备保护和安全连接的必要性” 卡巴斯基实验室产品将这种威胁检测为“ Trojan-Banker.AndroidOS.Wroba ”。 为了保护您的互联网连接不受感染，卡巴斯基实验室建议采取以下措施： ● 请参阅您的路由器的使用说明，确保您的 DNS 设置没有被更改，或者联系您的互联网服务提供商(ISP)寻求支持。 ● 更改路由器管理界面的默认登录名和密码。 ● 不要从第三方来源安装路由器固件。不要为您的安卓设备使用第三方软件来源。 ● 定期从路由器的官方升级您的路由器固件。 稿源：比特网，封面源自网络；