安全研究 Safety research
1、僵尸网络Smominru控制超50万台PC,用于Monero挖矿谋取暴利超过526,000台Windows计算机(主要是Windows服务器)被僵尸网络Smominru控制,通过植入Monero实施挖矿活动。Smominru使用不同的技术感染机器,包括EternalBlue(CVE-2017-0144)漏洞和EsteemAudit(CVE-2017-0176)漏洞,利用成功后接管未打补丁的Windows服务器。相关链接:https://redqueen.tj-un.com/IntelDetails.html?id=0d6cdf667fe24a20bf10b60c3a147c90 2、广告软件伪装成合法应用程序,在Google Play上架最近,Bitdefender研究人员在Google Play应用市场中,发现了三个新的伪装成合法应用程序的广告软件,每个软件下载量超过10000。当应用程序连接到互联网时,将隐藏图标,显示“卸载完成”,或者“这个应用程序与你的设备不兼容!”消息。同时,它会将Google Play打开并显示设备上已经安装的应用程序,比如谷歌地图,以迷惑受害者。并且还通过设置延迟警报,确保广告不断显示在受害者的设备上。相关链接:https://redqueen.tj-un.com/IntelDetails.html?id=efcd233707c64565a3e4310912b6c4fe3、Watchbog木马变种挖掘加密货币,利用Exim和Jira漏洞传播Intezer Labs研究员发现新的恶意样本,该样本利用Jira模板注入漏洞 (CVE-2019-11581)和Exim远程命令执行漏洞(CVE-2019-10149),以获取root权限远程执行命令。利用目标漏洞后,会分发Monero矿工程序。进入目标系统后,Watchbog将从pasteb...
发布时间: 2019 - 07 - 24
1、摄像头新勒索软件DoppelPaymer,利用ProcessHacker终止进程服务CrowdStrike研究人员发现BitPaymer勒索软件新的变体DoppelPaymer,该变体是2019年6月开始的一系列勒索软件活动的幕后黑手,包括对德克萨斯州埃德库奇市和智利农业部的攻击。发现的变体与INDRIK SPIDER运营的BitPaymer勒索软件大量代码重叠。但二者在赎金票据、加密方式、加密填充方案和加密文件命名上均有不同。并且,DoppelPaymer还使用合法的开源管理实用程序ProcessHacker。此应用程序与内核驱动程序捆绑在一起,可用于终止进程和服务。相关链接:https://redqueen.tj-un.com/IntelDetails.html?id=e9207d6988e444ac86524649bd5cb5cc 2、Turla组织新武器“Topinambo”,通过合法软件安装程序传播近期,卡巴斯基研究人员发现Turla组织新增武器“Topinambo”,攻击者使用感染了“Topinambo” dropper的合法软件安装程序,比如“Softether VPN 4.12”和“psiphon3”,或者微软Office的 “activators”( 激活器),这些可能是逃避互联网审查的工具。dropper包含一个.NET shell,.NET模块的作用是提供KopiLuwak JavaScript木马和一个与KopiLuwak类似的PowerShell特洛伊木马程序。这些程序可以在受害者的计算机上构建一个“无文件”模块链,该模块链包含一个小型初始运行程序和几个包含加密远程管理工具的Windows系统注册表值。这些模块于2019年初开始活动,主要针对政府实体。相关链接:https://redqueen.tj-un.com/IntelDetai...
发布时间: 2019 - 07 - 17
1、漏洞预警:视频会议软件Zoom RCE漏洞CVE-2019–13450,可劫持Mac摄像头2019年7月8日,安全研究人员Jonathan Leitschuh披露视频会议软件Zoom中的一个RCE漏洞,该漏洞影响了Mac平台上的Zoom app版本4.4.4,可允许攻击者在用户访问网站时接管网络摄像头。苹果在2019年7月11日发布了针对性静默更新,能够防止所有已经安装Zoom软件的Safari用户进一步受到感染。相关链接:https://redqueen.tj-un.com/IntelDetails.html?id=05885910355c4470b0e5771ca6a1dcd4 2、AVTECH安防设备存漏洞,被控组建Gafgtyt僵尸网络最近,国内安全研究人员发现利用Avtech摄像监控设备相关漏洞(CNVD-2016-08737)进行入侵的攻击事件。攻击者利用AVTECH DVR设备中的命令注入漏洞实现远程sh脚本下载执行,最后植入Gafgtyt僵尸网络后门, 后门会扫描网络中的设备并进行爆破攻击,可发起DDoS网络攻击活动。相关链接:https://redqueen.tj-un.com/IntelDetails.html?id=66df016fd70942818900658ac26230113、新型勒索软件eCh0raix,针对QNAP网络附加存储(NAS)设备最近,Anomali研究人员观察到新的勒索软件eCh0raix,该勒索软件针对QNAP网络附加存储(NAS)设备。eCh0raix采用go语言编写,通过SOCKS5 Tor代理与C2通信。攻击者通过暴力破解和漏洞利用发起攻击。恶意有效负载使用AES算法加密NAS上的目标文件扩展名,加密后的文件使用扩展名.encrypt。恶意软件从数组“abcdefghijklmnopqrstuvwxyzABC...
发布时间: 2019 - 07 - 12
1、微软帐户两年内不活跃将被删除,不会发送警告邮件7月1日,微软公司更新了Microsoft帐户的支持页面,变更了账户的活动策略。如果两年以上未使用(处于非活跃状态),账户将被删除,所有拥有Microsoft帐户的用户都应遵循这些规则,以确保其帐户不会被波及。相关链接:http://t.cn/AiO93djw 2、思科回应交换机中出现华为证书和密钥:因疏忽忘记删除思科和华为是通信设备上的老对手,市场竞争多年。2003年,思科曾以“抄袭代码”为由将华为告上法庭,然而尴尬的是,思科最近却承认误用了华为代码。据外媒报道,原来,7月3日,思科发布19条安全声明,其中18条涉及中高危漏洞,另一个则是与小企业级250, 350, 350X和550X交换机有关的低级别漏洞。相关链接:http://t.cn/AiOC7wmv3、研究人员发现医疗软件漏洞,将导致诊断结果有误据外媒报道,近期研究人员最新发现了一个用于基因组分析的通用开源软件的漏洞,这将导致基于DNA的医学诊断很容易受到网络攻击。桑迪亚国家实验室的研究人员发现了这个弱点,并及时通知了软件开发人员,随后他们发布了一个补丁来解决这个问题,同时最新版本的软件也解决了这个问题。虽然目前还不知道该漏洞是否遭受过攻击,但国家标准技术研究院最近在给软件开发人员、基因组学研究人员和网络管理员的一份说明中对该漏洞进行了分析。这一发现揭示了保护基因组信息不仅仅涉及个人基因信息的安全存储,而分析基因数据的计算机系统中的网络安全也是至关重要的。相关链接:http://t.cn/AiOCswQl4、伊朗媒体称:中国同意共同对抗网络威胁(美国)消息称,2019年7月5日,在伊朗信息技术部长Mohammad Javad Azari Jahromi与中国工业和信息化部长苗圩于周五在北京举行的会晤中,双方讨论了如何促进信息技术领域的合作以及应对网络空间...
发布时间: 2019 - 07 - 08
1、新手机版勒索软件WannaLocker攻击巴西银行安全研究人员跟踪到结合了间谍软件、远程控制木马和银行木马功能的新版勒索软件WannaLocker。分析发现该新版勒索软件是利用银行木马收割手机短信、通话记录、电话号码及信用卡信息等敏感信息。相关链接:http://t.cn/Ai084Pvf 2、恶意软件加载器利用Heaven's Gate, 逃避杀软检测研究人员发现一种恶意软件加载程序能够注入到受害机器内存中以逃避杀毒软件检测。恶意加载器利用了Heaven's Gate技术,可以让32位恶意软件运行在64位系统中,借64位环境以隐藏API调用。Cisco Talos研究人员发现的这种加载器利用该技术将恶意载荷解包后注入到合法进程RegAsm.exe中,以完成隐藏。这种加载器是利用恶意邮件传播的,利用CVE-2017-11882,一种影响微软方程式编辑器的漏洞。相关链接:http://t.cn/Ai084btP3、网络钓鱼针对日本传播URSNIF木马,引用未记录的xlDate变量近日,Fortinet研究人员发现了针对日本的网络钓鱼活动,攻击者使用包含恶意宏的Excel附件下载恶意内容。附件文档包含虚假图片,单元格A1包含冗长的恶意字符串。恶意宏调用实际执行命令通过对Welcome()和WestAndS()函数的组合调用来定义。Welcome()函数使用Beta1密钥解密,通过Application.International属性和未记录的xlDate变量来确定,WestAndS()函数通过A1字符串混淆。PowerShell使用了五层各种混淆技术,通过命令连接位于俄罗斯的服务器,最终释放文件似乎为银行木马变种BEBLOH/URSNIF。相关链接:http://t.cn/Ai084aSk4、黑客篡改15.8万个WordPress网站标题,插入1800ForBai...
发布时间: 2019 - 07 - 03
1、 5G面临风险大考:我国一半以上工控系统带毒运行人工智能技术的加持,5G建设的全面铺开,加速了工业互联网的普及,与此同时,工业信息安全产业规模加速扩容。6月22日,“2019年中国工业信息安全大会”发布《中国工业信息安全产业发展白皮书(2018—2019年)》,其中数据显示,2018年我国工业信息安全产业规模市场增长率达33.55%。预计2019年市场增长率将达19.23%,市场整体规模增长至93.91亿元。相关链接:http://t.cn/AipXoaAy 2、伊朗:美国很努力地发动网络攻击 但是失败了特朗普叫停对伊空袭,但同意对伊朗进行网络攻击的消息传出后,伊朗政府24日正式对此做出回应,美国的这次行动没有得逞。据路透社24日报道,伊朗通信和信息技术部长穆罕默德·贾哈米(Mohammad Javad Azari-Jahromi)当天发推特称:“美国很努力地对伊朗发动网络攻击,但是失败了。”相关链接:http://t.cn/Aip0gQil3、勒索软件Ryuk新变种,内置IP地址和计算机名称的黑名单研究团队MalwareHunterTeam发现勒索软件Ryuk的一个新变种,该变种使用数字证书进行签名,并且添加了IP地址和计算机名称的黑名单,以确保匹配的计算机不会被加密。研究人员Vitali Kremez对该样本分析后发现,该样本将检查arp -a的输出,并与内置的IP地址字符串进行匹配;该样本还会检查计算机名称,Kremez认为这可能是为了避免加密俄罗斯的计算机。一旦完成加密,该样本将在加密的文件后添加.RYK扩展名。相关链接:http://t.cn/Aip0d5001、【高】CatfishCMS后台存在任意文件删除漏洞(CNVD-2019-16780)相关链接:http://t.cn/Aip0B7Be2、【高】Joomla-cms v3...
发布时间: 2019 - 06 - 25
1、 漏洞预警:Firefox CVE-2019-11707 远程代码执行漏洞的修补版本已发布Firefox官方发布安全更新,修复了一个存在于 Firefox 全平台所有版本中的远程代码执行漏洞,并称此漏洞已经被在野利用。此漏洞是存在于 Firefox JavaScript 引擎中的类型混淆漏洞,由 Google Project Zero 发现并上报。攻击者可误导目标用户访问恶意网站,并在该网站中植入漏洞攻击代码,最终获得在目标用户终端设备远程执行任意代码的权限,从而控制目标用户的终端设备。相关链接:http://t.cn/AiNdJUiu 2、模块化恶意软件Plurox曝光,插件功能丰富卡巴斯基安全研究人员今年二月捕获到一个有趣样本,经分析,其用C编码,Mingw GCC编译,功能丰富:利用WinAPI创建进程上传下载文件;更新自动化程序;上传下载插件,且能控制其运行;下发恶意挖矿程序;利用UPnP协议通讯且攻击局域网。相关链接:http://t.cn/AiNdJio83、黑客攻击活动Bouncing Golf,利用间谍软件感染数百部手机研究人员近日观察到针对中东国家的恶意攻击行为,这次活动的主要特征是利用了手机间谍软件GolfSpy,由此被命名为Bouncing Golf。这些间谍软件由恶意网站通过社交网络下发,并未经过官方或第三方应用市场传播,目前监控到有660台安卓设备被感染。这次攻击被认为与之前披露的移动端黑客攻击组织Domestic Kitten有相关联系:感染环节和目标信息较为相似,利用重新编译过,已被注入恶意程序的间谍应用,通过僵尸网络进行通讯。相关链接:http://t.cn/AiNdJWZU4、西甲官方应用因非法监听用户被罚 25 万欧元据外媒Techspot报道,Instagram上的网络钓鱼和帐户被盗已成为一个问题,当Instagram无法...
发布时间: 2019 - 06 - 20
1、 美军网络司令部已在俄罗斯电网植入恶意软件 必要时可使其瘫痪最新披露的报告显示,美军的网络司令部(Cyber Command)在过去一年中对俄罗斯的攻击规模要比以往任何时候都更加激进,并且在控制俄罗斯电网的多个系统中植入了“可以使其瘫痪的恶意软件”。相关链接:https://dwz.cn/ekPiAsjL 2、ACLU警告:美国近5000万台监控摄像头可能成为人工智能“保安”据外媒CNET报道,新技术在改善人们生活的同时也可能带来无法预料的陷阱。摄像头现在比以往任何时候都更小、更好,更智能,而美国公民自由联盟(ACLU)警告说,这可能是未来的一个问题。相关链接:https://dwz.cn/3o8EUbpU3、超范围收集个人信息等问题成为网民举报热点根据网民举报反映的问题,工作组对300余款App进行了评估,针对30款用户量大、问题严重的App,于4月上旬向其运营者发送了整改通知,要求认真整改、举一反三,于1个月内反馈整改情况。30款App运营者及时进行了反馈。经工作组认真核验,网易彩票、拼多多、翼支付等3款App未按期完成整改,相关部门对其进行了约谈并督促改进,目前已整改完毕。相关链接:https://dwz.cn/HOlrzR7E4、西甲官方应用因非法监听用户被罚 25 万欧元西班牙足球甲级联赛官方 Android 应用因非法监听用户被罚 25 万欧元。去年西甲承认它的 Android 应用访问手机的麦克风和 GPS,但它辩护称此举旨在通过匹配音频数据和手机位置,跟踪播放比赛的非法场所。西甲应用在 Google Play 官方市场下载量超过一千万次,西甲表示它希望 “保护俱乐部和球迷免受欺诈”。西甲称,每年联盟因为未获许可在公开场所播放比赛损失了 1.5 亿欧元。西甲称,在应用安装或更新时它询问了用户是否同意启用麦克风和 GPS 访问权限。应用会使用 GP...
发布时间: 2019 - 06 - 17
1、 FCC:自动语音电话每年至少使美国消费者损失30亿美元根据美国联邦通信委员会(Federal Communications Commission)的数据,自动语音电话(RoboCall)不仅令人烦恼,而且每年至少花费美国消费者30亿美元。相关链接:http://sina.lt/gcGr 2、公司信息遭泄露后 特斯拉禁止员工使用匿名聊天应用程序据外媒CNET报道,Blind已经确认,在公司消息遭泄露后,特斯拉已阻止员工使用这款匿名工作场所社交网络应用程序。Blind表示特斯拉正在阻止其员工接收验证电子邮件,因此员工将无法验证其帐户。相关链接:http://sina.lt/gcGu3、Google 解释周日宕机事故原因安全研究人员近期发现,ChaCha勒索病毒,也叫Maze勒索病毒,使用漏洞利用工具Fallout,通过钓鱼网站传播,会根据用户使用电脑的场景:家用、服务器或工作站确定勒索金额。相关链接:http://sina.lt/gcGv1、【高】哈尔滨巨耀网络科技有限公司建站系统存在SQL注入漏洞(CNVD-2019-14867)相关链接:http://sina.lt/gcFx2、【高】wecon LeviStudio存在dll劫持漏洞相关链接:http://sina.lt/gcF63、【中】显控Remote HMI存在dll劫持漏洞(CNVD-2019-14866)相关链接:http://sina.lt/gcFJ4、【中】世纪星mo***服务器在堆溢出漏洞(CNVD-2019-14859)相关链接:http://sina.lt/gcFn
发布时间: 2019 - 06 - 10
1、 Office 365出现网络钓鱼近日,一种新形式的钓鱼活动出现在网络中,攻击者会将钓鱼内容伪装成Office365点警告邮件,并告知用户他们的账户中出现异常数量的文件删除。钓鱼攻击以Office365警告内容的形式出现,声称用户已触发中级威胁警报,并告知用户在其账户中发生了大量文件删除行为,诱使用户点击警告框。如果用户点击警告框并,会进入伪造的登录页面,一旦输入账号密码,就会被钓鱼网站获取并保存。随后,登录页面会刷新并将用户重定向至正常登陆页面,以掩盖钓鱼行为。微软提醒用户,Microsoft账户和outlook账户的登录表单只会来自microsoft.com、live.com或outlook.com。如果发现有任何来自其他URL的Microsoft登录表单,请不要使用。相关链接:http://t.cn/Ai9KWpbh 2、未修复的漏洞将影响所有Docker版本所有版本的Docker目前都容易受到“竞态条件”的攻击,这种攻击手段可使攻击者对主机系统上的任何文件都具有读写访问权限,概念验证代码已经发布。该漏洞类似于CVE-2018-15664,它为黑客提供了一个窗口,可以指定的程序开始对资源进行操作之前修改资源路径,归属于时间检查(TOCTOU)类型的错误。相关链接:http://t.cn/Ai9KWgMH3、勒索软件ChaCha利用漏洞工具Fallout传播,根据使用场景勒索不同金额安全研究人员近期发现,ChaCha勒索病毒,也叫Maze勒索病毒,使用漏洞利用工具Fallout,通过钓鱼网站传播,会根据用户使用电脑的场景:家用、服务器或工作站确定勒索金额。相关链接:http://t.cn/Ai9Klupt4、Leicester足球俱乐部官网遭黑客入侵,客户支付信息泄露Leicester足球俱乐部表示其官网https://shop.lcfc.com/遭黑客入...
发布时间: 2019 - 06 - 04
1、 Winnti后门爆出Linux版本,与Winnti 2.0 Windows存在相似性Winnti恶意软件系列于2013年由卡巴斯基实验室首次报道。Chronicle研究人员确定了一小部分专为Linux系统设计的Winnti样本,Linux版本的Winnti由两个文件组成:一个主后门和一个用于隐藏其活动的库。与其他版本的Winnti一样,恶意软件的核心组件本身并不为运营商提供独特的功能,而是用于直接从命令和控制服务器处理通信和模块部署。Winnti恶意软件使用多种协议处理出站通信,包括:ICMP,HTTP以及自定义TCP和UDP协议。新版本Winnti(Linux和Windows)具有的功能允许操作员直接启动与受感染主机的连接,而无需需要连接到控制服务器。相关链接:http://t.cn/E9is8Jk 2、垃圾邮件内含重定向URL,传播Trickbot银行木马新变种研究人员通过垃圾邮件中的重定向URL发现了Trickbot银行木马新变种。垃圾邮件使用社交媒体图标,内容为准备好发货的已处理订单,电子邮件中的URL会将用户从Google重定向到Trickbot下载网站,下载包含Visual Basic脚本(VBS)的.zip文件,该脚本是Trickbot下载程序。由于其模块化结构,Trickbot可以根据其下载和安装的模块快速部署新功能。Trickbot使用的模块具有可以轻松交换的独特功能,从而实现定制攻击。相关链接:http://t.cn/E9isrFP3、大疆回应美国土安全部数据质疑,安全性经全球验证“华为事件”的热度丝毫未减,美国似乎又将矛头指向了新的目标——DJI大疆。根据CNN报道的内容,美国国土安全部警告称,中国制造的无人机可以向制造商传输飞行数据,从而可能被政府部门获取。尽管并未指明哪个品牌,但美国和加拿大投入使用的无人机80%来自大疆。甚至在近几...
发布时间: 2019 - 05 - 22
1、 网页被篡改跳至赌博平台 甘孜州一官方网站遭处罚2019年3月,南充市南部县公安局网安大队对冯某等人利用“博旅理财”项目进行网络传销启动“一案双查”工作,发现四川蓝海创想科技有限公司在明知“博旅理财”项目涉嫌从事网络传销情况下仍然为其提供技术支持。目前南充市南部县公安局网安大队以涉嫌帮助信息网络犯罪活动罪将蓝海创想科技有限公司负责人卢某、杨某刑事拘留。相关链接:http://t.cn/EKVs3Oi 2、德国网络安全局警告卡巴斯基杀毒软件存在安全缺陷德国网络安全机构BSI就卡巴斯基杀毒软件的安全漏洞发出警告,建议用户尽快安装最新补丁。虽然该建议不包括基于该缺陷可能网络攻击的任何详细信息,但BSI警告说,黑客只需向其目标发送包含特制文件的恶意电子邮件,在某些情况下,甚至不需要打开该文件。相关链接:http://t.cn/EKVmOJ4 3、部分服务器网络设备供应商将生产迁出中国因为美国将中国商品关税从 10% 上调到 25%,台湾的服务器、无线网络设备和主板制造商正加紧将生产从中国迁移到东南亚或本土。中国有着完整的产业链,而这条产业链上的许多公司不可能或无力搬到其它地方,因此将生产线迁移出中国意味着需要重新调整产业链,寻找新的配套公司。包括广达、英业达和纬创资通在内的台湾服务器制造商占到了全球服务器供应市场的九成以上。它们已经或正在逐步将生产线搬回台湾或搬到东南亚。相关链接:http://t.cn/EKf7Pyv4、网络挖矿组织Pacha Group与Rocke Group在基于云的加密货币挖矿上激烈竞争Pacha Group是一个网络挖矿组织,这个组织最早于2019年2月28日在Intezer的博客里做了介绍,针对这个组织发起的攻击可追溯到2018年9月的对Linux服务器的攻击,并利用了先进的规避和保持持久性的技术。近日Intezer最新的研究表明,Pach...
发布时间: 2019 - 05 - 14
1、APT组织海莲花(OceanLotus)针对中南半岛国家攻击活动的总结分析相关研究团队发布了针对近期发现的海莲花组织在中南半岛国家的最新攻击活动的报告。本报告中研究人员对海莲花组织针对越南国内以及越南周边国家最新的攻击利用技术、攻击载荷类型、及相关攻击事件进行了详细的分析和总结。海莲花除了会在Windows平台上进行攻击外,还会针对MacOS平台用户发起攻击,比如使用浏览器更新,Flash安装更新包,字体安装包,伪装成文档实际为安装程序的手段进行攻击。相关链接:http://t.cn/EouPWYU2、双尾蝎(APT-C-23)间谍组织利用新Android恶意软件,针对巴勒斯坦进行攻击双尾蝎(APT-C-23)组织的目标主要集中在中东地区,尤其活跃在巴勒斯坦的领土上。从2016年5月起至今,双尾蝎组织(APT-C-23)对巴勒斯坦教育机构、军事机构等重要领域展开了有组织、有计划、有针对性的长时间不间断攻击。攻击平台主要包括 Windows 与 Android。这次的最近攻击样本通过仿冒Acrobat更新,通过显示含有政治主题的诱饵PDF文件,诱骗用户安装使用;恶意软件主要目的为窃取用户手机信息,并对用户手机进行远程控制,新程序继承了APT-C-23下发控制指令的模式,实现了两种向应用推送消息的方式,FCM和SMS通信。程序运行以后会隐藏自身图标,从而保护自身不被卸载。 相关链接:http://t.cn/EouPgHI  3、间谍组织Turla使用新的后门工具LightNeuron,针对微软电子邮件服务器安全公司ESET本周二发布报告称,一个名为Turla APT网络间谍组织已经开发并在使用新的后门工具——LightNeuron,这是第一个针对Microsoft Exchange电子邮件服务器的后门。Turla,也被称为Snake、WhiteBear、...
发布时间: 2019 - 05 - 10
1、 GandCrab勒索软件最新活动,采取多种规避技术完善传递机制 近日发现一起针对一家日本跨国公司的GandCrab勒索软件活动。 GandCrab是当前威胁领域中最流行的勒索软件之一,主要原因是它遵循勒索软件即服务(RaaS)商业模式。这使得任何网络罪犯都能够通过易于操作的平台来使用GandCrab基础架构,并提供全天候在线支持服务。自2018年初出现以来,它一直在不断发展和完善其传递方法以逃避检测。这些技术包括:1.将网络钓鱼电子邮件和武器化的Office文档组合在一起,以便进入目标计算机。2.一个多阶段无文件感染链,使用VBA代码,WMI对象和JavaScript来删除勒索软件;3.利用二进制文件绕过Windows AppLocker并获取勒索软件有效负载;4.从合法的在线文本共享服务中获取恶意负载,如此次攻击中使用的pastebin.com。 相关链接:http://t.cn/EojFOCp 2、 Confluence漏洞CVE-2019-3396被广泛利用,传播挖矿软件KerberodsConfluence是一种广泛使用的协作和规划软件。4月份,观察到其漏洞CVE-2019-3396用来执行恶意攻击。安全提供商Alert Logic还发现了此漏洞被利用传播Gandcrab勒索软件。而研究人员最新发现此漏洞还被用于传播一个加密货币挖矿恶意软件,其中还包含一个旨在隐藏其活动的rootkit。此次攻击开始时发送一个远程命令下载shell脚本,然后下载挖矿软件Kerberods和khugepageds,而下载的rookit不仅用来隐藏挖矿过程,还可以隐藏某些文件和网络流量,而且它还具有提高机器CPU利用率的能力。相关链接:http://t.cn/EojF3JI 3、 币安称 4000 万美元比特币被盗比特币交易所币安发表声明,黑客在一次大规模攻击中...
发布时间: 2019 - 05 - 09
1、疑似APT-C-27组织利用WinRAR漏洞,对中东地区发起定向攻击2019年3月17日,360威胁情报中心截获了一例疑似“黄金鼠”APT组织(APT-C-27)利用WinRAR漏洞(CVE-2018-20250)针对中东地区的定向攻击样本。该恶意ACE压缩包内包含一个以恐怖袭击事件为诱饵的Office Word文档,诱使受害者解压文件,当受害者在本地计算机上通过WinRAR解压该文件后便会触发漏洞,漏洞利用成功后将内置的后门程序(Telegram Desktop.exe)释放到用户计算机启动项目录中,当用户重启或登录系统都会执行该远控木马,从而控制受害者计算机。并且从本次捕获到的相关木马样本(Windows和Android平台)的功能模块、代码逻辑、内置信息语言、目标人群、网络资产等信息都和早前曝光的APT-C-27使用的木马样本信息高度相似。相关链接:http://t.cn/ExTfW6k2、Buhtrap木马家族新攻击活动揭露,针对俄罗斯、白俄罗斯金融机构在2018年底至2019年初,Buhtrap木马家族被发现多次针对俄罗斯、白俄罗斯的攻击活动。该家族的木马主要针对俄罗斯、乌克兰等地的金融目标进行攻击活动,根据Group-IB和ESET的研究结果来看,该恶意文件至少从2014年就开始活跃。攻击使用鱼叉攻击方式,针对特定的目标发送钓鱼邮件,诱饵形式主要有三种,分别是doc文档、js脚本、可执行文件。后续有效荷载主要功能有键盘记录、信息收集、下载执行pe等。虽然我们发现的攻击细节跟之前曝光的Buhtrap恶意软件非常的相似,但是由于Buhtrap的源代码在2016年被泄露,因此暂时无更多的证据证明最近的几次攻击为之前的组织所为。相关链接:http://t.cn/ExTfnk33、Cardinal RAT恶意软件家族新版本被发现,持续攻击金融技术行业Cardinal ...
发布时间: 2019 - 03 - 22
1、刚说想吃“日料”马上首位推荐 外卖App在“偷听”你说话吗?“我的命,我自己操盘”,这是《窃听风云2》中的经典台词,但现实生活中,我们可能连自己手机的麦克风都操盘不了。你遇到过这样的情况吗?刚说了想吃什么,手机里就蹦出了它的推荐;刚说了要买什么,就出现了广告。饿了么、美团等外卖平台身陷“窃听”风波。相关链接:http://t.cn/ExcDvLv2、外媒:一家健康科技公司正在泄露大量医疗记录和处方一家健康科技公司在安全证书失效导致服务器没有密码后,每天泄漏数千张医生药方、医疗记录和处方。这家名不见经传的软件公司来自加利福尼亚州的Meditab,自称是医院、医生办公室和药房领先的电子医疗记录软件制造商之一。该公司为医疗保健提供商处理电子传真,仍然是将患者文件共享给其他提供商和药房的主要方法。相关链接:http://t.cn/Ex5xhJq3、以色列总理候选人遭伊朗网络间谍攻击,个人数据泄露据色列媒体报道,以色列辛贝特国家安全局(Shin Bet internalsecurity service)称,伊朗网络间谍侵入了总理候选人Benny Gantz的手机,暴露了他的个人数据。伊朗黑客干扰了以色列前军事部长Benny Gantz的竞选活动,Benny Gantz是以色列总理Netanyahu下届选举中的主要竞争者。相关链接:http://t.cn/ExxFuGs4、Play Store发现SimBad恶意软件,1.5亿Android用户成受害者3月17日消息,Check Point的IT安全研究人员发现了一个复杂的恶意软件攻击行动,该行动通过谷歌Play Store在全球范围内针对Android用户进行攻击。到目前为止,已有超过1.5亿用户成为该软件的受害者。相关链接:http://t.cn/ExL5vUN1、【高】Microsoft Edge Chakra脚本引擎内存损坏...
发布时间: 2019 - 03 - 19
1、GandCrab勒索软件冒充公安机关进行鱼叉邮件攻击不法分子正在使用GandCrab5.2勒索病毒对我国政府部分政府部门工作人员进行鱼叉邮件攻击。攻击邮件主题为“你必须在3月11日下午3点向警察局报到!”。GandCrab勒索病毒是国内目前最活跃的勒索病毒之一,在短时间内进行了多个版本的更新迭代。该病毒在国内擅长使用弱口令爆破,挂马,垃圾邮件传播,该病毒由于使用了RSA+Salsa20的加密方式。无法拿到病毒作者手中私钥常规情况下无法解密。在本次针对我国政府部门的攻击附件中直接包含了exe文件,通过包含空格的超长文件名进行伪装。因此用户对邮件附件应该仔细分辨。相关链接:http://t.cn/EMBmMpQ 2、新POS恶意软件GlitchPOS商业化运作,在犯罪论坛上公开销售Cisco Talos最近发现了一个新的POS恶意软件,攻击者在犯罪软件论坛上销售这些恶意软件。这种恶意软件被称为“GlitchPOS”,据分析该恶意软件的作者Edbitss还开发过DiamondFox L!NK僵尸网络。VisualBasic开发的打包程序可以保护这种恶意软件。从表面上看,它是一款虚假游戏。解码后,可以访问GlitchPOS,这是一个用VisualBasic开发的内存抓取器。恶意软件通过C2服务器接受任务,命令通过C2服务器直接发送的shellcode执行。窃取的数据通过与购买恶意软件用户的控制面板显示。相关链接:http://t.cn/EMBmCct 3、DMSniff恶意软件包含域生成算法,主要攻击中小餐饮娱乐企业最近,Flashpoint的研究人员发现攻击者利用DMSniff恶意软件攻击餐饮娱乐行业的中小型企业。DMSniff还使用域生成算法(DGA)来动态创建命令和控制域列表,这样即使域名被执法部门,技术公司或托管服务提供商删除,恶意软件仍然可以通信和接收命令或共享被盗数...
发布时间: 2019 - 03 - 15
1、VRVNAC桌面监控携带恶意程序,影响用户包括公安等单位近期,发现VRVNAC“桌面监控”软件携带恶意程序,这款被病毒污染的VRVNAC软件广泛应用于公安、气象等行业单位。经分析该恶意代码早在2015年就被该组件携带,至今仍未修正该问题。被感染的网页文件,执行条件比较苛刻(需要IE6浏览器内核渲染,并设置浏览器安全等级为低),所以在实际用户环境中不容易被激活。在构造了上述环境并通过IE浏览器加载该页面激活改病毒后,病毒代码会尝试释放并执行恶意代码,进而感染EXE、DLL、HTML、HTM文件,用于传播自身。相关链接:http://t.cn/EM8UIaR2、挖矿木马病毒PsMiner利用多个高危漏洞进行传播最近,360 Total Security团队截获了一个用Go编写的新蠕虫PsMiner,它使用CVE-2018-1273,CVE-2017-10271,CVE-2015-1427,CVE-2014-3120等高风险漏洞,还有系统弱密码传播,利用漏洞入侵设置ElasticSearch,Hadoop,Redis,Spring,Weblogic,ThinkPHP和SqlServer服务器机器,入侵后使用受害机器挖掘加密货币。在利用漏洞入侵用户设备后,会下载并执行后续病毒模块,并扩散PsMiner漏洞,使用开源挖掘工具Xmrig CPU Miner来挖掘Monroe币。相关链接:http://t.cn/EM8UN443、Ursnif木马新变种,使用新隐身机制并完善其他功能模块自2019年初以来,Cybereason的研究人员一直在观察一个针对日本用户的活动。与之前的活动一样,此次最新攻击始于电子邮件的武器化Office文档附件,恶意文档要求用户启用宏。在检测完目标环境后,会加载Bebloh有效负载,并从C2服务器下载Ursnif木马程序。此次的Ursnif木马新变种使用了新...
发布时间: 2019 - 03 - 14
1、“匿影”挖矿病毒挖取新兴货币,利用网盘作为C2服务器近期,有一个挖门罗币和BEAM币的“匿影”挖矿病毒,该病毒打包了方程式攻击工具包,在内网中利用永恒之蓝(Eternalblue)和双脉冲星(DoublePulsar)进行横向传播。不同于以往的僵尸网络,该病毒的C&C服务器,需要通过EmerDNS、Namecoin这类基于区块链的加密货币进行转换,进而得到真实的地址信息,由于这类区块链去中心化、匿名等特点,导致它们无法被某个机构统一关停,危害较大。该病毒关键部分的代码使用了Themida和VMP保护,提高了研究人员逆向分析的难度,所涉及到的域名和服务器均由第三方服务商提供。相关链接:http://t.cn/EMajJXF2、BuleHero病毒又现新变种,增加thinkphp5漏洞利用近期,BuleHero蠕虫病毒最新变种攻击被发现,该变种延续了以往版本的多个漏洞利用攻击方式,新增加了thinkphp5漏洞(CNVD-2018-24942)利用攻击,木马在攻陷的电脑植入挖矿木马挖矿门罗币,同时下载扫描攻击模块对针对局域网以及外网IP进行扩散攻击。同时该木马还利用了永恒之蓝漏洞(MS-17-010)、Apache Struts2远程代码执行漏洞(CVE-2017-5638)、WebLogic WLS组件远程代码执行漏洞(CVE-2017-10271)、Tomcat PUT方式任意文件上传漏洞(CVE-2017-12615)。在攻击过程中还使用了mimikatz搜集登录密码,并利用字典进行远程爆破。相关链接:http://t.cn/EMaYjeu3、委内瑞拉部长宣布该国大规模停电可能由美国网络攻击造成上周,委内瑞拉遭遇了一场灾难大停电,停电袭击了该国23个州中的22个州以及首都加拉加斯。星期六,委内瑞拉通信和信息部长豪尔赫罗德里格斯宣布停电的原因是古里水力发电厂遭受...
发布时间: 2019 - 03 - 12
1、APT组织TransparentTribe多次针对印度政府、军事机构开展鱼叉攻击2019年初,有安全公司检测到了多起针对印度政府部门、军事目标等的攻击活动,诱饵内容包括'印度空袭分裂主义组织'、'联合国军事观察员'等。经过分析关联确认,攻击组织为TransparentTribe APT组织。该组织的攻击采用鱼叉攻击的方式,诱饵主要有两种类型,xls和doc,诱饵内容跟印度相关,攻击基本都是利用office的宏命令来加载恶意程序。恶意软件启动后,会上传本地机器信息并修改注册表加入自启动。随后接受远程指令进行下一步操作,该rat支持超过20多个指令功能,包括截屏,键盘记录,木马跟新,上传文件等功能。doc文件的RAT最终被确认的RAT家族为CrimsonRAT,xls加载的为PeppyRAT。根据关联分析,该组织可能与Gorgon Group有关。相关链接:http://t.cn/EImG3V82、PINCHY SPIDER利用GandCrab勒索病毒瞄准大型企业近日,CrowdStrike 观察到SPIDER分支机构在企业环境中部署GandCrab勒索病毒,GandCrab是由PINCHY SPIDER所开发的勒索软件,他们通过合作计划将勒索软件卖给客户再与之分成。在2月份PINCHY SPIDER发布了GandCrab的5.2版本,它不受早期版本GandCrab开发的解密工具的影响。最近的攻击者通过最初感染主机的被盗凭证,在受害者网络中横向传播,并部署勒索软件。与其他勒索事件不同的是,PINCHY SPIDER通常要求企业单笔支付一定数额的赎金来解锁整个企业。因此可以分析他们通常是有目的性,针对性的选择攻击目标。相关链接:http://t.cn/EImGFFF3、IBM研究团队在多个访客管理系统中发现19个安全漏洞IBM X-Force研究团队在五个流行的访客管理系统中...
发布时间: 2018 - 12 - 24
友情连接:
免费服务热线 ree service hotline 400-613-1868 手机端
法律声明 Copyright  西安交大捷普网络科技有限公司  陕ICP备18022218号-1