安全研究 Safety research
1、  Rootkit(Scranos)使用有效签名,窃取用户登录凭Bitdefender最近发布研究报告称一个具有有效签名的rootkit(被称为Scranos)正在多个国家进行广泛传播,主要用于窃取用户的登录凭据、支付信息和浏览器历史记录,还可用于在社交网络上传播垃圾信息和广告。Scranos伪装成视频驱动程序,安装后,它可以下载攻击者选择的任何有效负载。具体行为如下:目标包括主流浏览器Chrome,Chromium,Firefox,Opera,Edge,Internet Explorer,百度和Yandex,以及来自Facebook,亚马逊,Airbnb,Steam和Youtube的服务。其使用的证书是DigiCert向上海一家健康管理咨询公司颁发的证书,目前证书仍然有效,攻击者可能是盗用了该证书。Bitdefender研究人员称Scranos Rootkit通过不断发展,已经感染了印度、罗马尼亚、巴西、法国、意大利和印尼等国家的用户。相关链接:http://t.cn/EXr0qUI 2、  勒索软件BitPaymer新变体利用PsExec进行传播研究人员发现美国一家制造公司遭到勒索软件BitPaymer新变体的攻击。该变体(Ransom.Win32.BITPAYMER.TGACAJ)利用PsExec进行分发,并在赎金票据和加密文件的扩展名中使用了受害公司的名称。由于攻击者至少需要一个具有管理员权限的帐户才能通过PsExec运行命令,这意味着在勒索软件安装之前攻击者已经通过某种手段获得了管理员权限。相关链接:http://t.cn/EXr0fkk3、  针对性邮件钓鱼攻击,利用AutoHotkey引擎执行恶意脚本近日,发现了一种潜在的针对性钓鱼攻击,它利用合法的脚本引擎AutoHotkey和恶意脚本文件。此次攻击采用电子邮件附件进行分发,...
发布时间: 2019 - 04 - 19
1、疑似APT-C-27组织利用WinRAR漏洞,对中东地区发起定向攻击2019年3月17日,360威胁情报中心截获了一例疑似“黄金鼠”APT组织(APT-C-27)利用WinRAR漏洞(CVE-2018-20250)针对中东地区的定向攻击样本。该恶意ACE压缩包内包含一个以恐怖袭击事件为诱饵的Office Word文档,诱使受害者解压文件,当受害者在本地计算机上通过WinRAR解压该文件后便会触发漏洞,漏洞利用成功后将内置的后门程序(Telegram Desktop.exe)释放到用户计算机启动项目录中,当用户重启或登录系统都会执行该远控木马,从而控制受害者计算机。并且从本次捕获到的相关木马样本(Windows和Android平台)的功能模块、代码逻辑、内置信息语言、目标人群、网络资产等信息都和早前曝光的APT-C-27使用的木马样本信息高度相似。相关链接:http://t.cn/ExTfW6k2、Buhtrap木马家族新攻击活动揭露,针对俄罗斯、白俄罗斯金融机构在2018年底至2019年初,Buhtrap木马家族被发现多次针对俄罗斯、白俄罗斯的攻击活动。该家族的木马主要针对俄罗斯、乌克兰等地的金融目标进行攻击活动,根据Group-IB和ESET的研究结果来看,该恶意文件至少从2014年就开始活跃。攻击使用鱼叉攻击方式,针对特定的目标发送钓鱼邮件,诱饵形式主要有三种,分别是doc文档、js脚本、可执行文件。后续有效荷载主要功能有键盘记录、信息收集、下载执行pe等。虽然我们发现的攻击细节跟之前曝光的Buhtrap恶意软件非常的相似,但是由于Buhtrap的源代码在2016年被泄露,因此暂时无更多的证据证明最近的几次攻击为之前的组织所为。相关链接:http://t.cn/ExTfnk33、Cardinal RAT恶意软件家族新版本被发现,持续攻击金融技术行业Cardinal ...
发布时间: 2019 - 03 - 22
1、刚说想吃“日料”马上首位推荐 外卖App在“偷听”你说话吗?“我的命,我自己操盘”,这是《窃听风云2》中的经典台词,但现实生活中,我们可能连自己手机的麦克风都操盘不了。你遇到过这样的情况吗?刚说了想吃什么,手机里就蹦出了它的推荐;刚说了要买什么,就出现了广告。饿了么、美团等外卖平台身陷“窃听”风波。相关链接:http://t.cn/ExcDvLv2、外媒:一家健康科技公司正在泄露大量医疗记录和处方一家健康科技公司在安全证书失效导致服务器没有密码后,每天泄漏数千张医生药方、医疗记录和处方。这家名不见经传的软件公司来自加利福尼亚州的Meditab,自称是医院、医生办公室和药房领先的电子医疗记录软件制造商之一。该公司为医疗保健提供商处理电子传真,仍然是将患者文件共享给其他提供商和药房的主要方法。相关链接:http://t.cn/Ex5xhJq3、以色列总理候选人遭伊朗网络间谍攻击,个人数据泄露据色列媒体报道,以色列辛贝特国家安全局(Shin Bet internalsecurity service)称,伊朗网络间谍侵入了总理候选人Benny Gantz的手机,暴露了他的个人数据。伊朗黑客干扰了以色列前军事部长Benny Gantz的竞选活动,Benny Gantz是以色列总理Netanyahu下届选举中的主要竞争者。相关链接:http://t.cn/ExxFuGs4、Play Store发现SimBad恶意软件,1.5亿Android用户成受害者3月17日消息,Check Point的IT安全研究人员发现了一个复杂的恶意软件攻击行动,该行动通过谷歌Play Store在全球范围内针对Android用户进行攻击。到目前为止,已有超过1.5亿用户成为该软件的受害者。相关链接:http://t.cn/ExL5vUN1、【高】Microsoft Edge Chakra脚本引擎内存损坏...
发布时间: 2019 - 03 - 19
1、GandCrab勒索软件冒充公安机关进行鱼叉邮件攻击不法分子正在使用GandCrab5.2勒索病毒对我国政府部分政府部门工作人员进行鱼叉邮件攻击。攻击邮件主题为“你必须在3月11日下午3点向警察局报到!”。GandCrab勒索病毒是国内目前活跃的勒索病毒之一,在短时间内进行了多个版本的更新迭代。该病毒在国内擅长使用弱口令爆破,挂马,垃圾邮件传播,该病毒由于使用了RSA+Salsa20的加密方式。无法拿到病毒作者手中私钥常规情况下无法解密。在本次针对我国政府部门的攻击附件中直接包含了exe文件,通过包含空格的超长文件名进行伪装。因此用户对邮件附件应该仔细分辨。相关链接:http://t.cn/EMBmMpQ 2、新POS恶意软件GlitchPOS商业化运作,在犯罪论坛上公开销售Cisco Talos最近发现了一个新的POS恶意软件,攻击者在犯罪软件论坛上销售这些恶意软件。这种恶意软件被称为“GlitchPOS”,据分析该恶意软件的作者Edbitss还开发过DiamondFox L!NK僵尸网络。VisualBasic开发的打包程序可以保护这种恶意软件。从表面上看,它是一款虚假游戏。解码后,可以访问GlitchPOS,这是一个用VisualBasic开发的内存抓取器。恶意软件通过C2服务器接受任务,命令通过C2服务器直接发送的shellcode执行。窃取的数据通过与购买恶意软件用户的控制面板显示。相关链接:http://t.cn/EMBmCct 3、DMSniff恶意软件包含域生成算法,主要攻击中小餐饮娱乐企业最近,Flashpoint的研究人员发现攻击者利用DMSniff恶意软件攻击餐饮娱乐行业的中小型企业。DMSniff还使用域生成算法(DGA)来动态创建命令和控制域列表,这样即使域名被执法部门,技术公司或托管服务提供商删除,恶意软件仍然可以通信和接收命令或共享被盗数据...
发布时间: 2019 - 03 - 15
1、VRVNAC桌面监控携带恶意程序,影响用户包括公安等单位近期,发现VRVNAC“桌面监控”软件携带恶意程序,这款被病毒污染的VRVNAC软件广泛应用于公安、气象等行业单位。经分析该恶意代码早在2015年就被该组件携带,至今仍未修正该问题。被感染的网页文件,执行条件比较苛刻(需要IE6浏览器内核渲染,并设置浏览器安全等级为低),所以在实际用户环境中不容易被激活。在构造了上述环境并通过IE浏览器加载该页面激活改病毒后,病毒代码会尝试释放并执行恶意代码,进而感染EXE、DLL、HTML、HTM文件,用于传播自身。相关链接:http://t.cn/EM8UIaR2、挖矿木马病毒PsMiner利用多个高危漏洞进行传播最近,360 Total Security团队截获了一个用Go编写的新蠕虫PsMiner,它使用CVE-2018-1273,CVE-2017-10271,CVE-2015-1427,CVE-2014-3120等高风险漏洞,还有系统弱密码传播,利用漏洞入侵设置ElasticSearch,Hadoop,Redis,Spring,Weblogic,ThinkPHP和SqlServer服务器机器,入侵后使用受害机器挖掘加密货币。在利用漏洞入侵用户设备后,会下载并执行后续病毒模块,并扩散PsMiner漏洞,使用开源挖掘工具Xmrig CPU Miner来挖掘Monroe币。相关链接:http://t.cn/EM8UN443、Ursnif木马新变种,使用新隐身机制并完善其他功能模块自2019年初以来,Cybereason的研究人员一直在观察一个针对日本用户的活动。与之前的活动一样,此次最新攻击始于电子邮件的武器化Office文档附件,恶意文档要求用户启用宏。在检测完目标环境后,会加载Bebloh有效负载,并从C2服务器下载Ursnif木马程序。此次的Ursnif木马新变种使用了新...
发布时间: 2019 - 03 - 14
1、“匿影”挖矿病毒挖取新兴货币,利用网盘作为C2服务器近期,有一个挖门罗币和BEAM币的“匿影”挖矿病毒,该病毒打包了方程式攻击工具包,在内网中利用永恒之蓝(Eternalblue)和双脉冲星(DoublePulsar)进行横向传播。不同于以往的僵尸网络,该病毒的C&C服务器,需要通过EmerDNS、Namecoin这类基于区块链的加密货币进行转换,进而得到真实的地址信息,由于这类区块链去中心化、匿名等特点,导致它们无法被某个机构统一关停,危害较大。该病毒关键部分的代码使用了Themida和VMP保护,提高了研究人员逆向分析的难度,所涉及到的域名和服务器均由第三方服务商提供。相关链接:http://t.cn/EMajJXF2、BuleHero病毒又现新变种,增加thinkphp5漏洞利用近期,BuleHero蠕虫病毒最新变种攻击被发现,该变种延续了以往版本的多个漏洞利用攻击方式,新增加了thinkphp5漏洞(CNVD-2018-24942)利用攻击,木马在攻陷的电脑植入挖矿木马挖矿门罗币,同时下载扫描攻击模块对针对局域网以及外网IP进行扩散攻击。同时该木马还利用了永恒之蓝漏洞(MS-17-010)、Apache Struts2远程代码执行漏洞(CVE-2017-5638)、WebLogic WLS组件远程代码执行漏洞(CVE-2017-10271)、Tomcat PUT方式任意文件上传漏洞(CVE-2017-12615)。在攻击过程中还使用了mimikatz搜集登录密码,并利用字典进行远程爆破。相关链接:http://t.cn/EMaYjeu3、委内瑞拉部长宣布该国大规模停电可能由美国网络攻击造成上周,委内瑞拉遭遇了一场灾难大停电,停电袭击了该国23个州中的22个州以及首都加拉加斯。星期六,委内瑞拉通信和信息部长豪尔赫罗德里格斯宣布停电的原因是古里水力发电厂遭受...
发布时间: 2019 - 03 - 12
1、APT组织TransparentTribe多次针对印度政府、军事机构开展鱼叉攻击2019年初,有安全公司检测到了多起针对印度政府部门、军事目标等的攻击活动,诱饵内容包括'印度空袭分裂主义组织'、'联合国军事观察员'等。经过分析关联确认,攻击组织为TransparentTribe APT组织。该组织的攻击采用鱼叉攻击的方式,诱饵主要有两种类型,xls和doc,诱饵内容跟印度相关,攻击基本都是利用office的宏命令来加载恶意程序。恶意软件启动后,会上传本地机器信息并修改注册表加入自启动。随后接受远程指令进行下一步操作,该rat支持超过20多个指令功能,包括截屏,键盘记录,木马跟新,上传文件等功能。doc文件的RAT最终被确认的RAT家族为CrimsonRAT,xls加载的为PeppyRAT。根据关联分析,该组织可能与Gorgon Group有关。相关链接:http://t.cn/EImG3V82、PINCHY SPIDER利用GandCrab勒索病毒瞄准大型企业近日,CrowdStrike 观察到SPIDER分支机构在企业环境中部署GandCrab勒索病毒,GandCrab是由PINCHY SPIDER所开发的勒索软件,他们通过合作计划将勒索软件卖给客户再与之分成。在2月份PINCHY SPIDER发布了GandCrab的5.2版本,它不受早期版本GandCrab开发的解密工具的影响。最近的攻击者通过最初感染主机的被盗凭证,在受害者网络中横向传播,并部署勒索软件。与其他勒索事件不同的是,PINCHY SPIDER通常要求企业单笔支付一定数额的赎金来解锁整个企业。因此可以分析他们通常是有目的性,针对性的选择攻击目标。相关链接:http://t.cn/EImGFFF3、IBM研究团队在多个访客管理系统中发现19个安全漏洞IBM X-Force研...
发布时间: 2018 - 12 - 24
友情连接:
免费服务热线 ree service hotline 400-613-1868 手机端
法律声明 Copyright  西安交大捷普网络科技有限公司  陕ICP备18022218号-1

陕公网安备 61019002000857号

犀牛云提供云计算服务