HackerNews

图片来源：therecord 互联网档案馆表示，黑客在窃取了其平台3100万用户的数据后，仍在继续攻击。 这家非营利性数字图书馆运营着存档网页的WayBack Machine，在分布式拒绝服务（DDoS）攻击后于周三脱机。 互联网档案馆的创始人Brewster Kahle表示，在抵御了DDoS攻击中所使用的垃圾网络流量后，网站本身遭到了破坏。黑客还窃取了所有注册用户的用户名、电子邮件和加密密码。 Kahle表示，虽然互联网档案馆禁用了漏洞来源，清理了系统并升级了安全性。但当DDoS攻击于周四卷土重来，使得Internet Archive网站和OpenLibrary平台再次下线。 Kahle说：“互联网档案馆正在谨慎行事，优先考虑以牺牲服务可用性为代价来保护数据安全。我们将分享更多我们所知道的信息。” 后来，一群名为SN_BLACKMETA的黑客表示是其发动了攻击。研究人员指出，虽然该组织的大部分帖子都是用俄语写的，工作时间与莫斯科时间一致，但该组织的确针对中东各地的机构进行了强大的DDoS攻击。 该组织的X和Telegram帖子表明他们位于俄罗斯的斯塔拉亚，一再宣称他们正在对巴勒斯坦的反对者发动袭击。 美国东部时间周四下午早些时候，互联网档案馆离线消息的屏幕截图 黑客声称他们针对互联网档案馆，“因为档案馆属于美国，众所周知，这个可怕而虚伪的政府支持恐怖主义国家‘以色列’正在进行的种族灭绝。” 事件发生在周三晚上，隐私专家Troy Hunt表示，黑客联系了他，他们声称从互联网档案馆窃取了用户信息。 HaveIBeenPwnd服务的运营者Hunt，提供了有关被盗信息可能来自何处的更多细节，并表示黑客于9月30日联系了他，但他只能在10月5日查看文件。第二天，他联系了互联网档案馆，告诉他们，他计划在72小时内将被盗信息添加到自己的平台上。 HaveIBeenPowned（HIBP）得让用户知道他们的服务或网站登录信息是否被泄露。Hunt说，他在10月8日再次联系了互联网档案馆，让他们知道他计划在10月9日将信息放入他的平台。 Hunt说：“就在数据加载到HIBP时，它们会被污损和DDoS攻击。最后一点的时机似乎完全是巧合。它也可能涉及多方，当我们谈论违规+污损+DDoS时，这显然不仅仅是一次攻击。” Hunt又补充道，一旦互联网档案馆恢复运行，每个人都应该在网站上更改密码。 他说：“很显然，档案馆是一个非营利组织，做着出色的工作，提供了许多我们所依赖的服务。我希望能尽早看到这一事件被披露，了解他们受到攻击的始末。我认为每个人都应该放松一下。” BleepingComputer证实，泄露数据中的一些电子邮件是合法的。 SN_BLACKMETA今年对中东的一家金融机构发起了强大的DDoS攻击，其Telegram订阅源中充满了，批评阿拉伯联合酋长国政府支持以色列和涉嫌参与当前苏丹内战的信息。 除了阿联酋，该组织还袭击了阿兹雷尔国际机场和沙特国防部。 因为该组织在3月份继续开展活动，加拿大和法国的基础设施组织，以及以色列和特拉维夫证券交易所的电信公司也受到了攻击。2024年5月和6月，他们将目标扩大到微软、雅虎和Orange等科技巨头。     消息来源：therecord，译者：XX；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

本周三，OpenAI方表示，自今年年初以来，它已经成功干扰了全球20多个，试图将其平台用于恶意运营和欺诈的网络活动。 它们主要采取了：调试恶意软件，为网站撰写文章，为社交媒体帐户生成传记，以及为X上的假帐户创建人工智能生成的个人资料图片的举措。 这家人工智能（AI）公司表示：“威胁者不断进化并持续使用我们的模型，但我们并未发觉其创建实质性新恶意软件或建立病毒受众的能力有真正意义上的突破。” 除此之外，OpenAI方还表示，它扰乱了在美国、卢旺达的选举以及较小程度上与印度和欧盟相关的社媒活动。这些网络都没有吸引到病毒式的参与或持续的受众。 这包括一家名为STOIC（也称为Zero Zeno）的以色列商业公司所做的努力，正如Meta和OpenAI今年5月初披露的那样，该公司在社交媒体上发表了关于印度选举的评论。 OpenAI强调的一些网络操作如下： SweetSpecter，疑似是以中国为基地的对手，利用OpenAI的服务进行LLM知情的侦察、漏洞研究、脚本支持、异常检测规避和开发。还观察到，它对OpenAI员工进行了失败的鱼叉式网络钓鱼的企图，以提供SugarGh0st RAT。 Cyber Av3ngers是隶属于伊朗伊斯兰革命卫队（IRGC）的团体，使用其模型对可编程逻辑控制器进行研究。 Storm-0817，来自伊朗的威胁者，使用其模型进行调试，能够收集包含敏感信息的Android恶意软件，通过Selenium抓取Instagram个人资料，并将LinkedIn个人资料翻译成波斯语。 该公司表示，在其他领域，它也采取了各种措施来阻止多个集群，包括代号为A2Z和Stop News的操作。这些帐户生成了英语和法语内容，以便日后在各类网站和社交媒体帐户上发布。 研究人员Ben Nimmo和Michael Flossman说：“[Stop News]在图像使用方面异常丰富。其许多网络文章和推文都附有DALL·E生成的图像。这些图像通常是卡通风格，以明亮的调色板或戏剧性的色调来吸引注意力。” 经OpenAI Bet Bot和Corrupt Comment识别发现，其网络使用API在X上与用户生成对话，并向他们发送赌博网站的链接，以及在X上制造评论。 近两个月前，OpenAI禁止了一组与伊朗Storm-2035秘密行动有关的账户，该行动利用ChatGPT生成内容，这些内容主要关注即将到来的美国总统大选。 Nimmo和Flossman写道：“威胁者对我们模型的使用主要在活动中期——即在他们获得了互联网接入、电子邮件地址和社交媒体帐户等基本工具之后，以及在他们通过一系列分销渠道在互联网上部署社交媒体帖子或恶意软件等‘成品’之前。” 在网络安全公司Sophos上周发布的一份报告中显示： 生成性人工智能可能会被滥用，通过微目标电子邮件传播量身定制的错误信息。 这意味着滥用人工智能模型来编造政治竞选网站、生成政治人物角色，以及根据竞选要点针对性发布电子邮件，从而实现了新的自动化水平，使大规模传播错误信息成为可能。 研究人员Ben Gelman和Adarsh Kyadige表示：“这意味着用户可以通过简易的配置生成任何内容，从良性的竞选材料到错误信息和恶意威胁不等。” 错误信息的影响会使受众与本不支持的候选人结盟，或与他们自认喜欢的候选人意见相左。     消息来源：The Hacker News，译者：XX；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

能源行业是国家经济发展的命脉和基础设施的重要组成部分。在实网攻防演习中，能源行业因其关键性和广泛影响力，成为安全防御的重要考验对象。2024攻防演练期间，某头部能源企业选择携手360数字安全集团，构建网络安全防御体系，保障演练期间业务系统持续稳定运行，为能源安全发展提供有力支撑。 360数字安全集团深入调研了该企业业务情况、梳理信息资产、评估安全风险、制定防护策略，成立演习指挥部，设置多个作战单元和服务小组，基于360本地安全大脑平台为该企业构建安全运营服务体系。在360本地安全大脑与安全大模型强强联合下，数字员工与防守队员相配合，实现日均处理日志50亿条，自动封禁6.56万个恶意IP，监测到近100封恶意邮件，日均节省23.17人天运营成本，防御体系防护率达100%，实现攻防演练全流程覆盖。 安全大模型攻防实战AI军团交上满分答卷 360 AI军团由360安全大模型加持，以7*24小时在岗的工作效率和能力，助力广大政企单位省时省力、高质高效地实现常态化安全运营。针对该能源企业大体量、多分支等特点，防守队在暴露面梳理、邮件检测、分析研判、威胁溯源等场景应用使用数字员工，打响智能化攻防演练第一枪。 演练前 在安全大模型加持下，360攻防演练数字员工从域名、IP、网站、端口、服务、组件、公众号等维度对该企业暴露在互联网上的资产进行梳理和漏洞扫描，发现该企业资产2000余个，处理分支机构影子资产，发现并修复潜在安全风险和漏洞。 演练期间 360告警研判数字员工基于监测流量、终端、邮件、服务器等告警信息，根据攻击载荷、威胁情报，进行告警自动关联分析研判，累计为该企业研判近20000条复杂场景威胁告警，研判准确率达70%，日均节省23.17人天运营成本。360攻击溯源数字员工则针对攻击者信息、威胁情报进行智能溯源，输出完整的攻击链路图，直观呈现攻击全过程，简化了以往需经验丰富的安全运营人员在多个平台间进行数据提取的操作，进而提速威胁研判和处置。 值得一提的是，360邮件溯源数字员工基于智能语义、威胁特征等维度不断提升检测能力。利用邮件网关拦截过滤后的原始邮件分析并检测出近100封恶意邮件，包含黑灰产、营销推广、窃取数据等类型，其中发现15封钓鱼邮件，有效补充邮件网关的防护能力。 演练后 360攻击溯源数字员工全面总结威胁情报工作成果，输出《专项威胁情报总结报告》，为该能源企业出具了总结报告和整改建议，根据报告，该能源企业制定并实施了一系列安全加固措施，优化安全策略和响应预案，加强了对关键业务系统的监控和防护，确保在遭受攻击时能够迅速响应和恢复。 本脑+大模型强强联合 助力安全运营“自动驾驶” 通过持续的规则优化和告警降噪，将降噪率提高至83.24%，其中，严重、紧急级别的告警降噪率为98.74%，极大的提升了防守队安全运营效率。同时，基于流量数据利用威胁情报，增强了网络安全综合监测能力。通过引入自动化响应处置能力，实现“一点监测，全局阻断”，攻防演练期间自动封禁6.56万个恶意IP，自动化封禁率达96%。通过多租户和多用户模式构建集团总部与二级企业联防联控，构建了一体化安全运营平台，在演练期间平台运行稳定，为演练工作提供了重要技术支撑。 360 BAS（360抗攻击能力评估系统）基于本脑平台，以攻击者视角对防御效果进行量化评估，及时向防守队反馈当前防御体系有效性指标数据，推动防御体系安全加固。在现有防御体系无法及时做出应对措施时，防守队可通过本脑平台快速“补位”，构建威胁监测分析规则，及时补全防御体系的“临时短板”。同时，360 BAS可针对重点安全事件进行复盘分析，基于本脑平台灵活配置对应的威胁场景验证方案，并结合安全事件制定近500个专项场景用例周期性持续进行验证，辅助防守队及时掌握防御体系防护有效性。攻防演练期间，基于BAS评估结果，共新增258条威胁监测分析规则，持续利用本脑平台“查漏补缺”，提升整体防护效果。 此外，为了给安全团队提供独立安全工作入口，以便其聚焦精力，快速投入到部署、备战、迎战、实战、总结等阶段相关工作，360为该能源企业建立了专项作战室，360 AI军团在作战室以SaaS形态为防守各方角色提供服务，与防守队员协同作战。作战室以演练大屏展现宏观态势，实时监测攻击手法、攻击来源、攻击趋势，及时查看AI军团和运营团队的人员安全及工作成果，并监测演练多阶段的任务状态及演练态势。 “攻防演练不仅是对企业网络安全防护能力的全面检验，更是对团队协作和响应处置能力的实战演练。通过这次演练，我们发现了许多潜在安全隐患，并及时进行了修复和优化，避免造成更大的损失。未来，我们将继续和360数字安全集团共同推进安全体系建设，不断提升自身安全防护能力，为数字中国建设和新质生产力发展保驾护航。”该能源企业负责人表示。     转自安全客，原文链接：https://www.anquanke.com/post/id/300726 封面来源于网络，如有侵权请联系删除

Mozilla 透露，一个影响 Firefox 和 Firefox Extended Support Release (ESR) 的关键安全漏洞已被恶意利用。 该漏洞被追踪为 CVE-2024-9680，被描述为动画时间轴组件中的 “use-after-free ”漏洞。 Mozilla 在周三的一份公告中说：“攻击者利用了动画时间轴中的use-after-free，在内容进程中执行了代码。我们收到了关于该漏洞在野外被利用的报告。” 斯洛伐克 ESET 公司的安全研究员 Damien Schaeffer 发现并报告了这一漏洞。 该问题已在以下版本的网络浏览器中得到解决： 火狐 131.0.2 火狐浏览器 ESR 128.3.1 火狐浏览器 ESR 115.16.1 目前还没有关于该漏洞在实际攻击中如何被利用以及幕后威胁者身份的详细信息。 尽管如此，此类远程代码执行漏洞可以通过多种方式加以利用，既可以作为针对特定网站的灌水漏洞攻击的一部分，也可以通过欺骗用户访问虚假网站的 “偷渡式下载 ”活动加以利用。 建议用户更新到最新版本，以抵御主动威胁。     转自安全客，原文链接：https://www.anquanke.com/post/id/300716 封面来源于网络，如有侵权请联系删除

9 月，美国州际和国际点对点支付与汇款公司速汇金证实，由于受到网络攻击，其服务目前无法使用。 9 月 22 日，该公司通知其客户，它正在经历一次网络中断，影响到其几个系统的连接。 该公司关闭了部分系统以控制攻击，这表明它是勒索软件攻击的受害者。 这次攻击影响了个人和在线汇款服务。该公司对安全漏洞展开了调查，并通知了执法部门。 速汇金现在证实，网络攻击暴露了客户数据，包括联系信息（如电话号码、电子邮件和邮政地址）、政府 ID、社会安全号和交易详情。 速汇金公布的数据泄露通知中写道：“受影响的信息包括某些受影响的消费者姓名、联系方式（如电话号码、电子邮件和邮寄地址）、出生日期、数量有限的社会安全号、政府颁发的身份证明文件副本（如驾照）、其他身份证明文件（如水电费账单）、银行账号、速汇金加值奖励号码、交易信息（如交易日期和金额），以及数量有限的消费者的刑事调查信息（如欺诈）。受影响信息的类型因受影响的个人而异。” 在外部网络安全专家的帮助下，该公司正在努力控制和修复此次攻击。该公司已经向执法部门通报了此次安全漏洞事件。 TechCrunch 报道称，速汇金表示其调查还处于 “早期阶段”，正在努力确定安全漏洞的程度。目前还不清楚有多少消费者受到了此次事件的影响。 目前，系统已经重新上线，公司也已恢复正常业务运营。 速汇金国际于 2023 年 6 月 1 日被私募股权公司 Madison Dearborn Partners 以每股 11.00 美元的价格收购，成为一家私有公司。到 2023 年初，该公司 50%的交易已实现数字化。该公司在 200 多个国家开展业务，为全球 1.5 亿客户提供服务，是汇款行业的重要参与者。 速汇金拥有大量敏感的客户数据，因此是网络犯罪分子的首要目标。     转自安全客，原文链接：https://www.anquanke.com/post/id/300713 封面来源于网络，如有侵权请联系删除

在 SEC Consult 漏洞实验室的 Michael Baer 最近进行的漏洞分析中，发现 Palo Alto Networks 的 GlobalProtect MSI 安装程序存在一个严重的本地权限升级漏洞 (CVE-2024-9473)。该漏洞一旦被利用，本地低权限攻击者就能获得受影响计算机的 SYSTEM 级访问权限，给软件用户带来严重的安全风险。 CVE-2024-9473 漏洞存在于 GlobalProtect 的 MSI 安装程序中。根据 Baer 的研究结果，问题出现在使用 MSI 文件安装 GlobalProtect 时。低权限用户可以在不需要用户账户控制（UAC）提示的情况下启动安装程序，从而触发安装修复。在修复过程中，一个名为 PanVCrediChecker.exe 的子进程会以 SYSTEM 权限执行，并与程序文件目录下的 libeay32.dll 文件交互。 Baer 解释说，这个过程打开了一个重大漏洞： “在使用 msiexec.exe 的修复功能时，发现 GlobalProtect MSI 安装程序文件的配置会产生一个以 SYSTEM 用户身份运行的可见 conhost.exe 窗口。这样，攻击者就可以通过打开 SYSTEM 级命令提示符来操纵系统，从而完全控制机器。” 开发过程出人意料地简单明了。攻击者可以在机器上找到 MSI 安装程序文件（即使该文件已从其原始位置删除）并触发修复过程。利用谷歌零项目中的工具 SetOpLock.exe，攻击者可以锁定 libeay32.dll，修复过程中会多次访问 libeay32.dll。 通过在特定时间点小心地释放和保持锁，攻击者可以确保 conhost.exe 窗口保持打开，从而提升权限。“PanVCrediChecker.exe执行时打开的conhost窗口不会关闭，因此可以与之交互，”Baer解释说。最后一步是通过浏览器打开 SYSTEM 级命令提示符并执行 cmd.exe。 分析显示，GlobalProtect 的多个版本都存在漏洞。测试的版本包括 5.1.5 和 5.2.10 以及 6.1.2，但 Palo Alto Networks 已确认 6.2.5 之前的所有版本都受到了影响。不过，5.2.x 版本已达到使用寿命，将不会收到补丁。强烈建议运行任何受影响版本的用户立即升级到已打补丁的 6.2.5 版本，以降低风险。     转自安全客，原文链接：https://www.anquanke.com/post/id/300697 封面来源于网络，如有侵权请联系删除

电信巨头康卡斯特（Comcast）正在通知受金融商业和消费者解决方案公司（FBCS）数据泄露事件影响的约 23.8万名客户。 FBCS 是一家第三方债务催收机构，它收集客户的个人信息，以便代表这些客户开展债务催收活动。 今年 4 月，Financial Business and Consumer Solutions (FBCS) 披露了一起数据泄露事件，1,955,385 人可能受到影响。后来，该公司确定受该事件影响的人数超过 425 万。 该机构于 2024 年 2 月 26 日发现未经授权的访问，并立即采取措施保护受影响的基础设施，同时在第三方取证专家的帮助下展开调查。 据该机构称，被泄露的信息可能包括姓名、出生日期、社会安全号和账户信息。 该机构发现，未经授权的访问发生在 2024 年 2 月 14 日至 2 月 26 日之间。 “2024 年 2 月 26 日，FBCS 发现其网络中的某些系统遭到未经授权的访问。这次事件没有影响到 FBCS 网络以外的计算机系统，包括其客户的计算机系统。”数据泄露通知中写道。“调查确定，在 2024 年 2 月 14 日至 2 月 26 日期间，该环境受到了未经授权的访问，未经授权的行为者有能力在访问期间查看或获取 FBCS 网络上的某些信息。” 据 FBCS 所知，在此次事件之后，没有任何暴露的信息被滥用。自 2024 年 4 月 4 日起，该机构开始通知受影响的客户。 该公司为可能受到影响的个人提供 12 个月的免费信用监控服务。 电信供应商 Comcast 是受此次事件影响的 FBCS 客户之一。 康卡斯特正在通知近 23.8 万人，他们的个人信息在 FBCS 的安全漏洞事件中遭到泄露。 根据康卡斯特公司与缅因州总检察长办公室共享的数据泄露通知函，此次数据泄露事件影响到 237703 名现有客户和前客户。 2024年3月13日，FBCS通知Comcast，它经历了一次数据泄露事件，但Comcast的消费者数据并未受到影响。然而，2024 年 7 月 17 日，FBCS 通知 Comcast 其新的调查结果，即 Comcast 的数据受到了影响。 FBCS 提供了以下信息： 2024 年 2 月 14 日至 2 月 26 日期间，一名未经授权的人员进入了 FBCS 的计算机网络和部分计算机。在此期间，该未经授权方下载了 FBCS 系统中的数据，并作为勒索软件攻击的一部分对一些系统进行了加密。 2024 年 2 月 26 日发现攻击后，FBCS 在第三方网络安全专家的协助下展开了调查。在调查过程中，FBCS 发现未经授权方下载的文件包含个人信息，其中包括您的个人信息。FBCS 还向联邦调查局（FBI）通报了这一攻击事件 这起安全事件完全发生在 FBCS，而不是 Xfinity 或 Comcast 系统。 FBCS 通知 Comcast：“由于其目前的财务状况，无法再向受此次事件影响的个人提供通知或信用监控保护。因此，我们将直接与您联系并提供支持服务。FBCS 收到您的信息是因为他们之前曾为 Comcast 提供拖欠付款的相关催收服务，直到 2020 年 Comcast 停止与 FBCS 合作。由于 FBCS 受康卡斯特与 FBCS 工作关系之外的数据保留要求的限制，因此有关您的被泄露信息的时间约为 2021 年。” 被泄露的数据包括： 姓名、地址、社会保险号、出生日期以及客户的 Comcast 账号和 FBCS 内部使用的 ID 号。 FBCS 指出，没有迹象表明在此次事件中泄露的任何个人信息被进一步滥用。 Comcast 向受影响的客户提供为期一年的信用监控和身份保护服务。     转自安全客，原文链接：https://www.anquanke.com/post/id/300706 封面来源于网络，如有侵权请联系删除

在 Livewire 中发现了一个新发现的漏洞 CVE-2024-47823，Livewire 是 Laravel 的一个流行全栈框架，用于在不离开 PHP 的情况下构建动态 UI 组件。该安全漏洞的 CVSS 得分为 7.7，允许攻击者利用文件上传，在受影响的系统上实现远程代码执行 (RCE)。 Livewire 与 Laravel 无缝集成，简化了动态用户界面的开发。然而，在 v3.5.2 之前的版本中，Livewire 处理文件上传的方式存在重大缺陷。 在这些存在漏洞的版本中，上传文件的文件扩展名是根据其 MIME 类型猜测的，而不是根据其实际文件扩展名进行验证。这意味着攻击者可以上传具有有效 MIME 类型（如 image/png）的文件，但使用 .php 等危险的文件扩展名。如果系统的网络服务器被配置为执行 PHP 文件，这个漏洞就为远程代码执行打开了大门。 报告该漏洞的安全研究员杰里米-安热尔（Jeremy Angele）描述了攻击者如何在特定条件下利用 Livewire 漏洞： 在概念验证（PoC）场景中，Angele演示了攻击者如何上传名为shell.php、MIME类型为image/png的文件。上传文件后，攻击者可以通过浏览器访问该文件来触发文件的执行，从而获得对服务器的远程访问权限。 Livewire 3.5.2 版修补了 CVE-2024-47823 漏洞。该补丁包括在上传过程中对文件扩展名进行更严格的验证，确保阻止 MIME 类型和扩展名不匹配的文件。 为保护您的系统，立即更新到最新版本的 Livewire 至关重要。此外，还建议开发人员配置网络服务器，防止在公共目录中执行 PHP，并在上传文件时彻底验证 MIME 类型和文件扩展名。     转自安全客，原文链接：https://www.anquanke.com/post/id/300711 封面来源于网络，如有侵权请联系删除

图片来源：FreeBuf 近日， 有黑客入侵了Internet Archive 网站并窃取了一个包含3100万条记录的用户认证数据库。 昨天（10月9日）下午 ，在 archive.org 的访问者开始看到黑客创建的 JavaScript 警报后，有关泄露的消息开始流传，称 Internet Archive 已被入侵。 archive.org 网站上显示的 JavaScript 警报中写道：“你有没有觉得互联网档案馆就像是在用棍子运行，随时可能遭受灾难性的安全漏洞？现在已经发生了。看到HIBP上的3100万用户了吗！”这里的“HIBP”指的是由Troy Hunt创建的Have I Been Pwned数据泄露通知服务，威胁分子通常会与之分享窃取的数据以添加到该服务中。 Archive.org上显示的 JavaScript， 警报来源：BleepingComputer Hunt告诉BleepingComputer，威胁分子在九天前分享了 Internet Archive 的认证数据库，这是一个名为“ia_users.sql”的6.4GB SQL文件。该数据库包含注册会员的认证信息，包括他们的电子邮件地址、屏幕名称、密码更改时间戳、Bcrypt散列密码以及其他内部数据。被盗记录的最新时间戳是2024年9月28日，这可能是数据库被盗的时间。 Hunt表示，数据库中有3100万唯一的电子邮件地址，其中许多订阅了HIBP数据泄露通知服务。这些数据将很快被添加到HIBP中，允许用户输入他们的电子邮件并确认他们的数据是否在此次泄露中被暴露。 在Hunt联系了数据库中列出的用户（包括网络安全研究员Scott Helme）后，确认了数据的真实性。 Helme允许BleepingComputer分享他的暴露记录。Helme确认，数据记录中的bcrypt散列密码与他密码管理器中存储的bcrypt散列密码相匹配。他还确认，数据库记录中的时间戳与他最后一次在密码管理器中更改密码的日期相匹配。 archive.org的密码管理器条目，参考来源：Scott Helme Hunt表示，他在三天前联系了 Internet Archive  并开始了披露过程，称数据将在72小时内加载到服务中，但此后他再也没有收到回复。 目前尚不清楚威胁分子是如何侵入 Internet Archive  的，以及是否有其他数据被盗。 昨天早些时候， Internet Archive  遭受了一次DDoS攻击，BlackMeta黑客组织声称将对此次攻击负责，他们表示还将进行的其他持续攻击。BleepingComputer就此次攻击联系了 Internet Archive ，但暂时没有得到回应。 参考来源：https://www.bleepingcomputer.com/news/security/internet-archive-hacked-data-breach-impacts-31-million-users/     转自Freebuf，原文链接：https://www.freebuf.com/news/412412.html 封面来源于网络，如有侵权请联系删除

图片来源：Cybernews 据悉，尼日利亚的金融科技公司BestFin Nigeria泄露了近846000名客户及其紧急联系人的信息数据，甚至包括私人通信。 在一些国家，贷款应用程序几乎能够收集到客户的各种信息。2024年7月2日，Cybernews调研团队发现了一个隶属于BestFin Nigeria Limited的开放数据库，该数据库正是背靠iCredit应用程序获取信息。调研人员对其数据收集程度感到惊讶，因为这个数据箱容量超过300GB，包含846,000名客户的敏感个人数据，且开放共享。 该服务收集了以下数据： 个人数据，包括姓名、性别、电话号码、电子邮件地址、家庭住址、出生日期、工资范围和婚姻状况 紧急联系人 用户设备上安装的应用程序列表 保存在他们手机上的联系人列表 设备标识符，如IMEI、模型和IP地址 用户发送和接收的任何短信，包括与付款无关的个人消息、一次性密码以及金融和非金融账户的临时密码 银行验证号码（BVN）验证日志 Cybernews调研团队表示：“虽然BestFin是尼日利亚经批准的贷款人，但其贷款回收和筛选做法明确违反了尼日利亚的数据隐私条例。该条例禁止程序访问用户联系人列表和私人消息历史。因为如果掌握了这些信息，攻击者就可以访问在线帐户或窃取受害者的身份和资金。” 而这却是尼日利亚国内的常见做法。尼日利亚政府意识到了这个问题，并承诺在2024年通过新的立法进一步解决此情况。 图片来源：Cybernews 在此虽只解读了这一起案例，但数字贷款应用程序所带来的客户信息泄漏却是毋庸置疑的。 研究人员表示：“公司声称他们收集敏感的用户数据，是为了评估贷款资格并遏制欺诈行为。而现实却是，公司的做法恰好为网络犯罪分子打开了非法滥用和金融剥削的大门。” 图片来源：Cybernews iCredit应用程序的用户逐渐意识到了他们的数据发生了泄露，作为预防，需要警惕网络钓鱼诈骗、可疑消息、电话和试图访问其帐户的一切行为。 7月4日，Cybernews调研团队披露了MongoDB数据库暴露的问题。经过多次后续尝试，该数据库最终得到保护，从8月26日起不能再被公开访问。 Cybernews调研团队已联系BestFin Nigeria征求意见，但尚未收到回复。     消息来源：Cybernews，译者：XX；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

本周三，谷歌宣布与全球反诈骗联盟（GASA）和DNS研究联合会（DNS RF）建立全新伙伴关系，目的在于打击网络诈骗。 该合作平台被命名为全球信号交换系统（GSE），旨在实时洞察以欺诈为内核的各种形式的网络犯罪。其背后逻辑在于通过汇集不同数据源的威胁信号，增强对网络犯罪实施者的可见性。 谷歌在《黑客新闻》上发布博客文章，表示：“GSE集中式平台的建立，旨在改善滥用信号的交换，从而更快地识别并阻断各部门、平台和服务中的欺诈活动。”。 GSE的目标是，创建一个由GASA和DNS RF共同管理，对用户友好且解决问题高效的方案，并且该方案可在线上运行，提供符合条件的组织访问。 谷歌表示，它已经共享超过10万个不良商家的URL和超过100万个诈骗信号，并将其输入到数据平台，以期同步提供来自其他产品的数据。 它补充道：“从既有经验中可知，如果想要更全方位地保护用户，更有力地打击打击网络诈骗行为及其背后的犯罪组织需要政府、企业、社会三方协作。” 谷歌还借此机会指出，跨帐户保护已被应用于使用谷歌账号登录网站和应用程序的32亿使用者。而公司的下一步计划则是与Canva、Electronic Arts、Indeed和微软旗下的LinkedIn合作。 一周前，Meta表示将与英国银行合作打击其平台上的欺诈行为，而这也是欺诈情报互惠交易所（FIRE）信息共享合作计划的一部分。     消息来源：The Hacker News，译者：XX；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

微软的2024年10月补丁周二交付了一系列重要的安全更新，解决了其生态系统中的121个漏洞。这包括三个关键漏洞和114个标记为重要的漏洞，跨越了微软的服务和软件的广泛。 遭受攻击的零日漏洞 本月的补丁包括修复两个已经在野外发现的被积极利用的零日漏洞。其中最令人担忧的漏洞之一是CVE-2024-43573，这是一个Windows MSHTML 平台中的欺骗漏洞。MSHTML，虽然经常与现已退役的Internet Explorer相关联，但仍然会影响遗留系统。虽然微软没有分享详细的利用细节，美国网络安全和基础设施安全局（CISA）已经标记了这个漏洞，敦促用户在2024年10月29日之前修补它。 另一个零日，CVE-2024-43572，是微软管理控制台（MMC）中的远程代码执行（RCE）漏洞。MMC是系统管理员广泛使用的工具，使得此漏洞在企业环境中具有高度的危险性。利用漏洞可以让攻击者获得对Windows系统的未经授权控制权，进一步突出了快速打补丁的重要性。 另外三个公开披露但在攻击中未被利用的零日漏洞是: CVE-2024-43583:Winlogon特权漏洞的提升。攻击者可能利用此漏洞获得对操作系统的SYSTEM级访问权限。 CVE-2024-6197:开源Curl远程代码执行漏洞。成功利用此漏洞需要客户端连接到恶意服务器，这可能允许攻击者在客户端上获得代码执行。 CVE-2024-20659 – Windows Hyper-V安全特性绕过漏洞。攻击者必须先获得对受限网络的访问权限，然后再执行攻击。成功利用此漏洞可能允许攻击者破坏虚拟机管理器和内核。 关键漏洞 除了零天，微软已经解决了三个关键的漏洞，可以允许远程代码执行或特权升级，如果不打补丁。 CVE-2024-43468（CVSS 9.8）：微软配置管理器（ConfigMgr）远程代码执行漏洞。未经身份验证的攻击者可能利用此漏洞在服务器或数据库上执行命令。 CVE-2024-43582:远程桌面协议（RDP）服务器中的一个严重缺陷可能允许攻击者发送恶意数据包，导致在具有与RPC服务相同权限的服务器上执行远程代码。 CVE-2024-43488: Visual Studio Code的Arduino扩展存在一个远程代码执行漏洞，使得攻击者能够绕过关键的身份验证检查。利用此漏洞可以在Arduino扩展中远程执行代码，从而危及用户的开发环境。 Windows核心组件中的漏洞 本月修复的几个漏洞针对的是系统安全不可或缺的关键Windows组件: CVE-2024-43502:一个Windows内核特权提升漏洞，可能允许攻击者在受影响的系统上获得最高级别的访问权限。 CVE-2024-43560:另一个影响Windows存储端口驱动程序的权限升级问题，提供了潜在的SYSTEM级访问。 微软Office和OpenSSH漏洞 10月的更新还解决了Microsoft Office和OpenSSH for Windows中的显著漏洞： UTE-2024-43609：Microsoft Office中的欺骗漏洞可能会在基于Web的攻击中被利用。攻击者可能会在网站上托管恶意文件，或诱骗用户通过电子邮件打开该文件，从而导致潜在的严重后果。 CVE-2024-43581和CVE－2024－43615号文件所列的Microsoft的OpenSSH for Windows的实现中的这些漏洞都是至关重要的，允许远程代码执行时被利用。使用OpenSSH的Windows服务器的管理员应优先考虑这些补丁。 从Windows打印假脱机程序组件到Visual Studio和远程桌面服务，本月的修补程序针对的漏洞几乎跨越微软的每一个主要产品。这包括欺骗、拒绝服务、特权提升和远程代码执行缺陷。值得注意的是，本月早些时候，微软解决了Microsoft Edge（基于铬）中的三个漏洞。 CISA 已将本月修补的零日漏洞 CVE-2024-43573 和 CVE-2024-43572 纳入其已知被利用漏洞目录，强调了立即修补的重要性。CISA建议用户在2024年10月29日之前修补所有零日漏洞和关键漏洞，以避免成为主动的受害者。     转自安全客，原文链接：https://www.anquanke.com/post/id/300639 封面来源于网络，如有侵权请联系删除

西门子发布了其SINEC安全监视器的一个新的安全更新，这是一个模块化的网络安全软件，用于被动的，非侵入性的，持续的监测客户场所的生产环境。已在V4.9.0之前的版本中发现了几个关键漏洞，这些漏洞被追踪为CVE-2024-47553、CVE-2024-47662、CVE-20483和CVE-2024-4565。 SINEC 安全监视器中发现的4个漏洞，其严重程度和对受影响系统的潜在风险各不相同。如果被利用，它们可能允许攻击者执行任意代码，损害系统完整性，并有可能获得对底层操作系统的根层访问权限。 已解决的脆弱性包括: CVE-2024-47553（CVSSv4 9.4）:由于ssmctl-client命令中用户输入的验证不当，允许经过身份验证的低权限攻击者以根权限执行任意代码。 CVE-2024-47562（CVSSv49.3）:由于用户输入ssmctl-client命令中的特殊元素被不当中和，使得经过身份验证的低特权本地攻击者能够执行特权命令。 CVE-2024-47563（CVSSv4 6.9）:由于对用于创建CSR文件的文件路径的验证不当，允许未经验证的远程攻击者在非预期位置创建文件。这可能会损害这些目录中文件的完整性。 CVE-2024-47565（CVSSv45.3）:允许经过身份验证的远程攻击者破坏应用程序的配置，原因是针对允许值对用户输入的验证不足。 西门子敦促用户将其SINEC Security Monitor安装更新到版本4.9.0或更高版本，以缓解这些漏洞。该更新可从西门子网站下载。     转自安全客，原文链接：https://www.anquanke.com/post/id/300632 封面来源于网络，如有侵权请联系删除

Morphisec威胁实验室发现了一波新的恶意软件攻击，目标是教育部门和游戏社区。安全研究人员Shmuel Uzan表示，这些复杂的恶意软件变种利用Lua（游戏开发中广泛使用的脚本语言）通过GitHub等平台渗透系统。该运动已在全球范围内展开，北美洲、南美洲、欧洲、亚洲和澳大利亚均报告有感染病例。 这种恶意软件的兴起可以归因于它利用了Lua的流行，尤其是在使用Roblox等游戏引擎的学生游戏玩家中。据报道，“搜索游戏作弊的用户最后往往会从GitHub等平台或类似来源下载文件。”攻击者利用这些寻求作弊的用户，在看似无害的下载中嵌入恶意Lua脚本。 恶意软件通常通过ZIP存档传递，其中包含多个组件，包括Lua编译器、Lua DLL文件、模糊的Lua脚本和批处理文件。这些组件一旦安装在受害者的机器上，就会一起执行恶意操作。执行后，Lua脚本与命令与控制（C2）服务器建立通信，发送有关受感染系统的详细信息。 一旦恶意软件处于活动状态，C2服务器将向受感染的计算机提供指令，这些指令分为两种类型的任务:Lua加载任务和任务有效载荷。Lua加载任务保持持久性和隐藏进程，而任务有效载荷则专注于下载其他恶意软件有效载荷或应用新配置。报告解释说，“Lua加载器任务涉及维持持久性或隐藏进程等操作”，而有效载荷的设计目的是扩展恶意软件的能力。 为了逃避检测，Lua脚本使用Prometheus Obfuscator进行了模糊处理，这是一种旨在保护底层代码不受逆向工程影响的工具。这种程度的混淆使得安全研究人员很难分析和理解恶意软件的全部功能。乌赞在报告中指出:“使用普罗米修斯混淆器对脚本进行混淆……使得研究人员分析和理解代码变得更加困难。” 为了阻止研究人员反转或重新格式化代码，该恶意软件采用了一种独特的反反转技术，当试图美化模糊代码时，该技术会触发错误消息。混淆器的功能包括通过检查执行过程中生成的错误消息的行数来检测代码是否被篡改。如果代码已被更改，恶意软件终止，显示一条消息:“检测到篡改！” 除了混淆之外，该恶意软件还利用Lua的ffi（外部函数接口）库直接执行C代码。这种技术允许攻击者调用C函数和使用C数据结构，而不需要编写C包装代码。Lua和C之间的这种集成增强了恶意软件操纵系统级进程和执行更高级攻击的能力。 恶意软件一旦渗入受害者的系统，就会通过创建计划任务和生成随机任务名称来建立持久性。该恶意软件还收集受害者计算机的大量信息，包括用户的GUID、计算机名称、操作系统和网络详细信息。它甚至捕获受损系统的屏幕截图，并将这些数据发送到攻击者的C2服务器。 报告强调，“脚本检索 MachineGuid…并把从计算机收集的数据和截图发送给对手C2。”此级别的数据收集使攻击者能够全面了解受影响的计算机，从而更有效地定制后续攻击。 一旦恶意软件成功收集到所需的数据，C2服务器就会以封锁消息或JSON响应做出响应，该响应将为执行任务或下载额外有效载荷提供进一步的指示。如果服务器响应被阻止，恶意软件会尝试从备份位置（如pastebin.com）检索新地址，确保与攻击者继续通信。 这种恶意软件提供的有效载荷包括Redline Infostealers，这是一种用来从受害者那里获取凭据和敏感信息的恶意软件。报告指出，Redline因其窃取宝贵数据的能力，在网络犯罪领域获得了突出地位，这些数据后来在暗网上出售。乌赞警告说:“从这些攻击中获取的证件被卖给更复杂的组织，用于攻击的后期阶段。”     转自安全客，原文链接：https://www.anquanke.com/post/id/300636 封面来源于网络，如有侵权请联系删除

高通公司解决了其产品中的 20 个漏洞，包括一个潜在的零日问题，该问题被追踪为 CVE-2024-43047（CVSS 得分 7.8）。 该漏洞源于一个可导致内存损坏的 “释放后使用”（use-after-free）错误。 该零日漏洞存在于数字信号处理器（DSP）服务中，影响数十种芯片组。 “目前，DSP 使用未使用的 DMA 句柄 fds 更新头缓冲区。在 put_args 部分，如果头缓冲区中存在任何 DMA 句柄 FD，就会释放相应的映射。不过，由于头缓冲区是以无符号 PD 的形式暴露给用户的，因此用户可以更新无效的 FD。如果该无效 FD 与任何已在使用中的 FD 相匹配，则可能导致免费使用（UAF）漏洞。“作为解决方案，为 DMA FD 添加 DMA 句柄引用，只有在找到引用时才释放 FD 的映射。 谷歌零项目的网络安全研究人员塞斯-詹金斯（Seth Jenkins）和国际特赦组织安全实验室的王聪慧（Conghui Wang）报告了这一漏洞。詹金斯希望建议尽快在安卓设备上解决这个问题。 谷歌威胁分析小组声称，CVE-2024-43047 可能受到有限的、有针对性的利用，Wang 也证实了野外活动。 “谷歌威胁分析小组有迹象表明，CVE-2024-43047 可能正受到有限的、有针对性的利用。”该公司的公告中写道。“针对影响 FASTRPC 驱动程序问题的补丁已提供给 OEM 厂商，并强烈建议尽快在受影响的设备上部署更新。有关特定设备补丁状态的详细信息，请联系您的设备制造商。 研究人员还没有公布利用 CVE-2024-43047 进行攻击的细节，不过，报告机构以调查与商业间谍软件供应商有关的网络攻击而闻名。 以下是受此漏洞影响的芯片组： FastConnect 6700、FastConnect 6800、FastConnect 6900、FastConnect 7800、QAM8295P、QCA6174A、QCA6391、QCA6426、QCA6436、QCA6574AU、QCA6584AU、QCA6595、QCA6595AU、QCA6688AQ、QCA6696、QCA6698AQ、QCS410、QCS610、QCS6490、Qualcomm® Video Collaboration VC1 Platform、 Qualcomm®视频协作VC3平台、SA4150P、SA4155P、SA6145P、SA6150P、SA6155P、SA8145P、SA8150P、SA8155P、SA8195P、SA8295P、SD660、SD865 5G、SG4150P、骁龙660移动平台、骁龙680 4G移动平台、骁龙685 4G移动平台（SM6225-AD）、 骁龙 8 代移动平台、骁龙 865 5G 移动平台、骁龙 865+ 5G 移动平台（SM8250-AB）、骁龙 870 5G 移动平台（SM8250-AC）、骁龙 888 5G 移动平台、骁龙 888+ 5G 移动平台（SM8350-AC）、骁龙自动 5G 调制解调器-RF、 骁龙自动 5G 调制解调器-RF Gen 2、骁龙 X55 5G 调制解调器-RF 系统、骁龙 XR2 5G 平台、SW5100、SW5100P、SXR2130、WCD9335、WCD9341、WCD9370、WCD9375、WCD9380、WCD9385、WCN3950、WCN3980、WCN3988、WCN3990、WSA8810、WSA8815、WSA8830、WSA8835 高通公司还解决了 WLAN 资源管理器中一个关键的不当输入验证缺陷，该缺陷被跟踪为 CVE-2024-33066（CVSS 得分 9.8）。     转自安全客，原文链接：https://www.anquanke.com/post/id/300650 封面来源于网络，如有侵权请联系删除

DumpForum，一个黑客论坛，声称已经侵入了Dr。Web，一家俄罗斯的网络安全公司和防病毒解决方案提供商。因此，黑客已经宣布窃取了超过10 TB的内部客户/客户数据， Hackread.com 可以独家证实。 这次攻击要追溯到9月14日星期六，当时Dr.Web（也被称为Doctor Web，Doctor Web Ltd..和Company Doctor Web）确认，它遭受了网络攻击。经过调查，这家俄罗斯网络安全巨头于2024年9月17日发布了一篇简短的博文，披露该公司成为针对其公司的网络攻击的目标。“资源了。当时，Doctor Web声称它“及时阻止了攻击”，没有用户数据被访问或窃取。 然而，正如Hackread.com的研究团队发现的，2024年10月8日上午， DumpForum黑客利用他们的Telegram账户宣布并声称对9月的攻击负责。黑客分子的Telegram帖子与Web博士9月份关于黑客的说法相矛盾。 DumpForum声称俄罗斯网络安全公司Dr.Web遭受10TB数据泄露 屏幕截图显示了Dr。Web的Telegram帖子（左）和 DumpForum的帖子（右）。原始的俄文截图已被Yandex AI Image Translator翻译成英文（图片来源：Hackread.com）。 垃圾论坛黑客主义者声称Web的基础设施黑客 根据这篇帖子，黑客分子声称他们黑进了博士的基础设施。Web，并补充说，他们在事先计划好一切后，侵入了该公司的本地网络。之后，他们系统性地“在短短几天内”黑进了更多的服务器和资源。 此外，黑客声称已经侵入并提取了博士的数据。Web的企业GitLab服务器，内部开发和项目存储，包括企业电子邮件服务器、Confluence、Redmine、詹金斯、螳螂和 RocketChat。 黑客还声称已经进入并下载了整个客户/用户数据库，他们已经在他们的官方论坛上泄露了这个数据库。 为了进一步验证他们的说法，黑客提供了来自内部资源的若干数据库的泄露，如 ldap.dev.drweb.com、 vxcube.dr Web.com、bugs.drweb.com、 antitheft.drweb.com和rt.dr be com等。 更令人担忧的是，黑客声称他们控制了 Dr.Web 的域控制器，这是公司基础设施的关键部分。域控制器管理着网络内所有系统的身份验证和访问。通过入侵域控制器，攻击者可以无限制地访问整个网络，从而不断提取大量敏感数据。 据报道，这种控制水平使他们能够在一个月内不被发现，同时窃取大约 10 TB 的数据。该组织还指出，Dr.Web 的安全性据称很差，称他们在该系统中度过了 “整整一个月”，而该公司却在继续销售保护他人安全的产品。 值得注意的是，Hackread.com 已就 DumpForums 黑客提出的指控联系了 Dr.Web，本文将作相应更新。     转自安全客，原文链接：https://www.anquanke.com/post/id/300643 封面来源于网络，如有侵权请联系删除

Apache Avro Java 软件开发工具包（SDK）中存在一个严重漏洞（跟踪编号为 CVE-2024-47561），该漏洞可允许在易受攻击的实例上执行任意代码。 该漏洞被追踪为 CVE-2024-47561，影响 1.11.4 之前的所有软件版本。 Avro Java 软件开发工具包（SDK）是在 Java 应用程序中使用 Apache Avro 的工具包。Apache Avro 是作为 Apache Hadoop 项目的一部分开发的数据序列化框架。它为结构化数据的序列化提供了一种紧凑、快速和高效的方法，这使它在涉及大数据、流或分布式系统的应用中特别有用。 “Apache Avro 1.11.3 及以前版本的 Java SDK 中的模式分析允许恶意程序执行任意代码。建议用户升级到 1.11.4 或 1.12.0 版本，它们修复了这个问题。 该漏洞会影响任何允许用户提供自己的 Avro 模式进行解析的应用程序。 来自 Databricks security 的安全研究员 Kostya Kortchinsky 向 Avro 团队报告了这一漏洞。     转自安全客，原文链接：https://www.anquanke.com/post/id/300654 封面来源于网络，如有侵权请联系删除

由 Cris Tomboc 和 King Orande 领导的 Trustwave 威胁情报团队最近发布了一份报告，公布了一种新发现的名为 Pronsis Loader 的恶意软件。该恶意软件于 2023 年 11 月首次出现，与 2024 年初出现的类似威胁 D3F@ck Loader 进行了比较。Pronsis Loader 的显著特点是它能发送 Lumma Stealer 和 Latrodectus 等恶意软件，给受害者带来巨大风险。发现其基础设施与 Lumma Stealer 相关联，凸显了这一不断演变的威胁的规模。 Pronsis Loader 与其他加载程序的不同之处在于它使用了 JPHP（一种 PHP 的 Java 实现）。“研究人员解释说：”两者都使用 JPHP 编译的可执行文件，因此很容易互换。不过，与使用 Inno Setup Installer 的 D3F@ck Loader 不同，Pronsis Loader 部署的是 Nullsoft Scriptable Install System（NSIS）。这种开源工具可以定制 Windows 安装程序，使 Pronsis Loader 在安装技术上具有明显优势。 Pronsis 加载器 Pronsis Loader 使用 NSIS | 图片： Trustwave 有趣的是，JPHP 在恶意软件开发者中并不广泛使用，这使得 Pronsis Loader 对这种语言的依赖偏离了典型的恶意软件环境。这种实现方式允许创建 .phb 文件，而使用传统的 Java 工具无法轻松反编译这些文件。尽管存在这种复杂性，但由于这些文件中存在 CAFEBABE 标头，威胁分析人员可以在提取后对其进行反编译，从而揭示其真实性质。 Pronsis Loader 的安装程序包含大量有效载荷，其中大部分由良性文件组成，旨在掩盖内嵌的恶意代码。据研究人员称，“安装程序的大部分内容由良性文件组成，旨在掩盖恶意文件”。这些文件被放入 %Temp% 目录，但其中隐藏着一个关键的可执行文件–FailWorker-Install.exe，它包含真正的恶意软件。 该可执行文件会触发一系列事件，通过 NSIS 插件调用 Nact.dll 文件来运行 JPHP 编译的加载程序。提取后，可以在 JPHP-INF 目录中找到主模块，其中 launcher.conf 文件指定了 app\modules 目录的初始 .bootstrap 文件。Pronsis Loader 的结构允许它从指定 URL 下载有效载荷，然后发送 Latrodectus 恶意软件。该恶意软件主要通过钓鱼邮件传播，与 IcedID 等其他已知威胁如出一辙。 Pronsis Loader 具有逃避检测的嵌入式功能。其中一种规避技术是通过隐藏在 MainForm.phb 文件中的 PowerShell 脚本实现的。这个编码脚本会禁用 Windows Defender 对用户配置文件目录的扫描，使恶意软件更容易运行而不被发现。“报告强调说：”这个 PowerShell 命令将被放置在一个批处理文件中，文件名为随机数字，并通过 cmd.exe 执行。 通过部署 Lumma Stealer 和 Latrodectus，进一步证明了 Pronsis Loader 提供多种有效载荷的能力。Latrodectus 于 2023 年 10 月首次被观察到，因其激进的感染技术而备受关注。受感染的机器会加载一系列批处理文件和可执行文件，以方便恶意软件的安装和持续运行。 在一个实例中，Latrodectus 通过一个名为 todaydatabase.zip 的文件发送，该文件将一个可执行文件放入 %Temp% 目录，启动了感染过程。安装完成后，Latrodectus 会使用计划任务来确保持久性，每 10 分钟运行一次，重新执行其恶意组件。此外，该恶意软件还创建了一个名为 runnung 的互斥程序来管理持续感染。 Pronsis Loader 的推出标志着 JPHP 作为恶意软件平台的使用发生了重大转变。通过利用 NSIS 安装程序和规避典型的安全协议，Pronsis Loader 对网络安全防御者提出了严峻的挑战。报告强调，这种加载器 “突出了它与 D3F@ck Loader 的相似之处，以及它在提供 Lumma Stealer 和 Latrodectus 作为主要有效载荷方面的作用”。     转自安全客，原文链接：https://www.anquanke.com/post/id/300658 封面来源于网络，如有侵权请联系删除

近日，俄罗斯政府机构和工业实体遭遇了一场名为“ Awaken Likho ”的网络活动攻击活动。 卡巴斯基表示，攻击者现在更倾向于使用合法MeshCentral平台的代理，而不是他们之前用来获得系统远程访问权限的UltraVNC模块。这家俄罗斯网络安全公司详细说明了一场始于2024年6月并至少持续到8月的新活动。该活动主要针对俄罗斯政府机构、其承包商和工业企业。 “ Awaken Likho ”组织，亦称作Core Werewolf或PseudoGamaredon，最初由BI.ZONE于2023年6月曝光，涉嫌针对国防和关键基础设施部门发动网络攻击。据悉，该组织的活动可追溯至2021年8月。其采用的鱼叉式钓鱼攻击手法包括发送伪装成Word或PDF文档的恶意可执行文件，这些文件带有双重扩展名，如“doc.exe”或“.pdf.exe”，使用户仅能看到看似无害的.docx或.pdf后缀。 然而，一旦受害者打开这些文件，便会触发UltraVNC的安装程序，进而导致攻击者能够完全接管受害者的计算机系统。此外，根据F.A.C.C.T.今年5月的报告，Core Werewolf还针对位于亚美尼亚的一个俄罗斯军事基地以及一家从事武器研究的俄罗斯研究所发动了攻击。在这些攻击中，攻击者使用了一种自解压存档（SFX）技术，以隐蔽的方式安装UltraVNC，同时向受害者展示看似无害的诱饵文档。 卡巴斯基最新揭露的攻击链条中，攻击者利用7-Zip创建了一个SFX存档文件。当受害者打开该文件时，会执行一个名为“MicrosoftStores.exe”的程序，进而解压并运行一个AutoIt脚本，最终激活开源的MeshAgent远程管理工具。卡巴斯基解释称，这一系列操作使得攻击者能够在受害者的系统中长期潜伏，并通过计划任务定时执行命令文件，以此来启动MeshAgent并与MeshCentral服务器建立连接。 据安全专家分析，“ Awaken Likho ”团伙使用了定制化的恶意软件和零日漏洞利用，以实现对目标系统的深度渗透。此外，他们还运用了复杂的网络钓鱼和社会工程学技巧，诱导目标用户点击恶意链接或下载病毒文件。 值得注意的是，该团伙的攻击目标主要集中在俄罗斯政府的敏感部门和关键基础设施领域。这些攻击不仅可能导致政府机密的泄露，还可能对国家安全和社会稳定造成严重影响。 为了应对这一威胁，俄罗斯政府已经加强了对网络安全的投入，并提升了相关机构的防御能力。同时，国际间的网络安全合作也在不断加强，以共同应对跨国网络攻击的挑战。 专家建议，政府机构和个人用户都应提高网络安全意识，定期更新系统和软件补丁，避免点击不明链接或下载来源不明的文件。此外，加强数据备份和恢复策略也是防范网络攻击的重要措施。 参考来源：https://thehackernews.com/2024/10/cyberattack-group-awaken-likho-targets.html     转自Freebuf，原文链接：https://www.freebuf.com/news/412331.html 封面来源于网络，如有侵权请联系删除  

将机要系统与任何联网系统完全隔离通常被认为是最安全的防御措施，但随着黑客技术的发展，这道坚不可摧的安全屏障已不再牢固，甚至有一家专门针对政府设施下手的APT组织已研发出了两套工具集，对已隔离系统展开了全方位攻势。 ESET 的研究人员近期详细披露了一个名为“GoldenJackal”的网络APT 组织，能够利用多种恶意工具组合对政府和外交实体进行攻击，包括使用特定工具成功针对气隙系统（即已隔离系统）的攻击。 GoldenJackal 简介 GoldenJackal于2023年5月被卡巴斯基首次披露，但该组织最早的活动可追溯至2019年8月至9月间针对白俄罗斯南亚大使馆的攻击，期间使用的恶意工具于2021年7月再度被检测到。 据称，GoldenJackal长期以欧洲、中东和南亚的政府实体为目标，但根据卡巴斯基的报告，2020年之后，针对中东和南亚政府和外交实体的攻击数量有所缓和。根据ESET近期的监测数据，从 2022 年 5 月到 2024 年 3 月，欧盟政府组织多次成为了该组织的目标。 目前，ESET和卡巴斯基都未明确将该组织与任何国家联系起来，但其中一款名为GoldenHowl 恶意软件的C&C 协议被称为 transport_http，与已知的 Turla和 MoustachedBouncer 通常使用的表达方式相同，可能表明 其背后的开发者是俄语使用者。 针对已隔离系统的攻击 为了最大限度地降低泄露风险，高度敏感的网络通常采用了完全隔离的系统，以保护那些最有价值的系统（如投票系统和运行电网的工业控制系统），这些网络通常正是攻击者最感兴趣的目标。相应的，破坏隔离系统比破坏一般互联网连接的系统要耗费更多资源，迄今为止此类攻击都是由 APT 组织专门开发的间谍活动。 而GoldenJackal在5年时间内构建和部署了两套独立的工具集来破坏已隔离系统，显示出该组织出色的技术实力。 针对白俄罗斯的攻击 在2019年针对白俄罗斯南亚大使馆的攻击中，研究人员观察到3个自定义工具集： GoldenDealer：通过 USB 监控将可执行文件植入到已隔离系统，可从 C&C 服务器下载可执行文件并将其隐藏在U盘中，或者从这些U盘中检索可执行文件并在没有连接的系统上执行 ； GoldenHowl：具有各种功能的模块化后门，包括从 JSON 文件解密并加载恶意软件的配置 、创建恶意软件使用的目录以及为每个模块启动一个线程 ； GoldenRobo：执行文件收集和渗透功能，执行 Robocopy 实用程序来暂存文件并将其发送到其 C&C 服务器。 在攻击链中，具体的初始攻击媒介未知，研究人员假设 GoldenDealer 和未知蠕虫组件已经存在于可以访问互联网的受感染 PC 上，每当插入U盘时，未知组件都会将自身和 GoldenDealer 组件复制到驱动器中。 研究人员将这个未知组件暂称为 JackalWorm，该组件很可能在U盘上找到最后修改的目录，将其隐藏，并使用该目录的名称将自身重命名。此外，该组件使用了文件夹图标，以诱使用户在将 U 盘插入已隔离系统时点击运行。 当驱动器再次插入连接到互联网的PC时，GoldenDealer会从U盘中获取关于已隔离系统的信息，并将其发送到C&C服务器。服务器回复一个或多个要在已隔离系统上运行的可执行文件。最后，当U盘再次插入已隔离系统时，GoldenDealer会从驱动器中获取可执行文件并运行。 针对已隔离系统的攻击链 针对欧洲政府的攻击 在近期针对欧洲政府机构的攻击中，GoldenJackal 转向了高度模块化的新工具集，这种模块化方法不仅适用于恶意工具的设计，还包括其具体的功能，如收集和处理信息，将文件、配置和命令分发到其他系统以及外泄文件。 2022 年 5 月，研究人员观察到GoldenJackal 在针对欧洲的一家政府组织时使用了新工具集，这些工具中的大多数都是用 Go 编写的，并提供了多种功能，例如从U盘收集文件、通过U盘 在网络中传播有效载荷、泄露文件以及使用网络中的一些 PC 作为服务器将各种文件传送到其他系统。此外，研究人员还看到攻击者使用 Impacket 在网络中横向移动。 GoldenJackal 最新工具集中的组件 在观察到的攻击中，GoldenJackal 通过高度模块化的工具，使用各种组件来执行不同的任务。一些主机被滥用以泄露文件，另一些主机被用作本地服务器来接收和分发暂存文件或配置文件，而另一些主机则被认为用于间谍目的。一些典型工具包括： GoldenUsbCopy：监视U盘的插入，并将目标文件复制到存储在磁盘上的加密容器中，以供其他组件泄露； GoldenAce：属分发工具，用于传播其他恶意可执行文件并通过U盘检索暂存文件； GoldenBlacklist：从本地服务器下载加密存档，并处理其中包含的电子邮件，以仅保留目标内容。并为其他组件生成一个新的存档以进行外泄； GoldenMailer：通过向攻击者控制的帐户发送带有附件的电子邮件来泄露文件； GoldenDrive：与 GoldenMailer 相反，此组件通过将文件上传到 Google Drive 来泄露文件。 目前尚不清楚 GoldenJackal 如何设法获得初始妥协以破坏目标环境。但是，卡巴斯基此前曾暗示过木马化 Skype 安装程序和恶意 Microsoft Word 文档作为入口点的可能性。 上述两起典型攻击表明，即便是安全保障严格的隔离系统，仍然存在被一些有实力的黑客组织通过研发复杂工具来成功实施攻击。但研究人员强调，这些工具并非没有缺陷，仍可通过观察其战术来更好地准备应对未来的攻击。研究人员已在 GitHub 上分享了一份公开的 IOC 列表，供防御者进行监控。 参考来源：Mind the (air) gap: GoldenJackal gooses government guardrails     转自Freebuf，原文链接：https://www.freebuf.com/news/412316.html 封面来源于网络，如有侵权请联系删除