Aggregator

数据基础设施的互操作性要求

近日，尤文图斯足球俱乐部与推动网络与安全融合的全球网络安全领导者 Fortinet®（NASDAQ：FTNT） […]

The Dutch Data Protection Authority (DPA) has fined Uber a record €290M for violating the EU data protection regulation while sending sensitive driver data to the U.S. The Dutch Data Protection Authority (DPA) has fined Uber €290 million ($324 million) for allegedly failing to comply with the EU data protection regulation GPDR when transferring the […]

由于美国的数据保护标准不充分，欧盟法院在 Schrems II 裁决中宣布欧盟-美国隐私保护协议无效。

APT组织执行了“AppDomainManager 注入”，这类似于 DLL 侧加载，但可以说更容易、更隐蔽。 正在进行的攻击活动使用了两种鲜为人知的隐形技术来感染敏感地区的军事、政治目标。 第一个“GrimResource”是一种新技术，允许攻击者在 Microsoft 管理控制台 (MMC) 中执行任意代码。 第二种技巧是“AppDomainManager 注入”，它使用恶意动态链接库 (DLL)，但比传统的侧载更简单。这种技巧已经存在七年了，被开源社区、渗透测试人员使用。但在野外恶意活动中很少见到这种技巧。 NTT 研究人员在一篇新博客文章中表示，自 7 月以来，一个高级威胁组织一直在结合使用这些技术，将 Cobalt Strike 投放到东南亚敏感地区的政府、军事、能源组织等目标的 IT 系统中。 GrimResource 的工作原理 攻击始于包含在网络钓鱼电子邮件或恶意网站中的 ZIP 文件。 ZIP 包含一个带有 Windows 证书或 PDF 图标的文件。实际上，它是一个管理保存控制台 (MSC) 文件，这是一种用于保存 MMC 内配置和设置的文件类型。 MSC 近来在攻击者中越来越受欢迎。这始于微软发布了一系列默认控件的更改，这些更改可用于从电子邮件中执行有效负载。 这是一种非常有趣且功能强大的文件格式，与许多经常被滥用的常见文件格式相比，它受到的关注较少。 利用此类漏洞的一种技术是GrimResource，它于 7 月首次由 Elastic 发现。GrimResource 利用 Windows 身份验证协议域支持 (APDS) 库中存在六年的跨站点脚本 (XSS) 问题，在 MMC 中实现任意代码执行。 在此活动中，攻击者使用它来消除感染过程中的一个步骤：无需让受害者单击 MSC 文件中的恶意链接，只需打开 MSC 文件即可触发嵌入的 Javascript。 然后，恶意的 Javascript 会下载并运行合法的、经过签名的 Microsoft 可执行文件“dfsvc.exe”，并将其重命名为“oncesvc.exe”。但如果该文件是完全真实的，那么它如何被用来下载恶意软件呢？ 激活 AppDomainManager注入 所有使用 Microsoft .NET 框架构建的应用程序都会运行一个或多个应用程序域，这些域由“AppDomainManager”类创建和管理。在 AppDomainManager 注入中，攻击者会使用恶意代码创建一个 AppDomainManager 类，然后诱骗目标应用程序加载该类而不是合法应用程序。 这可以通过配置三个特定环境变量（APPDOMAIN_MANAGER_ASM、APPDOMAIN_MANAGER_TYPE 和 COMPLUS_VERSION）来实现，或者像本次攻击活动中的情况一样，上传一个自定义配置文件，该文件只会指示应用程序运行其恶意的 AppDomainManager。 Rapid7 渗透测试首席安全顾问 Nicholas Spagnola 解释说：“你实际上是在告诉通用语言运行时 (CLR)——Windows 操作系统的一部分，它告诉操作系统如何加载和处理 .NET 应用程序——在你运行 .NET 进程时包含一个恶意 DLL。”“它实际上允许你将几乎任何 .NET 应用程序变成一个活生生的二进制文件”。 NTT 研究人员写道：“目前，DLL 侧载是执行恶意软件的最常见方法，但 AppDomainManager 注入比 DLL 侧载容易得多，并且人们担心未来利用可能会增加。” 由于发现此类恶意注入非常困难，King 建议采取一种防御方法，在此类攻击发生之前进行阻止。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/tRdadOHmncKH4-HLZ5jUWg 封面来源于网络，如有侵权请联系删除

西雅图-塔科马国际机场已确认，周末发生的 IT 系统故障导致预订登机系统中断和航班延误，该故障很可能是网络攻击造成的。 西雅图-塔科马国际机场是西雅图的主要国际机场，也是美国西北地区最繁忙的机场。2023 年，该机场服务了近 5100 万名乘客。该机场是阿拉斯加航空和达美航空的主要枢纽，服务于 91 个国内目的地和 28 个国际目的地。 8 月 24 日星期六，西雅图港警告称，该港和西雅图机场正遭受“可能的网络攻击”导致的持续中断，迫使他们隔离某些关键系统以控制损失。 “西雅图港（包括西雅图机场）正在经历互联网和网络系统中断，这影响了机场的一些系统。建议乘客向航空公司查询航班的最新信息。”西雅图港发布的 X 帖子写道。“今天早上，西雅图港出现某些系统中断，表明可能遭受网络攻击。港口隔离了关键系统，正在努力恢复全面服务，但尚未确定恢复时间。” “我们正在与相关部门和合作伙伴密切合作，以帮助可能受到影响的旅客。如果您今天出行，请与我们的航空公司合作伙伴联系以获取旅行信息，并留出更多时间到达西雅图机场和登机口。” 周日，服务中断仍在继续，机场建议人们通过航空公司网站获取旅行信息，例如其航班对应的登机口号码。 截至撰写本文时，该机场的网站仍处于离线状态，而官方 X 账号警告乘客应执行某些操作，例如通过航空公司应用程序办理即将起飞的航班的登机手续，因为机场内的航站楼仍然处于瘫痪状态。 “西雅图港（包括西雅图机场）的系统中断仍在继续。”机场运营商的最新消息称，“港口团队继续在恢复系统正常运行方面取得进展，但尚未确定恢复时间。” 阿拉斯加航空还通过 X 告知乘客，西雅图机场的行李分拣系统“极其有限”，建议乘客只携带最少的必需品，并尽可能避免托运行李。 建议需要托运行李的旅客在行李标签上写上自己的全名和联系方式。阿拉斯加航空在其网站上告知，这些信息将用于追踪由于当前情况而未在抵达时出现在行李传送带上的行李。 联邦调查局发言人向《西雅图时报》证实，他们“已知悉这一事件，正在与合作伙伴查明事情真相”，但未透露任何其他信息。 目前还没有任何勒索软件团体或其他黑客组织对此次攻击负责。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/-JgsVqyUeVBbSa4sE0ityg 封面来源于网络，如有侵权请联系删除

网络安全研究人员发现 20 多个可能被用于攻击 MLOps 平台的漏洞，并警告机器学习 (ML) 软件供应链中存在安全风险。 这些漏洞被描述为固有和基于实现的缺陷，可能会造成严重后果，从任意代码执行到加载恶意数据集。 MLOps 平台提供设计和执行 ML 模型管道的功能，其中模型注册表充当用于存储和版本训练的 ML 模型的存储库。然后可以将这些模型嵌入到应用程序中，或允许其他客户端使用 API（又称模型即服务）查询它们。 JFrog 研究人员在一份详细报告中表示：“固有漏洞是由目标技术所使用的底层格式和流程导致的漏洞。” 一些固有漏洞的例子包括滥用 ML 模型来运行攻击者选择的代码，利用模型在加载时支持自动代码执行（例如，Pickle 模型文件）。 这种行为还扩展到某些数据集格式和库，允许自动执行代码，从而在简单加载公开可用的数据集时可能打开恶意软件攻击的大门。 另一个固有漏洞实例涉及 JupyterLab（以前称为 Jupyter Notebook），这是一个基于 Web 的交互式计算环境，使用户能够执行代码块（或单元）并查看相应的结果。 研究人员指出：“许多人不知道的一个固有问题是，在 Jupyter 中运行代码块时如何处理 HTML 输出。Python 代码的输出可能会发出 HTML 和 [JavaScript]，而浏览器会呈现这些内容。” 这里的问题是，JavaScript 结果在运行时不会受到父 Web 应用程序的沙盒保护，并且父 Web 应用程序可以自动运行任意 Python 代码。 换句话说，攻击者可以输出恶意的 JavaScript 代码，以便在当前的 JupyterLab 笔记本中添加新单元，将 Python 代码注入其中，然后执行它。在利用跨站点脚本 (XSS) 漏洞的情况下尤其如此。 为此，JFrog 表示，它发现了 MLFlow 中的一个 XSS 漏洞 ( CVE-2024-27132 ，CVSS 评分：7.5)，该漏洞源于运行不受信任的配方时缺乏足够的清理，从而导致 JupyterLab 中的客户端代码执行。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/33OxeqSO2YfF6Ffv-Ows0g 封面来源于网络，如有侵权请联系删除

胡金鱼