HackerNews

乌克兰最新报告显示，俄罗斯在2024年上半年针对乌克兰的网络攻击策略中，倾向于间谍活动而非破坏行动，展现了莫斯科针对基辅网络攻击性质的演变。 2024年，网络战场发生了变化，俄罗斯黑客组织采用了更为隐秘和长期的策略。与前几年大规模的基础设施攻击不同，俄罗斯网络行动人员转向了间谍活动，主要针对军事和关键基础设施目标，以支援俄罗斯对乌克兰的持续战争。 虽然网络事件总体上有所增加，但严重程度较高的事件数量却有所下降。这一转变标志着策略上的变化，从广泛的破坏性网络攻击转向了更为集中和持续的渗透行动，其目的是收集情报。 攻击背后的数据 乌克兰计算机应急响应小组（CERT-UA）在9月23日发布报告，揭示了这一重点转移。 2024年上半年共发生了1739起网络事件，比2023年下半年增加了19%。然而，重大事件的数量下降了90%。2024年上半年仅报告了3起重大事件，远低于2023年下半年的31起。高危事件也大幅下降，降幅高达71%。而中低级别事件则分别增加了32%和75%。 这些数据表明，虽然网络攻击的总体频率有所增加，但攻击者的战术已经转向了较低调的活动，旨在避免引起注意。这些低危事件通常涉及恶意软件传播、间谍活动以及维持对被攻陷系统的访问，而不是造成即时的、可见的破坏。 针对性的间谍活动和隐秘行动 2022年和2023年，俄罗斯黑客集中攻击乌克兰的关键基础设施，试图瘫痪政府机构、能源供应商和互联网服务提供商。然而，乌克兰系统的快速恢复使这些攻击未能达到预期的长期目标。2024年，间谍活动的增加则显示出一种更加深思熟虑的策略。 今年，像UAC-0184和UAC-0020（即Vermin黑客组织）这样的团体尤其活跃。这些团体与俄罗斯情报部门有密切联系，专门从事网络间谍活动，常通过网络钓鱼攻击和恶意软件渗透乌克兰的敏感系统。 例如，UAC-0184利用Signal等即时通讯应用程序伪装成可信联系人，攻击乌克兰国防部队成员，分发恶意软件。一旦该恶意软件被部署，黑客便能够监控受害者的通讯、窃取数据，并对被攻陷的系统进行长期控制。 这种从公开破坏性攻击转向隐秘间谍活动的转变，标志着俄罗斯网络战略进入了一个新阶段。其关注重点从短期破坏转为长期情报收集，意在为军事行动提供支持。CERT-UA的报告还重点解释了黑客如何通过网络行动收集对动能军事打击（如导弹袭击）的反馈。 关键基础设施依然是重点 虽然间谍活动占据了中心位置，对乌克兰关键基础设施的攻击仍在持续。报告指出，自2023年下半年以来，乌克兰能源部门遭受的攻击增加了一倍多，黑客越来越多地瞄准用于电力、供热和供水设施的工业控制系统（ICS）。 2024年3月，UAC-0002组织发动了一次重大的供应链攻击。该组织与俄罗斯占领的卢甘斯克地区的执法部门有联系。黑客利用至少20家能源公司软件中的漏洞，入侵工业控制系统，并在网络内部进行横向移动。 这种供应链攻击通过攻击一个共同的服务提供商，从而入侵多个目标组织。在3月的这次事件中，UAC-0002攻击了三个供应链，向多家能源公司传播了恶意软件和后门程序。黑客使用诸如LOADGRIP和BIASBOAT等专门工具，成功获取了关键系统的访问权限，并可能进一步升级攻击，与对乌克兰基础设施的物理打击相配合。 聊天工具账号盗窃：网络攻击新趋势 2024年另一个显著趋势是即时通信账号盗窃的增加。像WhatsApp和Telegram这样广泛使用的通信平台，成为了俄罗斯黑客的主要目标。 例如，UAC-0195小组使用网络钓鱼活动攻击了数千个即时通信账号。这些被攻陷的账号随后被用于一系列恶意活动，包括传播恶意软件、进行间谍活动以及实施金融诈骗。 在一个案例中，黑客假扮为一项纪念一位乌克兰阵亡士兵的请愿活动组织者，诱导受害者访问一个伪装成乌克兰总统官方网站的假网站，要求用户通过WhatsApp认证。这种网络钓鱼策略使黑客能够将其设备添加到受害者的WhatsApp账号中，从而获取个人消息、文件和联系人。 这一策略也延伸到了Telegram，黑客通过类似的方法诱导用户参与“艺术竞赛投票”，再次获得了未经授权的账号访问权限。通过这些账号访问，黑客可以冒充账号持有者，进一步传播网络钓鱼链接，甚至从高价值目标中窃取敏感信息。 这些最新发现是在乌克兰刚刚禁止在任何政府、军队或关键基础设施相关设备上使用Telegram信使应用几天后公布的。这一果断行动是出于对其在网络间谍活动中脆弱性的日益担忧。9月19日，乌克兰国家网络安全协调中心（NCSCC）开会，强调了这款广泛使用的应用如何从言论自由的工具转变为战争武器。 网络钓鱼攻击和恶意软件传播 网络钓鱼仍然是俄罗斯黑客的重要工具。 2024年初，UAC-0006，一个以金融为动机的组织，继续其针对财务部门员工的网络钓鱼活动。这些活动经常使用多语言档案（即根据使用的软件不同，显示为不同内容的文件）来传播像SmokeLoader这样的恶意软件。 一旦部署，SmokeLoader允许攻击者安装其他恶意软件，如TALESHOT，当银行应用程序打开时，它会截取屏幕截图。这种恶意软件使黑客能够更深入地了解受害者的活动，并访问重要的财务数据。在某些情况下，黑客甚至编辑或创建虚假发票，以从目标组织中窃取资金。 UAC-0006组织在2024年3月短暂暂停了行动，但在5月重新展开了攻击。它们注册了新的域名以继续网络钓鱼活动，并重新控制之前被攻陷的系统。 乌克兰的网络弹性 尽管网络攻击数量增加，乌克兰的网络防御展现了显著的弹性。CERT-UA与国家特殊通信和信息保护局（SSSCIP）合作，在应对这些威胁方面取得了重大进展。他们的努力使得高危事件大幅减少，尽管总体攻击数量在上升。 报告将这种成功归功于增强的可见性和与国际合作伙伴的合作。检测能力的提高，加上各组织的更好意识，使得乌克兰能够更快速地应对新兴威胁。这种合作包括与CERT-UA的合作伙伴共享网络威胁情报，这有助于识别并减轻大量攻击。 然而，报告也警告，随着战争的持续，俄罗斯黑客的能力也在不断增长。供应链攻击的复杂性日益增加，以及持续的网络钓鱼攻击威胁，意味着乌克兰的网络防御策略将一再面临考验。     转自安全内参，原文链接：https://www.secrss.com/articles/68105 封面来源于网络，如有侵权请联系删除

据观察，一个名为 “Twelve ”的黑客组织使用大量公开工具对俄罗斯目标实施破坏性网络攻击。 卡巴斯基在周五的分析中表示：与要求赎金解密数据不同，该组织更倾向于加密受害者的数据，然后使用擦除器破坏他们的基础设施，以防止恢复。 这表明，他们希望对目标组织造成最大程度的损害，而不是直接获得经济利益。 据悉，该黑客组织是在2023年4月俄乌战争爆发后成立的，曾发起过多次网络攻击事件、窃取敏感信息，然后通过其Telegram频道分享这些信息。 卡巴斯基称，Twelve 与一个名为 DARKSTAR（又名 COMET 或 Shadow）的勒索软件组织在基础架构和战术上有重合之处，因此这两个黑客组织很可能相互关联，或者是同一活动集群的一部分。 俄罗斯网络安全厂商说：Twelve 的行动明显具有黑客活动的性质，而 DARKSTAR 则坚持典型的双重勒索模式。集团内部目标的这种变化凸显了现代网络威胁的复杂性和多样性。 攻击链首先通过滥用有效的本地或域账户获得初始访问权限，然后使用远程桌面协议（RDP）进行横向移动。其中一些攻击还通过受害者的承包商实施。 卡巴斯基指出：为此，他们获得了承包商基础设施的访问权限，然后使用其证书连接到客户的 VPN。在获得访问权限后，对手可以通过远程桌面协议（RDP）连接到客户的系统，然后侵入客户的基础设施。 Twelve 使用的其他工具包括 Cobalt Strike、Mimikatz、Chisel、BloodHound、PowerView、adPEAS、CrackMapExec、Advanced IP Scanner 和 PsExec，用于窃取凭证、发现、网络映射和权限升级。与系统的恶意 RDP 连接通过 ngrok 传输。 此外，还部署了具有执行任意命令、移动文件或发送电子邮件功能的 PHP web shell。这些程序（如 WSO web shell）在 GitHub 上随时可用。 在此前的一起事件中，卡巴斯基称威胁分子利用了VMware vCenter中的已知安全漏洞（如CVE-2021-21972和CVE-2021-22005），提供了一个web shell，然后利用这个web shell投放了一个名为FaceFish的后门。 攻击者使用 PowerShell 添加域用户和组，并修改 Active Directory 对象的 ACL（访问控制列表）。而为了避免被发现，攻击者将恶意软件和任务伪装成现有产品或服务的名称。攻击者通过使用包括 “Update Microsoft”、“Yandex”、“YandexUpdate ”和 “intel.exe”等名称伪装成英特尔、微软和 Yandex 的程序来逃避检测。 这些攻击的另一个特点是使用 PowerShell 脚本（“Sophos_kill_local.ps1”）来终止受攻击主机上与 Sophos 安全软件相关的进程。 最后阶段需要使用 Windows 任务调度程序来启动勒索软件和清除器有效载荷，但在此之前要通过名为 DropMeFiles 的文件共享服务以 ZIP 压缩文件的形式收集和渗出受害者的敏感信息。 卡巴斯基研究人员说：攻击者使用了一个流行的 LockBit 3.0 勒索软件版本，该版本由公开源代码编译而成，用于加密数据。在开始工作之前，勒索软件会终止可能干扰单个文件加密的进程。 与Shamoon恶意软件相同的擦除器会重写所连接驱动器上的主引导记录（MBR），并用随机生成的字节覆盖所有文件内容，从而有效防止系统恢复。 卡巴斯基研究人员指出：该组织坚持使用公开的、人们熟悉的恶意软件工具，这也表明它没有自制的工具，那么大家就还是有机会能及时发现并阻止 Twelve 的攻击。     转自Freebuf，原文链接：https://www.freebuf.com/news/411472.html 封面来源于网络，如有侵权请联系删除

一项新的内部审计建议，美国司法部和联邦调查局需要重新定义打击勒索软件获得成功的指标。 这份长达26页的审计报告于9月17日发布。美国司法部监察长Michael Horowitz在报告中详细阐述了该部门从2021年4月到2023年9月期间与勒索软件相关的行动，报告还涵盖了计划于2024年初对LockBit的打击行动。 调查发现，美国司法部和联邦调查局在更有效地打击勒索软件方面有三个需要改进的领域。 应改进衡量打击勒索软件成功的指标 司法部需要一种更好的方式“来确定哪些勒索软件威胁的指标（包括打击勒索软件行动的衡量指标）最为重要，且能够展示其打击勒索软件威胁行动的有效性。” 调查人员查阅的文件显示，司法部目前将与勒索软件相关的“成功”定义为：在报告的勒索软件事件中，“案件在72小时内立案、并入现有案件、解决或采取行动的比例提高到65%”。 联邦调查局表示，2023年，针对47%的勒索软件事件，在72小时内采取了行动，这一数字较2022年的39%有所上升。 此外，联邦调查局和司法部还设定目标，希望在2022年和2023年将与勒索软件相关的查封或没收案件数量增加10%。 调查人员指出：“我们认为，司法部现有的勒索软件指标并未真正反映其打击恶意行为者行动的有效性。” “无论司法部是否继续将勒索软件作为优先任务，都应确定哪些指标最具影响力，以确保能够准确衡量其打击行动的效果。” 报告肯定了司法部和联邦调查局多项基础设施破坏行动的成效，尤其针对LockBit、Hive和AlphV等勒索软件团伙的行动。通过这些行动，两家机构向当前和过去的受害者提供了数百个解密密钥。联邦调查局特别制定了一项战略，专门针对那些构成并推动勒索软件生态系统的行为者、基础设施和资金来源。 调查人员表示，他们认为司法部应该进一步追踪破坏勒索软件行动的成效，将破坏次数和向受害者提供的解密密钥数量作为衡量成功的重要指标。 应加强推进机构间协调和信息共享 审计报告指出，司法部尚未为未来两年制定关于勒索软件的行动计划，也未按要求在过去两个财年通过performance.gov报告任何进展。 Horowitz及其团队还发现，一些勒索软件调查因不同执法机构之间的内部矛盾而受阻，这些机构往往拒绝共享信息。 他们表示：“协调失败和冲突未能化解，损害了调查、起诉以及执法间的关键合作关系，也浪费了资源，破坏了公众对司法部的安全感、国家安全以及对政府的信任。” 联邦调查局的官员告诉调查人员，曾有两起相关勒索软件案件分别由不同联邦检察官监督，但“他们未按要求根据解除冲突政策共享信息。” 一位刑事部门官员还透露，全国各地的检察官办公室对这一政策的了解和执行情况存在差异。 应重新审视并制定NCIJTF机构的使命和职能 审计报告还指出，联邦调查局需要为其领导的国家网络调查联合工作组（NCIJTF）的刑事任务中心制定更加明确和具体的使命。 NCIJTF负责协调2021年和2022年整个政府的勒索软件行动计划，但在国会于2022年成立了新的多机构联合勒索软件工作组（JRTF）后，NCIJTF的职能陷入不确定的状态。 报告发现，NCIJTF“在打击勒索软件方面未产生任何有意义的成果”，自新的工作组成立以来，其作用变得模糊不清。 Horowitz表示：“我们发现，联合勒索软件工作组的成立削弱了刑事任务中心的作用，导致其在打击勒索软件方面的角色不再明确。” 美国司法部副助理检察长Bradley Weinsheimer在回复审计报告的信中表示，他认同调查结果，并承诺将致力于解决这些问题。 联邦调查局网络部门助理主任Bryan Vorndran也对相关建议表示赞同，并承诺联邦调查局将更明确地界定NCIJTF的角色。     转自安全内参，原文链接：https://www.secrss.com/articles/70544 封面来源于网络，如有侵权请联系删除

Tor是一种流行的隐私工具和暗网浏览器，通过将用户的互联网流量在全球多个计算机节点（即”中继”）之间反复转发，使得外界难以追踪到流量的来源。 十年前得益于斯诺登的大力推荐，Tor迅速成为活动人士、记者等职业人士青睐的隐私工具。然而，正是这种匿名性也让Tor成为网络犯罪分子青睐的平台，他们通过Tor进行（暗网）非法市场交易并逃避执法部门的追踪。 近日，德国执法部门成功锁定Tor网络用户身份的报道引发了广泛的关注和讨论。 德国执法部门通过时序分析攻击破获“Boystown”案件 根据德国媒体《Panorama》联合混沌计算机俱乐部（Chaos Computer Club，简称CCC）的调查报告披露，德国执法部门通过运行大量Tor节点并运用时序分析攻击技术，成功破获了儿童色情平台“Boystown”的案件。根据法院文件，执法部门多年来通过控制Tor节点，利用流量进入和离开网络的时间差异来确定目标用户的身份，从而成功进行逮捕。 时序攻击，又称计时攻击，是一种通过分析加密算法或敏感操作执行时间差异来推导出机密信息的攻击方式。在密码学中，这种攻击方式尤为有效，因为每个逻辑运算在计算机上执行都需要时间，而根据输入的不同，执行时间也会有所差异。攻击者正是利用这一特点，通过精确测量执行时间来反推出密码或其他敏感数据。 时间分析攻击最大优点是并不依赖软件漏洞，而是通过观察数据流动的时间点来实现去匿名化。如果攻击者控制了部分Tor节点或监视了进入和退出网络的节点，就可以通过比较数据流动的时间来跟踪回某个特定的用户。 Tor的回应与改进措施 面对这一报道，Tor项目团队表示，他们并未获得相关法院文件，无法进一步分析这些安全假设，但仍根据已有的信息向用户发布声明。Tor团队指出，这些攻击发生在2019年至2021年之间，自那时以来，Tor网络规模大幅扩大，时序分析攻击的难度也随之增加。此外，Tor团队还提到，过去几年他们对不良中继进行了广泛清理，进一步减少了网络集中化的问题。 关于报告中提到的匿名即时通讯应用Ricochet，Tor团队指出，攻击所针对的用户使用的是一个已于2022年6月停用的旧版本。新的Ricochet-Refresh版本则增加了针对时间分析和入口节点发现攻击的保护措施。   转自GoUpSec，原文链接：https://mp.weixin.qq.com/s/km2RPBKiv0HX5BAGndO8cQ 封面来源于网络，如有侵权请联系删除

近日，美国乔治亚理工学院（Georgia Tech）的网络安全实验室陷入了一场法律诉讼。实验室负责人Antonakakis博士因长期拒绝遵守美国国防部（DoD）的网络安全规范（例如安装杀毒软件），导致学校被美国联邦政府起诉。 著名安全实验室被控欺诈 Antonakakis领导的网络安全实验室此前获得了数百万美元的国防部研究项目资金，其中包括为国防项目开发重大技术项目，例如“Rhamnousia：通过张量分解和数据抓取来追踪网络攻击者”。 联邦政府指控称，Antonakakis及其实验室多年来未遵守基本的安全规范，甚至在明知不合规的情况下，依旧提交了研究项目的费用发票，这种行为构成了欺诈。 “从根本上说，国防部为军事技术项目支付了费用，但被告将这些技术存储在不安全的环境中，无法防止未经授权的访问和泄漏。被告甚至没有监控是否发生了信息泄露，这意味着即便信息已经发生泄露，国防部也无从得知。最终，国防部认为在该项目的投入毫无价值，未能获得应有的利益。”联邦政府在起诉书中如此写道。 网安博士强烈反对安装杀毒软件 Antonakakis博士和他领导的网络安全实验室长期反对安装杀毒软件，这直接违反了DoD的安全规范规定。根据NIST发布的《非联邦信息系统与组织中受控未分类信息的保护》800-171号特别出版物，处理或存储涉密信息的设备必须安装终端杀毒软件。然而，Antonakakis博士对此持强烈反对态度。 乔治亚理工的系统管理员曾要求Antonakakis博士遵守规定，但他在2019年的一封内部邮件中明确表示，安装杀毒软件这件事“无法接受”。实验室的IT主管被允许采取其他“缓解措施”，例如依赖学校的防火墙来提供额外的安全保护。然而，事实证明，这种“假设”是错误的。学校的网络也从未提供过杀毒保护，而且实验室中使用的笔记本电脑经常离开学校网络环境，这进一步加剧了安全风险。 乔治亚理工校方意识到实验室为遵守国防部合同规定后，决定暂停实验室合同的发票提交，以避免被控提交虚假付款请求。然而，在发票暂停提交几天后，Antonakakis最终同意在实验室安装杀毒软件。 尽管如此，联邦政府指出，学校从未承认其长期不合规的事实，且在不合规的情况下依旧提交了大量发票，这属于欺诈行为。 安全评估弄虚作假 乔治亚理工面临的第二个问题是，该校在自我评估安全性时，提交了虚假分数。根据NIST的规定，学校需要评估110项安全控制措施的实施情况。乔治亚理工提交了一份全校的“总体安全计划”，分数为98分，但实际上这个分数是基于一个虚构的模型，而不是各个实验室的真实情况。 校方并没有对每个实验室进行单独评估，而是统一提交了编造的“98分”作为实验室项目的分数。联邦政府对此表示不满，认为这种安全评估形同虚设，根本不反映实际的安全状况。 技术骨干成安全文化“毒瘤” 联邦政府认为，乔治亚理工之所以会出现如此松懈的安全管理，主要原因是研究人员认为遵守安全规范“太麻烦”。当核心研究人员成为抵触网络安全规定的”毒瘤“时，校方管理层往往选择妥协，而不是强制执行安全措施。 据前员工透露，乔治亚理工的高级领导层之所以向研究人员的要求让步，主要是因为这些研究人员能为学校带来大量政府合同资金。一名前员工称，学校的网络安全合规文化充斥着“反正领导都不重视安全，所以我也可以无视（安全）规定”的态度。 不过，并非所有人缺乏基本的安全意识。这起案件之所以曝光，正是因为乔治亚理工的IT部门内部有几位吹哨人站出来揭发实情。 乔治亚理工学院网络安全实验室的合规问题再次凸显了安全合规在学术研究中的重要性。尽管安全规定可能会给研究工作带来不便，但高校学术实验室的开放性使其极易成为国家间间谍活动的目标。 通过起诉乔治亚理工学院，美国政府向其他依赖政府资金的大学实验室也发出了警告：“如果不能严格遵守网络安全规范，就别想再获得政府资金。”   转自GoUpSec，原文链接：https://mp.weixin.qq.com/s/Z2dfMvRs7q5Qk8xxo-nqWg 封面来源于网络，如有侵权请联系删除

据 The Cyber Express消息，臭名昭著勒索软件组织 LockBit 于9 月 18 日将美国在线报税服务 eFile.com 添加至受害者名单，要求在14天内支付赎金。eFile美国国税局（IRS）官方授权的税务申报平台。 人工智能驱动的威胁情报平台 Cyble 的研究人员表示，这次攻击LockBit 没有发布任何文件，通常勒索软件都会释放一些所窃取数据的样例来印证其真实性。 目前，除了14天的赎金支付期限，有关 Lockbit 勒索软件攻击的程度、数据泄露以及网络攻击背后的动机的详细信息仍未披露。此外， eFile.com 官方网站仍然功能齐全。为了确认攻击的真实性，The Cyber Express 已经联系了 eFile 官员，目前尚未收到任何回复。 对于数百万依赖 eFile.com 报税的美国人来说，该服务一旦遭受攻击恐将面临潜在的严重。如果 LockBit 的攻击被证明属实，纳税人的个人和财务数据可能落入犯罪分子手中。这些数据可用于各种恶意活动，包括身份盗窃、税务欺诈和帐户接管。 据悉，早在两年前eFile就已经成为LockBit的目标。 2022 年 1 月 19 日，Lockbit 声称入侵了eFile.com，且该日期正好处了税务申报截点，表明网络犯罪分子有意针对流量高峰期，以最大限度地发挥破坏力。 而在2023年， eFile.com网站曾出现一个漏洞，让攻击者在其中植入了恶意 JavaScript，将用户重定向到恶意软件下载界面。 2023 年 eFile.com网站上的恶意软件下载诱导界面 该恶意软件被研究人员命名为“efail”，利用了报税平台中的漏洞，让攻击者可以访问敏感数据，包括纳税人的社会安全号码、家庭住址、收入信息和其他详细 个人信息。eFile在接到反馈的几天后删除了该恶意软件，但这一事件再次引发了人们对关键金融服务提供商网络安全措施水平的担忧。   转自Freebuf，原文链接：https://www.freebuf.com/news/411364.html 封面来源于网络，如有侵权请联系删除

根据美国联邦贸易委员会（FTC）工作人员的一份报告显示，社交媒体和视频流媒体公司一直在对用户，尤其是儿童和青少年进行广泛的监控，隐私保护不足，并通过数据货币化每年赚取数十亿美元。 此调查始于2020 年 12 月，联邦贸易委员会于2020 年 12 月公布了调查结果，并向亚马逊（Twitch 的所有者）、Meta（Facebook）、YouTube、Twitter（现为 X 公司）、Snapchat、TikTok（ByteDance 所有）、Discord、Reddit 和 WhatsApp（Meta）发出了 6(b) 命令。 这份报告调查了公司在2019年至2020年期间如何收集数据，追踪个人和人口统计信息，以及这些行为对未成年人造成了哪些影响。联邦贸易委员会今天公布的结果显示，这些做法在数据保留、数据共享和针对性广告方面引起了严重的担忧。 联邦贸易委员会（FTC）主席 Lina M. Khan 今日强调了这些调查结果的严重性，她指出报告揭露了这些公司如何将大量美国民众的个人资料转化为巨额利润，每年赚取数十亿美元。 她表示，尽管这些监控行为为公司带来了丰厚的利润，但它们可能侵犯个人隐私，威胁个人自由，并使人们面临从身份盗窃到跟踪等一系列风险。这些公司都未能妥善保护儿童和青少年的网络安全，这是非常令人担忧的。 FTC指出，这些平台收集了大量数据，并且大部分数据被无限期保留。一些公司在数据共享方面过于宽泛，往往缺乏必要的监管，即使用户要求删除数据，这些公司也未能完全遵守。此外，这些公司的商业模式鼓励他们大量收集用户数据，以推动针对性广告的投放，这为他们带来了大部分收入。报告指出，这种做法直接侵犯了用户隐私，并增加了个人信息被滥用的风险。 社交媒体公司收集的用户数据 此报告还突出强调了社交媒体和视频流平台如何将用户及非用户数据输入算法和人工智能系统，并且往往不提供用户退出的选项，这增加了对透明度、监管和潜在消费者伤害的担忧。 报告最显著的发现之一是这些平台上缺乏对儿童和青少年的保护措施，许多公司声称他们的服务不是针对儿童的，以此试图规避遵守《儿童在线隐私保护法》（COPPA）。 但是联邦贸易委员会的报告中指出，青少年在这些平台上通常与成人受到相同的对待，很少或根本没有额外的保护措施。 联邦贸易委员会的报告呼吁政策制定者采取行动，要求国会通过全面的联邦隐私法案，包括限制数据收集、实施更严格的数据最小化和保留政策，以及制定更透明、更有利于消费者理解的隐私政策。 报告还要求公司增强其平台上对青少年和儿童的保护措施，将COPPA作为最低标准，并提供额外的安全和隐私保护措施。 Khan 补充称，此报告的发现非常及时，尤其是在州和联邦政策制定者考虑通过立法来保护人们免受滥用数据行为影响的时候。   转自Freebuf，原文链接：https://www.freebuf.com/news/411354.html 封面来源于网络，如有侵权请联系删除

因供应商未能按时删除用户数据并泄露，AT&T遭监管处罚超9000万元，并实施安全改进计划。 安全内参9月19日消息，美国联邦通信委员会（FCC）与AT&T就2023年1月发生的重大数据泄露事件达成了一项1300万美元（约合人民币9181万元）的和解协议。该事件源自AT&T的一家第三方云服务供应商。 供应商未能按时删除数据并泄露，FCC要求甲方严格落实审查责任 此次数据泄露导致AT&T超过890万名移动客户的信息被窃取。根据和解协议，一家未具名的公司，负责为AT&T提供用于营销、账单处理和生成个性化视频内容的服务，是此次事件的罪魁祸首。协议中提到，AT&T为了使用这家供应商的服务，与其共享了包括用户数据在内的大量客户信息。 AT&T与该供应商之间签署的合同中，明确规定了对这些数据进行保护和处理的要求。2016年至2020年间，经过多次审查和评估，表明该供应商遵循了数据删除政策。 然而，在2023年1月的泄露事件中，本应在2017年或2018年删除的数据被盗。FCC最终认定，AT&T对这一失误负有不可推卸的最终责任。 9月17日，在华盛顿召开的全球年度数据隐私会议上，FCC执法局局长Loyaan Egal指出，这份和解协议提醒企业，FCC正对企业在供应链中如何确保客户数据安全给予更为严格的审查。 他表示：“当我们调查美国境内企业的数据泄露事件时，若涉及到供应商，我们会重点关注这些供应商的所在地以及他们的数据保留情况。这些供应商是否有权保留被泄露的数据？你们能否有效追踪这些第三方所使用的数据？” AT&T推进数据泄露响应工作，并将实施改进计划 根据和解协议，AT&T于2023年1月6日向该供应商通报了数据泄露事件，并于同年2月7日通过在线报告表格向政府报告了此次事件。被盗数据包括客户账号中涉及的电话号码数量、账单余额、支付信息，以及针对约8.9万名受影响客户的1%的费率计划名称。 除了支付1300万美元的罚款外，AT&T还与政府达成了一项同意令，承诺对其在云端存储和保护客户数据的方式进行一系列改进。这些改进措施包括年度合规审计，以及制定一项“全面的”信息安全计划，以更好地保护敏感的客户数据。 此外，该协议要求AT&T加强对其第三方供应商生态系统的监管。具体措施包括限制对敏感客户数据的访问权限、改进对与供应商共享信息的追踪方式、严格执行数据处理要求，以及加强对供应商在其系统和网络中采用的数据保护政策和措施的监督。 在接受外媒CyberScoop采访时，AT&T发言人Alexander Byers表示，该公司从2023年3月开始通知客户此次数据泄露事件，且被盗的数据并不包括信用卡信息、社会安全号码或账户密码。 Byers在一份电子邮件声明中称：“尽管我们的系统并未在此次事件中遭到攻破，我们仍着手改进内部客户信息管理方式，并对供应商的数据管理实践实施了新的要求。” 尽管此次和解结束了FCC对2023年1月供应商云端泄露事件的调查，但FCC仍在继续调查另一宗规模更大的AT&T数据泄露事件。该事件于2023年7月曝光，黑客通过攻击第三方云平台Snowflake，窃取了几乎所有客户长达六个月的电话和短信记录。   转自安全内参，原文链接：https://www.secrss.com/articles/70402 封面来源于网络，如有侵权请联系删除

欧洲刑警组织和九个国家的执法部门成功捣毁了代号“Ghost”的加密通讯平台，该平台被用来作为开展各种犯罪活动的工具，包括大规模贩毒、洗钱、极端暴力事件和其他形式的严重有组织犯罪。 Ghost 应用程序具有先进的安全和匿名化功能，允许使用加密货币购买订阅，具有三层加密功能以及可从发送者和收件人的设备中删除证据的消息自毁系统。 全球有数千人每天使用 Ghost 平台交换大约 1,000 条消息，同时广泛的全球经销商网络向潜在客户推广该平台。 Ghost 应用程序通过广泛的经销商网络在犯罪生态系统中推广。经过修改的智能手机售价约为 2,350 美元，其中包括六个月的加密网络订阅和技术支持。 对该平台的调查由欧洲刑警组织行动工作组 (OTF) 牵头，于 2022 年 3 月开始，参与调查的特工来自美国、加拿大、法国、意大利、爱尔兰、澳大利亚、瑞典和荷兰。 此次行动导致发现了 Ghost 位于法国和冰岛的服务器、位于澳大利亚的平台所有者以及与该平台相关的位于美国的资产。 通过审查证据，当局能够在不同国家组织协同突袭，总共逮捕 51人，其中澳大利亚 38 人、爱尔兰 11 人、加拿大 1 人、意大利 1 人。 参与此次行动的澳大利亚警方在四个州的突袭行动中逮捕了 38 名嫌疑人，加拿大、瑞典、爱尔兰和意大利也逮捕了多名嫌疑人。 这些嫌疑人包括各种有组织犯罪集团的成员，他们涉嫌使用 Ghost 应用程序进行贩毒和杀人等犯罪活动。自 3 月以来，警方干预了 50 起潜在暴力案件，监控了 12.5 万条信息和 120 通视频通话。 澳大利亚联邦警察透露，警方能够破坏该应用程序使用的更新机制，并推出受污染的更新来危害客户的设备。 “管理员定期发布软件更新，就像普通手机所需的更新一样。但澳大利亚联邦警察能够修改这些更新，从而感染设备，使澳大利亚联邦警察能够访问澳大利亚设备上的内容。”澳大利亚联邦警察发布的新闻稿写道。 大多数使用 Ghost 的犯罪嫌疑人都在新南威尔士州，不过维多利亚州、西澳大利亚州、南澳大利亚州和澳大利亚首都领地也有 Ghost 用户。 主要经营者面临五项指控和可能的处罚，最高可判处 26 年监禁。 欧洲刑警组织执行主任凯瑟琳·德博勒评论道：“今天我们已经明确表示，无论犯罪网络认为自己有多么隐蔽，他们都无法逃脱我们的共同努力。” “9 个国家的执法部门与欧洲刑警组织携手，捣毁了一条严重有组织犯罪的生命线。” 除了逮捕之外，当局还捣毁了一个毒品实验室并缴获了武器、非法物质以及超过 100 万欧元（110 万美元）的现金。 查获的Ghost 手机 欧洲刑警组织表示，由于调查的复杂性，不得不在冰岛、爱尔兰和澳大利亚部署网络专家执行高度专业化的技术任务。 该机构还强调，诸如拆除 Ghost 以及之前的Sky ECC、EncroChat和Exlu等行动导致加密通信领域出现碎片化，这使得调查和犯罪追踪变得更具挑战性。 欧洲刑警组织在新闻稿中解释道：“作为回应，犯罪分子现在转向各种不太成熟或定制的通信工具，这些工具提供不同程度的安全性和匿名性。” “这一策略有助于这些行为者避免在单一平台上暴露他们的整个犯罪行动和网络，从而降低被拦截的风险。” 欧洲刑警组织最近呼吁对加密采取平衡的方法，主张采取措施确保隐私，同时不损害刑事调查中合法获取的数据。 该机构借此机会提醒私营公司，当刑事调查需要时，有责任提供合法的数据访问权。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/ls4lZa8niqVFyqNA6CPxjA 封面来源于网络，如有侵权请联系删除

伊朗情报和安全部（MOIS）下属的网络行动已成为该国黑客的复杂初始访问代理，为中东各地电信和政府组织的系统提供持续入口。 谷歌旗下的 Mandiant 公司周四发布了一份关于命名为 UNC1860 网络活动的报告。研究人员称，与该部门有关联的黑客开发了一系列令人印象深刻的专用工具和被动后门，这些工具和后门将继续协助伊朗的其他黑客行动。 Mandiant 解释说：“据报道，这些组织为针对以色列的破坏性和破坏性行动提供了初步途径，这些行动于 2023 年 10 月下旬使用 BABYWIPER 针对以色列，于 2022 年使用 ROADSWEEP 针对阿尔巴尼亚。” Mandiant 指出，虽然他们无法独立确认 UNC1860 是否参与了这两次行动，但他们发现了“可能旨在促进交接操作”的工具。 Mandiant 表示，UNC1860 的一个关键特性包括“维护这一系列多样化的被动/监听式设施，以支持该组织的初始访问和横向移动目标。” 这些工具旨在逃避反病毒软件的监控并提供系统的秘密访问，以用于各种目的。 Mandiant 称 UNC1860 是一个“强大的APT组织”，可能支持“从间谍活动到网络攻击行动等各种目标”。 该安全公司发现 UNC1860 的工具被其他与 MOIS 有关联的黑客组织使用的证据，例如APT34——一个著名的伊朗威胁组织，负责入侵约旦、以色列、沙特阿拉伯等国的政府系统。上周，研究人员发现了一项针对伊拉克政府官员的广泛 APT34 行动。 Mandiant 表示，该公司于 2020 年受聘应对 UNC1860 使用未具名受害者的网络扫描 IP 地址并暴露漏洞的事件，这些漏洞主要位于沙特阿拉伯。该公司还发现 UNC1860 对卡塔尔域名感兴趣的证据。 该公司补充说，2024 年 3 月针对以色列组织的擦除恶意软件活动中使用的工具也可能归因于 UNC1860。 Mandiant 表示：“在取得初步立足点后，该组织通常会部署额外的实用程序和一套选择性的被动植入物，这些植入物的设计比普通的后门更为隐蔽。” 其他公司过去也曾重点关注 UNC1860 的工具，其中包括思科、Check Point和Fortinet。 随着伊朗黑客组织网络行动变得越来越明目张胆，其受到安全研究人员和政府机构的越来越大的关注。 Mandiant 表示：“随着中东紧张局势持续起伏，我们认为，该攻击者在获取目标环境初始访问权方面的娴熟技能，对伊朗网络生态系统而言是一笔宝贵的资产，可随着需求的变化而用于应对不断变化的目标。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/IQKFQhb3RDBENKYQI62Qmw 封面来源于网络，如有侵权请联系删除

近日安全研究人员发现从游戏机到总统大选投标机的海量设备仍然使用不安全的测试密钥，容易受到UEFI bootkit恶意软件的攻击。 安全启动不安全 在近期的安全研究中，一项涉及设备制造行业安全启动（Secure Boot）保护机制的供应链失败问题引发了广泛关注。此次事件波及的设备型号范围远比之前已知的要广泛得多，受影响的设备涵盖了ATM机、POS机、甚至投票机等多个领域。 这一问题源自于过去十年间，数百种设备型号中使用了非生产环境的测试平台密钥，这些密钥在其根证书中标注了“DO NOT TRUST”（请勿信任）等警示语，此类密钥原本应仅用于测试环境，但设备制造商却将其应用于生产系统。 平台密钥作为加密的“信任根”锚定了硬件设备与其运行的固件之间的信任关系，确保安全启动机制正常运行。然而，由于大量用于测试安全启动主密钥的私钥被泄漏，极大地削弱了这一安全机制的有效性。研究发现，2022年甚至有人将一部分私钥在GitHub上公开发布。这些信息为攻击者提供了必要条件，能够通过植入“根工具包”（Rootkits）等恶意软件，破坏设备的UEFI（统一可扩展固件接口）安全启动保护。 500多种设备存在隐患 此次供应链安全事件被Binarly命名为“PKfail”（CVE-2024-8105），意指平台密钥（Platform Key）失效。此次失败展示了供应链复杂性已超出用户当前的风险管理能力，特别是在涉及第三方供应商时。不过，研究人员指出，这一风险完全可以通过“安全设计理念”进行规避和缓解。 根据Binarly的最新报告，受此问题影响的设备型号远超此前的认知。Binarly的研究工具在过去几个月中收集到了10095个固件样本，其中791个（约占8%）包含了非生产密钥。 受PKfail影响的固件数量 最初，Binarly识别出了大约513种设备型号使用了测试密钥，目前一数字已增长至972种。此外，最早报告的215个受影响型号中，有490个型号使用了在GitHub上公开的密钥。研究人员还发现了四个新的测试密钥，使得总数达到了约20个。 此前发现的密钥均来自AMI，这是一家为设备制造商提供UEFI固件开发工具包的主要供应商之一。自7月以来，Binarly还发现了AMI的其他两大竞争对手Insyde和Phoenix的密钥同样存在问题。 更多的受影响设备还包括： Hardkernel的odroid-h2、odroid-h3和odroid-h4 Beelink Mini 12 Pro Minisforum HX99G Binarly进一步指出，受影响的设备不仅限于桌面电脑和笔记本电脑，还包括大量医疗设备、游戏机、企业级服务器、ATM机、销售终端设备，甚至包括投票机！由于目前尚无修复方案，研究人员基于保密协议未披露具体的设备型号。Binarly发布了“PKfail扫描仪”，供应商可以自行上传固件映像查看是否使用了测试密钥。 此次事件表明，安全启动作为一种设备预启动阶段的加密保护机制，尽管被广泛应用于政府承包商和企业环境中，但其安全性依然存在隐患，其供应链管理中存在重大漏洞。   转自安全内参，原文链接：https://www.secrss.com/articles/70379 封面来源于网络，如有侵权请联系删除

近日，Discord 推出了 DAVE 协议，这是一个定制的端到端加密 (E2EE) 协议，旨在保护平台上的音频和视频通话免遭未经授权的拦截。 DAVE 是在 Trail of Bits 网络安全专家的帮助下创建的，该专家还对 E2EE 系统的代码和实施进行了审核。 新系统将涵盖用户在私人频道中的一对一音频和视频通话、小型群组聊天中的音频和视频通话、用于大型群组对话的基于服务器的语音频道以及实时流媒体。 Discord 在公告中写道： 他们将开始将 DM、群组 DM、语音频道和 Go Live 流中的语音和视频迁移至使用 E2EE。用户将能够确认通话何时进行了端到端加密，并对这些通话中的其他成员进行验证。 Discord 最初是为游戏玩家在游戏过程中进行交流而建立的，现在已发展成为世界上最流行的交流平台之一，满足了具有共同兴趣爱好的群体、创作者、企业和各种社区的需求。 DAVE 的推出是该平台加强数据安全和隐私保护的重要举措，该平台的使用人数已超过 2 亿。 最重要的是，Discord 决定将协议及其支持库开源，以便安全研究人员进行审查。此外，还发布了一份包含完整技术信息的白皮书，以确保对社区的透明度。 DAVE 技术概述 DAVE 使用 WebRTC 编码转换 API，允许在媒体帧（音频和视频）编码后和打包传输前对其进行加密。接收端对帧进行解密，然后解码。 只有特殊的编解码器元数据（如标题和保留序列）未加密。 DAVE 的运行概况 在密钥管理方面，信息层安全（MLS）协议用于安全和可扩展的群组密钥交换，每个参与者都有一个按发送者计算的对称媒体加密密钥。椭圆曲线数字签名算法（ECDSA）则用于生成身份密钥对。 当一个群组的组成发生变化时，比如一个成员离开或一个新成员加入，这时候群组的加密状态会通过生成新密钥，这个过程应该在不会对参与者造成明显干扰的情况下完成。 Discord 表示，MLS 会增加密钥交换的延迟，但 DAVE 的设计能将延迟控制在几百毫秒以内，即使在大型群组通话中也是如此。 最后，在用户验证方面，有一些带外方法，如比较从群组的 MLS 时序状态得出的验证码（称为 “语音隐私码”）。 由于每次通话都会为用户分配一个新的密钥，因此通过使用短暂的身份密钥可以防止持续跟踪。 语音隐私代码屏幕 分阶段推出 Discord 现已开始将所有符合条件的频道迁移到 DAVE，用户可以通过查看界面上的相应指示器来确认他们的通话是否经过端到端加密。 预计还需要一段时间，所有用户才能在所有设备和频道上完全访问新的 E2EE 系统。 用户除了升级到最新的客户端应用程序外无需做任何其他操作，老版本的客户端将仅限于传输加密。最初推出的版本将涵盖 Discord 的桌面和移动应用程序，网络客户端后续也将面世。   转自Freebuf，原文链接：https://www.freebuf.com/news/411234.html 封面来源于网络，如有侵权请联系删除

继9月17日黎巴嫩发生针对真主党的寻呼机爆炸事件后，首都贝鲁特等地于当地时间9月18日傍晚又发生了无线电对讲机爆炸。 以色列新闻媒体称，贝鲁特的一家移动维修店和葬礼游行现场发生了爆炸。据黎巴嫩官方通讯社报道，贝鲁特和该国南部多个地区的房屋中还发生了太阳能系统爆炸，造成至少一名女孩受伤。 据CNN报道，黎巴嫩卫生部称，此次对讲机爆炸目前已造成至少20人死亡，其中包括一名16岁男孩，另有450多人受伤。 黎巴嫩通信部称，发生爆炸的ICOM V82型对讲机由日本公司ICOM生产，且该产品不是由公认的代理商提供，没有官方许可，也没有经过安全部门的审查。对此，ICOM表示目前正在调查有关此事的事实。该公司网站称 IC-V82 已停产，目前流通的几乎所有型号都是假冒的。   爆炸的对讲机型号 根据《纽约时报》对现有视觉证据的分析，此次爆炸的对讲机比前一天在全国各地爆炸的寻呼机更大、更重，虽然爆炸发生地没有之前那么广泛，但在某些情况下还会引发更大的火灾，表明其中可能包含更多的爆炸物。 关于寻呼机、对讲机如何被引爆，目前说法不一。据央视新闻报道，有说法认为爆炸部件在制造或供应过程中被植入设备，也有人称操控者通过网络攻击导致设备电池过热爆炸。 英国南安普敦大学安全电子学副教授巴塞尔·豪拉克表示，约几厘米的小型爆炸雷管理论上可以放置于寻呼机等无线通信设备之中。 据悉，黎巴嫩真主党所使用的寻呼机和对讲机采购于海外企业。黎巴嫩安全部门官员表示，以色列有关部门在这批寻呼机的“生产层面”实施改装，其中植入的炸药用扫描仪或其他设备“非常难以探测”。另一名消息人士称，新购寻呼机内藏炸药至多3克，真主党人员几个月来毫无察觉。 曾在以军从事情报工作的以色列分析人士表示，黎巴嫩的寻呼机爆炸事件严重阻碍了黎巴嫩真主党武装的通讯，并可能破坏其在黎巴嫩南部针对以色列的行动。 联合国安理会将在当地时间20日就近期黎巴嫩多地发生的通信设备爆炸事件举行紧急会议，此前，联合国秘书长古特雷斯发表声明，对9月18日黎巴嫩多地发生的大量通信设备爆炸事件深感震惊，呼吁各方保持最大克制，以避免事态进一步升级。   转自Freebuf，原文链接：https://www.freebuf.com/news/411247.html 封面来源于网络，如有侵权请联系删除

俄罗斯反恶意软件公司 Doctor Web（Dr.Web 网络安全产品的开发商）周二表示，该公司最近遭遇了一次网络攻击。 该安全公司在其网站上发布的英文声明中表示，其检测到 9 月 14 日针对其资源的针对性攻击。 该公司表示：“对我们基础设施的破坏企图被及时阻止，受 Dr.Web 保护的用户系统没有受到影响。” 此次事件促使该公司切断了其网络中的所有资源，以检查是否存在被入侵的迹象。其 Dr.Web 病毒数据库也已暂时中止。 一篇用俄语写的帖子透露，该公司在发现入侵事件后一直密切关注攻击者的动向。在同一篇帖子中，该公司表示病毒数据库已恢复在线。 Doctor Web 尚未透露此次攻击背后的任何信息。网络安全公司可能成为任何类型的攻击者的目标，包括国家支持的团体、黑客活动分子和以营利为目的的网络犯罪分子。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/TZdVxQeDNUn3fwIe6KH5wA 封面来源于网络，如有侵权请联系删除

GitLab 发布了安全更新，以解决影响 GitLab 社区版 (CE) 和企业版 (EE) 的自主管理安装的严重 SAML 身份验证绕过漏洞。 安全断言标记语言 (SAML) 是一种单点登录 (SSO) 身份验证协议，允许用户使用相同的凭据登录不同的服务。 该漏洞编号为 CVE-2024-45409，源自 OmniAuth-SAML 和 Ruby-SAML 库中的一个问题，GitLab 使用这两个库来处理基于 SAML 的身份验证。 当身份提供者 (IdP) 向 GitLab 发送的 SAML 响应包含错误配置或被操纵时，就会出现此漏洞。 具体来说，该缺陷涉及对 SAML 断言中关键元素的验证不足，例如用于在不同系统间唯一标识用户的 extern_uid（外部用户 ID）。 攻击者可以制作恶意 SAML 响应，诱骗 GitLab 将其识别为经过身份验证的用户，绕过 SAML 身份验证并获得对 GitLab 实例的访问权限。 CVE-2024-45409 漏洞影响 GitLab 17.3.3、17.2.7、17.1.8、17.0.8、16.11.10 以及这些分支的所有先前版本。 该漏洞已在 GitLab 版本 17.3.3、17.2.7、17.1.8、17.0.8 和 16.11.10 中得到解决，其中 OmniAuth SAML 已升级到版本 2.2.1，Ruby-SAML 已升级到版本 1.17.0。 GitLab 在公告中警告称：“强烈建议所有运行受上述问题影响的安装尽快升级到最新版本。” GitLab.com 上的 GitLab Dedicated 实例用户无需采取任何行动，因为该问题仅影响自管理安装。 对于那些无法立即升级到安全版本的用户，GitLab 建议为所有帐户启用双因素身份验证 (2FA)，并将 SAML 2FA 绕过选项设置为“不允许”。 恶意利用迹象 GitLab 在公告中提供了尝试或成功利用的迹象，这表明恶意攻击者可能已经在利用该漏洞进行攻击。 尝试或成功利用漏洞的迹象如下： 与 RubySaml::ValidationError 相关的错误（尝试失败）。 身份验证日志中出现新的或不寻常的     extern_uid 值（成功尝试）。 SAML 响应中缺少信息或信息不正确。 单个用户的多个 extern_uid  值（表示潜在的帐户泄露）。 与用户通常的访问模式相比，来自陌生或可疑 IP 地址的 SAML 身份验证。 成功利用的示例日志 转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/TZdVxQeDNUn3fwIe6KH5wA 封面来源于网络，如有侵权请联系删除

Mandiant 称，被追踪为 UNC2970 的朝鲜黑客组织一直使用以工作为主题的诱饵，试图向在关键基础设施部门工作的个人传播新的恶意软件。 Mandiant 首次详细描述UNC2970 的活动及其与朝鲜的联系是在 2023 年 3 月，当时有人发现该网络间谍组织试图向安全研究人员发送恶意软件。 该组织至少自 2022 年 6 月就已存在，最初被发现以招聘工作为主题的电子邮件为目标，针对美国和欧洲的媒体和技术组织。 Mandiant 在周三发布的一篇博客文章中报告称，在美国、英国、荷兰、塞浦路斯、德国、瑞典、新加坡、香港和澳大利亚均发现了 UNC2970 目标。 Mandiant 公司称，近期的攻击主要针对美国航空航天和能源行业的个人。黑客继续利用以工作为主题的信息向受害者发送恶意软件。 UNC2970 一直通过电子邮件和 WhatsApp 与潜在受害者接触，自称是大型公司的招聘人员。 受害者会收到一个受密码保护的存档文件，其中似乎包含一份带有职位描述的 PDF 文档。然而，该 PDF 已加密，只能使用 Sumatra PDF 免费开源文档查看器的木马版本打开，该查看器也随文档一起提供。 Mandiant 指出，此次攻击并未利用任何 Sumatra PDF 漏洞，应用程序也未受到攻击。黑客只是修改了应用程序的开源代码，使其在执行时运行 Mandiant 追踪的 BurnBook 植入程序。 BurnBook 反过来部署了一个被跟踪为 TearPage 的加载程序，该加载程序部署了一个名为 MistPen 的新后门。这是一个轻量级后门，旨在在受感染的系统上下载和执行 PE 文件。 至于用作诱饵的职位描述，朝鲜网络间谍获取了真实的招聘信息文本，并对其进行了修改，以使其更符合受害者的个人资料。 Mandiant 表示：“所选职位描述针对的是高级/经理级员工。这表明攻击者旨在获取通常仅限于高级员工的敏感和机密信息。” Mandiant 尚未透露被冒充的公司的名称，但一份虚假职位描述的截图显示，BAE Systems 的招聘启事被用来针对航空航天业。另一份虚假职位描述是一家未具名的跨国能源公司。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/a8mYTcU6TLvUfLiOD_UkWg 封面来源于网络，如有侵权请联系删除  

真主党成员为了规避以色列对电话的追踪和监控，近几个月改用寻呼机进行通讯；多方消息显示，可能是某批次寻呼机被以色列截获篡改，植入炸药后真主党未发现继续分发使用；纽约时报称，这些寻呼机在昨天下午同时收到一条看似来自真主党领导层的消息，发出振动/蜂鸣声几秒后发生爆炸，尚不确定引爆指令是这条消息还是其他信号。 安全内参9月18日消息，黎巴嫩周二（17日）发生了一场疑似前所未有的袭击事件，真主党成员及其他人士使用的大量电子寻呼机突然神秘爆炸，导致全境约3000人受伤，其中至少9人死亡。 黎巴嫩国家新闻社将此事件形容为“一起前所未有的安全事故”，并指出爆炸发生在该国首都贝鲁特南部真主党控制的郊区及其他多个地区。 黎巴嫩代理卫生部长菲拉斯·阿比亚德（Firass Abiad）表示，超过2750人受伤，其中180人伤势危重。阿比亚德说，大多数伤者的伤情集中在脸部、手部和腹部，都是寻呼机通常放置的部位。 真主党指责以色列发起了此次袭击，大量寻呼机同时爆炸 真主党指责以色列发动了此次袭击。这一激进组织在周二的一份声明中表示：“我们完全指责以色列敌人对此次犯罪行径负责。” 以色列官员和军方对周二发生的寻呼机爆炸事件未作任何评论。以色列过去曾展示其具备发动复杂远程袭击的能力。 真主党表示，下午3点30分左右，其成员、工作人员和行动人员使用的寻呼机发生了爆炸。声明中还提到，死者中包括一名儿童和该组织的两名成员。伊朗驻黎巴嫩大使馆证实，伊朗大使也在此次袭击中受伤。 真主党在声明中表示：“真主党的专业部门目前正在展开大规模的安全和科学调查，以查明导致这些爆炸同时发生的原因。” 这起离奇且前所未有的袭击发生的数小时前，以色列曾暗示其正在考虑升级与真主党之间的军事对抗。真主党是伊朗支持的黎巴嫩什叶派激进组织，同时也是黎巴嫩最具影响力的政党之一。 猜测某批寻呼机被以色列截获篡改，植入炸药后远程引爆 自去年10月以来，真主党与以色列一直处于相互攻击的局面。为了规避以色列对电话的追踪和监控，真主党成员在过去几个月里改用寻呼机进行通讯。 路透社报道称，被毁坏的寻呼机照片显示，其格式和背面的贴纸与中国台湾企业金阿波罗公司生产的AP924型号寻呼机一致，该机型采用的是可拆卸锂电池。 爆炸的具体原因尚未确定。 总部位于贝鲁特的互联网监督组织SMEX的技术专家推测，可能有一批寻呼机被截获，并被植入了少量炸药，这些炸药可以通过定时器或预设信号引爆。 一位接受卡塔尔半岛电视台采访的安全专家表示，这些寻呼机似乎被植入了大约一盎司的炸药。据称，这些寻呼机是由真主党进口的约5000台设备中的一部分。 另一种可能性是，以色列可能研发出了一种技术，能够让寻呼机的电池过热。专家指出，现代寻呼机使用的是锂离子电池，这类电池在过热的情况下可能起火并爆炸。 欧盟高级政治风险分析师伊莱贾·马格尼尔接受美联社采访称，他曾与真主党成员交谈过，他们检查过未爆炸的寻呼机，引发爆炸的原因似乎是将一条错误消息发送目标寻呼机，引发寻呼机振动，迫使用户点击按钮来停止振动。这种远程操作在引爆炸药的同时，确保了爆炸发生时用户在场。 爆炸事件造成严重人身伤害，当地医院被挤满 数百名伤者被送往位于贝鲁特市中心的美国大学医院，其中一位身穿绿色衬衫、满身是血的壮汉穆罕默德·萨尔哈布（Mohammad Salhab）正在等待他朋友的消息。 萨尔哈布说：“他当时手里拿着寻呼机，医生不得不为他截肢，无法保住他的手。” 此次袭击的消息在有真主党官员和行动人员活动的社区引发了恐慌，人们纷纷打电话通知家人，要求他们断开路由器及其他可能易受攻击的设备。 爆炸发生时，途经贝鲁特南部郊区的目击者看到一名血迹斑斑的男子躺在地上，周围聚集了不少人。 社交媒体上发布的图片声称是此次袭击的画面，其中一张照片显示，一名购物者站在水果市场的摊位附近时，他的袋子突然爆炸。另一张照片则显示一名男子在店内手持寻呼机，正要放在桌子上时发生了爆炸，将他震飞。 《洛杉矶时报》尚未能独立验证这些视频或照片的真实性。 数十辆救护车在贝鲁特拥堵的街道上穿梭，运送伤者，而黎巴嫩南部的医院已经被大量伤员挤满。 与此同时，黎巴嫩卫生部要求所有医院进入紧急状态，并呼吁全国医务人员立即返回医院工作。 以色列尚未回应，但声称挫败了一起真主党远程暗杀计划 周一晚间，以色列总理本雅明·内塔尼亚胡表示，政府在与加沙地带哈马斯激进分子的战争中的目标，现在将包括确保北部以色列居民能够安全返回家园。 自2023年10月8日以来，约6万名北部以色列居民因真主党为声援哈马斯向以色列发射火箭弹而被迫流离失所。 分析人士指出，尽管以色列尚未承认对此次寻呼机爆炸负责，但事件加剧了全面战争爆发的风险。 特拉维夫国家安全研究所高级研究员奥尔娜·米兹拉希（Orna Mizrahi）表示：“与之前相比，现在我们距离全面战争的可能性更近了。” 同样在周二，以色列国内情报机构辛贝特宣布，成功挫败了真主党试图使用远程设备暗杀一名前以色列高级安全官员的计划。辛贝特表示，此次袭击计划原本将在未来几天内实施。 包括参谋长赫尔齐·哈莱维（Herzi Halevi）中将在内，以色列高级指挥官周二晚上召开会议，讨论“在所有战线上做好攻击和防御的准备”。以色列军方在一份简短声明中提到此次会议，但未提及寻呼机爆炸事件。 联合国称，周二的事态发展“极为令人担忧”，特别是在以色列和真主党持续敌对的动荡背景下。联合国秘书长安东尼奥·古特雷斯的发言人斯特凡·杜加里克（Stephane Dujarric）表示，联合国“再怎么强调黎巴嫩及该地区局势升级的风险也不为过。”   转自安全内参 ，原文链接：https://www.secrss.com/articles/70336 封面来源于网络，如有侵权请联系删除

RansomHub 勒索软件组织公布了其据称从摩托车制造商川崎欧洲汽车公司 (KME) 窃取的 487 GB 数据。 川崎欧洲汽车公司上周披露了这一事件，并告知客户该公司正在从 9 月初未成功的网络攻击中恢复。 该公司表示，作为预防措施，服务器被暂时隔离，并启动清理过程以检查所有数据并处理任何潜在的感染。 KME 表示：“KME IT 部门、其分支机构的 IT 员工以及外部网络安全顾问花了一周时间隔离和检查所有服务器并恢复其互连。” 该公司表示，已成功恢复 90% 以上的服务器功能，并恢复“经销商、业务管理部门以及物流公司等第三方供应商”的正常业务。 虽然这家摩托车制造商并未透露其遭遇了何种类型的网络攻击，但在官方发布事件通知时，RansomHub 勒索软件团伙已将川崎添加到其基于 Tor 的泄密网站中。 该组织声称从 KME 窃取了 487 Gb 的数据，并威胁说，除非支付赎金，否则将公开发布据称被盗的信息。 周末，由于勒索未遂，RansomHub 兑现了威胁，并公布了相关数据。 KME 是日本制造商川崎重工的一个部门，销售摩托车、多功能车、动力运动行业产品、零件、配件和装备。 美国政府在上个月底的联合公告中表示，RansomHub 勒索软件团伙自 2024 年 2 月起活跃，截至 8 月底已造成210 多名受害者。然而，该组织基于 Tor 的网站上并未列出所有受害者。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/7IiTk13ruzyA44wEyNM3cg 封面来源于网络，如有侵权请联系删除  

美国最高网络监管机构CISA敦促联邦机构移除或升级一款不再更新且已被用于攻击的 Ivanti 设备。 该科技公司周五更新了一份公告，警告称，由于 CVE-2024-8190 的利用，“有限数量的客户”遭到入侵。 该漏洞于周二公布，影响了 Ivanti 的云服务设备 (CSA) – 一种通过互联网提供安全通信并作为托管设备和中央控制台连接的中心点的工具。 网络安全和基础设施安全局 (CISA)也在周五证实了这一漏洞的存在，利用该漏洞，黑客可以“访问运行 CSA 的设备”。 该咨询指出，CSA 4.6 已终止使用并且“不再接收针对操作系统或第三方库的补丁”。 “此外，随着生命周期结束，这是 Ivanti 将为该版本反向移植的最后一个修复。客户必须升级到 Ivanti CSA 5.0 才能继续获得支持。”他们说。“CSA 5.0 是唯一受支持的版本，不包含此漏洞。已经运行 Ivanti CSA 5.0 的客户无需采取任何其他措施。” CISA命令所有联邦民事机构在 10 月 4 日之前停止使用 CSA 4.6 或升级到 5.0。 Ivanti 表示，用户可以通过查看是否有修改或新增的管理用户来判断自己是否受到该漏洞的影响。他们还敦促客户检查安全警报，看是否涉及某些安全工具。 这个问题出现的前一天，Ivanti 的另一个漏洞引起了防御者的警惕。今年 4 月，美国和欧洲政府机构的系统遭到一系列引人注目的国家攻击，这些攻击利用 Ivanti 产品中的漏洞，攻破了这些政府机构的系统。此后，该公司承诺进行安全整改。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/hkZSlnEcUiBloKEieu8PLg 封面来源于网络，如有侵权请联系删除

CISA 已命令美国联邦机构确保其系统安全，防范最近修补的 Windows MSHTML 欺骗零日漏洞，该漏洞遭 Void Banshee APT 黑客组织利用。 该漏洞 ( CVE-2024-43461 ) 于9月的补丁日披露，微软最初将其归类为未被攻击利用。然而，微软于周五更新了公告，确认该漏洞在修复之前曾被攻击利用。 微软透露，攻击者在 2024 年 7 月之前利用了 CVE-2024-43461，作为与另一个 MSHTML 欺骗漏洞 CVE-2024-38112 的漏洞链的一部分。 “我们在 2024 年 7 月的安全更新中发布了针对 CVE-2024-38112 的修复程序，从而打破了这一攻击链。”它表示。“客户应该同时安装 2024 年 7 月和 2024 年 9 月的安全更新，以全面保护自己。” 报告此安全漏洞的趋势科技零日计划 (ZDI) 威胁研究员 Peter Girnus告诉 BleepingComputer，Void Banshee 黑客在0day攻击中利用该漏洞安装了窃取信息恶意软件。 该漏洞使远程攻击者能够通过诱骗目标访问恶意制作的网页或打开恶意文件，在未修补的 Windows 系统上执行任意代码。 ZDI 公告解释道：“特定漏洞存在于 Internet Explorer 在文件下载后提示用户的方式中。精心设计的文件名可能导致隐藏真实文件扩展名，从而误导用户认为该文件类型无害。攻击者可以利用此漏洞在当前用户的上下文中执行代码。” 他们利用 CVE-2024-43461 漏洞传播伪装成 PDF 文档的恶意 HTA 文件。为了隐藏 .hta 扩展名，他们使用了 26 个编码的盲文空白字符 (%E2%A0%80)。 伪装成 PDF 文档的 HTA 文件 正如 Check Point Research 和 Trend Micro 7 月份所披露的那样，这些攻击中部署的Atlantida 信息窃取恶意软件可以帮助从受感染的设备中窃取密码、身份验证 cookie 和加密货币钱包。 Void Banshee 是一个 APT 黑客组织，由趋势科技首次发现，其以北美、欧洲和东南亚的组织为目标，窃取经济利益和数据而闻名。 CISA命令联邦机构在10月7日前修复 CISA 已将MSHTML 欺骗漏洞添加到其已知被利用漏洞目录中，将其标记为主动利用漏洞，并命令联邦机构在 10 月 7 日之前修复漏洞以保护易受攻击的系统。 CISA表示：“这些漏洞是恶意攻击者频繁利用的媒介，对联邦机构构成重大风险。” 尽管 CISA 的 KEV 目录主要侧重于向联邦机构发出应尽快修补的安全漏洞警报，但也建议全球私人组织优先缓解此漏洞以阻止正在进行的攻击。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/x0_Yzlx8I5RVXvFE7Vefjw 封面来源于网络，如有侵权请联系删除