Aggregator

黑客利用 Excel 文件在 Windows 上传播 Remcos RAT 变体

HackerNews
9 months 3 weeks ago
Fortinet FortiGuard 实验室的网络安全研究人员发现了一个危险的网络钓鱼活动，该活动散布了一个新的 Remcos RAT（远程访问木马）变种。这种功能强大的恶意软件在网上贩卖，以微软Windows用户为目标，让威胁分子远程控制受感染的电脑。 根据 Fortinet 与 Hackread.com 分享的调查结果，这一活动是通过伪装成订单通知（OLE Excel 文档）的欺骗性钓鱼电子邮件发起的。打开附件中的恶意 Excel 文档后，CVE-2017-0199 漏洞就会被利用，下载并执行 HTML 应用程序 (HTA) 文件。 CVE-2017-0199是一个远程代码执行漏洞，它利用Microsoft Office和WordPad对特制文件的解析，允许MS Excel程序显示内容。 该 HTA 文件经过多层混淆处理，其代码以不同脚本（包括 JavaScript、VBScript、Base64 编码、URL 编码和 PowerShell）编写，可提供主要有效载荷。 然后，它下载恶意可执行文件（dllhost.exe），并通过 32 位 PowerShell 进程执行，以提取和部署 Remcos RAT。恶意软件会修改系统注册表，使其在系统启动时自动启动，以确保持久性。 Remcos 会连接到 C&C 服务器，发送包含受感染系统的系统、用户、网络和版本信息的注册数据包，并接收用于信息收集、文件操作、远程执行、键盘记录、屏幕录制和网络摄像头捕获的命令。 这个新变种采用了多种持久性机制，包括先进的反分析技术，如 Vectored Exception Handling。它创建了一个自定义异常处理程序，用于拦截/处理执行异常，防止单步等调试技术。 由于不直接存储 API 名称，Remcos 使用哈希值来识别 API，通过匹配哈希值从进程环境块（PEB）中提取地址，这使得静态分析更具挑战性，因为工具无法轻松识别被调用的函数。 它还通过检查调试寄存器（DR0 至 DR7）、监控调试器常用的 API 调用以及使用 ZwSetInformationThread() API 隐藏当前线程，从而检测调试器的存在。此外，它还使用 ZwQueryInformationProcess() API 来检测进程是否连接了调试器，并采取规避措施。 进程空洞化是它用来逃避检测的另一种技术。研究人员发现，该恶意软件会暂停一个新创建的合法进程（Vaccinerende.exe），将其代码注入内存，然后再恢复该进程，使其成为一种持久性威胁。 研究人员在报告中指出：“恶意代码在系统注册表中添加了一个新的自动运行项，以保持持久性，并在重新启动时保持对受害者设备的控制。” 为了保护自己，请避免点击电子邮件中的链接或附件，除非它们是合法的；使用安全软件和杀毒软件；不断用最新补丁更新软件；在打开文档之前，考虑使用内容解除和重构（CDR）服务来删除文档中嵌入的恶意对象。       转自安全客，原文链接：https://www.anquanke.com/post/id/301717 封面来源于网络，如有侵权请联系删除
内容转载

Dell Enterprise SONiC Flaw Let Attackers Hijack the System

GBHackers on Security | #1 Globally Trusted Cyber Security News Platform
9 months 3 weeks ago

Dell Technologies has disclosed multiple critical security vulnerabilities in its Enterprise SONiC OS, which could allow attackers to gain control of affected systems. These vulnerabilities, identified through the Common Vulnerabilities and Exposures (CVE) system, are critical and affect Dell Enterprise SONiC OS versions 4.1.x and 4.2.x. Dell urges users to upgrade their systems immediately to […]

The post Dell Enterprise SONiC Flaw Let Attackers Hijack the System appeared first on GBHackers Security | #1 Globally Trusted Cyber Security News Platform.

The post Dell Enterprise SONiC Flaw Let Attackers Hijack the System appeared first on GBHackers Security | #1 Globally Trusted Cyber Security News Platform.

Divya

病毒学家用其在实验室培养的病毒治疗自己的癌症

Solidot
9 months 3 weeks ago
2020 年 49 岁的 Beata Halassy 在之前切除乳房的地方发现了乳腺癌。这是她左乳房切除后的第二次复发，她无法再接受化疗了。Halassy 是克罗地亚萨格勒布大学的病毒学家，她研究了文献，决定用一种未经证实的治疗方法来解决这个问题。8 月发表在《Vaccines》杂志上的一份病例报告概述了 Halassy 是如何自我实施一种名为溶瘤病毒疗法（OVT）的治疗来帮助治疗她自己的 3 期癌症的。她现在已经摆脱癌症四年了。在选择自我实验时，Halassy 加入了一长串科学家的行列，他们参与了这种不为人知的、被污名化的、充满伦理问题的实践。OVT 是一个新兴的癌症治疗领域，它使用病毒来攻击癌细胞，并激发免疫系统来对抗它们。Halassy 强调，她不是 OVT 方面的专家，但她在实验室培养和纯化病毒的专业知识给了她尝试这种治疗的信心。她选择连续使用两种不同的病毒——一种是麻疹病毒，另一种是水疱性口炎病毒（VSV）。在两个月的时间里，她的一位同事将 Halassy 新制备的研究级材料直接注射到她的肿瘤中，进行了一系列治疗。这种方法似乎是有效的：在治疗过程中，没有严重的副作用，肿瘤大幅缩小，变得更软。它还从侵入的胸肌和皮肤上分离，使手术切除变得容易。

戴尔企业级 SONIC 操作系统修补重大安全漏洞

HackerNews
9 months 3 weeks ago
戴尔发布了企业SONIC操作系统的安全更新，以解决多个漏洞，其中包括可能允许攻击者入侵受影响系统的关键漏洞。 这些漏洞被识别为 CVE-2024-45763、CVE-2024-45764 和 CVE-2024-45765，影响戴尔企业 SONIC 操作系统 4.1.x 和 4.2.x。 CVE-2024-45763： 受影响的 SONiC 版本中存在操作系统命令注入漏洞，“具有远程访问权限的高权限攻击者可利用此漏洞，导致命令执行”。戴爾強烈建議升級至已修補的版本，以減輕此 9.1 CVSS 評級風險 CVE-2024-45764： 身份验证中关键步骤缺失漏洞允许 “拥有远程访问权限的未经身份验证的攻击者[利用]此漏洞，导致保护机制绕过”。该漏洞的 CVSS 得分为 9.0，因此需要立即升级 CVE-2024-45765： 另一个操作系统命令注入漏洞，CVSS 得分为 9.1，可使高权限命令在低权限角色下执行，从而导致命令执行。 该公告称：“这是一个严重程度很高的漏洞，因此戴尔建议客户尽早升级。” 戴尔已经发布了企业SONIC操作系统的更新版本，以解决这些漏洞。我们敦促用户尽快升级到4.1.6或4.2.2版本。     转自安全客，原文链接：https://www.anquanke.com/post/id/301721 封面来源于网络，如有侵权请联系删除
内容转载

梆梆安全入选《软件供应链安全能力构建指南（2024版）》十大代表性厂商

嘶吼
9 months 3 weeks ago

近日，国内网络安全领域权威媒体安全牛正式发布《软件供应链安全能力构建指南（2024版）》，报告内容侧重于软件供应链安全能力建设的技术、工具和构建方法，帮助企业CSO应对软件供应活动中的安全管理要求。

梆梆安全凭借在移动应用供应链领域多年积累的技术优势、方案优势、服务优势，以及较高的市场占有率等多维度实力，最终入选“软件供应链安全领域十大代表性厂商”。

安全牛评

1.深耕于移动、物联网安全，品牌知名度、市场占有率都较高；

2.技术能力方面，公司持续投入研发，产研体系完善，产品化能力和产品成熟度都较高，产品创新性、稳定性及用户体验较好；

3.方案应用方面，项目落地能力及用户认可度较好；

4.拥有完善的安全服务资质，具备高水平的人员配置和应急响应能力。

梆梆安全结合自身多年来在移动应用安全领域积累的丰富技术、经验，提供多端软件供应链全生命周期防护思路：

安全设计&开发&集成

·开发阶段在安全实现方面如何设计、如何开发，给出专业的安全基线做参考

·开发阶段在安全功能实现上提供成熟的安全组件做支撑

安全检测

·开发阶段生产上线前，进行自动化测评以及渗透测试达到加强安全性和代码健壮性的目的

安全保护

·发布前对应用软件进行安全加固，防止针对性攻击和破解，导致核心算法、密钥、后台 API 接口、业务逻辑等重要内容泄露和利用

安全管理

·发布时针对需要监控的应用软件进行登记管理并进行授权绑定，同时通过接入管理，能够有效的管理接入商户

运行监控

·运行时对应用软件进行实时监控，可检测风险和威胁，在风险发生时或发生前做到预警和阻断，风险发生后进行溯源

安全响应

·利用应用软件威胁态势感知检测的结果，分析并响应各种安全威胁, 并利用业务控制、技术对抗及法律方法给予响应处理

梆梆安全以移动安全为核心，建立了全面的移动应用安全防护生态体系，通过“动静结合、横向端到端联动+实时防御、纵向全渠道联动”的防护理念，实现端到端的风险联动防御，以及多渠道的协同防御，全面打造“安全合规、架构稳定、产品易用”的移动应用安全环境，为行业用户保驾护航。

梆梆安全

Ghostscript 更新修补了六个严重漏洞： 代码执行、缓冲区溢出和路径遍历风险

HackerNews
9 months 3 weeks ago
流行的文档渲染引擎 Ghostscript 发布了一个重要的安全更新，解决了多个漏洞，其中一些漏洞可能导致远程代码执行。 Ghostscript 是一种广泛使用的 PostScript 和 PDF 文件解释器，它在最新发布的 10.04.0 版本中修补了一系列安全漏洞。这些漏洞源于 Ghostscript 在处理不同文件格式和数据结构时出现的各种编码错误。恶意行为者可以利用这些错误制作专门设计的 PostScript 或 PDF 文件，当这些文件被有漏洞的 Ghostscript 版本处理时，就会触发这些漏洞，导致代码执行或信息泄露。 最严重的漏洞包括 CVE-2024-46951、CVE-2024-46952、CVE-2024-46953 和 CVE-2024-46956： 这些漏洞可让攻击者利用与未检查指针、缓冲区溢出和越界数据访问相关的问题执行任意代码。这些漏洞存在于 Ghostscript 的多个组件中，包括 PostScript 解释器和 PDF 处理模块。 CVE-2024-46954： 此漏洞涉及超长UTF-8编码，可被利用来实现目录遍历，潜在允许攻击者访问敏感文件。 CVE-2024-46955： 该漏洞虽然不太严重，但可能导致越界读取，从而泄露敏感信息。 鉴于 Ghostscript 在各种应用程序中处理 PDF 和 PostScript 文件的作用，这些漏洞凸显了安全文档处理的关键需求，特别是在处理外部或用户提交文件的环境中。与任意代码执行、路径遍历和缓冲区溢出漏洞相关的风险使 Ghostscript 成为恶意行为者利用文档处理漏洞入侵系统的目标。 强烈建议 Ghostscript 用户更新到 10.04.0 或更高版本，以降低被利用的风险。     转自安全客，原文链接：https://www.anquanke.com/post/id/301733 封面来源于网络，如有侵权请联系删除
内容转载

Managed ad