闲言碎语

一个人的闲言碎语

dr0v

blog.drov.com.cn
一个人碎碎念。
About Me
A lazy security employee.
显示标签为“僵尸网络”的博文。显示所有博文
显示标签为“僵尸网络”的博文。显示所有博文

2019年2月25日星期一

安全周事记(20190225)

Posted by drovliu on 二月 25, 2019 with No comments

  • 网络犯罪分子正在利用一个在2018年12月被发现和已修补的ThinkPHP漏洞传播Yowai（Mirai变种）和Hakai（Gafgyt变种）两种僵尸网络病毒。
    网络犯罪分子利用字典攻击破坏使用PHP框架创建网站的Web服务器，并获得这些路由器的控制，以实现分布式拒绝服务攻击（DDoS）。
    吐槽：Yowai还会清除竞争对手的后门程序。黑产的世界才是血腥和残酷的。
  • 由于商店应用初始更新检查使用HTTP，攻击者在控制网络流量（例如，在网络上实施中间人攻击）的前提下，可以更改用于负载平衡的URL并修改对镜像的请求至用户所控制的域名。这将允许攻击者欺骗Galaxy Apps使用任意带有有效SSL证书的主机名，并模拟应用商店API来修改设备上的现有应用。（最重要的是）攻击者可以在三星设备上利用此漏洞实现远程代码执行。
    吐槽：MITM攻击真的随处可见。
  • google开放自己的零信任框架后，各大安全公司开始推崇“零信任”安全架构成为网络安全流行框架之一。
    吐槽：国内安全公司大多还是跟风为主。
  • 话不多说，看图：
    吐槽：毛熊之厉害，可见一斑。
  • 印度国有天然气公司（Indane）面向经销商和渠道商的网站上，尽管只能通过有效的用户名和密码进行访问，但部分内容已经被谷歌搜索引擎编入索引。
    吐槽：据说爆料者担心受Indane报复~
  • 木马模块只是接管了官方游戏的登录流程，从而达到偷偷盗取用户账号密码的目的。
    吐槽：主要骚操作就是买SEO广告。
  • 对于安全狗杀形，d 盾杀参的思路来绕过。生僻的回调函数, 特殊的加密方式, 以及关键词的后传入都是不错的选择。
    对于关键词的后传入对免杀安全狗，d 盾，河马 等等都是不错的，后期对于菜刀的轮子，也要走向高度的自定义化
    用户可以对传出的 post 数据进行自定义脚本加密，再由 webshell 进行解密获取参数，那么以现在的软 WAF 查杀能力几乎为 0，安全软件也需要与时俱进了。
    吐槽：不明觉厉系列。
  • 信息安全五大时期：
    1. 通信安全时期
    2. 计算机安全时期
    3. 网络安全时期
    4. 信息安全时期
    5. 数据安全时期
      吐槽：数据亦是信息的一部分，只不过当前互联网蓬勃发展，数据积累为大数据，所以安全也跟风谈着重谈数据安全。七本质依旧是保障信息安全。
  • 通过各种贴吧、论坛等信息逐步追溯，过程中一些关键点：QQ、支付宝名字认证等；然后最关键的，还是对人的社工。
    吐槽：所以说，黑产从业者的赚钱门路真的五花八门。
  • 吐槽：科普贴
  • 本次的漏洞是出现在ndex.class.php中的likejob_action()和saveresumeson_action()函数，由于这两个函数对用户的输入没有进行严格的显示，同时利用mysql的特点能够绕过waf。
    吐槽：有源码的注入只需要耐心；前提是挖洞的脑洞有。
  • 主要实战了如何用wireshark做流量分析，信息提取。
    吐槽：恩，跟分析木马差不多的原理咯。都不用分析泄露了什么数据？
  • Justniffer是一款功能强大的网络协议分析工具，它可以捕捉网络流量并以定制化的方式生成日志文件。除此之外，它还可以模拟Apache Web服务器日志文件，跟踪响应事件并从HTTP流量中提取出所有截获到的文件。
    Justniffer项目官网：【传送门】
    吐槽：还是wireshark分析器好点吧。
  • FireEye的Mandiant应急响应和情报团队识别出了一波DNS劫持攻击，这波攻击影响了大量域名，其中包括中东、北非、欧洲和南美地区的政府机构、通信部门以及互联网基础设施。研究人员目前还无法识别此次活动背后的攻击者身份，但初步研究表明，攻击者与伊朗有关。
    吐槽：跨国DNS劫持，所以在国家机器面前，个人信息安全如何保障？
  • 近期绿盟科技应急响应团队检测到多家政府、教育、企事业单位网站被黑客植入恶意链接，访问链接后会跳转到指定色情网站。攻击者利用第三方的编辑器的未授权访问及上传漏洞，上传相关恶意HTML页面。结合SEO技术，提升恶意站点在搜索引擎的收录和权重。
    吐槽：事业单位网站、app外包的危害将一直持续下去。
  • 暴力破解还可用于发现Web应用程序中的隐藏页面和内容，在你成功之前，这种破解基本上是“破解一次尝试一次”。
    吐槽：当然，暴力破解更多用于密码爆破；虽然也有爆破漏洞啥的(fuzzing)，但其目的往往仅是发现问题(crash)。
  • 2018年，勒索病毒攻击整体态势以服务器定向攻击为主，辅以撒网式无差别攻击手段。
    政企单位防范勒索病毒建议从七个方面着手，即及时更新最新的补丁库、杜绝弱口令、重要资料定期隔离备份、提高网络安全基线、保持软件使用的可信、选择正确的反病毒软件、建立高级威胁深度分析与对抗能力。
    吐槽：勒索变现-新纪元。
  • 最为严重的就是Torpedo，它利用了蜂窝寻呼协议（paging protocol，运营商用于来电或者短信之前通知手机）的弱点，在短时间内拨打和取消手机通话可以在通知目标设备来电的情况下触发寻呼协议，从而让攻击者追踪受害者的位置。研究人员说，知道受害者的寻呼时机还可以让攻击者劫持寻呼通道，并通过欺骗消息(如Amber警报)或完全阻止消息来插入或拒绝寻呼消息。
    吐槽：又一核武器埋下。
​
Categories: , , , , , , , , ,

2019年1月3日星期四

安全周事记(20190103)

Posted by drovliu on 一月 03, 2019 with No comments
  • 吐槽：’善用Google其实能够满足绝大部分场景’
    1. 至少伪造了98个假的媒体。
    2. 每个媒体都有自己的网站，社交媒体帐户和在全球发布虚假新闻的网页。
    3. 许多虚假媒体还创建了移动应用程序。
      吐槽：看看’国家队’，玩的就是比你好。
  • 安全人员如何用业务说话:
    1. 运营生产率
    2. 客户忠诚度和保留率
    3. 毛利率
    4. 每过程工作时间
    5. 客户流失率
    6. 净推荐值
    7. 客户转化率
      吐槽：各个业务指标中，安全成本占多少、产出占多少也是很难的一个计算过程。
  • 针对日本民众发送虚假的海啸预警邮件，诱骗人们点击下载木马——之前是Smoke Loader，11月底更换为AZORult，均是在俄罗斯地下论坛销售的木马。
    幕后黑手可能正在谋划另一波攻击。
    吐槽：所以已经感知到了为什么不能处置？还是担心处置会带来更大的变化？那么威胁感知能做什么呢？
  • 火绒安全团队发现某商业公司制作的流量劫持病毒”FakeExtent”（产品名为”天馨气象”），正通过”WIN7之家”等下载站中的多款激活工具大范围传播。该病毒入侵电脑后，会释放多个恶意插件，篡改系统配置、劫持流量。
    吐槽：黑产企业化 or 企业黑化 ？
  • 在最近的3篇文章中，主要关注的是如何绕过WAF规则集，最终获得远程命令执行权限。在本文中，分享如何利用PHP绕过过滤器（filter）、输入限制以及WAF规则，最终实现远程代码执行。
    具体的突破、防御策略演进可通读全文，推荐阅读
    吐槽：总的来看就是利用了php的语言特性绕过WAF，惊艳度不如无字符payload。
  • 一款专为安全专家设计的自动化渗透测试框架，可在渗透测试过程中帮助研究人员完成漏洞的枚举和扫描任务
    github地址：Sn1per
    吐槽：好不好用，用了才知道。我不用。
  • 洗钱的目的是将黑钱转化为正常的钱，使得黑钱难以被追回。
    吐槽：所以直播平台、游戏平台、代充平台等，洗钱的嫌疑尤其之重；更早前好像是电影是洗钱平台？
  • 主要还是软广，sentinelone团队可以从一个POC入手，检测到整个攻击流程(不是流量好么？)，流程中所用到的工具、代码、资源均可以还原给客户做追踪和防御。
    吐槽：已经无法相信当前的翻译质量了。
  • 近期绿盟伏影实验室威胁被动感知系统再次捕获到利用ADB接口进行传播的具有DDoS功能的僵尸网络。经过样本分析人员研究发现，该僵尸网络家族是Mirai的又一新变种（作者命名为Darks），并且与年初的挖矿样本扫描行为部分具有高度相似性。不同的是年初的样本功能为挖矿，而当前样本功能为DDOS，推测与最近一段时间虚拟货币行业不景气有关。
    吐槽：经济下行，连黑产都不好过了啊。
  • F-Secure(从钓鱼邮件层面)监测到了一波针对法国工控行业的网络钓鱼攻击活动，攻击目标涉及法国的化学制造、航空、汽车、银行、工业软件提供商和IT服务提供商等多个行业专门机构。
    吐槽：一看威胁情报图就是用了vt的graph
  • 详细介绍了当前摄像头安全方方面面的问题：覆盖情况、暴露情况、漏洞情况、产业分析等等。推荐下载阅读。
    吐槽：这种报告才是真正有意义的总结报告。
  • 在密码学中也有类似的三板斧，对于科普读者来说，无论是希望理解HTTPS、暗网，还是比特币等密码学应用，其实只需要理解三个概念：
    • 单向散列（Hash）
    • 对称加密
    • 非对称加密
      吐槽：说当然显得很容易，且市面上运用也很简便，但实质的密码安全却是所知安全届最学术前沿的；好像学术前沿基本都是跟数学挂钩？
  • 360烽火实验室研究团队发现“个人所得税App”被恶意广告木马盯上，12月27号上线一天，就检测到62例伪装木马样本
    吐槽：啥火我’装’啥。
  • 文章介绍了在usb流量中隐藏信息的一种方式——额~~~ 脑洞有点大。
    吐槽：’不就是手工按了 5 0 4 b 0 3 0 4 的按键么？这和隐藏数据有啥关系，就一道脑洞打开的隐写题目而已。’
  • 近期360互联网安全中心监测到一款专门劫持HTTPS的木马再次开始活跃。在2017年，我们就曾曝光过该病毒团伙，在那之后该团伙确实有所收敛，谁知最近他们重出江湖，又开始大肆传播——HTTPS劫匪木马的主控域名之一erhaojie[.]com，在近期的域名请求次数单日峰值已超过190万次。
    吐槽：微博引流；京东推广。
  • 项目地址：iGoat-Swift
    主要就是介绍了如何通过iGoat对Swift应用进行逆向，也可以用来发现一些漏洞啥的。
    吐槽：这个机翻看的真难受。
  • 趨勢科技在Google Play商店上偵測到15個會進行點擊廣告詐騙的桌布應用程式——一些壁纸类应用。
    吐槽：出海发家致富啊
  • 近期的一项安全研究表明，攻击者可以将智能灯泡的灯光作为通信信道，然后利用这条通信信道来窃取被入侵设备中的敏感数据。
    吐槽：实用性较差，想象力充足；另，证明了IOT安全的薄弱。
  • 基于这些重大APT攻击事件的危害程度、攻击频度、攻击技术等，评选出2018年全球十大APT攻击事件：
    1. 韩国平昌冬奥会APT攻击事件
    2. VPNFilter：针对乌克兰IOT设备的恶意代码攻击事件
    3. APT28针对欧洲、北美地区的一系列定向攻击事件
    4. 蓝宝菇APT组织针对中国的一系列定向攻击事件
    5. 海莲花APT组织针对我国和东南亚地区的定向攻击事件
    6. 蔓灵花APT组织针对中国、巴基斯坦的一系列定向攻击事件
    7. APT38针对全球范围金融机构的攻击事件
    8. 疑似DarkHotel APT组织利用多个IE 0day“双杀”漏洞的定向攻击事件
    9. 疑似APT33使用Shamoon V3针对中东地区能源企业的定向攻击事件
    10. Slingshot：一个复杂的网络间谍活动
      吐槽：大数字的总结报告；居然不是从0开始？
  • 总结报告，可以看看。
    吐槽：从行文上就没有数字高端。
  • 深信服安全团队捕获到一个新型垃圾邮件——Neutrino属于Kasidet家族，此次病毒通过伪装成“发票到期”的电子邮件并且带有密码保护的附件进行传播，带有密码保护的电子邮件可能会给人一种安全感。
    吐槽：主要还是别乱点邮件和文档。
  • 本报告是360威胁情报中心基于收集的公开威胁情报和内部产生的威胁情报数据，对2018年全年高级持续性威胁相关研究的总结报告，主要观点有：
    • 网络间谍活动变得更加普遍化，这对高级持续性威胁活动的持续跟踪带来一些挑战。我们需要更加明确的区分和识别高级持续性威胁攻击，以及能够明确来源归属的攻击组织。而对于不能明确归属的APT威胁，需要依赖于持续的威胁跟踪和更多的数据证据佐证。
    • APT威胁的归属问题正在变得更加明显，其原因可能包括攻击者不断变化的攻击武器和使用更加匿名化的控制基础设施，以及引入的false flag或刻意模仿的攻击战术技术，一些成熟而完善的公开渗透工具给攻击者带来了更好的选择。
    • 2018年，360公开披露了两个新的针对中国境内的APT组织，以及多个针对中国境内频繁的APT威胁活动，可以看到随着我国在国际形势中的日益发展，地缘政治、外交形势等立场下高级持续性威胁将变得更加严峻。
    • 2018年多次曝光的在野0 day攻击的发现，展现了APT攻击者的技术能力储备和提升，威胁的攻击和防御变得更加白热化，APT威胁的防御和响应的时效性变得尤为重要。
    • 威胁攻击者也在发掘一些新的攻击方式，也包括使用了部分“陈旧而古老”的技术特性，绕过或逃避威胁检测机制从而实施攻击，结合目标人员的安全意识弱点往往也能够取得不错的攻击效果。
​

Categories: , , , , , , , , , , , , , ,

2018年11月6日星期二

安全周事记(20181105)

Posted by drovliu on 十一月 06, 2018 with No comments
  • 医疗行业对电子病历和联网医疗设备的依赖越来越深，未来几年医疗行业数据泄露问题可能变得更加严重。
    • 数据泄露
    • 勒索软件
    • 社会工程
    • DDoS
    • 内部人威胁
      吐槽：很好奇有没有一种通用的解决方案，可以保证传统产业在接入互联网时做到基础安全？
  • 2017年9月以来利用Zombieboy发起的多轮攻击来源为同一团伙，该团伙通过不断更新C2地址作为NSA攻击后Payload下发地址，同时使用注册的二级C2域名进行自建矿池挖矿门罗币，同时在中招机器植入RAT木马，搜集用户敏感信息上传至木马服务器，基于以上特点腾讯御见威胁情报中心将该团伙命名为ZombieboyMiner挖矿团伙。
    吐槽：对于黑产团伙的溯源和画像越来越成为安全必须了。
    吐槽2：安全届，给病毒等取名字越来越厉害了。
    • 通过CREATEREMOTETHREAD和LOADLIBRARY进行经典DLL注入
    • PORTABLE EXECUTABLE注入（PE注入）
    • PROCESS HOLLOWING技术（又名 PROCESS REPLACEMENT AND RUNPE）
    • 线程执行劫持技术（或者说SUSPEND, INJECT, AND RESUME (SIR)）
    • 通过SETWINDOWSHOOKEX进行HOOK注入
    • 通过修改注册表实现注入和持久性
    • APC注入和ATOMBOMBING
    • 通过SETWINDOWLONG进行附加窗口内存注入（EWMI）
    • SHIMS注入
    • IAT HOOKING和INLINE HOOKING (或者叫应用层ROOTKITS)
      吐槽：技术总结贴
  • 由于邮件信头的发信人地址可以任意伪造，诈骗者通过将发信人邮箱伪造成受害者的收信邮箱，让受害者收到一封“来自自己的邮件”，以此让受害者相信自己的邮箱“已经被控制”；之后，诈骗者则进一步欺骗受害者，称其设备也被安装了木马，且一直处于监控中，恐吓受害者向指定比特币钱包汇入指定金额消灾。
    吐槽：所以说黑产同学们的脑洞极其清奇
  • Fallout Exploit Kit向其受害者传播Kraken勒索软件。
    吐槽：黑产开始联合起来了。
  • 用户在自己云主机通过 phpStudy 一键部署 PHP 环境，默认情况下包含 phpinfo 及 phpMyAdmin 并且任何人都可以访问，同时安装的 MySQL 默认口令为弱口令，于是黑客通过 phpMyAdmin 使用弱口令登录 MySQL，接着利用 MySQL 的一些手段获取到系统权限。入侵并添加“vusr_dx$”隐藏帐号。
    吐槽：一键入侵~
  • 通过siri在锁屏时拨打电话，开启facetime，选择添加联系人，即可绕过密码验证，获取联系人列表。
    吐槽：很好奇这是怎么fazzing出来的。
  • serviceFu能够帮助你远程扫描出整个目标域中域服务凭证的明文文本信息。使用具有局限性：在有系统管理员权限，但无明文密码时才有用。
    吐槽：freebuf上靠翻译过活的人挺牛的啊。
  • Seesaw基于Netlink Socket的进程监控，主动检测进程打开FD，发现并处理反弹Shell行为.
    吐槽：探索的过程值得学习。
  • BLE存在三个漏洞：
    • 窃听
    • MITM攻击
    • 拒绝服务攻击
      Bleah即可完成针对BLE的攻击。
      吐槽：才发现又是译文，实际BLE攻击可参考之前的几篇文章，更易懂，更上手。
  • 偏向认为是一篇软文，之所以审计、修复时难以发现，是因为存储路径上做了一些手脚。
    吐槽：所以我也想问，有两个..不是异常？
  • 360Netlab在2018年9月注意到一个新的僵尸网络BCMUPnP_Hunter，主要是考虑基其感染目标特征。该僵尸网络有以下几个特点：
    • 感染量特别巨大，每个波次中活跃的扫描IP均在10万左右；
    • 感染目标单一，主要是以BroadCom UPnP为基础的路由器设备；
    • 样本捕获难度大，在高交互蜜罐中需模拟多处设备环境后才能成功捕获；
    • 自建代理网络(tcp-proxy)，该代理网络由攻击者自行实现，可以利用 bot端 为跳板，代理访问互联网；
    • 该代理网络目前主要访问Outlook，Hotmail，Yahoo! Mail 等知名邮件服务器，我们高度怀疑攻击者的意图主要是和发送垃圾邮件有关。
      吐槽：黑客对于0day漏洞、1day漏洞的热情比安全人员高多了。
  • 十大基础安全项目：
    • 已经有了较为先进的EPP（端点保护平台），具备诸如无文件恶意代码检测、内存注入保护和机器学习的功能；
    • 已经做好了基本的Windows账户管理工作；
    • 已经有了IAM；
    • 有了常规化的补丁管理；
    • 已经有了标准化的服务器/云工作负载保护平台代理；
    • 具备较为强健的反垃圾邮件能力；
    • 部署了某种形式的SIEM或者日志管理解决方案，具有基本的检测/响应能力；
    • 建立了备份/恢复机制；
    • 有基本的安全意识培训；
    • 具备基本的互联网出口边界安全防护能力，包括URL过滤能力；
      Gartner十大安全项目：
    • Privileged Account Management Project：特权账户管理项目
    • CARTA-Inspired Vulnerability Management Project：符合CARTA方法论的弱点管理项目
    • Active Anti-Phishing Project：积极的反钓鱼项目
    • Application Control on Server Workloads Project：服务器工作负载的应用控制项目
    • Microsegmentation and Flow Visibility Project：微隔离和流可见性项目
    • Detection and Response Project：检测和响应项目，包括EPP+EDR、UEBA、欺骗三种技术方向和MDR服务
    • Cloud Security Posture Management (CSPM) Project：云安全配置管理项目
    • Automated Security Scanning Project：自动化安全扫描项目，尤其是开源软件成份分析
    • CASB Project：CASB项目，包括云应用发现、自适应访问、敏感数据发现与保护三个子方向
    • Software-Defined Perimeter Project：软件定义边界项目
      吐槽：Gartner作为风向标是真的值得看看学习。
  • 如题
    吐槽：这个没啥好说的，真正黑客该有的基础，可以收藏。亦可适用于不想在网络上暴露自身的人。
  • 市商策略为了产生连续的K线，在盘口附近自买自卖挂单，却隐藏了一个漏洞。虽然策略的买单卖单是同时发出的，但是由于网络问题和撮合速度并不是理想状态，也不可能是理想状态，这就造成市商策略的订单，有一定几率被其他人成交。
    设想一下，假如市场上存在另一个高频刷单策略，它总是以更低的价格成交市商策略的卖单，又以更高的价格成交市商策略的买单，只要这个高频刷单策略获得的差价，能覆盖手续费就会产生盈利。这就造成市商策略低卖高买，细思极恐！
    吐槽：这属于业务逻辑漏洞了。币圈不适合没钱人。
  • 腾讯安全云鼎实验室致力于云上攻击的实时捕获和防御，基于部署于全网的威胁感知系统，揭开游戏行业的真实攻击状况。
    吐槽：游戏作为摇钱树，伴生的毒藤也算最多的了。
  • Blackout勒索病毒家族是一款使用.NET语言编写的勒索病毒，它会将原文件名加密为BASE64格式的加密后的文件名，首次发现是在2017年7月份左右，样本使用了代码混淆的方式防止安全分析人员对样本进行静态分析，此次发现的Blackout勒索病毒样本经过分析确认是V3.0版本的Blackout家族最新变种样本，采用RSA+AES加密算法对文件进行加密，加密后的文件无法解密还原。
    吐槽：现在勒索软件都这么不诚实了么？
  • 攻击者可以通过这些漏洞远程入侵Mac，也可以在通过物理的方式访问计算机时，仅需要以访客身份登录（无需密码），就可以通过这些漏洞从而获取权限并控制计算机。
    这些漏洞基本都存在于NFS协议中，就是用来将网络驱动安装至Mac的文件系统时使用的，类似于NAS。
    吐槽：苹果系 系统的漏洞随着参与者越来越多，也暴露的越来越多，无法想象此前都是什么样的黑暗状态。
  • Byob是一个开源的僵尸网络框架，byob框架采用了远程加载模块的方式解决了python依赖库、版本兼容、隐蔽性差的问题。
    
  byob/

  ├── byob

  │ ├── byob_bmb.py 使用client.py生成的在被控节点运行的脚本

  │ ├── client.py

  │ ├── core 核心框架代码目录

  │ │ ├── database.py 数据库操作相关

  │ │ ├── generators.py

  │ │ ├── handler.py http协议处理

  │ │ ├── __init__.py

  │ │ ├── loader.py 远程加载器

  │ │ ├── payloads.py 接受控制模块

  │ │ ├── security.py 加解密处理

  │ │ ├── stagers.py

  │ │ ├── util.py 通用函数

  │ ├── data

  │ ├── database.db

  │ ├── __init__.py

  │ ├── modules 利用模块目录

  │ │ ├── escalate.py 权限提升，其实是runas

  │ │ ├── icloud.py 用于MAC OS检测登录icloud账号

  │ │ ├── __init__.py

  │ │ ├── keylogger.py 键盘记录

  │ │ ├── outlook.py 收集outlook客户端数据

  │ │ ├── packetsniffer.py 嗅探

  │ │ ├── payloads

  │ │ │ └── bmb.py

  │ │ ├── persistence.py 隐藏后门的一些东西，有定时任务、WMi等一些操作

  │ │ ├── phone.py 发送短信

  │ │ ├── portscanner.py 端口扫描,TCP+ping

  │ │ ├── process.py 获取系统上的进程

  │ │ ├── ransom.py 加密文件，RSA对称加密，丝毫不慌

  │ │ ├── screenshot.py 截屏

  │ │ ├── stagers

  │ │ │ └── bmb.py

  │ │ ├── util.py

  │ │ └── webcam.py 目标网络摄像头控制权

  │ ├── requirements.txt

  │ ├── server.py Server端

  │ └── setup.py

  ├── LICENSE

  └── README.md
    吐槽：读读开源代码，有益身心健康。
​
Categories: , , , , , , , , , , , , ,
订阅： 博文 (Atom)

Search