- 4.1 [AFL源码阅读笔记](https://www.anquanke.com/post/id/201760)
- 4.1 [TrickBot木马将获取交易身份验证码的应用推向德国银行客户](https://www.anquanke.com/post/id/202123)
国外研究员CERT-Bund的推文表示当用户的台式机上感染了TrickBot木马时，TrickBot会询问用户移动设备操作系统（OS）的类型和电话号码。然后提示用户安装假冒的安全应用程序进一步感染受害者的移动设备。
在应对德国的银行停止使用基于SMS的身份验证，转而使用专用于2FA方案的pushTAN应用程序（使用针对用户的推送通知，其中包含交易明细和交易身份验证号码）情况时。由于Android的应用程序沙箱阻止一个应用程序访问其他应用程序的数据。专为德国银行量身定制的较新版本恶意程序使用了以下两种方式获取交易身份验证号码（TAN）。
- 使用Android MediaRecorder类捕获屏幕视频或截屏。
- 使用可访问性服务遍历每个可访问性节点所包含的文本数据，其中包含屏幕上所有对象的文本数据如文本框里的文字。
- 4.1 [NetSupport Manager RAT钓鱼攻击分析](https://www.freebuf.com/articles/network/228898.html)
2020年1月安全人员发现了一个伪造为受密码保护的恶意Microsoft Word文档，该文档在网络钓鱼活动中用于传播商业化远程访问工具（NetSupport Manager），此RAT通常用于管理员远程访问客户端计算机。但是攻击者将此RAT安装到受害者的系统上，从而获得访问权限。攻击活动中使用多种技术来规避动态和静态分析，并利用PowerShell PowerSploit来执行恶意文件安装。至少从2018年起NetSupport Manager RAT就已经出现在网络钓鱼活动中。
- 4.1 [远控免杀专题(5)-Veil免杀(VT免杀率23/71)](https://www.secpulse.com/archives/127186.html)
文章打包下载及相关软件下载：https://github.com/TideSec/BypassAntiVirus
- 4.1 [Rocke Group团伙新挖矿变种AliyunMiner分析](https://www.secpulse.com/archives/127162.html)
深信服安全团队捕获到Rocke Group黑产团伙运营的新挖矿病毒，该病毒通过ssh爆破、ssh免密登录、redis未授权访问漏洞以及redis弱密码爆破、jenkins远程代码执行漏洞以及jenkins弱口令爆破和ActiveMQ远程代码执行漏洞进行传播的挖矿病毒。深信服安全团队对该挖矿木马进行了详细的技术分析，并根据其传播域名特征将其命名为AliyunMiner。
***考虑过阿里的感受么？***
- 4.1 [针对香港用户的LightSpy水坑攻击](https://blog.trendmicro.com/trendlabs-security-intelligence/operation-poisoned-news-hong-kong-users-targeted-with-mobile-malware-via-local-news-links/)
趋势科技的安全研究人员发现了一个针对iOS用户的水坑攻击。其URL指向一个恶意网站，该网站具有指向不同站点的三个iframe，其中一个指向托管iOS漏洞利用主要脚本的网站，用户访问后会加载并运行恶意软件。
这些攻击利用了影响iOS 12.1和12.2设备的安全漏洞，以整个网站的用户为目标。通过支持外壳命令和文件操作，恶意软件使攻击者可以监视用户并完全控制受感染的设备。本质上是模块化的lightSpy允许对连接的WiFi历史记录、联系人、GPS位置、硬件信、iOS钥匙串、电话历史记录、Safari和Chrome浏览器历史记录、SMS消息以及本地网络IP地址进行过滤。
- 4.1 [为什么安全类AI模型准确性普遍虚高](https://www.anquanke.com/post/id/201282)
AI似乎成了目的而不是方法。
- “准确率”不准确
- 混淆“验证集”和“测试集”
- “误报”的放大
- 训练集的局限性
- 特征数量水分大
- 4.1 [干货 | Windows取证分析基础知识大全，赶快收藏！](https://www.secpulse.com/archives/127088.html)
- 4.1 [Zoom 客户端爆出安全漏洞 可向攻击者泄露 Windows 登陆凭据](http://hackernews.cc/archives/29841)
Windows 版 Zoom 客户端爆出了容易受到 NUC 路径注入攻击的安全漏洞。作为一款音视频会议应用，Zoom 还允许用户在聊天界面通过发送文本消息来互相交流。
Windows 网络 UNC 路径，也转换成了聊天消息中可单击的链接。若用户单击 UNC 路径链接，则 Windows 将尝试使用 SMB 文件共享协议连接到远程站点，默认情况下，Windows 将发送用户的登录名和 NTLM 密码哈希值，但稍有经验的攻击者均可借助 Hashcat 之类的免费工具来逆向运算。
- 4.2 [基于稀疏表示的物联网边缘僵尸网络攻击检测](https://www.anquanke.com/post/id/200877)
[原文网址](https://www.researchgate.net/publication/333567033_Botnet_Attack_Detection_at_the_IoT_Edge_Based_on_Sparse_Representation)
基于稀疏表示框架(sparsity representation)的物联网僵尸网络攻击检测方法，该方法使用重建错误阈值规则识别来自受感染的物联网设备的边缘恶意网络流量。僵尸网络攻击检测是基于小型良性IoT网络流量数据执行的，因此没有关于恶意IoT流量数据的先验知识。在基于物联网的真实网络数据集上展示了结果，并展示了提出的技术针对基于重构错误的自动编码器方法的有效性。
- 4.2 [警惕：Vollgar僵尸网络每天成功感染近3000台MSSQL服务器](https://www.freebuf.com/news/232295.html)
网络安全研究人员发现了一个名为Vollgar的加密挖矿僵尸网络，该僵尸网络至少自2018年以来一直在劫持MSSQL服务器，通过发起暴力攻击以接管服务器并安装Monero 和Vollar恶意挖矿软件。
- 4.3 [一种工控蜜罐识别与反识别技术研究与应用实践](https://www.freebuf.com/articles/ics-articles/230402.html)
工控蜜罐通常指非真实工控设备，通常指应用服务、仿真程序等，比如服务蜜罐包括conpot、openplc、CryPLH2、仿真程序包括modbus tester、Mod Rssim、snap7、opendnp3、qtester104、DNP3_testhaness、EtherNetIP Virtual等。
- 4.3 [浅谈威胁情报应用场景](https://www.anquanke.com/post/id/202426)
威胁情报有以下几个常见的应用场景：
- 攻击检测与防御
- 攻击团伙追踪
- 威胁狩猎
- 事件监测与响应
- 基于情报驱动的漏洞管理
- 暗网情报发现
- 4.3 [Syborg：一款带有断路躲避系统的DNS子域名递归枚举工具](https://www.freebuf.com/sectool/227851.html)
[项目地址](https://github.com/MilindPurswani/Syborg)
- 4.3 [云视频会议软件Zoom连环漏洞陷信任危机](https://www.anquanke.com/post/id/202436)
- Zoom客户端聊天模块曝“惊天漏洞“ 可暴力破解目标用户Windows登录凭据
- Zoom安装包或将成为恶意代码发源地
Zoom使用的是捆绑了7zip手动解压缩应用程序的预安装脚本。如果当前用户在admin组中，不需要root，即可则将其直接安装到/ Applications。
- 4.4 [挖洞经验分享：关于IDOR的几个奇怪案例分析](https://www.freebuf.com/vuls/228918.html)
后端文件仍然是以“bookingId.pdf”的形式存储的，并且有一个中间件来负责将hdnBookingId解密为bookingId，或者说同时存储了一个订单的两种文件名称/格式，即同时存在“hdnBookingId.pdf”和“bookingId.pdf”。
- 4.4 [Android Cerberus恶意样本分析](https://www.freebuf.com/articles/terminal/230628.html)
Cerberus 恶意木马通过字符串混淆、执行流混淆、动态加载代码、动态解密字符串和实现了一个简单的计步器机制来对抗安全人员的分析工作。同时利用了 Android 无障碍服务的屏幕监控功能，通过监控手机屏幕内容的改变事件，模拟点击危险权限授权按钮进行自我授权、监控用户的安全扫描和卸载行为进行自我保护以及监控前台应用活动界面完成对目标的劫持攻击。
- 4.4 [12k+ Android apps contain master passwords, secret access keys, secret commands](https://www.zdnet.com/article/12k-android-apps-contain-master-passwords-secret-access-keys-secret-commands/)
- 4.5 [PrivescCheck：一款针对Windows系统的提权枚举脚本](https://www.freebuf.com/articles/system/229405.html)
[GitHub传送门](https://github.com/itm4n/PrivescCheck)
- 4.5 [利用COVID-19发起的网络攻击分析](https://www.freebuf.com/articles/network/230475.html)
Check Point发现了针对蒙古公共部门的网络攻击活动，该组织利用了冠状病毒恐慌情绪向目标发送恶意软件。研究发现其与可与在2016年进行的其他网络活动联系起来。多年来，这些行动的目标是多个国家/地区的不同部门，例如乌克兰，俄罗斯， 和白俄罗斯。
- 4.6 [中国驻外机构正遭受攻击！深信服VPN设备成境外国家级黑客突破口](https://www.anquanke.com/post/id/202526)
360安全大脑捕获到一起劫持深信服VPN的安全服务从而下发恶意文件的APT攻击活动，我们已第一时间将漏洞细节报告给厂商并得到确认。
通过进一步追踪溯源发现，此次攻击者为来自半岛的APT组织Darkhotel（APT-C-06），今年3月开始已失陷的VPN服务器超200台, 中国多处驻外机构遭到攻击，4月初攻击态势又再向北京、上海相关政府机构蔓延。
更为紧要的是，根据监测分析发现，攻击者已控制了大量相关单位的VPN服务器并控制了大量相关单位的计算机终端设备。
- 4.6 [文件解压引发的Getshell](https://www.freebuf.com/articles/others-articles/229928.html)
- PHPOK CMS后台任意文件上传
- Jspxcms后台的zip解压功能目录穿越漏洞导致getshell
- 4.6 [黑客帝国？论美国Hacker的养成之路](https://www.freebuf.com/articles/neopoints/230985.html)
全面培养、发展黑客力量是美国黑客帝国的基底，联动民间/私营企业是中坚力量，那么国家体系的运作就是黑客帝国的顶层战略指挥区。
美国有着完整的一套网络黑客运转体系，植根于其网络安全战略之中。
- 完整架构体系
- 作战经验丰富
- 4.7 [Fuzzowski：一款功能强大的网络协议模糊测试工具](https://www.freebuf.com/sectool/227869.html)
该工具可以帮助研究人员对网络协议进行模糊测试，并且能够在整个测试过程中给我们提供帮助。除此之外，该工具还允许研究人员定义链接，并帮助识别服务的崩溃。
[GitHub传送门](https://github.com/nccgroup/fuzzowski)
- 4.7 [xHelper, the Unkillable Android malware that re-Installs after factory reset](https://securityaffairs.co/wordpress/101229/cyber-crime/xhelper-unkillable-android-malware.html)
- 4.8 [Clicker木马新家族：Haken木马](https://www.freebuf.com/articles/terminal/230524.html)
Haken木马通过将本机代码注入Facebook和Google广告SDK的库中来实现模拟用户点击广告功能。
- 4.8 [照弹不误：出站端口受限环境下反弹Shell的思考](https://www.freebuf.com/vuls/232544.html)
遇到能 ping 通外网但无法反弹的目标，得多个心眼考虑是否限制了出站端口.
- 4.8 [如何未经授权访问IOS和macOS上的摄像头](https://www.anquanke.com/post/id/202511)
原文地址:[Webcam Hacking-The story of how I gained unauthorized Camera access on iOS and macOS](https://www.anquanke.com/post/id/Webcam%20Hacking-The%20story%20of%20how%20I%20gained%20unauthorized%20Camera%20access%20on%20iOS%20and%20macOS)
1. 打开有害的HTTP网站；
2. HTTP网站变成一个data: URI;
3. 使用”空白“源将data: URI变成blob: URI；
4. 修改window.history（分两个步骤）；
5. 创建一个包含about:blank的iframe，向其中执行document.write;
6. 为iframe动态添加sandbox标签；
7. 使用X-Frame-Options进行一次失败的框架导航；
8. 在iframe中执行window.open，打开一个弹窗，向其中执行document.write。
- 4.8 [针对某国际信息通信公司从前期探测到内网提权的一次成功漏洞测试](https://www.freebuf.com/vuls/230441.html)
- 4.8 [Molerats在多国政府和电信部门安装后门](https://www.freebuf.com/articles/network/230021.html)
Molerats早在2011年就已经开始攻击世界各地的政府组织，主要涉及非法访问和敏感数据收集。他们使用了大量的策略和技术，包括利用公开的后门工具，自我定制研发工具等。该组织主要利用社会工程学和鱼叉式钓鱼作为攻击切入手段，然后通过C2服务器下载恶意负载。该组织使用了多种技术手段使检测和分析变得更加困难，Spark C2通道利用3DES或AES加密HTTP POST请求和响应数据来逃避检测，并且随机生成的密钥对于每个有效载荷都是唯一的。
- 4.8 [DDG挖矿僵尸网络病毒最新变种分析](https://www.anquanke.com/post/id/202574)
- 4.8 [DDG的新征程——自研P2P协议构建混合P2P网络](https://blog.netlab.360.com/ddg-upgrade-to-new-p2p-hybrid-model/)
DDG Mining Botnet 是一个活跃已久的挖矿僵尸网络，其主要的盈利方式是挖 XMR。v5009 及以后的版本，则摒弃了以前基于 Memberlist 来构建 P2P 网络的方式，改用自研的 P2P 协议来构建混合模式 P2P 网络
- 4.8 [安全专家在线破解！游戏账号买卖诈骗全过程](https://www.anquanke.com/post/id/202484)
不法分子伪装成买家，制作虚假图片骗取用户QQ；再冒充平台给用户发送邮件，用户访问邮件里的链接时，实际访问网址发生了跳转。
- 4.8 [暗网卖口罩，推特卖厕纸，疫情下的海外黑灰产](https://www.freebuf.com/articles/others-articles/232850.html)
dr0v
blog.drov.com.cn一个人碎碎念。
A lazy security employee.
2020年4月8日星期三
2019年1月21日星期一
- 1.14 TorPCAP：Tor网络取证分析技术‘Tor会在localhost（127.0.0.1）的TCP 9150 端口上创建一个SOCKS代理侦听。Tor浏览器会通过该SOCKS代理将其流量加密并转发到Tor网络。这意味着通过嗅探本地主机上的流量，实际上我们可以创建一个固定的取证路径，追踪PC发送到Tor网络和从Tor网络发送的所有流量。’吐槽：我分析我自己？
-
挖矿木马家族提供漏洞武器、战术或者出售僵尸机给其他恶意家族，而其他恶意家族则购买僵尸机或者开发定制木马给挖矿木马家族。吐槽：经济不景气时，黑产也开始开源节流，多方向发展。
- 1.15 移动平台新型诈骗解析新型诈骗：诈骗者借助“金融理财”，“网络彩票”等类型软件设置骗局，获取得用户信任，实施诈骗。
吐槽：提高普通民众安全意识往往比产品更有用。 - 1.16 利用分块传输吊打所有WAF
- 使用注释扰乱分块数据包
- 畸形的分块数据包绕过ModSecurity吐槽：总的来看，过WAF就是规则测试，绕过。跟病毒过杀软是几乎一个道理。
-
2019年1月9日，360威胁情报中心捕获到多个专门为阿拉伯语使用者设计的诱饵文档。钓鱼文档为携带恶意宏的Office Excel文档，恶意宏代码最终会释放执行一个C#编写的后门程序，该后门程序利用了复杂的DNS隧道技术与C2进行通信并执行指令，且通过GoogleDrive API实现文件的上传下载。吐槽：目前APT往往都是通过文档的语言，内容描述来判断其针对性。如果文档或邮件是内部某一位员工呢？
-
Voipo 由于其中一个后端的 ElasticSearch 数据库未受到密码保护，因此任何人都可以查询双向发送的实时呼叫日志和文本消息流。吐槽：数百万数据泄露，感觉已成常态。
-
iOS上当前内置的SQLite支持调试选项：如果设置了SQLITE_SQLLOG_DIR环境，则每个数据库在给定目录中都会有一个副本，且sql查询为纯文本形式。吐槽：需要解锁并授权可信连接。
-
Ryuk勒索病毒最新于2018年8月由国外某安全公司进行报道，短短两周内净赚超过64万美元的比特币，同时跟踪发现它与HERMES勒索病毒相关联，此外也有消息称HERMES勒索病毒与朝鲜黑客组织Lazarus有关联。Ryuk勒索病毒主要通过垃圾邮件以及漏洞利用工具包进行传播，专门用于自定义攻击，Ryuk的感染和传播过程都是由攻击者手动执行的，被加密的文件以.RYK后缀结尾。吐槽：病毒也要有自己的特色，否则难出名。
- 1.18 国内网站内容篡改现状调查网站黑帽SEO趋势：注册已经被政府机关抛弃但曾用过的域名用来搭建博彩等暴利网站，大量政府机关含有旧域名链接的网页就成了非法站点的天然外链，可以有效提升其PR值。吐槽：一方面，事业单位更应注重网络资产重要性；另一方面，0信任安全架构确实很重要。
-
2018年，挖矿木马已经成为Windows服务器遭遇的最严重的安全威胁之一。这一年，在挖矿木马攻击趋势由爆发式增长逐渐转为平稳发展的同时，挖矿木马攻击技术提升明显，恶意挖矿产业也趋于成熟，恶意挖矿家族通过相互之间的合作使受害计算机和网络设备的价值被更大程度压榨，合作带来的技术升级也给安全从业者带来更大挑战。2019年，挖矿木马攻击将继续保持平稳，但黑产家族间的合作将更加普遍，“闷声发大财”可能是新一年挖矿木马的主要目标。吐槽：挖矿随着矿的价值越来越低，必然走向普通木马之路(对不可控资产价值的依赖，往往不如对已知资产的深度利用——说的就是你，勒索病毒)。
-
拼多多遭薅羊毛，疑似损失百万——黑产造势损失几个亿，并公开薅羊毛方法，以用’法不责众’避开处罚。吐槽：黑产的这波操作简直666.
-
火绒安全团队发现，病毒团伙正利用”远景”论坛的系统镜像文件传播后门病毒”WenkPico”。该病毒入侵用户电脑后，会劫持导航站、购物网站以及软件安装包流量，牟取暴利。同时该病毒还利用国内某安全厂商的产品功能模块，攻击其它安全软件，让部分安全软件的”云查杀”功能失效，使用户电脑失去安全防护。吐槽：杀软和病毒的终端攻防经久不衰。
-
针对中东地区的APT攻击，这次攻击中使用了新的TTP – 例如Agent_Drable恶意程序利用Django 框架来搭建C2服务器，”Cold River”是一种复杂的威胁，他使用了DNS子域劫持，证书欺骗，隐蔽的C2通信方式，复杂又极具迷惑性的诱饵文档以及定制化的恶意程序。吐槽：国内翻译文的质量真心……
-
通过多种攻击进行爆破。吐槽：国内翻译文的质量真心……
- 1.21 U盘钓鱼的实现和防范主要还是诱导插入U盘并点击伪装的恶意代码。吐槽：评论说这个很low，而实际上这确实是非常有效的一种方法——特别是针对行政、财务等非技术人员。
-
吐槽：总结的一般，勉强可以算科普文。
订阅：
博文 (Atom)