安全周事记(20181217)

• 12.10 The Ransomware Doctor Without A Cure
  中介无处不在——勒索软件产业出现了中介性质的，所谓勒索病毒医生，实际只是将收取的被勒索用户的钱分给勒索病毒作者，然后给用户解密。

  吐槽：瞬间合法化，黑产思路简直牛批~

• 12.10 卡巴斯基曝光 DarkVishnya 银行内网攻击案件细节
  网络犯罪分子以快递员、求职者等为幌子，潜入了组织的大楼、并将设备连接到本地网络（比如某个会议室中）。

  吐槽：突然想到whoami，只要你胆子够大，啥都能黑

• 12.10 威胁情报专栏：公开资源情报计划——OSINT
  文章的初衷是帮助初学者。 了解一下当前开源情报系统(包括已逝系统)，开源情报的定义等。

  吐槽：对作者末尾的评论莫名反感以及对所谓粉丝观光团反感。

• 12.11 黑客无需网络钓鱼进入Email收件箱
  传统入侵电子邮箱的方法是：社工和电子邮件欺诈、修改密码获取邮箱管理权。
  新的入侵方法：购买黑客服务——外包给其他黑客完成盗取、入侵操作；从以往社工库中找到关联密码；配置错误或安全意识匮乏造成的敏感信息泄露。

  吐槽：看到正文就知道是机翻的国外文章，狗屎一样的翻译。

• 12.13 Fortinet《2019威胁态势预测》：网络犯罪五大趋势
  1. AI模糊测试
  2. 持续不断的零日漏洞
  3. 蠕虫即服务
  4. 定制蠕虫
  5. 机器学习中毒

     吐槽：AI的发展具有两面性。

• 12.13 搭建自己的硬件植入工具
  在这篇文章中，描述了一种可能的方法，可以将小而廉价的微控制器用作NIC级别的植入物。这种植入需要至少四个引脚（Vcc，GND，CLK，DAT）才有用，并允许控制主机NIC。
  这种植入物的功能是：
  1. 嗅探来自主机的网络流量；
  2. 在没有主机知道的情况下从网络接收命令；
  3. 在没有主机注意的情况下将数据传输到网络。
     缺陷是：
  4. 只能访问SMBus
  5. 只能以大约100Kb /秒的速度获得数据，不足以进行全面的检查
  6. 只能捕获来自网络的流量

     吐槽：硬件这块不太懂，也不怎么接触，上述总结都是原文的。

• 12.14 Armor：一款功能强大的macOS Payload加密工具，可绕过大部分AV
  一款名叫Armor的macOS Payload加密工具，Armor是一个功能强大的Bash脚本，通过它来创建的加密macOS Payload能够绕过反病毒扫描工具。
  项目地址：Armor

  吐槽：MacOS最近这一年风雨飘摇啊

• 12.14 新型 Android 银行木马可绕过 PayPal 双因素认证窃取用户资金
  通过辅助功能，自动化点击转账、点击卸载返回(避免自身被删)。厉害了。

  吐槽：早就说过了辅助功能是一大利器。

• 12.16 SubDomainizer：用于查找页面Javascript文件中隐藏子域的工具
  SubDomainizer是一款用于查找隐藏在页面的内联和引用Javascript文件中子域的工具。除此之外，它还可以为我们从这些JS文件中检索到S3 bucket，云端URL等等。这些对你的渗透测试可能有非常大的帮助，例如具有可读写权限的S3 bucket或是子域接管等。
  文章是安装和运行示意，项目地址：SubDomainizer

  吐槽：渗透一整套的工具和系统才是王道。

• 12.17 疑似国内某知名团伙的最新挖矿脚本分析
  与360发现的8220挖矿团伙发现的样本相比，xmrige为最新编译的2.8.1、下载路径更新为：https://bitbucket.org、钱包地址保存一致、未发现windows模块、部分功能有变化。
  8220是根据代码特征关联到的，之后发现钱包地址完全一致，遂基本可确认为这个团伙

  吐槽：早前有提出过根据广告ID来定位病毒制作者，以最终受益人来定位的思路应该还是不错的；不过跟广告联盟那边联系过后又觉得有些欠妥，团伙画像还有很长的路要走。

• 12.17 CSO怎么做（11）2018年系列收尾兼回答几个问题
  这是一个系列的文章，个人觉得值得看看，不想当CSO的安全工程师不是好黑客。
  • CSO怎么做（1）序+几个名词概念
  • CSO怎么做（2）理解企业信息安全工作的几种驱动方式
  • CSO怎么做（3）CSO的4个核心工作
  • CSO怎么做（4）如何评价一个企业的信息安全做的好不好？
  • CSO怎么做（5）如何设计一个企业的信息安全目标和路线图？
  • CSO怎么做（6）如何运行企业信息安全管理体系？
  • CSO怎么做（7）信息安全、大安全与合规
  • CSO怎么做（8）数据防泄漏的体系应该如何运作？
  • CSO怎么做（9）信息安全审计应该如何开展？
  • CSO怎么做（10）物理安全怎么做

    吐槽：至上而下的建设往往更能让人执行时能思路清晰。

​

Read More

安全周事记(20181120)

• 11.15 如何在Android APK中植入Meterpreter
  将apk反编译为smali代码后，加入meterpreter恶意代码，然后修改AM里的activity入口，然后重打包成新的APK。
  作者还做成了自动化脚本：yoda66/AndroidEmbedIT

  吐槽：恩，所以也特别容易被识别为恶意代码

• 11.16 BlobRunner：一款功能强大的恶意软件Shellcode调试与分析工具
  BlobRunner能够直接在内存中定位目标文件，并跳转到内存地址（可设置偏移量或基地址）。这样一来，研究人员就能够以最简单最快速的方法去对提取出的恶意代码进行调试和分析了。

  吐槽：成熟的对抗与成熟的工具

• 11.16 macOS恶意软件发起MITM攻击
  研究人员发现一款SPI恶意软件，该恶意软件使用开源mitmproxy来拦截流量并注入广告。恶意软件作者在不断寻找新的方法来避免被检测到，同时要增加收入。
  

  吐槽：攻击过程还是很多问题的：需要代理授权、证书信任

• 11.16 How To Tell If Your Account Has Been Hacked
  就是在各个系统的帐号管理里，看登录IP是否有异常——Gmail、Outlook、yahoo、facebook、twitter、Instagram、Steam。

  吐槽：本以为是高级手段，没想到是科普

• 11.17 威胁清单 | 全球500强企业弃用的Web应用存在安全隐患
  尽管这些企业每年的安全支出都在不断增加，但被遗弃的、影子或遗留应用程序却可能成为破坏这些企业网络安全和合规性的最大根源。
  

  吐槽：企业越大，边际安全风险越大

• 11.17 这个GAN生成的指纹，可以破解半数手机的指纹锁
  论文地址：DeepMasterPrints: Generating MasterPrints for Dictionary Attacks via Latent Variable Evolution

  吐槽：采集点是一个限制，计算点才是重点啊——还有国内所谓面部识别~

• 11.17 幽灵再现：数据泄露漏洞影响英特尔、AMD、ARM芯片
  研究人员描述了7种瞬时执行攻击，包含2个熔断新变体(英特尔上的Meltdown-PK，英特尔和AMD都存在的Meltdown-BR)，还有5个为之前披露的 Spectre-PHT (边界检查绕过) 和 Spectre-BTB (分支目标注入)漏洞设计的新幽灵分支预测器错误训练策略。

  吐槽：本地攻击，无法远程执行。 等通俗易懂的解读吧。

• 11.19 一波盗取俄罗斯用户银行卡资金的定向攻击样本分析
  这批定向攻击样本主要利用微软Office CVE-2017-11882漏洞配合钓鱼文档进行定向投递：漏洞文档最终释放的木马程序会不断监控用户的系统剪切板，如果发现具有银行账号或者yandex账号的特征，就会把剪切板里的银行账号替换为攻击者的MasterCard（万事达）银行卡账号。一旦用户通过拷贝的方式输入目标银行账号，则会把钱转向攻击者账户。并且木马程序还会下载一个俄罗斯著名的yandex.ru门户网站提供的键盘管理工具Punto Switcher 3.1，以用于窃取用户的键盘记录，借以躲避杀毒软件的查杀。
  

  吐槽：移动端的剪切板攻击也很多，值得注意。

• 11.19 恶性木马下载器“幽虫”分析
  该木马团伙通过伪造、冒用签名的方式试图逃避安全软件检测，利用捆绑在外挂或破解软件、伪装激活工具中、植入盗版系统等方法进行广泛传播，通过释放驱动的方式实现长期驻留受害者机器。用户一旦中招，便会被篡改浏览器主页，并被静默安装推广程序或病毒木马。由于该类木马的隐蔽性很强，即使发现电脑异常，一般用户也很难查清幕后真凶，因此我们将该木马团伙命名为“幽虫”。
  

  吐槽：国内黑产完全成熟化，走向流量变现的宽阔大道~

• 11.19 AI武器化后安全界将面临什么状况
  AI驱动的恶意软件将开始通过利用上下文化技术模仿人类操作员的行为；不过，相反的情况也有可能出现，比如高级黑客团伙利用AI驱动的恶意软件提升他们的攻击效率。
  PDF：ai-driven-cyber-attacks

  吐槽：所以以后的安全对抗就是AI的对抗了鸭~

​

Read More