分类归档 黑客资讯

通过郭盛华老师

警惕!新型恶意软件,攻击者可窃取POS餐馆资料

网络安全研究人员今天披露了一种新型的模块化后门程序,该后门程序针对Oracle的销售点(POS)餐馆管理软件,以试图窃取存储在设备中的敏感支付信息。

后门称为“ ModPipe”,影响Oracle MICROS饭店企业系列(RES)3700 POS系统,这是饭店和酒店业广泛使用的软件套件,可以有效地处理POS,库存和人工管理。大部分已确定的目标主要位于美国。

ESET研究人员在分析中说:“使后门程序与众不同的是它的可下载模块及其功能,因为它包含一个自定义算法,旨在通过从Windows注册表值解密来收集RES 3700 POS数据库密码。

“经过筛选的凭据使ModPipe的操作员可以访问数据库内容,包括各种定义和配置,状态表以及有关POS交易的信息。”

值得注意的是,在RES 3700中,诸如信用卡号和有效期之类的详细信息受到加密屏障的保护,从而限制了可能被进一步滥用的有价值的信息量,尽管研究人员认为,攻击背后的参与者可能拥有第二个可下载模块解密数据库的内容。

ModPipe基础结构由一个初始删除程序组成,该删除程序用于安装持久性加载程序,然后将其解压缩并加载下一阶段的有效负载,该有效负载是主要的恶意软件模块,用于与其他“可下载”模块以及命令和控制( C2)服务器通过独立的网络模块。

可下载模块中的主要组件包括“ GetMicInfo”,该组件可以使用特殊算法来拦截和解密数据库密码,ESET研究人员认为,可以通过对密码库进行反向工程或利用获得的加密实现细节来实现该功能在2016年Oracle MICROS POS部门发生数据泄露之后。

第二个模块称为“ ModScan 2.20”,用于收集有关已安装的POS系统的其他信息(例如,版本,数据库服务器数据),而另一个名为“ Proclist”的模块则收集有关当前正在运行的进程的详细信息。

​研究人员说:“ ModPipe的体系结构,模块及其功能也表明其编写者对目标RES 3700 POS软件具有广泛的了解。” “运营商的熟练程度可能来自多种情况,包括窃取专有软件产品并对其进行反向工程,滥用其泄漏的零件或从地下市场购买代码。”

建议使用RES 3700 POS的酒店行业的企业更新到该软件的最新版本,并使用运行底层操作系统更新版本的设备。

来源:郭盛华博客,转载请注明出处

通过郭盛华老师

什么是黑客?郭盛华告诉你

一名黑客(hacker)是一个喜欢用智力通过创造性方法来挑战脑力极限的人,特别是他们所感兴趣的领域,例如电脑编程或电气工程。

黑客最早源自英文hacker,早期在美国的电脑界是带有褒义的。但在媒体报道中,黑客一词往往指那些“软件骇客”(software cracker)。

黑客一词,原指热心于计算机技术,水平高超的电脑专家,尤其是程序设计人员。
但到了今天,黑客一词已被用于泛指那些专门利用电脑搞破坏或恶作剧的家伙。对这些人的正确英文叫法是Cracker,有人翻译成“骇客”。

黑客和骇客根本的区别是:黑客们建设,而骇客们破坏。

黑客一词一般有以下四种意义:
一个对(某领域内的)编程语言有足够了解,可以不经长时间思考就能创造出有用的软件的人。

一个恶意(一般是非法地)试图破解或破坏某个程序、系统及网络安全的人。这个意义常常对那些符合条件的黑客造成严重困扰,他们建议媒体将这群人称为“骇客”(cracker)。有时这群人也被叫做“黑帽黑客”。

一个试图破解某系统或网络以提醒该系统所有者的系统安全漏洞。这群人往往被称作“白帽黑客”或“匿名客”(sneaker)或红客。许多这样的人是电脑安全公司的雇员,并在完全合法的情况下攻击某系统。

来源:郭盛华博客,转载请注明出处

通过郭盛华老师

超过2800家电子商店受到信用卡黑客的打击

最新研究显示,今年9月初,针对运行Magento 1.x电子商务平台的零售商的网络黑客攻击浪潮被归为一个团体。

该小组已经进行了多种多样的Magecart攻击,这些攻击通常是通过供应链攻击(例如Adverline事件)或通过利用利用漏洞来一次入侵大量网站。

黑客攻击目标至少2806个运行Magento的1.x。在购物网站上注入电子窃取程序以窃取信用卡详细信息是Magecart的一种经过实践检验的作案手法,Magecart是针对在线购物车系统的不同黑客团体的联合体。

这些虚拟信用卡撇取者,也称为formjacking攻击,通常是JavaScript代码,操作员通常会在支付页面上偷偷插入到电子商务网站中,以实时捕获客户的卡详细信息并将其传输到远程攻击者控制的服务器。

但是在最近几个月中,Magecart运营商加紧了努力,将偷窃者代码隐藏在图像元数据中,甚至进行了IDN同形异义词攻击,以隐藏在网站的favicon文件中的网络浏览器。

Cardbleed(最初由Sansec记录)是通过使用特定域与Magento管理面板进行交互,然后利用“ Magento Connect”功能来下载并安装一个名为“ mysql.php”的恶意软件,该恶意软件在撇渣器代码已添加到“ prototype.js”。

此外,方案中使用的撇渣器是Ant和Cockroach撇渣器的一种变体,于2019年8月首次发现-以命名为“ ant_cockcroach()”的函数和在代码中找到的变量“ ant_check”命名。

但是,就像在删除已确定的恶意域一样,第12组已经熟练地替换了新的域以继续浏览。

这些攻击再次表明,威胁行为者正在不断创新,以不同的方式进行掠夺,并混淆其代码以逃避检测。

来源:郭盛华博客,转载请注明出处

通过郭盛华老师

警惕!黑客通过iPhone充电线劫持您的计算机

大多数人对于拿起手机充电线并将其插入都不会三思而后行。但是,黑客也可以通过充电线控制你的手机,今天带你认识下恶意充电电缆危险的知识。

一位经过在线控管MG的黑客拿走了一条看上去无辜的Apple USB Lightning电缆,并用一个小型的支持Wi-Fi的植入物进行了捆绑,将其插入计算机后,附近的黑客就可以像坐在那里一样运行命令在屏幕前面。

被称为O.MG电缆,它的外观和工作原理几乎与iPhone充电电缆没有区别。但是,攻击者所要做的就是将合法电缆换成恶意电缆,然后等到目标将其插入计算机。攻击者可以从附近的设备在Wi-Fi范围内(或连接到附近的Wi-Fi网络),通过预设命令或攻击者自己的代码在计算机上无线传输恶意有效载荷。

插入电源后,攻击者可以远程控制受影响的计算机,以将逼真的网络钓鱼页面发送到受害者的屏幕,或者远程锁定计算机的屏幕以在用户重新登录时收集用户的密码。

MG首次尝试将重点放在苹果上避雷针,但是植入物几乎可以用于任何电缆,并且可以针对大多数目标计算机使用。

这种特殊的Lightning电缆允许跨平台的攻击载荷,而创建的植入物很容易适应其他USB电缆类型。苹果恰好是最难植入的,因此它是功能的很好证明。

安全人员说:“如今,大多数人都知道不插入随机闪存驱动器,但他们并不认为电缆会构成威胁。“

来源:郭盛华博客,转载请注明出处

通过郭盛华老师

美国大选,雇佣黑客到底有多猛?

​​美国情报机构说,总统竞选进程面临黑客威胁。从相关组织到个人都被黑客盯上,动机多样。

国家情报总监办公室发言人布赖恩·黑尔在一份声明中说:“我们发现总统竞选和相关组织及个人成为黑客目标,他们有多种动机,从思想分歧到间谍活动。他们的能力也不同,从外部破坏到侵入。”

当天早些时候,美国国家情报总监詹姆斯·克拉珀在华盛顿的一次网络安全讨论中说,情报机构已掌握一些针对总统竞选的黑客攻击迹象。“随着竞选愈发激烈,我们可能将受到更多(袭击)”。

路透社援引政府消息人士的话说,针对总统竞选的黑客行为被认为非常严重,一些国会委员会已经听取了相关汇报。

一名安全官员说,外国黑客可能寻求的信息包括候选人的外交政策意向和团队,以及竞选阵营的内部运作。

负责保护总统竞选人的美国特工处在一份声明中说,他们正防范和侦查网络安全威胁,并让竞选人意识到隐患。

国土安全部和联邦调查局正着手为共和党和民主党阵营提供相关指导,应对潜在的网络威胁。两党候选人正式获得提名后将开始接受情报方面的汇报,内容“完全一样”。

路透社报道,全球范围内,针对政治竞选人的网络攻击时有发生。例如2008年和2012年的两届美国总统选举中,来自民主党的贝拉克·奥巴马及其共和党竞选对手均遭受网络攻击。

什么是黑客?

黑客是一群晃荡于网络上的技术人员,他们熟悉操作的设计与维护;精于找出使用者的密码,通晓计算机,进入他人计算机操作系统的高手,包括一些人所说的内鬼其实也是指技术人员和电脑高手。

来源:新华社国际专稿

声明:转载此文是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益,请作者持权属证明与本网联系,我们将及时更正、删除,谢谢。​​​​

通过郭盛华老师

黑客如何绕过防火墙保护?并远程访问用户TCP服务

一项新的研究表明,该技术可使黑客攻击者绕过防火墙保护,并远程访问受害计算机上的任何TCP / UDP服务。

确定数据包边界
网络地址转换(NAT)是一个过程,其中网络设备(例如防火墙)通过在数据包传输过程中修改IP包头中的网络地址信息,将IP地址空间重新映射到另一个IP地址空间。

主要优点是它限制了组织内部网络中使用的公共IP地址的数量,并通过允许在多个系统之间共享单个公共IP地址来提高安全性。

NAT通过利用TCP和IP数据包分段来远程调整数据包边界,并使用它来创建TCP / UDP数据包(从SIP方法(如REGISTER或INVITE)开始)而起作用。

SIP(会话启动协议的缩写)是一种通信协议,用于启动,维护和终止语音,视频和消息传递应用程序的实时多媒体会话。

换句话说,HTTP中的数据包分段和走私SIP请求的混合可用于欺骗NAT ALG打开任意端口以用于到客户端的入站连接。

为此,将发送一个带有ID和隐藏Web表单的大型HTTP POST请求,该请求指向运行运行数据包嗅探器的攻击服务器,该服务器用于捕获MTU大小,数据包大小,TCP和IP标头大小,其他,然后通过单独的POST消息将大小数据发送回受害客户端。

此外,它还滥用TURN(使用围绕NAT的中继的遍历)中的身份验证功能(该协议与NAT结合使用,将媒体从任何对等方中继到网络中的另一客户端),从而导致数据包溢出并导致IP数据包碎片化。

简而言之,该想法是通过填充(带有“ ^”字符)来溢出TCP或UDP数据包,并强制将其拆分为两个,以便SIP数据包位于第二个数据包边界的最开始。

通过数据包更改连接到TCP / UDP
在下一阶段,使用现代浏览器(例如Chrome或Firefox)上的WebRTC ICE提取受害人的内部IP地址,或者通过对常见网关(192.168。*。1、10.0.0.1和本地网络)执行定时攻击来提取受害人的内部IP地址。

“一旦客户端获得了数据包的大小和内部IP地址,它就会构建一个特制的Web表单,该表单填充POST数据,直到我们认为该数据包将变得碎片化为止,这时将附加包含内部IP地址的SIP REGISTER,”注意。“该表格是通过Javascript提交的,未经受害者同意。”

就像数据包到达攻击服务器并且确定未用公共IP地址重写SIP数据包一样,自动消息也会发送回客户端,要求其根据数据将其数据包大小调整为新的边界以前是从嗅探器收集的。

有了正确的数据包边界,NAT被欺骗了,以为“这是合法的SIP注册,并且来自受害者计算机上的SIP客户端”,最终导致NAT在受害者发送的原始数据包中打开端口。

路由器现在会将攻击者选择的任何端口转发回内部受害者,而所有这些端口都只需要浏览到一个网站即可。

来源:郭盛华博客,转载请注明出处

通过郭盛华老师

你相信吗?黑客通过浏览器也能控制你的电脑

网络安全研究人员披露了有关针对韩国侨民的新型水坑攻击的详细信息,该漏洞利用Google Chrome和Internet Explorer等网络浏览器中的漏洞来部署间谍软件,以进行间谍活动。

该趋势被趋势科技称为“ Operation Earth Kitsune ”,涉及使用SLUB(用于SLack和githUB)恶意软件和两个新的后门程序dneSpy和agfSpy,以泄露系统信息并获得对受感染计算机的额外控制。

据网络安全公司称,在3月,5月和9月的几个月中观察到了这些攻击。

水坑攻击(黑客攻击方式之一,顾名思义,是在受害者必经之路设置了一个“水坑(陷阱)”。)通过插入旨在利用受害设备访问恶意设备并感染受害者设备的漏洞来破坏精心挑选的网站,从而使不良行为者可以破坏目标企业。

多元化运动

尽管先前涉及SLUB的操作使用GitHub存储库平台将恶意代码段下载到Windows系统上,并将执行结果发布到攻击者控制的私有Slack通道,但该恶意软件的最新版本已将目标瞄准了Mattermost,类似于Slack,源协作消息传递系统。

趋势科技表示:“战役非常多样化,在受灾机器上部署了许多样本,并在此操作中使用了多个命令与控制(C&C)服务器。” “总共,我们发现该活动使用了五台C&C服务器,七个样本以及四个N-day bug的利用。”‘

该攻击旨在跳过安装了安全软件的系统,以阻止检测,该攻击利用武器解决了一个已补丁的Chrome漏洞(CVE-2019-5782),攻击者可以通过特制HTML在沙箱中执行任意代码页。

另外,Internet Explorer(CVE-2020-0674)中的漏洞也被用来通过受感染的网站传播恶意软件。

dneSpy和agfSpy-功能齐全的间谍活动后门

尽管感染媒介有所不同,但利用链仍按相同的步骤顺序进行-启动与C&C服务器的连接,接收删除程序,然后删除程序,然后在继续下载之前检查目标系统上是否存在反恶意软件解决方案三个后门样本(“ .jpg”格式)并执行它们。

这次发生的变化是,除了为每台计算机创建一个单独的通道以从受感染的主机检索所收集的信息之外,还使用了Mattermost服务器来跟踪跨多台受感染的计算机的部署。

在其他两个后门dneSpy和agfSpy中,前者旨在收集系统信息,捕获屏幕快照以及下载和执行从C&C服务器接收的恶意命令,然后将其结果压缩,加密并泄露到服务器。

​趋势科技的研究人员说:“ dneSpy设计的一个有趣方面是其C&C旋转行为。” “中央C&C服务器的响应实际上是下一阶段C&C服务器的域/ IP,dneSpy必须与之通信以接收进一步的指令。”

dneSpy的对等产品agfSpy带有自己的C&C服务器机制,可用于获取Shell命令并将执行结果发回。其主要功能包括枚举目录和列表,上载,下载和执行文件的功能。

研究人员总结说:“由于地球使用的各种组件以及它们之间的相互作用,因此,地球Kitsune行动变得复杂而多产。” “该运动使用新样本来避免被安全产品检测的现象也非常值得注意。”

“从Chrome漏洞利用程序的Shellcode到agfSpy,该操作中的元素都经过了自定义编码,这表明此操作背后存在着一个小组。该小组今年似乎非常活跃,我们预计,他们将继续朝这个方向发展一段时间。”(来源:郭盛华博客,转载请注明出处)​

通过郭盛华老师

特朗普的竞选网站遭黑客攻击

特朗普总统的竞选网站周二下午遭到短暂和部分黑客入侵,取而代之的是看起来像是在收集加密货币的骗局。

​骇客事件最早发生于加布里埃尔·洛伦佐·格雷施勒(Gabriel Lorenzo Greschler)在Twitter上,该事件似乎发生在太平洋时间下午4点之前。罪魁祸首很可能黑客访问了Web服务器后端,并插入了很多混淆的JavaScript,从而模仿了FBI的“此网站已被占领”消息,该消息出现在正常内容上。

黑客声称拥有有关“病毒的起源”的内部信息以及使特朗普蒙羞的其他信息,黑客提供了两个门罗币地址。Monero是一种易于发送但很难跟踪的加密货币。

该网站在黑客入侵后的几分钟内恢复为原始内容。没有证据表明访问了除一页以外的任何内容,例如捐助者数据;竞选活动通讯总监Tim Murtaugh不久后证实了这一骇客行为,并表示没有泄露敏感数据,并且他们正在与执法部门合作。

这不是特朗普最近第一次被黑客入侵。猜他的密码的人(“ maga2020!”)短暂地接管了他的Twitter帐户,同时,特朗普的酒店也曾遭到黑客入侵。

来源:郭盛华博客,转载请注明出处

通过郭盛华老师

外媒:日本频繁举办黑客大赛,还邀请美俄相关专家坐阵

日本黑客大会
日本黑客大会
日本黑客大会

据外媒报道,日本为了培训新一代的年轻黑客,在东京频繁举行大规模的黑客大赛,同时还邀请了俄罗斯、韩国和美国相关网络安全专家坐阵。

来源:郭盛华博客,转载请注明出处

通过郭盛华老师

郭盛华:怎么判断手机有黑客?

在我们日常生活中,手机已经变成了必不可少的一部分。郭盛华:随着大数据时代和互联网时代的来临,手机的安全性逐渐增高。但是还是有些人有特定的技术可以监听你的信息。也许在你使用手机的时候,有黑客正在对你进行监听。那么怎么才能知道自己的手机被监听了呢?

1、手机突然黑屏

手机系统是一个整体,一些错误参数会让你的手机产生一些问题。比如你在打开某些软件的时候突然黑屏,而且过了几秒钟就恢复正常,并且这种情况非常地频繁,那么就应该注意你的手机是不是被人监听了。如果你在打开软件的时候发生了不正常的卡顿,不正常的卡顿就是你的手机按键失灵了,所有按键都不能控制你的手机,那么这个时候应当注意你的手机是不是被监听了。

2、打电话、通讯录等

首先,你可以试着打一个电话。你可以先试着给自己打电话,一般来说给自己手机打电话是不会接通的,但是如果接通了,那么很有可能你的手机被监听了。打电话的时候,可以听听自己电话里的声音,如果电话的声音显得比较空旷,回音非常明显,那也是被监听的表现。打开自己的通讯录,里面如果出现了一些你不认识的人,并且还出现了聊天记录被自动读取的现象,那么你应该留个心眼了,因为通讯录是随手翻一翻就能注意到的。你也可以用自己的另一个手机拨打号码,电话里若说的是“你所拨打的电话是空号”,这也是一种被监听的表现。

3、手机程序和话费增多

如果你的电话话费突然无缘无故增多,这很有可能是黑客盗用了你的电话号码。也就是多线联系,他通过你的电话号码是能监听到你的手机的,而且这个联系的费用也是算在你的话费账单里面的,因此一定要多多查看你手机的话费。还有,打开手机的后台程序管理,查看所运行的手机程序,若出现了你的手机中没有的程序,那么很可能就是黑客对你的手机进行了监听。APP也是一样,手机里面出现了从未安装过的并且奇奇怪怪的APP,很可能是黑客装的,他们用这些来达到自己监听的目的。

这是黑客监听你的手机的一些表方式。现在的手机安全性越来越高,但是黑客的手段也花样百出,因此还是会出现手机被监听或者被控制的情况。但是,道高一尺,魔高一丈,现在手机的一些防护设置和杀毒软件并不是摆在那里好看的,而是他们确实可以起到一定的防护作用。因此,一定要对自己的手机进行定期的查杀和杀毒,这样才会降低被监听的风险!

​来源:郭盛华博客,转载请注明出处