恶意流氓软件浅析之一

在网络的海洋里,很多时候,我们不知不觉的就被盯上了。

软件的安装量一直是一款软件证明自己的简单而有效的数据,很多小白在选择软件时经常会看到这个数据,就像热搜一样。

这个数据如何有效的增长呢?答案很简单,就是多安装呗。

所以自动安装各种软件的软件氤氲而生了,那就是我们经常说的流氓软件,也称恶意软件。

惡意軟體(英語:Malwaremalicious software),又稱「流氓軟體」,一般是指通過網路、可攜式儲存裝置等途徑散播的,故意對個人電腦、伺服器、智慧型裝置、電腦網路等造成隱私或機密資料外洩、系統損害(包括但不限於系統崩潰等)、資料丟失等非使用預期故障及資安問題,並且試圖以各種方式阻擋使用者移除它們,如同「流氓」一樣的軟體。[1]惡意軟體的形式包括二進位可執行檔、指令碼、活動內容等。[2]就定義來說,電腦病毒、電腦蠕蟲、特洛伊木馬、勒索軟體、間諜軟體、恐嚇軟體、利用漏洞執行的軟體、甚至是一些廣告軟體,也被囊括在惡意軟體的分類中。不過,無意的非使用預期的電腦裝置故障,則一般視作軟體臭蟲(software bug)。(此段来自维基百科https://zh.wikipedia.org/wiki/%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6)

在恶意软件的历史中,很多已经退出了历史舞台,但我想大家还记得3721吧,我们这里不展开说明,感兴趣的可以Google下。

今天就用还在盛行的五款软件举个例子,这五款软件在我维修系统的机器中经常见到,最多的时候是同时见到,那场景,简直惨目忍睹!不信,可以用你的最好最快的电脑上同时安装以下几个软件,记住安装时一直点下一步,保证你满意~~~

第五:2345

2345

第四:金山毒霸

金山毒霸

第三:驱动精灵

驱动精灵

第二:搜狗输入法

 

搜狗输入法

第一:(也可以称之为鼻祖)360

360

这几款软件的共同特点是极度符合恶意流氓软件的定义,在你不经意间疯狂安装软件,各自拥有全家桶,同时会“好意”告诉你的电脑有毒(可笑),赶紧一键处理,还会搜集各种信息,存储并分析(嗯,你懂的)。

总之,有兴趣的小伙伴可以在电脑上安装试试,还可以刺激的试下同时安装这五款软件。

当然,不光是pc端,移动端也可以见到他们的触角。

这只是冰山一角而已。

这次说的都是国内的软件,下次说说国外的,更刺激。

 

你的设备的这15个迹象表明你可能已被黑客入侵

今天对内容,并不是危言耸听,在我经手的多数电脑中,都发现了异常活动,当我告诉客户时,往往都不以为然,其实很可怕。

尤其是安装了各种未知的盗版软件(我建议大家一定要通过正规渠道,安装正版软件,或者已知可信的共享软件)

本片都内容可能有很多专业词汇,但我还是希望大家都阅读一下,在未来,它可能救你一命。

在当今的网络威胁环境中,大多数人认为有了安全软件几乎没有什么可担心的。实际上,安全软件并不十分准确,特别是对于不足24小时的漏洞利用程序。恶意黑客和恶意软件可以随意更改其策略。在周围交换几个字节,以前识别的恶意软件程序将变得无法识别。

为了解决这个问题,许多安全软件监视程序行为(通常称为启发式),以捕获以前无法识别的恶意软件。其他程序则使用虚拟化环境,系统监视,网络流量检测以及所有上述所有内容,以更加准确。安全软件仍然会失败。如果它们失败了,您需要知道如何发现通过安全软件检测的恶意软件。

如何知道您是否被黑客入侵?

这里有15个确定的迹象表明您已被黑客入侵,如果在日常使用当中发现以下情况,说明您极有可能已被黑客入侵。
1、您收到勒索软件消息
2、您收到虚假的防病毒消息
3、您有不需要的浏览器工具栏
4、您的互联网搜索已重定向
5、您会看到频繁的随机弹出窗口
6、您的朋友收到了您未发送的社交媒体邀请
7、您的网站在线密码无效
8、您观察到意外的软件安装
9、鼠标在程序之间移动并进行选择
10、反恶意软件,任务管理器或注册表编辑器已被禁用
11、您的在线帐户突然资金减少
12、您已收到被黑客入侵的人的通知
13、您的机密数据已泄漏
14、您的凭据位于密码转储中
15、您观察到奇怪的网络流量模式

请注意,在所有情况下,建议都是在继续操作之前将系统完全恢复到已知的良好状态。在早期,这意味着格式化计算机并还原所有程序和数据。今天,这可能只是意味着单击“还原”按钮。从风险角度考虑,完全还原始终是更好的选择。

1.您收到勒索软件消息
任何人在计算机上看到的最糟糕的消息之一是屏幕被突然的接管,并告诉他们所有数据都已加密,并要求付款以解锁数据。勒索软件非常庞大!在2017年活动量略有下降之后,索要赎金的计划又卷土重来了。数十亿美元的生产力正在损失,数十亿美元的赎金正在支付。小型企业,大型企业,医院,警察局和整个城市都被勒索软件所攻破。大约50%的受害者支付了赎金,这是一个很可悲的事情,也是很无奈的举措。
不幸的是,根据网络安全公司的说法,支付赎金并不会赢得约40%的时间运行系统。即使受害者确实支付了赎金,大多数受害者最终也要经历许多天的停机和额外的恢复步骤。
要做的事情:首先,如果您有一个良好的,经过测试的受影响系统的最新数据备份,您要做的就是还原所涉及的系统并进行充分验证(正式称为单元测试),以确保恢复为100 %。可悲的是,大多数公司没有他们认为的良好备份。
最好的保护是确保您具有良好的,可靠的,经过测试的脱机备份。勒索软件日益成熟。使用恶意软件的坏人正在受感染的企业环境中花费时间,以找出如何造成最大损失的方法,其中包括加密或破坏您最近的在线备份。如果您没有恶意入侵者无法访问的优质,经过测试的备份,那您将承担风险。
最后,几个网站可能能够帮助您恢复文件而无需支付赎金。他们要么找到了共享的秘密加密密钥,要么以其他方式对勒索软件进行了反向工程。您将需要识别所面临的勒索软件程序和版本。更新的安全软件可能会识别出罪魁祸首,尽管通常您所要做的只是勒索软件勒索消息,但这通常就足够了。

2.您收到虚假的防病毒消息
您在计算机或移动设备上收到一条弹出消息,提示设备已被感染。该弹出消息冒充成一种防病毒扫描产品,并且据称已在您的计算机上发现了十几个或更多的恶意软件感染。尽管这种方式不像以前那样流行,但是伪造的防病毒警告消息仍然是导致很多人上当。
发生这种情况的原因有两个:要么您的系统已经受到威胁,要么其本身就是病毒。希望是后者。这些类型的伪造的防病毒消息通常已经找到了一种锁定浏览器的方法,这样您就无法在不关闭浏览器并重新启动浏览器的情况下逃脱伪造的消息。
怎么办:如果幸运的话,您可以关闭标签页并重新启动浏览器,一切正常。虚假消息不会显示出来。在大多数情况下,您会被迫终止浏览器。重新启动它有时会重新加载将伪造广告强加于您的原始页面,因此您会再次获得伪造的AV广告。如果发生这种情况,请以隐身或私有模式重新启动浏览器,然后您可以浏览到其他页面并停止显示虚假的AV消息。
更糟糕的情况是,虚假的AV消息破坏了您的计算机(通常是由于社交工程或未修补的软件)。在这种情况下,请关闭计算机电源。如果您需要保存任何东西并且可以保存,请在关闭电源之前进行保存。然后将系统还原到以前已知的干净映像。大多数操作系统都具有专门为此设置的重置功能。
注意:一个相关的骗局是,警告您的计算机已受到感染,并拨打屏幕上的免费电话以获取技术支持帮助。通常,警告声称来自Microsoft(即使您使用的是Apple计算机)。这些技术支持诈骗者会要求您安装程序,然后使他们能够完全访问您的系统。他们将运行伪造的防病毒软件,发现很多病毒就不足为奇了。然后,他们向您出售一个解决所有问题的程序。

3.您有不需要的浏览器工具栏
这是一种普遍的利用迹象:您的浏览器有多个新工具栏,这些工具栏的名称似乎表明该工具栏应为您提供帮助。除非您认识到该工具栏来自知名供应商,否则是时候转储虚假的工具栏了。
做什么:大多数浏览器都允许您查看已安装和活动的工具栏。删除所有您不想安装的内容。如有疑问,请将其删除。如果此处没有列出伪造的工具栏,或者您无法轻易将其删除,请查看您的浏览器是否可以选择将浏览器重置回其默认设置。如果这不起作用,请按照上面列出的说明操作,以获取伪造的防病毒消息。
通常,可以通过确保所有软件都已完全打补丁并监视安装这些工具栏的免费软件,来避免恶意工具栏。提示:阅读许可协议。通常在大多数人不阅读的许可协议中指出了工具栏的安装。

4.您的互联网搜索被重定向
许多黑客通过将浏览器重定向到您不想去的地方来谋生。通过使您的点击出现在其他人的网站上,黑客可以获得报酬。他们通常不知道对其网站的点击来自恶意重定向。
您通常可以通过在互联网搜索引擎中键入一些相关的,非常常见的词(例如“ puppy”或“ goldfish”)来发现这种类型的恶意软件。不幸的是,通过使用其他代理,当今许多重定向的Internet搜索对于用户而言都是很好的隐藏方式,因此伪造的结果永远不会返回以提醒用户。
通常,如果您使用的是伪造的工具栏程序,那么您也会被重定向。真正想确认的技术用户可以嗅探自己的浏览器或网络流量。在受感染的计算机上与未受感染的计算机上,发送和返回的流量始终会明显不同。
怎么办:按照与删除伪造的工具栏和程序相同的说明进行操作。通常,这足以摆脱恶意重定向。此外,如果在Microsoft Windows计算机上,请检查C:\ Windows \ System32 \ drivers \ etc \ hosts文件,以查看其中是否配置了任何恶意的重定向。当输入一个特定的URL时,hosts文件会告诉您的PC去哪里。几乎不再使用它了。如果主机文件上的文件戳是最新的,则可能已被恶意修改。在大多数情况下,您可以简单地重命名或删除它而不会引起问题。

5.您会看到频繁的随机弹出窗口
这个流行的迹象表明您已被黑客入侵,这也是较烦人的迹象之一。当您从通常不生成它们的网站上获得随机的浏览器弹出窗口时,您的系统已受到破坏。我一直为哪个网站(合法网站或其他网站)可以绕过浏览器的反弹出机制而感到惊讶。这就像与电子邮件垃圾邮件作斗争,但情况更糟。
怎么办:听起来不像是破记录,但通常由上面提到的三种先前的恶意机制之一产生随机弹出窗口。如果您甚至希望摆脱弹出窗口,就需要摆脱虚假的工具栏和其他程序。

6.您的朋友收到您未发送的社交媒体邀请
我们以前都看过这一本书。当您已经成为该社交媒体网站上的朋友时,您或您的朋友都会收到“成为朋友”的邀请。通常,您在想:“他们为什么再次邀请我?他们是否解除了对我的朋友,而我却没有注意到,现在他们重新邀请了我。” 然后,您会注意到新朋友的社交媒体网站上没有其他可识别的朋友(或者可能只有几个),并且没有较旧的帖子。或者您的朋友正在与您联系,以找出发送新朋友请求的原因。在这两种情况下,黑客要么控制您的社交媒体网站,要么创建了另一个看上去相似的伪造页面,要么您或您的朋友安装了流氓社交媒体应用程序。
怎么办:首先,警告其他朋友不要接受意外的朋友请求。像这样说:“不要接受Bridget发出的新邀请。我认为她被黑了!”。然后以其他方式联系Bridget进行确认。在您的普通社交媒体圈子中传播新闻。接下来,如果不是第一次,请与社交媒体网站联系,并以虚假方式举报该网站或提出要求。每个站点都有其自己的举报虚假请求的方法,您可以通过搜索其联机帮助来找到它们。通常就像单击报告按钮一样简单。如果您的社交媒体网站确实遭到黑客入侵(并且不是第二个类似的伪造页面),则需要更改密码(如果没有,请参阅帮助信息,以了解如何执行此操作)。
更好的办法是,不要浪费时间。更改为多因素身份验证(MFA)。这样,坏人(和流氓应用程序)就不那么容易窃取并接管您的社交媒体形象。最后,不要安装任何社交媒体应用程序。它们通常是恶意的。定期检查与您的社交媒体帐户/页面关联的已安装应用程序,并删除所有您真正想要拥有的应用程序。

7.您的在线密码无效
如果您确定正确输入了在线密码,并且该密码不起作用,则可能是您被黑了。我通常会在10到30分钟内再试一次,因为我遇到过遇到技术困难的网站在短时间内不接受我的有效密码的情况。一旦确定您当前的密码不再有效,就很可能是流氓黑客使用您的密码登录并进行了更改,以使您无法进入。
在这种情况下通常会发生的情况是,受害人对据称声称来自该服务的真实外观的网络钓鱼电子邮件做出了回应。坏人使用它来收集登录信息,登录,更改密码(以及其他信息,使恢复过程复杂化),并使用该服务从受害者或受害者的熟人中偷钱(同时冒充受害者)。
怎么办:如果该骗局非常普遍,并且已经与您的许多熟人联系,请立即将所有您的受感染帐户通知您的所有亲密联系人。这样可以最大程度地减少因您的失误对他人造成的损害。其次,请与在线服务联系以报告遭到入侵的帐户。现在,大多数在线服务都有简便的方法或电子邮件联系地址来报告遭到入侵的帐户。如果您将帐户报告为受到感染,则通常该服务将完成其余工作,以帮助您恢复合法访问权限。另外,考虑颁布MFA。
如果在其他网站上使用了受损的登录信息,请立即 更改这些密码。下次请多加注意。网站很少发送电子邮件要求您提供登录信息。如有疑问,请直接访问网站(不要使用通过电子邮件发送给您的链接),并查看使用合法方法登录时是否要求提供相同的信息。您也可以通过其电话线致电该服务或通过电子邮件将其举报,以举报收到的网络钓鱼电子邮件或确认其有效性。

8.您观察到意外的软件安装
不需要的和意外的软件安装是您的计算机已被黑客入侵的重要标志。在早期的恶意软件中,大多数程序都是计算机病毒,它们可以通过修改其他合法程序来起作用。他们这样做是为了更好地隐藏自己。如今,大多数恶意软件程序都是特洛伊木马和蠕虫,它们通常像合法程序一样自行安装。这可能是因为当警察追上他们时,他们的创作者可以尝试说些类似的话:“我们是一家合法的软件公司。”
有害软件通常是由其他程序合法安装的,因此请阅读您的许可协议。通常,我会阅读许可协议,这些协议明确声明它们将安装一个或多个其他程序。有时,您可以选择退出其他已安装的程序。
怎么办:有很多程序可以向您显示所有已安装的程序,并让您有选择地禁用它们。我最喜欢的Microsoft Windows Checker是Microsoft的免费程序, Autoruns 或Process Explorer。它们不会向您显示已安装的每个程序,但是会告诉您在重新启动PC时自动启动的程序(自动运行)或当前正在运行的程序(Process Explorer)。
大多数恶意软件程序都可以嵌入到更大数量的合法运行程序中。困难的部分可以是确定什么是合法的,什么是不合法的。您可以启用“检查VirusTotal.com”选项,这些程序以及Google的Virustotal.com网站将告诉您它认为哪些恶意软件。如有疑问,请禁用无法识别的程序,重新启动PC,然后仅在某些所需功能不再起作用时重新启用该程序。

9.鼠标在程序之间移动并进行选择
如果在进行有效的选择时鼠标指针自行移动(这是重要的特点),则肯定是您被黑了。通常由于硬件问题,鼠标指针经常随机移动。如果这些运动涉及做出运行特定程序的选择,那么恶意软件就在其中。
这种技术不像其他一些攻击那么普遍。黑客会闯入计算机,等待计算机长时间闲置(例如午夜后),然后尝试窃取您的钱。黑客将闯入银行帐户并转移资金,交易您的股票以及进行各种旨在减轻您的现金负担的流氓行为。
怎么办:如果您的计算机在一夜之间“活跃起来”,请先关闭计算机一分钟,然后再确定入侵者感兴趣的内容。不要让他们抢劫您,但了解他们在看什么将很有用。并试图妥协。拍摄一些照片以记录其任务。在合理的情况下,关闭计算机电源。将其从网络上摘机(或禁用无线路由器),然后致电专业人员。这是您需要专家帮助的时候。
使用另一台已知良好的计算机,立即更改所有其他登录名和密码。检查您的银行帐户交易记录,股票帐户等,如果您一直是这种攻击的受害者,则必须认真对待。完全还原计算机是您应该选择的唯一恢复选项。如果您损失了任何金钱,请确保先让法医小组进行复印。如果您蒙受了损失,请致电执法部门并提起诉讼。您将需要此信息来最好地弥补您的实际金钱损失(如果有)。

10.禁用了反恶意软件,任务管理器或注册表编辑器
这是恶意破坏的一个巨大迹象。如果您发现自己的防病毒软件已被禁用并且没有使用,则可能是您被利用了-尤其是当您尝试启动任务管理器或注册表编辑器而它们无法启动,无法启动或消失时,状态。
怎么办:执行完整还原,因为无法告知发生了什么。如果您想先尝试一些不太激烈的尝试,如果在Windows计算机上,请尝试运行Microsoft Autoruns或Process Explorer(或类似程序)以清除引起问题的恶意程序。他们通常会确定您的问题程序,然后可以将其卸载或删除。
如果恶意软件“反击”并不允许您轻松卸载,请研究多种方法来恢复丢失的功能(任何互联网搜索引擎都会返回大量结果),然后以安全模式重启计算机并启动努力工作。我之所以说“艰苦的工作”,是因为通常这并不容易或快速。通常,我必须尝试几种不同的方法才能找到可行的方法。通过使用上面列出的方法摆脱恶意软件程序,可以首先恢复软件。

11.您的帐户金额减少
我的意思是突然少了很多钱。网上坏人通常不会偷小钱。他们喜欢将所有或几乎所有东西都转移到外汇或银行。通常,它始于您的计算机受到威胁,或者是您对银行或股票交易公司的假网络钓鱼作出回应。坏人登录到您的帐户,更改您的联系信息,并向自己转移大量资金。
怎么办:在大多数情况下,您很幸运,因为大多数金融机构将为您挽回被盗的资金(尤其是如果它们可以在损失真正发生之前就停止交易)。但是,在某些情况下,法院裁定客户的责任是不被黑客入侵,这取决于金融机构来决定他们是否会向您赔偿。
为了避免这种情况的发生,请打开事务警报,该事务警报会在发生异常情况时向您发送文本警报。许多金融机构都允许您设置交易金额的门槛,如果超过或超过了门槛,就会被警告。不幸的是,很多坏人在窃取您的钱之前会重置警报或您的联系信息。因此,请确保您的金融或贸易机构在您的联系信息或警报选择发生更改时向您发送警报。

12.您已收到被黑客入侵的人的通知
任何组织发现自己已成功受到威胁的最重要方式之一是无关的第三方发出的通知。自从计算机诞生以来就是这种情况,并且一直是事实。Verizon备受尊敬的《数据泄露调查报告》显示,与承认自己的妥协的组织相比,被通知与不相关的第三方入侵的公司更多。2019年7月,微软透露,自今年年初以来,它已经检测到针对其10,000多名客户的攻击。
要做的事情:首先,确定您是否真的被黑客入侵了。如果确认,请遵循您的预定义事件响应计划。确保每个人都知道您的IR计划是必须遵循的深思熟虑的计划。

13.机密数据已泄漏
没有什么能像组织的机密数据在Internet或深网上散发出来那样证明您被黑客入侵了。如果您没有首先注意到它,那么媒体和其他感兴趣的利益相关者很可能会与您的组织联系,以确认或了解您对此所做的事情。
怎么做:像以前的迹象一样,首先要找出它是否真的是您的机密数据。在许多情况下,黑客声称破坏了公司的数据,但没有任何保密信息。他们要么组成索赔和数据,要么只有公开数据,要么拥有其他公司的数据。因此,首先确认。
如果这是您组织的机密数据,那么是时候告诉高级管理层,开始IR流程并弄清楚什么时候需要与谁沟通了。

14.您的凭据(密码)位于密码转储中
数十亿个有效的(至少一次)登录凭据存在于Internet和黑暗的网络上。通常,它们会因网络钓鱼,恶意软件或网站数据库漏洞而受到损害。通常,第三方不会像其他类型的数据泄漏那样通知您。您必须主动警惕这种威胁。越早知道发生这种事情越好。
您可以使用各种网站(例如“我曾经被拥有过”)一次检查受侵害的凭证,使用各种免费的开源智能工具(例如The Harvester),免费的商业工具(例如KnowBe4的Password Exposure Test)来检查多个帐户,或者付费寻找您公司数据和凭证的任何商业服务。
操作:首先确认转储中是否包含任何当前使用的凭据,然后重置所有登录凭据。启动IR流程,以查看是否可以弄清楚组织的登录凭据在公司外的结局如何。另外,实施MFA。

15.您观察到奇怪的网络流量模式
首先,奇怪的、意外的网络流量你就需要引起警惕。可能是对公司的Web服务器的严重的分布式拒绝服务(DDoS)攻击,或者可能是向与您没有业务往来的国家/地区的站点的大型预期文件传输。如果了解其合法的网络流量模式,则无需第三方来告诉他们受到了攻击。庆幸的是,我知道公司中的大多数服务器都不会与公司中的其他服务器通信。公司中的大多数服务器不会与公司中的每个工作站通信,反之亦然。公司中的大多数工作站都不应使用非HTTP /非HTTPS协议直接与Internet上的其他位置进行通信。
怎么办:如果您看到无法解释的意外、奇怪的流量,则最好是终止网络连接并开始进行IR调查。几年前,我们可能会说如果操作谨慎会犯错误。今天,您不能再冒险了。直接杀死任何可疑的流量,直到证明它们是合法的。

如果您不了解有效的网络流量,则需要这样做。数十种工具旨在帮助您更好地理解和记录网络流量。我建议您检查一下Bro和Snort这样的免费开放源代码替代方案,但要有效使用它们,都需要大量的时间,资源和研究。相反,找到一个已经为您完成所有艰苦工作的好的商业解决方案是最佳的。

预防是最好的治疗方法

希望安全软件能够完美地检测到恶意软件和恶意黑客,这是非常愚蠢的。请注意计算机被黑客入侵的这些常见迹象和症状。如果您像我一样是冒险的,请始终在发生违规事件时执行完整的计算机还原。一旦您的计算机受到威胁,坏人就可以做任何事情并藏在任何地方。

大多数恶意黑客源自以下三种媒介之一:运行特洛伊木马程序,未打补丁的软件以及对伪造的网络钓鱼电子邮件进行响应。在防止这三件事上做得更好,您将不太可能依赖安全软件的准确性和运气。

CTO 写低级 Bug致公司 70 GB 数据遭泄露损失惨重

CTO 写低级 Bug致公司 70 GB 数据遭泄露损失惨重

出品 | CSDN(ID:CSDNnews)

近日,据外媒报道,美国开源社交网络服务平台 Gab 受到黑客攻击,其中,包括一些知名人士在内的 1.5 万 Gab 账号及个人信息遭到泄露。

据悉,一位未透露姓名的黑客利用 SQL 注入漏洞入侵 Gab 后台,并从数据库中窃取了约 70 GB 数据提供给了爆料组织 Distributed Denial of Secrets(简称 DDOSecrets)。这些数据包括了 7 万多条信息、4000 多万条帖子,以及哈希密码、明文密码、用户个人资料等。

然而,在 Gab 公司审查并欲修复漏洞之际,竟然发现此 Bug 出自自家公司的 CTO 之手,而这究竟又是怎么一回事?

CTO 写低级 Bug致公司 70 GB 数据遭泄露损失惨重

 

CTO 写的 Bug,后果很严重!

正如上文所述,Gab 公司在遭到黑客攻击后,爆料组织 DDOSecrets 团队公开发文表示,“正在将这些泄露的数据汇编成了一个 GabLeaks 的文件,同时将对外分发共享此数据集,记者、学者以及研究者可以通过公开渠道与其获得联系,对这些信息进行研究学习。”

在知晓这一消息之后,Gab 创始人 Andrew Torba 发表声明强烈谴责了相关的组织以及传播的记者。

CTO 写低级 Bug致公司 70 GB 数据遭泄露损失惨重

不过,就在谴责泄露组织及相关人员之际,Gab 内部也对网站的整体安全进行了审查。然而万万没想到的是,在快速浏览了 Gab 的开放源代码之后,竟然发现关键漏洞(至少有一个非常类似的漏洞)是源自 Gab CTO 提交的代码。

据外媒报道,通过查看 Gab 公司提交的“Git commit”更改记录中发现,今年 2 月,有一个名为 Fosco Marotto 的软件开发者,提交了一份代码。在这份代码中存在一个很明显的错误类型,而这往往是新手才容易犯的错误,即第 23 行代码中,拆分了“reject”和“filter”代码,这两个 API 函数实现了防止 SQL 注入攻击的编程习惯。

CTO 写低级 Bug致公司 70 GB 数据遭泄露损失惨重

这种惯用的方法可以帮助程序员能够以安全的方式编写 SQL 查询功能,且可以“清理”网站访问者在搜索框和其他 Web 网站中输入的字段,借此来确保在将文本传递给后端服务器之前,先清除掉所有恶意命令。

不过,开发者也需要向一个包含“find_by_sql” 方法的 Rails 函数添加了一个调用,这一方法直接在查询字符串中接受未经过滤的输入(Rails 是一种广泛使用的网站开发工具包)。

对此,Facebook 的前产品工程师 Dmitry Borodaenko 在一封电子邮件中写道,“ 或许 Rails 的官方文档没有警告过用户存在这个陷阱,但是,如果作为开发者,完全了解在 Web 应用程序中使用 SQL 数据库的任何知识,那么,相信你也听说过 SQL 注入,由此也不难发现“find_by_sql”方法不正确的警告。”

同时, Dmitry Borodaenko 指出,“现在并非能够 100% 确认这是在 Gab 数据泄露中使用的漏洞,但是不排除可能性,现在 Gab 团队已经将其在 GitLab 存储库中提交的最新代码恢复到了上一版本 。”

那么,要问 Fosco Marotto 是何许人也?

据悉,Fosco Marotto 此前在 Facebook 作为软件工程师任职 7 年,2020 年 11 月,正式加入 Gab 平台担任 CTO 一职。针对上面所犯的错误,也颇具有讽刺意义的是,Fosco 曾在 2012 年提醒过其他程序员,一定要使用参数化查询来防止 SQL 注入漏洞。

如今,Gab 已从其网站删除了 Git commit。

修正主义者的历史

然而又是这一举措,Gab 再次成为众矢之的。

作为一家创业型的开源社交网络服务平台,其支持言论自由,也一直被视为 Twitter 的最佳替代品,不过,Gab 此次在没有任何解释之下,直接删除提交的代码,引发业界不小争议。

对此,有批评人士称,此举违反了 Affero 通用公共许可的条款,该许可将规范 Gab 对 Mastodon(用于托管社交网络平台的开源软件包)的重用。

据公开资料显示,GNU Affero 通用公共许可协议是一个广泛被使用的自由软件许可协议,其改自 GNU 通用公共许可协议,并加入额外条款,其目的是为了 Copyleft 条款应用于在网络上运行的应用程序(如 Web 应用),从而避免有人以应用服务提供商方式逃避 GNU 通用公共许可协议。

批评人士表示,Gab 的删除行为违反了要求从网站直接链接到分叉源代码的条款。这些要求旨在提供公开、透明度,并使其他开放源代码开发者可以从 Gab 的同行中受益。

据报道,Gab 一直都是在 https://code.gab.com/ 上提交代码的。

但是,本星期一,Gab 突然删除了所有提交,包括那些创建并修复了严重 SQL 注入漏洞的提交。取而代之的是,Gab 使用了 Zip 存档文件的形式提供了源代码,该文件受密码“ JesusChristIsKingTrumpWonTheElection”的保护。

截止目前,据 Gab Git commit 显示,该公司的开发者也正在努力修复其易受攻击的代码。正如下图所示,一位用户名为“ developer”的开发者正在尝试完全修复包含 SQL 注入漏洞的代码,但最终并未成功。

CTO 写低级 Bug致公司 70 GB 数据遭泄露损失惨重

 

网友:不足为奇

针对这样的错误,也引发了不少网友的讨论:

  • 一点都不足为奇。在某一时刻,当他们有一个 API 时,我可以跟踪和看到在网站上看不到的”锁定”帐户中的信息。我对他们网站反馈了这一问题,他们回复说:“哦, 是的, 我们现在正在做很多改变,”然后从来没有修复过这一 Bug。
  • 对于企业而言,CTO 应该专注于战略层面,手里下应该会有 1-2 位开发者来领导日常的开发工作,并针对此类基本问题(或使用代码分析器)进行代码审查,以检测 sql、xss、xsrf、会话管理、基于密码的用户数据加密、消息加密和其他琐事。这并不是说我喜欢 Gab 这家公司,但我不知道有多少这样的新手错误,然后最终会被归咎于”外包公司”。
  • 这是糟糕的代码, 有点让我吃惊的是, 一个前 Facebook 工程师写了它 (后来成为 CTO),显然,Gab 并没有雇佣到一位最优秀、最聪明的 CTO。

对此,你怎么看?

参考链接:

  • https://ddosecrets.substack.com/p/release-gableaks-70gb
  • https://arstechnica.com/gadgets/2021/03/rookie-coding-mistake-prior-to-gab-hack-came-from-sites-cto/?comments=1
  • https://www.knowpia.cn/pages/affero%E9%80%9A%E7%94%A8%E5%85%AC%E5%85%B1%E8%AE%B8%E5%8F%AF%E8%AF%81

版权申明:内容来源网络,版权归原创者所有。除非无法确认,我们都会标明作者及出处,如有侵权烦请告知,我们会立即删除并表示歉意。谢谢!

「关注安全」数十亿设备或将受到新的“ BLESA”蓝牙安全漏洞的攻击

如今,数以亿计的智能手机、平板电脑、笔记本电脑和物联网设备正在使用蓝牙软件,需要警觉的是,这些软件很容易受到今年夏天披露的一个新的安全漏洞的攻击。

该漏洞被称为BLESA (Bluetooth Low Energy Spoofing Attack),会影响运行Bluetooth Low Energy (BLE)协议的设备。

据悉,BLE是原始蓝牙(经典)标准的精简版,旨在节省电池电量,尽可能长时间保持蓝牙连接。由于其节省电池的特性,BLE在过去的十年中被广泛采用,成为一种几乎无处不在的技术。

由于这种广泛采用,安全研究人员和学者多年来也多次对BLE的安全缺陷进行调查,经常发现重大问题。

然而,以前关于BLE安全问题的绝大多数研究几乎都只关注于配对过程,而忽略了BLE协议的大部分内容。普渡大学( Purdue University )组成的一个研究团队在着手调查BLE协议后,发现了安全问题。

他们把工作集中在“重新连接”过程上。在配对操作期间,两个BLE设备(客户端和服务器)相互验证之后,就会执行此操作。

当蓝牙设备移出范围,然后再移回到范围内时,也会发生重新连接。

正常情况下,当重新连接时,两台BLE设备应该检查彼此在配对过程中协商的密钥,然后重新连接并继续通过BLE交换数据。

但是普渡大学的研究小组说,他们发现官方的BLE规范没有包含足够强的语言来描述重新连接的过程。因此,有两个系统问题影响了软件供应链:

  • 设备重新连接期间的身份验证是可选的,而不是强制的。
  • 如果用户的设备未能强制物联网设备对所通信的数据进行身份认证,则可能会绕过认证。

这两个问题为BLESA攻击打开了大门——在此期间,附近的攻击者就可以绕过重连接验证,并向带有错误信息的BLE设备发送欺骗数据,并诱导使用者和自动化流程做出错误决定。

随后,研究人员分析了多种用于支持不同操作系统,包括基于linux的物联网设备、安卓、iOS等上的BLE通信的软件栈,都容易受到BLESA攻击,而Windows设备中的BLE堆栈则不受影响。

虽然可以通过更新来修复漏洞,糟糕的是,根据以前BLE的使用统计数据,研究团队认为使用易受攻击的BLE软件栈的设备数量有数十亿。其中,有一些早期的设备并未内置更新机制,这意味着这些设备将永远无法修补漏洞

目前,这些设备的软件供应商对它们束手无策,正在等待一个补丁。

100万美元不能诱惑,那1000万,1亿呢?

近日,发生一件事,值得我们去思考,27岁的俄罗斯公民伊戈雷维奇·克里乌奇科夫(Igorevich Kriuchkov)在美国被起诉,罪名是招募特斯拉员工合谋在公司网络上安装恶意软件。

今年8月,美国当局逮捕了27岁的俄罗斯公民伊戈雷维奇•克里乌奇科夫(Igorevich Kriuchkov),原因是他试图招募目标公司的一名员工植入恶意软件。该男子于8月22日被捕,并于8月24日出庭。Kriuchkov向这名特斯拉员工提供了100万美元

据称,在7月15日至8月22日之间,Kriuchkov与同谋共谋招募特斯拉员工,将勒索软件引入内华达州工厂的特斯拉网络。 想法是,一旦引入该软件,他们便会从特斯拉网络中窃取文件,然后威胁说,如果不支付赎金,便会发布被盗的数据。

8月底,埃隆•马斯克(Elon Musk)证实,俄罗斯黑客曾试图招募一名员工,在电动汽车制造商特斯拉(Tesla)的网络中安装恶意软件。

特斯拉蒂证实,歹徒联系的员工是一名会说俄语的非美国公民,在特斯拉内华达州工厂拥有的锂离子电池和电动汽车组装工作。

这名员工的身份尚未透露,但他可以进入特斯拉电动汽车制造商的电脑网络。7月16日,这名俄罗斯公民通过WhatsApp联系了该员工,要求与他在内华达州斯帕克斯见面。

在与雇员见面几天后,Kriuchkov向雇员透露了他的计划,并表示愿意出价50万到100万美元。恶意软件将由Kriuchkov和同谋者提供。

随后,这名员工决定将此事告诉特斯拉,随后公司将此事报告给了联邦调查局。后续这名雇员与Kriuchkov进行了多次会面,这些会面都受到了FBI的监视。

8月22日,联邦调查局逮捕了Kriuchkov。

无论这件事的结果是什么,都值得我们去深思,电子化的普及,同时也是恶意软件的温床,这次是100万,没有成功,是他们小看了这个市场的价值,设想一下,如果是一个亿呢?

「漏洞」“查找我的手机”应用漏洞使三星手机用户遭黑客攻击

近日据外媒报道,一位研究人员在三星手机“发现我的手机”应用程序中发现了多个漏洞,这些漏洞可能已经被黑客链接在一起,以在三星Galaxy手机上执行各种恶意活动。

据悉,“查找我的手机”功能使三星设备的所有者可以找到丢失的手机,还可以远程锁定设备,阻止对三星支付的访问并彻底擦除设备的内容。近日,来自葡萄牙的网络安全服务提供商Char49的安全研究团队Pedro Umbelino在三星的“发现我的手机”应用程序中发现了多个漏洞,这些漏洞可以让黑客在三星Galaxy 手机上执行各种恶意活动。

研究人员称:“ Find My Mobile软件包中存在多个漏洞,最终可能导致智能手机用户完全丢失数据,恢复出厂设置,以及被实行实时位置跟踪,电话和短信检索等。”

Char49研究人员在“查找我的手机”组件中一共发现了四个漏洞,这些漏洞可以被仅安装在设备SD卡上的设备上安装的恶意应用所利用。黑客通过访问设备的SD卡,应用程序可以触发攻击链中的第一个漏洞,然后创建一个文件,攻击者使用该文件来拦截与后端服务器的通信。成功利用此漏洞将使恶意应用能够执行“查找我的手机”应用所允许的相同操作,包括强制恢复出厂设置,擦除数据,定位设备,访问电话和消息以及锁定和解锁电话。

虽然目前,三星解决了这些漏洞,但是专家还表示:“漏洞利用链可在未安装补丁的三星Galaxy S7,S8和S9 +设备上运行。此漏洞是很容易被黑客利用的,并可能对用户造成灾难性影响。”

UPnP協定漏洞波及數十億連網裝置,可造成DDoS攻擊

安全研究人員Yunus Çadirci發現IoT裝置仰賴的UPnP協定存在安全漏洞,可讓駭客用來掃瞄網路、竊密,或是以物聯網用來助長分散式阻斷服務攻擊(DDoS)。

安全研究人員發現IoT裝置仰賴的UPnP協定存在安全漏洞,可讓駭客用來掃瞄網路、竊密,或是以物聯網用來助長分散式阻斷服務攻擊(DDoS)。

編號CVE-2020-12695的漏洞是由土耳其研究人員 Yunus Çadirci發現,和UPnP協定有關。UPnP跑在UDP port 1900埠及TCP埠,用於物聯網裝置尋找與控制的區域網路(LAN)上其他鄰近裝置的網路協定。但是UPnP協定是為受信賴的LAN裝置而設計,因此缺少流量驗證機制,不良預設可能給遠端攻擊者下手的機會。

研究人員發現UPnP SUBSCRIBE功能中的Callback header值可能被攻擊者操控,而造成了類似伺服器端的請求偽造(Server-Side Request Forgery,SSRF)漏洞,又被稱為CallStranger。CallStranger可被用來造成多種攻擊,像是繞過資料洩露防護(DLP)及網路安全裝置,引發資訊外洩、從連上網際網路的UPnP裝置掃瞄LAN網路的傳輸埠,或是以這些UPnP裝置為基地造成進一步、規模更大的反射式TCP DDoS攻擊。講得明白點,就是這些家用或企業產品,可能被用來發動DDoS攻擊。

Çadirci指出,全球數十億連網產品,包括路由器、電腦、印表機、遊戲機、TV、IP攝影機甚至對講機等,都受CallStranger漏洞影響。

研究人員發現本漏洞後,於去年12月首度聯絡標準制訂組織開放連網協定(Open Connectivity Foundation,OCF),後者今年4月才釋出新版規格,而且由於這是存在於UPnP本身的漏洞,相關廠商也花了好一段時間來修補。

ISP和DSL/纜線路由器廠商應檢查其產品的UPnP協定,廠商應升級新版規格以修補SUBSCRIBE功能。ISP則可以關閉由外部網路的UPnP Control & Eventing傳輸埠。企業用戶應在裝置廠商升級前,實施網路深度防禦措施。至於一般家用戶,研究人員表示不需關閉UPnP,只是要確保UPnP裝置沒有曝露在網際網路上。

這不是UPnP第一次傳出漏洞問題。2018年安全廠商Imperva發現UPnP協定的UPnProxy漏洞,可能讓駭客用來發動進階持續性滲透(APT)攻擊或是分散式阻斷服務攻擊(DDoS)。

【漏洞】Cisco IOS路由器中存在严重漏洞,系统或遭完全控制

所有的经验告诉我们,没有完全没有漏洞的系统,唯一能让我们安全使用的方案是,不停的为之打补丁!

近日据外媒报道,思科宣布将修复Cisco IOS路由器中的许多漏洞,其中包括十多个漏洞,这些漏洞正在影响该公司的工业路由器和交换机服务。

据悉,此次修复行动作为IOS和IOS XE的一部分,总共消除了25个高级严重性级别的漏洞。此外,该公司还针对影响iOS和其他软件的高中级严重性问题发布了许多其他建议。

 

在此次修复中,最严重的关键问题之一是“CVE-2020-3205”漏洞,它是属于VM通道命令注入漏洞,存在于Cisco 809,Cisco 829和Cisco 1000系列路由器(CGR1000)的Cisco IOS软件VM间通道中。它允许未经身份验证的攻击者可在VDS的Linux shell上下文中以root用户的特权有效地执行任意命令。同时,攻击者可以通过简单地将特制数据包发送到受害者的设备来利用此安全漏洞,一旦攻击成功可能导致系统的完全破坏。

另一个严重漏洞已获得标识“CVE-2020-3198”,并且它的漏洞特点与第一个漏洞相似,属于思科工业路由器任意代码执行漏洞。由于它允许未经身份验证的攻击者在易受攻击的系统上远程执行任意代码以导致系统崩溃,然后再通过将恶意数据包发送到设备来重新启动设备。同时,这些问题也会影响Cisco ISR 809和829工业路由器以及1000系列的CGR设备。

除此之外,思科还确定了CVE-2020-3227是至关重要的漏洞,该漏洞问题出在Cisco IOS XE中针对Cisco IOx基础架构的授权控制。由于该错误允许没有凭据和授权的攻击者访问Cisco IOx API并远程执行命令。因此,事实证明IOx无法正确处理对授权令牌的请求,它使攻击者可以在受影响的设备上使用特殊的API命令、请求令牌并执行任意命令。此外,对于这个漏洞,思科已经澄清,因为没有可行的解决方法来解决此安全漏洞,因此他们已经发布了解决此漏洞的必要软件更新。

注:本文由E安全编译报道,原文地址 https://www.easyaq.com

【漏洞】黑客可通过iPhone的Mail应用获取你的数据

最近由于疫情,大家都在家,网络的使用量激增,促使黑客的活动频繁,在这场我们看不到的战争中,没有一个系统可以免疫!

不管是Windows系统、Android(安卓)系统(前一阵这两家系统问题频发),还是一向以安全著称的iOS系统,都不是绝对安全的系统。

即使iOS系统一直在修复中,但依然存在着各式各样的漏洞。

说实话,漏洞被披露是好事!

近日,又有一家安全公司发现了iOS系统上存在的一个漏洞,该漏洞可能导致超过5亿部的iPhone/iPad容易受黑客攻击。

据悉,该漏洞是由旧金山移动安全取证公司ZecOps CEO祖克·阿夫拉哈姆(Zuk Avraham)在2019年底对一名客户受到的复杂网络攻击进行调查时发现的。调查表明,至少有6次网络入侵都是利用这个漏洞来实现的。

该漏洞可以远程触发,而且已经被黑客用来攻击一些知名用户。案例中提到,黑客通过Mail应用向受害者发出一份空白电邮,导致后者的系统崩溃并重置,而系统崩溃令黑客得以窃取照片和联系人信息等其他数据。

阿夫拉哈姆还表示,即使在运行最新iOS系统版本的iPhone中,黑客也能利用这个漏洞远程窃取其数据。黑客可以利用这个漏洞获取邮件应用的所有访问权限,包括用户的私密信息。

阿夫拉哈姆强调称,邮件应用可能只是黑客利用这一漏洞的程序之一,其余的还没发现,利用这些程序,黑客可以远程获取iPhone/iPad的完全访问权限。

对此,苹果尚未置评。但苹果公司发言人已经承认,iPhone和iPad上的电子邮件软件(即Mail应用)确实存在漏洞,并表示该公司已经开发了一个修复程序,将在即将发布的软件更新中推出。

苹果前安全专家帕特里克·沃德尔表示,这个发现“证实了一直以来被严格保守的一个秘密:资源充足的黑客可以悄无声息地远程感染打好了所有补丁的iOS设备”。

由于苹果在近期才发现了这个漏洞。因此,在此之前,黑客们很有可能利用这个漏洞来给政府或者个人商家提供价格不菲的入侵服务。据悉,如果一个黑客可能对一部最新款iPhone发动攻击,且不会系统安全警告,入侵的价格可能会达到100万美元以上。

苹果iPhone是全球公认安全系数最高的手机品牌,因此iPhone所搭载的iOS系统也成为黑客的主要研究对象。

据此前苹果公司表示,在2019年里,活跃使用的iPhone约为9亿部。也就是说,任何一个iOS系统上的漏洞,都可能影响到数以百万计算的iPhone用户。

而苹果方面,为了鼓励开发者们发现更多系统漏洞,苹果公司在去年12月20日起就正式向所有iOS安全研究员开放了iOS漏洞赏金计划。任何在iOS,macOS,tvOS,watchOS或iCloud中发现错误的安全研究人员都可以通过向Apple披露漏洞来获得苹果公司高额的现金奖励。

据福布斯此前报道称,苹果向一名叫Ryan Pickren黑客支付了75000美元(约合人民币53万元)的奖励。原因是该黑客发现了该苹果相关系统中软件的多个零日漏洞。

目前,漏洞的【单项最高赏金】是100万美元。

P.S. 刚刚苹果官方发布了更新推送,大家及时更新全系列产品!切记!!!