360网络安全周报第186期

安全资讯

这个双十一,你“买买买”了吗?你知道“买买买”背后暗藏多少风险吗?
暗网上仍有大量的密码数据持续销售;Kitten of Doom攻击事件报告;gargoyle是将可执行代码隐藏在非可执行内存中的技术;Vision Direct用于破解的客户的姓名以及支付卡号;如何在黑五保障支付安全。
现在攻击者们经常使用“Living Off the Land”技术,也就是利用受害者环境中已安装的合法程序来执行恶意操作。通过这种方法,攻击者无需在攻击载荷库中额外添加其他软件:所需的一切都已在受害者计算机中准备就绪。
代码审计是使用静态分析发现源代码中安全缺陷的方法,能够辅助开发或测试人员在软件上线前较为全面地了解其安全问题,防患于未然,已经成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。
VisionDirect被黑客攻击:黑客用恶意谷歌分析代码感染域名;APT29在经过两年广泛的间谍活动后重新出现;WordPress插件修复了危险AMP;(RHSA-2018:3643)重要:内核安全更新;技术文档:通过DoS保护远离洪水区。
前段时间,北京市海定区人民检察院出了一个《网络安全刑事司法保护白皮书》,根据里面的统计结果目前的黑产犯罪大部分还是呈现低龄、低学历的特征。但是下面要讲的这个故事,学霸来搞黑产,听说一次就捞了6个亿,咱一起瞧瞧去~
新的黑客组织Outlaw使用僵尸网络进行挖矿和暴力攻击;有俄罗斯背景的网络攻击团伙近期开展大规模的钓鱼活动;通过DoS保护远离洪泛威胁;保护企业免受使用公司wifi进行未经授权访问的最佳做法;卡巴斯基反勒索工具。
昨日深夜,Adobe发布适用于Windows,macOS,Linux和Chrome OS的Adobe Flash Player安全更新,修补了一枚类型混淆漏洞(CVE-2018-15981)。该漏洞影响Adobe Flash Player 31.0.0.148及以前版本,成功利用会导致任意代码执行。
在2016年初,一名此前不为人知的黑客以tessa88的化名出现在公众面前,他提供了一份大规模的机密数据库待售清单。这名黑客公开出售VKontakte,Mobango,Myspace,Badoo,QIP,Dropbox,Rambler,LinkedIn和Twitter等公司的数据库。
11 月 21号,Semmle团队的安全研究员Man Yue Mo通过semmle 官网 ,再次指出 ghostscript 的安全沙箱可以被绕过,通过构造恶意的PDF内容,可造成远程命令执行。
在Safari中打开网站可能会破坏您的Apple macOS;L0rdix成为了Windows黑客的新军刀;美国邮政服务公司将超过6000万用户数据暴露超过一年;亚马逊数据泄露:客户的姓名和电子邮件地址在线公开;CVE-2018-8009:Hadoop分布式缓存存档漏洞。
本文将主要针对PNG Dropper恶意软件进行分析,这一恶意软件是由Turla组织开发和使用的。但是最近,NCC的研究人员发现了一个带有新型Payload的样本,我们在内部将其命名为RegRunnerSvc。
11月22日,Magisk作者topjohnwu发表文章,提到他在研究Fate/Grand Order手游的root检测机制时发现了存在于数百万台android设备上的漏洞,利用该漏洞会泄漏系统上的进程信息。除了Samsung等少数厂商以外,大部分国产厂商的设备都受到影响。

安全知识

又是周末,又是CTF,还是pupil出的题,只能说,非常有趣了:bestphp、bestphp’s revenge,前者来自xctf final,后者来自2018LCTF。
本文为湖湘杯复赛题目WP,作者为DWN战队。
自从2018年10月25日起,360威胁情报中心连续捕获了多个专门盗窃俄罗斯语用户银行卡资金的定向攻击样本。
“乱世”木马家族的命名来源于木马母体程序包含的“乱世英雄”、“乱世权限”等特殊关键字,该家族的木马形态变化多端、作案手法专业娴熟,从今年起开始大肆地在国内传播。360核心安全团队对此持续追踪,并独家发布“乱世”木马家族系列的披露报告。
一场活跃且隐秘的加密货币挖掘和勒索软件活动正在感染西班牙和法国的目标用户,该软件利用多种绕过技术来逃避传统AV的检测。
ATM一直以来就是黑客梦寐以求的目标,不管是BH还是各种会议中也是绝佳的攻击对象,本文为PT(Positive Technologies)关于ATM方面安全性的总结与安全防护报告。本文为此报告的上篇。
ATM一直以来就是黑客梦寐以求的目标,不管是BH还是各种会议中也是绝佳的攻击对象,本文为PT(Positive Technologies)关于ATM方面安全性的总结与安全防护报告。本文为此报告的下篇。
最近在 ctf 比赛中考察到了很多关于文件上传的知识点,然而文件上传这块知识掌握的不是很好。所以这里总结一下近期 ctf 比赛中遇到的文件上传题目的知识考点和常见思路,并且给出相应的例题。
一年前的2017年11月,F5实验室发布了关于网络钓鱼的秘密及如何阻止它的指导性报告。过去两年来,钓鱼攻击导致的数据泄露事件稳步增长。在2018年,我们预计钓鱼攻击将超过web应用攻击成为数据泄露事件的头号成因。
本文为出题师傅k0rz3n对此次LCTF中题目的详细分析。
本文通过介绍solc编译过程来带领读者理解solidity合约结构,现在以一个最简单的代码来开始我们的逆向旅程。
在10月9日的几个小时内,我们的客户陆续向我们反馈了同样的攻击事件。此次攻击活动似乎与银行木马Ursnif有关,这是一款长期活跃的恶意软件,与ZeuS及SpyEye一样,其根源可以追溯到2017年,如今在每次攻击活动中仍具备非常强大的感染能力。
在10月9日的几个小时内,我们的客户陆续向我们反馈了同样的攻击事件。此次攻击活动似乎与银行木马Ursnif有关,这是一款长期活跃的恶意软件,与ZeuS及SpyEye一样,其根源可以追溯到2017年,如今在每次攻击活动中仍具备非常强大的感染能力。
前一段时间学了IO-file的知识,发现在CTF中IO_file也是一个常考的知识点,这里我就来总结一下IO_file的知识点,顺便可以做一波笔记。
大家好,爱写靶机入侵文章的我又来了!本次靶机为Fowsniff,因为不是很难内容不多,但是有些情况肯定在真实的攻击环境中还是有可能碰到和利用的,但是为了小弟还是在文章后面小弟加入了国外的一个在线靶机入侵测试平台的基础入坑第一篇。
实在不知道起什么标题,于是滑稽了一波。写这篇文章的起源是2018高校网络信息安全管理运维挑战赛的一道RSA题目,借此机会,将中国剩余定理与RSA的结合研究一下。
听说一血有pwnhub注册码拿就去试着打了一下周末的这场LCTF,结果作为签到题选手(笑)连签到题的一血都拿不到可能这就是命吧,不过遇到了一题不错的pwn,就详细的记录下解题思路和技巧吧
LCTF真的有一点劝退的意思。。。膜一波出题人,当时自己没有做出来,和大佬交流了一下思路之后会了。感觉题目是很新奇的,因为有点像是现实环境中逻辑漏洞利用。
ESET研究人员最近发现了针对东南亚多个网站的新一波水坑攻击活动,这些攻击活动自2018年9月份以来一直处于活跃状态。此次攻击活动之所以脱颖而出,原因在于其规模庞大,我们能够检测到21个被成功入侵的网站,其中某些网站的地位举足轻重。
在本文中我们将讨论ImageMagick内存泄露漏洞CVE-2018-16323并研究如何进行防护。
在2018年10月下旬和11月初,Unit 42监测到一系列武器化文件,这些文件使用了某种技术来加载包含恶意宏的远程模板。这种类型的武器化文件其实并不罕见,但由于其具有模块化的特点,因此自动分析系统很难将其识别为恶意文档。
其实威胁情报这个概念早些年就已经产生了,但近年来,随着安全领域的重视和快速发展,“威胁情报”一词迅速出现在这个领域,如今,许多安全企业都在提供威胁情报服务,众多企业的安全应急响应中心也开始接收威胁情报,并且越来越重视。
情报是经过严格定性与定量处理的条理化、系统化和知识化的信息。情报分析是通过对全源数据进行综合、评估、分析和解读,将处理过的信息转化为情报以满足已知或预期用户需求的过程。情报小至个人,大则商、社、安全甚至军事,都是不可或缺的关键。
FortinetGuard实验室最近发现了使用Google Docs的一次攻击活动,攻击者在此次攻击活动中打着Fortinet以及FortiGuard的旗号。

安全活动

在汽车自动化、电气化以及互联化的未来发展趋势下,车辆的网络和信息安全问题所面临的挑战愈发严峻,诸如信息篡改、病毒入侵等各种可攻击途径和手段也日渐增强。
这次活动我们有不少新变化,不过保持不变的东西更多
在汽车自动化、电气化以及互联化的未来发展趋势下,车辆的网络和信息安全问题所面临的挑战愈发严峻,诸如信息篡改、病毒入侵等各种可攻击途径和手段也日渐增强。
无论你是科班出身还是半道杀入,在通向安全顶级岗位的道路上,你可以考虑先制定阶段目标、准备对应的敲门砖(高价值安全认证),根据Global Knowledge的报告,与安全有关的认证每年比中位数的IT认证薪水平均高出17000美元。
针对各位小哥哥提交插件时,由于插件代码存在错误,导致验证审核不通过,需要修改再提交,从而拉长插件审核周期的问题,补天特优化推出“验证插件功能”啦!!
转眼,快手 SRC 已经开张近半年了。这半年,我们结识了很多新老铁。为了感谢各位老铁这半年里的付出和帮助,快手 SRC 来袭一波感恩节活动——老铁,你准备好了吗?
11月29日,MIDC • 2018 小米IoT安全峰会第二届在北京举办,AI、IoT行业的安全专家及爱好者齐聚一堂,在这万物互联新时代,共筑IoT安全生态。
大会以“直面信息安全挑战,创造最佳实践”为主题,聚焦企业信息安全技术与实践应用等热点话题,致力于推进企业信息安全体系建设,加强企业信息安全管理,助推企业信息安全生态圈的健康发展。
2018年,国内外安全大戏一波未平一波又起。大数据、物联网、人工智能、区块链……当科技带来一次次惊喜的同时,安全的警钟又不断引发对新技术的重新审视与思考。仰望星空,辽廓深邃的星海隐藏着无限机遇。
安胜“卧龙斋”网络安全演训一体化平台为2018“柏鹭杯”全国大学生网络空间安全精英赛保驾护航!