在美国情报机构详细说明俄罗斯黑客如何干扰2016年美国大选之后，英国宣布调查其自身网络安全。英国希望确保它不会受到影响美国2016年总统大选的网络攻击。星期一，英国国家安全战略联合委员会宣布，它正在审查国家的网络安全。 委员会主席玛格丽特·贝克特在一份声明中说，“网络安全对国家安全的影响是一个日益引起关注的问题。最近，各国将注意力集中在其他国家和相关行为体，为了政治目的发动的网络攻击上。” 两天之前，美国情报机构详细说明了俄罗斯在美国总统选举期间的黑客行为，并指责俄罗斯总统弗拉基米尔普京下令进行网络攻击，竞选影响结…
KillDisk系列数据清除恶意软件，因破坏乌克兰能源设施而蜚声四海，如今又被用于世界最贵勒索攻击中。 某些KillDisk恶意软件变种的画像 攻击者针对Windows和Linux桌面系统和服务器，索要数据赎金的数额更是挺搞笑的222比特币，价值 24.7万美元。（想钱想疯了？ ) 杀软公司ESET的研究员称：“必须强调的是，即便支付了这高得离谱的赎金，使用该KillDisk变种的攻击者依然提供不了解密密钥。”因为攻击者的加密密钥既没本地存储，也没传输到C&C服务器，根本解密不了受害者被锁定的文件。 该恶意…
前言 整个2016年，勒索软件呈现出集中的爆发态势。那么，到底爆发到了什么程度？来看一下12月份的统计数据，相当令人震惊：整个12月份，出现了32个新勒索软件样本，并出现了33个勒索软件的新变种。安全专家发布了9款勒索软件的解密工具，他们的工作还是很有成效的，但是，与出现的速度相比，还有很大差距。 下面我们按照时间，来具体说明每天发生的勒索事件、及反勒索事件。 12月1日 Matrix勒索软件首次出现，并使用了GnuPG加密系统 研究人员在实际环境中发现了一款新型勒索木马，叫做“Matrix”，它使用开源的GnuP…
美国大型三方电竞平台ESEA通过推特公布，12月30日遭到了黑客的失败敲诈勒索尝试攻击。预计目前有150万条数据记录被泄露，估计有百万名玩家或许可能遭到影响。由于泄露的数据记录为加盐加密哈希值，目前玩家数据可能并未被利用，但是用户请尽量更新更加强的密码，并且注意钓鱼式攻击。 其泄露的数据包括许多注册信息，如注册日期、城市、州或省、最后一次登陆、用户名、真实姓名、电邮地址、生日、邮编、电话、网址、Steam ID、Xbox ID和PSN ID等等。尽管这些用户数据均可能面临泄露，但是密码并未存储在服务器的数据记录中，…
机器人无疑是2016年科技界最火热的话题。就在刚刚过去的2017 FreeBuf互联网安全创新大会HACK DEMO环节上，数千名现场观众目睹了一场令人脑洞大开的机器人“物理入侵”案。 薛恩鹏网名烧鸡，是一名来自哈尔滨理工大学的大三学生。谈及这次演示的创意，就来自每个人学生时代都萌生过的一个美好愿望：要是我能在考试之前看到卷子就好了。 如何实现“密室入侵” 最开始的设想 当一个派送错误的快递箱静静的躺在老师办公室的某个角落… 夜幕降临，老师陆续下班，在夜深人静的办公室，纸箱自己打开，出来一个机器人，靠近老师的电脑主…
About 3xp10it 3xp10it是一个自动化渗透测试框架,目前没有做到完全自动化[自动上传漏洞利用框架和自动fuzz框架暂时没有加入。 b)支持功能列表 高危漏洞扫描模块 爬虫模块 目标网站脚本类型检测 目录扫描模块 sqli扫描模块 robots/sitemap自动收集 cms识别与cms漏洞扫描模块 自动识别管理员页面并爆破[支持自动识别简单验证码] webshell自动查找与爆破,支持asp,php,aspx,jsp,支持chopper一句话webshell和大马类型webshell a)apach…
* 本文作者：雪碧 0xroot@漏洞盒子安全团队 0×00 引子 近年来，随着云计算、物联网技术的快速发展，物联网的理念和相关技术产品已经广泛渗透到社会经济民生的各个领域，越来越多的穿戴设备、家用电器通过蓝牙、Wi-Fi、Li-Fi、z-wave、LoRa等技术接入互联网，成为联网的终端设备。 但是由于这些技术普遍为短距离无线通信技术，通常被设计用于室内和短距离使用，在室外尤其是非视距下性能表现非常差，而作为现有成熟的GSM(Global System for Mobile Communication)技术，因其…
今天，网上曝光支付宝“熟人可以修改登录密码”的“漏洞”。据说“陌生人有1/5的机会登录你的支付宝，而熟人甚至100%可以登录你的支付宝”，而且登录方式并没有什么技术含量。针对此事各个社区已经讨论炸锅，毕竟人们对支付宝的依赖非其他普通应用可比。 不过这个问题到底算不算漏洞，还有待讨论。即便这个所谓的“漏洞”如此粗糙，却的确存在危害性——支付宝修改密码的业务流程还是需要优化。 按图索骥，小编也测了下 重置支付宝登录密码的整个过程其实非常简单，小编只花了几十秒就按照网上的“教程”全程操作了一遍： 1. 打开支付宝App登…
近期，安全研究人员在Github上发现了疑似俄罗斯黑客团体Fancy Bear使用的网络攻击相关源代码程序，这些程序用于攻击端与受害端的通信控制。通过分析发现，黑客使用了Gmail邮箱进行加密信息的接发交流。而据源码分享者表示，这些文件是在黑客的某台C&C中转服务器上发现的。 程序源码Github https://github.com/rickey-g/fancybear 源代码语法信息 程序评论都是英文，但有很多语法错误； MailServer.py文件中，涉及的某封电子邮件主题为电子邮件主题为“pira…
美联邦贸易委员会（FTC）于上周四控告台湾友讯集团（D-Link），称其生产的路由器和网络摄像头存在安全漏洞，用户面临被黑客攻击的风险。 诉讼文档 据旧金山联邦法院收到的指控称，D-Link多次未能采取合理的安全措施确保设备安全，其产品存在的漏洞使得黑客可以远程监控用户活动，并进一步实施盗窃等犯罪行为。但FTC在本次诉讼中并没有提供任何关于D-Link设备已被黑客攻陷的事实，只是分析了用户受到上述攻击的可能性。 当然，D-Link正藉此予以反驳。他们否认FTC的所有指控并认为他们毫无依据。 立场强硬的FTC 据悉，…
在美国情报机构详细说明俄罗斯黑客如何干扰2016年美国大选之后，英国宣布调查其自身网络安全。英国希望确保它不会受到影响美国2016年总统大选的网络攻击。星期一，英国国家安全战略联合委员会宣布，它正在审查国家的网络安全。 委员会主席玛格丽特·贝克特在一份声明中说，“网络安全对国家安全的影响是一个日益引起关注的问题。最近，各国将注意力集中在其他国家和相关行为体，为了政治目的发动的网络攻击上。” 两天之前，美国情报机构详细说明了俄罗斯在美国总统选举期间的黑客行为，并指责俄罗斯总统弗拉基米尔普京下令进行网络攻击，竞选影响结…
“太可怕了，三年前注册了一个12306网站的账户，现在却发现账户被人盗用，常用联系人里绝大部分都是不认识的人。”市民潘小姐非常震惊，自己三年没用的账户，竟然被黄牛拿去刷票了，而且向铁路部门、110反映，也找不到原因。随着春运大幕开启，一些不常购票的市民发现他们“沉寂已久”的12306账户信息中出现了一个甚至多个素不相识的人：为什么黄牛会盯上这些“沉寂”的账户，这些账户又通过怎样的渠道落入黄牛手中？ 无法删除陌生人信息 1月6日，之前在国外读书的潘小姐尝试在12306网站购票。“账户三年前就注册了，但一直没用过。这次…
E安全1月10日讯 研究人员Dylan Ayrey发布工具，帮助管理员深入研究GitHub Commits，找到高熵密钥。这款工具名为“TruffleHog”，能通过Github定位高熵密钥，从而避免管理员暴露他们的网络和敏感数据。 TruffleHog的开发人员Dylan Ayrey去年警告“粘贴劫持”攻击（Pastejack Attack）。他表示，这款工具将定位任何超过20个字符串的高熵密钥。 Ayrey表示，“TruffleHog”通过Git存储库搜索高熵字符串，深入挖掘提交历史（Commit Histor…
E安全1月10日讯 上周五，美国能源部发布第二份四年能源评估报告《改造国家电力系统》（Transforming the Nation’s Electricity System）。能源部在报告中警告称，美国电力基础设施面临“迫在眉睫”网络攻击风险。 美国能源部指出，虽然能源网的技术进步为提供能源带来更具动态、可靠、高效的系统，但同时也使得现有网络进一步集成。能源部在四年能源评估（Quadrennial Energy Review）上表示，由于实现了集成，安全性需要提高。美国的大多数能源网归私营企业所有，并由他们运营。…
美国食品和药物管理局(FDA）近日发出警告：确认心血管设备生产商圣犹达医疗（St Jude Medical）的部分产品存在网络安全性问题，其生产的特点型号起搏器和心血管仪器产品极易被黑客侵入。此前浑水发布做空报告称公司产品存在网络安全性问题，而信息安全研究员工也早已警告此类问题，在今年九月FDA计划彻查心血管设备生产商St Jude的产品安全性问题。而现在是首个由FDA发出的正式警告，这或将对圣裘德医疗的股价产生极大影响。 FDA指出，脉冲发生器/起搏器可以被经过恶意修改的St Jude自家的数据传输器Merlin…
绿盟科技发布了本周安全通告，周报编号NSFOCUS-16-39，绿盟科技漏洞库本周新增30条，其中高危9条。本次周报建议大家关注 MatrixSSL 堆缓冲区溢出漏洞 ，目前，此漏洞已经公布了一段时间并且官方已经进行了修复，强烈建议仍在使用受影响版本的用户进行升级。 焦点漏洞 MatrixSSL 堆缓冲区溢出漏洞 NSFOCUS ID 35726 CVE ID CVE-2016-6890 受影响版本 3.8.5 漏洞点评 MatrixSSL是SSL/TLS的开源实现，主要应用于嵌入式系统中。由于MatrixSS…
师傅银行木马是一款Windows恶意程序，在 2015 年首次发现。师傅基于 Shiz 源代码构建，使用了 Zeus 所使用的技术。攻击者使用师傅在全球各网上银行网站窃取证书凭据，最早在俄罗斯，后来日本、英国、 意大利和其他国家也发现了它的身影。 Arbor Unit 42 研究发现，师傅作者已经在 2016 年更新了这个银行木马恶意软件。师傅银行木马现已加入多个新技术，用于感染更多的计算机，同时规避微软 Windows 系统的检测。其中包括︰ CVE-2016-0167 Microsoft Windows 权限提…
比特币硬件钱包公司 KeepKey 创始人悬赏 30 比特币寻求线索逮捕黑客。该黑客入侵了 CEO 的电子邮件账户，并通过账户窃取了部分机密信息。 事件发生在 2016 年圣诞节，KeepKey 公司首席执行官 Darin Stanchfield 在博文表示，黑客入侵了他的工作邮件账户和智能手机账户并重置了相关联账户的密码。黑客访问了公司部分机密信息，包括销售分销渠道、运输和物流方面的供应商、以及营销软件电子邮件帐户，这意味着黑客可以借此访问部分用户数据如客户地址、电子邮件和电话号码。 黑客与公司工程师通过电话取得…
外媒援引《纽约时报》报道称，苹果和谷歌被要求分别从俄罗斯的 App Store 和 Google Play 商店中下架 LinkedIn 应用。就在几个星期前， 俄罗斯作出了阻止公共访问职业社交网络 LinkedIn 的决定，一家俄罗斯法院维持在俄罗斯境内禁止 LinkedIn 的裁定。 《纽约时报》在报道中指出：“在俄罗斯法院作出这家职业社交网络违反当地历史数据保存法规的裁定几周后，俄罗斯当局要求苹果和谷歌从 App Store 和 Google Play 商店中下架LinkedIn。”俄罗斯相关法律规定，在俄罗…
2016 年初美国法庭宣判苹果公司需配合 FBI，就圣博娜迪诺恐怖袭击案的调查解锁一台凶犯的 iPhone 5c，苹果公司以“用户面临更大的风险”为由拒绝添加后门程序，最后 FBI 不得不斥巨资寻求第三方技术破解 iPhone 5c，这场风波才得以平息。 近日应 USA Today、Associated Press 和 Vice Media 的诉讼要求，美国司法部公开了一份 100 多页的相关记录文件。在恐怖袭击事件之后，FBI 方面很快就发现他们无法破解手机，只能向国会议员透露他们的无奈。USA Today、As…
近日， MongoDB 数据库被黑并遭勒索的事件数量骤然增多。犯罪分子利用数据库配置漏洞进行未授权访问、拷贝、删除数据库内容，并以备份数据威胁受害者、索要赎金。 据挪威的安全研究员 Niall Merrigan 表示，MongoDB 数据库勒索事件从早上的 12000 起上升到现在的 27633 起，整个过程也就 12 小时左右。 事件进展： 目前，研究人员 Merrigan 发现已经有 15 个不同的黑客组织参与到了这次勒索行动。此次勒索事件最初由 GDI Foundation 的安全研究人员 Victor Ge…
各位老司机在日常的渗透过程中，都会有自己趁手的工具集合，有开源的有私有的，不管什么样的工具组合，能够达到最佳的渗透效果就是好工具，老司机分享一点自己在内网渗透中惯用的开源工具和平台。 渗透测试平台类： Metasploit，这个大家都不陌生了，集信息收集，预渗透，渗透，后渗透，木马，社会工程学于一体的平台，居家旅行，杀人越货之必备。SET（Social-engineer-toolkit） 主要用来做社工平台，邮件伪造，dns劫持，以及office钓鱼。 Cobaltstrike，目前来说最好用的针对windows…
微软本周预计将发布一个新的Windows 10 Build测试版 - Windows 10 Redstone 2 Build 15002，但由于某个未知错误，微软在最后时刻决定取消发布。但是现在，一些用户已经通过微软官方渠道下载到Windows 10 Redstone 2 Build 15002。 其中，Twitter 用户@ h0x0d是在微软服务器上发现build 15002的用户，微软然后已经用非常快的速度删除下载链接。然而，有些人已经设法下载了包含Windows 10 Redstone 2 Build 15…
此前黑客 Luca Todesco 为我们带来了 iOS 10 的首个越狱工具，不过当时这款名为 YaluX 或 Yalu + mach_portal 的工具支持的设备还比较有限。随着时间的推移，这名开发者近日又将部分设备添加到支持的名单中，这些设备是：iPhone SE（台积电版本）和iPhone 6s/6s Plus（台积电版本）。 iPhone 6s 和 iPhone SE 在某些方面来说是十分相似的设备，例如它们都采用了来自两家不同厂商供应的芯片：三星和台积电。在为越狱工具进行编码的时候，芯片差异的问题必须…
在争夺客户的同时，如何保障客户的数据安全成了各平台面临的现实问题。同时，如何反欺诈也成了消费金融公司必须面对的难题。 2016年，随着互联网技术的发展、刺激消费政策的持续出台、消费金融牌照管制的放开、居民消费能力提升和消费观念的升级，消费金融成了一个风口。 对此，中央财经大学商学院副教授李季表示，消费已经成为拉动经济增长三驾马车中最重要的环节，2015年我国最终消费对经济增长的贡献率达到66.4%，成为经济增长的第一驱动力，由此看来，中国消费金融市场具有巨大潜力。 数据泄露骗贷难禁 风口下的消费金融如何发展 不过，…