知名JS框架Polyfill.js疑被黑产公司掌控

知名JS框架Polyfill.js疑被黑产公司掌控 Polyfill.js 出现供应链攻击调用该脚本会跳转到博彩网站,请立即删除该脚本并清理网页缓存。 Polyfill.js 在全球被超过 10 万个网站使用,2 月份项目域名和 Github 账号被某个公司买下,之后就被投毒用于跳转非法网站,有开发者发现问题提交了 issues 结果直接被删除。 另根据脚本中的代码使用的拼音参数,这次供应链攻击的始作俑者应该是说中文的人。

相关推荐

封面图片

知名JS框架Polyfill.js疑被黑产公司掌控

封面图片

中国公司收购 Polyfill 之后植入恶意程序

中国公司收购 Polyfill 之后植入恶意程序 polyfill.js 是广泛使用的用于支持旧浏览器的开源库,有逾 10 万网站通过 cdn.polyfill.io 域名嵌入了该脚本。今年二月,一家中国公司收购了该域名和相关 Github 账号,然后通过 cdn.polyfill.io 向移动设备植入恶意程序。新拥有者还迅速删除了 Github 上的相关讨论。Polyfill 原作者建议移除该脚本,因为现代浏览器不再需要它,但如果必须使用,可以用 CDN 服务商 Fastly 和 Cloudflare 的替代。安全研究人员发现,植入的恶意程序使用假的 Google 分析域名 www.googie-anaiytics.com 将移动设备用户重定向到博彩网站。代码针对逆向工程有特定保护代码,而且只在特定时间对特定移动设备激活。它在检测到管理员后不会激活。当检测到网络分析服务时它会延迟执行。研究人员给恶意程序起名为“跳转(tiaozhuan)”恶意代码使用的一个函数名叫 check_tiaozhuan。 via Solidot

封面图片

GitHub遭到大规模持续性的恶意存储库攻击 已删除数百万个带毒存储库

GitHub遭到大规模持续性的恶意存储库攻击 已删除数百万个带毒存储库 犯罪团伙选择拿 GitHub 当目标自然也是很有道理的,GitHub 在谷歌搜索上的权重非常高、点击量更大,不少用户其实无法分辨 GitHub 上的项目是原项目还是其他人 fork 的版本,因此也更容易中招。但这种自动化、大规模的对 GitHub 展开袭击还是很少见的,犯罪团伙自然知道如此规模的攻击必然会引起 GitHub 的注意以及进行技术对抗,但犯罪团伙还是这么干了,说明他们也有自信自己的自动化系统可以在 GitHub 的围追堵截下继续工作。事实上也确实如此,GitHub 目前已经删除了数百万个有问题的存储库,这些存储库主要 fork 一些大的、知名的存储库,被 fork 的存储库大约有 10 万个。这种也属于供应链攻击,而针对 GitHub 发起的供应链攻击数不胜数,但是出现百万级别的恶意存储库也是极为少见的,目前 GitHub 正在使用人工审查 + 大规模机器学习检测来删除这些恶意存储库,然而还是有一些携带后门的存储库成为漏网之鱼,这些漏网之鱼有可能会被用户下载。目前没有证据表明这些漏网之鱼的生命周期是多久,但 GitHub 哪怕是迟了个一两天才把漏网之鱼检测出来,在这一两天里可能也会有用户中招。所以,下次从 GitHub 上下载内容时记得看看 issues、提交历史、star 数作为参考,避免从搜索引擎进入了 fork 的存储库带来安全风险。 ... PC版: 手机版:

封面图片

心机黑客潜伏两年后向xz-utils添加后门 多个Linux发行版中招

心机黑客潜伏两年后向xz-utils添加后门 多个Linux发行版中招 日前该项目被发现存在后门,这些恶意代码旨在允许未经授权的访问,具体来说影响 xz-utils 5.6.0 和 5.6.1 版中,而且这些受影响的版本已经被多个 Linux 发行版合并。简单来说这是一起供应链投毒事件,攻击者通过上游开源项目投毒,最终随着项目集成影响 Linux 发行版,包括 Fedora Linux 40/41 等操作系统已经确认受该问题影响。恶意代码的目的:RedHat 经过分析后认为,此次黑客添加的恶意代码会通过 systemd 干扰 sshd 的身份验证,SSH 是远程连接系统的常见协议,而 sshd 是允许访问的服务。在适当的情况下,这种干扰可能会让黑客破坏 sshd 的身份验证并获得整个系统的远程未经授权的访问 (无需 SSH 密码或密钥)。RedHat 确认 Fedora Linux 40/41、Fedora Rawhide 受该问题影响,RHEL 不受影响,其他 Linux 发行版应该也受影响,具体用户可以在开发商网站获取信息。建议立即停止使用受影响版本:如果你使用的 Linux 发行版受上述后门程序影响,RedHat 的建议是无论个人还是商用目的,都应该立即停止使用。之后请查询 Linux 发行版的开发商获取安全建议,包括检查和删除后门程序、回滚或更新 xz-utils 等。孤独的开源贡献者问题:在这里还需要额外讨论一个开源项目的问题,xz-utils 尽管被全世界的 Linux 发行版、压缩软件广泛使用,但在之前只有一名活跃的贡献者在维护这个项目。这个孤独的贡献者可能因为精力不够或者其他原因,在遇到一名新的贡献者时,随着时间的推移,在获取信任后,这名新贡献者逐渐获得了项目的更多控制权。实际上这名黑客应该也是精心挑选的项目,知道这种情况下可能更容易获取控制权,于是从 2022 年开始就贡献代码,直到成为主要贡献者后,再实施自己的后门行动。未来这类针对开源项目的供应链攻击应该还会显著增加,这对整个开源社区来说应该都是头疼的问题。 ... PC版: 手机版:

封面图片

苹果公司在官员要求下,在中国境内移除了世界上最受欢迎的古兰经应用程序之一。

苹果公司在官员要求下,在中国境内移除了世界上最受欢迎的古兰经应用程序之一。 该应用程序“Quran Majeed”在全球的App Store销售,有近15万条评论。该程序被数以百万计的全球穆斯林使用。 据BBC了解,该应用被删除的原因是承载了“非法宗教文本”。 网站“苹果审查”(Apple Censorship)首先注意到了该应用程序被苹果删除。这个网站是对苹果应用商店的应用程序进行全球监测。 该应用程序的开发商PDMS公司在一份声明中说:“根据苹果公司的说法,我们的应用程序Quran Majeed已经从中国境内使用的苹果App Store中删除,因为现在该程序上架需要中国当局提供额外文件”。 “我们正试图与中国网络安全和信息化委员会办公室和有关部门取得联系,以便解决这个问题”。 中国共产党官方承认伊斯兰教为该国的宗教。然而,中国一直被指控侵犯新疆众多穆斯林维吾尔族人权,甚至被指控对该种族进行种族灭绝。 今年早些时候,BBC的报道说,维吾尔族的神职人员伊玛目(imam)在新疆镇压中成为目标。 苹果公司拒绝针对此事发表评论,但向BBC介绍了该公司的人权政策指出:“我们必须遵守当地的法律,有时我们可能会在一些复杂的问题上与政府产生分歧”。 然而,目前还不清楚该APP在中国违反了什么规则。Quran Majeed说它 “受到全球3500多万穆斯林使用者的信任”。 上个月,苹果和谷歌都删除了被监禁的俄罗斯反对派领袖纳瓦尔尼设计的一个用来战术投票应用程序。 俄罗斯当局曾威胁说,如果这两家公司拒绝删除该应用,将对其进行罚款,因为该应用告诉用户如何让执政党提名的候选人落选。 中国是苹果公司最大的市场之一,该公司的供应链在很大程度上依赖于中国制造。 苹果公司首席执行官提姆·库克被美国政客指责虚伪,因为他时而对美国政治发表意见,但对中国政治保持沉默。库克在2017年批评了特朗普对七个穆斯林占多数的国家的禁令。 然而,库克也被指责在审查制度上顺从北京,从未公开批评中国政府对穆斯林少数民族的待遇。 《纽约时报》今年早些时候报道说,苹果公司在中国的APP如果被中国政府认为是禁区,就会被关闭。APP不能讨论的话题包括六四天安门运动、中国宗教活动法轮功、达赖喇嘛以及西藏和台湾的独立。 “苹果审查”项目主任伊斯梅尔(Benjamin Ismail)说:“目前苹果公司正变成北京的审查局。” “该公司应先做正确的事情,然后再面对中国政府的任何反应。” 另一个受欢迎的宗教APP,“橄榄树与圣经” (Olive Tree's Bible) ,本周在中国也被下架。该公司告诉BBC,他们自行删除了该APP。 “本公司在应用程序商店的审查过程中被告知,我们需要提供许可证,证明我们在中国发行的带有书籍或杂志内容的应用程序都有授权,”该公司一位发言人说。 “由于我们没有许可证,而且需要让我们的产品更新都得到中国批准并提供给客户,我们从中国的应用程序商店删除了我们的APP, ”他补充。 上周五(10月15日),《苹果观察者》(The Mac Observer)报道说,亚马逊旗下的有声读物和Podcast 服务“Audible”,上个月从中国的苹果商店下架,原因也是“许可证要求”。14日,微软公司也宣布,将关闭其在中国的社交网络领英(LinkedIn)网站的社交功能,称要遵守中国政府的规定变得越来越具有挑战。 这决定是在领英这个职涯网络网站因为封锁一些记者档案,之后受到各界质疑后做出的。 (BBC)

封面图片

随后的调查发现,App Store 中的恶意应用程序感染了包含相同木马的框架。例如,iOS 版 ComeCome 的感染方式与

随后的调查发现,App Store 中的恶意应用程序感染了包含相同木马的框架。例如,iOS 版 ComeCome 的感染方式与 Android 版相同。这是首次在 Apple 官方应用市场中发现感染 OCR 间谍软件的应用程序。 App Store 应用中的恶意框架 我们在 App Store 中检测到一系列嵌入恶意框架的应用程序。我们无法确定感染是供应链攻击的结果还是开发人员的蓄意行为。其中一些应用程序(例如送餐服务)似乎是合法的,而其他一些应用程序显然是为了引诱受害者而构建的。例如,我们看到了同一开发人员开发的几款类似的具有 AI 功能的“消息应用程序”: 除了恶意框架本身之外,一些受感染的应用程序在根文件夹中还包含一个modify_gzip.rb脚本。开发人员显然使用它来将框架嵌入到应用程序中: 该框架本身是用 Objective-C 编写的,并使用HikariLLVM进行混淆。在我们检测到的应用程序中,它有以下三个名称之一: 压缩; 谷歌应用程序开发工具包; 统计。 与 Android 版本一样,iOS 恶意软件也使用了ML Kit接口,该接口可以访问经过训练的 Google OCR 模型来识别文本,以及实现自定义 C2 通信协议的 Rust 库。但是,在这种情况下,它直接嵌入到恶意可执行文件中。与 Android 版本不同,iOS 框架保留了调试符号,这使我们能够识别出几个独特的细节: 这些行显示了框架创建者设备上存储项目的路径,包括用户名: /Users/qiongwu/:项目作者的主目录 /Users/quiwengjing/:Rust 库创建者的主目录 C2-rust 通信模块名为im_net_sys。除了客户端之外,它还包含攻击者服务器可能用来与受害者通信的代码。 该项目的原始名称是GZIP。 该框架包含多个恶意类。以下是特别值得关注的: MMMaker:下载配置并收集有关设备的信息。 ApiMgr:发送设备数据。 PhotoMgr:在设备上搜索包含关键字的照片并将其上传到服务器。 MMCore:存储有关 C2 会话的信息。 MMLocationMgr:收集设备的当前位置。在我们的测试期间,它没有发送任何数据,因此此类的确切用途尚不清楚。 某些类(例如MMMaker)可能在框架的早期版本中缺失或使用不同的名称,但这并没有改变恶意软件的核心功能。 混淆大大增加了样本的静态分析的复杂性,因为字符串是加密的,程序的控制流也被模糊了。为了快速解密感兴趣的字符串,我们选择了动态分析。我们在 Frida 下运行该应用程序,并捕获了存储这些字符串的_data部分的转储。引起我们注意的是,应用程序的 bundleID 位于解密数据之中 我们的结论如下: 该木马的行为会根据其运行的应用程序而有所不同。 可能被感染的应用程序比我们原先想象的要多。 在调查期间,与这些 ID 关联的部分应用已从 App Store 中移除,而其他一些应用仍然存在且包含恶意代码。列表中的部分 ID 指的是调查期间不包含恶意框架的应用: com.kh-super.ios.superapp com.unicornsoft.unicornhttpsforios 与 Android 专用版本一样,该木马实现了三种 OCR 输出过滤模式:关键字、词长和以加密形式存储在框架内部的“wordlists”文件夹中的本地化词典。遗憾的是,我们无法确定该恶意软件是否确实使用了最后一种方法。我们分析的所有样本均未包含词典链接或在运行时访问过这些词典。 发送包含关键字的选定照片是恶意框架运行的关键步骤。与 Android 应用程序类似,该木马仅在启动负责显示支持聊天的视图控制器时请求访问图库的权限。在初始化阶段,该木马根据其运行的应用程序,用自己的包装器替换相关控制器中的viewDidLoad或viewWillAppear方法,并调用方法+[PhotoMgr startTask:]。然后后者检查应用程序是否有权访问图库,并在需要时请求访问。接下来,如果获得访问权限,PhotoMgr会在可用且未处理过的照片中搜索符合发送条件的照片。 我们认为,此次攻击活动至少针对的是欧洲和亚洲的 Android 和 iOS 用户,如下所示: 所使用的关键词是欧洲和亚洲国家居民的各种母语。 资产内的词典以与关键字相同的方式本地化。 一些应用程序似乎在多个国家运营。一些送餐应用程序支持使用阿联酋、哈萨克斯坦、中国、印度尼西亚、津巴布韦和其他国家的电话号码进行注册。 我们怀疑除欧洲和亚洲之外的其他地区的移动用户也可能成为此次恶意活动的目标。 我们开始调查的第一个恶意模块名为“Spark”。当我们分析 iOS 专用木马时,恶意框架本身的捆绑包 ID“bigCat.GZIPApp”引起了我们的注意。因此得名“SparkCat”。以下是此恶意软件的一些特征: 跨平台兼容性; 使用在移动应用中很少见的 Rust 编程语言; 官方应用市场作为传播载体; 隐秘性,C2 域经常模仿合法服务和伪装成系统包的恶意框架; 混淆,阻碍分析和检测。 结论 不幸的是,尽管官方市场进行了严格审查,并且人们普遍意识到了基于 OCR 的加密钱包盗窃骗局,但受感染的应用程序仍然进入了 Google Play 和 App Store。这种木马特别危险的原因在于,没有迹象表明应用程序中隐藏了恶意植入物。它请求的权限可能看起来像是其核心功能所需的权限,或者乍一看似乎无害。该恶意软件的运行也相当隐秘。这个案例再次打破了 iOS 在某种程度上不受针对 Android 的恶意应用程序威胁影响的神话。以下是一些可以帮助您避免成为此恶意软件受害者的提示: 如果您的设备上安装了受感染的应用程序,请将其删除,并且避免重新安装,直到修复程序发布为止。 避免将包含敏感信息的截图(例如加密钱包恢复短语)存储在图库中。您可以将密码、机密文件和其他敏感信息存储在特殊应用中。 在所有设备上使用强大的安全产品。 我们的安全产品在检测到与此活动相关的恶意软件时返回以下结论: HEUR:Trojan.IphoneOS.SparkCat.* HEUR:Trojan.AndroidOS.SparkCat.*

🔍 发送关键词来寻找群组、频道或视频。

启动SOSO机器人