研究人员发现一个新的 Linux 内核提权漏洞

研究人员发现一个新的 Linux 内核提权漏洞 Linux内核中的一个容易被利用的漏洞（CVE-2022-0847）可以被本地无权用户利用，通过利用已经公开的漏洞在脆弱的系统上获得root权限。 由安全研究员Max Kellermann发现的这个缺陷他称之为Dirty Pipe，因为它与Dirty Cow缺陷相似已经在Linux内核和Android内核中打了补丁。受影响的Linux发行版正在推送带有该补丁的安全更新。... Kellerman写的关于他如何发现该漏洞的文章是安全研究人员的一个重要信息来源，包括他的PoC漏洞。其他研究人员也想出了一些变化。 这个漏洞显然很容易被利用，尽管它不能被远程利用攻击者需要事先访问一个有漏洞的主机来部署利用程序。尽管如此，如果Dirty Cow缺陷被攻击者在实际利用，你可以肯定他们也会利用Dirty Pipe。

一种以前未被发现的恶意软件品牌正被用于针对 #Linux 系统的攻击

一种以前未被发现的恶意软件品牌正被用于针对 #Linux 系统的攻击 据网络安全公司 ESET 的研究人员称，这种名为 FontOnLake 的恶意软件似乎是精心设计的，虽然正在积极开发，但已经包括远程访问选项、凭证盗窃功能，并能够初始化代理服务器。 FontOnLake 样本于2020年5月首次出现在 VirusTotal 上，但与这些文件相连的命令和控制（C2）服务器被禁用，研究人员说这可能是由于上传的原因。 研究人员指出，该恶意软件所针对的 Linux 系统可能位于包括东南亚在内的地区。 ESET认为，操作者对被抓住和他们的活动暴露 “过于谨慎”，因为几乎所有获得的样本都使用不同的C2服务器地址和各种端口。此外，该恶意软件的作者利用了C/C++和一些第三方库，如 Boost 和 Protobuf。 FontOnLake 是模块化的恶意软件，利用自定义二进制文件来感染目标机器并执行恶意代码。虽然ESET仍在调查FontOnLake，但该公司表示，在其已知的组件中，有被用来加载后门、rootkits和收集信息的木马应用程序。 总共有三个后门也与 FontOnLake 有关。这些后门都是用C++编写的，并创建了一个通往同一C2的桥梁，用于数据外流。此外，它们能够发出 “心跳” 命令，以保持这种连接的活性。 FontOnLake 总是与一个内核模式的 rootkit 一起，在受感染的 Linux 机器上保持持久性。据 Avast 称，该 rootkit 是基于开源的 Suterusu 项目。 以下是ESET发布的技术白皮书，研究 FontOnLake。 #ThreatIntelligence #malware

研究人员发现恶意软件 MacStealer 会获取 iCloud 密码、文件和信用卡详细信息

研究人员发现恶意软件 MacStealer 会获取 iCloud 密码、文件和信用卡详细信息 报道了这一发现： Uptycs 发现 MacStealer 可以从 Firefox，Google Chrome 和 Microsoft Brave 浏览器获取密码，cookie 和信用卡数据。它可以提取几种不同的文件类型，包括.txt、.doc、.jpg和.zip，并且可以提取钥匙串数据库。根据 Uptycs 从暗网收集的信息，MacStealer 的制造商正在研究收集 Safari 密码和 cookie 以及 Notes 应用程序中数据的能力。 运行后，恶意软件会收集数据，将其全部压缩为单个zip文件，将文件发送给坏人，然后从Mac中删除该文件。 目前还不清楚 MacStealer 是否已记录在跟踪漏洞和暴露的CVE.report数据库中，Apple尚未对该恶意软件发表评论。苹果周一发布了macOS Big Sur，Monterey和Ventura的更新，但根据安全说明，这些更新似乎不包括MacStealer的补丁。 庆幸的是，这款软件没有经过数字签名，因此在大多数 Mac 上会被 Gatekeeper 阻止安装。您需要手动安装并运行该应用程序，然后输入Mac密码以授予其访问系统设置的权限才能使其正常工作。 标签: #Mac #MacStealer #数据泄露 频道: @GodlyNews1 投稿: @GodlyNewsBot

迅雷被安全研究人员爆锤 懈怠回应导致大量漏洞被研究人员公开

迅雷被安全研究人员爆锤 懈怠回应导致大量漏洞被研究人员公开 日前安全研究人员 Wladimir Palant 在自己的网站上手撕迅雷，指责迅雷客户端存在大量漏洞的同时，迅雷对修复工作不积极或者说不愿意与研究人员沟通，最终结果是研究人员在期满 (90 天) 后公布了这些漏洞。从研究人员公布的研究来看，迅雷客户端其实就是一个筛子，上面遍布漏洞，因为迅雷为了尽可能留住用户提供了大量功能，这些功能都是拼凑的。由于漏洞以及相关细节比较多，这里我们简单梳理下，想要了解所有漏洞及完整细节可以在研究人员的博客中查看。下面是漏洞时间线：2023 年 12 月 6 日～12 月 7 日：研究人员通过迅雷安全响应中心提交了 5 个漏洞报告，实际上报告的漏洞数量更多，在报告中研究人员明确提到最终披露时间是 2024 年 3 月 6 日。2023 年 12 月 8 日：研究人员收到回信，迅雷安全响应中心称已经收到报告，一旦复现漏洞将与研究人员联系 (这应该是自动回复的通知模板)。2024 年 2 月 10 日：研究人员向迅雷提醒称距离漏洞公布只有 1 个月时间了，因为有些厂商会忘记截止日期，这个并不少见，于是研究人员发了提醒。2024 年 02 月 17 日：迅雷安全响应中心称对漏洞进行了验证，但漏洞尚未完全修复，也就是确认了漏洞存在，但由于 shi 山代码太多，一时三刻没法修复，为什么说是 shi 山代码看后面的说明。附研究人员关于迅雷安全响应中心的吐槽：限制仅通过 QQ 或微信登录，这对于国外研究人员来说很难，幸好在底部还留了个邮箱。安全问题一：使用 2020 年 4 月的 Chromium迅雷客户端为了尽可能留住用户并塞广告，直接集成了一个浏览器，这个使用迅雷的用户应该都知道，还集成了诸如播放器等功能。然而迅雷当然不会自己开发浏览器，迅雷集成了 Chromium 浏览器，这没问题，但集成的版本还是 2020 年 5 月发布的 83.0.4103.106 版。这个老旧版本存在数不清的漏洞，漏洞多到令人发指，毕竟已经四年了，有大量漏洞是很正常的，而且有一些高危漏洞，而迅雷至今没有更新。这也是前文提到的 shi 山代码太多的原因之一，对迅雷来说或许升级个 Chromium 版本都是很难的事情，因为要处理一大堆依赖。安全问题二：迅雷还集成 2018 年的 Flash Player 插件所有浏览器都在 2020 年 12 月禁用了 Adobe Flash Player 插件，这个播放器插件也存在巨量漏洞，但迅雷直接忽略了。迅雷内置的 Chromium 浏览器还附带了 Flash Player版，这个版本是 2018 年 4 月发布的，迅雷甚至都没更新到 Adobe 发布的最后一个安全更新。安全问题三：拦截恶意地址简直是搞笑迅雷也用实际行动告诉我们什么是草台班子，迅雷内置的浏览器有拦截恶意地址的功能，包括非法网站和恶意网站等。但迅雷还特别做了一个白名单机制，即域名中的白名单在内置浏览器中的访问是不受限制的，白名单域名就包括迅雷自己的 xunlei.com在初始版本中，研究人员提到任意域名结尾追加？xunlei.com 那就能通过验证，比如 https:// ... 是个大聪明。在后续版本中研究人员删除了上面的说法，但保留了另一个问题，那就是 https:// ./ 可以访问，因为迅雷无法处理 com.安全问题四：基于老旧的 Electron 框架开发迅雷主要就是基于 Electron 框架开发的，但迅雷使用的版本是 830.4103.122 版，发布于 2020 年 4 月份，和上面提到 Chromium 老旧版本情况类似，也都是筛子，这也是 shi 山代码之二，迅雷肯定因为某种原因好几年了都不敢动这些框架版本。上面只是其中几个典型的安全问题，研究人员在博客中还罗列了关于插件、API、过时的 SDK 等大量问题，内容比较多这里不再转述。迅雷修复了吗？迅雷并没有直接忽视研究人员的报告，事实上研究人员发现自己的实例代码页面被访问，说明迅雷的工程师也确实在处理。同时研究人员在 2 月份的迅雷新版本中还注意到迅雷删除了 Adobe Flash Player 集成，但如果用户主动安装了，那还是会被激活。所以可以断定迅雷并没有直接忽视漏洞，只不过由于 shi 山代码太多，一时三刻解决不了，而迅雷最大的问题就是没有及时与研究人员沟通，整整三个月迅雷除了一个自动回复外，就在 2 月份回了表示还在修复的邮件，既没有提到是否需要延长漏洞公开时间、也没有与研究人员沟通细节。于是到 3 月 6 日研究人员直接公布了所有漏洞，迅雷好歹也有千万级的用户，无论是迟迟不更新框架版本还是懈怠处理漏洞，都会给用户造成严重的安全问题。目前迅雷并未彻底解决研究人员提到的所有问题 (应该只修复了一小部分？)，建议使用迅雷的用户注意安全，如果不经常使用的话，可以考虑直接卸载掉。 ... PC版： 手机版：

研究人员开发了一种新技术，可以模拟关闭或重新启动 iPhone，防止恶意软件被删除，并允许黑客秘密监听麦克风、以及通过实时网络连

研究人员开发了一种新技术，可以模拟关闭或重新启动 iPhone，防止恶意软件被删除，并允许黑客秘密监听麦克风、以及通过实时网络连接接收敏感数据。 从历史上看，当恶意软件感染 iOS 设备时，只需重新启动设备即可将其删除，从而从内存中清除恶意软件。 然而，这种新的技术可以做到允许恶意软件实现持久性，因为设备从未真正关闭。 由于这种被研究人员称为 “NoReboot” 的攻击并没有利用 iOS 中的任何缺陷，而是使用了人类级别的欺骗手段，因此 Apple 无法修复它。 ▶ #iOS #Hacking #Security

研究人员发现 VSCode 插件商店包含大量恶意程序

研究人员发现 VSCode 插件商店包含大量恶意程序 研究人员对 VSCode Marketplace 的研究发现了数千个恶意扩展程序，安装量达数百万次。包括以下情况： • 1,283 个带有已知恶意代码 (2.29 亿次安装)。 • 8,161 个使用硬编码 IP 地址进行通信。 • 1,452 个运行未知可执行文件。 • 2,304 个使用其他发布者的 Github repo，表明它们是山寨版。 微软在 VSCode Marketplace 上缺乏严格的控制和代码审查机制，这使得威胁行为者可以肆无忌惮地滥用该平台，而且随着该平台的使用越来越多，情况会越来越糟。研究人员检测到的所有恶意扩展都已负责任地报告给微软进行删除。截至发稿时，绝大多数扩展仍可通过 VSCode Marketplace 下载。