在接下来的几周内，FireEye向客户发布威胁情报产品和更新的恶意软件配置文件，同时为APT32的工具和钓鱼诱饵开发新的检测技术。...表2：APT32诱饵文件样本 Base64编码的ActiveMime数据还包含带有恶意宏的OLE文件。当打开的时候，许多诱饵文件会显示虚假的错误信息试图欺骗用户启动恶意宏。...图2显示了另一个APT32的诱饵，它使用一个令人信服的虚假的Windows错误消息，指示收件人启用内容以便正确的显示文档的字体字符。 ? 图1：APT32钓鱼诱饵—假的Gmail错误信息 ?...为了说明这些诱饵的复杂性，图4显示了恢复后的APT32诱饵。“2017年员工工资性津贴额统计报告.doc”。 ?...当然样本也很多，但由于对其组织内部了解相当的少，造成很长时间对其组织的分析和定位都相当模糊（譬如准APT的说法），本文暂且填补了部分人的好奇心，介绍了某国的决心。。。
1个,科研类的样本数量有1个,未知类的样本数量有3个(注意:未知指得是其诱饵文档出现错误无法打开或者其内容属于无关内容) ?...打开Meeting Agenda.pdf-pic85 但由于其塞入数据的错误导致该Meeting Agenda.pdf文件无法正常打开故此将该样本归因到未知类题材,之后的行为就和之前的如出一辙了,在此就不必多费笔墨...编译时间戳的演进-pic117 (3).自拷贝方式的演进 双尾蝎APT组织在2017年到2019年的活动中,擅长使用copy命令将自身拷贝到%ProgramData%下.而可能由于copy指令的敏感或者已经被各大安全厂商识别...同时值得注意的是该组织逐渐减少明文的直接发送收集到的注意而开始采用比较常见的通过Base64的方式编码后在发送。...(推测是2019.12.01号更新的后门),由此可见该组织正在随着披露的增加而不断的进行后门的更迭。
14个Windows恶意样本中,其诱饵文档的题材,政治类的样本数量有9个,教育类的样本数量有1个,科研类的样本数量有1个,未知类的样本数量有3个(注意:未知指得是其诱饵文档出现错误无法打开或者其内容属于无关内容...函数将源数据写入Meeting Agenda.pdf-pic84 通过ShellExecute函数将%Temp%\Meeting Agenda.pdf打开 打开Meeting Agenda.pdf-pic85 但由于其塞入数据的错误导致该...同时其包含的恶意宏代码如图所示,由于我们并没有能成功获得下一步的载荷,故没法进行下一步的分析。...%下.而可能由于copy指令的敏感或者已经被各大安全厂商识别。...(推测是2019.12.01号更新的后门),由此可见该组织正在随着披露的增加而不断的进行后门的更迭。
包过滤器和防火墙对所有的IP分段排队，如Linux核心中的 CONFIG-IP-ALWAYS-DEFRAG配置项，分段包不会直接使用。一些网络无法 承受这样所带来的性能冲击，会将这个配置禁止。...如果不使用ME选项，Nmap 将真实IP放在一个随机的位置 注意，作为诱饵的主机须在工作状态，否则会导致目标主机的SYN洪水攻击。 如果在网络中只有一个主机在工作，那就很容易确定哪个主机在扫描。...诱饵也可以用于远程操作系统检测(-O)。在进行版 本检测或TCP连接扫描时，诱饵无效。 使用过多的诱饵没有任何价值，反而导致扫描变慢并且结果不准确。...--source-port ; -g (源端口哄骗) 仅依赖于源端口号就信任数据流是一种常见的错误配置，这个问题非常 好理解。...例如一个管理员部署了一个新的防火墙，但招来了很多用户的不满，因为 他们的应用停止工作了。可能是由于外部的UDP DNS服务器响应无法进入网络，而导致 DNS的崩溃。
攻击者会获得具有与真实系统相同的登录警告消息、相同的数据字段甚至相同的外观和配置策略。...由于，攻防演练的普及，部分企业对蜜罐的溯源能力比较看重，这就是业务需求导致的变化吧。在国内蜜罐的存在和溯源密切相关，各大厂商的产品不提一句无感溯源，那就是对不起自己家的产品，但是企业需要蜜罐干什么？...，IDS 可以配置更多相关警报，以减少误报。...一般来说，这类企业由于其简单的架构、使用较低的处理能力和内存而容易被攻击者利用。保护ICS免受恶意活动的攻击具有挑战性，因为ICS的组件由于其简单的架构而不太可能进行任何更新或补丁。...这允许安全运营人员创建由内部系统生成的被拒绝流量的报告。在大型客户网络中，将拥有一个很长的列表。
由于安全公司众多，监测可能有所遗漏，敬请谅解。我们也只选取了有具体攻击活动和明确组织信息的报告做为统计和比对。 ?...而BITTER、白象等组织之间又存在某些相似和关联，这一点在我们以往的报告中也有所提及。...而2019年南美洲的委内瑞拉大停电也被认为可能是黑客攻击导致，近期南美洲的阿根廷、乌拉圭也相继发生全国性大规模停电，其背后可能也与电力公司遭遇网络攻击相关。...Brokers组织攻击导致包括多个0day漏洞在内的资料全部外泄，从而导致原本军工级的网络武器被被用于攻击平民，造成了严重的危害，而这种事情一直都在发生： ?...图59：近些年来的APT武器库的泄露情况 而APT攻击武器的泄露，也导致了APT武器的民用化，如大量的僵尸网络使用“永恒之蓝”漏洞进行传播。
在这份报告中包含的10,500个组织中，有35%表示他们在9月份至少收到了一封诱饵电子邮件，这些电子邮件平均发送到三个不同的地址。...但是，应该注意的一件事是，这些诱饵攻击通常使用Gmail和其他免费电子邮件服务，这表明这些服务的安全性可能在很多方面都达不到标准。根据数据，91%的诱饵攻击是通过Gmail进行的。...在大多数情况下，安全性是最重要的问题，谷歌需要确保其服务不会被用于诱饵攻击，最终可能导致网络钓鱼攻击。风险水平太高，需要采取措施降低风险。...“我认为这将是某种犯罪集团或某种‘黑客行动主义’组织，”而不是由国家支持的协同攻击。...研究人员在Black Hat的演讲中指出，由于DDS通常部署在本地和控制网络的深处，攻击者不太可能找到暴露在互联网上的系统。
毕竟，网络间谍不会浪费任何一个不幸事件或全国灾难的机会，政府支持的黑客组织总会在特定时间精心设计他们的邮件诱饵，从而实现结果最大化。历史证明，不幸事件就是最好的诱饵。...据网络安全公司奇安信称，Hades黑客在2月中旬实施了一次攻击，当时他们在包含新冠病毒最新消息的诱饵文件中隐藏了后门木马。该文件被假扮成乌克兰卫生部公共卫生中心的邮件而发送给目标人员。...据BuzzFeed News报道，其中一封邮件在网络疯传，再加上社交媒体危言耸听的推波助澜，导致了国内某些地区的公众恐慌和暴力骚动。...在普遍恐慌中，一些携带恶意软件的邮件能大概率躲过监测而到达目标人员，而这些人中大部分非常可能对国内发生的最新情况感兴趣。...ZDNet上周发表的报告称，根据Fortinet、Sophos和Proofpoint等调查发现，跟职业网络间谍一样，普通的网络犯罪团伙也一直尽可能长久地利用新冠病毒诱饵。
勒索软件组织越来越多地针对数据泄露，而不再是过去的系统不可用性。...报告称，事实上，被多个勒索软件组织攻击的受害者在前三个月内遭受后续攻击的可能性几乎是遭遇第一次攻击之后的六倍。...由于勒索软件的智能化程度正在迅速增长，组织也需要及时关注更先进、更智能的网络安全措施，同时加强员工安全意识培训，以防范这种日益严峻的威胁。...防勒索系统安装后在系统中投放诱饵文件，并持续监控对诱饵文件的操作，由于正常应用一般不会访问诱饵文件，因此对诱饵文件的操作基本上可以判定为勒索病毒，防勒索系统会直接杀死可疑进程并置于隔离区。...数据智能备份 备份恢复技术用于对抗勒索病毒很有效，因为由于误操作、安全策略配置不当可能导致检测、防护能力被绕过，所以还需要备份恢复能力做技术兜底。
蛇从暗黑中袭来——响尾蛇(SideWinder) APT组织2020年上半年活动总结报告 注意事项: 1.本报告由追影小组原创,未经许可禁止转载 2.本文一共3245字,36张图,预计阅读时间8分钟 3...Gcow安全团队追影小组初步统计了关于2020年上半年国内外各大厂商以及安全团队所发布的披露SideWinder APT组织的相关报告信息，并把相关报告链接放在了文末的相关链接上(若有不全欢迎私信补充)...图片13-Duser.dll 其解密出了最后的Net文件SystemApp.dll 由于最后的远控与上篇文章没有什么区别，这里不再赘述。 ? 图片14-SystemApp.dll 远控指令: ?...图片25-与公开POC崩溃点偏移完全一致 shellcode主要利用异或算法自解密再从C2上下载第二段shellcode解密执行后释放白加黑组合和随机名称的tmp文件以及兼容.net环境的配置文件。...另外需要注意的是CVE-2020-0674漏洞在win7上很难打上补丁,由于win7已经停服，请广大win7用户务必检查自己的jscript.dll文件版本是否小于5.8.9600.19626这个版本，
以下文章来源于Gcow安全团队 ，作者追影小组 蛇从暗黑中袭来——响尾蛇(SideWinder) APT组织2020年上半年活动总结报告 注意事项: 1.本报告由追影小组原创,未经许可禁止转载 2....Gcow安全团队追影小组初步统计了关于2020年上半年国内外各大厂商以及安全团队所发布的披露SideWinder APT组织的相关报告信息，并把相关报告链接放在了文末的相关链接上(若有不全欢迎私信补充)...图片13-Duser.dll 其解密出了最后的Net文件SystemApp.dll 由于最后的远控与上篇文章没有什么区别，这里不再赘述。...文件以及兼容.net环境的配置文件。...另外需要注意的是CVE-2020-0674漏洞在win7上很难打上补丁,由于win7已经停服，请广大win7用户务必检查自己的jscript.dll文件版本是否小于5.8.9600.19626这个版本，
我们将这个漏洞报告给了 Adobe，Adobe 颁发了 CVE-2017-11292 并随后发布了一个补丁： ?...IP下载一个诱饵文件，显示给受害者 执行 payload 并显示诱饵文件 Payload – mo.exe 前面提过的，“mo.exe”payload（MD5：4a49135d2ecc07085a8b7c5925a36c0a...由于反分析技术的增加，这种新的变体让研究人员分析恶意软件变得十分困难，包括自定义打包程序和虚拟机来执行代码。 虚拟机的PCODE用aplib packer打包了： ?...最近，这些 C&C 服务器中的一个与CVE-2017-8759一同被用于2017年9月 FireEye 报告的攻击中。...结 论 我们估计2015年年中对 HackingTeam 的攻击在监控工具市场上留下了空白，现在其它公司正在努力填补。
修复白加黑两个程序，添加MZ文件头 修复白加黑程序 3.3 诱饵文档 诱饵文档内容如下： 3.4 白加黑&COBALT_STRIKE Beacon 先前保存的白加黑程序用于解密并启动Cobalt_Strike...Beacon 是内存中（无文件）的，因为它由无阶段或多阶段的 shellcode 组成，一旦通过利用漏洞或执行 shellcode 加载程序进行加载，就会反射性地将自身加载到进程的内存中，而不会触及磁盘...由于该平台强大的功能及兼容性，许多APT组织也将CS列入自己的武器库中，在以往的APT32攻击活动中我们也经常发现其使用CS作为RAT程序。...文件最终的CS Beacon关键配置信息如下: CS Beacon 配置信息 从Metadata元数据中可发现其HTTP Header围绕dhgate相关进行伪造。...关联分析 参考资料 根据公开报告（链接如下），可以得知 APT29 也使用BMW汽车购买相关主题文档攻击过多国外交官。
诱饵文档内容 诱饵文档中包含了一个ActiveX对象，该对象对应的是一个swf文件。 ?...在class_2的构造函数中 LocalConnection().connect会主动调用gc释放没有的引用的内存，而第二次的LocalConnection().connect调用会产生异常，异常处理过程中又会...由于这里我们已经把var_13创建代码注释了，说明还有其他对象被错误的释放了，LocalConnection().connect会主动调用gc释放没有的引用的内存，所以这里我们再把这部分注释，并在 6850e1428b4e0c...最终分析确认cve-2018-4878零日漏洞是drmManager.initialize没有正确的处理所持有的对象导致UAF漏洞。...同时，程序的执行流程和技术细节也与思科报告中的dropper程序一致，疑似是同一系列的ROKRAT木马程序。 ?
至9月初编写报告时，我们共计捕获去重后的原始样本数量超过200个，主要使用LNK、CHM作为一阶投递程序。...在我们跟踪的这一个月期间，相关组织技战术也发生过几次变化，例如在我们先前公开的报告《疑似 APT37 新攻击武器 Fakecheck 分析报告》中已经提及APT37在攻击链中采用JSE充当一层载荷，8月中后期我们捕获到一批疑似...在我们狩猎过程中，我们发现APT37的超大LNK文件疑似是由一款名为InkMaker v1的打包器打包生成，猜测是由于近期大量的样本制作，操作人员忘记替换打包器相关元数据，导致未去除的元数据直接使用。...攻击者通过多个不同主题的诱饵文档加载后续载荷，例如伪装韩国统一部改编的诱饵文档和安全邮件密码相关的诱饵文档，相关诱饵内容如下： 2.2.1 Konni 组织攻击活动列举分析 我们使用诱饵内容为...作为执行流标记，而本次发现的样本改用strotan.txt作为执行流标记： 由此可见Konni组织在不同TTP中有使用同源代码的习惯，并不断修改自身部分文件特征。
安全厂商 Infoblox 的调查研究显示，一个名为 DecoyDog（诱饵狗）的复杂恶意工具包通过域名系统（DNS），从事网络间谍活动已达1年以上。...由于观察到的范围仅限于俄罗斯和东欧地区，似乎该活动与俄乌战争有关。...在 Infoblox 宣布发现并发布技术分析报告后，DecoyDog并没有停止活动，分析报告显示，DecoyDog 在很大程度上是基于 Pupy 开源漏洞后远程访问木马（RAT）。...最新的报告表明，DecoyDog是 Pupy 的重大升级，使用了公共存储库中没有的命令和配置。...这可能意味着受害者位于俄罗斯，但攻击者也可能选择将受害者流量路由到该地区作为诱饵或将查询限制为相关查询。
受新冠疫情大流行和全球数字化进程加快的驱动，数以百万计远程办公场景的快速激增，一定程度上因网络开放度的提升和接口的增多，而给勒索病毒造就了新的攻击面。...Datto的《全球渠道勒索软件状况报告》显示，59%的受访者表示由于冠状病毒大流行而导致的远程工作，导致勒索软件攻击的增加。...趋势三 “新冠疫情”为诱饵的攻击活跃 受疫情影响，钓鱼软件攻击也变得活跃起来。...例如，从去年开始，就出现了使用COVID-19相关内容主题做为钓鱼诱饵的攻击，使用的主题有：“疫苗、口罩供应不足”、“健康调查报告”、“冠状病毒最新信息”等，攻击者总是能找到最引人关注的话题，诱骗被攻击者打开钓鱼邮件...趋势四 关键基础设施成攻击重要目标 由于大型政企机构的网络资产价值高，所以成了勒索病毒的头号“猎物”。
我们将通过创建一些诱饵帐户（或蜂蜜帐户）并将它们与真实帐户混合来使用欺骗来检测这一点。诱饵帐户是为欺骗目的而创建的帐户，也用于防御以检测恶意行为。...创建诱饵帐户是为了确保我们仅在少数诱饵帐户上启用审计日志记录，而不是对所有对象启用审计日志记录，以最大限度地减少噪音。...image.png 配置诱饵用户、组和计算机对象 模仿诱饵帐户以使其看起来与其他 Active Directory 对象一样逼真，这一点很重要。...image.png 因此，在创建检测规则时，重要的是在用例中包含诱饵对象的对象 GUID 值，以便仅针对事件而不是环境中的其他 4662 事件发出警报。...AD 对象进行“读取属性”类型的访问尝试时，此类规则将导致事件，这意味着仅诱饵帐户。
一文从 14 个方向分析 Maven 的技术点，在创建 Java 项目或者使用开源的项目代码的过程中不再错误理解 Maven 的概念，不再对于 pom.xml 感到无从下手，正确理解 Maven 在项目的生命周期中扮演的角色...简单来说，应该就是一些用来管理编译、清理、报告等操作的信息或者是配置。 Maven 解决了什么问题 ?...有经验的程序员都知道，在项目开发的过程中， 会因为一个配置节而导致需要几分钟甚至是几天的检查，会因为一次又一次产品部门提出的修改任务，不停地编译，不停地测试，不停地部署，甚至有些情况下跳过测试导致生产环境出现重大错误的情况也层出不穷...这两通过设置，Eclipse 的 IDE 就与命令行用的 Maven 是同一个 Maven 了。构建过程中就不会因为版本或者配置的问题导致不一致的问题。 POM.xml ?...即使项目构建今天是成功的，由于外部的快照版本依赖实际对应的构件随时可能变化，项目的构建就可能由于这些外部的不受控制的因素而失败。
解密后的配置文件也发生了轻微的变化，这样就可以干扰网上公开的工具解析配置文件数据。...2015年12月25日发布的一篇报告，而文件是在美国时间2015年12月24日傍晚首次看到的，这正好是缅甸的12月25日。...月发布的最终报告的草案。...IDEA在缅甸最近选举前后都与其协作，保证“和平，透明和可信的选举”。这项工作的一部分是发布类似于上面提到的报告和草案。...这个样本使用的C2与前面的涉及缅甸ASEAN会议的样本在很大程度上相重合-第一个C2使用80端口，而前面的样本使用81端口，并且它们都是使用了相同的mutex和密码。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
