Security News

推特上的漏洞显示Windows 10X的任务栏，“开始”菜单等

Mark January 20, 2021

由于2021年1月14日Twitter上的漏洞，我们首先来看看Microsoft的Windows 10X操作系统。 XDA是第一个发现泄漏的地方。它来自Twitter用户Zac Bowden（@zacbowden）。该图像显示了新的和已辞职的开始菜单的外观，以及任务栏现在像在Apple macOS中那样居中对齐时的外观。您还可以在新任务栏中清楚地看到Microsoft Edge，文件和Outlook。对于不熟悉的人，Windows 10 X早在2019年就宣布推出。它是为双屏设备设计的，如Surface Neo，联想ThinkPad X1 Fold和英特尔原型。与Windows 10不同，它将简单，时尚，更快，更安全。它将在2021年开始提供新系统。开始菜单新的“开始”菜单包括一个待办事项，一个计算器和一个录音机以及类似的快捷方式。微软可能会包括几乎所有使用过的应用程序（如Edge，Spotify等）的快捷方式。虽然您可以在新的开始菜单中设置任何应用程序和网站，但到目前为止，它似乎不支持用户快速访问所需的固定文件夹。活动中心 Windows 10X中将有一个浮动的动作中心，其中包含任务栏的系统托盘。它旨在更加注重快速操作，因此您将始终看不到通知，并且操作中心不会覆盖全屏。在设置应用程序下，您可以自定义操作中心。...

Microsoft修補漏洞利用的Defender防病毒軟件零日

Mark January 15, 2021

通過更新補丁程序，Microsoft修復了Microsoft Defender Antivirus中的零日漏洞，該漏洞以前在發行補丁程序之前已被黑客利用。根據報告，“零日”漏洞是在公司提供正式補丁或具有公開可用的概念驗證漏洞的bug之前，被黑客積極利用的漏洞。上述漏洞是由Microsoft最近修補的，被跟踪為CVE-2021-1647，並且是惡意軟件保護引擎組件中的遠程執行代碼。關於可用的概念驗證根據Microsoft的說法，此零日可用的概念驗證漏洞。但是，在大多數情況下可能無法利用，或者在某些情況下PoC可能會失敗。據報導，受此漏洞影響的最新Microsoft惡意軟件保護引擎版本是1.1.17600.5，並且其較新版本1.1.17700.4中也解決了該問題。不受零日漏洞影響的系統應運行較新的Microsoft惡意軟件保護引擎1.1.17700.4版或更高版本。按照公司的說法，“客戶應驗證是否正在為其Microsoft反惡意軟件產品積極下載並安裝最新版本的Microsoft惡意軟件保護引擎和定義更新。” Defender安全更新正在自動安裝根據Redmond的建議，客戶無需採取任何措施來安裝CVE-2021-1647安全更新，因為該更新已全部安裝在運行易受攻擊的Microsoft Defender版本的系統上。微軟說：“為了應對不斷變化的威脅形勢，微軟經常更新惡意軟件定義和Microsoft惡意軟件保護引擎。” Malware Defender應用程序會自動為所有類型的用戶保持惡意軟件保護引擎（包括用於掃描，檢測和清除組件以及惡意軟件定義）的最新狀態。在大多數情況下，惡意軟件保護引擎更新每月提供一次，或者在需要防禦新發現的威脅時提供更新，但是惡意軟件定義每天更新三次。儘管Microsoft Defender可以每天多次檢查引擎和定義更新，但是用戶仍然可以在需要安裝安全更新時手動對其進行手動檢查。但是，Microsoft尚未針對Microsoft...

MS Sysmon現在可以檢測到惡意軟件篡改過程

Mark January 13, 2021

據報導，名為微軟的科技巨頭公司已經發布了Sysmon 1.3，並在其中添加了新功能。根據報告，此功能可以檢測是否使用過程挖空或過程Herpaderping技術篡改了過程。為了防止安全應用程序檢測到惡意軟件，開發人員使用惡意軟件將惡意代碼注入Windows合法進程。通過這種策略，允許執行該惡意軟件，但是該進程在任務管理器中在後台顯示為Windows運行進程。說到“進程鏤空”，它是一種技術，在這種技術下，惡意軟件啟動了一個看起來像被暫停的合法進程，並用自己的惡意代碼替換了合法代碼。然後，代碼將在後台運行，無論將什麼權限分配給原始進程。在“處理Herpaderping”是一種更高級的方法的情況下，惡意軟件會在加載惡意軟件後更改其在受感染磁盤上的映像並看起來像合法應用程序。當安全應用程序掃描磁盤上的文件時，它不會發現有害文件，而惡意代碼仍在系統內部運行。除了這些之外，許多惡意軟件身份還利用進程篡改技術來阻止對其進行檢測。一些惡意軟件是Mailto / defray777勒索軟件，TrackBot和BazarBackdoor。如何在Sysmon v1.3中啟用進程篡改如果您是仍不了解Windows中的Sysmon或System Monitor應用程序的人之一，那麼您應該知道它是Sysinternals工具，用於監視系統中的惡意進程。此外，它還將這些進程記錄在Windows事件日誌中。您可以從Sysinternal的官方頁面或http://live.sysinternals.com/sysmon.exe下載該應用程序。要啟用過程篡改檢測功能，PC用戶或管理員需要在配置文件中添加“過程篡改”配置選項。請記住，Sysmon僅監視基本事件，例如進程創建和文件時間更改，而無需配置文件。還向Sysmon 4.50模式添加了新指令，可以通過運行sysmon -S命令來查看該指令。一旦可以使用以下配置文件進行非常基本的設置，即可啟用進程篡改檢測。 <Sysmon schemaversion...

關於2021年的Windows 10：微軟的期望

Mark January 11, 2021

隨著2021年終於開始，科技巨頭微軟正計劃為其名為Windows 10的操作系統發布一些新功能和更新，以及更多其他產品。根據該公司的最新聲明，它不會發布Windows 11，而是會發布Windows 10的新更新，以添加新功能，改進等。此外，該公司還將繼續使用Windows 10，ARM上的Windows和Windows 10X開發新的Surface產品。關於Windows 10 21H1的詳細信息說到這個術語，它是Windows 10的新譴責版本或更新，預計將於今年春季發布，內部版本號為19043。與2020年5月的更新相比，此新的21H1預計將帶有次要版本，其中包括針對企業用戶的質量改進，錯誤修復和安全性增強。意味著，新更新將快速安裝在計算機上，我們希望它帶來許多新功能，並且問題更少。 Windows 10X 作為21H1的一部分，微軟還計劃推出名為Windows 10X的新模塊化操作系統，該操作系統最初是為雙屏設備推出的。雖然用於雙屏設備的Windows...

中国政府赞助的APT受到近期勒索软件攻击者的怀疑

Mark January 6, 2021

安全研究人员对最近对多家公司进行的恶意软件攻击的分析表明，由中国政府资助的黑客组织APT可能正在执行此操作。攻击者在2020年发生了至少五家公司。 Profero和Security Joes公司的研究人员说，攻击者通过第三方服务提供商达到了目标，而该服务提供商已通过另一第三方提供商进行了感染。威胁参与者依赖BitLocker。他们使用Windows中的驱动器加密工具成功加密了几个核心服务。趋势科技报告了与DRBControl链接的恶意软件样本，并将其归因于2010年以来一直活跃的APT27和Winnti。 Profero和Security Joes共同提交了一份报告，这清楚地证明了这两个组在DRBControl活动中使用的是Clambling后门。此外，他们还发现了ASPXSpy Webshell，其修改后的版本已在归因于APT27的攻击中看到。该报告还写道：“关于谁是这个特定感染链的背后，就代码相似性和TTP（策略，技术和程序）而言，它们与APT27 /特使熊猫有极强的联系。恶意参与者使用较旧的Google Updater可执行文件在系统内存中部署了PlugX和Clambing恶意软件，这些可执行文件易受DLL端加载。 “对于这两个示例中的每个示例，都有一个合法的可执行文件，一个恶意DLL和一个由shellcode组成的二进制文件，负责从自身中提取有效负载并将其运行在内存中。两个示例均使用签名的Google Updater，并且两个DLL都是标记为goopdate.dll，但是PlugX二进制文件的名称为license.rtf，而Clambling二进制文件的名称为English.rtf。” 此外，利用了2017年的一个漏洞（CVE-2017-0213），该漏洞据认为已被利用来提升系统特权。来自安全乔斯（Security Joes）的安全分析师说，这些攻击的主要成因是黑客组织参与了一项由财务驱动的活动。 Profero的研究人员说，这样一个恶意团体表明各国政府应采取统一的方法来应对这些威胁。

Security News

WhatsApp 将从 1 月 1 日起停止在一些智能手机上工作

Mark January 4, 2021

WhatsApp 用户有一些坏消息，因为从 2021 年 1 月开始，数百万用户将无法使用此消息应用程序。有多个较旧的iPhone和Android手机，不会支持这个应用程序，因为他们在过时的软件上运行。高度流行的消息传递应用将无法在至少基于 iOS 9 或 Android 4.0.3 操作系统的设备上运行。之后，Facebook 拥有的消息应用程序可以在所有 iOS 智能手机上访问 iOS 9 版本，也可用于 Android...

Security News

Adobe现在在Windows 10中显示警报以删除Flash Player

Mark January 2, 2021

明天，Flash Player的寿命将结束，Windows用户开始收到来自Adobe的警报，建议您卸载Flash Player。安装该应用程序后，它将创建一个名为“ Adobe Flash Player PPAPI通告程序”的计划任务，该任务将执行以下命令： "C:\Windows\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_465_pepper.exe" -update pepperplugin 该命令一旦执行，就会显示一条警告消息，感谢用户使用Adobe Flash Player，并且由于该应用程序的使用寿命即将结束，因此建议您卸载该应用程序。警报消息中显示的文本如下所示：此警报感谢用户使用Adobe Flash Player，并建议用户卸载该程序，因为该程序从2021年1月12日开始将不再起作用。感谢您使用Adobe Flash Player...

Security News

微软将推出具有现代待机功能的Windows 10X

Mark December 30, 2020

几个月来，Microsoft一直在研究Windows 10的新版本，即Windows 10X。这家巨型科技公司原计划今年推出新操作系统，但该计划被推迟了。现在，基于Windows 10核心操作系统的Windows 10X有望在明年第二季度正式向公众公开。只需几个月的发布，即可在线上存储详细信息。报告称，微软的Windows 10X将具有“现代待机”功能，可提供即时且始终保持连接的体验。目前，大多数基于Windows的笔记本电脑都需要一些时间才能从睡眠模式启动。顾名思义，该公司的目标是提供即时开启功能，该功能可在机盖打开时重启设备。由于始终连接的功能是新操作系统的另一项新增功能，因此即使在睡眠模式下，也可以使应用程序在后台运行。这将对电子邮件等应用程序提供支持，使其能够在后台获取电子邮件。据称大多数Windows Store应用程序都非常适合此功能。除了“现代待机”功能外，预计即将面世的Windows 10X还将具有各种其他功能和升级功能，其中包括新的文件资源管理器。我们将不得不等待几个月，才能了解公司的状况。尚不了解Windows 10X方案的用户一开始就将重点放在双屏和可折叠设备上，但是几个月前，该公司推迟了该版本的发布，该公司还透露正在将重点转向单屏设备。初始发行。

Security News

CISA已发布Azure / Microsoft 365恶意活动检测工具

Mark December 29, 2020

基于PowerShell的工具可帮助检测由网络安全和基础结构安全机构（CISA）发布的Azure / Microsoft 365环境中可能受到威胁的应用程序和帐户。 Microsoft揭示了威胁参与者如何主动使用被盗的凭据和访问令牌来针对Azure客户。 CISA创建了一个免费工具，用于检测在Azure / Microsoft O365环境中潜伏用户和应用程序的异常和潜在的恶意活动。该工具计划供事件响应者使用，它几乎不关注当前在几个领域中基于身份和确认的攻击所共有的操作。使用CISA工具： CISA是CISA的Cloud Forensics团队发明的一种基于powerShell的工具，名为Sparrow，可用于缩小大范围的查询模块的范围。 Sparrow检查统一的Azure / M365审核日志中是否存在危害指标（IOSC）。在列表“ Azure AD域”中，并检查Azure服务主体及其Microsoft Graph API权限以发现潜在的恶意活动。 CrowdStrike发布了免费的Azure安全工具：...

Security News

尝试攻击后，CrowdStrike发布免费的Azure安全工具

Mark December 28, 2020

微软通知了最受欢迎的网络安全公司之一CrowdStrike，网络罪犯试图通过Microsoft Azure凭据泄露该公司的电子邮件。在本月初，SolarWinds网络管理公司被发现遭受网络攻击，网络罪犯通过供应链攻击改变了他们的软件，以在客户的网络上安装后门。这种攻击导致SolarWinds客户迅速采取行动来分析其网络，以查看他们是否被供应链攻击所感染。在对他们的内部和生产环境进行了调查之后，CrowdStrike周四表示，他们尚未发现任何标志，表明SolarWinds的违反影响了他们。在执行分析时，Microsoft在12月15日告诉CrowdStrike，一个受到感染的Microsoft Azure经销商帐户被用来尝试阅读CrowdStrike的电子邮件。 “特别是，他们在几个月前的17个小时内发现了用于管理CrowdStrike的Microsoft Office许可证的经销商的Microsoft Azure帐户，对Microsoft云API进行了异常调用。作为我们安全IT架构的一部分，CrowdStrike不使用Office 365电子邮件。” 在了解了这种未遂攻击之后，CrowdStrike调查了他们的Azure环境，发现它没有受到影响。但是，在调查过程中，他们发现很难使用Azure的管理工具来对分配给其Azure租户中的第三方经销商和合作伙伴的特权进行分类。 “我们发现，调查所需的许多步骤未记录下来，无法通过API进行审核以及全球管理员必须查看我们认为过多的重要信息的要求，这尤其具有挑战性。关键信息应易于到达。” Sentonas继续说道。 CrowdStrike发布了适用于Azure的CrowdStrike报告工具（CRT）工具，以帮助管理员研究他们的Microsoft Azure环境并查看为第三方经销商和合作伙伴分配了哪些特权。