请选择 进入手机版 | 继续访问电脑版

土bi乎 - 人不知而不学,不亦土逼乎?

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
查看: 76|回复: 0

伊朗黑客使用Slack API攻击了亚洲航空公司

[复制链接]

22

主题

38

帖子

62

积分

注册会员

Rank: 2

积分
62
BabyTuBi
77
发表于 2021-12-17 15:41:00 | 显示全部楼层 |阅读模式

根据IBM Security X-Force 的一份报告,被称为Aclip的后门可能使攻击者能够访问航空公司的乘客预订数据。Aclip名称来自名为“aclip.bat”的 Windows 批处理脚本,能通过添加一个注册表密钥建立持久性,并在受感染设备的系统启动时自动启动。

报告称,目前还不清楚攻击者是否已从系统中窃取了数据,,尽管在攻击者的命令和控制 (C2) 服务器上发现的文件表明他们可能已经访问了预订数据。分析认为,他们的重点是监视,因为在其 C2 服务器上只能找到名称中带有“保留管理”的文件。它没有透露泄露的存档文件的内容。

网络安全公司 Cyber​​eason 的 CSO Sam Curry 在推测攻击者的动机时认为,酒店和飞行数据可用于流量分析、网络推断等行为和目的分析,比如,如果两位 CEO 飞到一个城市,住在酒店,然后马上离开,他们很有可能彼此认识,可能正在考虑做一些不公开的事情,这是可用于内幕交易的信息。作为寻求战略性使用数据的一部分,航空公司信息很有价值。

虽然Slack没有对这起事件做出回应,但公司表示已经开始进行调查,并以违反服务条款为由关闭了Slack Workspaces。

由于涉及的流量大,基于协作工具防御威胁很困难,研究人员表示,针对此类后门建立防御机制会面临较大挑战,但仍建议加强PowerShell 安全性,因为该脚本有时能让攻击变得具有侵入性,这些措施包括:

将 PowerShell 更新到最新的稳定版本并禁用早期版本;

通过限制能够运行某些命令和功能的用户来控制对 PowerShell 的访问;

监控PowerShell日志,包括模块日志记录;

通过禁用或限制 Windows 远程管理服务来防止使用 PowerShell 进行远程执行;

创建并使用 YARA 规则来检测恶意 PowerShell 脚本。


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|手机版|小黑屋|土bi乎

GMT+8, 2022-1-25 13:37 , Processed in 0.057546 second(s), 22 queries .

Powered by Discuz! X3.4

Copyright © 2001-2021, Tencent Cloud.

快速回复 返回顶部 返回列表