建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
文件同步服務(wù)過(guò)去常常支持企業(yè)組織內(nèi)部的移動(dòng)員工，它也可能成為一個(gè)薄弱環(huán)節(jié)，攻擊者可以鉆其空子，潛伏在中招的網(wǎng)絡(luò)里面而不被察覺(jué)。
目前創(chuàng)新互聯(lián)建站已為上1000+的企業(yè)提供了網(wǎng)站建設(shè)、域名、虛擬主機(jī)、網(wǎng)站托管、服務(wù)器托管、企業(yè)網(wǎng)站設(shè)計(jì)、柳北網(wǎng)站維護(hù)等服務(wù)，公司將堅(jiān)持客戶(hù)導(dǎo)向、應(yīng)用為本的策略，正道將秉承"和諧、參與、激情"的文化，與客戶(hù)和合作伙伴齊心協(xié)力一起成長(zhǎng)，共同發(fā)展。
安全公司Imperva的研究人員發(fā)現(xiàn)，如果攻擊者對(duì)文件同步服程序運(yùn)行在其中的計(jì)算機(jī)獲得了有限的訪問(wèn)權(quán)，不用實(shí)際竊取用戶(hù)名稱(chēng)和密碼，輕而易舉就能劫持Dropbox、Google Drive、微軟OneDrive和Box等提供的服務(wù)的用戶(hù)帳戶(hù)。
一旦帳戶(hù)被劫持，攻擊者就可以利用帳戶(hù)竊取存儲(chǔ)在里面的數(shù)據(jù)，并且遠(yuǎn)程控制中招的計(jì)算機(jī)，根本不用可能被反病毒或其他安全產(chǎn)品檢測(cè)出來(lái)的任何惡意軟件程序。
Imperva的研究人員發(fā)現(xiàn)，他們打量的所有文件同步應(yīng)用程序都通過(guò)用戶(hù)首次登錄后生成的訪問(wèn)令牌，提供了繼續(xù)訪問(wèn)用戶(hù)的云存儲(chǔ)帳戶(hù)這一便利。這些令牌存儲(chǔ)在用戶(hù)計(jì)算機(jī)上的特殊文件、Windows注冊(cè)表或Windows憑據(jù)管理器中，這取決于具體使用的應(yīng)用程序。
研究人員研發(fā)了一款名為Switcher的簡(jiǎn)單工具，其作用就是執(zhí)行研究人員所說(shuō)的“雙開(kāi)關(guān)”(double switch)攻擊。
Switcher可以通過(guò)惡意電子郵件附件或充分利用瀏覽器插件中安全漏洞的路過(guò)式下載漏洞，部署在系統(tǒng)上。如果鉆了這個(gè)漏洞的空子，程序甚至沒(méi)必要寫(xiě)入到磁盤(pán)上。它可以直接裝入到計(jì)算機(jī)的內(nèi)存中，不需要高級(jí)權(quán)限就能執(zhí)行其例程。
Switcher先為目標(biāo)文件同步應(yīng)用程序復(fù)制一份用戶(hù)的訪問(wèn)令牌，然后換成對(duì)應(yīng)于攻擊者控制的帳戶(hù)的訪問(wèn)令牌。然后，它重啟應(yīng)用程序，那樣它就能與攻擊者的帳戶(hù)實(shí)現(xiàn)同步。
之前保存的用戶(hù)令牌被復(fù)制到同步文件夾，那樣攻擊者就能收到一份用戶(hù)令牌，隨后Switcher應(yīng)用程序恢復(fù)回來(lái)，迫使應(yīng)用程序回過(guò)頭來(lái)與用戶(hù)的實(shí)際帳戶(hù)關(guān)聯(lián)起來(lái)，雙開(kāi)關(guān)一名由此而來(lái)。
然而，由于攻擊者現(xiàn)在有了一份用戶(hù)的訪問(wèn)令牌，他就能在自己的計(jì)算機(jī)上使用Switcher，并與用戶(hù)的實(shí)際帳戶(hù)進(jìn)行同步，獲得一份存儲(chǔ)在帳戶(hù)里面的所有文件。
如果讓Switcher創(chuàng)建一項(xiàng)計(jì)劃任務(wù)或者Windows管理規(guī)范(WMI)事件：某個(gè)特定的文件出現(xiàn)在同步文件夾中時(shí)，就會(huì)觸發(fā)事件，可以讓攻擊進(jìn)入到下一步。攻擊者就可以創(chuàng)建該文件，含有由計(jì)劃任務(wù)執(zhí)行的命令。
即便Switcher刪除自己或者從內(nèi)存中清除出去，這種機(jī)制也將讓攻擊者獲得對(duì)計(jì)算機(jī)的永久性遠(yuǎn)程訪問(wèn)權(quán)。執(zhí)行命令、將輸出保存到同步文件夾后，攻擊者就能刪除它，還能刪除觸發(fā)文件，以圖掩蓋行蹤。
如果攻擊者尋求的不是偷偷潛伏或獲得永久性訪問(wèn)權(quán)，另一種可能的攻擊場(chǎng)景就是加密用戶(hù)帳戶(hù)中的所有文件，索要贖金才能解密文件——近些年來(lái)，勒索軟件程序采用了這一手法，屢試不爽。
據(jù)Imperva的首席技術(shù)官Amichai Shulman聲稱(chēng)，針對(duì)文件同步服務(wù)的這些攻擊很難被反病毒程序檢測(cè)出來(lái)，因?yàn)镾witcher并不執(zhí)行任何可能被解讀為惡意軟件行為的不尋?；顒?dòng)。
他表示，該程序只由短短10行代碼組成，可以讀取和寫(xiě)入其他應(yīng)用程序也修改的文件和注冊(cè)表鍵。他補(bǔ)充道，落在后面的WMI任務(wù)也很常見(jiàn)，因?yàn)榱硗庠S多應(yīng)用程序會(huì)因各種原因創(chuàng)建WMI任務(wù)。
此外，Switcher甚至可能不存儲(chǔ)在磁盤(pán)上，為攻擊創(chuàng)造條件后會(huì)刪除自己。
在網(wǎng)絡(luò)邊界處運(yùn)行的安全產(chǎn)品無(wú)法阻止這種流量，因?yàn)樵摿髁吭谀J(rèn)情況下已加密，由企業(yè)組織批準(zhǔn)的已知的、合法的文件同步應(yīng)用程序所生成。
眼下，接受測(cè)試的服務(wù)沒(méi)有一個(gè)通知用戶(hù)其帳戶(hù)從新的位置加以訪問(wèn)，就像一些網(wǎng)站所做的那樣。據(jù)Imperva的研究人員聲稱(chēng)，其中一些服務(wù)允許用戶(hù)查看其帳戶(hù)的近期活動(dòng)，這有可能揭露來(lái)自非同尋常的位置或IP填的未授權(quán)訪問(wèn)，但是出現(xiàn)這種情況時(shí)，它們并不實(shí)際通過(guò)電子郵件來(lái)提醒用戶(hù)。
即便可以檢測(cè)出這種威脅，恢復(fù)正常也問(wèn)題重重，因?yàn)樵谝恍┣闆r下，訪問(wèn)令牌依然有效，即便用戶(hù)更改了密碼。研究人員在將于黑帽安全大會(huì)上發(fā)布的一份報(bào)告中表示，在這種情形下想恢復(fù)如初，唯一的辦法就是，實(shí)際刪除帳戶(hù)，創(chuàng)建一個(gè)新帳戶(hù)。
攻擊者已經(jīng)表示出有興趣濫用備受信賴(lài)的云服務(wù)或社交媒體網(wǎng)站，既為了向外泄露數(shù)據(jù)，又為了奪取指揮與控制權(quán)。去年12月，Blue Coat的安全研究人員報(bào)告，軍隊(duì)、外交和商界等部門(mén)遭到了一起攻擊活動(dòng)，它利用瑞典的一項(xiàng)文件同步服務(wù)(名為CloudMe)來(lái)奪取指揮與控制權(quán)。安全公司FireEye最近報(bào)告，一個(gè)名叫Hammertoss的俄羅斯網(wǎng)絡(luò)間諜團(tuán)伙利用云存儲(chǔ)服務(wù)，向外泄露眾多機(jī)構(gòu)組織的數(shù)據(jù)。
在近日于拉斯維加斯召開(kāi)的BSides安全大會(huì)上，Gabriel Butterick、Dakota Nelson和Byron Wasti這三名軟件開(kāi)發(fā)人員發(fā)布了一種框架，利用發(fā)布在推特、SoundCloud和Tumblr等社交媒體網(wǎng)站上的圖片、音頻片段和文本消息，就能為惡意軟件建立一條經(jīng)過(guò)加密的秘密通信通道。
Shulman表示，也許一些云存儲(chǔ)提供商會(huì)在將來(lái)改進(jìn)安全，但是這改變不了基本問(wèn)題：對(duì)用戶(hù)來(lái)說(shuō)有用的任何服務(wù)對(duì)攻擊者來(lái)說(shuō)同樣有用。攻擊者最終會(huì)找到辦法來(lái)攻破端點(diǎn)系統(tǒng)，但是大多數(shù)時(shí)候，他們的目標(biāo)是利用它們作為跳板，進(jìn)而攻擊機(jī)構(gòu)組織的數(shù)據(jù)庫(kù)和文件服務(wù)器，而這些系統(tǒng)上存儲(chǔ)著令人關(guān)注的信息。他表示，正由于如此，公司監(jiān)控、嚴(yán)格控制對(duì)重要數(shù)據(jù)的訪問(wèn)顯得至關(guān)重要。
英文：File sync services provide covert way to control hacked computers
標(biāo)題名稱(chēng)：通過(guò)文件同步服務(wù)黑客可偷偷控制計(jì)算機(jī)
標(biāo)題來(lái)源：http://www.5511xx.com/article/cogjoeh.html
