技术报告

【天问】xz/liblzma后门影响全网软件测绘分析

技术报告,
2024年3月29日，开发人员在SSH性能调查中发现xz组件中包含后门，影响了liblzma库，并且该后门事件已被分配编号CVE-2024-3094。奇安信技术研究院“天问”软件供应链安全监测平台利用积累的海量软件空间测绘数据，发现开源生态中的若干软件存在使用后门组件的情况，其他系统、软件和固件上暂未发现直接使用后门组件的情况。
阅读更多

【天问】PyPI 大规模伪造包名攻击

技术报告,
2024年3月26号，天问Python供应链威胁监测模块发现PyPI中短时间内出现了大量利用包名伪造的恶意包，这些恶意包采用和流行包（例如requests）极其相似的包名来诱导用户下载。这些恶意包会窃取用户隐私信息，并持久化驻留在受害主机中。此次事件中，攻击者所表现的自动化、专业化、组织化值得警惕。
阅读更多

【天穹】DLL侧加载检测功能上线

技术报告, ,
DLL侧加载是一种利用Windows DLL加载机制，将恶意DLL伪装成合法DLL放置在DLL搜索路径上，由合法程序自动加载后实施恶意行为的攻击技术。这种攻击技术利用了防护软件对合法进程的信任，使得DLL的恶意行为不会触发告警，绕过了防护软件的检测。这种信任机制对降低误报起到重要作用。例如，输入法软件需要将自己的DLL注入到其他软件的内存中，防护软件显然不能将输入法标识为病毒，为了实现这一点，防护软件会检测输入法的签名信息，如果具备合法签名，则不予告警。黑客利用DLL侧加载机制，让受信任软件主动加载执行恶意代码，相比于主动注入，不需要调用VirtualAllocEx这类敏感API，被防护软件告警的几率也更低。
阅读更多

【天穹】Linux内核劫持：深入分析内核rootkit入侵威胁

技术报告,
Linux内核级rootkit技术是一种极为高级的黑客攻击技术，它能够打破Linux系统的安全防御，实现对系统和用户的完全控制。相较于用户态rootkit，内核级的rootkit在操作系统内核层进行操控，更难被发现。一旦成功安装，rootkit就可以在操作系统内核中运行，更加持久和难以清除，并且由于存在于内核级别，它能够篡改内存数据和内核模块，控制权更高，危害更大。
阅读更多

【天问】PyPI 云端”潜伏者”

技术报告,
2024年2月，天问Python供应链威胁监测模块发现了攻击者开始尝试利用第三方存储库，如GitHub，隐蔽发动攻击的恶意包。攻击者利用pip可以指定软件包下载地址的特性，将带有恶意代码的软件包放置到了云端。而PyPI仓库中的软件包不包含任何恶意攻击指令，这对恶意检测是一个巨大的挑战。
阅读更多