搜索

[11785] 2017-09-15_美国征信巨头Equifax数据泄露：不及时修复漏洞，就是给自己埋不定时炸弹

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2017-09-15_美国征信巨头Equifax数据泄露：不及时修复漏洞，就是给自己埋不定时炸弹 美 国 征 信 巨 头 E q u i f a x 数 据 泄 露 ： 不 及 时 修 复 漏 洞 ， 就 是 给 自 己 埋 不 定 时 炸 弹 A n g e l a Y   F r e e B u f   2 0 1 7 - 0 9 - 1 5 美 国 征 信 巨 头 美 国 征 信 巨 头   E q u i f a x   日 前 确 认 ， 黑 客 利 用 其 系 统 中 未 修 复 的 日 前 确 认 ， 黑 客 利 用 其 系 统 中 未 修 复 的   A p a c h e   S t r u t s   漏 洞 （ 漏 洞 （   C V E - 2 0 1 7 - 5 6 3 8 ， ， 3   月 月   6 日 曝 光 ） 发 起 攻 击 ， 导 致 了 最 近 影 响 恶 劣 的 大 规 模 数 据 泄 漏 事 件 。 日 曝 光 ） 发 起 攻 击 ， 导 致 了 最 近 影 响 恶 劣 的 大 规 模 数 据 泄 漏 事 件 。 E q u i f a x   是 美 国 三 大 老 牌 征 信 机 构 之 一 ， 拥 是 美 国 三 大 老 牌 征 信 机 构 之 一 ， 拥 有 大 量 美 国 公 民 敏 感 数 据 ， 收 益 一 直 在 有 大 量 美 国 公 民 敏 感 数 据 ， 收 益 一 直 在   1 0   亿 级 别 。 其 原 本 提 供 免 费 信 用 监 控 和 身 份 窃 取 保 护 服 务 ， 还 声 称 可 亿 级 别 。 其 原 本 提 供 免 费 信 用 监 控 和 身 份 窃 取 保 护 服 务 ， 还 声 称 可 以 安 全 地 冻 结 对 敏 感 信 息 的 访 问 。 此 次 大 规 模 数 据 泄 露 对 其 而 言 无 疑 是 一 场 灾 难 。 以 安 全 地 冻 结 对 敏 感 信 息 的 访 问 。 此 次 大 规 模 数 据 泄 露 对 其 而 言 无 疑 是 一 场 灾 难 。 上 周 我 们 报 道 过 ， 黑 客 在   5   月 中 旬 至   7   月 下 旬 一 直 秘 密 入 侵   E q u i f a x   系 统 ， 获 取 ， 获 取   1 . 4 3   亿 用 户 信 用 记 录 ， 包 括 名 亿 用 户 信 用 记 录 ， 包 括 名 称 、 社 会 保 障 号 、 出 生 日 期 、 地 址 ， 以 及 一 些 驾 驶 执 照 号 码 等 。 此 外 ， 美 国 约 称 、 社 会 保 障 号 、 出 生 日 期 、 地 址 ， 以 及 一 些 驾 驶 执 照 号 码 等 。 此 外 ， 美 国 约   2 0 9 , 0 0 0   名 消 费 者 的 信 用 卡 详 情 名 消 费 者 的 信 用 卡 详 情 和 涉 及 和 涉 及   1 8 . 2   万 人 的 争 议 文 件 也 可 能 遭 到 泄 露 万 人 的 争 议 文 件 也 可 能 遭 到 泄 露 。 E q u i f a x   在 英 国 （ 约   4 4 0 0   万 ） 和 加 拿 大 的 一 些 顾 客 也 受 到 影 响 ， 加 拿 大   E q u i f a x   顾 客 已 经 启 动 了 集 体 诉 讼 。 E q u i f a x   最 初 发 布 声 明 表 示 ， 网 络 犯 罪 分 子 利 用 某 个 “ U . S .   w e b s i t e   a p p l i c a t i o n ” 中 的 漏 洞 获 取 文 件 。 后 来 经 调 查 ， 该 应 用 程 序 就 是 大 家 耳 熟 能 详 的   A p a c h e   S t r u t s 。 E q u i f a x   在 周 三 公 布 的 网 络 安 全 事 件 更 新 公 告 中 确 认 ， 在 周 三 公 布 的 网 络 安 全 事 件 更 新 公 告 中 确 认 ， 3   月 份 披 露 和 月 份 披 露 和 修 复 的 修 复 的   C V E - 2 0 1 7 - 5 6 3 8   是 就 是 此 次 数 据 泄 露 事 件 中 攻 击 者 所 利 用 的 漏 洞 。 是 就 是 此 次 数 据 泄 露 事 件 中 攻 击 者 所 利 用 的 漏 洞 。 当 时 这 个 漏 洞 的 评 分 为 最 高 分   1 0 分 ， A p a c h e   随 后 发 布   S t r u t s   2 . 3 . 3 2   和   2 . 5 . 1 0 . 1   版 本 ， 进 行 修 复 。 但   E q u i f a x   在 漏 洞 出 现 的 两 个 月 内 都 没 有 修 复 ， 导 致   5   月 份 黑 客 利 用 这 个 漏 洞 进 行 攻 击 ， 泄 露 其 敏 感 数 据 。 事 件 发 生 后 ， 好 事 者 还 列 举 了   E q u i f a x   系 统 中 的 一 系 列 漏 洞 ， 包 括 一 年 以 前 向 公 司 报 告 的 未 修 补 的 跨 站 脚 本 （ X S S ） 漏 洞 。 此 外 ， E q u i f a x   还 有 很 多 基 础 保 护 措 施 都 不 到 位 。 安 全 博 客   B r i a n   K r e b s   周 二 报 道 ： E q u i f a x   某 阿 根 廷 员 工 门 户 也 泄 露 了   1 4 , 0 0 0   条 记 录 ， 包 括 员 工 凭 证 和 消 费 者 投 诉 。 纽 约 已 经 对   E q u i f a x   违 规 行 为 进 行 正 式 调 查 ， 伊 利 诺 斯 州 等 近 4 0   个 州 也 都 加 入 了 调 查 阵 营 。 被 黑 过 程 被 黑 过 程 上 图 是 从   E q u i f a x   服 务 器 中 获 得 的 内 容 。 有 黑 客 发 布 了 一 些 窃 取 的 数 据 ， 表 明 了 入 侵 的 途 径 、 手 段 等 。 据 研 究 人 员 分 析 ， E q u i f a x   所 谓 的 “ 管 理 面 板 ” 都 没 有 采 取 任 何 安 保 措 施 。 来 自   B r i a n   K r e b s   的 博 文 显 示 ， 其 中 一 个 管 理 面 板 使 用 的 用 户 名 和 密 码 都 是 “ a d m i n ” 。 作 为 一 个 如 此 重 要 的 征 信 机 构 ， 居 然 使 用 这 么 简 单 的 用 户 名 和 密 码 。 估 计 研 究 人 员 和 用 户 知 道 之 后 心 里 都 在 呵 呵 吧 。
E q u i f a x   泄 露 的 消 费 者 数 据 数 量 惊 人 。   一 个 市 值 几 十 亿 美 元 的 代 理 机 构 处 理 敏 感 信 息 时 居 然 使 用 有 漏 洞 的 系 统 ， 这 的 确 令 人 发 指 。 与 此 事 有 关 的 黑 客 发 表 了 如 下 声 明 ： 如 果 公 布 这 些 信 息 ， 能 让 这 些 公 司 承 认 自 己 很 垃 圾 （ 而 不 是 只 会 甩 锅 给   A p a c h e ） ， 那 么 我 一 定 会 公 布 。 事 实 上 ， 除 了   A p a c h e   的 漏 洞 ， 黑 客 还 使 用 了 一 些 其 他 手 段 绕 过 W A F 。   最 难 的 是 找 到 服 务 器 本 身 并 加 以 利 用 。 某 位 研 究 员 曾 尝 试 深 入 调 查 ， 结 果 发 现 有 些 管 理 面 板 居 然 位 于   S h o d a n   搜 索 引 擎 上 。 相 关 黑 客 透 露 的 消 息 称 ， 没 有 一 个 面 板 是 相 同 的 ； 且 数 据 泄 露 曝 光 后 ， E q u i f a x   已 经 关 闭 了 一 些 面 板 ， 其 中 一 个 面 板 是 因 为   B r i a n   K r e b s   的 博 文 而 关 闭 的 。 此 外 ， 黑 客 还 打 算 开 一 个 暗 网 服 务 器 ， 择 日 发 布 或 售 卖 窃 取 到 的 数 据 ， 看 来 是 在 模 仿 其 他 诈 骗 比 特 币 的 黑 客 团 伙 。 他 们 简 要 介 绍 了 自 己 跟 踪 虚 假 黑 客 的 方 式 。   该 服 务 器 （ 或 者 说 是 需 要 利 用   T o r   浏 览 器 访 问 的 洋 葱 网 络 ） 目 前 位 于 e q u i h x b d r n n n n c n c n . v n   上 。   当 问 及 窃 取 数 据 和 开 设 暗 网 市 场 是 否 都 是 为 了 赚 赎 金 时 ， 这 些 黑 客 则 表 示 ： 不 ， 我 们 只 是 觉 得 有 必 要 增 加 比 特 币 赎 金 数 目 ， 以 吸 引 更 多 的 媒 体 关 注 到   E q u i f a x   被 黑 这 件 事 。
如 此 说 来 ， 这 些 黑 客 并 非 只 是 为 了 赚 钱 ， 大 约 是 为 了 出 名 或 者 搞 事 情 吧 。 如 此 说 来 ， 这 些 黑 客 并 非 只 是 为 了 赚 钱 ， 大 约 是 为 了 出 名 或 者 搞 事 情 吧 。 被 入 侵 的 面 板 被 入 侵 的 面 板 在 进 一 步 调 查 中 ， 研 究 人 员 发 现 ， 这 个 黑 客 团 伙 入 侵 了 大 量 功 能 各 不 相 同 的   E q u i f a x   管 理 面 板 。 一 些 面 板 负 责 信 用 报 告 ， 一 些 则 用 作 分 析 。 更 令 人 震 惊 的 是 ， 这 些 面 板 都 指 向   e q u i f a x . c o m   的 子 域 名 ； 大 量   s w i t c h b o a r d   以 及 叫 做 “ b u m b l e b e e ”   的 部 件 也 都 有 共 同 点 ， 这 导 致 他 们 很 容 易 受 到 相 似 的 攻 击 。 因 此 ， 只 要 有 一 个 漏 洞 可 以 利 用 ， 就 能 轻 易 获 取 这 些 面 板 中 的 内 容 。 以 下 是 一 些 遭 入 侵 的 面 板 详 情 ：
研 究 人 员 还 获 取 到 了 更 多 黑 客 窃 取 的 敏 感 信 息 ， 并 使 用   E q u i f a x   的   T r u s t e d I D   P r e m i e r   验 证 了 这 些 信 息 ， 进 一 步 确 认 了 黑 客 的 身 份 。
上 图 有 一 张 基 本 上 就 体 现 了   1 . 4 3   亿 人 的 数 据 库 详 情 。   证 明 这 些 数 据 的 的 确 确 掌 握 在 黑 客 手 中 。 这 些 数 据 可 能 导 致 不 同 层 面 的 身 份 欺 诈 。 一 旦 黑 客 将 这 些 数 据 公 布 出 去 ， 就 是 一 场 大 灾 难 。 如 今 指 责 黑 客 似 乎 也 无 济 于 事 ， 毕 竟 还 是 E q u i f a x   自 己 安 保 工 作 不 到 位 才 导 致 这 次 泄 露 。 小 结 小 结
那 么 黑 客 到 底 是 通 过 什 么 方 式 获 取 到 数 据 库 的 密 码 的 呢 ？ 这 些 控 制 面 板 的 确 安 全 性 很 差 ， 但 其 他 部 分 是 否 安 全 ？ 事 实 上 ， 这 些 控 制 面 板 中 还 储 存 了 一 些 加 密 数 据 ， 但 密 钥 却 放 在 面 板 内 部 。 一 旦 面 板 被 入 侵 ， 加 密 数 据 也 不 再 安 全 。 截 图 表 明 ， 这 些 密 钥 以 及 所 有   E q u i f a x   子 公 司 的 信 息 都 保 存 妥 善 ， 但 最 后 他 们 还 是 都 被 黑 了 。 E q u i f a x   注 意 到 这 个 漏 洞 之 后 ， 马 上 就 着 手 关 闭 一 些 服 务 器 ， 其 中 有 个 主 管 理 面 板 被 漏 掉 了 。 后 来 ， 每 个 服 务 器 都 丢 失 了 与 主 服 务 器 的 连 接 ， 主 服 务 器 也 最 终 下 线 。   这 引 发 了 一 些 问 题 ： 为 什 么 互 联 网 上 任 何 人 都 能 访 问 这 些 服 务 器 ？   为 什 么   E q u i f a x   使 用 默 认 密 码 却 不 进 行 修 改 ？   信 用 机 构 内 部 的 安 全 小 组 是 怎 样 一 群 人 ， 居 然 能 允 许 使 用 默 认 密 码 的 状 况 存 在 ？ 还 有 一 个 新 闻 也 值 得 注 意 ， 有 报 道 说 ， E q u i f a x 员 工 在 违 规 发 生 之 前 出 售 股 票 。 这 是 否 表 明   E q u i f a x   有 内 鬼 ？ 上 一 次 如 此 大 规 模 的 数 据 泄 漏 事 件 主 角 应 该 是 雅 虎 。 继   2 0 1 3   年 大 规 模 数 据 泄 露 之 后 ， 雅 虎 在   2 0 1 6   年 又 遭 遇 攻 击 ， 影 响   1 0   亿 用 户 账 户 。 当 时 雅 虎 股 价 在 事 件 爆 出 的 第 二 天 就 下 跌 了   2 . 4 % 。 而 此 次 而 此 次   E q u i f a x   的 股 价 也 下 跌 了 超 过 的 股 价 也 下 跌 了 超 过   3 0 % ， ， 市 值 缩 水 约 市 值 缩 水 约   5 3   亿 。 亿 。 这 让 各 大 企 业 不 得 不 警 惕 。 A p a c h e   S t r u t s   不 断 爆 出 漏 洞 ， 黑 客 也 一 直 想 办 法 在 利 用 这 些 漏 洞 。 以   C V E - 2 0 1 7 - 5 6 3 8 为 例 ， 有 黑 客 利 用 这 个 漏 洞 入 侵   S t r u t s   2   的 服 务 器 ， 在 当 地 联 网 的 计 算 机 上 安 装   C e r b e r   勒 索 软 件 并 谋 利 至 少   1 0   万 美 元 。 前 几 天 还 有 消 息 称   A p a c h e   S t r u t s 2   中 的 四 个 新 发 现 的 安 全 漏 洞 （ 尤 其 是   C V E - 2 0 1 7 - 9 8 0 5 ） 可 能 影 响 思 科 的 大 部 分 产 品   ， 因 此 思 科 发 起 了 对 其 产 品 的 全 面 检 查 。 其 实 ， 这 种 检 查 对 于 所 有 使 用   S t r u t s   框 架 的 公 司 而 言 ， 都 是 很 有 必 要 的 。 再 进 一 步 说 ， 使 用 合 适 的 安 全 产 品 和 安 全 策 略 ， 建 立 可 靠 的 安 全 团 队 ， 是 各 大 公 司 （ 尤 其 是 涉 及 敏 感 数 据 的 公 司 ） * 参 考 来 源 ： S e c u r i t y w e e k ， S P U Z ， A n g e l a Y   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理