社区编辑申请
注册/登录
加密货币交易平台遭遇Log4j攻击,拒绝支付500万赎金
安全
越南最大的加密货币交易平台ONUS运行有漏洞的Log4j版本的支付系统遭遇网络攻击。攻击者要求ONUS支付500万美元的赎金,并威胁公布用户数据。

加密货币交易平台ONUS遭遇Log4j攻击,拒绝支付500万赎金。

越南最大的加密货币交易平台ONUS运行有漏洞的Log4j版本的支付系统遭遇网络攻击。攻击者要求ONUS支付500万美元的赎金,并威胁公布用户数据。

事件概述

12月9日,Log4Shell (CVE-2021-44228)漏洞的PoC 漏洞利用在GitHub公开。随后出现了大量针对有漏洞的服务器的大规模扫描活动。12月11日-13日,攻击者成功利用ONUS平台Cyclos服务器上的Log4Shell漏洞,并成功植入了后门软件。

Cyclos于12月13日通知ONUS 修复系统,但是太迟了。虽然ONUS已经修复了Cyclos实例中的安全漏洞,但是漏洞窗口期使得攻击者成功窃取了敏感数据库的数据。被窃的数据库中有近200万的用户数据,包括KYC (Know Your Customer)数据、哈希的密码等。

事实上,Log4Shell漏洞存在于一个仅用于编程目的是沙箱服务器,但由于系统配置措施使得允许进一步访问敏感数据存储位置的删除数据。

200万数据泄露

随后,攻击者要求ONUS被要求支付500万赎金,否则会公开窃取的数据。12月25日,由于ONUS未支付足额赎金,攻击者在暗网数据交易市场出售客户数据。

近200万ONUS客户数据被出售

攻击者称有包含客户个人数据和哈希后的密码的395个ONUS数据库表。样本数据中包含客户身份证图像、护照、以及KYC过程中客户提交的视频片段。

事件分析

网络安全公司 CyStack对该事件进行了分析发现攻击过程不仅仅利用了一个Log4j漏洞。Log4j漏洞利用仅仅为攻击者提供了一个入口,更大的问题是ONUS的Amazon S3 buckets错误配置导致攻击者可以访问,最终导致了敏感数据的泄露。攻击者获取的客户数据包括:

  • 姓名
  • 邮箱和手机号
  • 地址
  • KYC信息
  • 加密的密码
  • 交易历史
  • 其他加密的信息
  • 补丁

目前,针对Java 8版本的Log4j 2.17.1版本已经发布,建议用户尽快更新到最新版本。此外,针对Java 7的2.12.4版本和针对Java 6的2.3.2版本也会在近期发布,建议用户持续关注。

本文翻译自:https://www.bleepingcomputer.com/news/security/fintech-firm-hit-by-log4j-hack-refuses-to-pay-5-million-ransom/如若转载,请注明原文地址。

 

责任编辑:姜华 来源: 嘶吼网
相关推荐

2022-05-10 14:11:05

网络安全网络犯罪

2022-05-20 16:43:08

加密货币虚拟货币比特币

2022-06-28 10:58:35

勒索软件攻击事件

2022-06-29 14:46:00

网络攻击数据泄露勒索软件

2022-06-14 14:03:06

网络安全从业者网络安全赎金

2022-05-10 11:35:06

国际货币基金组织加密货币法定货币

2022-05-26 11:06:33

加密勒索软件网络攻击

2022-06-25 21:22:30

编程Rust代码

2022-06-24 15:13:17

区块链数字资产加密货币

2022-05-20 18:39:31

戴尔

2022-06-28 05:35:46

勒索软件网络安全网络攻击

2022-06-16 07:32:38

VSCodePython插件

2022-06-15 09:15:35

​CloudflarHTTPS DDoS攻击

2022-06-02 15:19:18

加密货币稳定币数字货币

2022-06-23 12:43:36

区块链加密货币

2022-06-30 09:07:52

2022-05-11 15:41:27

英伟达显卡加密货币

2022-06-21 10:04:25

比特币去中心化金融体系

2022-06-24 10:16:59

Python精选库

2022-06-15 14:40:54

英特尔漏洞

同话题下的热门内容

超低成本 DDoS 攻击来袭,看 WAF 如何绝地防护都怪二维码,造就了网友们的社死现场...2022年上半年五大勒索软件攻击事件谁家的加密密钥,写死在代码里?就因为QQ登录二维码,全网发生了大规模的社死黑客组织对印度政府发动了网络攻击如何最大限度提升智能建筑中的网络安全?监管机构禁令频发,谷歌将被禁止追踪数百万用户数据

编辑推荐

付费成人网站OnlyFans数百名创作者内容泄露,可能有你关注的YouTube博主2019年最近发现的网络安全事件权威解读 | 网络安全等级保护2.0标准体系以及主要标准2019年网络安全事件回顾(国际篇)2019年网络安全事件回顾(国内篇)
我收藏的内容
点赞
收藏

51CTO技术栈公众号