阿尔法实验室陈峰峰、胡进
随着安全知识的普及，公民安全意识普遍提高了，恶意代码传播已经不局限于exe程序了，Locky敲诈者病毒就是其中之一，Locky敲诈者使用js进行传播，js负责下载外壳程序，外壳程序负责保护真正病毒样本，免除查杀。本文主要对Locky外壳程序和核心程序做了一个分析，来一起了解Locky代码自我保护的手段以及核心程序对文件加密勒索过程的分析。
Js下载者：f16c46c917fa5012810dc35b17b855bf.js
外壳：e7c42d7052e59db13d26e3f3777d04af.exe
核心程序：[......]
前些时期爆发的Locky勒索软件病毒这边也拿到了一个样本，简要做如下分析。样本主要包含三个程序:
A xx.js文件：Jscript脚本文件，以脚本形式存在主要用于邮件传播和方便免杀杀毒软件，用于联网下载PE1
B PE程序（PE1）：外壳程序，主要负责解密内存load PE2。
C PE程序（PE2）：功能代码存在于该文件，主要负责和C&C服务器通讯获取加密密钥，遍历磁盘驱动器使用crypt系列windows函数对文件加密。
PE1
PE2
struts2 029漏洞已经爆出一段时间，网上有一些相关分析，首先，漏洞确定是出现在OGNL解释执行的过程，具体漏洞测试poc网上已经有很多，我在2.2.1、2.3.24.1、2.3.25、2.5beta3、2.3.26上面测试都可以执行，不过修改的安全参数稍微不同。
2.2.1只需要下面几个：
#_memberAccess['allowPrivateAccess']=true
#_memberAccess['allowProtectedAccess']=true
#_memberAccess['allowPackage[......]
CVE的英文全称是“CommonVulnerabilities&Exposures”公共漏洞和暴露。CVE就好像是一个字典表，为广泛认同的信息安全漏洞或者已经暴露出来的弱点给出一个公共的名称。使用一个共同的名字，可以帮助用户在各自独立的各种漏洞数据库中和漏洞评估工具中共享数据，虽然这些工具很难整合在一起。这样就使得CVE成为了安全信息共享的“关键字”。如果在一个漏洞报告中指明的一个漏洞，如果有CVE名称，你就可以快速地在任何其它CVE兼容的数据库中找到相应修补的信息，解决安全问题（来自搜狗百科）。
CVE 开始建立是在1999年9月，起初只有321个条[......]
1.什么是Drown Attack
Drown 是一次跨协议的攻击，通过利用SSLv2漏洞攻击TLS，实际上就是中间人攻击的进一步利用。中间人攻击简单举例：比如劫持用户的流量HTTP。但是有些服务器与客户端通信是加密的，比如TLS和SSL。这里Drown attack利用SSLv2的漏洞，这里需要不同服务使用RSA key exchange技术，这个情况不同服务的private key会一样 ，此时就可以利用这个漏洞去解密TLS或者SSLv3的连接，然后进行一些中间人攻击，比如管理员的session的被劫持到了，危害可想而知。
2. 如何准确测试Drow[......]
文/ 阿尔法实验室 陈钦
当你在视频,音频,文本等的海洋或天空中遨游和飞翔的时一定不想遇见臭虫和鲨鱼。如你所愿。我们最近对解码器做了一些测试。
Openjpeg是一款jpeg解码器,ASAN是内存错误检测工具。内存错误包含缓冲区溢出,堆溢出等。
valgrind,boundschecker等也都是高效的工具。论文下载:AddressSanitizer
在过去的一段时间的动静态测试中(2015.12月),我们发现了openjpeg 整形溢出(已修复)
文/ 阿尔法实验室 陈钦
A.概述
Glibc被广泛使用在Debian,Red Hat,CentOS以及更多其它 Linux 发行版.漏洞可导致通过恶意构造的DNS包使linux主机或客户端被远程代码执行.
发现的过程如下:Google工程师发现他们的ssh客户端每次试图连接到一个特别的主机时都会段错误,通过深入的分析和与REDHAT工程师的合作.发现了这段2008年引入的错误代码。与2015年的Glibc的GHOST漏洞所在函数gethostbyname不同,这次的问题出在getaddrinfo函数.
B.成因和攻击界面
网络攻击界面[......]
本文对历史上的微软IE 浏览器的影响较大0day做了梳理，讨论了IE漏洞在攻击防御技术上的进化，以及记录了此类漏洞前人们在历史上遗留下来的对抗经验和足迹。在IE浏览器攻防已经白热化的进入到第三个阶段的时候笔者才进入到IE浏览器攻防方面的研究学习。此时代号’Project Spartan’的微软的Edge浏览器从IE11手中接过windows默认浏览器的重担，使得服役将近20年的IE浏览器定格11这个历史的大版本号上面，自觉对IE浏览器漏洞的历史研究应有一篇简记，可供后来的初入行的安全研究者有所参考，故成此文，疏漏之处再所难免，敬请指正。
更新记录
2016年01月08日 – 撰写初[......]
2015 年 12 月 23 日，乌克兰电力网络受到黑客攻击，导致伊万诺-弗兰科夫斯克州数十万户大停电，1 个月后，安全专家表示，证实这起停电是遭到黑客以恶意软件攻击电网所造成，2016 年 1 月 4 日时，安全公司 iSight Partners 宣布已经取得用来造成该起大停电的恶意程序码，由于过去从来未曾有黑客攻击造成电网大规模停电的纪录，iSight Partners 认为这起攻击是电网资安史上的里程碑。
本次APT的攻击路径为
Office类型的漏洞利用(CVE-2014-4114)–>邮件–>下载恶意组件Blac[......]
趋势科技杀毒软件套装windows版本中，包含一个密码管理程序，该程序也在官网提供了单独下载的连接，是一个免费的服务。默认安装最新的TRAND Micro：
图1
可以在数据安全中找到这个密码管理程序，默认就是开启的，可以看到在本地进行端口监听：
图2
监听的端口是49153，google分析中给出是49155，看来这个端口应该是在一个范围内。这个服务是node.js开发的http server程序，在这个url处存在任意命令执行漏洞：