《维他命》逐日安全简讯20180730

颁布功夫 2018-07-30
【缝隙补丁】LifeLock官网存在缝隙 ，可导致数百万用户的电子邮件地址泄露


钻研人员Nathan Reese发现身份偷窃�；す綥ifeLock的网站存在安全缝隙 ，可导致数百万用户的电子邮件地址泄露。Reese称可通过批改URL地址中的陆续数字参数subscriberkey的方式 ，编写剧本获取每一个LifeLock用户的电子邮件地址。凭据2017年1月的数据 ，LifeLock的用户数量超过了450万。攻击者可能利用这些信息提议有针对性的网络垂钓攻击。LifeLock已经在该网站上建复了此缝隙。


原文链接：https://krebsonsecurity.com/2018/07/lifelock-bug-exposed-millions-of-customer-email-addresses/


【缝隙补丁】安全钻研人员发现Swann家用摄像机存在安全缝隙


钻研人员发现Swann IoT摄像头存在安全缝隙 ，可允许攻击者查看和接见其它用户的视频流。该摄像头的云服务是由Ozvision提供的 ，当用户通过Safe by Swann登录系统时 ，会向服务器发出要求（userListAssets） ，服务器将返回与账户有关联的设备列表。钻研人员发现通过批改序列号参数能够接见其它用户的视频流。Swann已经建复了该缝隙。


原文链接：https://securityaffairs.co/wordpress/74868/hacking/swann-camera-hacking.html


【威胁谍报】安全钻研人员发现多个用于推送告白软件的恶意网站


法国钻研人员Ivan Kwiatkowski发现多个假装成合法网站的垂钓网站 ，这些垂钓网站试图向用户推送告白软件InstallCore。例如 ，恶意网站keepass.fr（合法网站的域名是keepass.info）上提供的KeePass版本绑缚了告白软件InstallCore。钻研人员共发现了数十个此类网站 ，蕴含7Zip、Filezilla和AdBlock垂钓网站等。所有的域名都是由统一个电子邮件地址注册的。大无数域名都注册在.fr或.es TLD下。


原文链接：https://www.bleepingcomputer.com/news/security/fake-websites-for-keepass-7zip-audacity-others-found-pushing-adware/


【威胁谍报】Google从Chrome商店中谬误删除Metamask官方插件 ，或导致垂钓风险


Google从Chrome商店中谬误地删除了以太坊钱包Metamask的官方插件 ，但保留了一个虚伪插件。该虚伪插件试牟利用Metamask的名称和品牌来推广自己 ，凭据Brave浏览器开发人员Jonathan Sampson的说法 ，该插件使用了之前在网络垂钓活动中使用的电子邮件地址 ，因而这很可能是一个恶意插件。几个幼时之后Google建改了其行为 ，删除了该虚伪插件并复原了官方的插件。

原文链接：https://www.bleepingcomputer.com/news/cryptocurrency/google-removes-real-ethereum-wallet-from-web-store-but-leaves-fake-one-alone/


【威胁谍报】钻研团队发现俄APT28试图针对美参议员的垂钓攻击活动


钻研人员发现俄罗斯APT组织Fancy Bear（又被称为APT28）试图针对美参议员Claire McCaskill及其工作人员的垂钓攻击活动。McCaskill在为其2018年的蝉联竞选做筹备。凭据The Daily Beast的报路 ，攻击者通过主题为批改Microsoft Exchange密码的网络垂钓邮件 ，试图窃取该议员及其工作人员的痛处。

原文链接：https://securityaffairs.co/wordpress/74843/cyber-warfare-2/apt28-targeted-senator-mccaskill.html


【攻击事务】爱达荷州364名囚犯入侵JPay平板电脑 ，共窃取约22.5万美元的数字信贷


凭据美国爱达荷州本地官员的说法 ，共有364名囚犯入侵了监狱JPay平板电脑的系统 ，为各自的账户充入了大量的信誉额度 ，计算将近22.5万美元。在这些囚犯中 ，有50报答自己充值的金额超过1000美元 ，最高的一位充入了将近1万美元。囚犯利用这些信誉额度来采办游戏、音乐和电子邮箱服务。目前该公司已建复了平板电脑上的缝隙。

原文链接：https://www.bleepingcomputer.com/news/security/364-idaho-inmates-hacked-their-prison-tablets-for-free-credits/