微软颁布垂危更新，建复Office和Paint 3D中多个缝隙；美国SBA官网存在缝隙泄露8000家企业的敏感信息
颁布功夫 2020-04-241.微软颁布垂危更新，建复Office和Paint 3D中多个缝隙
Microsoft颁布了垂危安全更新，以建复使用了Autodesk FBX库的Microsoft产品，蕴含多个版本的Microsoft Office和Windows 10利用法式Paint 3D。本次建复的缝隙为FBX库中的远程执行代码缝隙，攻击者利用此缝隙能够获得与本地用户一样的权限，Autodesk在4月15日推出了针对此缝隙的补丁法式。Microsoft暗示，黑客必须诱使用户打开其特造的3D文件能力够成功利用此缝隙，因而，在安全更新之前用户必要远离那些可疑文件以保障安全。
原文链接：
https://news.softpedia.com/news/microsoft-releases-emergency-update-for-windows-10-app-microsoft-office-529800.shtml
2.美国SBA官网存在缝隙泄露8000家企业的敏感信息
美国幼型企业治理局（SBA）官网存在缝隙，泄露了8000家企业的敏感信息，将导致其掌管的经济中伤苦难贷款（EIDL）的分发延长。这次数据泄露是由于当部门署网站时存在问题，导致用户在申请贷款的页面尝试后退时，便能够看到其他企业的信息。泄露的数据蕴含姓名、社会安全号码、税号、地址、诞生日期、电子邮件、电话号码、婚姻和公民关系、家庭人数、收入、披露查问以及金融和保险信息。新闻媒体CNBC暗示，当局为了赔偿受到影响的企业，将为其提供为期一年的身份偷窃�；し�。
原文链接：
https://threatpost.com/small-businesses-covid-19-loans-data-exposure/155013/
3.英国电商Robert Dyas遭攻击，约2万客户支付信息被窃
3月7日至30日，英国电商公司Robert Dyas的网站遭到信誉卡窃取恶意剧本的攻击，泄露了该公司约2万名客户的支付信息，蕴含客户姓名、地址、信誉卡卡号、有效期和安全代码（CVV）等� Ｄ芄蝗沸诺氖钦獯喂セ魑庞ㄇ匀《褚馊砑セ�，但由于信息不及目前无法确定该恶意软件是否为Magecart。这类攻击通常是针对供给链的，通过粉碎支付页面中的第三方网站将恶意Javascript注入到付款页面中。Robert Dyas公司暗示，自3月30日发现攻击后，他们第一功夫采取了措施，并保障自3月31日起网站便能够安全运行。
原文链接：
https://www.theregister.co.uk/2020/04/22/robert_dyas_card_skimmer/
4.Tag Barnakle入窃祗业告白服务器Revive传布恶意告白
据告白安全公司Confiant报路，Tag Barnakle黑客组织入对准了企业的开源自托管告白服务器Revive以传布恶意告白，近几个月已经有几十台服务器被攻击，蕴含那些颁布商和告白公司自营的告白服务器。Tag Barnakle团伙是通过向网站注入恶意JavaScript代码实现攻击的，这些代码能够检测指标机械是否打开了Firebug或浏览器的开发人员节造台，若是未打开，则将用户沉定向到分发虚伪Adobe Flash更新的恶意网站。Confiant调查发现Tag Barnakle攻击了超过360个网站。
原文链接：
https://www.bleepingcomputer.com/news/security/revive-ad-servers-being-hacked-to-distribute-malicious-ads/
5.钻研人员发现3款智能家居系统存在多个安全缝隙
ESET IoT Research钻研人员在3款分歧的智能家居系统Fibaro Home Center Lite、Homematic Central Control Unit (CCU2) 和 eLAN-RF-003中发现了多个安全缝隙，这些缝隙可能导致敏感数据泄露、远程代码执行和中央人攻击等。Fibaro产品由于短缺证书验证使得其TLS链接容易受到中央人攻击，从而使攻击者获得root用户接见权限。eQ?3的产品CCU2存在RCE缝隙，使攻击者能够通过大量shell号令来利用RCE缝隙，以root用户身份执行未经身份验证的远程代码。ELKO EP的产品eLAN-RF-003 由于存在一些缝隙，导致其存在敏感信息泄漏、易受纪录和沉放攻击的问题。ESET IoT Research暗示，几家设备造作商均在接受汇报后的90天内建复了这些缝隙。
原文链接：
https://www.welivesecurity.com/2020/04/22/serious-flaws-smart-home-hubs-is-your-device-among-them/
6.黑客利用Google的.app gTLD垂钓攻击，窃取用户Skype凭证
Cofense网络安全公司发现黑客通过由Google治理的.APP通用顶级域（gTLD）对远程工作人员提议了网络垂钓攻击，以窃取其Skype凭证。黑客精心设计了网络垂钓页面及其链接，通过使用Google的.APP通用顶级域（gTLD）中的链接进行初始沉定向，使其指向伪造的网络垂钓页面。黑客使用了.APP gTLD成功的绕过网络垂钓邮件的检测，并且在伪造页面上显示了受害者公司的徽标和安全提醒，使得这次攻击看起来越发真实。
原文链接：
https://www.bleepingcomputer.com/news/security/creative-skype-phishing-campaign-uses-googles-app-gtld/
京公网安备11010802024551号