钻研人员发现HTTP/2 新型计时侧信路攻击方式；Google统计上半年已披露11个在野利用0day
颁布功夫 2020-08-031.钻研人员发现HTTP/2 新型计时侧信路攻击方式
DistriNet钻研幼组和纽约大学阿布扎比分校的钻研人员发现了一种新的HTTP/2 计时侧信路攻击方式，并定名为无时限按时攻击（Timeless Timing Attacks，TTA） 。这种攻击方式是利用网络和谈的多路复用和利用法式的并发执行，从而不受网络前提的影响 。与传统的基于功夫的攻击分歧，TTA执行功夫是按挨次独立丈量的，其尝试从两个并发执行的要求的挨次和相对功夫差距中提守信息，而不依赖于任何功夫信息 。该钻研了局将在今年下半年在USENIX安全钻研会上颁发，同时还颁布基于Python的工具，以测试HTTP / 2服务器的TTA缝隙 。
原文链接：
https://thehackernews.com/2020/07/http2-timing-side-channel-attacks.html
2.Google Play商店存在29款恶意照片处置当用
WhiteOps Satori威胁谍报团队发现，Google Play商店存在29款恶意照片处置当用 。这些利用针对Android用户分发告白软件，并绕过安全查抄，WhiteOps将该个活动定名为CHARTREUSEBLUR 。这些告白软件的名称中都带有BLUR一词，其仿照了照片编纂工具来吞吐图像，但现实上有很多恶意属性，例如，它装置到指标设备后暗藏利用图标 。钻研人员对利用法式的混合代码进前进一步分析后，发现该利用法式使用了三阶段有效负载演变 。这些利用的下载量总计约为350万，目前Google已将其删除 。
原文链接：
https://latesthackingnews.com/2020/08/01/numerous-malicious-photo-blur-apps-appeared-on-play-store/
3.Drizly公司遭黑客攻击，泄露250万客户PII
酒类配送公司Drizly遭到黑客攻击，泄露250万客户PII 。该公司称，其遭到了网络攻击，有未经授权的第三方接见了其客户的幼我信息，蕴含电子邮件地址、生日、bcrypt加密的密码以及送货地址 。HaveIBeenPwned则称，这次泄露的信息还蕴含客户名称和IP地址，并且可能影响了约莫250万个用户 。Drizly暗示，在这次事务中并没有财政数据泄露，而他们已对此事发展调查 。
原文链接：
https://www.infosecurity-magazine.com/news/drizly-breach-hits-25-million/
4.Google统计，今年上半年已披露11个在野利用0day
Google的Project Zero安全团队统计发现，今年上半年已披露11个在野利用0day 。其中Firefox（CVE-2019-17026）和Internet Explorer（CVE-2020-0674）均已被民族国度黑客组织DarkHotel利用，此表还有Chrome（CVE-2020-6418），趋向科技防毒墙网络版（CVE-2020-8467和CVE-2020-8468）是趋向科技调查三菱电机事务时发现的， Firefox（CVE-2020-6819和CVE-2020-6820）或已被利用，CVE-2020-0938、CVE-2020-1020和CVE-2020-1027的具体信息尚未颁布，Sophos XG防火墙（CVE 2020-12271）已被利用部署勒索软件 。
原文链接：
https://www.zdnet.com/article/google-eleven-zero-days-detected-in-the-wild-in-the-first-half-of-2020/#ftag=RSSbaffb68
5.钻研团队颁布网络垂钓情况及交互方式的汇报
来自Google、PayPal、三星和亚利桑那州立大学的安全钻研人员组成的团队耗使佧整一年，分析了网络垂钓的情况以及用户与网络垂钓页面的交互方式，该项目分析了22553707个用户对404628个网络垂钓页面的接见 。汇报暗示，均匀网络垂钓攻击功夫为21幼时，有7.42％的受害者最终输了入痛处并导致账户泄露或诓骗 。钻研人员暗示，一些攻击活动会持续活跃长达9个月，其利用现成的垂钓工具，可攻击成千上万的受害者 。
原文链接：
https://www.zdnet.com/article/phishing-campaigns-from-first-to-last-victim-take-21h-on-average/#ftag=RSSbaffb68
6.FireEye颁布针对Office 365的攻击的分析汇报
FireEye颁布了office365攻击透视及Mandiant治理防务调查的汇报 。其针对Office 365 BEC攻击，提供了有关Microsoft云出产力套件及对钻研人员至关沉要的各类日志和数据源 。此表，还介绍了在响应BEC时常见的攻击者战术，并深刻诠氏缢Mandiant托管防御分析师若何使用PowerShell和FireEye Helix平台在客户那里进行这些调查 。
原文链接：
https://www.fireeye.com/blog/threat-research/2020/07/insights-into-office-365-attacks-and-how-managed-defense-investigates.html
京公网安备11010802024551号