《维他命》逐日安全简讯20180730

颁布功夫 2018-07-30
【缝隙补丁】LifeLock官网存在缝隙，可导致数百万用户的电子邮件地址泄露


钻研人员Nathan Reese发现身份偷窃� ；す綥ifeLock的网站存在安全缝隙，可导致数百万用户的电子邮件地址泄露 。Reese称可通过批改URL地址中的陆续数字参数subscriberkey的方式，编写剧本获取每一个LifeLock用户的电子邮件地址 。凭据2017年1月的数据，LifeLock的用户数量超过了450万 。攻击者可能利用这些信息提议有针对性的网络垂钓攻击 。LifeLock已经在该网站上建复了此缝隙 。


原文链接：https://krebsonsecurity.com/2018/07/lifelock-bug-exposed-millions-of-customer-email-addresses/


【缝隙补丁】安全钻研人员发现Swann家用摄像机存在安全缝隙


钻研人员发现Swann IoT摄像头存在安全缝隙，可允许攻击者查看和接见其它用户的视频流 。该摄像头的云服务是由Ozvision提供的，当用户通过Safe by Swann登录系统时，会向服务器发出要求（userListAssets），服务器将返回与账户有关联的设备列表 。钻研人员发现通过批改序列号参数能够接见其它用户的视频流 。Swann已经建复了该缝隙 。


原文链接：https://securityaffairs.co/wordpress/74868/hacking/swann-camera-hacking.html


【威胁谍报】安全钻研人员发现多个用于推送告白软件的恶意网站


法国钻研人员Ivan Kwiatkowski发现多个假装成合法网站的垂钓网站，这些垂钓网站试图向用户推送告白软件InstallCore 。例如，恶意网站keepass.fr（合法网站的域名是keepass.info）上提供的KeePass版本绑缚了告白软件InstallCore 。钻研人员共发现了数十个此类网站，蕴含7Zip、Filezilla和AdBlock垂钓网站等 。所有的域名都是由统一个电子邮件地址注册的 。大无数域名都注册在.fr或.es TLD下 。


原文链接：https://www.bleepingcomputer.com/news/security/fake-websites-for-keepass-7zip-audacity-others-found-pushing-adware/


【威胁谍报】Google从Chrome商店中谬误删除Metamask官方插件，或导致垂钓风险


Google从Chrome商店中谬误地删除了以太坊钱包Metamask的官方插件，但保留了一个虚伪插件 。该虚伪插件试牟利用Metamask的名称和品牌来推广自己，凭据Brave浏览器开发人员Jonathan Sampson的说法，该插件使用了之前在网络垂钓活动中使用的电子邮件地址，因而这很可能是一个恶意插件 。几个幼时之后Google建改了其行为，删除了该虚伪插件并复原了官方的插件 。

原文链接：https://www.bleepingcomputer.com/news/cryptocurrency/google-removes-real-ethereum-wallet-from-web-store-but-leaves-fake-one-alone/


【威胁谍报】钻研团队发现俄APT28试图针对美参议员的垂钓攻击活动


钻研人员发现俄罗斯APT组织Fancy Bear（又被称为APT28）试图针对美参议员Claire McCaskill及其工作人员的垂钓攻击活动 。McCaskill在为其2018年的蝉联竞选做筹备 。凭据The Daily Beast的报路，攻击者通过主题为批改Microsoft Exchange密码的网络垂钓邮件，试图窃取该议员及其工作人员的痛处 。

原文链接：https://securityaffairs.co/wordpress/74843/cyber-warfare-2/apt28-targeted-senator-mccaskill.html


【攻击事务】爱达荷州364名囚犯入侵JPay平板电脑，共窃取约22.5万美元的数字信贷


凭据美国爱达荷州本地官员的说法，共有364名囚犯入侵了监狱JPay平板电脑的系统，为各自的账户充入了大量的信誉额度，计算将近22.5万美元 。在这些囚犯中，有50报答自己充值的金额超过1000美元，最高的一位充入了将近1万美元 。囚犯利用这些信誉额度来采办游戏、音乐和电子邮箱服务 。目前该公司已建复了平板电脑上的缝隙 。

原文链接：https://www.bleepingcomputer.com/news/security/364-idaho-inmates-hacked-their-prison-tablets-for-free-credits/