钻研人员发现HTTP/2 新型计时侧信道攻击方式；Google统计上半年已披露11个在野利用0day

颁布功夫 2020-08-03

1.钻研人员发现HTTP/2 新型计时侧信道攻击方式


OG东方厅·(中国大陆)


DistriNet钻研小组和纽约大学阿布扎比分校的钻研人员发现了一种新的HTTP/2 计时侧信道攻击方式，，并定名为无时限按时攻击（Timeless Timing Attacks，，TTA）。。这种攻击方式是利用网络和谈的多路复用和利用法式的并发执行，，从而不受网络前提的影响。。与传统的基于功夫的攻击分歧，，TTA执行功夫是按挨次独立丈量的，，其尝试从两个并发执行的要求的挨次和相对功夫差距中提守信息，，而不依赖于任何功夫信息。。该钻研了局将在今年下半年在USENIX安全钻研会上颁发，，同时还颁布基于Python的工具，，以测试HTTP / 2服务器的TTA缝隙。。


原文链接：：

https://thehackernews.com/2020/07/http2-timing-side-channel-attacks.html    


2.Google Play商店存在29款恶意照片处置当用


OG东方厅·(中国大陆)


WhiteOps Satori威胁谍报团队发现，，Google Play商店存在29款恶意照片处置当用。。这些利用针对Android用户分发告白软件，，并绕过安全查抄，，WhiteOps将该个活动定名为CHARTREUSEBLUR。。这些告白软件的名称中都带有BLUR一词，，其仿照了照片编纂工具来�：：枷�，，但现实上有很多恶意属性，，例如，，它装置到指标设备后暗藏利用图标。。钻研人员对利用法式的混合代码进前进一步分析后，，发现该利用法式使用了三阶段有效负载演变。。这些利用的下载量总计约为350万，，目前Google已将其删除。。


原文链接：：

https://latesthackingnews.com/2020/08/01/numerous-malicious-photo-blur-apps-appeared-on-play-store/


3.Drizly公司遭黑客攻击，，泄露250万客户PII


OG东方厅·(中国大陆)


酒类配送公司Drizly遭到黑客攻击，，泄露250万客户PII。。该公司称，，其遭到了网络攻击，，有未经授权的第三方接见了其客户的小我信息，，蕴含电子邮件地址、、生日、、bcrypt加密的密码以及送货地址。。HaveIBeenPwned则称，，这次泄露的信息还蕴含客户名称和IP地址，，并且可能影响了约莫250万个用户。。Drizly暗示，，在这次事务中并没有财政数据泄露，，而他们已对此事发展调查。。


原文链接：：

https://www.infosecurity-magazine.com/news/drizly-breach-hits-25-million/


4.Google统计，，今年上半年已披露11个在野利用0day


OG东方厅·(中国大陆)


Google的Project Zero安全团队统计发现，，今年上半年已披露11个在野利用0day。。其中Firefox（CVE-2019-17026）和Internet Explorer（CVE-2020-0674）均已被民族国度黑客组织DarkHotel利用，，此外还有Chrome（CVE-2020-6418），，趋向科技防毒墙网络版（CVE-2020-8467和CVE-2020-8468）是趋向科技调查三菱电机事务时发现的，， Firefox（CVE-2020-6819和CVE-2020-6820）或已被利用，，CVE-2020-0938、、CVE-2020-1020和CVE-2020-1027的具体信息尚未颁布，，Sophos XG防火墙（CVE 2020-12271）已被利用部署勒索软件。。


原文链接：：

https://www.zdnet.com/article/google-eleven-zero-days-detected-in-the-wild-in-the-first-half-of-2020/#ftag=RSSbaffb68


5.钻研团队颁布网络垂钓情况及交互方式的汇报


OG东方厅·(中国大陆)


来自Google、、PayPal、、三星和亚利桑那州立大学的安全钻研人员组成的团队耗时整整一年，，分析了网络垂钓的情况以及用户与网络垂钓页面的交互方式，，该项目分析了22553707个用户对404628个网络垂钓页面的接见。。汇报暗示，，均匀网络垂钓攻击功夫为21小时，，有7.42％的受害者最终输了入痛处并导致账户泄露或诓骗。。钻研人员暗示，，一些攻击活动会持续活跃长达9个月，，其利用现成的垂钓工具，，可攻击成千上万的受害者。。


原文链接：：

https://www.zdnet.com/article/phishing-campaigns-from-first-to-last-victim-take-21h-on-average/#ftag=RSSbaffb68


6.FireEye颁布针对Office 365的攻击的分析汇报


OG东方厅·(中国大陆)


FireEye颁布了office365攻击透视及Mandiant治理防务调查的汇报。。其针对Office 365 BEC攻击，，提供了有关Microsoft云出产力套件及对钻研人员至关重要的各类日志和数据源。。此外，，还介绍了在响应BEC时常见的攻击者战术，，并深刻诠氏缢Mandiant托管防御分析师若何使用PowerShell和FireEye Helix平台在客户那里进行这些调查。。


原文链接：：

https://www.fireeye.com/blog/threat-research/2020/07/insights-into-office-365-attacks-and-how-managed-defense-investigates.html