钻研人员披露AWS中利用AppSync的跨租户缝隙的详情
颁布功夫 2022-11-301、、钻研人员披露AWS中利用AppSync的跨租户缝隙的详情
据11月28日报道，钻研人员披露了Amazon Web Services中的跨租户缝隙，攻击者能够利用该缝隙获得对资源未经授权的接见。该缝隙与混合代理问题有关，是一种提权缝隙。这种攻击利用了AppSync服务来承担其他AWS账户中的IAM角色，这使得攻击者可能进入到指标组织中并接见这些账户中的资源。钻研人员于2022年9月1日汇报了该问题，AWS于9月6日修复了该缝隙。
https://thehackernews.com/2022/11/researchers-detail-appsync-cross-tenant.html
2、、Checkmarx发现利用TikTok挑战来分发恶意软件的活动
Checkmarx在11月28日称其发现了利用TikTok“隐形挑战”分发恶意软件的活动。该挑战要求用户使用TikTok的“身段隐形”滤镜拍摄裸体，该滤镜会从视频中移除身段部门并用�：：：季叭〈�。攻击者制作了TikTok视频，宣称能够提供一种特殊的过滤器，解除TikTok的“身段隐形”成效。然而，该软件会装置WASP Stealer，它可能窃取存储在浏览器、、加密钱币钱包中的Discord帐户、、密码和信誉卡，甚至是指标推算机中的文件。
https://checkmarx.com/blog/attacker-uses-a-popular-tiktok-challenge-to-lure-users-into-installing-malicious-package/
3、、BianLian团伙颁布从加拿大Harry Rosen窃取的1GB数据
据媒体11月25日报道，加拿大男装连锁店Harry Rosen遭到了网络攻击。该公司尚未泄漏攻击类型，以及是否影响了公司的运营。BianLian宣称对这次攻击掌管，并颁布了一个1 GB的文件作为攻击的证据，其中蕴含Harry Rosen的Gold+客户列表、、销售信息和各类其它类型的文件。BianLian于8月份初次被发现，勒索软件是用Go说话为Windows系统开发的，其初始接见可能是通过Windows ProxyShell缝隙或SonicWall VPN固件缝隙获得的。
https://www.itworldcanada.com/article/canadian-menswear-chain-harry-rosen-confirms-cyber-attack/515325
4、、假冒的SMS利用Symoo充任帐户创建服务的SMS中继
媒体11月28日称，在Google Play商店中100000次下载量的假冒Android SMS利用，奥秘地充任Microsoft、、Google、、Instagram、、Telegram和Facebook等网站的帐户创建服务的SMS中继。钻研人员暗示，被习染的设备随后会作为“虚构号码”出租，用于在创建新账户时转发验证用户的一次性密码。固然未经证实，但据信Symoo利用用于接管和转发使用ActivationPW创建帐户时天生的OTP验证码。目前，该利用仍在Google Play上可用。
https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/
5、、Group-IB发现多起针对2022年FIFA世界杯的垂钓活动
11月29日，Group-IB泄漏其发现多起针对卡塔尔2022年FIFA世界杯门票、、官方商品和工作的诳骗和垂钓攻击。钻研人员在卡塔尔2022年官方球迷ID门户网站Hayya上发现了90多个可能遭到入侵的账户，这是为世界杯观众成立的强制性系统，能够进入卡塔尔并获得门票和交通等服务。据调查，攻击者利用RedLine和Erbium等信息窃取恶意软件获得了这些账户的密码。此外，Group-IB还确定了4种分歧的诳骗和垂钓攻击海潮，以及大量可从Google Play商店下载的虚伪利用。
https://www.group-ib.com/media-center/press-releases/scammers-on-the-pitch/
6、、Kaspersky颁布2023年关于消费者的威胁的预测汇报
11月28日，Kaspersky颁布了2023年关于消费者的威胁的预测汇报。汇报指出，在游戏和流媒体服务方面，用户将面对更多的游戏订阅诓骗、、游戏机的欠缺将被利用、、攻击者将必要游戏中的虚构钱币、、攻击者会利用等待已久的游戏，以及流媒体仍将是攻击者取之不尽的收入起源；；在社交媒体和元宇宙方面，新的社交媒体将带来更多的隐衷风险和元宇宙的开发带来的风险；；来自生理健康利用法式的数据将用于精确定位的社会工程攻击；；以及，在线教育平台将吸引更多犯罪活动等。
https://securelist.com/consumer-threats-2023/108112/
据11月28日报道，钻研人员披露了Amazon Web Services中的跨租户缝隙，攻击者能够利用该缝隙获得对资源未经授权的接见。该缝隙与混合代理问题有关，是一种提权缝隙。这种攻击利用了AppSync服务来承担其他AWS账户中的IAM角色，这使得攻击者可能进入到指标组织中并接见这些账户中的资源。钻研人员于2022年9月1日汇报了该问题，AWS于9月6日修复了该缝隙。
https://thehackernews.com/2022/11/researchers-detail-appsync-cross-tenant.html
2、、Checkmarx发现利用TikTok挑战来分发恶意软件的活动
Checkmarx在11月28日称其发现了利用TikTok“隐形挑战”分发恶意软件的活动。该挑战要求用户使用TikTok的“身段隐形”滤镜拍摄裸体，该滤镜会从视频中移除身段部门并用�：：：季叭〈�。攻击者制作了TikTok视频，宣称能够提供一种特殊的过滤器，解除TikTok的“身段隐形”成效。然而，该软件会装置WASP Stealer，它可能窃取存储在浏览器、、加密钱币钱包中的Discord帐户、、密码和信誉卡，甚至是指标推算机中的文件。
https://checkmarx.com/blog/attacker-uses-a-popular-tiktok-challenge-to-lure-users-into-installing-malicious-package/
3、、BianLian团伙颁布从加拿大Harry Rosen窃取的1GB数据
据媒体11月25日报道，加拿大男装连锁店Harry Rosen遭到了网络攻击。该公司尚未泄漏攻击类型，以及是否影响了公司的运营。BianLian宣称对这次攻击掌管，并颁布了一个1 GB的文件作为攻击的证据，其中蕴含Harry Rosen的Gold+客户列表、、销售信息和各类其它类型的文件。BianLian于8月份初次被发现，勒索软件是用Go说话为Windows系统开发的，其初始接见可能是通过Windows ProxyShell缝隙或SonicWall VPN固件缝隙获得的。
https://www.itworldcanada.com/article/canadian-menswear-chain-harry-rosen-confirms-cyber-attack/515325
4、、假冒的SMS利用Symoo充任帐户创建服务的SMS中继
媒体11月28日称，在Google Play商店中100000次下载量的假冒Android SMS利用，奥秘地充任Microsoft、、Google、、Instagram、、Telegram和Facebook等网站的帐户创建服务的SMS中继。钻研人员暗示，被习染的设备随后会作为“虚构号码”出租，用于在创建新账户时转发验证用户的一次性密码。固然未经证实，但据信Symoo利用用于接管和转发使用ActivationPW创建帐户时天生的OTP验证码。目前，该利用仍在Google Play上可用。
https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/
5、、Group-IB发现多起针对2022年FIFA世界杯的垂钓活动
11月29日，Group-IB泄漏其发现多起针对卡塔尔2022年FIFA世界杯门票、、官方商品和工作的诳骗和垂钓攻击。钻研人员在卡塔尔2022年官方球迷ID门户网站Hayya上发现了90多个可能遭到入侵的账户，这是为世界杯观众成立的强制性系统，能够进入卡塔尔并获得门票和交通等服务。据调查，攻击者利用RedLine和Erbium等信息窃取恶意软件获得了这些账户的密码。此外，Group-IB还确定了4种分歧的诳骗和垂钓攻击海潮，以及大量可从Google Play商店下载的虚伪利用。
https://www.group-ib.com/media-center/press-releases/scammers-on-the-pitch/
6、、Kaspersky颁布2023年关于消费者的威胁的预测汇报
11月28日，Kaspersky颁布了2023年关于消费者的威胁的预测汇报。汇报指出，在游戏和流媒体服务方面，用户将面对更多的游戏订阅诓骗、、游戏机的欠缺将被利用、、攻击者将必要游戏中的虚构钱币、、攻击者会利用等待已久的游戏，以及流媒体仍将是攻击者取之不尽的收入起源；；在社交媒体和元宇宙方面，新的社交媒体将带来更多的隐衷风险和元宇宙的开发带来的风险；；来自生理健康利用法式的数据将用于精确定位的社会工程攻击；；以及，在线教育平台将吸引更多犯罪活动等。
https://securelist.com/consumer-threats-2023/108112/
京公网安备11010802024551号