Checkmarx检测到多起针对银行的开源软件供给链攻击

颁布功夫 2023-07-25

1 、、、Checkmarx检测到多起针对银行的开源软件供给链攻击


Checkmarx在7月21日称其检测到多起针对银行的开源软件供给链（OSS）攻击。。第一次攻击产生于4月上旬，，攻击者假意指标银行员工，，利用NPM平台上传了几个软件包，，其中蕴含预装置剧本，，可在装置时执行恶意活动。� ；；估肁zure的CDN子域来分发第二阶段的payload Havoc，，这是一个C2框架。。在2月份检测到的针对银行的另一次攻击中，，攻击者也上传了一个恶意npm包，，旨在拦截登录数据并将其发送给攻击者。。目前，，钻研人员已经汇报并删除了这些恶意开源软件包。。


https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/


2 、、、Apple更新修复已被利用的内核缝隙CVE-2023-38606 


据媒体7月24日报道，，Apple颁布了安全更新，，以修复针对iPhone 、、、Mac和iPad的攻击中被利用的缝隙。。这是一个内核缝隙（CVE-2023-38606），，可能被用来篡改敏感的内核状态，，可能已在iOS 15.7.1之前颁布的iOS版本中被积极利用。。Kaspersky暗示，，CVE-2023-38606是零点击缝隙利用链的一部门，，用于通过iMessage缝隙在iPhone上装置间谍软件Triangulation。。这是Apple在今年修复的第十一个已被利用的零日缝隙。。


https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/


3 、、、Clop利用MOVEit缝隙的攻击预估获利7500万至1亿美元


Coveware在7月21日泄漏，，Clop利用MOVEit缝隙的大规模数据窃取活动预计获利高达7500万至1亿美元。。在2023年Q2，，交赎金的被攻击指标的数量已降至34%，，创下汗青新低，，导致勒索团伙扭转战术以钻营更高的利润。。Coveware暗示，，Clop已经扭转了战术，，勒索更高的赎金，，但愿通过几笔大额付款来克服整体降落的情况。。此外，，复杂性和自动化水平低的勒索攻击的影响和成本最小。。


https://www.coveware.com/blog/2023/7/21/ransom-monetization-rates-fall-to-record-low-despite-jump-in-average-ransom-payments


4 、、、钻研人员披露OpenMeetings可劫持治理员帐户的缝隙


据7月21日报道，，钻研人员披露了Apache OpenMeetings中的3个缝隙的细节。。这些缝隙别离为弱哈希比力缝隙（CVE-2023-28936） 、、、通过约请哈希进行无限度接见的缝隙（CVE-2023-29023）以及空字节注入缝隙(CVE-2023-29246），，可被自行注册用户（默认启用）用来劫持治理员帐户并远程执行肆意代码。。目前，，这些缝隙已在Apache OpenMeetings 7.1.0版本中修复。。


https://www.securityweek.com/openmeetings-flaws-allow-hackers-to-hijack-instances-execute-code-on-servers/


5 、、、AhnLab发现通过MS-SQL服务器分发PurpleFox的活动


7月24日，，AhnLab称其发现了通过治理不善的MS-SQL服务器分发PurpleFox的活动。。攻击首先通过sqlservr.exe执行PowerShell，，这是一个与MS-SQL服务器有关的过程。。当执行上述PowerShell时，，将下载并加载另一个经过混合的PowerShell。。其中蕴含一个攻击者开发的函数MsiMake，，可下载一个MSI文件。。MSI包更改注册表项以实现悠久性和权限提升。。最后，，MSI包会尝试重启系统，，接着SENS服务会被执行，，从而激活恶意软件。。


https://asec.ahnlab.com/en/55492/


6 、、、IBM颁布关于2023年数据泄露成本的分析汇报


7月24日，，IBM颁布关于2023年数据泄露成本的分析汇报。。该汇报对553个组织的数据泄露情况进行了分析，，钻研的违规事务产生在2022年3月至2023年3月。。最新钻研显示，，数据泄露成本持续增长，，全球均匀成本高达445万美元，，三年内增长了15%。。医疗保健行业的成本位居榜首，，陆续13年成为成本最高的行业。。汇报指出，，安全人为智能和自动化 、、、DevSecOps步骤和IR打算在节俭成本方面阐扬了主导作用 ；；人为智能和ASM加快了违规事务的鉴别和遏制 ；；当数据存储在多个环境中时，，成本很高，，并且必要更长功夫能力遏制违规事务 ；；占有发现违规事务的内部团队的组织在节制成本方面阐发得更好。。


https://securityintelligence.com/posts/whats-new-2023-cost-of-a-data-breach-report/