钻研人员发现可绕过Windows Hello登录的安全缝隙

颁布功夫 2023-11-24
1、、钻研人员发现可绕过Windows Hello登录的安全缝隙


据媒体11月22日报道，，钻研人员发现了多个缝隙，，可用来绕过Dell Inspiron 15、、Lenovo ThinkPad T14和Microsoft Surface Pro X笔记本电脑上的Windows Hello身份验证。所有测试的指纹传感器都是Match-on-Chip (MoC)传感器，，固然MoC传感器能够阻止将存储的指纹数据重放到主机进行匹配，，但它们自身并不能阻止恶意传感器仿照合法传感器与主机进行通讯。这可能会谬误地显示用户身份验证成功，，或重放之前的主机和传感器之间的流量。为此，，微软开发了安全设备衔接和谈（SDCP），，但钻研人员还是利用MiTM攻击成功绕过了Windows Hello身份验证。


https://thehackernews.com/2023/11/new-flaws-in-fingerprint-sensors-let.html


2、、韩国IT公司TmaxSoft配置谬误超过5000万笔纪录泄露


据11月22日报道，，韩国IT公司TmaxSoft约2TB的数据已公开超过两年。钻研人员早在今年1月就发现了一个露出的Kibana节制面板，，并指出这组数据于2021年6月初次被发现。数据库总共有超过5600万笔纪录，，蕴含员工姓名和电话、、雇佣合同号、、发送的附件和二进制文件的元数据等。不幸的是，，该公司尚未对此事做出回复，，并且蕴含大量数据的节制面板依然处于公开状态。


https://securityaffairs.com/154567/data-breach/tmaxsoft-leaks-2tb-of-data.html


3、、微软披露Diamond Sleet利用CyberLink的供给链攻击


微软在11月22日披露了朝鲜黑客团伙Diamond Sleet(ZINC)提议的供给链攻击。钻研人员在10月20日观察到了这次可疑活动，，它对中国台湾多媒体软件公司CyberLink开发的利用法式进行木马化。恶意文件使用CyberLink宣告的有效证书进行署名，，托管在该公司占有的合法的更新基础设施上。迄今为止，，该恶意活动已影响多个国度/地域的100多台设备，，蕴含日本、、中国台湾、、加拿大和美国。


https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/


4、、Blender泄漏持续的DDoS攻击导致其服务器宕机数日


媒体11月22日称，，Blender泄漏最近的网站服务中断是持续的DDoS攻击导致的。该项目团队暗示，，自11月18日以来，，blender.org服务器就遭到DDoS攻击，，其服务器因要求过载而宕机。即便在攻击者暂停攻击的时辰，，Blender的基础设施依然因大量待处置的合法要求而过载。最终，，在经历了4天的持续中断后，，该团队将其主网站转移到了CloudFlare上，，这削减攻击的影响。Blender分享的统计数据显示，，攻击仍在持续，，针对该项目服务器的虚伪要求超过2.4亿次。


https://www.bleepingcomputer.com/news/security/open-source-blender-project-battling-ddos-attacks-since-saturday/


5、、Akamai颁布新僵尸网络InfectedSlurs的分析汇报


11月21日，，Akamai颁布基于Mirai的新僵尸网络InfectedSlurs的分析汇报。InfectedSlurs一向在利用两个RCE缝隙来习染路由器和录像机(NVR)设备，，钻研人员于今年10月发现了该僵尸网络，，并以为它至少从2022年起就一向活跃。它是JenX Mirai的变体，，由于在C2域和硬编码字符串中使用攻击性说话而得名。其C2基础设施相对集中，，似乎也支持hailBot的运行。该公司没有泄漏受影响供给商的名称，，但供给商承诺将于12月颁布安全更新。


https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days


6、、Kaspersky颁布2024年消费者网络威胁的预测汇报


11月23日，，Kaspersky颁布了关于2024年消费者网络威胁态势的预测汇报。钻研人员对2024年做出了瞻望，，蕴含更多慈悲有关的诳骗即将来临、、网上商店将与慈悲机构的合作、、互联网划分更细、、VPN服务呈上升趋向、、安全性高于用户舒服度将催生新的安全问题、、网络攻击者将针对P2E、、开发通用的Deepfake查抄工具、、语音Deepfake事务增多以及以电影首映为钓饵的圈套增多等。


https://securelist.com/kaspersky-security-bulletin-consumer-threats-2024/111135/