《维他命》逐日清静简讯20180730

宣布时间 2018-07-30
【误差补丁】LifeLock官网保存误差，可导致数百万用户的电子邮件地址泄露


研究职员Nathan Reese发明身份偷窃�；す綥ifeLock的网站保存清静误差，可导致数百万用户的电子邮件地址泄露。Reese称可通过修改URL地址中的一连数字参数subscriberkey的方法，编写剧本获取每一个LifeLock用户的电子邮件地址。凭证2017年1月的数据，LifeLock的用户数目凌驾了450万。攻击者可能使用这些信息提倡有针对性的网络垂纶攻击。LifeLock已经在该网站上修复了此误差。


原文链接：https://krebsonsecurity.com/2018/07/lifelock-bug-exposed-millions-of-customer-email-addresses/


【误差补丁】清静研究职员发明Swann家用摄像机保存清静误差


研究职员发明Swann IoT摄像头保存清静误差，可允许攻击者审查和会见其它用户的视频流。该摄像头的云服务是由Ozvision提供的，当用户通过Safe by Swann登录系统时，会向服务器发出请求（userListAssets），服务器将返回与账户相关联的装备列表。研究职员发明通过修改序列号参数可以会见其它用户的视频流。Swann已经修复了该误差。


原文链接：https://securityaffairs.co/wordpress/74868/hacking/swann-camera-hacking.html


【威胁情报】清静研究职员发明多个用于推送广告软件的恶意网站


法国研究职员Ivan Kwiatkowski发明多个伪装成正当网站的垂纶网站，这些垂纶网站试图向用户推送广告软件InstallCore。例如，恶意网站keepass.fr（正当网站的域名是keepass.info）上提供的KeePass版本捆绑了广告软件InstallCore。研究职员共发明了数十个此类网站，包括7Zip、Filezilla和AdBlock垂纶网站等。所有的域名都是由统一个电子邮件地址注册的。大大都域名都注册在.fr或.es TLD下。


原文链接：https://www.bleepingcomputer.com/news/security/fake-websites-for-keepass-7zip-audacity-others-found-pushing-adware/


【威胁情报】Google从Chrome市肆中过失删除Metamask官方插件，或导致垂纶危害


Google从Chrome市肆中过失地删除了以太坊钱包Metamask的官方插件，但保存了一个虚伪插件。该虚伪插件试图使用Metamask的名称和品牌来推广自己，凭证Brave浏览器开发职员Jonathan Sampson的说法，该插件使用了之前在网络垂纶运动中使用的电子邮件地址，因此这很可能是一个恶意插件。几个小时之后Google修正了其行为，删除了该虚伪插件并恢复了官方的插件。

原文链接：https://www.bleepingcomputer.com/news/cryptocurrency/google-removes-real-ethereum-wallet-from-web-store-but-leaves-fake-one-alone/


【威胁情报】研究团队发明俄APT28试图针对美参议员的垂纶攻击运动


研究职员发明俄罗斯APT组织Fancy Bear（又被称为APT28）试图针对美参议员Claire McCaskill及其事情职员的垂纶攻击运动。McCaskill正在为其2018年的连任竞选做准备。凭证The Daily Beast的报道，攻击者通过主题为修改Microsoft Exchange密码的网络垂纶邮件，试图窃取该议员及其事情职员的凭证。

原文链接：https://securityaffairs.co/wordpress/74843/cyber-warfare-2/apt28-targeted-senator-mccaskill.html


【攻击事务】爱达荷州364名囚犯入侵JPay平板电脑，共窃取约22.5万美元的数字信贷


凭证美国爱达荷州外地官员的说法，共有364名囚犯入侵了牢狱JPay平板电脑的系统，为各自的账户充入了大宗的信用额度，合计快要22.5万美元。在这些囚犯中，有50人为自己充值的金额凌驾1000美元，最高的一位充入了快要1万美元。囚犯使用这些信用额度来购置游戏、音乐和电子邮箱服务。现在该公司已修复了平板电脑上的误差。

原文链接：https://www.bleepingcomputer.com/news/security/364-idaho-inmates-hacked-their-prison-tablets-for-free-credits/