BUF早餐铺 | 20多万MikroTik路由器被劫持挖矿;Edge浏览器漏洞可被黑客利用窃取本地文件;500万条乘客航班信息泄露链条曝光

2018-08-06 131012人围观 资讯

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。

各位 Buffer 早上好,今天是 2018 年 8 月 6 日星期一,农历六月二十五。今天份的BUF早餐内容有: 20 多万 MikroTik 路由器遭遇加密劫持,被用于加密货币挖矿; 微软 Edge 浏览器漏洞可被黑客利用窃取本地文件; 新一轮钓鱼活动针对400 多家工业组织发起攻击; 新版 CCleaner 增加数据监控和数据收集功能且无法关闭;乘客航班信息泄露链条曝光,近500万条信息被卖。

早餐

以下请看详细内容:

20多万MikroTik路由器遭遇加密劫持,被用于加密货币挖矿

MikroTik-Coinhive.png

本周,安全研究员发现大量 MikroTik 路由器遭遇加密劫持(cryptojacking )攻击。攻击者更改了了路由器配置,并通过路由器占用用户的 web 流量,注入 Coinhive 恶意代码并挖掘加密货币。这起大规模加密劫持主要利用的是 2018 年 4 月份 MikroTik 路由器中的 0-day 漏洞,最早从巴西发起,随后蔓延到全球。据统计,共有 20 多万 MikroTik 路由器遭到攻击,且规模还可能会扩大。[来源:bleepingcomputer]

微软 Edge 浏览器漏洞可被黑客利用窃取本地文件

Edge.jpg

微软 Edge 浏览器中曝出一个漏洞。黑客可以利用这个漏洞,入侵旧版本 Edge 浏览器并窃取用户的本地文件。这个漏洞与浏览器通用的同源策略(SOP)安全功能相关。SOP 原本用于阻止攻击者通过不符合同一域(或子域)和协议的链接加载恶意代码,但在 Edge 中,如果用户被诱导并下载恶意 HTML 文件并运行,SOP 就会失效,导致恶意攻击出现。黑客主要用到了社会工程学攻击,因此不会形成自动化大规模的攻击,目前对终端用户的影响较小。目前,微软已经修复了这个漏洞,并提醒用户不要打开来源不明的 HTML 文件。[来源:bleepingcomputer]

新一轮钓鱼活动针对400 多家工业组织发起攻击

钓鱼

卡巴斯基实验室近期发现,新一轮鱼叉式钓鱼攻击瞄准 400 多家工业组织发起攻击。这些钓鱼邮件伪装成合法的采购或会计信件,攻击了石油和天然气、冶金、能源、建筑和物流等多个行业将近 800 台企业电脑。这轮攻击的主要目的是从目标组织窃取资金和机密数据,邮件内容高度定制化,与受攻击组织的资料相对应。钓鱼邮件中包含恶意附件,一旦受害者点击,就会感染多种恶意软件,导致计算机上的信息被窃取。卡巴斯基表示,大多数被攻击的组织都位于俄罗斯。[来源:SecurityWeek]

新版 CCleaner 增加数据监控和数据收集功能且无法关闭

CCleaner

最近,Avast 发布了 CCleaner 5.54 新版本,不仅会经常在后台运行,而且会搜集用户系统的信息,且这一功能无法关闭。CCleaner 作为一款系统清理器广受用户欢迎,有 20 多亿次的下载量。但是,最近几个新版本的安全性反而越来越让用户担忧。5 月份发布的 CCleaner 5.43 移除了免费版本中关闭“数据共享”功能的选项;6 月份发布的 CCleaner 5.44 增加了弹出式广告;7 月份发布的 CCleaner 5.45 则强制增加主动监控和心跳包功能。这个新版本会把用户数据发送给 Avast 公司的服务器,而且还会持续扫描系统,在遇到垃圾或浏览器文件时通知用户。而最令用户担忧的就是就算重启计算机或者关闭CCleaner,新版本所增加的主动监控功能也无法关闭。Avast 对此回应称官方将尽快提供单独的菜单选项来关闭这些功能,并在未来几周发布更新。[来源:TheHackerNews]

乘客航班信息泄露链条曝光,近500万条信息被卖

近日,深圳市宝安区人民检察院依法以涉嫌侵犯公民个人信息罪,对深圳某航空服务公司的副总经理李某、网管员汪某等人提起公诉。该航空服务公司作为一家经营国内、国际机票的代理公司,经授权取得账号和密码,可以用来登录航空公司售票相关系统,开展相关业务。为了便于公司的工作人员查询票务信息、出售机票等,该航空服务公司从2014年开始,竟悄悄地利用技术手段,将授权的原始账号放大为多个子账号。

李某、汪某将授权账号放大得到70多个子账号之后,将 40 个左右的子账号租出去牟利。经查证,通过这种方法,该航空公司并同李某、王某共谋李十万多元,泄露用户信息将近 500 万条。法院分别判处涉事人员十一个月至一年六个月有期徒刑,并处罚金。办案检察官表示:登录航空公司售票相关系统的账号,竟然能够被人通过技术手段放大为多个子账号,造成被他人出租等,这也反映在相关软件设计上存在一定的漏洞,相关单位应当进一步堵塞漏洞。此外,一些特定岗位的从业人员,掌握着获取公民个人信息的资源与便利,也应当加强行业监管,并加强从业人员的道德意识和法律意识,谨防从事一些违法犯罪的行为。[来源: 深圳新闻网]

*AngelaY编译整理,转载请注明来自 FreeBuf.COM

相关推荐
取消
Loading...

特别推荐

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php