Microsoft Teams更新机制可导致黑客执行恣意文件 ；二维码绕过邮件清静战略
宣布时间 2019-07-01
1、Microsoft Teams更新机制可用于下载和执行恶意软件
清静研究职员发明Microsoft Teams桌面应用程序中的更新机制可用于下载和执行恶意文件。同样的问题也影响了GitHub、WhatApp和UiPath的桌面版，但它们只能下载文件。该问题与使用NuGet来管理装置和更新包的开源项目Squirrel有关，研究职员发明update下令及squirrel下令可在目今用户的上下文中执行恣意二进制文件，团结download参数，它还允许从远程位置以NuGet包的形式获取payload。微软体现将在未来的软件版本中修复该问题。
原文链接：https://www.bleepingcomputer.com/news/security/microsoft-teams-can-be-used-to-download-and-run-malicious-packages/
2、清静厂商近5个月内阻挡500万次针对IP摄像头的攻击
趋势科技体现它在近5个月内阻止了针对IP摄像头的500万次攻击。凭证对7000个IP摄像头的剖析，清静厂商发明IP监控行业面临着大宗的攻击。趋势科技称这些攻击中75%的攻击都是对登录凭证的暴力破解实验，并体现保存明确的使用常见恶意软件（如Mirai变体）的攻击模式。趋势科技执行副总裁兼首席开发官Oscar Chang体现：“越来越多的笔直行业正在追求互连的、基于AI的视频监控应用，从相对关闭的网络转向越发互联的基于云的网络。由于这种转变，制造商和用户必需关注这些物联网装备的清静性。”
原文链接：https://www.infosecurity-magazine.com/news/five-million-camera-cyberattacks-1/
3、伊朗APT33在研究团队宣布其研究报告后转移至新基础设施
凭证Recorded Future的报告，在2019年3月研究职员宣布关于APT33的调研报告后，该APT组织已经转移至新的基础设施。在报告宣布后，大大都袒露的域名都被停用或不再剖析到真实的IP地址。这批注攻击者相识媒体对其运动的报道，并且拥有快速反应所需的资源。然而，只管被曝光，该组织依然瞄准沙特阿拉伯的组织，与其历史目的坚持一致。自3月下旬以来，研究职员视察到该组织使用了凌驾1200个域名以及恶意软件，研究职员还以为APT33、APT35和MUDDYWATER的攻击运动可能保存重叠。
原文链接：https://www.securityweek.com/iranian-cyberspies-update-infrastructure-following-recent-report
4、新垂纶攻击运动使用二维码绕过邮件清静战略
法国Cofense研究职员发明一个新的垂纶攻击运动使用二维码将目的重定向至垂纶页面，这种要领有用规避了旨在阻止垂纶攻击的邮件清静控制步伐。该二维码编码的内容是恶意URL，大大都智能手机的二维码扫描器将连忙通过手机浏览器将用户重定向至垂纶网站。该垂纶页面会诱使用户输入AOL、Microsoft或其他类型的帐户凭证来审查诱饵文档。这种攻击手段被称为QRishing，是一种已知的、经由验证的攻击要领，2017年的一篇论文提出了一种可能的防御步伐：QRCS（快速响应代码清静）。
原文链接：https://www.bleepingcomputer.com/news/security/phishing-security-controls-fully-bypassed-using-qr-codes/
5、研究职员演示怎样使用Excel Power Query功效植入恶意软件
Mimecast研究职员发明Microsoft Excel中的Power Query功效可被用于远程植入恶意软件。Power Query允许用户将外部数据源（如外部数据库或基于Web的数据）导入Excel中，研究职员开发了一种手艺，可以通过Power Query向Excel表格提倡远程动态数据交流（DDE）攻击，交付恶意payload并自动控制该payload。微软体现不会宣布修复程序，由于所有受支持的Microsoft Excel版本都会向用户提醒是否允许加载外部数据。但研究职员体现，在旧版本的Microsoft Excel 2010中，payload会自动执行，无需用户交互。
原文链接：https://threatpost.com/microsoft-excel-attack-vector/146062/
6、研究职员披露Ultraloq智能锁中的多个清静误差
研究职员发明U-tec制造的Ultraloq智能锁保存多个清静误差，包括API缺乏身份认证、蓝牙BLE密钥暴力破解等。Ultraloq是一款售价约200美元的蓝牙、指纹和触摸屏智能门锁，它还配套一个移动APP。研究职员发明该移动APP使用的API泄露了用户数据，可允许攻击者重置PIN、锁定用户或翻开门锁。攻击者还可通过BLE接口举行暴力攻击，以破解BLE密钥。该智能锁在物理上也不清静，可以通过插入很薄的铁片手动翻开锁。
原文链接：https://threatpost.com/smart-lock-turns-out-to-be-not-so-smart-or-secure/146091/
清静研究职员发明Microsoft Teams桌面应用程序中的更新机制可用于下载和执行恶意文件。同样的问题也影响了GitHub、WhatApp和UiPath的桌面版，但它们只能下载文件。该问题与使用NuGet来管理装置和更新包的开源项目Squirrel有关，研究职员发明update下令及squirrel下令可在目今用户的上下文中执行恣意二进制文件，团结download参数，它还允许从远程位置以NuGet包的形式获取payload。微软体现将在未来的软件版本中修复该问题。
原文链接：https://www.bleepingcomputer.com/news/security/microsoft-teams-can-be-used-to-download-and-run-malicious-packages/
2、清静厂商近5个月内阻挡500万次针对IP摄像头的攻击
趋势科技体现它在近5个月内阻止了针对IP摄像头的500万次攻击。凭证对7000个IP摄像头的剖析，清静厂商发明IP监控行业面临着大宗的攻击。趋势科技称这些攻击中75%的攻击都是对登录凭证的暴力破解实验，并体现保存明确的使用常见恶意软件（如Mirai变体）的攻击模式。趋势科技执行副总裁兼首席开发官Oscar Chang体现：“越来越多的笔直行业正在追求互连的、基于AI的视频监控应用，从相对关闭的网络转向越发互联的基于云的网络。由于这种转变，制造商和用户必需关注这些物联网装备的清静性。”
原文链接：https://www.infosecurity-magazine.com/news/five-million-camera-cyberattacks-1/
3、伊朗APT33在研究团队宣布其研究报告后转移至新基础设施
凭证Recorded Future的报告，在2019年3月研究职员宣布关于APT33的调研报告后，该APT组织已经转移至新的基础设施。在报告宣布后，大大都袒露的域名都被停用或不再剖析到真实的IP地址。这批注攻击者相识媒体对其运动的报道，并且拥有快速反应所需的资源。然而，只管被曝光，该组织依然瞄准沙特阿拉伯的组织，与其历史目的坚持一致。自3月下旬以来，研究职员视察到该组织使用了凌驾1200个域名以及恶意软件，研究职员还以为APT33、APT35和MUDDYWATER的攻击运动可能保存重叠。
原文链接：https://www.securityweek.com/iranian-cyberspies-update-infrastructure-following-recent-report
4、新垂纶攻击运动使用二维码绕过邮件清静战略
法国Cofense研究职员发明一个新的垂纶攻击运动使用二维码将目的重定向至垂纶页面，这种要领有用规避了旨在阻止垂纶攻击的邮件清静控制步伐。该二维码编码的内容是恶意URL，大大都智能手机的二维码扫描器将连忙通过手机浏览器将用户重定向至垂纶网站。该垂纶页面会诱使用户输入AOL、Microsoft或其他类型的帐户凭证来审查诱饵文档。这种攻击手段被称为QRishing，是一种已知的、经由验证的攻击要领，2017年的一篇论文提出了一种可能的防御步伐：QRCS（快速响应代码清静）。
原文链接：https://www.bleepingcomputer.com/news/security/phishing-security-controls-fully-bypassed-using-qr-codes/
5、研究职员演示怎样使用Excel Power Query功效植入恶意软件
Mimecast研究职员发明Microsoft Excel中的Power Query功效可被用于远程植入恶意软件。Power Query允许用户将外部数据源（如外部数据库或基于Web的数据）导入Excel中，研究职员开发了一种手艺，可以通过Power Query向Excel表格提倡远程动态数据交流（DDE）攻击，交付恶意payload并自动控制该payload。微软体现不会宣布修复程序，由于所有受支持的Microsoft Excel版本都会向用户提醒是否允许加载外部数据。但研究职员体现，在旧版本的Microsoft Excel 2010中，payload会自动执行，无需用户交互。
原文链接：https://threatpost.com/microsoft-excel-attack-vector/146062/
6、研究职员披露Ultraloq智能锁中的多个清静误差
研究职员发明U-tec制造的Ultraloq智能锁保存多个清静误差，包括API缺乏身份认证、蓝牙BLE密钥暴力破解等。Ultraloq是一款售价约200美元的蓝牙、指纹和触摸屏智能门锁，它还配套一个移动APP。研究职员发明该移动APP使用的API泄露了用户数据，可允许攻击者重置PIN、锁定用户或翻开门锁。攻击者还可通过BLE接口举行暴力攻击，以破解BLE密钥。该智能锁在物理上也不清静，可以通过插入很薄的铁片手动翻开锁。
原文链接：https://threatpost.com/smart-lock-turns-out-to-be-not-so-smart-or-secure/146091/
京公网安备11010802024551号