每日安全简讯(20241102)
免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。1 LottieFiles在供应链攻击中被黑客入侵以窃取用户的加密货币
流行的LottieFiles Lotti-Player项目在供应链攻击中遭到破坏，该项目向网站注入加密消耗器，窃取访问者的加密货币。区块链威胁监控平台Scam Sniffer报告称，据称，由于LottieFiles供应链泄露，至少有一名受害者损失了价值723000美元的比特币。在多次用户报告有关奇怪代码注入之后，Lottie Web Player(“lottie-player”)2.0.5、2.0.6 和 2.0.7 昨天进行了修改，以包含向网站注入加密钱包耗尽程序的恶意代码。加密钱包消耗程序是注入网站的恶意脚本，这些脚本显示web3提示以连接加密货币钱包。但是，当用户连接他们的钱包时，该脚本将自动尝试“耗尽”或窃取所有资产和 NFT，并将它们发送给威胁行为者。
https://www.bleepingcomputer.com/news/security/lottiefiles-hacked-in-supply-chain-attack-to-steal-users-crypto/
2 黑客将开发更多的Mac恶意软件攻击加密货币持有者
寻求加密货币的黑客越来越多地以macOS用户为目标，端点检测和响应供应商Trellix的一份新报告称，在过去10个月中，为了应对针对Mac用户的“越来越多的攻击”，该公司已将与macOS目标威胁相关的“检测内容”增加了近60%。这不仅包括恶意软件攻击的检测，还包括可能在它们之前的特定网络钓鱼活动，然后是工具进入和使用AppleScript、文件和目录发现工作以及数据泄露，以及其他恶意类型的活动。针对macOS的新型恶意软件一直在缓慢增加。Trellix表示，随着跨平台语言(包括Python、Golang和Rust)的发展，恶意开发人员只需编写一次恶意软件，即可轻松编译以跨多个操作系统运行，因此攻击Mac也变得越来越容易。
https://www.trellix.com/blogs/research/macos-malware-surges-as-corporate-usage-grows/
3 今年92%的医疗保健公司遭受网络攻击
Proofpoint的Ryan Witt谈在勒索软件攻击激增时重新思考网络防御，Proofpoint行业解决方案副总裁Ryan Witt在讨论一项新发布的研究结果时表示，医疗保健组织应该重新考虑他们的一些安全方法，特别是通过加强对内部威胁的关注、改进网络意识培训以及保护移动应用程序和设备。犯罪组织会考虑他们的攻击活动。他们试图最大限度地利用他们的时间和投资，他们发现以人为中心的攻击——攻击人及其工作方式——是他们进入组织的最有效方式。
https://www.govinfosecurity.com/interviews/study-92-healthcare-firms-hit-by-cyberattacks-this-year-i-5419
4 黑客瞄准PTZ摄像机中的关键零日漏洞
黑客正试图利用PTZOptics平移-倾斜-缩放(PTZ)直播摄像机中的两个零日漏洞，这些摄像机用于工业、医疗保健、商业会议、政府和法庭环境。2024 年 4 月，GreyNoise Intelligence在AI的帮助下发现实时流媒体摄像机中的零日漏洞，发现了CVE-2024-8956和CVE-2024-8957。在检查警报后，GreyNoise研究人员发现了一项漏洞利用尝试，该漏洞利用针对摄像机基于CGI的API并嵌入了旨在实现命令注入的“ntp_client”。其中，CVE-2024-8956是摄像机的“lighthttpd”Web服务器中的一个弱身份验证问题，允许未经授权的用户在没有授权标头的情况下访问CGI API，从而暴露用户名、MD5密码哈希和网络配置，CVE-2024-8957是由于 'ntp 中的输入清理不足引起的addr“ntp_client字段，允许攻击者使用特制的有效负载插入命令以远程执行代码。
https://www.bleepingcomputer.com/news/security/hackers-target-critical-zero-day-vulnerability-in-ptz-cameras/
5 50%的金融机构在其应用程序中存在高度严重的安全漏洞
根据Veracode的数据，本报告将证券债务定义为超过一年未修复的缺陷，存在于金融服务行业76%的组织，其中50%的组织背负着严重的证券债务。金融行业应用程序积累了更多的证券债务，据估计，金融行业数据泄露的平均成本为608万美元，这项研究正值老练威胁行为者最受攻击的行业之一的关键时刻。根据美国财政部2024年3月的一份报告，威胁行为者使用基于AI的工具来查找和利用软件漏洞。与此同时，日益激烈的行业竞争和客户对便利性的期望要求组织加速创新。Veracode研究人员发现，金融领域所有应用程序中有40%存在证券债务，这略好于42%的跨行业平均水平。此外，只有5.5%的金融部门应用程序是无缺陷的，而其他行业的这一比例为5.9%。虽然金融部门申请有证券债务略少，但它们积累的证券债务更多。
https://www.helpnetsecurity.com/2024/11/01/financial-sector-applications-security-debt/
6 黑客从暴露的 Git 配置文件中窃取了15000个云凭据
一个名为“EmeraldWhale”的大规模恶意操作扫描了暴露的Git配置文件，从数千个私有存储库中窃取了超过15000个云帐户凭据。根据发现该活动的研究人员的说法，该操作涉及使用自动化工具扫描IP范围以查找暴露的Git配置文件，其中可能包括身份验证令牌。然后，这些令牌用于下载存储在 GitHub、GitLab和BitBucket上的存储库，并扫描这些存储库以获得更多凭据。被盗数据被泄露到其他受害者的Amazon S3存储桶中，随后被用于网络钓鱼和垃圾邮件活动，并直接出售给其他网络犯罪分子。
https://www.bleepingcomputer.com/news/security/hackers-steal-15-000-cloud-credentials-from-exposed-git-config-files/
页:
[1]