每日安全简讯(20230111)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 VS Code扩展市场易被滥用于托管恶意扩展程序

针对Visual Studio Code扩展市场的一种新的攻击方法可能被利用来上传伪装成合法扩展的恶意扩展程序，目的是发动供应链攻击。研究人员说称，这种技术可以作为攻击许多组织的切入点。VS Code扩展程序允许开发人员向VS Code源代码编辑器中添加编程语言、调试器和工具，以提高他们的工作效率。所有的扩展程序都具有打开VS Code的用户的权限，这意味着该扩展程序可以在您的计算机上安装任何程序，包括勒索软件、擦除器等。


https://thehackernews.com/2023/0 ... licious-visual.html

---

2 Automated Libra组织利用云平台资源进行挖矿

被称为“Automated Libra”的南非黑客组织一直在改进他们的技术，以利用云平台资源进行加密货币挖掘。据称，该组织使用了一种新的验证码解决系统，同时更积极地使用CPU资源进行挖矿，并将“freejacking”与“Play and Run”技术相结合。从技术角度来看，freejacking通常被理解为使用免费或限时的云资源执行加密挖矿操作的过程。Automated Libra组织于2022年10月首次被Sysdig的分析师发现，他们将这一恶意活动命名为“PurpleUrchin”，并将该组织与劫持活动联系起来。研究人员表示，他们从PurpleUrchin活动中收集了超过250GB的容器数据，并发现背后的黑客在2022年11月的活动高峰期每分钟创建3到5个GitHub账户，一些自动创建账户的案例使用简单的图像分析技术绕过了验证码图像。


https://www.infosecurity-magazin ... -bypasses-captchas/

---

3 塞尔维亚政府报告其IT基础设施遭到大规模DDoS攻击

塞尔维亚政府宣布，其内务部的网站和IT基础设施遭到了几次大规模分布式拒绝服务(DDoS)攻击。贝尔格莱德表示:“到目前为止，已经击退了5次旨在使内政部IT基础设施瘫痪的大型攻击，政府雇员和塞尔维亚电信的员工能够反击这些攻击。”塞尔维亚政府补充说:“增强的安全协议已经启动，这可能会导致工作速度变慢，某些服务偶尔会中断，这一切都是为了保护内务部的数据。”DDoS攻击的工作方式是用垃圾流量淹没目标网站，使其无法访问。


https://therecord.media/serbian- ... ensions-in-balkans/

---

4 黑客向受害者发送伪造的Facebook版权侵权通知以窃取凭据

在这次攻击中，黑客发送伪造的Facebook版权侵权通知，以获得凭据。 这封邮件称你的Facebook账号被封了，原因是上传至该账户页面的照片违反了Facebook的版权侵权政策，你必须在24小时内提出上诉以避免封禁，否则该账号将被永久封停。用户点击该链接会转到凭据获取页面。尽管这封电子邮件的发件人地址显然不是来自Facebook，但它在其他方面相当可信。


https://www.avanan.com/blog/face ... s-leads-to-phishing

---

5 CISA向使用日立能源产品的组织通报了几个安全漏洞

美国网络安全和基础设施安全局(CISA)上周发布了公告，向使用日立能源产品的组织通报了几个最近解决的严重和高危的漏洞。CISA发布了三份报告，描述了能源解决方案提供商日立能源生产的三款产品存在的安全漏洞。该供应商在12月发布了自己的漏洞公告，这些公告发布在ABB网站上。其中一份报告描述了日立能源网络管理系统(NMS)的组成部分UNEM中的五个高危漏洞。这些漏洞与加密和用户凭证有关，可以利用这些漏洞获取敏感信息并对系统进行恶意修改。


https://www.securityweek.com/cis ... ity-vulnerabilities

---

6 Auth0修复了JsonWebToken开源库中的远程代码执行漏洞

Auth0修复了非常流行的“JsonWebToken”开源库中的远程代码执行漏洞，超过22000个项目使用该库，每月在NPM上下载超过3600万次。该库用于微软、Twilio、Salesforce、Intuit、Box、IBM、Docusign、Slack、SAP等公司创建的开源项目。该漏洞被跟踪为CVE-2022-23529，影响12月21日假期前发布的9.0.0以下的JsonWebToken版本。JsonWebToken项目是一个开源库，用于创建、签署和验证JSON Web令牌。研究人员发现，攻击者在验证恶意制作的JWS令牌后，可以使用JsonWebToken在服务器上实现远程代码执行。


https://www.bleepingcomputer.com ... by-22-000-projects/

---