每日安全简讯(20230523)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 BatLoader冒充ChatGPT和Midjourney进行恶意活动

研究人员发现了一项正在进行的BatLoader活动，该活动使用Google搜索广告投放冒充ChatGPT和Midjourney的网页，诱导用户下载并安装恶意软件。BatLoader使用MSIX Windows应用安装程序文件来感染设备，并安装Redline Stealer。安装过程涉及运行一个可执行文件和一个PowerShell脚本，这些脚本与之前的案例相同，但使用了不同的命令和控制(C2)服务器。BatLoader使用的技术突出了它能够滥用合法的打包应用程序进行恶意目的的能力。此外，在2023年2月也报告了另一场针对搜索AI的用户的BatLoader活动。

https://securityaffairs.com/146496/malware/batloader-campaign-impersonates-chatgpt-midjourney.html

---

2 Android手机面临指纹暴力破解攻击的风险

腾讯实验室和浙江大学的研究人员提出了一种新的攻击方法，称为“BrutePrint”，它可以对现代智能手机上的指纹进行暴力破解，绕过用户身份验证并控制设备。BrutePrint利用了两个零日漏洞，即Cancel-After-Match-Fail(CAMF)和Match-After-Lock(MAL)，来克服智能手机上存在的防止暴力破解攻击的保护机制，如尝试次数限制和活体检测。研究人员还发现，指纹传感器的串行外设接口(SPI)上的生物特征数据保护不足，允许中间人攻击劫持指纹图像。BrutePrint和SPI MITM攻击针对十种流行的智能手机型号进行了测试，结果显示，在所有Android和HarmonyOS(华为)设备上都可以实现无限次尝试，在iOS设备上可以实现额外的十次尝试。CAMF在指纹数据中注入校验和错误，以在一个预先确定的点停止认证过程。这使得攻击者可以在目标设备上尝试指纹，而其保护系统不会记录失败的尝试，从而给予他们无限次尝试。

https://www.bleepingcomputer.com/news/security/android-phones-are-vulnerable-to-fingerprint-brute-force-attacks/

---

3 PyPI仓库暂停用户注册和包上传以应对攻击

PyPI(Python Package Index)是一个用于Python编程语言的软件仓库，它允许用户轻松地查找和安装社区贡献者开发和共享的软件。然而，这个仓库也经常受到恶意软件攻击，例如暴力破解、拼写错误和恶意包。为了应对这些攻击，PyPI仓库在2023年5月19日暂时停止了用户注册和包上传的功能。PyPI仓库的管理员在Twitter上发布了一条消息，解释了这一临时措施的原因。他们表示，由于近期发现了一些针对PyPI仓库的攻击活动，他们不得不采取这样的措施来保护用户和开发者的安全。他们还表示，他们正在努力修复这些问题，并尽快恢复正常服务。PyPI仓库管理员在Twitter上发布的消息PyPI仓库是Python生态系统中一个非常重要的组成部分，它为数百万的Python开发者和项目提供了便利和支持。为了防范这些威胁，PyPI仓库需要不断地提升其安全性能和能力，并与社区合作，共同维护Python生态系统的健康和安全。

https://securityaffairs.com/146488/cyber-crime/pypi-repository-suspends-sign-ups-package-uploads.html

---

4 美国制裁泄露华盛顿警察数据的俄罗斯勒索软件操作者

美国财政部对Mikhail Matveev实施了经济制裁，他是一名俄罗斯公民，美国检察官称他自2020年以来一直是多个主要勒索软件行动的“核心人物”。根据2022年12月的起诉书和逮捕令，Matveev——他在网上使用“WazaWaka”的昵称——负责使用Hive、LockBit和Babuk勒索软件变种来传播和入侵目标组织，并通过电子邮件与受害者进行勒索要求。这三个组织共攻击了美国和其他国家的2800个受害者，获得了超过2亿美元的勒索赎金。他们还都被认为是由俄语的网络犯罪分子或其代理人运营的，而且财政部金融犯罪执法网络在2021年的一项分析发现，四分之三的勒索软件攻击都与俄罗斯网络犯罪组织或其代理人有关。2021年4月，Babuk勒索软件攻击了华盛顿特区警察局，该组织声称窃取了250GB的数据，包括人事档案信息、线人信息和其他敏感文件。

https://www.scmagazine.com/news/ransomware/us-sanctions-russian-ransomware-operator-who-leaked-stolen-dc-police-data

---

5 iSpoof诈骗背后的英国诈骗犯因网络犯罪被判13年监禁

Tejay Fletcher，35岁，来自伦敦Western Gateway，于2023年5月18日被判刑。他上个月承认了多项网络犯罪，包括协助欺诈以及拥有和转移犯罪财产。iSpoof是一项付费服务，它允许欺诈者掩盖他们的电话号码并伪装成银行、税务局和其他官方机构的代表来欺骗受害者。据英国大都会警察局称，犯罪分子冒充了巴克莱银行、桑坦德银行、汇丰银行、劳埃德银行、哈利法克斯银行等多家银行的代表。据称，仅在英国，受害者的总损失就超过4800万英镑(5980万美元)，全球总损失估计至少为1亿英镑(1.246 亿美元)。目前，Tejay Fletcher已被判处13年零4个月的监禁。

https://thehackernews.com/2023/05/uk-fraudster-behind-ispoof-scam.html

---

6 Google将删除超过两年未活跃的账户

Google宣布了一项新的政策，将于2023年6月1日生效，该政策将允许该公司删除超过两年未活跃的账户，以释放存储空间。这项政策适用于Gmail、Google Drive(包括Google Docs、Sheets、Slides、Drawings、Forms和Jamboard文件)和Google Photos等服务。如果用户在两年内没有登录或使用这些服务，他们的账户可能会被删除，除非他们采取一些措施来保留它们。Google表示，这项政策旨在清理不再使用的账户，并确保用户的内容不会永久丢失。该公司还表示，它将在删除任何内容之前通知用户，并提供多种方式来防止这种情况发生。例如，用户可以通过登录他们的账户、访问他们的内容或购买更多的存储空间来保持其活跃状态。用户也可以使用Google Takeout系统或Inactive Account Manager工具备份他们的所有数据。

https://www.bleepingcomputer.com/news/security/google-will-delete-accounts-inactive-for-more-than-2-years/

---