每日安全简讯(20180930)

1 谷歌商店被发现25个具有隐蔽挖矿能力安卓应用

研究人员发现二十几个Android应用程序利用用户的手机进行挖矿活动，这些应用被下载超过12万次。这些应用程序涉及游戏、教育等领域，都包含一个带有Coinhive矿工的HTML页面，通过WebView组件加载，使用设备的CPU来挖掘门罗币。其中两个应用程序嵌入了开源挖掘工具XMRig，可以挖掘门罗币之外的加密货币，如Aeon、Sumokoin和Turtlecoin。另外，这些恶意应用的开发人员故意限制了这些挖矿应用程序的CPU使用率，避免因为设备过热、电池快速放电和手机速度变慢而被发现。


https://www.bleepingcomputer.com ... -google-play-store/

---

2 Facebook安全更新报告披露漏洞影响近5千万帐户

Facebook发布安全更新报告称在9月25日发现了一个影响近5000万个帐户的安全问题。攻击者利用Facebook代码中的一个漏洞影响了“View As”功能，该功能可以让用户看到其他人对自己的看法。攻击者可以窃取访问令牌，从而接管用户账户。
Facebook修复了漏洞并通知了执法部门。此外还重置了受影响的近5000万个帐户的访问令牌，以及去年受到“View As”影响的另外4000万个帐户的访问令牌。约有9000万人需要重新登录Facebook，重新登陆后用户会在新闻Feed的顶部收到有关这一事件的通知。


https://newsroom.fb.com/news/2018/09/security-update/

---

3 Apple iOS 12存在密码绕过漏洞可能泄露用户信息

Apple新版iOS 12存在密码绕过漏洞，影响多种型号的iPhone设备，包括最新型号iPhone XS。漏洞允许通过编辑联系人并更改与特定呼叫者相关联的图像来访问图像，黑客可以利用该漏洞绕过屏幕密码进行物理访问，例如访问设备上的照片和联系人（包括电话号码和电子邮件）等。苹果爱好者Jose Rodriguez发现了绕过安全障碍的复杂方法并且发布了一个演示视频。但前提是需要物理访问，设备启用了Siri且Face ID被关闭。


https://threatpost.com/iphone-xs ... acts-photos/137790/

---

4 日本富士电机公司存在未修补的缓冲区溢出漏洞

ICS-CERT披露日本富士电机公司存在两个未修补的漏洞，这两个漏洞由Michael Flanders与趋势科技的Zero Day Initiative报告。Alpha5智能装载机中存在两个缓冲区溢出漏洞CWE-120和CWE-122，影响Alpha5 Smart Loader3.7及更早版本。利用这些漏洞攻击者可以在设备上执行任意远程代码。富士电机公司表示他们正积极解决所报告的漏洞问题。


https://ics-cert.us-cert.gov/advisories/ICSA-18-270-02

---

5 美教育技术公司Chegg遭黑客入侵影响4000万用户

总部位于美国的教育技术公司Chegg在2018年4月遭到黑客的攻击。该公司于9月25日向美国证券交易委员会提交了一份报告，称在9月19日发现了漏洞。攻击者未经授权访问其中一个包含Chegg用户数据的数据库，包括客户的姓名，电子邮件地址，送货地址和散列密码等信息，还包括Chegg家族品牌的敏感信息，如EasyBib。该公司现在正计划重置4000万客户的密码。


https://cyware.com/news/chegg-di ... lion-users-108ef41f

---

6 Newsnow发生数据泄露可能会破坏用户的加密密码

新闻聚合网站NewsNow遭遇数据泄露，可能导致用户的加密密码暴露。该网站称数据库中不存储如支付卡信息等敏感数据。目前尚不清楚关于违规行为是如何发生的。NewsNow称正在努力加强其基础设施和系统的安全性，已注销当前已登录的用户，并从已登录的系统中删除了受感染的密码。建议用户立即重置其帐户密码。


https://cyware.com/news/newsnow- ... -passwords-5ee32382

---