每日安全简讯(20200229)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 研究人员发现Cerberus银行木马的新变种

Cerberus是一种相对较新的Android银行木马，来自荷兰移动安全公司ThreatFabric的安全研究人员表示，他们在Cerberus的最新样本中发现了针对Authenticator的OTP窃取功能。Cerberus现在具有与访问木马（RAT）中常见功能相同的功能。这些RAT功能使攻击者可以远程连接到受感染的设备，使用受害者的银行凭证来访问在线银行帐户，然后使用Authenticator OTP窃取功能绕过该帐户上的2FA保护（如果存在）。


https://www.zdnet.com/article/an ... nticator-2fa-codes/

---

2 一家法国云服务提供商遭到勒索软件攻击

云服务提供商Bretagne Télécom遭到DoppelPaymer勒索软件攻击，威胁行为者利用CVE-2019-19781漏洞，对尚未打补丁的服务器进行黑客攻击。攻击者从1月8日开始扫描易受攻击的服务器，两天后就开始了攻击。在渗透了一个服务器集群之后，攻击者能够加密渗透到148台运行有Windows 7，Windows 8和Windows 10的应用服务计算机，其中包含大约30个小企业客户的数据。


https://www.bleepingcomputer.com ... he-citrix-adc-flaw/

---

3 思科发布针对其产品中11个漏洞的补丁程序

思科发布了针对其产品中11个漏洞的安全补丁，其中包括Cisco UCS Manager，FXOS和NX-OS软件。最严重的漏洞(被评为高危)会影响FXOS和NX-OS，未经身份验证的攻击者可以利用FXOS和NX-OS以root身份执行任意代码。利用此漏洞可能会触发拒绝服务（DoS）条件。思科还解决了NX-OS软件中针对MDS 9000系列多层交换机的另一个高风险DoS漏洞，该漏洞被跟踪为CVE-2020-3175，可以由未经身份验证的远程攻击者利用。


https://securityaffairs.co/wordp ... fxos-ucs-nx-os.html

---

4 iBaby Monitor M6S摄像头中存在安全漏洞

在研究iBaby Monitor M6S摄像机时，Bitdefender研究人员发现了一些漏洞，这些漏洞可能使攻击者可以访问AWS存储桶中的文件，通过MQTT服务泄漏信息，从而导致对相机的远程访问（CVE-2019-12268），并通过间接对象引用（IDOR）漏洞泄漏用户的个人信息。通过间接对象引用（IDOR）漏洞，攻击者可以设计请求来获取相机所有者的电子邮件地址、姓名、位置和配置文件图片，以及用户访问相机时显示的时间戳。


https://labs.bitdefender.com/202 ... deo-storage-bucket/

---

5 Ironpie M6真空吸尘器存在多个高危漏洞

Ironpie M6在亚马逊上的售价为230美元，配备了相应的移动应用程序和安全摄像头。这款吸尘器由人工智能家庭机器人公司Trifo制造。研究人员在连接的真空吸尘器中发现了几个高危漏洞。这些安全漏洞可能使远程攻击者能够发起一系列攻击，会导致无法使用吸尘器的拒绝服务（DoS）攻击，还能通过吸尘器的嵌入式摄像头查看私人家庭录像。


https://threatpost.com/unpatched ... to-takeover/153142/

---

6 面部识别公司Clearview向客户披露数据泄露

在Daily Beast网站的通知中，初创公司Clearview AI向其客户披露，一名入侵者未经授权访问了该公司的客户名单、客户设置的用户账户数量，以及客户进行的搜索次数。通知称，该公司的服务器没有遭到破坏，“Clearview的系统或网络没有受到破坏”。该公司还表示，他们已经修复了漏洞，入侵者没有获得任何执法机构的搜索记录。


https://www.thedailybeast.com/cl ... ent-list-was-stolen

---