每日安全简讯(20200601)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 德国政府报告俄罗斯黑客对关键基础设施的攻击

据CyberScoop获得的一份德国政府机密报告显示，与俄罗斯有联系的黑客组织Berserk Bear长期以来针对德国能源、水务和电力部门的企业进行攻击。德国情报和安全机构近日发送给关键基础设施运营商的通报中称，调查人员今年初发现了黑客长期入侵未具名的德国公司的证据。攻击者的目标是利用公开和专门编写的恶意软件，将其永久地驻留在IT网络中，以窃取信息，甚至获得生产系统(OT网络)的访问权。德国当局表示，没有证据表明任何公司的工业网络遭到破坏性攻击。


https://www.lastline.com/labsblo ... sual-spam-campaign/

---

2 COVID-19主题的网络钓鱼活动攻击意大利用户

D3Lab安全专家发现了一项以COVID-19为主题的新网络钓鱼活动，该活动针对意大利国家社会保障研究所（INPS）的用户。意大利公民需要通过INPS门户向政府申请Covid-19补偿，因此攻击者创建了一个伪造的INPS网站，要求公民下载假冒的“新COVID-19补偿申请表”，实际上下载了适用于Android设备的恶意APK文件。该APK文件为银行木马恶意软件，能够监视用户执行的操作。


https://securityaffairs.co/wordp ... campaign-italy.html

---

3 Apple严重漏洞允许攻击者劫持任何人的账户

安全研究人员在Apple“使用Apple登录”的功能中发现严重漏洞，允许远程攻击者绕过身份验证，并接管使用“使用Apple登录”选项注册的第三方服务和应用程序上目标用户的帐户。“使用Apple登录”功能作为一种保护隐私的登录机制被使用，该机制允许用户使用Apple账户注册第三方应用程序帐户，而无需透露其实际电子邮件地址。研究人员表示，该漏洞存在于Apple在启动来自Apple身份验证服务器的请求之前，在客户端上验证用户的方式。服务器在身份验证时会生成JSON Web令牌（JWT）。尽管Apple要求用户在发起请求之前先登录其Apple帐户，但并未验证同一个人是否在下一步从其身份验证服务器请求JSON Web令牌（JWT）。目前该漏洞已被修复。


https://thehackernews.com/2020/05/sign-in-with-apple-hacking.html

---

4 网络钓鱼活动瞄准五家非洲金融机构以窃取凭据

Cofense网络钓鱼防御中心发现了针对五家不同非洲金融机构的网络钓鱼活动，该活动目标是窃取凭据。示例电子邮件据称来自南非税务局（SARS）的eFiling服务，敦促用户单击所对应的银行链接以退税，银行包括南非联合银行（ABSA）、Capitec银行、第一国家银行(FNB)、莱利银行和标准银行。点击链接，用户将被带到对应所选银行的网络钓鱼登录门户。用户所输入的用户ID、PIN和手机号码，将被攻击者获取。


https://cofense.com/phishers-cas ... can-banking-sector/

---

5 美国国家铁路客运公司Amtrak披露数据泄露事件

美国国家铁路旅客公司（Amtrak）披露了一项数据泄露事件，该事件导致某些Guest Rewards会员的个人信息泄露。Amtrak是高速城际客运铁路供应商，也是独立的美国政府机构。Amtrak在通知中称，4月16日晚上，确定未知的第三方获得了对某些Amtrak Guest Rewards帐户的未授权访问。攻击者使用被入侵的用户名和密码访问某些帐户，并且可能已经查看了一些个人信息，但没有任何财务数据、信用卡信息或社会安全号码被泄露。Amtrak并未透露受影响的帐户总数或可能暴露的个人信息类型。


https://www.bleepingcomputer.com ... ewards-data-breach/

---

6 研究人员发现针对Intel和AMD CPU的新攻击方法

印度理工学院(IIT)的研究人员发现一种针对Intel和AMD CPU的新形式的侧信道攻击。该攻击被称为“Dabangg”，它建立在“Flush+Reload”和“Flush+Flush”攻击的基础之上，这两个攻击的运行方式是使用“clflush”指令清空内存行，等待受害者进程访问内存行，重新加载内存行，测量加载它所需的时间。DABANGG与二者相似，是基于刷新的缓存攻击，并具有抵御系统噪声的能力。


https://thehackernews.com/2020/0 ... t-flush-attack.html

---