每日安全简讯(20211003)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Hydra Android木马活动针对欧洲银行的客户

专家警告称，有一场针对欧洲电子银行平台用户的恶意软件活动，该恶意软件带有Hydra银行木马。据称，新的攻击主要影响了德国第二大银行德国商业银行的客户。Hydra是一款Android银行机器人，至少从2019年初就开始活跃了。攻击者设置了一个冒充德国商业银行官方页面的页面，并在同一个IP(91.214.124[.]225)上注册多个域名，利用虚假网站传播受感染的德国商业银行应用程序。


https://securityaffairs.co/wordp ... european-banks.html

---

2 投资平台MoneyLion锁定了遭到撞库攻击的客户账户

银行和投资平台MoneyLion不得不锁定在6月和7月遭到撞库攻击的客户账户。在这次攻击中，攻击者利用在各种在线服务的安全漏洞后泄露的大量用户名/密码组合来登录受害者在其他在线平台上的用户帐户。此类攻击通常对那些在多个站点上重复使用其帐户凭据的人特别有效。攻击者的最终目标是访问尽可能多的账户以窃取敏感信息和金钱或接管账户所有者的身份。MoneyLion迅速展开调查，并确定极少数账户可能受到影响。


https://www.bleepingcomputer.com ... l-stuffing-attacks/

---

3 谷歌修复了两个目前被广泛利用的0day漏洞

本月第二次，谷歌修复了两个Chrome的0day安全漏洞，这些漏洞已经被攻击者广泛利用。谷歌发布了适用于Windows、Mac和Linux机器的稳定频道Chrome更新，该更新将Chrome升级到94.0.4606.71版本。该更新包括四个针对Chrome的安全修复程序，包括两个0day漏洞。其中之一是一个被追踪为CVE-2021-37975的高危漏洞，它源于一位匿名研究人员报告的谷歌难以保护的V8 JavaScript引擎；另一个中危漏洞，被追踪为CVE-2021-37976，是核心信息泄漏漏洞。


https://www.zdnet.com/article/go ... r-attack-right-now/

---

4 Apple Pay存在漏洞可被利用于未经授权的支付

网络安全研究人员透露，Apple Pay存在一个尚未修复的漏洞，攻击者可以利用设备钱包中设置的Express Travel模式，利用锁定的iPhone进行未经授权的Visa支付。伯明翰大学和萨里大学的一组学者说：“攻击者只需要一台偷来的、已开机的iPhone。交易也可以在受害者不知情的情况下进行，攻击者不需要商家的帮助，后台欺诈检测检查并没有阻止我们的任何测试支付。”


https://thehackernews.com/2021/1 ... abused-to-make.html

---

5 研究发现原型污染漏洞在高流量网站中普遍存在

据安全研究人员称，超过1000个流行网站和18个被广泛使用的JavaScript库容易受到原型污染，这是一种针对JavaScript对象结构的模糊攻击技术。在研究期间，研究人员已经向许多知名公司报告了这种脆弱性，总共向漏洞披露程序报告了大约80个漏洞。JavaScript是前端Web的语言，它允许开发人员动态更改对象的属性和功能。但这种灵活性需要权衡，如果程序员不小心，攻击者可以利用其应用程序中的安全漏洞将恶意代码注入其对象的原型中。


https://portswigger.net/daily-sw ... ebsites-study-finds

---

6 310万张Neiman Marcus客户卡详细信息被泄露

总部位于达拉斯的内曼·马库斯集团(Neiman Marcus Group)是全球知名的高端奢侈品零售商。但他们无可挑剔的质量声誉刚刚受到了重大打击，因为有消息披露，该公司在2020年5月遭到了黑客的攻击。该零售商花了17个月才注意到这一点。就在本周，Neiman Marcus承认泄露了客户的个人信息，包括姓名、联系信息、付款卡信息、礼品卡号码、用户名、密码。


https://threatpost.com/neiman-marcus-customers-breach/175284/

---