每日安全简讯(20211008)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 研究人员发现了一种新型Python勒索软件

研究人员发现了一种新的Python勒索软件，它来自一个匿名团伙，他们以所谓的狙击手般的速度攻击了ESXi服务器和虚拟机。安全公司Sophos表示，该勒索软件被用于对ESXi管理程序上的虚拟机进行加密和破坏，从最初的入侵到加密，整个过程只用了不到3个小时。这是Sophos调查过的最快的勒索软件攻击之一，而且它似乎精确地瞄准了ESXi平台。很少看到用于勒索软件的 Python 编码语言，但考虑到Python预装在基于 Linux 的系统（例如 ESXi）上，因此可以在这些系统上进行基于Python的攻击。


https://threatpost.com/vmware-es ... -ransomware/175374/

---

2 儿童监控应用Canopy中存在多个XSS漏洞

儿童监控应用程序Canopy允许家长控制孩子使用设备的时间，管理设备本身和所有通信，并防止孩子访问不适当的内容。一名安全研究人员报告称，这款儿童监控应用程序存在多个跨站脚本(XSS)漏洞，可能会泄露包括未成年人位置在内的数据。研究人员发现，孩子的请求解释可能包含在仪表板上执行的XSS，父母的拒绝解释可能包含在孩子手机上执行的XSS，请求中引用的URL可能包含在仪表板上执行的XSS。攻击者可以通过这些漏洞获得家庭的全部数据，包括孩子的位置。


https://portswigger.net/daily-sw ... -risk-location-leak

---

3 霍尼韦尔Experion PKS和ACE控制器存在多个漏洞

Experion PKS是一种分布式控制系统(DCS)，旨在控制石化炼油厂和核电站等各个行业的大型工业过程，高可靠性和安全性对于这些行业来说非常重要。近日，美国网络安全和基础设施安全局(CISA)发布了一份有关霍尼韦尔Experion PKS C200、C200E、C300和ACE控制器所有版本的多个安全漏洞的公告，这些漏洞可能被利用来实现远程代码执行和拒绝服务攻击。三个漏洞分别是：无限制上传具有危险类型的文件（CVE-2021-38397）；下游组件使用的输出中特殊元素的不当中和（CVE-2021-38395）；相对路径遍历（CVE-2021-38399）。


https://thehackernews.com/2021/1 ... -discovered-in.html

---

4 实时流媒体视频平台Twitch的敏感数据遭泄露

Twitch是亚马逊旗下的直播视频流服务，专注于视频游戏直播和电子竞技比赛直播。这次攻击是由一个黑客组织实施的，该组织将泄露的数据称为“第一部分”，这意味着更多的部分将很快出现。黑客在4chan消息论坛上传了一篇帖子，声称要发布125GB的种子文件。除了泄露 Twitch.tv的代码外，攻击者还声称窃取了Twitch的所有桌面、移动和控制台客户端，并访问了Twitch使用的内部AWS专有软件开发工具包服务。


https://www.hackread.com/twitch-hacked-source-code-leaked-online/

---

5 Anonymous组织泄露了德克萨斯共和党的数据

据德克萨斯州独立记者史蒂文·莫纳切利称，黑客行动主义团体Anonymous第三次发起了涉及华盛顿域名注册商和网络托管服务Epik的攻击，根据莫纳切利的说法，这一次，该组织泄露了属于Epik客户之一的德克萨斯共和党的数据。他引用Anonymous的一篇帖子说，泄露的数据集包含来自共和党数据备份服务器的敏感信息，包括私人文件、数据库和从未发表过的文章草稿等。德克萨斯州共和党网站在9月11日遭到Anonymous的攻击，黑客组织破坏了整个网站，包括其注册、捐赠和联系页面。


https://www.govinfosecurity.com/ ... m-texas-gop-a-17679

---

6 英国媒体《电讯报》10TB的订户数据遭到泄露

英国最大的报纸和在线媒体之一《电讯报》在未能妥善保护其数据库后泄露了10 TB数据。受欢迎的研究员Bob Diachenko于2021年9月14日发现了这个数据库，其中包含内部日志和订阅者信息，数据存储在暴露的Elasticsearch集群上。公开的订阅者数据包括全名、电子邮件地址、设备信息、URL 请求、IP地址、身份验证令牌和唯一阅读器标识符。该数据库还包括一些苹果新闻订阅者或注册用户的密码。



https://securityaffairs.co/wordp ... raph-data-leak.html

---