每日安全简讯(20230424)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 X_Trader供应链攻击影响多国关键基础设施

赛门铁克团队发现X_Trader软件供应链攻击影响的组织比3CX还多，受害者中有两家能源行业的关键基础设施组织，一家在美国，另一家在欧洲，除此之外，另外两个涉及金融交易的组织也遭到破坏。木马化的X_Trader软件是上个月发现的3CX漏洞的原因，由此3CX的软件遭到破坏，许多客户无意中下载了该公司语音和视频通话软件DesktopApp的恶意版本。

https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/xtrader-3cx-supply-chain

---

2 攻击者利用GhostToken漏洞攻击谷歌账户

谷歌解决了一个云平台 (GCP) 安全漏洞，该漏洞会影响所有用户并允许攻击者使用从Google Marketplace或第三方提供商安装的恶意 OAuth应用程序入侵帐户。以色列网络安全初创公司Astrix Security将其命名为GhostToken，该公司于 2022 年 6 月发现并向谷歌报告了这一安全漏洞，该安全漏洞已通过 2023 年 4 月上旬推出的全球补丁得到解决。

https://www.bleepingcomputer.com/news/security/ghosttoken-gcp-flaw-let-attackers-backdoor-google-accounts/

---

3 Fakecalls恶意软件滥用合法签名密钥

McAfee Mobile Research Team发现了 一个Android银行木马程序，该木马程序使用韩国合法应用程序使用的密钥签名。按照设计，Android要求所有应用程序都必须使用密钥签名，这样才能安装或更新。Android银行木马就使用这个合法的签名密钥来绕过基于签名的检测技术。这一威胁已于去年披露给拥有合法密钥的公司，该公司已采取预防措施，确认已更换签名密钥。目前，所有的合法应用程序都使用新的签名密钥进行签名。McAfee对该木马进行了详细分析。

https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fakecalls-android-malware-abusing-legitimate-signing-key/

---

4 思科修复解决方案中关键安全漏洞


思科发布了安全更新，以解决其Industrial Network Director 和 Modeling Labs解决方案中的关键安全漏洞。该漏洞跟踪为CVE-2023-20036（CVSS 评分：9.9），攻击者可以利用该漏洞在底层操作系统上以管理权限执行任意命令，并利用这些漏洞注入任意操作系统命令或访问敏感数据。研究发现此漏洞是由于应用于应用程序数据目录的默认文件权限不足造成的。

https://securityaffairs.com/145108/security/industrial-network-director-and-modeling-labs-critical-flaws.html

---

5 CISA添加了3个漏洞到KEV目录

美国网络安全和基础设施安全局 (CISA) 周五根据主动利用的证据，在其已知利用漏洞 ( KEV ) 目录中添加了三个安全漏洞。三个漏洞如下CVE-2023-28432（CVSS 评分 - 7.5）- MinIO 信息泄露漏洞、CVE-2023-27350（CVSS 评分 - 9.8）- PaperCut MF/NG 不当访问控制漏洞、CVE-2023-2136（CVSS 评分 - 待定）- Google Chrome Skia 整数溢出漏洞。

https://thehackernews.com/2023/04/cisa-adds-3-actively-exploited-flaws-to.html

---

6 美国律师协会数据泄露波及140万会员


ABA是全球最大的律师和法律专业人士协会，截至2022年拥有166000 名会员 。该组织为律师和法官提供继续教育和服务，并采取措施改善美国的法律体系。ABA 开始通知会员，2023年3月17日在其网络上检测到一名黑客，并且可能已经获得了对2018年停用的遗留会员系统的会员登录凭据的访问权限。虽然 BleepingComputer 了解到这不是勒索软件攻击，也没有公司或个人数据被盗，但担心威胁行为体可能会滥用凭据。

https://www.bleepingcomputer.com/news/security/american-bar-association-data-breach-hits-14-million-members/

---