每日安全简讯(20240628)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 FBI警告伪装成律师事务所咨询服务的加密货币骗局

联邦调查局警告称网络犯罪分子冒充律师事务所和律师向投资诈骗的受害者提供加密货币追回服务，意图窃取资金和个人信息。诈骗者声称与美国联邦调查局、消费者金融保护局（CFPB）等政府机构有合作欺骗受害者信任，诈骗分子常见的谎言包括：要求受害者提供个人或银行信息以取回他们的钱。要求受害者预先支付部分费用，并在收回资金时支付余额。指示受害者补缴税款和其他费用以收回他们的资金。

https://www.ic3.gov/Media/Y2024/PSA240624

---

2 P2PInfect僵尸网络向受控节点分发勒索软件模块

原本潜伏的、动机不明的点对点恶意软件僵尸网络P2PInfect最近开始变得活跃起来，在对Redis服务器的攻击中部署了勒索软件模块和加密矿工，研究人员声称有证据表明该恶意软件以“雇佣僵尸网络”的形式运行。从2024年5月16日开始，感染P2PInfect的设备开始收到从指定URL下载并运行勒索软件负载(rsagen)的指令，该命令有效期至2024年12月17日，勒索软件针对与数据库（SQL、SQLITE3、DB）、文档（DOC、XLS）和媒体文件（MP3、WAV、MKV）相关的特定扩展名的文件进行加密。

https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer

---

3 安卓版Chrome浏览器测试新的身份信息验证功能

谷歌正在为Android版的Chrome浏览器测试一项名为“数字凭证 API”的新功能，该功能允许网站安全地请求存储在移动钱包中的身份信息。根据Google的官方文档，Identity Credential API提供了一个接口，可以访问一个安全存储区，该存储区存储着现实世界的身份证明文件，包括可以是护照、驾驶执照、或者用户上传的任何其他身份证明文件。目前尚不清楚该功能何时可正式推出，谷歌仍在试验该想法。

https://source.android.com/docs/security/features/identity-credentials

---

4 Fortra FileCatalyst工作流应用存在严重SQL注入漏洞

工作流传输应用Fortra FileCatalyst Workflow存在严重的安全漏洞，该漏洞允许攻击者通过工作流Web应用程序的各个URL端点中的JOBID参数执行SQLi，修改包括创建管理用户以及删除或修改应用程序数据库中的数据。该漏洞编号为CVE-2024-5276，CVSS评分为9.8，它影响FileCatalyst Workflow版本5.1.6 Build135及更早版本。该漏洞已在版本5.1.6 build139中得到解决。

https://www.fortra.com/security/advisory/fi-2024-008

---

5 Progress MOVEit传输应用存在身份验证绕过漏洞

影响Progress Software MOVEit Transfer传输应用的严重安全漏洞在细节被公开披露后不久就已开始受到广泛的攻击者利用，该漏洞编号为CVE-2024-5806（CVSS评分：9.1）。Progress MOVEit Transfer（SFTP模块）中不当的身份验证漏洞可能导致身份验证绕过，成功利用这些漏洞可以让攻击者绕过SFTP身份验证并获得对MOVEit Transfer和Gateway系统的访问权限。

https://community.progress.com/s/article/MOVEit-Transfer-Product-Security-Alert-Bulletin-June-2024-CVE-2024-5806

---

6 苹果修复AirPods产品中可能导致窃听的蓝牙漏洞

Apple发布AirPods的固件更新修补可能会允许恶意行为体以未经授权的方式访问耳机的安全漏洞，该安全问题编号为CVE-2024-27867，影响AirPods（第二代及更新版本）、AirPods Pro（所有型号）、AirPods Max、Powerbeats Pro和Beats Fit Pro等产品。当你的耳机正在向之前配对的设备之一发出连接请求时，蓝牙范围内的攻击者可能会伪造预期的源设备并获取你耳机的访问权限。换句话说，物理距离较近的对手可以利用此漏洞窃听私人谈话。

https://support.apple.com/en-us/106340

---