每日安全简讯(20240729)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 恶意Python包威胁macOS开发者GCP账户

安全研究团队近期发现，一个名为“lr-utils-lib”的Python包暗藏恶意代码，专门针对macOS系统，企图窃取Google Cloud Platform（GCP）账户凭据。该软件包于2024年6月初上传至PyPi，其恶意代码在安装时自动执行，通过预定义的哈希列表识别目标机器，并将收集到的凭证发送至远程服务器。此外，调查还揭露了一个虚假的LinkedIn个人资料，其中“Lucid Zenith”自称为某公司CEO，暗示了可能的社会工程手段。

https://checkmarx.com/blog/malicious-python-package-targets-macos-developers-to-access-their-gcp-accounts/

---

2 攻击者构建虚假网站对德国组织进行网络钓鱼

研究人员报告了一起精心策划的网络钓鱼攻击，目标是德国的特定组织。攻击者建立了一个假冒网站，提供看似合法的CrowdStrike Crash Reporter安装程序。该网站利用了CrowdStrike Falcon传感器更新中的漏洞，企图诱使受害者下载并安装伪装成JQuery库的恶意JavaScript文件。安装程序要求受害者输入特定密码，进一步增加了攻击的针对性和隐蔽性。CrowdStrike Intelligence建议用户仅通过官方渠道下载软件更新，并提高对网络钓鱼攻击的警觉性。

https://www.crowdstrike.com/blog/malicious-inauthentic-falcon-crash-reporter-installer-spearphishing/

---

3 一例名为SeleniumGreed加密货币挖掘行动

研究人员近日发现，一个名为“SeleniumGreed”的威胁活动正利用互联网上暴露的Selenium Grid服务进行加密货币挖掘。Selenium Grid作为一种广泛使用的测试框架，其默认配置缺乏身份验证，导致大量实例易受攻击。攻击者通过滥用Selenium WebDriver API执行远程命令，部署XMRig挖矿程序。该活动显示出攻击者的高度隐蔽性，使用多种技术避免检测，包括禁用命令历史记录、时间戳操作和自定义UPX标头。目前，威胁行为体仍然活跃，且攻击可能已经演变至利用更高版本的Selenium。

https://www.wiz.io/blog/seleniumgreed-cryptomining-exploit-attack-flow-remediation-steps

---

4 GitHub CFOR漏洞允许访问已删除或私有存储库

安全研究人员发现GitHub存在设计缺陷，允许用户访问已删除和私有的存储库数据，这一漏洞被称为跨分叉对象引用（CFOR）。GitHub确认这是其有意设计的架构功能，并非错误。研究人员展示了三种场景，包括访问已删除分支数据、已删除仓库数据和私有存储库数据。攻击者可以通过GitHub的UI暴力破解提交哈希或利用公共事件API端点来访问数据。研究人员建议密钥轮换作为修复措施，并提醒用户更新秘密扫描工具。

https://trufflesecurity.com/blog/anyone-can-access-deleted-and-private-repo-data-github

---

5 Gemini交易所披露第三方数据泄露事件

2024年7月26日，加密货币交易所Gemini披露了一起由其ACH服务提供商遭受的网络攻击引起的数据泄露事件。泄露发生在2024年6月3日至7日，影响了部分客户的银行信息。尽管敏感信息如出生日期、地址、社保号码等未被泄露，但客户被建议启用多因素认证并警惕可能的欺诈行为。目前，事件正在调查中，Gemini建议受影响者采取额外的安全措施。

https://www.bleepingcomputer.com/news/security/crypto-exchange-gemini-discloses-third-party-data-breach/

---

6 MCG Health支付880万美元和解数据泄露案

软件制造商MCG Health同意支付880万美元，以和解2020年黑客事件引发的集体诉讼。诉讼指出，MCG Health在数据泄露两年后才察觉并报告了该事件，影响了约110万人。该诉讼于2022年提起，指控MCG Health未能保护敏感信息，且在遭受攻击后长时间未检测到数据泄露。

https://www.bankinfosecurity.com/software-maker-mcg-health-settles-data-breach-suit-for-88m-a-25851?&web_view=true

---