每日安全简讯(20190826）

1 尼日利亚诈骗者利用BEC攻击窃取数百万美元

据联邦调查局称80多名尼日利亚网络诈骗者，通过向企业发送虚假电子邮件，使用“浪漫骗局”主题和BEC攻击(企业电子邮件入侵)，从美国公司和个人窃取了数百万美元。网络诈骗者通过入侵企业的电子邮件，冒充电子邮件的商业主管，向受害者发送看似合法的电子邮件，欺骗受害公司和个人，将大笔资金转移到黑客的银行账户。联邦调查人员已开启了对相关诈骗者的起诉。


https://in.pcmag.com/news/132200 ... mails-romance-scams

---

2 WordPress多个插件漏洞被用于流量劫持攻击活动

Wordfence研究人员自7月31日开始发现黑客利用几个WordPress插件旧漏洞，重定向访问者流量到恶意站点的攻击活动。受影响的插件为NicDark、简单301重定向插件-批量上传器。其中NicDark插件包括其WP Bakery页面构建器、订阅、旅行管理组件所存在的漏洞，允许攻击者将网站加载的JavaScript替换为受控制的文件。另一个插件漏洞允许未经身份验证的攻击者将自己的301重定向规则注入受害者的网站，攻击者可以上传CSV文件，如果站点处理上传的恶意CSV文件，会将所有流量重定向到提供的地址。WordPress用户应该尽快更新以避免攻击。


https://threatpost.com/wordpress ... rchers-warn/147671/

---

3 研究人员发现针对Instagram用户的钓鱼活动

研究人员Ducklin发现针对Instagram用户的新网络钓鱼活动，攻击者使用虚假登录警告邮件和看似为双因素认证(2FA)代码的社会工程学手段来欺骗用户，增加可信性。攻击者伪装成官方消息，向Instagram用户发送虚假登录警报，表示有人试图登录目标帐户，要求他们通过邮件中链接的登录页面确认其身份。邮件还包含看似为2FA代码，表示用于确认用户已接受到邮件。网络钓鱼的登陆页面是一个完美克隆的Instagram登录页面，其使用有效的HTTPS证书进行保护，并显示绿色挂锁以减轻用户怀疑。研究人员表示其域名并不是官方域名，而是.CF域名（中非共和国的国家代码顶级域名）。


https://www.bleepingcomputer.com ... ogin-warning-baits/

---

4 SimpleMDM Apple设备管理解决方案存在XXE漏洞

移动安全公司AppKnox的高级安全研究员在SimpleMDM Apple设备管理解决方案中发现XML外部实体（XXE）漏洞。研究人员表示该漏洞可能被用于各种目的，包括端口扫描，从系统读取任意文件，以及接管用于管理设备的管理门户。为XXE创建概念验证的基线是端口扫描，并验证用户是否受到了来自易受攻击服务器的攻击，如果服务器正在接受外部DTD（文档类型定义），攻击者可以制定不同的请求来从服务器读取文件。SimpleMDM在接收到该漏洞通知后，立即发布了补丁。但针对该漏洞的评估与研究人员存在分歧，SimpleMDM表示该漏洞允许攻击者获取可公开访问的Web文档，不允许本地文件访问。


https://www.securityweek.com/vul ... management-solution

---

5 马来西亚媒体集团Astro泄露客户MyKad数据

马来西亚媒体集团Astro遭到了数据泄露，影响客户MyKad数据，如姓名、出生日期、地址、性别、种族和身份证号码。Astro发现该事件后立即停止了未经授权的访问，并证实只有0.2％的客户受到此事件的影响，任何财务数据没有遭到黑客窃取。


https://cyware.com/news/astro-su ... mykad-data-988550f3

---

6 美国马萨诸塞州综合医院遭到未经授权访问

马萨诸塞州综合医院（MGH）宣布在2019年6月24日，神经病学部门用于研究的两种计算机应用相关的数据库遭到未经授权访问。MGH确定未经授权的一方在6月10日至6月16日期间拥有访问存储在这些数据库上的研究信息的必要权限，潜在受影响的人数为9900人。MGH没有明确说明暴露了哪些类型的数据，但表示可能会影响研究参与者的姓名、人口统计细节、出生日期和医疗信息，没有发现任何证据表明安全事件暴露了个人的社会安全号码、财务信息或保险细节。


https://www.tripwire.com/state-o ... f-privacy-incident/

---