每日安全简讯(20210214)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Lampion木马利用COVID-19模板在葡萄牙传播

在过去的几天里，一个Lampion木马的新版本在葡萄牙发布，它利用了与COVID-19相关的模板。这种木马以不同的方式在葡萄牙传播，这次新冠大流行和正在进行的疫苗接种过程是该木马活动的原因。具体来说，攻击者假冒域名“min-saude.pt”，其恶意zip文件的链接也在电子邮件正文中分发。其作案方法与以前的版本相同，只是在侧面加载过程中使用的dll地址和地理定位在俄罗斯的C2服务器发生了变化。


https://securityaffairs.co/wordp ... rtugal-covid19.html

---

2 Telegram修复了其macOS应用程序中的隐私漏洞

流行的消息应用Telegram修复了其macOS应用程序中一个破坏隐私的漏洞，该漏洞可以在秘密聊天中消失很久之后访问自毁的音频和视频消息。安全研究员在该应用的7.3版本中发现了这个漏洞，并于2020年12月26日向Telegram透露了他的发现，这个问题已经在1月29日发布的7.4版本中得到了解决。研究人员发现，当用户发送音频或视频消息时，应用程序泄漏了以“ .mp4”格式存储消息的确切路径。在秘密聊天选项打开的情况下，不会泄漏路径信息，但是记录的消息仍会存储在同一位置。


https://thehackernews.com/2021/0 ... gram-left-self.html

---

3 安全专家称近三分之二的CVE复杂度较低

安全专家警告说，已经公布的漏洞越来越多，这些漏洞相对容易被利用，而且不需要用户交互。2020年报告的CVE数量比以往任何一年都要多，除此之外，它还引发了人们对新出现的漏洞类型的担忧。在2020年披露的漏洞中，63%被归类为“低复杂性”，63%的数据创下了13年来的新高，这意味着具有低技术技能的攻击者可以利用它们。还有一个坏消息是，无需用户交互即可利用的漏洞也在增加：它们占2020年记录的所有CVE的68％。


https://www.infosecurity-magazin ... ds-of-cves-are-low/

---

4 美国国税局发布网络钓鱼攻击预警信息

美国国税局(IRS)警告美国税务专业人士，黑客正积极针对他们实施一系列网络钓鱼攻击，试图窃取电子文件识别码。在美国报税季之前，黑客们开始了这场持续不断的网络钓鱼活动，其最终目标是窃取客户数据和税务人员的身份信息。网络钓鱼电子邮件要求税务准备者通过电子邮件发送其“ EFIN（电子文件识别码）和驾照”的副本，作为伪造验证过程的一部分。为了说服潜在受害者交出他们的信息，攻击者威胁说，他们用于电子报税的账户将被禁用。


https://www.bleepingcomputer.com ... s-phishing-attacks/

---

5 新加坡电信运营商Singtel遭受0day攻击

Singtel是整个亚洲的一级电信运营商，受到了攻击者针对其第三方文件传输设备中的软件安全漏洞的攻击。Singtel是受此漏洞影响的多个组织之一。攻击的切入点是软件公司Accellion，它是一个遗留的大型文件传输产品File Transfer Appliance(简称FTA)的制造商。Accellion公开承认FTA存在的漏洞最终导致了与Singtel和其他客户系统的信息遭泄露。


https://threatpost.com/singtel-zero-day-cyberattack/163938/

---

6 应用程序Adorcom泄露了1.24亿行客户数据

旧金山一名安全研究员发现了一个暴露的网络摄像头应用程序Adorcam的用户数据库，其中包含了数千名用户的近1.24亿行数据。其中包括摄像头的位置、麦克风是否处于激活状态、摄像头连接的WiFi网络名称等实时细节，以及摄像头所有者的电子邮件地址等信息。研究人员的报告指出，该网络摄像头应用程序在互联网上没有密码的情况下就在暴露的数据库中保存了用户数据。该应用程序为Zeeporte和Umino等IP网络相机提供P2P连接。


https://ciso.economictimes.india ... omers-data/80881161

---