每日安全简讯(20210615)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 黑客可以利用三星预装的应用程序来监视用户

三星预装的Android应用程序中披露了多个严重的安全漏洞，如果成功利用这些漏洞，攻击者可能会在未经用户同意的情况下访问个人数据并控制设备。移动安全初创公司Oversecured的创始人Sergey Toshin周四发布的一份分析报告中表示“这些漏洞可能使攻击者能够访问和编辑受害者的联系人、通话、短信/彩信，安装具有设备管理员权限的任意应用程序，或者代表系统用户读写任意文件，从而更改设备的设置。”Toshin于2021年2月向三星报告了这些漏洞，随后三星发布了补丁，作为其4月和5月的月度安全更新的一部分。


https://thehackernews.com/2021/0 ... it-samsung-pre.html

---

2 攻击者利用恶意网站链接针对印度政府官员

印度包括国防部官员在内的政府官员成为通过WhatsApp、短信和电子邮件发送的恶意网络链接的攻击目标。该消息希望官员点击 www[.]covid19india[.]in[.]生成COVID-19接种的数字证书。当用户点击该链接时，它会将用户引导到一个“@gov.in”网站，该网站类似于政府官方网站“mygov.in”。用户被要求在虚假页面上输入他们的官方电子邮件和密码。在给国防部官员的一封电子邮件中，分享了一个Google drive链接，假装正在收集有关武装部队接种疫苗后采取的措施信息。一些官员甚至接到电话，来电者说他是从一家军队医院打来的，该官员需要在WhatsApp发送的链接上更新疫苗接种情况。


https://securereading.com/malici ... vernment-officials/

---

3 SIP通信协议可能被滥用来执行跨站脚本攻击

最新研究显示，SIP通信协议可能被滥用来执行跨站脚本(XSS)攻击。Enable Security的Juxhin Dyrmishi Brigjaj在周四(6月10日)的一篇博客文章中说，会话发起协议(SIP)可以用来管理跨服务的通信，包括VoIP (Voice over IP)、音频和即时消息，可以用作对软件执行基于应用程序的攻击的渠道。这包括XSS攻击，在这种攻击中，用户的浏览器会话可能会遭到破坏，同源策略可能会被规避，并且可能会出于盗窃、网络钓鱼或部署恶意软件等目的进行用户冒用。


https://portswigger.net/daily-sw ... monitoring-software

---

4 FBI警告BEC诈骗者冒充建筑公司针对私营企业

美国联邦调查局(FBI)警告私营企业称，诈骗者冒充建筑公司进行商业电子邮件入侵 (BEC) 攻击，针对美国多个关键基础设施部门的组织。根据联邦调查局的说法，威胁者利用建筑公司正在进行的、已完成的或已授予的业务关系，欺骗其私营和公共部门客户。这些事件是2021年3月开始的一项活动的一部分，已经造成数十万到数百万美元的经济损失。


https://www.bleepingcomputer.com ... truction-companies/

---

5 研究人员发现Stem Audio智能扬声器存在漏洞

Grimm的安全研究人员入侵了Stem Audio Table会议室扬声器，以说明一个更普遍的观点，即最新的摄像头和麦克风包都含内置处理器，因此更容易受到损害。在检查了Stem Audio Table扬声器后，研究人员表示，他们能够实施远程代码执行攻击，从而创造了窃听受感染设备附近对话或其他漏洞的手段。他们说，RCE漏洞是由于基于堆栈的缓冲区溢出（内存处理）缺陷。研究人员还在该设备上发现了一个命令注入漏洞。所有这些漏洞都在Stem Audio 6月份发布的安全补丁中得到了修复。


https://portswigger.net/daily-sw ... -eavesdropping-risk

---

6 美国司法部关闭被盗凭据地下交易市场Slilpp

美国司法部 (DoJ) 周四表示，作为国际执法行动的一部分，它破坏并摧毁了一个名为“Slilpp”的地下市场的基础设施，该市场专门交易被盗登录凭据。Slilpp自2012年开始运作，是一个涉嫌盗用全球1400家公司在线账户登录凭证的市场，出售8000多万个被盗用的银行账户、在线支付账户、手机账户、零售商账户和其他在线账户用户名和密码。根据现有的受害者报告，美国司法部表示，通过Slilpp出售的被盗登录凭证已经在美国被用于窃取不少于2亿美元。


https://thehackernews.com/2021/0 ... -slilpplargest.html

---