每日安全简讯(20210617)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 微软365 Defender研究人员中断了大规模BEC活动

微软365 Defender的研究人员最近发现并中断了托管在多个Web服务中的大规模商业电子邮件攻击(BEC)基础设施。攻击者利用这种基于云的基础设施通过网络钓鱼攻击邮箱并添加转发规则，使这些攻击者能够访问有关金融交易的电子邮件。研究人员观察到，攻击者试图从邮箱中提取电子邮件。攻击者虚拟机中名为“Crown EasyEmail”的工具可能用于此活动。


https://www.microsoft.com/securi ... bec-infrastructure/

---

2 CISA警告称数百万台联网的摄像头存在严重漏洞

美国网络安全与基础设施安全局(CISA)近日发出警告称，数百万联网的安全和家庭摄像头包含一个严重的软件漏洞，远程攻击者可以利用该漏洞入侵视频传输。这个漏洞（CVE-2021-32934，CVSS v3基本得分为9.1）是通过来自ThroughTek的供应链组件引入的，该组件已被多家安全摄像头的原始设备制造商 (OEM) 以及例如婴儿和宠物监控摄像头、机器人和电池设备等物联网设备制造商使用。


https://threatpost.com/millions- ... vesdropping/166950/

---

3 攻击者可利用Instagram中漏洞查看私人帐户内容

Instagram修补了一个新漏洞，该漏洞允许任何人查看私人账户发布的存档帖子和故事，而不需要关注他们。Mayur Fartade今天在Medium上发帖说，这个漏洞可能允许恶意用户在Instagram上查看目标媒体，攻击者可以在不使用Media ID关注用户的情况下查看私人/存档帖子、故事、影片、IGTV的详细信息。Fartade于2021年4月16日向Facebook的安全团队披露了这个问题，随后该漏洞于6月15日被修复。


https://thehackernews.com/2021/0 ... anyone-to-view.html

---

4 美国最大的丙烷供应商AmeriGas数据泄露

美国最大的丙烷供应商AmeriGas披露了一起数据泄露事件，这起事件持续时间短暂，但影响了123名员工。数据泄露起源于J. J. Keller，一家负责向AmeriGas提供美国交通部 (DOT) 合规服务的供应商。5月10日，J. J. Keller在与公司电子邮件帐户关联的系统上检测到可疑活动。发现J. J. Keller的一名员工成为了网络钓鱼邮件的受害者，导致他们的账户遭到入侵。在重置该员工的账户凭证后，J. J. Keller立即开始了他们的取证活动，以确定此次违规的全部范围。5月21日，J. J. Keller通知AmeriGas，这次8秒的入侵暴露了攻击者可以查看的文件中的123名AmeriGas员工的记录。在这起违规事件中，还有一名新罕布什尔州居民的信息被曝光，他后来被告知了这一事件，并得到了免费的信用监控服务。目前，没有迹象表明任何员工信息被复制或滥用。


https://www.bleepingcomputer.com ... second-data-breach/

---

5 微软Teams中漏洞可能允许攻击者窃取敏感数据

研究人员警告说，微软Teams中的一个漏洞可能会允许恶意行为者窃取敏感数据并访问受害者的通信。该漏洞现已修复，它允许攻击者窃取受害者的电子邮件、Teams消息和OneDrive文件，并代表受害者发送电子邮件和消息。Tenable的研究工程师Evan Grant发现了这个问题。在未打补丁的Teams版本中，参与者可以设置一个恶意选项卡，当受害者打开这个选项卡时，将允许攻击者访问他们的私人文档和通信。然而，Grant指出，恶意行为者必须是他们正在攻击的微软Teams组的成员，这意味着该漏洞只能在内部威胁攻击的情况下起作用。


https://portswigger.net/daily-sw ... -and-personal-files

---

6 黑客论坛公开Paradise勒索软件.NET版本源代码

安全公司Security Joes的高级威胁情报分析师Tom Malka称，上周末黑客论坛上泄露了Paradise勒索软件.NET版本的源代码。该代码在名为XSS的俄语论坛上共享，是继 Dharma代码于2020年初泄露之后，近年来源代码泄露的第二个主要勒索软件。恶意软件分析师Bart Blaze和MalwareHunterTeam证实了泄露文件的真实性。Malka和Blaze称，上周末泄露的Paradise代码是Paradise勒索软件.NET版本的源代码，更确切地说是它的生成器和解密实用程序的源代码。


https://therecord.media/source-c ... -on-hacking-forums/

---