每日安全简讯(20210825)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 研究人员披露ShinyHunters网络犯罪团伙的攻击方法

臭名昭著的地下网络犯罪组织ShinyHunters自去年以来一直在疯狂地进行数据泄露。一份对这些黑客行为的分析显示，他们一直在搜索公司GitHub存储库的源代码，用来发动更大规模攻击的漏洞。自2020年4月活跃以来，ShinyHunters声称对一系列数据泄露事件负责，包括Tokopedia、Wattpad、Pixlr、Bonobos、BigBasket、Mathway、Unacademy、MeetMindful和微软的GitHub账户等。


https://thehackernews.com/2021/0 ... us-operandi-of.html

---

2 诺基亚子公司遭Conti勒索软件攻击后发生数据泄露

总部位于美国的诺基亚子公司SAC Wireless披露了在勒索软件攻击后发生的数据泄露事件，Conti勒索软件团伙成功破坏其网络、窃取数据和加密系统。在勒索软件攻击期间，在外部网络安全专家的帮助下进行的取证调查中，发现属于现任和前任员工的个人信息被盗。该公司认为被盗文件包含以下几类个人信息：姓名、出生日期、联系方式（如家庭住址、电子邮件和电话）、政府身份证号码 、护照或军人身份证、社会安全号码、公民身份、工作信息、病史、健康保险政策信息、车牌号、数字签名、结婚或出生证明、税收返回信息和受益人姓名。


https://www.bleepingcomputer.com ... -ransomware-attack/

---

3 Razer鼠标键盘可被用于获取Windows 10管理员权限

Razer外围设备安装软件被曝出的0day漏洞，无论是Razer鼠标、键盘还是任何使用Synapse工具的设备，只要插入一个兼容的外设并下载Synapse，就可以在Windows 10上赋予插件内部完全的管理权限。Razer为游戏玩家生产流行的高端硬件，包括鼠标、键盘和游戏椅，它的Razer Synapse软件使用户能够配置硬件设备、设置宏或地图按钮。该漏洞是由安全研究员jonhat报告的，他于周六发布了关于它的推文，截至周日，这条推文引起了Razer的注意，制造商告诉jonhat，其安全团队正在努力尽快修复。


https://threatpost.com/windows-1 ... peripherals/168855/

---

4 CISA建议立即修补Exchange ProxyShell漏洞

美国网络安全和基础设施安全局(CISA)发出警报，警告管理员解决积极利用的本地Microsoft Exchange服务器的ProxyShell漏洞。ProxyShell 是三个漏洞的名称，未经身份验证的远程攻击者可以通过链接这些漏洞在 Microsoft Exchange 服务器上执行代码。ProxyShell 攻击中使用的三个漏洞是：CVE-2021-34473–预身份验证路径混淆导致ACL绕过（KB5001779于4月修补），CVE-2021-34523–Exchange PowerShell后端权限提升（KB5001779于4月修补），CVE-2021-31207–授权后任意文件写入导致RCE（KB5003435于5月修补）。


https://securityaffairs.co/wordp ... oxyshell-flaws.html

---

5 Web文件管理器elFinder中的漏洞使服务器易受攻击

流行的开源web文件管理器elFinder中的严重漏洞，可能使未经身份验证的攻击者能够在托管elFinder后端PHP连接器的服务器上执行任意PHP代码。安全研究人员已经记录了5个漏洞链，它们结合了其他“无害的漏洞”，形成了能够控制服务器的漏洞利用链。幸运的是，这些漏洞最近已被修补，漏洞研究员敦促用户尽快更新他们的系统。这些漏洞已于3月报告给项目维护人员，并在6月发布的2.1.59版本中进行了修补，并于8月17日发布了技术细节。


https://portswigger.net/daily-sw ... eptible-to-takeover

---

6 微软开发平台因配置不当暴露3800万条记录

超过1000个web应用程序在开放互联网上错误地暴露了3800万份记录，包括来自多个Covid-19接触者追踪平台、疫苗接种登记、工作申请门户网站和员工数据库的数据。泄露的数据都存储在微软的Power Apps门户服务中，这是一个开发平台，可以方便地创建供外部使用的Web或移动应用程序。这些数据包括一系列敏感信息，从人们的电话号码和家庭地址到社会安全号码和Covid-19疫苗接种状态。该事件影响了美国航空公司、福特、马里兰州卫生部、纽约市市政交通局和纽约市公立学校等大公司和组织。


https://www.wired.com/story/microsoft-power-apps-data-exposed/

---