每日安全简讯(20211025)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 NPM库UAParser.js被嵌入加密挖矿恶意软件

据CISA称，一个加密挖矿恶意软件隐藏在一个流行的JavaScript NPM库UAParser.js中。 该库每周的下载量超过600万至800万次，被用于网站和应用程序识别使用的浏览器和系统。NPM平台于2020年成为微软旗下GitHub的一部分。据报道，在攻击者成功劫持了维护者的NPM账户后，UAParser.js的三个版本，0.7.29、0.8.0、1.0.0都被嵌入了恶意代码。经确认，运行任何这些版本的设备都可能允许攻击者访问敏感和机密信息，甚至让他们控制计算机。


https://www.hackread.com/cisa-tr ... ibrary-npm-package/

---

2 瑞士活动组织营销公司MCH集团遭到网络攻击

瑞士活动组织者和营销公司MCH集团遭到恶意软件攻击，该公司表示正在努力让系统重新启动并运行。该公司拥有700多名员工，举办了大约90场展。它表示，目前即将举行的展览和活动仍将按计划进行。该公司在一份声明中表示:“内部ICT专家与其他外部专家和联邦当局立即采取措施，尽可能减少损失。作为这个过程的一部分，如果有任何数据被窃取，我们将进行调查。”


https://portswigger.net/daily-sw ... hit-by-cyber-attack

---

3 TodayZoo网络钓鱼活动仿冒Microsoft 365登录页面

微软详细介绍了一项不同寻常的网络钓鱼活动，旨在利用一套网络钓鱼工具窃取密码，这套工具使用了从其他黑客的作品中复制的代码片段。该网络钓鱼工具包被微软称为ZooToday，以工具包使用的一些文本命名。微软表示，TodayZoo正在使用WorkMail域名AwsApps[.]com来发送包含指向仿冒Microsoft 365登录页面的链接的网络钓鱼邮件。


https://www.zdnet.com/article/th ... ter-your-passwords/

---

4 思科SD-WAN存在命令注入漏洞可导致任意代码执行

思科的SD-WAN组合允许各种规模的企业使用各种网络技术，包括标准的互联网连接，通过云连接不同的办公地点。在IOS IE操作系统中，思科SD-WAN实现容易受到特权提升漏洞的影响，该漏洞可能导致任意代码执行。该漏洞(CVE-2021-1529)是一个操作系统命令注入漏洞，它使攻击者能够直接在通常无法访问的操作系统上执行意外的、危险的命令，它专门存在于Cisco的IOS XE SD-WAN软件的命令行界面(CLI)中，可以允许经过身份验证的本地攻击者使用root权限执行任意命令。


https://threatpost.com/cisco-sd- ... cution-root/175669/

---

5 Facebook设计了一个用于查找SSRF漏洞的新工具

Facebook宣布设计了一个名为SSRF Dashboard的新工具，允许安全研究人员搜索服务器端请求伪造(SSRF)漏洞。服务器端请求伪造是一种Web安全漏洞，允许攻击者诱导服务器端应用程序向攻击者选择的任意域名发出HTTP请求。SSRF Dashboard允许研究人员创建独特的内部端点URL，这些URL可能会成为SSRF攻击的目标，并确定它们是否已被攻击。研究人员可使用该工具测试他们的SSRF概念验证代码。


https://securityaffairs.co/wordp ... dashboard-tool.html

---

6 黑客入侵SCUF Gaming商店窃取3.2万名客户的信用卡信息

定制PC和主机控制器的领先制造商SCUF Gaming International通知客户，其网站在2月份被黑客植入恶意脚本，窃取了他们的信用卡信息。SCUF Gaming为PC和游戏机制造高性能和定制的游戏控制器，供专业和休闲玩家使用。这起安全事件导致超过32000名客户受到影响。可能暴露的数据包括持卡人姓名、电子邮件地址、账单地址、信用卡号、截止日期和信用卡安全码。


https://www.bleepingcomputer.com ... f-32-000-customers/

---