研究职员披露AWS中使用AppSync的跨租户误差的详情
宣布时间 2022-11-301、研究职员披露AWS中使用AppSync的跨租户误差的详情
据11月28日报道， ，， ， ，，研究职员披露了Amazon Web Services中的跨租户误差， ，， ， ，，攻击者可以使用该误差获得对资源未经授权的会见。。 。。该误差与混淆署理问题有关， ，， ， ，，是一种提权误差。。 。。这种攻击使用了AppSync效劳来肩负其他AWS账户中的IAM角色， ，， ， ，，这使得攻击者能够进入到目的组织中并会见这些账户中的资源。。 。。研究职员于2022年9月1日报告了该问题， ，， ， ，，AWS于9月6日修复了该误差。。 。。
https://thehackernews.com/2022/11/researchers-detail-appsync-cross-tenant.html
2、Checkmarx发明使用TikTok挑战来分发恶意软件的活动
Checkmarx在11月28日称其发明了使用TikTok“隐形挑战”分发恶意软件的活动。。 。。该挑战要求用户使用TikTok的“身体隐形”滤镜拍摄裸体， ，， ， ，，该滤镜会从视频中移除身体部分并用模糊配景取代。。 。。攻击者制作了TikTok视频， ，， ， ，，声称可以提供一种特殊的过滤器， ，， ， ，，消除TikTok的“身体隐形”效果。。 。。然而， ，， ， ，，该软件会装置WASP Stealer， ，， ， ，，它能够窃取存储在浏览器、加密钱币钱包中的Discord帐户、密码和信用卡， ，， ， ，，甚至是目的盘算机中的文件。。 。。
https://checkmarx.com/blog/attacker-uses-a-popular-tiktok-challenge-to-lure-users-into-installing-malicious-package/
3、BianLian团伙宣布从加拿大Harry Rosen窃取的1GB数据
据媒体11月25日报道， ，， ， ，，加拿大男装连锁店Harry Rosen遭到了网络攻击。。 。。该公司尚未透露攻击类型， ，， ， ，，以及是否影响了公司的运营。。 。。BianLian声称对此次攻击认真， ，， ， ，，并宣布了一个1 GB的文件作为攻击的证据， ，， ， ，，其中包括Harry Rosen的Gold+客户列表、销售信息和种种其它类型的文件。。 。。BianLian于8月份首次被发明， ，， ， ，，勒索软件是用Go语言为Windows系统开发的， ，， ， ，，其初始会见可能是通过Windows ProxyShell误差或SonicWall VPN固件误差获得的。。 。。
https://www.itworldcanada.com/article/canadian-menswear-chain-harry-rosen-confirms-cyber-attack/515325
4、冒充的SMS应用Symoo充当帐户建设效劳的SMS中继
媒体11月28日称， ，， ， ，，在Google Play市肆中100000次下载量的冒充Android SMS应用， ，， ， ，，神秘地充当Microsoft、Google、Instagram、Telegram和Facebook等网站的帐户建设效劳的SMS中继。。 。。研究职员体现， ，， ， ，，被熏染的装备随后会作为“虚拟号码”出租， ，， ， ，，用于在建设新账户时转发验证用户的一次性密码。。 。。虽然未经证实， ，， ， ，，但据信Symoo应用用于吸收和转发使用ActivationPW建设帐户时天生的OTP验证码。。 。。现在， ，， ， ，，该应用仍在Google Play上可用。。 。。
https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/
5、Group-IB发明多起针对2022年FIFA天下杯的垂纶活动
11月29日， ，， ， ，，Group-IB透露其发明多起针对卡塔尔2022年FIFA天下杯门票、官方商品和事情的诈骗和垂纶攻击。。 。。研究职员在卡塔尔2022年官方球迷ID门户网站Hayya上发明了90多个可能遭到入侵的账户， ，， ， ，，这是为天下杯观众建设的强制性系统， ，， ， ，，可以进入卡塔尔并获得门票和交通等效劳。。 。。据视察， ，， ， ，，攻击者使用RedLine和Erbium等信息窃取恶意软件获得了这些账户的密码。。 。。别的， ，， ， ，，Group-IB还确定了4种差别的诈骗和垂纶攻击浪潮， ，， ， ，，以及大宗可从Google Play市肆下载的虚伪应用。。 。。
https://www.group-ib.com/media-center/press-releases/scammers-on-the-pitch/
6、Kaspersky宣布2023年关于消耗者的威胁的展望报告
11月28日， ，， ， ，，Kaspersky宣布了2023年关于消耗者的威胁的展望报告。。 。。报告指出， ，， ， ，，在游戏和流媒体效劳方面， ，， ， ，，用户将面临更多的游戏订阅诓骗、游戏机的欠缺将被使用、攻击者将需要游戏中的虚拟钱币、攻击者会使用期待已久的游戏， ，， ， ，，以及流媒体仍将是攻击者取之不尽的收入泉源；；；在社交媒体和元宇宙方面， ，， ， ，，新的社交媒体将带来更多的隐私危害和元宇宙的开发带来的危害；；；来自心理康健应用程序的数据将用于准确定位的社会工程攻击；；；以及， ，， ， ，，在线教育平台将吸引更多犯法活动等。。 。。
https://securelist.com/consumer-threats-2023/108112/
据11月28日报道， ，， ， ，，研究职员披露了Amazon Web Services中的跨租户误差， ，， ， ，，攻击者可以使用该误差获得对资源未经授权的会见。。 。。该误差与混淆署理问题有关， ，， ， ，，是一种提权误差。。 。。这种攻击使用了AppSync效劳来肩负其他AWS账户中的IAM角色， ，， ， ，，这使得攻击者能够进入到目的组织中并会见这些账户中的资源。。 。。研究职员于2022年9月1日报告了该问题， ，， ， ，，AWS于9月6日修复了该误差。。 。。
https://thehackernews.com/2022/11/researchers-detail-appsync-cross-tenant.html
2、Checkmarx发明使用TikTok挑战来分发恶意软件的活动
Checkmarx在11月28日称其发明了使用TikTok“隐形挑战”分发恶意软件的活动。。 。。该挑战要求用户使用TikTok的“身体隐形”滤镜拍摄裸体， ，， ， ，，该滤镜会从视频中移除身体部分并用模糊配景取代。。 。。攻击者制作了TikTok视频， ，， ， ，，声称可以提供一种特殊的过滤器， ，， ， ，，消除TikTok的“身体隐形”效果。。 。。然而， ，， ， ，，该软件会装置WASP Stealer， ，， ， ，，它能够窃取存储在浏览器、加密钱币钱包中的Discord帐户、密码和信用卡， ，， ， ，，甚至是目的盘算机中的文件。。 。。
https://checkmarx.com/blog/attacker-uses-a-popular-tiktok-challenge-to-lure-users-into-installing-malicious-package/
3、BianLian团伙宣布从加拿大Harry Rosen窃取的1GB数据
据媒体11月25日报道， ，， ， ，，加拿大男装连锁店Harry Rosen遭到了网络攻击。。 。。该公司尚未透露攻击类型， ，， ， ，，以及是否影响了公司的运营。。 。。BianLian声称对此次攻击认真， ，， ， ，，并宣布了一个1 GB的文件作为攻击的证据， ，， ， ，，其中包括Harry Rosen的Gold+客户列表、销售信息和种种其它类型的文件。。 。。BianLian于8月份首次被发明， ，， ， ，，勒索软件是用Go语言为Windows系统开发的， ，， ， ，，其初始会见可能是通过Windows ProxyShell误差或SonicWall VPN固件误差获得的。。 。。
https://www.itworldcanada.com/article/canadian-menswear-chain-harry-rosen-confirms-cyber-attack/515325
4、冒充的SMS应用Symoo充当帐户建设效劳的SMS中继
媒体11月28日称， ，， ， ，，在Google Play市肆中100000次下载量的冒充Android SMS应用， ，， ， ，，神秘地充当Microsoft、Google、Instagram、Telegram和Facebook等网站的帐户建设效劳的SMS中继。。 。。研究职员体现， ，， ， ，，被熏染的装备随后会作为“虚拟号码”出租， ，， ， ，，用于在建设新账户时转发验证用户的一次性密码。。 。。虽然未经证实， ，， ， ，，但据信Symoo应用用于吸收和转发使用ActivationPW建设帐户时天生的OTP验证码。。 。。现在， ，， ， ，，该应用仍在Google Play上可用。。 。。
https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/
5、Group-IB发明多起针对2022年FIFA天下杯的垂纶活动
11月29日， ，， ， ，，Group-IB透露其发明多起针对卡塔尔2022年FIFA天下杯门票、官方商品和事情的诈骗和垂纶攻击。。 。。研究职员在卡塔尔2022年官方球迷ID门户网站Hayya上发明了90多个可能遭到入侵的账户， ，， ， ，，这是为天下杯观众建设的强制性系统， ，， ， ，，可以进入卡塔尔并获得门票和交通等效劳。。 。。据视察， ，， ， ，，攻击者使用RedLine和Erbium等信息窃取恶意软件获得了这些账户的密码。。 。。别的， ，， ， ，，Group-IB还确定了4种差别的诈骗和垂纶攻击浪潮， ，， ， ，，以及大宗可从Google Play市肆下载的虚伪应用。。 。。
https://www.group-ib.com/media-center/press-releases/scammers-on-the-pitch/
6、Kaspersky宣布2023年关于消耗者的威胁的展望报告
11月28日， ，， ， ，，Kaspersky宣布了2023年关于消耗者的威胁的展望报告。。 。。报告指出， ，， ， ，，在游戏和流媒体效劳方面， ，， ， ，，用户将面临更多的游戏订阅诓骗、游戏机的欠缺将被使用、攻击者将需要游戏中的虚拟钱币、攻击者会使用期待已久的游戏， ，， ， ，，以及流媒体仍将是攻击者取之不尽的收入泉源；；；在社交媒体和元宇宙方面， ，， ， ，，新的社交媒体将带来更多的隐私危害和元宇宙的开发带来的危害；；；来自心理康健应用程序的数据将用于准确定位的社会工程攻击；；；以及， ，， ， ，，在线教育平台将吸引更多犯法活动等。。 。。
https://securelist.com/consumer-threats-2023/108112/
京公网安备11010802024551号