1、Epic Games因違反隱私法等原因被FTC罰款5.2億美元
據12月19日報道,堡壘之夜的製造商Epic Games將支付5.2億美元,以和解有關違反兒童隱私法和使用黑暗模式誘使數百萬遊戲玩家進行無意消費的指控。FTC在投訴中稱,Epic在未通知或未徵得其父母同意的情況下,收集13歲以下玩家的資訊違反了COPPA,被罰款2.75億美元。此外,它還使用黑暗模式欺騙包括兒童和青少年在內的Fortnite玩家進行不需要的遊戲內購買,須向受影響客戶支付2.45億美元的退款。目前,該公司已改進默認隱私設置,並更改了支付流程以防不必要的收費。
https://www.bleepingcomputer.com/news/gaming/epic-games-to-pay-520-million-for-privacy-violations-dark-patterns/
2、駭客出售據稱是從Gemini竊取的570萬使用者的資訊
媒體12月15日稱,駭客在多個暗網平臺出售據稱是來自Gemini的資料庫,包含570萬使用者的資訊。加密貨幣交易所Gemini近期發佈通知稱,第三方供應商遭到了網路攻擊,未經授權的攻擊者竊取了Gemini客戶的郵件地址和電話號碼,目前已有客戶收到了釣魚電子郵件。該資料庫似乎在9月起就開始出售,當是價格為30個比特幣(約合520000美元)。Gemini建議客戶使用強大的身份驗證方法,並建議激活2FA保護或使用硬體安全金鑰來訪問帳戶。
https://securityaffairs.co/wordpress/139742/data-breach/5-7m-gemini-users-leak.html
3、餐飲客戶管理平臺SevenRooms 427GB的資料洩露
據媒體12月18日報道,在攻擊者出售被盜資料後,SevenRooms確認其發生了資料洩露。SevenRooms是國際連鎖餐廳和酒店服務提供商使用的餐廳客戶關係管理(CRM)平臺,包括MGM Resorts和Bloomin’ Brands等。12月15日,攻擊者在駭客論壇Breached上發佈了資料樣本,聲稱竊取了一個427 GB的備份資料庫,其中包含有關SevenRooms客戶的資訊。據悉,洩露是由於SevenRooms第三方供應商的檔案傳輸接口遭到未經授權訪問導致的。
https://www.bleepingcomputer.com/news/security/restaurant-crm-platform-sevenrooms-confirms-breach-after-data-for-sale/
4、研究團隊披露樂高BrickLink網站中的API安全漏洞
Salt Security在12月15日披露了BrickLink網站中的兩個API漏洞。BrickLink.com是LEGO Group的官方二手和古董樂高積木市場,擁有超過一百萬的註冊會員。這些漏洞可被用來接管會員帳戶、訪問和竊取儲存在平臺上的個人身份資訊,甚至訪問內部生產資料並破壞內部伺服器。第一個漏洞是優惠券搜尋部分的查找使用者名對話方塊中的XSS漏洞,攻擊者可以使用特製連結在目標中注入和執行程式碼。第二個漏洞位於上傳到求購列表頁面,可通過XXE攻擊讀取Web伺服器上的檔案並執行SSRF攻擊,這可能導致AWS EC2令牌洩露。
https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis
5、Mandiant發現UNC4166針對烏克蘭政府的攻擊活動
據Mandiant 12月15日稱,其發現了針對烏克蘭政府的供應鏈攻擊活動。被追蹤為UNC4166的攻擊團伙通過烏克蘭語和俄語的Torrent檔案共享網站,分發偽裝成合法Windows 10安裝程序的木馬化ISO檔案。這些惡意安裝程序提供的惡意軟體能夠從目標計算機收集資料、安裝其它惡意工具並將竊取的資料洩露到攻擊者的伺服器。在初步偵察之後,攻擊者還安裝了後門Stowaway、Beacon和Sparepart,來保持對目標的訪問、執行命令、傳輸檔案和竊取資訊。
https://www.mandiant.com/resources/blog/trojanized-windows-installers-ukrainian-government
6、TrendMicro發佈關於勒索軟體Agenda的分析報告
12月16日,TrendMicro發佈了關於勒索軟體Agenda的分析報告。近期,研究人員發現了一個用Rust開發的Agenda樣本,檢測結果為Ransom.Win32.AGENDA.THIAFBB。Agenda在其網站上發佈的被攻擊組織位於不同國家,主要屬於製造業和IT行業,總收入超過5.5億美元。與接受10個參數的Golang變體不同,Rust變體只接受3個參數,它還使用間歇性加密策略來提供更快的加密並更有效地繞過檢測。
https://www.trendmicro.com/en_us/research/22/l/agenda-ransomware-uses-rust-to-target-more-vital-industries.html
安全工具
YAWNING-TITAN
是一組抽象的、基於圖形的網路安全模擬環境。
https://dstl.github.io/YAWNING-TITAN/
wafaray
使用WAF + YARA增強惡意軟體檢測。
https://github.com/alt3kx/wafaray
安全分析
因節假日本月沒有可選的Windows更新
https://www.bleepingcomputer.com/news/microsoft/microsoft-no-optional-windows-updates-this-month-due-to-holidays/
T-Mobile駭客因2500萬美元的手機解鎖方案獲刑10年
https://www.bleepingcomputer.com/news/security/t-mobile-hacker-gets-10-years-for-25-million-phone-unlock-scheme/
Microsoft修復導致工作管理員部分不可讀的錯誤
https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-bug-that-made-task-manager-partially-unreadable/
Opera瀏覽器更新,具有全新的Lucid模式功能
https://news.softpedia.com/news/opera-browser-update-with-a-brand-new-lucid-mode-feature-536665.shtml
GitHub要求所有使用者在2023年底前啟用2FA
https://www.bleepingcomputer.com/news/security/github-to-require-all-users-to-enable-2fa-by-the-end-of-2023/
Meta漏洞賞金計劃提供高達300000美元的獎勵
https://therecord.media/facebook-to-pay-hackers-up-to-300000-to-uncover-remote-code-execution-bugs/
深入Azure功能:HyperV是最後一道防線
https://unit42.paloaltonetworks.com/azure-serverless-functions-security/
FBI提醒BEC攻擊現在也針對食品行業
https://www.bleepingcomputer.com/news/security/fbi-warns-that-bec-attacks-now-also-target-food-shipments/