Checkmarx檢測到多起針對銀行的開源軟件供應鏈攻擊
發布時間 2023-07-251、Checkmarx檢測到多起針對銀行的開源軟件供應鏈攻擊
Checkmarx在7月21日稱其檢測到多起針對銀行的開源軟件供應鏈（OSS）攻擊。第一次攻擊發生于4月上旬，攻擊者冒充目標銀行員工，利用NPM平臺上傳了幾個軟件包，其中包含預安裝腳本，可在安裝時執行惡意活動。還利用Azure的CDN子域來分發第二階段的payload Havoc，這是一個C2框架。在2月份檢測到的針對銀行的另一次攻擊中，攻擊者也上傳了一個惡意npm包，旨在攔截登錄數據并將其發送給攻擊者。目前，研究人員已經報告并刪除了這些惡意開源軟件包。
https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/
2、Apple更新修復已被利用的內核漏洞CVE-2023-38606
據媒體7月24日報道，Apple發布了安全更新，以修復針對iPhone、Mac和iPad的攻擊中被利用的漏洞。這是一個內核漏洞（CVE-2023-38606），能夠被用來篡改敏感的內核狀態，可能已在iOS 15.7.1之前發布的iOS版本中被積極利用。Kaspersky表示，CVE-2023-38606是零點擊漏洞利用鏈的一部分，用于通過iMessage漏洞在iPhone上安裝間諜軟件Triangulation。這是Apple在今年修復的第十一個已被利用的零日漏洞。
https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/
3、Clop利用MOVEit漏洞的攻擊預估獲利7500萬至1億美元
Coveware在7月21日透露，Clop利用MOVEit漏洞的大規模數據竊取活動預計獲利高達7500萬至1億美元。在2023年Q2，交贖金的被攻擊目標的數量已降至34%，創下歷史新低，導致勒索團伙改變策略以謀求更高的利潤。Coveware表示，Clop已經改變了策略，勒索更高的贖金，希望通過幾筆大額付款來克服整體下降的情況。此外，復雜性和自動化程度低的勒索攻擊的影響和成本最小。
https://www.coveware.com/blog/2023/7/21/ransom-monetization-rates-fall-to-record-low-despite-jump-in-average-ransom-payments
4、研究人員披露OpenMeetings可劫持管理員帳戶的漏洞
據7月21日報道，研究人員披露了Apache OpenMeetings中的3個漏洞的細節。這些漏洞分別為弱哈希比較漏洞（CVE-2023-28936）、通過邀請哈希進行無限制訪問的漏洞（CVE-2023-29023）以及空字節注入漏洞(CVE-2023-29246），可被自行注冊用戶（默認啟用）用來劫持管理員帳戶并遠程執行任意代碼。目前，這些漏洞已在Apache OpenMeetings 7.1.0版本中修復。
https://www.securityweek.com/openmeetings-flaws-allow-hackers-to-hijack-instances-execute-code-on-servers/
5、AhnLab發現通過MS-SQL服務器分發PurpleFox的活動
7月24日，AhnLab稱其發現了通過管理不善的MS-SQL服務器分發PurpleFox的活動。攻擊首先通過sqlservr.exe執行PowerShell，這是一個與MS-SQL服務器相關的進程。當執行上述PowerShell時，將下載并加載另一個經過混淆的PowerShell。其中包含一個攻擊者開發的函數MsiMake，可下載一個MSI文件。MSI包更改注冊表項以實現持久性和權限提升。最后，MSI包會嘗試重啟系統，接著SENS服務會被執行，從而激活惡意軟件。
https://asec.ahnlab.com/en/55492/
6、IBM發布關于2023年數據泄露成本的分析報告
7月24日，IBM發布關于2023年數據泄露成本的分析報告。該報告對553個組織的數據泄露情況進行了分析，研究的違規事件發生在2022年3月至2023年3月。最新研究顯示，數據泄露成本持續增長，全球平均成本高達445萬美元，三年內增長了15%。醫療保健行業的成本位居榜首，連續13年成為成本最高的行業。報告指出，安全人工智能和自動化、DevSecOps方法和IR計劃在節省成本方面發揮了主導作用；人工智能和ASM加速了違規事件的識別和遏制；當數據存儲在多個環境中時，成本很高，并且需要更長時間才能遏制違規事件；擁有發現違規事件的內部團隊的組織在控制成本方面表現得更好。
https://securityintelligence.com/posts/whats-new-2023-cost-of-a-data-breach-report/
京公網安備11010802024551號