Zoom的Windows客户端中0day，可执行任意代码；VMware修复VeloCloud中SQL注入漏洞
发布时间 2020-07-101.ACROS披露Zoom的Windows客户端中0day，可执行任意代码
网络安全公司ACROS Security于7月9日披露了Zoom的Windows客户端中0day，该漏洞会影响运行在旧版Windows OS（例如Windows 7和Windows Server 2008 R2或更早版本）上的Zoom客户端。ACROS CEO Mitja Kolsek表示，该漏洞可以使远程攻击者通过让用户执行某些操作，例如打开文档文件，在受害者计算机上执行任意代码。在整个攻击过程中，系统都不会向用户发出安全警告。目前，Zoom正在研究修复该漏洞。
原文链接：
https://www.zdnet.com/article/zoom-working-on-patching-zero-day-disclosed-in-its-windows-client/#ftag=RSSbaffb68
2.VMware发布安全更新，修复VeloCloud中SQL注入漏洞
VMware发布了安全更新，以修复VeloCloud中的漏洞，攻击者可利用此漏洞来获取敏感信息。此次修复的漏洞被追踪为CVE-2020-3973，为SQL注入漏洞，其影响了VeloCloud的VMware SD-WAN。该漏洞存在的原因为VeloCloud Orchestrator没有进行合适的输入验证，这会导致SQL盲注，该漏洞的CVSSv3评分为8.5。
原文链接：
https://us-cert.cisa.gov/ncas/current-activity/2020/07/08/vmware-releases-security-update-velocloud
3.黑客劫持微软Azure托管的240多个子域名传播恶意软件
黑客劫持了240多个托管在微软Azure的子域名，以传播恶意软件和恶意Chrome扩展程序等内容。此次被劫持的网站包括华纳兄弟、教科文组织、东芝、施乐、盖蒂图片社、红十字会、沃尔沃、霍尼韦尔、夏威夷航空公司、清晰频道、西门子、欧特克、Arm、3M和NHS等家喻户晓的公司。分析公司Victory Medium创始人Edwards表示，发起此次攻击的黑客组织该小组活跃了五年，根据他的分析，该组织得到了国际犯罪团伙的支持，比预期要复杂得多。
原文链接：
https://www.hackread.com/microsoft-azure-hosted-subdomains-hacked-with-malware/
4.微软警告利用恶意OAuth应用的Office 365网络钓鱼活动
微软警告说，随着远程工作的推进，客户除了要注意传统的凭证盗窃和电子邮件网络钓鱼攻击之外，还面临其他安全威胁，例如许可网络钓鱼（Consent phishing）。Consent phishing是一种基于应用程序的攻击的变体，旨在为恶意Office 365 OAuth应用程序提供对受害者Office 365帐户的访问权限。攻击成功后，攻击者可以访问受害者的邮件、文件、联系人、便笺、配置文件以及存储在公司存储系统SharePoint和OneDrive for Business云中的敏感信息等。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-warns-of-office-365-phishing-via-malicious-oauth-apps/
5.近3年，Keeper团伙已发起针对全球570多网站的攻击活动
Gemini Advisory发布了对黑客组织Keeper Magecart的分析报告，发现其自2017年4月1日以来，对全球55个国家中的570多在线商城发起了Magecart攻击活动。研究发现，keeper是由64个用于分发恶意软件的攻击域和73个用于接收被盗数据的渗透域组成。大多数受害网站都托管在美国，其次是英国、荷兰、法国、印度等。此外，该组织该偶尔还会使用公共和自定义混淆的方法，以使其恶意脚本更难被检测到。
原文链接：
https://www.helpnetsecurity.com/2020/07/08/magecart-group-8/?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+HelpNetSecurity+%28Help+Net+Security%29
6.报告显示，目前有150亿Internet服务凭证在暗网出售
Digital Shadows的一份报告指出，目前因为10万次数据泄露事件导致的150亿个被盗Internet服务凭证在暗网出售。这些凭证在访问权限和价格上各不相同，包括从银行帐户（占所有凭据的25％）到视频和音乐流服务等所有内容的用户名和密码。其中，银行和其他金融账户的凭证是最受欢迎的，也是最昂贵的，平均售价为70.91美元。其次是用于访问防病毒软件的数据，平均售价为21.67美元。
原文链接：
https://threatpost.com/15-billion-credentials-currently-up-for-grabs-on-hacker-forums/157247/
京公网安备11010802024551号