钻研人员发现可绕过Windows Hello登录的安全缝隙

颁布功夫 2023-11-24
1、钻研人员发现可绕过Windows Hello登录的安全缝隙


据媒体11月22日报路，钻研人员发现了多个缝隙，可用来绕过Dell Inspiron 15、Lenovo ThinkPad T14和Microsoft Surface Pro X笔记本电脑上的Windows Hello身份验证。所有测试的指纹传感器都是Match-on-Chip (MoC)传感器，固然MoC传感器能够阻止将存储的指纹数据沉放到主机进行匹配，但它们自身并不能阻止恶意传感器仿照合法传感器与主机进行通讯。这可能会谬误地显示用户身份验证成功，或沉放之前的主机和传感器之间的流量。为此，微软开发了安全设备衔接和谈（SDCP），但钻研人员还是利用MiTM攻击成功绕过了Windows Hello身份验证。


https://thehackernews.com/2023/11/new-flaws-in-fingerprint-sensors-let.html


2、韩国IT公司TmaxSoft配置谬误超过5000万笔纪录泄露


据11月22日报路，韩国IT公司TmaxSoft约2TB的数据已公开超过两年。钻研人员早在今年1月就发现了一个露出的Kibana节造面板，并指出这组数据于2021年6月初次被发现。数据库总共有超过5600万笔纪录，蕴含员工姓名和电话、雇佣合同号、发送的附件和二进造文件的元数据等。不幸的是，该公司尚未对此事做出回复，并且蕴含大量数据的节造面板依然处于公开状态。


https://securityaffairs.com/154567/data-breach/tmaxsoft-leaks-2tb-of-data.html


3、微软披露Diamond Sleet利用CyberLink的供给链攻击


微软在11月22日披露了朝鲜黑客团伙Diamond Sleet(ZINC)提议的供给链攻击。钻研人员在10月20日观察到了这次可疑活动，它对中国台湾多媒体软件公司CyberLink开发的利用法式进行木马化。恶意文件使用CyberLink宣告的有效证书进行署名，托管在该公司占有的合法的更新基础设施上。迄今为止，该恶意活动已影响多个国度/地域的100多台设备，蕴含日本、中国台湾、加拿大和美国。


https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/


4、Blender泄漏持续的DDoS攻击导致其服务器宕机数日


媒体11月22日称，Blender泄漏最近的网站服务中断是持续的DDoS攻击导致的。该项目团队暗示，自11月18日以来，blender.org服务器就遭到DDoS攻击，其服务器因要求过载而宕机。即便在攻击者暂停攻击的时辰，Blender的基础设施依然因大量待处置的合法要求而过载。最终，在经历了4天的持续中断后，该团队将其主网站转移到了CloudFlare上，这削减攻击的影响。Blender分享的统计数据显示，攻击仍在持续，针对该项目服务器的虚伪要求超过2.4亿次。


https://www.bleepingcomputer.com/news/security/open-source-blender-project-battling-ddos-attacks-since-saturday/


5、Akamai颁布新僵尸网络InfectedSlurs的分析汇报


11月21日，Akamai颁布基于Mirai的新僵尸网络InfectedSlurs的分析汇报。InfectedSlurs一向在利用两个RCE缝隙来习染路由器和录像机(NVR)设备，钻研人员于今年10月发现了该僵尸网络，并以为它至少从2022年起就一向活跃。它是JenX Mirai的变体，由于在C2域和硬编码字符串中使用攻击性说话而得名。其C2基础设施相对集中，似乎也支持hailBot的运行。该公司没有泄漏受影响供给商的名称，但供给商承诺将于12月颁布安全更新。


https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days


6、Kaspersky颁布2024年消费者网络威胁的预测汇报


11月23日，Kaspersky颁布了关于2024年消费者网络威胁态势的预测汇报。钻研人员对2024年做出了瞻望，蕴含更多慈悲有关的诳骗即将来临、网上商店将与慈悲机构的合作、互联网划分更细、VPN服务呈上升趋向、安全性高于用户舒服度将催生新的安全问题、网络攻击者将针对P2E、开发通用的Deepfake查抄工具、语音Deepfake事务增多以及以电影首映为钓饵的圈套增多等。


https://securelist.com/kaspersky-security-bulletin-consumer-threats-2024/111135/