钻研团队演示使用 MITM 绕过 FIDO2 网络垂钓防护
颁布功夫 2024-05-075月6日，FIDO2 是无密码身份验证的现代身份验证组术语�＜本缟矸菰谙� (FIDO) 同盟开发它来取代传统已知密码的使用，并提供一种使用物理或嵌入式密钥进行身份验证的安全步骤。多所周知，FIDO2 能够�；と嗣敲馐苤醒肴� (MITM)、网络垂钓和会话劫持攻击。FIDO2 身份验证流程由用于客户端依赖方 (RP)（即云利用法式通讯）的 WebAuthn API 规范和用于硬件通讯的客户端到身份验证器 (CTAP) 和谈组成。整个过程由浏览器治理，蕴含两个身份验证步骤：设备注册和身份验证。之所以这样机关，是由于 FIDO2 基于公钥加密机造�？突Ф嗽诖舜μ焐皆亢凸�，并将后者发送回 RP 以在登录时进行署名验证。FIDO 能够用作单个利用法式或结合利用法式的身份验证步骤。对于那些不知路的人来说，结合是指由单个身份提供商 (IdP) 治理的多个不有关利用法式的单点登录 (SSO)。
https://securityboulevard.com/2024/05/using-mitm-to-bypass-fido2-phishing-resistant-protection/
2. 国际特赦组织将印度尼西亚列为间谍软件中心
5月6日，国际特赦组织安全尝试室的最新钻研批注，印度尼西亚是监控工具和供给商的新兴中心。该组织发现了从 2017 年到去年从以色劣注希腊、新加坡和马来西亚等国度向印度尼西亚销售和运输高度侵入性间谍软件和其他监控技术的证据。据报路，这些监控工具属于“Q Cyber Technologies（与 NSO Group 有关）、Intellexa 财团、Saito Tech（也称为 Candiru）、FinFisher 及其全资子公司 Raedarius M8 Sdn Bhd 和 Wintego Systems”等公司。国际特赦组织还具体介绍了与针对印度尼西亚幼我的间谍软件平台有关的各类恶意域名和网络基础设施。国际特赦组织暗示，固然这些域名仿照了政党和媒体机构，但目前尚不明显谁是真正的指标。国际特赦组织的汇报称，间谍软件从来被敌灾实体用来针对民间社会和记者，因而对于公民权势受到加害的印度尼西亚来说，这是出格令人忧郁的。
https://www.darkreading.com/cybersecurity-operations/amnesty-international-cites-indonesia-as-spyware-hub
3. 法官思考对谷歌粉碎内部谈天纪录进行造裁
5月4日，在谷歌垄断案审判的第二天结案陈词即将实现时，美国地域法官阿米特·梅塔 (Amit Mehta) 衡量了是否应该对美国司法部所说的谷歌“例杏注定期和正常销毁”证据进行造裁。谷歌被指节造订了一项政策，批示员工在会商敏感话题时默认关关谈天纪录，蕴含谷歌的收入分享和移动利用法式分发和谈。美国司法部和州总检察长以为，这些和谈旨在维持谷歌在搜索领域的垄断职位。据美国司法部称，谷歌不仅在调查期间并且在诉讼期间销毁了潜在的数十万个谈天会话。在美国司法部发现该政策后，谷歌才终场了这种做法。司法部的律师肯尼思·丁泽 (Kenneth Dintzer) 周五通知梅塔，司法部以为法院应该得出这样的结论：与汗青进行互换讲了然暗藏信息的反竞争意图，由于他们知路自己违反了反垄断法。
https://arstechnica.com/tech-policy/2024/05/judge-mulls-sanctions-over-googles-shocking-destruction-of-internal-chats/
4. 2023年Google阻止228万个恶意app在Google Play颁布
4月29日， 2023 年，我们阻止了 228 万个违反政策的利用法式在 Google Play 上颁布，部门归功于我们对新的和改进的安全职能、政策更新以及先进的机械进建和利用法式审核流程的投资。我们还加强了开发者入职和审核流程，在开发者初次成立其 Play 帐户时必要更多身份信息。加上对审查工具和流程的投资，我们更有效地鉴别了不良行为者和诓骗团伙，并不容了 33.3 万个不良帐户进入 Play，这些帐户已确以为恶意软件，并且屡次严沉违反政策。此表，近 20 万个利用法式提交被回绝或建复，以确保正确使用后盾地位或短信接见等敏感权限。为了援手大规模�；び没б�，我们与 SDK 提供商合作，限度敏感数据接见和共享，从而加强影响 79 万多个利用法式的超过 31 个 SDK 的隐衷情况。我们还显着扩大了Google Play SDK 索引，该索引此刻涵盖了 Android 生态系统中近 600 万个利用法式所使用的 SDK。这一贵重的资源可援手开发人员做出更好的 SDK 选择、提高利用法式质量并最大水平地降低集成风险。
https://security.googleblog.com/2024/04/how-we-fought-bad-apps-and-bad-actors-in-2023.html
5. 两个极右翼媒体网站遭到黑客攻击和粉碎
5月3日，两家极右翼媒体网站遭到黑客攻击和粉碎，订阅者和其内部网站数据被泄露，这是一次显著出于政治动机的攻击的一部门。目前尚未公开宣称对这次攻击掌管，但这至少是本周第二起看似出于政治动机的黑客攻击。从前曾发起过出于政治动机的攻击的网络犯罪组织SiegedSec宣称对臭名远扬的 Westboro 浸信会教堂发起了攻击。没有迹象批注这两起事务有关联。Human Events 是一家成立于 1944 年的守旧派新闻机构，于 2022 年 5 月收购了Post Millennial。这两个组织的网站均指出，它们是由政治媒体公司 (Political Media, Inc. ) 设计和守护的，该公司是一家位于弗吉尼亚州的“中右翼新媒体征询公司”，提供的服务蕴含内容治理系统、网页设计、电子邮件服务和营销。
https://cyberscoop.com/far-right-websites-hacked-and-defaced/
6. 欧洲刑警组织关关12个诳骗呼叫中心并扣留多个嫌疑人
5月3日，欧洲刑警组织辅导的一项名为“潘多拉”的行动已经关关了十几个电话诳骗中心，并扣留了 21 名嫌疑人。警方估计，这一行动阻止了犯罪分子从受害者身上骗取超过 1000 万欧元。该犯罪网络在阿尔巴尼亚、波斯尼亚和黑塞哥维那、科索沃和黎巴嫩运营呼叫中心，每天接到“数千个」丞骗电话，蕴含假警员电话、投资诳骗和浪漫诳骗。若是不是德国的一名银行出纳员，窃贼可能会骗走更多的受害者。潘多拉行动始于 2023 年 12 月，其时一名顾客要求弗莱堡的一名出纳员提取超过 100,000 欧元（107,247 美元）的现金。这一要求涉及到银行工作人员，他们很快就得知该客户落入了假警员的圈套。这种类型的诓骗涉及犯罪分子自称是法律人员，迫使受害者支付一大笔钱——通常是谎称他们错过了虚伪的开庭日期，此刻面对扣留令，除非他们支付�？�，或者其他一些假造的故事。
https://www.theregister.com/2024/05/03/operation_pandora_europol/
京公网安备11010802024551号