本周安全资讯
29 Nov 2018
思科再次发布补丁修复Webex特权提升漏洞
Uber因2016年数据泄露事件被英国、荷兰罚款117万美元
黑客向热门JavaScript库注入恶意代码以窃取比特币
网络攻击
黑客向热门JavaScript库注入恶意代码以窃取比特币
软件开发人员发现，开源代码库Event-Stream被黑客注入恶意代码，可从BitPay平台开发的Copay钱包应用中获取密钥等用户钱包信息，并将其发送至copayapi.host端口8080上窃取比特币。该代码库是处理Node.js流数据的JavaScript npm包，在npm.org存储库上每周下载量超过200万。截至目前，BitPay已删除恶意代码，用户可将该代码库更新至版本4.0.1。
戴尔遭黑客入侵，暂无用户信息被泄露
戴尔在11月28日发布声明称，检测到未经授权的黑客入侵其系统，并试图提取Dell.com客户数据，包含客户姓名、散列密码和电子邮件地址等隐私信息。据外媒报道，暂无证据表明任何用户信息被泄露，戴尔已重置所有Dell.com客户账户密码，并要求用户通过身份验证重新获得账户权限。截至目前，戴尔已向相关机构通报该事件，并在第三方数字取证公司帮助下展开调查。
恶意软件
黑客分发针对AutoCAD的恶意软件
网络安全公司Forcepoint调查发现，黑客自2014年以来一直通过鱼叉式网络钓鱼电子邮件分发针对AutoCAD的恶意软件，邮件中包含名为acad.fas的预编译和加密AutoLISP程序，AutoCAD将在用户打开任何.cad文件时自动执行该恶意软件并发动攻击。截至目前，AutoCAD已发布多种缓解措施，专家建议用户完全禁用自动执行文件，或严格限制文件位置并始终显示警告。
勒索软件攻击俄亥俄州医院系统，急诊室病人被转移
据外媒报道，东俄亥俄州地区医院和俄亥俄谷医疗中心计算机系统遭勒索软件攻击，医院急诊室病人已于上周末11月24-25日转移至其他地区医院，目前仍可接诊上门就诊的病患。医院营销和公关总监Karin Janiszewski表示，勒索软件仅突破系统第一道防火墙，未突破第二道防火墙，医院IT团队正在努力解决该勒索软件，截至目前，无任何病人信息被泄露。
漏洞曝光
思科再次发布补丁修复Webex特权提升漏洞
据外媒报道，思科再次发布补丁修复Webex会议应用程序中的特权提升漏洞，此前，思科已在10月24日发布针对该漏洞的修复补丁，然而研究人员发现仍可通过DLL劫持绕过补丁。该漏洞被追踪为CVE-2018-15442，允许经过身份验证的黑客获取管理员权限，并执行任意代码，Webex会议应用程序33.6.0及之前版本均受影响。
Sennheiser软件漏洞曝光，黑客可发动中间人攻击
音频设备制造商Sennheiser软件漏洞曝光，当用户安装其HeadSetup软件时，该软件根证书及加密证书私钥会被安装到CA根证书存储区，但卸载该软件时却不会取消信任证书，这将允许黑客发动中间人攻击，读取和更改不同计算机的安全流量。截至目前，Sennheiser已发布新版本HeadSetup，但研究人员发现，新版本仍未删除之前的根证书，且卸载软件仍无法取消信任证书。
安全资讯
Uber因2016年数据泄露事件被英国、荷兰罚款117万美元
据外媒报道，因Uber未能在2016年数据泄露事件中保护其用户个人信息且试图隐瞒该事件，英国和荷兰数据保护局在本周二11月27日对其处以117万美元的罚款。该事件导致全球5700多万Uber用户和司机姓名、电话号码、电子邮件地址及60万驾驶执照被泄露。事件发生后，Uber向黑客支付10万美元赎金以获取被盗数据，并要求黑客对该事件进行保密。
德国聊天应用程序Knuddels因违反GDPR被罚款2万欧元
今年7月，德国聊天应用程序Knuddels遭黑客攻击，180多万用户名称、密码及80多万电子邮件地址等用户信息被泄露。据外媒报道，此次事件源于Knuddels以明文形式存储用户密码，该行为违反《欧盟通用资料保护规则》（GDPR），巴登-符腾堡州数据保护局对其处以2万欧元的罚款。截至目前，Knuddels已发布通知要求用户修改密码。
閱讀更多 安勝ANSCEN 的文章
