钻研人员发现HTTP/2 新型计时侧信路攻击方式；Google统计上半年已披露11个在野利用0day
颁布功夫 2020-08-031.钻研人员发现HTTP/2 新型计时侧信路攻击方式
DistriNet钻研幼组和纽约大学阿布扎比分校的钻研人员发现了一种新的HTTP/2 计时侧信路攻击方式 ，并定名为无时限按时攻击（Timeless Timing Attacks ，TTA）。这种攻击方式是利用网络和谈的多路复用和利用法式的并发执行 ，从而不受网络前提的影响。与传统的基于功夫的攻击分歧 ，TTA执行功夫是按挨次独立丈量的 ，其尝试从两个并发执行的要求的挨次和相对功夫差距中提守信息 ，而不依赖于任何功夫信息。该钻研了局将在今年下半年在USENIX安全钻研会上颁发 ，同时还颁布基于Python的工具 ，以测试HTTP / 2服务器的TTA缝隙。
原文链接：
https://thehackernews.com/2020/07/http2-timing-side-channel-attacks.html
2.Google Play商店存在29款恶意照片处置当用
WhiteOps Satori威胁谍报团队发现 ，Google Play商店存在29款恶意照片处置当用。这些利用针对Android用户分发告白软件 ，并绕过安全查抄 ，WhiteOps将该个活动定名为CHARTREUSEBLUR。这些告白软件的名称中都带有BLUR一词 ，其仿照了照片编纂工具来吞吐图像 ，但现实上有很多恶意属性 ，例如 ，它装置到指标设备后暗藏利用图标。钻研人员对利用法式的混合代码进前进一步分析后 ，发现该利用法式使用了三阶段有效负载演变。这些利用的下载量总计约为350万 ，目前Google已将其删除。
原文链接：
https://latesthackingnews.com/2020/08/01/numerous-malicious-photo-blur-apps-appeared-on-play-store/
3.Drizly公司遭黑客攻击 ，泄露250万客户PII
酒类配送公司Drizly遭到黑客攻击 ，泄露250万客户PII。该公司称 ，其遭到了网络攻击 ，有未经授权的第三方接见了其客户的幼我信息 ，蕴含电子邮件地址、生日、bcrypt加密的密码以及送货地址。HaveIBeenPwned则称 ，这次泄露的信息还蕴含客户名称和IP地址 ，并且可能影响了约莫250万个用户。Drizly暗示 ，在这次事务中并没有财政数据泄露 ，而他们已对此事发展调查。
原文链接：
https://www.infosecurity-magazine.com/news/drizly-breach-hits-25-million/
4.Google统计 ，今年上半年已披露11个在野利用0day
Google的Project Zero安全团队统计发现 ，今年上半年已披露11个在野利用0day。其中Firefox（CVE-2019-17026）和Internet Explorer（CVE-2020-0674）均已被民族国度黑客组织DarkHotel利用 ，此表还有Chrome（CVE-2020-6418） ，趋向科技防毒墙网络版（CVE-2020-8467和CVE-2020-8468）是趋向科技调查三菱电机事务时发现的 ， Firefox（CVE-2020-6819和CVE-2020-6820）或已被利用 ，CVE-2020-0938、CVE-2020-1020和CVE-2020-1027的具体信息尚未颁布 ，Sophos XG防火墙（CVE 2020-12271）已被利用部署勒索软件。
原文链接：
https://www.zdnet.com/article/google-eleven-zero-days-detected-in-the-wild-in-the-first-half-of-2020/#ftag=RSSbaffb68
5.钻研团队颁布网络垂钓情况及交互方式的汇报
来自Google、PayPal、三星和亚利桑那州立大学的安全钻研人员组成的团队耗使佧整一年 ，分析了网络垂钓的情况以及用户与网络垂钓页面的交互方式 ，该项目分析了22553707个用户对404628个网络垂钓页面的接见。汇报暗示 ，均匀网络垂钓攻击功夫为21幼时 ，有7.42％的受害者最终输了入痛处并导致账户泄露或诓骗。钻研人员暗示 ，一些攻击活动会持续活跃长达9个月 ，其利用现成的垂钓工具 ，可攻击成千上万的受害者。
原文链接：
https://www.zdnet.com/article/phishing-campaigns-from-first-to-last-victim-take-21h-on-average/#ftag=RSSbaffb68
6.FireEye颁布针对Office 365的攻击的分析汇报
FireEye颁布了office365攻击透视及Mandiant治理防务调查的汇报。其针对Office 365 BEC攻击 ，提供了有关Microsoft云出产力套件及对钻研人员至关沉要的各类日志和数据源。此表 ，还介绍了在响应BEC时常见的攻击者战术 ，并深刻诠氏缢Mandiant托管防御分析师若何使用PowerShell和FireEye Helix平台在客户那里进行这些调查。
原文链接：
https://www.fireeye.com/blog/threat-research/2020/07/insights-into-office-365-attacks-and-how-managed-defense-investigates.html
京公网安备11010802024551号