安全简讯（2023.11.24）

每日头条

1、研究人员发现可绕过Windows Hello登录的安全漏洞

据媒体11月22日报道，研究人员发现了多个漏洞，可用来绕过Dell Inspiron 15、Lenovo ThinkPad T14和Microsoft Surface Pro X笔记本电脑上的Windows Hello身份验证。所有测试的指纹传感器都是Match-on-Chip (MoC)传感器，虽然MoC传感器可以阻止将存储的指纹数据重放到主机进行匹配，但它们本身并不能阻止恶意传感器模仿合法传感器与主机进行通信。这可能会错误地显示用户身份验证成功，或重放之前的主机和传感器之间的流量。为此，微软开发了安全设备连接协议（SDCP），但研究人员还是利用MiTM攻击成功绕过了Windows Hello身份验证。

https://thehackernews.com/2023/11/new-flaws-in-fingerprint-sensors-let.html

2、韩国IT公司TmaxSoft配置错误超过5000万条记录泄露

据11月22日报道，韩国IT公司TmaxSoft约2TB的数据已公开超过两年。研究人员早在今年1月就发现了一个暴露的Kibana控制面板，并指出这组数据于2021年6月首次被发现。数据库总共有超过5600万条记录，包括员工姓名和电话、雇佣合同号、发送的附件和二进制文件的元数据等。不幸的是，该公司尚未对此事做出回复，并且包含大量数据的控制面板仍然处于公开状态。

https://securityaffairs.com/154567/data-breach/tmaxsoft-leaks-2tb-of-data.html

3、微软披露Diamond Sleet利用CyberLink的供应链攻击

微软在11月22日披露了朝鲜黑客团伙Diamond Sleet(ZINC)发起的供应链攻击。研究人员在10月20日观察到了此次可疑活动，它对中国台湾多媒体软件公司CyberLink开发的应用程序进行木马化。恶意文件使用CyberLink颁发的有效证书进行签名，托管在该公司拥有的合法的更新基础设施上。迄今为止，该恶意活动已影响多个国家/地区的100多台设备，包括日本、中国台湾、加拿大和美国。

https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/

4、Blender透露持续的DDoS攻击导致其服务器宕机数日

媒体11月22日称，Blender透露最近的网站服务中断是持续的DDoS攻击导致的。该项目团队表示，自11月18日以来，blender.org服务器就遭到DDoS攻击，其服务器因请求过载而宕机。即使在攻击者暂停攻击的时候，Blender的基础设施仍然因大量待处理的合法请求而过载。最终，在经历了4天的持续中断后，该团队将其主网站转移到了CloudFlare上，这减少攻击的影响。Blender分享的统计数据显示，攻击仍在持续，针对该项目服务器的虚假请求超过2.4亿次。

https://www.bleepingcomputer.com/news/security/open-source-blender-project-battling-ddos-attacks-since-saturday/

5、Akamai发布新僵尸网络InfectedSlurs的分析报告

11月21日，Akamai发布基于Mirai的新僵尸网络InfectedSlurs的分析报告。InfectedSlurs一直在利用两个RCE漏洞来感染路由器和录像机(NVR)设备，研究人员于今年10月发现了该僵尸网络，并认为它至少从2022年起就一直活跃。它是JenX Mirai的变体，由于在C2域和硬编码字符串中使用攻击性语言而得名。其C2基础设施相对集中，似乎也支持hailBot的运行。该公司没有透露受影响供应商的名称，但供应商承诺将于12月发布安全更新。

https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days

6、Kaspersky发布2024年消费者网络威胁的预测报告

11月23日，Kaspersky发布了关于2024年消费者网络威胁态势的预测报告。研究人员对2024年做出了展望，包括更多慈善相关的诈骗即将来临、网上商店将与慈善机构的合作、互联网划分更细、VPN服务呈上升趋势、安全性高于用户舒适度将催生新的安全问题、网络攻击者将针对P2E、开发通用的Deepfake检查工具、语音Deepfake事件增多以及以电影首映为诱饵的骗局增多等。

https://securelist.com/kaspersky-security-bulletin-consumer-threats-2024/111135/

安全动态

堪萨斯州法院透露勒索攻击的细节

https://www.bleepingcomputer.com/news/security/kansas-courts-confirm-data-theft-ransom-demand-after-cyberattack/

攻击者泄露27000名纽约市律师协会成员的数据

https://therecord.media/cyberattack-leaked-data-nyc-bar

探索专用5G网络的弱点

https://www.trendmicro.com/en_us/research/23/k/packet-reflection-threats-private-5g-networks.html

恶意Chrome扩展ParaSiteSnatcher

https://www.trendmicro.com/en_us/research/23/k/parasitesnatcher-how-malicious-chrome-extensions-target-brazil-.html

两名塞尔维亚公民在全国选举前夕遭到Pegasus攻击

https://therecord.media/serbian-civilians-targeted-with-pegasus