安全简讯（2023.11.30）

每日头条

1、ownCloud中漏洞CVE-2023-49103已被大规模利用

据媒体11月28日报道，ownCloud中的漏洞（CVE-2023-49103）已被大规模利用。该漏洞的CVSS评分为10，可用来窃取管理员密码、邮件服务器凭据和许可证密钥等，已于11月21日被修复。安全公司Greynoise称，它观察到从11月25日开始，该漏洞就在野外被大规模利用，且呈上升趋势。Greynoise追踪到12个唯一的IP地址利用了CVE-2023-49103。Shadowserver称其目前检测到超过11000个暴露实例，其中大多数位于德国、美国、法国和俄罗斯。由于利用情况越来越多，建议管理员立即修复该漏洞。

https://securityaffairs.com/154928/hacking/owncloud-cve-2023-49103-actively-exploited.html

2、Zeroed-In被攻击导致Dollar Tree近200万人数据泄露

据11月29日报道，折扣零售公司Dollar Tree受到第三方服务提供商Zeroed-In Technologies的影响，1977486人的信息泄露。Dollar Tree在美国和加拿大的23000个地点经营Dollar Tree和Family Dollar商店。针对Zeroed-In的攻击发生于8月7日至8日，攻击者成功窃取了Dollar Tree员工的姓名、出生日期和社会安全号码(SSN)。Zeroed-In将为受影响个人提供12个月的身份保护和信用监控服务。据悉，Zeroed-In的其它客户也可能受到该事件的影响，但这一点尚未得到证实。

https://www.bleepingcomputer.com/news/security/dollar-tree-hit-by-third-party-data-breach-impacting-2-million-people/

3、Qilin团伙声称对汽车零件供应商Yanfeng的攻击负责

11月28日报道，勒索团伙Qilin声称对全球最大汽车零部件供应商之一Yanfeng的攻击负责。有报道称，本月早些时候，该公司遭到攻击波及到了Stellantis，迫使其北美工厂停产。11月27日，Qilin（又称Agenda）声称攻击了Yanfeng，并发布了多个样本，涉及财务文件、保密协议、报价文件、技术数据表和内部报告等。Qilin威胁要在未来几天内公布其掌握的所有数据，但没有设定具体的截止日期。

https://www.bleepingcomputer.com/news/security/qilin-ransomware-claims-attack-on-automotive-giant-yanfeng/

4、北德克萨斯州水务局NTMWD遭到Daixin的勒索攻击

媒体11月28日称，勒索团伙Daixin将北德克萨斯市政水区(NTMWD)添加到其泄露网站。NTMWD是一个政府机构，为该州超过13个城市的200万人提供服务。NTMWD称其遭到网络攻击，大部分业务已经恢复。它还称核心供水、废水处理和固体废物处理服务并未受到影响，但电话系统受到影响。勒索团伙声称窃取了33844个文件，包括董事会会议记录、内部项目文档、人员详细信息和审计报告等。

https://therecord.media/north-texas-water-utility-cyberattack

5、勒索软件DJVU的新变体Xaro伪装成破解软件来传播

11月29日媒体称，Cybereason发现勒索软件DJVU的新变体Xaro正在伪装成破解软件来传播。DJVU本身是勒索软件STOP的变种，新变体为受影响文件添加了.xaro扩展名，因而被命名为Xaro。此外，Xaro还与其它各种恶意文件一起分发，这表明攻击者采用了"shotgun"方式。其它恶意软件包括各种信息窃取程序、加载程序和下载程序，这表明除了执行勒索攻击外，攻击者可能还对双重勒索和进一步入侵目标计算机感兴趣。

https://thehackernews.com/2023/11/djvu-ransomwares-latest-variant-xaro.html

6、研究人员演示如何利用新BLUFFS攻击劫持蓝牙连接

媒体11月28日报道，Eurecom研究人员开发了6种新的攻击方式，统称为“BLUFFS”。它们可以破坏蓝牙会话的机密性，从而导致设备冒充和中间人（MitM）攻击。攻击通过利用会话密钥推导过程中的4个漏洞（其中两个是新漏洞）来实现的，漏洞会强制推导出一个简短、微弱且可预测的会话密钥（SKC）。接下来，攻击者对密钥进行暴力破解，从而解密过去的通信，并解密或控制未来的通信。这些问题被追踪为CVE-2023-24023进行跟踪，影响了蓝牙核心规范4.2至5.4。

https://www.bleepingcomputer.com/news/security/new-bluffs-attack-lets-attackers-hijack-bluetooth-connections/

安全动态

国际执法行动捣毁著名的乌克兰勒索团伙

https://securityaffairs.com/154897/cyber-crime/ukraine-based-ransomware-group-dismantled.html

DP World确认数据在网络攻击中被盗

https://www.bleepingcomputer.com/news/security/dp-world-confirms-data-stolen-in-cyberattack-no-ransomware-used/

Microsoft发布发送邮件时Outlook崩溃的临时修复程序

https://www.bleepingcomputer.com/news/microsoft/microsoft-shares-temp-fix-for-outlook-crashes-when-sending-emails/

身份盗窃服务转售USInfoSearch数据的访问权限

https://krebsonsecurity.com/2023/11/id-theft-service-resold-access-to-usinfosearch-data/

针对伊朗银行的Android木马活动

https://www.zimperium.com/blog/unveiling-the-persisting-threat-iranian-mobile-banking-malware-campaign-extends-its-reach/