安全焦点

* 美国指控两名俄罗斯人窃取1680万美元

美国司法部对两名俄罗斯国民提起诉讼，指控他们针对三个加密货币交易所的用户进行多年的网络钓鱼操作，累计造成损失1680多万美元。

* 2020年国家网络安全宣传周将于9月14日至20日举行

2020年国家网络安全宣传周于9月14日至20日在全国范围内统一开展，今年的主题是“网络安全为人民，网络安全靠人民”，是由中央宣传部、中央网信办、教育部、工业和信息化部、公安部等部门联合举办。今年网安周的网络安全高峰论坛等重要活动在河南郑州举行，主要内容包括：网络安全高峰论坛、数字化展会、网安周特别节目、全民网络安全知识竞赛、线上网络安全课堂、主题日等活动。

* 雷蛇数据泄漏暴露了大约10万游戏玩家的个人信息

国外一名安全专家上月发现，知名游戏硬件制造商雷蛇由于错误配置了云服务器，导致大约10万用户的个人信息被泄露。泄露内容包含了客户的姓名、电话、电子邮件以及送货地址等。在发现这件事以后他立刻向雷蛇反馈了数据库泄露情况，希望能共同处理这个问题。9月9日雷蛇发表声明称：他们已经修复了服务器问题，并感谢研究人员的帮助。安全研究提醒：如果近期从雷蛇购买了产品，则需要密切关注电子邮件中收到的可疑链接。

* iPhone解锁设备GrayKey首次曝光

在过去的几年中，一家神秘的初创公司一直在销售一种可以解锁iPhone的司法破解设备，这些设备被执法和安全部门广泛使用。

此前，这个名为GrayKey的黑盒子在网上泄露的图片很少，只有2018年华尔街日报文章和网络安全公司Malwarebytes放出过两张外观图。

近日，FCC（美国联邦通信委员会）发布了GrayKey的更多外观和拆解图片，这使得外界首次有机会一睹真容。这些图片之所以会被FCC发布，是因为GrayKey的制造商GrayShift 向FCC提交了一系列文件，作为获得FCC ID的申请的一部分，这是所有高科技产品在美国合法销售必须通过的程序。

GrayKey的拆解图片，可以看出该设备使用了Compulab制造的ARM处理器。

安全风险

* 三秒提权：微软Windows“满级漏洞”被利用

近日，安全公司Secura针对一个刚修补不久的Windows漏洞（CVE-2020-1472）开发了一个概念验证利用程序——Zerologon，可以“三秒内”接管企业内网的司令部——Active Directory域控制器，“呵护”所有联网计算机。

CVE-2020-1472是Netlogon远程协议（MS-NRPC）中的一个特权提升漏洞，被微软评定为危险级别最高的“高危漏洞”，CVSS(常见漏洞评分系统)评分为满分10分。要想利用该漏洞，攻击者必须在目标网络中找到立足点，通过没有特权的内部人员，或者对联网设备的入侵。该漏洞使攻击者可以操纵Netlogon的身份验证过程，进行以下操作：

可模拟网络上任何计算机的身份通过域控制器的身份验证

在Netlogon身份验证过程中禁用安全功能

更改域控制器的Active Directory上的计算机密码（所有加入域的计算机的数据库及其密码）

值得注意的是，由于管理员们对安装可能影响网络组件（如域控制器）的补丁更新非常谨慎，因此CVE-2020-1472补丁未能及时安装产生的风险要更大一些。强烈建议存在该漏洞的企业高度重视并尽快安装补丁程序。

CVE-2020-1472漏洞补丁与建议：

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472

* SUSE 访问控制错误漏洞

SUSE Manager是德国SUSE公司的一套Linux服务器管理系统。该系统提供自动化软件管理、系统配置和监控等功能。spacewalk是一套开源的Linux系统管理解决方案。 SUSE 存在访问控制错误漏洞。该漏洞源于网络系统或产品未正确限制来自未授权角色的资源访问。以下产品及版本受到影响：SUSE Manager Server 4.1版本，SUSE Manager Proxy 4.0版本，SUSE Manager Retail Branch Server 4.0版本，SUSE Manager Server 3.2版本，SUSE Manager Server 4.0版本。

企业安全

钓鱼邮件攻击4

利用邮件协议漏洞攻击主要利用了邮箱本身安全设置问题，若邮箱地址没有设置spf，那，么就会有人假冒真实域名发送邮件。

* 邮件伪造

使用swaks可以非常简单的向目标投送伪造的钓鱼邮件。

* 邮件协议爆破

使用万能爆破工具hydra可以对常见邮件协议进行爆破。

文/上海蓝盟 IT外包专家

• 上一篇: 蓝盟夏立城：公益不是一个人做很多，而是每个人都做一点点
  下一篇: 以自信为力量，用心地与客户做场景化沟通，是自我提升的要素

• 分享到：