《维他命》每日安全简讯20181217

发布时间 2018-12-17
1、美DoD称其弹道导弹防御系统未通过网络安全审计



根据美国国防部监察长的一份报告,美国的弹道导弹防御系统(BMDS)未能通过网络安全审计。该报告指出BMDS设施未能实施应有的安全控制措施,包括多因素身份认证、漏洞评估和缓解、服务器机架安全、可移动媒体上的机密数据保护和技术信息加密传输等。此外,一些物理安全措施也没有到位,例如摄像头和传感器并没有安装在需要安装的位置。监察长办公室正在要求首席信息官、指挥官等在2019年1月8日前回应该份报告。


原文链接:

https://media.defense.gov/2018/Dec/14/2002072642/-1/-1/1/DODIG-2019-034.PDF


2、卡巴斯基新报告披露电动汽车充电站中的安全风险



根据卡巴斯基实验室的一份报告,ChargePoint企业制造的家用电动汽车充电站存在多个安全漏洞,可允许远程攻击者调整充电电流以及随时停止汽车的充电过程,从而导致潜在的物理损坏和经济损失。该家用充电站支撑WiFi和蓝牙无线技术,用户可通过iOS及Android平台的移动app远程控制充电过程。研究人员发现该设备的Web服务器存在证书安全问题、缓冲区溢出等漏洞。目前该企业已修复了这些漏洞。


 原文链接:

https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2018/12/13084354/ChargePoint-Home-security-research_final.pdf


3、Twitter发布透明度报告,称其每月收到50万垃圾邮件报告



根据Twitter的2018年上半年透明度报告,其每月收到的垃圾邮件报告数量持续下降,从1月份的平均约868349份报告下降到6月份的约504259份。该报告还强调了政府对用户数据的披露请求大幅上升。今年1月至6月,Twitter收到的政府请求比上个报告期增长了10%,这是三年来最大的增长。此外,1月至6月超过205100个账户因发布恐怖主义内容而被删除,与2017年下半年的数字(120万)相比大幅下降。1月至6月期间还有超过487300个账户因儿童性剥削问题而被封禁。


原文链接:

https://transparency.twitter.com/


4、APT28利用Zebrocy后门和Cannon木马攻击多个政府机构



Palo Alto Networks的Unit42团队发布关于APT28近期针对政府机构的恶意活动的分析报告。2018年10月中旬到2018年11月中旬期间,APT28持续袭击了世界各地的多个政府机构,主要目标是北约国家,但也包括几个前苏联国家。这些攻击活动主要部署了Zebrocy或Cannon变种,其交付的恶意文档使用了同一个编辑名称:Joohn。研究人员分析了收集到的9个恶意文档,并建立了Dear Joohn活动的时间线。


原文链接:

https://unit42.paloaltonetworks.com/dear-joohn-sofacy-groups-global-campaign/


5、新恶意AppCapitalInstall,主要针对医疗和零售业



Netskope威胁研究实验室发现一个新的恶意AppCapitalInstall。该恶意App通过微软 Azure分发,这使得其IP地址被许多企业加入白名单。CapitalInstall伪装成流行App(例如Adobe CC 2019)的免费密钥和许可证,诱骗用户进行下载,并捆绑了广告AppLinkury,进而在用户的计算机上下载更多潜在有害的程序。CapitalInstall主要针对医疗和零售业。


原文链接:

https://www.netskope.com/blog/capitalinstall-hosted-and-served-via-iaas


6、西门子修复SINUMERIK控制器中的多个安全漏洞



西门子修复了SINUMERIK控制器中的10个安全漏洞。其中漏洞(CVE-2018-11466)允许未经身份验证的攻击者通过向TCP端口102发送恶意数据包来触发DoS或实行任意代码,该漏洞的利用并不需要任何用户交互。此外,漏洞(CVE-2018-11457和CVE-2018-11458)允许攻击者通过发送恶意TCP数据包来进行提权。建议用户尽快进行更新。西门子最近宣布将像MicroSoft、Adobe和SAP一样在每个月的第二个星期二发布安全公告。


 原文链接:

https://cert-portal.siemens.com/productcert/pdf/ssa-170881.pdf


声明:本资讯由澳门浦京娱乐场维他命安全小组翻译和整理