1、研究人员披露AutoSpill攻击可从安卓密码管理器窃取凭据

https://www.blackhat.com/eu-23/briefings/schedule/index.html#autospill-zero-effort-credential-stealing-from-mobile-password-managers-34420

安全研究人员开发了一种新的攻击，他们将其命名为AutoSpill，在自动填充操作期间窃取安卓上的帐户凭据。研究人员表示，他们的测试表明，即使没有JavaScript注入，大多数安卓密码管理器也容易受到AutoSpill的攻击。安卓应用程序通常使用WebView控件来呈现Web内容，例如应用程序内的登录页面，而不是将用户重定向到主浏览器，这在小屏幕设备上会是一种更麻烦的体验。当应用程序加载Apple、Facebook、Microsoft或Google等服务的登录页面时，安卓上的密码管理器使用该平台的WebView框架自动输入用户的帐户凭据。

2、研究人员称超过一半的内部攻击使用特权提升漏洞

https://www.crowdstrike.com/blog/how-malicious-insiders-use-known-vulnerabilities-against-organizations/

特权提升缺陷是企业内部人员在网络上进行未经授权的活动时最常见的漏洞，无论是出于恶意目的还是以危险的方式下载有风险的工具。根据2021年1月至2023年4月期间收集的数据发布的一份报告显示，内部威胁正在上升，而利用权限升级漏洞是未经授权活动的重要组成部分。该报告称，该公司记录的内部威胁中有55%依赖于权限升级漏洞，而其余45%通过下载或滥用攻击性工具无意中引入了风险。利用权限升级漏洞来获取管理权限对于许多内部攻击至关重要，因为在大多数情况下，流氓内部人员都会从对其网络环境的低级别访问开始。

3、研究人员发现针对主要金融机构的加密npm恶意软件包

https://blog.phylum.io//encrypted-npm-packages-found-targeting-major-financial-institution/

2023年11月上旬，研究人员开始跟踪npm上的可疑出版物。有问题的包包含一个加密的blob，该blob似乎是针对目标计算机的密钥：只有使用一些本地计算机信息和解密密钥才能解密。然后将解密的blob传递给eval(...)执行。研究人员解密此负载，发现密钥是一家主要金融机构的domain.tld。此解密的有效负载包含一个嵌入的二进制文件，该二进制文件巧妙地将用户凭据泄露到相关目标公司内部的Microsoft Teams Webhook2。这表明存在内部工作、非常好的内部红队模拟或在网络中拥有强大立足点的外部攻击者。

4、网络攻击使乌克兰最大的电信运营商陷入瘫痪

https://www.securityweek.com/cyberattack-cripples-ukraines-largest-telcom-operator/

乌克兰最大的移动网络运营商 Kyivstar 周二遭受大规模网络攻击，导致数百万公民的移动和互联网通信中断。

5、微软周二补丁日：修复严重的欺骗和远程代码执行漏洞

https://www.securityweek.com/microsoft-patch-tuesday-critical-spoofing-and-remote-code-execution-flaws/

微软周二推出了针对Windows生态系统中几个关键安全漏洞的修复程序，并警告称，黑客可能会针对这些问题来完全控制未打补丁的机器。作为其常规补丁星期二发布的一部分，微软记录了一系列产品中的至少 33 个漏洞，并呼吁紧急关注 MSHTML 平台、Microsoft Power Platform 连接器和 Internet 连接共享 (ICS) 组件中的远程代码执行漏洞。

6、Apple 推出iMessage 联系人密钥验证的新功能以阻止冒充者

https://www.securityweek.com/apple-sets-trap-to-catch-imessage-impersonators/

Apple 最新的 iOS 和 macOS 平台更新带来的不仅仅是紧急安全补丁。该公司激活了一项名为iMessage 联系人密钥验证的新功能，以阻止冒充者和复杂的威胁行为者滥用其 iMessage 服务器基础设施。

7、西门子和施耐德电气解决了影响其工业产品的数十个漏洞

https://www.securityweek.com/ics-patch-tuesday-electromagnetic-fault-injection-critical-redis-vulnerability/

西门子和施耐德电气发布了 2023 年 12 月的周二补丁公告，解决了影响其产品的数十个漏洞。

8、乌克兰军事情报部门入侵俄罗斯联邦税务局

https://securityaffairs.com/155727/cyber-warfare-2/ukraine-hacked-russian-federal-taxation-service.html

乌克兰国防部主要情报局的黑客宣布他们已经入侵了俄罗斯联邦税务局（FNS），军事情报部门表示，此次黑客攻击是俄罗斯境内一次成功的特别行动的结果。乌克兰国防情报局 (GUR) 感染了俄罗斯税务部门的数千台服务器，并清除了数据库和备份。

9、超过 1,450 个 pfSense 服务器易遭受 Bug 链 RCE 攻击

https://www.bleepingcomputer.com/news/security/over-1-450-pfsense-servers-exposed-to-rce-attacks-via-bug-chain

在线暴露的大约 1,450 个 pfSense 实例容易受到命令注入和跨站点脚本漏洞的攻击，这些漏洞如果链接起来，可能使攻击者能够在设备上执行远程代码。

10、国际航空运输协会：导航系统被攻击导致多架飞机偏离航线

https://www.secrss.com/articles/61594

国际航空运输协会官员表示，鉴于近期网络攻击者误导飞机导航系统，导致飞机偏离航线的事件越来越多，全球航空业巨头计划明年 1 月开会讨论由此引发的安全问题。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。