1、Lazarus黑客利用虚假DeFi游戏对个体发起攻击

https://securelist.com/lazarus-apt-steals-crypto-with-a-tank-game/114282/

Lazarus黑客组织通过一个假冒的去中心化金融（DeFi）游戏，利用了Google Chrome的零日漏洞CVE-2024-4947，针对加密货币领域的个体展开攻击。该攻击最早由Kaspersky于2024年5月发现，并向Google报告了该漏洞。Lazarus使用了名为"Manuscrypt"的后门恶意软件，并通过一个名为DeTankZone的NFT在线游戏网站传播，该网站伪装成一款多人坦克对战游戏，实则暗中利用Chrome漏洞执行远程代码。通过该漏洞，攻击者能够获取用户的登录信息、密码和浏览历史。尽管该游戏的后端基础设施已被关闭，Chrome漏洞仍在其网站上被利用。研究人员认为，Lazarus的最终目标可能是窃取加密货币。

2、勒索软件攻击冒用LockBit名声以恐吓受害者

https://www.trendmicro.com/en_us/research/24/j/fake-lockbit-real-damage-ransomware-samples-abuse-aws-s3-to-stea.html

最近的勒索软件攻击中，攻击者利用亚马逊S3加速功能窃取数据，并伪装其勒索软件为臭名昭著的LockBit，以加剧对受害者的威胁。据研究人员研究，攻击者在勒索软件中嵌入了硬编码的AWS凭证，通过S3存储加速功能将窃取的数据上传到其控制的云存储桶。此勒索软件能够攻击Windows和macOS系统，并加密特定文件，随后更改设备壁纸以展示LockBit 2.0的名称。此举旨在利用LockBit的恶名迫使受害者支付赎金。

3、流行应用暴露云密钥致数百万iOS和Android用户面临风险

https://www.security.com/threat-intelligence/exposing-danger-within-hardcoded-cloud-credentials-popular-mobile-apps

研究人员发现，数百万iOS和Android用户的敏感数据因流行应用中的硬编码云服务密钥而面临泄露风险。开发者在应用代码中嵌入未加密的云服务凭证，如AWS和Azure密钥，容易被攻击者利用，从而造成数据泄露和服务中断。受影响的Android应用包括下载量超500万的Pic Stitch，以及Meru Cabs和Sulekha Business等；iOS应用如Crumbl、Eureka和Videoshop也同样存在此类问题，进一步简化了攻击路径。专家建议开发者立即采取安全存储措施。

4、苹果、特斯拉均受影响，新型漏洞迫使GPU无限循环直至系统崩溃

https://www.freebuf.com/news/413576.html

近日，Imperva 研究人员发现了一个名为 ShadyShader 的漏洞。该漏洞允许攻击者反复冻结苹果设备的 GPU，最终可能导致系统崩溃。

5、Mallox 勒索软件漏洞让受害者无需支付赎金即可恢复文件

https://cybersecuritynews.com/mallox-ransomware-decrypted/

该漏洞影响了整个 2023 年和 2024 年初活动的恶意软件版本，尽管攻击者在 2024 年 3 月对其进行了修补。

6、日本电产精密公司披露安全事件和数据泄露情况

https://www.anquanke.com/post/id/301244

日本电产精密株式会社（Nidec Precision Corporation）是一家领先的精密电机和零部件制造商，该公司最近公布了影响其越南子公司 Nidec Precision Vietnam Corporation (NPCV) 的安全事件详情。该事件发生于 2024 年 8 月 5 日，涉及外部犯罪团伙未经授权访问 NPCV 的网络。

7、Nvidia 修补了Windows、Linux驱动程序中的严重漏洞

https://www.securityweek.com/nvidia-patches-high-severity-flaws-in-windows-linux-graphics-drivers/

科技巨头 Nvidia 推出了紧急安全更新，以修复 Windows 和 Linux 的 GPU 驱动程序及其虚拟 GPU (vGPU) 软件中的至少 8 个高严重性漏洞。

8、朝鲜黑客利用 Chrome 零日漏洞盗窃加密货币

https://www.securityweek.com/north-korean-hackers-exploited-chrome-zero-day-for-cryptocurrency-theft/

据卡巴斯基报道，朝鲜高级持续威胁 (APT) 攻击者 Lazarus 被发现利用 Chrome 中的零日漏洞从虚假游戏网站的访问者那里窃取加密货币。

9、VMware 发布vCenter Server更新以修复严重RCE 漏洞

https://thehackernews.com/2024/10/vmware-releases-vcenter-server-update.html

VMware 发布了软件更新，以解决 vCenter Server 中已修补的安全漏洞，该漏洞可能为远程代码执行铺平道路。该漏洞编号为CVE-2024-38812 （CVSS 评分：9.8），涉及 DCE/RPC 协议实现中的堆溢出漏洞。

10、BattlEye 漏洞：“BannleEye”漏洞允许任意禁止用户

https://securityonline.info/battleye-vulnerability-bannleeye-exploit-allows-arbitrary-banning-users/

广泛使用的反作弊系统 BattlEye (BE) 中的一个严重漏洞已被披露，可能会危及多个著名在线游戏用户帐户的安全。安全研究人员timoxa565发现的该漏洞使恶意行为者能够利用系统的身份验证过程并触发非法帐户禁令。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。