【10.21】安全帮®每日资讯：TikTok设立漏洞奖励计划，奖金标准为抖音的7倍；微软启动针对Chromium的零日漏洞计划

admin

101400
文章

87
评论

2020年10月21日09:30:50评论95 views字数 2258阅读7分31秒阅读模式

【10.21】安全帮®每日资讯：TikTok设立漏洞奖励计划，奖金标准为抖音的7倍；微软启动针对Chromium的零日漏洞计划

安全帮®每日资讯

微软修复远程执行漏洞：能通过 iPhone 视频文件远程控制 PC

由于微软操作系统在处理 HEVC 文件方式上存在漏洞，那些使用 Windows 设备的 iPhone 用户在浏览和编辑视频文件的时候存在被黑客远程攻击的风险。该漏洞于上周被发现，存在于微软的 Windows Codecs Library 中，能接管未修复的设备并执行远程代码。美国网络安全和基础设施安全局已于上周五将威胁标记为“威胁”。

参考来源：

http://hackernews.cc/archives/32692

微软启动针对Chromium的零日漏洞计划

在2020年1月份宣布使用开源代码库重建Edge浏览器之后，微软近日宣布启动了针对Chromium的类似Google Project Zero风格的零日漏洞安全研究计划。一组浏览器安全专家将对Google的浏览器开发库进行深入研究。Chromium包含2500万行代码，是世界上最大、最复杂的开源项目之一，同时也是目前全球最主流的浏览器代码库。

参考来源：

https://www.aqniu.com/industry/70777.html

Adobe Magento 远程代码执行漏洞（CVE-2020-24407）

近日， Adobe官方发布了 CVE-2020-24407 Magento 远程代码执行漏洞通告。近日 Adobe 官方发布安全公告披露了在 Magento Commerce/Open Source 2.3 以及 2.4 版本中存在 CVE-2020-24407 远程代码执行、CVE-2020-24400 SQL注入等多个漏洞。在具有管理特权的情况下，攻击者可构造恶意请求，绕过文件上传限制，从而造成远程代码执行，控制服务器。

参考来源：

https://nosec.org/home/detail/4592.html

恶意软件Emotet活动升级：伪装成Windows Update邮件分发

臭名昭著的 Emotet 恶意软件活动再次升级。在本次活动中，该恶意软件通过声称是来自“Windows Update”的电子邮件进行分发，并告诉用户应该升级微软 Word 。援引外媒 Bleeping Computer 的说法，在这些电子邮件中包含恶意的 Word/Excel 文档，或者下载链接。当用户点击之后，附件会提示用户“启用内容”从而允许宏命令运行，从而安装 Emotet 木马程序。

参考来源：

https://www.cnbeta.com/articles/tech/1042685.htm

TikTok设立漏洞奖励计划，奖金标准为抖音的7倍

TikTok近日宣布，与漏洞众测平台HackerOne合作推出漏洞奖励计划，邀请全球白帽子报告其TikTok网站、Android应用、iOS应用的安全漏洞。TikTok漏洞奖励计划基于CVSS规范评估漏洞危害，分为严重、高、中、低四档，其中低危漏洞奖金在50-200美元之间，中危漏洞为200-1700美元，高危漏洞为1700-6900美元，严重漏洞为6900-14800美元。

参考来源：

https://www.secrss.com/articles/26378

跨国犯罪团伙 QQAAZZ 多个成员被指控提供洗钱服务务

本周，跨国网络犯罪集团 QQAAZZ 的 20 名成员分别在美国、葡萄牙、西班牙和英国被指控为恶意软件提供洗钱服务。逮捕行动是由欧洲刑警组织协调开展的前所未有的国际执法行动，行动代号为 2BaGoldMule。行动涉及 16 个国家，警方在拉脱维亚、保加利亚、英国、西班牙和意大利进行了 40 多次房屋搜查。警方还查封了与 QQAAZZ 组织相关的，位于保加利亚的比特币挖矿业务。

参考来源：

http://hackernews.cc/archives/32671

美公布曾发起乌克兰停电和 NotPetya 勒索软件攻击的 6 名俄黑客名单

据外媒报道，美司法部指控六名俄罗斯情报官员发布了一些“世界上最具破坏性的恶意软件”，其中包括2015年12月对乌克兰电网的攻击以及2017年的NotPetya全球勒索软件攻击。检察官表示，这群为俄罗斯GRU工作的黑客是有史以来最具破坏性的一系列电脑攻击的幕后主使。这些黑客被控利用KillDisk和Industroyer开发和发动攻击以锁定和中断乌克兰的电力供应。

参考来源：

http://hackernews.cc/archives/32713