在Google Docs中输入特定的单词后会导致其崩溃；宜家加拿大分公司已泄露近10万名客户的个人信息

1、在Google Docs中输入特定的单词后会导致其崩溃

      据媒体5月6日报道，Google Docs中存在一个问题，在其中输入特定的单词后会导致崩溃。该问题首先由用户Eliza Callahan发现，当其在文档中输入“And.And.And.And.And.And.”时，收到错误消息“Unable to load file”，并且无法再查看或编辑文档。经过测试，小写的“and.and.and.and.and.and.”不会触发该问题，但相同格式的字符串存在同样的问题，诸如"But.But.But.But.But."等。研究人员推测与“显示语法建议”选项有关，目前Google团队正在解决该问题。

https://www.bleepingcomputer.com/news/technology/google-docs-crashes-on-seeing-and-and-and-and-and/

2、收债服务ENCollect配置错误泄露超过160万条记录

      安全公司UpGuard在5月5日称其发现了一个配置错误的ElasticSearch服务器，涉及印度和非洲金融服务机构贷款的财务信息。该ElasticSearch属于债务催收服务平台ENCollect，总共有5.8GB数据，1686363条记录。其中包括包括姓名、贷款金额、出生日期、帐号等个人信息，以及属于产品管理员、公司客户和收款代理的48043个邮件地址。研究人员于2月16日检测到该数据库，2月28日其已被保护起来。

https://thehackernews.com/2022/05/thousands-of-borrowers-data-exposed.html

3、宜家加拿大分公司已泄露近10万名客户的个人信息

      据5月6日报道，宜家加拿大分公司已泄露约95000名客户的个人信息。该公司在声明中表示，部分顾客的个人信息出现在宜家加拿大公司一名员工在3月1日至3日期间利用宜家的顾客数据库进行的 "一般搜索 "的结果中。此次泄露了客户的姓名、邮件地址、电话号码和邮政编码等信息。该公司表示他们目前无法推测导致此次事件的原因，但已经采取行动解决该问题，并已经主动向加拿大隐私监管机构通报了这一事件。

https://www.infosecurity-magazine.com/news/data-breach-ikea-canada/

4、俄罗斯酒类分销的相关网站EGAIS遭到DDoS攻击

      据媒体5月5日称，俄罗斯的一些酒类公司声称无法按照政府法规的要求访问EGAIS网站。EGAIS是俄罗斯酒精饮料统一自动化信息系统，其服务中断导致俄罗斯酒类的运输和配送在过去几天受到了巨大的影响。此次攻击活动可能与乌克兰的IT Army有关，因为相关网站近期已被该团伙列为目标。这不是第一次针对俄罗斯内部产品供应链的攻击，3月份其肉类生产商Miratorg遭到了攻击，妥协点位于该领域公司使用的国家信息系统VetIS。

https://www.bleepingcomputer.com/news/security/ukraine-s-it-army-is-disrupting-russias-alcohol-distribution/

5、美国NIST发布关于管理供应链风险的网络安全指南

      5月5日，美国国家标准与技术研究院(NIST)发布了关于管理供应链风险的网络安全指南。该指南总共326页，内容从评估外国对软件和产品开发的控制，到使用外部IT服务提供商相关的风险，为识别和应对供应链的威胁提供指导。NIST研究人员称，组织需要保证他们购买和使用的东西是值得信赖的，这一指南可以帮助其了解要注意哪些风险以及采取哪些行动来应对。由于指南的长度和复杂性，NIST计划发布快速入门指南，以帮助刚开始进行供应链风险管理的组织。

https://thehackernews.com/2022/05/nist-releases-updated-guidance-for.html

6、TrendMicro发布恶意软件框架NetDooka的分析报告

      TrendMicro在5月5日发布了关于新恶意软件框架NetDooka的分析报告。NetDooka通过PrivateLoader的PPI（按安装付费）服务分发，具有加载程序、释放程序、保护驱动程序并依赖于自定义网络通信协议。该RAT通过TCP接收命令，并具有多种功能，例如执行文件操作、记录键盘击键、执行shell命令、使用主机资源进行DDoS攻击或执行远程桌面操作等。研究人员表示，虽然该工具仍处于早期开发阶段，但它已经非常强大。

https://www.trendmicro.com/en_us/research/22/e/netdooka-framework-distributed-via-privateloader-ppi.html

AISY Framework

      基于python的框架，用于侧信道分析的深度学习。

https://aisylab.github.io/AISY_docs/

xpid

      调查Linux系统上的进程详细信息。

https://github.com/kris-nova/xpid

Firefox产品中的多个漏洞可能导致任意代码执行

https://www.cisecurity.org/advisory/multiple-vulnerabilities-in-firefox-products-could-allow-for-arbitrary-code-execution_2022-062

FTC强制ISP为60K用户部署光纤以匹配速度要求

https://www.bleepingcomputer.com/news/technology/ftc-to-force-isp-to-deploy-fiber-for-60k-users-to-match-speed-claims/

微软、苹果和谷歌支持FIDO无密码登录

https://www.bleepingcomputer.com/news/security/microsoft-apple-and-google-to-support-fido-passwordless-logins/

Tor项目用新系统提升网速性能

https://www.bleepingcomputer.com/news/security/tor-project-upgrades-network-speed-performance-with-new-system/

佐治亚州律师协会称其遭到攻击网站和邮件系统受影响

https://therecord.media/state-bar-of-georgia-cyberattack/

勒索软件BEAF、PXJ、ZZZZ和CHiCHi与朝鲜APT38有关

https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/the-hermit-kingdoms-ransomware-play.html

推荐阅读：

俄罗斯和白俄罗斯的多个官方网站遭到DDoS攻击

法国医院GHT遭到勒索攻击患者和管理相关信息泄露