SecZone每日安全资讯（2023.10.08）

环球动态

1.Microsoft将在Windows 11中引入密钥支持功能

作为Windows 11重大更新的一部分，微软今天推出了密钥支持功能。用户将能使用设备PIN或生物识别信息登录网站和应用，而无需提供用户名和密码。【Microsoft is Rolling out Support for Passkeys in Windows 11 (thehackernews.com)】

2.黑客利用零点字体伪装成Microsoft Outlook诱骗显示虚假的AV扫描警报

黑客正在利用零点字体在电子邮件中的新型技巧，使恶意邮件看起来像是Microsoft Outlook中的安全工具发出的扫描警报。这是首次记录到ZeroFont网络钓鱼技术以这种方式的使用。【针对 Microsoft 365 的钓鱼即服务平台 Greatness - FreeBuf网络安全行业门户】

3. 谷歌为攻击中利用的libwebp漏洞分配了新的最高CVE编号

谷歌已经为最近被攻击利用的libwebp安全漏洞分配了新的最高CVE编号（CVE-2023-5129）。这个零日漏洞在两周前修补过。【VMware Aria Operations for Networks 远程代码执行漏洞（CVE-2... - FreeBuf网络安全行业门户】

4. 新的AtlasCross黑客冒充美国红十字会发送网络钓鱼诱饵

“AtlasCross”新黑客组织冒充美国红十字会，针对有网络钓鱼诱饵的组织发送后门恶意软件。【Access denied | www.bleepingcomputer.com used Cloudflare to restrict access】

5. 苹果谷歌漏洞披露不充分，使腾讯QQ等数百万应用面临潜在风险

安全研究员指出，苹果和谷歌近期披露的产品零日漏洞不完整，可能隐藏了一个上游开源库libwebp的漏洞，使腾讯QQ等数百万应用面临“巨大的盲点”，处于被攻击的危险之中。【苹果谷歌漏洞披露不完整，让腾讯QQ等数百万应用处于危险之中 - 安全内参 | 决策者的网络安全知识库 (secrss.com)】

6.科技巨头们联手成立了PQC联盟以推动量子密码学的应用

微软、IBM Quantum、MITRE、PQShield、SandboxAQ和滑铁卢大学等科技巨头联手启动了PQC联盟，旨在推动量子密码学在商业及开源领域的应用。Shor算法作为构建所有非对称加密的基础，正受到量子计算的威胁。【Tech Giants Launch Post-Quantum Cryptography Coalition - Infosecurity Magazine (infosecurity-magazine.com)】

安全大爆料

1. 加拿大的Flair Airlines公司在其用户数据保护方面存在严重问题

根据Cybernews的研究团队的发现，加拿大的Flair Airlines公司在其用户数据保护方面存在着严重的问题。他们发现，该公司在处理敏感数据库和电子邮件地址凭据的过程中，竟然将它们保留了下来长达至少七个月的时间。这种情况无疑增加了乘客个人信息（如电子邮件、姓名或地址）被不法分子利用的风险。这不仅对乘客的个人隐私构成了威胁，也对他们的安全带来了潜在的风险。【Canadian Flair Airlines left user data leaking for months (securityaffairs.com)】

2. 科威特财政部遭.HYSIDA勒索软件组织攻击

财政部在今天黎明时分宣布，其一个系统遭到了恶意软件的黑客攻击。尽管系统和保护程序已经启动并停用，但该部仍在评估这次未遂黑客攻击的程度。此外，财政部还确认，工资转移程序不会受到这次网络攻击的影响，因为政府的财务系统是独立的。【The Rhysida ransomware group hit the Kuwait Ministry of Finance (securityaffairs.com)】

3. 3万新生儿和孕期护理患者的数据泄露事件影响了BORN ONTARIO

"BORN（更好的结果注册和网络）受到了网络安全漏洞的影响，这个漏洞是由我们使用的软件Progress MOVEit在执行安全文件传输时触发的全球性漏洞所导致。"【BORN Ontario data breach impacted 3.4 million newborns and pregnancy care patients (securityaffairs.com)】

4. 影子辛迪加：与7个勒索软件家族有关的新兴网络犯罪组织

网络安全专家揭示了一个名为ShadowSyndicate（前身为Infra Storm）的新网络犯罪组织，该组织在过去一年中可能利用了多达七个不同的勒索软件家族。【ShadowSyndicate: A New Cybercrime Group Linked to 7 Ransomware Families (thehackernews.com)】

5. JetBrains TeamCity 的漏洞可能让攻击者获得源代码和构建管道的访问权限

没有经过身份验证的攻击者可以利用 JetBrains TeamCity CI/CD 软件中的一个关键安全漏洞，在受影响的系统上远程执行代码。【Critical JetBrains TeamCity Flaw Could Expose Source Code and Build Pipelines to Attackers (thehackernews.com)】

6. 网络钓鱼者利用Facebook直播假货作为诱饵

NCC警告称，“航海狂人”可能很容易被虚假的社交媒体帖子所诱惑，一些受害者甚至可能在不知不觉中成为了犯罪分子的新兵，以获取整齐的Facebook帐户详细信息。【Critical JetBrains TeamCity Flaw Could Expose Source Code and Build Pipelines to Attackers (thehackernews.com)】

前沿资讯

1. macOS 平台上出现的新型信息窃密软件：MacStealer

信息窃密恶意软件 MacStealer 能够对最新版本的 macOS 造成威胁，并且使用了 Telegram 作为 C&C 信道来窃取受害者的敏感数据。【macOS 平台新出现的信息窃密软件：MacStealer_网络安全小肖的博客-CSDN博客】

2. 零信任技术架构：SDP2.0的中文改写版

"在零信任技术架构中，本质上没有太大的区别。在实际的客户环境中，我们需要根据具体情况有侧重点地进行建设，例如优先加强端点零信任能力（SDP架构）、身份认证零信任能力（IAM架构）或东西向流量的零信任能力（MSG架构）等。"【白话零信任技术架构之SDP2.0 - FreeBuf网络安全行业门户】

3. 0day审计：某微代码审计案例的中文改写版本

这个方法是继承了extends MobileAction并通过http请求获取action参数，然后进行全局jsp文件搜索SkinAction，发现通过了jionActionUrl方法调用，在第2行包含了<%@ include file="/mobilemode/init.jsp"%>，根据里方法构造出路径。【0day审计之某微代码审计-腾讯云开发者社区-腾讯云 (tencent.com)】