LastPass用户主密码疑似泄露

1、LastPass用户主密码疑似泄露

LastPass部分用户收到邮件通知，他们的主密码疑似泄露，保存的所有账号处于风险中。

好在官方声明登录都被风控系统拦截，并及时通知用户修改主密码。目前还无法确认主密码是如何泄露的，官方表示这都是黑客通过撞库拿到的，但有些用户说他们用的密码是专门分开的，孰是孰非我暂且蒙在鼓里。

看到新闻后，部分安全研究员表示，之前研究RedLine恶意软件日志时，曾发现过LastPass账号密码，并把日志公开出来。不过上文的用户表示，自己并不在此列，将继续追究下去。另一部分用户表示，自己修改密码后秒收到告警新邮件，说账户仍存在风险，想销号还销不掉，心好累。[阅读原文]

 

2、三星商店盗版App横行

安全研究员在Galaxy Store发现多款盗版视频App，并且全都存在恶意功能。

这些App均仿照已倒闭的Showbox制作，可以用来看各个网站的版权视频，但安全研究员调查发现除了看视频外恶意功能全得很，可以盗号，可以暗点广告，还可以拦截电话短信。安全研究员联系三星删除这些App，还没得到回复。

有人质疑即使不是恶意软件，侵犯版权的App三星也不应该上架，安全研究员试着查看了协议，发现三星只检查App是否有恶意功能其他的不管，这也给了这些恶意软件可趁之机。[阅读原文]

 

3、意大利法院认定开源协议可执行

在一次涉及开源软件的审判中，意大利法院裁定软件供应商未遵循开源许可败诉。

涉案开源软件是WordPress中Elementor平台的插件，两名程序员重新分发软件时忘了提及版权所有者，结果被处以巨额罚款，每天罚金339美元，且最终还要支付原告诉讼费近6000美元。[阅读原文]

 

4、RedLine恶意软件攻击浏览器窃取保存密码

RedLine恶意软件从冷门方向下手，只攻击浏览器拿存储的密码。

RedLine用起来很方便，黑客论坛打完折200美元就能买到，不仅如此，账号密码薄利多销，可以快速出手变现，深受黑产人员喜爱。当然它这么火也有暗网市场的影响，2easy暗网市场一半数据都出自该恶意软件之手，对黑产人员来说没有比这更有说服力的广告了，安全研究员提醒RedLine将长期对用户造成严重威胁。[阅读原文]

 

5、Log4j深夜又曝新漏洞

Apache发布Log4j 2.17.1，修复2.17.0中的代码执行漏洞CVE-2021-44832。

此前Log4j已陆续出了四个RCE，好不容易更到了较稳定的2.17.0，马上又出了新漏洞，紧急发布小版本更新。不过这个漏洞在安全人员中引起部分争议，不少人因为这是不是RCE漏洞吵起来了。

不仅如此，这种披露方式也广受批评，认为应当给企业留够时间进行更新。

目前Log4j漏洞加入了绝大部分黑产武器库，可能几年内企业都要持续受到攻击。[阅读原文]