黑客骇入iCloud窃取裸照被判九年监禁

1、黑客骇入iCloud窃取裸照被判九年监禁

加州男子21年10月承认犯有计算机犯罪相关罪行被判入狱，iCloud黑客生涯就此终结。

早在14年，41岁的他就以“icloudripper4you”身份出道，号称能够攻破iCloud账号获取一切信息。接到订单后，他黑了几百个iCloud账号，窃取了包括裸照在内的众多敏感信息。这些信息不仅用来威胁受害者，还发给了网上的同好和成人网站，这也给了联邦调查局线索和机会。最终，联邦调查局对他实施了抓捕，调查时发现他累计攻击了差不多4700个iCloud账号获取共3.5T敏感信息。[阅读原文]

 

2、伪装成加密货币钱包和浏览器的MaliBot实为窃密狂魔

安全研究员最近发现针对意大利和西班牙用户的Android窃密木马MaliBot，平日伪装成加密货币钱包和浏览器秘密传播。

既然伪装成加密货币钱包，那就贯彻到底咯，MaliBot会把受害者加密货币钱包里的资产全部卷走，双因子认证什么的也不在话下，当然了，银行钱包也是钱包，普通的银行账号也在它的攻击范围内。因其C2服务器IP是俄罗斯地址，安全研究员认为背后是俄罗斯黑客在捣鬼，目前恶意软件和C2服务器都在正常运作。[阅读原文]

 

3、MetaMask与Phantom惊现Demonic漏洞安全性堪忧

MetaMask与Phantom对Demonic漏洞进行了通报，该漏洞可能会泄露加密货币钱包的恢复短语，导致资产丢失。 恢复短语，即种子，作为钱包可读私钥，一旦泄露钱包就能被导入任意设备，加密货币和NFT将被一扫而空。漏洞说来也不复杂，利用了浏览器的缓存措施对密钥进行恢复。主流浏览器都会把非密码输入框的内容缓存起来防止程序或系统突然崩溃，但MetaMask与Phantom却没有把恢复短语设置为密码输入框，这样黑客就可以从浏览器保存在硬盘上的缓存中提取恢复短语，最终把钱包导入自己设备任意转款。当然了，如果硬盘进行了加密，这招就行不通了，不过很多Win用户还没有这样的习惯。

安全研究员提醒，如果钱真的很多，还是用冷钱包最为保险。[阅读原文]

 

4、Anker Eufy智慧家居中心面临RCE风险

Anker Enfy智慧家居中心Eufy Homebase 2被发现三个漏洞，可能导致RCE。 Homebase 2是Anker智慧家居用于整合其他设备的中枢，承担网关、视频存储、视频门铃、摄像头、智能锁、报警系统等功能，同时也与云系统链接方便通过应用远程控制。CVE-2022-21806是其中影响最大的，只需向目标设备发送一组特制数据包就能触发RCE，CVSS评分10.0。另外两个漏洞危害相对小一些，CVE-2022-25989可由DHCP包触发把流量转发到黑客服务器，CVE-2022-26073则使得黑客可以任意重启网关。

目前官方已发布更新，只需升级就可以高枕无忧。[阅读原文]

 

5、数十万WordPress网站强制更新修复高危漏洞

Ninja Forms强制推送安全更新修复高危漏洞，仍有众多网站未升级完成。

此漏洞影响Ninja Forms 3.0及以上版本，黑客可利用合并标签功能调用Ninja表单项，最终通过反序列化实现代码执行全站接管。官方于6月14日发布安全更新，并强制推送，根据下载统计数据，目前已有73万网站完成了更新，但Ninja Forms使用量远超百万，想全部修补注定难上加难。同时，早在官方发布更新前，安全研究员就监测到此漏洞的在野利用，恐怕没有更新的那批也有已被攻破的在。[阅读原文]