太平洋在线轮盘
2021年如故收尾了，COVID-19大流行不息推广，现时是期间视察一下本年每个月发布的内容中诱导了突出100万的打听者的帖子，同期对一些热点趋势进行浅显的回来(通过查抄在Threatpost网站上阅读量最多的帖子)。
2020年一整年的内容真是都是围绕在家职责的安全、以COVID-19为主题的社会工程和游戏(通盘这些都是由大流行第一年的社会变化鼓吹的)，但2021年的重心发生了显着的革新。数据不安全、代码存储库坏心软件、主要的0day罅隙和新的诈骗软件计谋占据了最常阅读的列表——这好像标明，跟着咱们职责方式的“新常态”变得愈加通晓，东说念主们愈加怜惜蚁集犯科翻新。
跳转：
太平洋在线轮盘数据泄露
主要0day罅隙
皇冠色碟代码库坏心软件
4. 诈骗软件翻新
5. 游戏报复
6. 奖金!十二生肖杀手密码破解
1.2021年阅读量最多的帖子：Experian泄露了用户的信用评分昭彰有一些要紧新闻在这一年占据了头条新闻：Log4Shell;Colonial Pipeline;Kaseya;ProxyLogon/ProxyShell;SolarWinds。但从著作流量来看，读者最感兴味的是Experian的数据泄露。
本年4月，罗彻斯特理工学院大二学生比尔·德米尔卡皮(Bill Demirkapi)发现，真是每个好意思国东说念主的信用评分都被Experian信贷局使用的API器具披高傲来。他说，该器具在贷方网站上保持敞开景色，以至莫得基本的安全保护。
该器具称为Experian Connect API，允许贷方自动现实FICO评分查询。Demirkapi说他能够构建一个大叫行器具，让他不错自动查找真是任何东说念主的任何信用评分，即使在降生辰期字段中输入全零之后。他将其定名为“Bill's Cool credit score Lookup Utility”。
除了原始信用评分外，该大学生暗意，他能够使用API王人集从Experian获取“风险要素”，这些要素解释了一个东说念主信用纪录中的潜在劣势，举例“滥用者金融公司账户过多”。
就Experian而言，它科罚了该问题，并驳斥了安全社区对该问题可能是系统性的担忧。
皇冠体育的博彩平台提供了多种玩法和投注方式，满足您的不同需求。Experian并不是独逐个个因数据不安全而引起读者怜惜的公司：LinkedIn数据在暗网上出售是本年另一个相称热点的故事。
LinkedIn数据捏取在4月份的一次数据捏取事件中，5亿LinkedIn会员受到影响后，该事件在6月份再次发生。一个自称为“天主用户TomLiner”的黑客在热点蚁集论坛RaidForums上发布了一个包含7亿条LinkedIn待售纪录的帖子，其中包含100万札纪录样本算作“凭证”。
Privacy Sharks检验了免费样本，发现纪录包括全名、性别、电子邮件地址、电话号码和行业信息。现时尚不澄莹数据的起首是什么——但它们可能是从公开贵寓中捏取的。据LinkedIn称，莫得发生任何蚁集泄露事件。
商讨东说念主员暗意，即便如斯，安全效果也很严重，商讨东说念主员暗意，因为缓存不错暴力破解帐户密码、电子邮件和电话诈欺、蚁集垂纶、身份盗窃，临了，数据可能成为社会工程的金矿。天然，报复者不错浅显地打听巨匠贵寓以锁定某东说念主，然而在一个所在领有如斯多的纪录将会让使用沟通用户的职责和性别的信息以偏激他详备信息自动进行针对性报复成为可能。
iba百家乐注册 2.主要0day罅隙这是一个相称诱导读者的话题，2021年有一些有趣有趣的事情，让咱们从Log4Shell脱手。
2023年银行又出了“新规定”，现在也在慢慢实行，这也意味着老年人以后要改变取钱的方式了，今天小编就给大家具体说一说，还不懂的老人赶快了解一下吧。
Log4Shell基本上收敛到通盘现有的Web劳动器Log4Shell罅隙是无处不在的Java日记库Apache Log4j中的一个容易被利用的罅隙，它可能允许未经身份考证的良友代码现实(RCE)和完满的劳动器禁受——何况它仍然在郊野被积极利用。
该罅隙(CVE-2021-44228)初次出现时阿谀寰球上最受接待的游戏《我的寰球》的用户的网站上。Apache急遽中发布了一个补丁，但在一两天内，由于收敛举止者试图利用新罅隙，报复变得荒诞起来。从当时脱手，读者的兴味就脱手蚁合于特地罅隙利用前言、第二罅隙、各式真正寰球报复以及收敛面(日记库基本上无处不在)等关联的新闻上。
NSO Group的Apple零点击罅隙9月，商讨东说念主员发现了一个名为ForcedEntry be的零点击0day罅隙，影响了苹果的通盘开拓：iPhone、iPad、Mac和Apple Watch。事实评释，它被NSO Group用来装配污名昭著的Pegasus间谍软件。
Apple推出了要紧建造要道，但Citizen Lab如故不雅察到，该罅隙的指标是iMessage。据蚁集安全监管机构称，该罅隙被用于利用通过NSO公司开发的Pegasus间谍软件行恶监视巴林激进分子。
ForcedEntry罅隙很是引东说念主谨慎，因为它生效部署在最新的iOS版块-14.4和14.6上，龙套了苹果新的BlastDoor沙盒功能，以在巴林激进分子的iPhone上装配间谍软件。
Palo Alto安全开拓中的巨大0day罅隙另一个引起弘大读者兴味的0day技俩是，有音讯称来自Randori的商讨东说念主员开发了一种有用罅隙利用，通过要害罅隙CVE 2021-3064在Palo Alto Networks的GlobalProtect防火墙上得回良友代码现实(RCE)。
Randori商讨东说念主员暗意，要是报复者生效利用该罅隙，他们不错在指标系统上得回shell，打听明锐配置数据，提取凭据等。之后，报复者不错突出指标组织，他们说：“一朝报复者截至了防火墙，他们就不错看到里面蚁集，并不错陆续横向迁徙。”
Palo Alto Networks在知道今日修补了该罅隙。
谷歌内存0day罅隙本年3月，谷歌要紧建造了Chrome浏览器中的一个罅隙，该罅隙正受到主动报复。要是被利用，该罅隙可能允许对受影响的系统进行良友代码现实和终止劳动报复。这则报说念受到了读者的时时怜惜。
该罅隙是一个开释后使用罅隙，特殊存在于Blink中，Blink是算作Chromium技俩的一部分开发的Chrome浏览器引擎。浏览器引擎将HTML文档和其他网页资源休养为最终用户不错查抄的视觉阐述方法。
根据IBM X-Force对该罅隙的说明，“通过请示受害者打听特制网站，良友报复者不错利用此罅隙现实轻易代码或在系统上变成终止劳动条目。”
戴尔内核权限罅隙本年早些期间，在自2009年以来出货的通盘戴尔PC、平板电脑和笔记本电脑中都发现了五个荫藏了12年的严重安全罅隙。据SentinelLabs称，它们允许绕过安全居品、现实代码并升沉到其他部分，用于横向迁徙的蚁集。
商讨东说念主员暗意，这些罅隙潜伏在戴尔的固件更新驱动要道中，可能会影响数亿台戴尔台式机、笔记本电脑和平板电脑。
自2009年以来一直在使用的固件更新驱动要道版块2.3(dbutil_2_3.sys)模块中存在多个土产货权限晋升(LPE)罅隙。驱动要道组件通过戴尔BIOS实用要道处理戴尔固件更新，何况它事前装配在大多量运行Windows的戴尔机器上。
3.代码库和软件供应链软件供应链以开源代码存储库为基础，开发东说念主员不错上传软件包，供开发东说念主员构建各式应用要道、劳动和其他技俩。它们包括GitHub，以及更专科的存储库，如用于Java的Node.js包经管器(npm)代码存储库;用于Ruby编程谈话的RubyGems;用于Python的Python包索引(PyPI)等等。
这些包经管器代表了一种供应链收敛，因为任何东说念主都不错向他们上传代码，而代码又可能在神不知，鬼不觉顶用作各式应用要道的构建块。任何被坏心代码龙套的应用要道都不错报复要道的用户。
为了启动，一个坏心包不错被加入多个不同的技俩中——用加密矿工、信息窃取者等感染它们，并大大提高了建造经由的难度。
蚁集犯科分子簇拥而至这个报复面，这引起了读者极大的怜惜。
举例，12月，在npm中发现了17个的坏心包，它们都是针对Discord构建的，Discord是一个领有3.5亿用户的臆造会议平台，复旧通过语音通话、视频通话、短信和文献进行通讯。这些坏心宝主要用来偷取Discord token从而进行账户禁受。
相通在本月，托管在PyPI代码存储库中的三个坏心软件包被发现，它们系数有突出12,000次的下载量，何况可能真切各式应用要道的装配中。这些软件包包括一个用于在受害者机器上建立后门的木马要道和两个信息窃取要道。
商讨东说念主员上周还发现，Maven Central生态系统中有17,000个未打补丁的Log4j Java包，这使得Log4Shell罅隙利用带来了巨大的供应链风险。根据谷歌的安全团队，通盘生态系统可能需要数年智力完满建造。
皇冠客服飞机：@seo3687使用坏心软件包算作蚁集报复前言亦然本年早些期间的一个常见主题。以下是其他近期发现的详尽：
一月份，在三个npm包中发现了其他窃取Discord的坏心软件。其一是“an0n-chat-lib”，欧博开户官网它莫得正当的“孪生”包，但另外两个则利用品牌劫持和域名抢注来试图使开发东说念主员以为他们是正当的。“discord-fix”坏心组件的称号与正当的“discord-XP”肖似，后者是一个用于Discord机器东说念主的XP框架。“sonatype”包同期使用了纯正的品牌劫持。 本年3月，商讨东说念主员在npm巨匠代码存储库中发现了针对Amazon、Lyft、Slack和Zillow(以偏激他公司)里面应用要道的坏心包，通盘这些软件包都包含了明锐信息。 3月的那次报复是基于安全商讨员Alex Birsan的商讨，他发现不错将坏心代码注入到开发东说念主员技俩中装配依赖项的常用器具中。此类技俩时常使用来自GitHub等站点的巨匠存储库。然后，坏心代码不错使用这些依赖项通过指标公司的里面应用要道和系统传播坏心软件。通过利用巨匠的开源开发东说念主员器具，这种新颖的供应链报复(在说念德上)被用来龙套突出35家期间公司的系统，包括Microsoft、Apple、PayPal、Shopify、Netflix、Tesla和Uber。 6月，一群加密矿工被发现已浸透到了PyPI。商讨东说念主员发现六个不同的坏心软件包荫藏在哪里，系数有5,000次下载。 7月，在npm中发现了一个使用Google Chrome蚁集浏览器中正当密码复原器具的凭据窃取包。商讨东说念主员在Windows系统上捏到了从Chrome窃取凭据的坏心软件。密码窃取器是多功能的：它还不错侦听来自报复者的大叫和截至(C2)劳动器的传入大叫，不错上传文献、从受害者的屏幕和相机进行纪录以及现实shell大叫。 4.有趣有趣的诈骗软件变体诈骗软件流行在2021年日趋进修，用于锁定文献的实质坏心软件的进展不单是是浅显地在指标文献夹上打一个扩展名。读者脱手加大对坏心软件分析报说念的怜惜，这些报说念涵盖了诈骗软件种类的进展，包括以下三大发现。
HelloKitty的Linux变体以臆造机为指标本年6月，商讨东说念主员初次公开发现了一种Linux加密器——被HelloKitty诈骗软件团伙使用。
HelloKitty是2月份对视频游戏开发商CD Projekt Red发起的报复的幕后黑手，它开发了许多Linux ELF-64版块的诈骗软件，用于报复在其上运行的VMware ESXi劳动器和臆造机(VM)。
VMware ESXi，昔时称为ESX，是一种裸机经管要道，不错时时装配到劳动器上，并将它们永别为多个VM。固然这使得多个VM不错时时分享疏导的硬盘驱动器存储，但它使系统成为报复的“一站式购物点”，因为报复者不错加密用于存储来自多个臆造机的数据的蚁合式臆造硬盘。。
New Net Technologies(NNT)的Dirk Schrader告诉Threatpost，除了ESXi劳动器算作指目的诱导力除外，“将Linux算作许多臆造化平台的发祥添加到[坏心软件]功能中”还将带来一个反作用，即能够在职何Linux机器上启用报复。
MosesStaff：莫得可用的解密旧年11月，一个名为MosesStaff的政事组织使得通盘以色列瘫痪了，它莫得任何财务指标，也不测交出解密密钥。它的指标是使用诈骗软件进行具有政事动机的龙套性报复，但愿变成尽可能大的龙套。
MosesStaff加密蚁集并窃取信息，不测提取赎金。该组织还保持活跃的酬酢媒体影响力，通过其渠说念发布寻衅性信息和视频，并不潜藏其意图。
Exchange劳动器成为Epsilon Red的报复指标6月份，有东说念主看到报复者在一组PowerShell剧本背后部署了新的诈骗软件，这些剧本是为利用未修补的Exchange劳动器中的罅隙而开发的。
Epsilon Red诈骗软件是在对一家好意思国旅馆业公司发动报复后被发现的，它指的是X战警漫威漫画中一个不起眼的负面脚色，别称配备了四个机械触手的俄罗斯裔超等士兵。
商讨东说念主员暗意，通过视察报复事件，发现企业的Microsoft Exchange劳动器是报复者过问企业蚁集的开动进口，但尚不澄莹这是由ProxyLogon罅隙利用照旧其他罅隙启用的，但根柢原因似乎是未修补的劳动器，报复者使用WMI将其他软件装配到他们不错从Exchange劳动器打听的蚁集内的机器上，然后进行下一步的诈骗报复操作，这是一款新式的诈骗病毒，使用go谈话编写的，报复者初期会使用powershell剧本加载诈骗病毒payload。
5.游戏安全连气儿第二年，游戏安全在2021年景为读者怜惜的焦点，这可能是因为全球COVID-19大流把握得游戏玩家越来越多，也让蚁集犯科分子陆续对准该限制。在卡巴斯基最近的一项视察中，近61%的东说念主说明称碰到过诸如身份盗窃、诈欺或游戏内可贵物品被盗等犯警举止。底下是一些较受接待的帖子的详尽。
Steam用于托管坏心软件本年六月，被定名为SteamHide的坏心软件出现，它在Steam上的个东说念主贵寓图片中伪装我方。
根据G Data的商讨，Steam平台仅用作托管坏心文献的器具：“下载、解包和现实加载要道获取的坏心有用负载等阻扰职责由外部组件处理，该组件打听一个Steam profile上的坏心profile图片。这种外部有用载荷不错通过特制的电子邮件分发到受感染的网站。”
信息隐写期间昭彰不是什么新期间——但Steam profile被用作报复者截至的托管站点——当咱们发布这个故事时，读者的兴味被极大的诱导起来。
新皇冠suv Twitch源代码泄露10月，一位匿名用户在4chan上发布了一个125GB种子文献的王人集，其中包含Twitch的通盘源代码、其竖立之初的挑剔、用户支付信息等。
报复者宣称如故剥夺了及时游戏流媒体平台的通盘内容;不久之后，Twitch就阐明了这个罅隙。
收敛举止者称此次泄密是一种“在在线视频流媒体限制激勉更多龙套和竞争”的妙技。
Discord上的骗局11月，一个骗局脱手在Discord上四处传播，蚁集犯科分子不错通过它获取Steam帐户信息，并试图窃取账户中任何有价值的东西。
以游戏玩家为指目的Discord骗局真是无处不在。但商讨东说念主员发现了一种值得驻防的新措施，它突出了Discord和Stream游戏平台，骗子据称不错免费订阅Nitro(Discord附加组件，可已毕自界说颜料符号、个东说念主贵寓徽章、更大的上传、劳动器升级等等)，以换取两个帐户的“王人集”。
指标最初在Discord上收到带有乌有标价的坏心音讯，上头写说念“只需王人集您的Steam帐户即可享受。”其中包含一个王人集。坏心王人集将用户带到带有“Get Nitro”按钮的乌有Discord页面。一朝受害者点击按钮，该网站似乎跳出一个Steam弹出告白，但商讨东说念主员解释说，该告白仍然是该坏心网站的一部分。
该计谋旨在让用户以为他们来到了Steam平台，从而输入他们的登录信息——实质上，骗子如故准备好获取凭据。
索尼PlayStation3禁令本年6月，据报说念，索尼的一个文献夹被报复，其中包含了通盘PlayStation3游戏机的序列号，这使得用户被窘态其妙地不容过问该平台。
据报说念，索尼在网上留住了一个包含每个PS3游戏机ID的不安全文献夹，并于4月中旬被一位名为“The WizWiki”的西班牙YouTuber发现并说明。六月，PlayStation Network留言板上的玩家脱手衔恨他们无法登录。
用户以为收敛举止者脱手将窃取的PS3主机ID用于坏心目的，导致正当玩家被不容。但索尼并未阐明PS3 ID泄露与玩家被不容登陆平台之间存在沟通。
博彩 惊喜：黄说念十二宫密码被破解!这是2021年最受接待的10个Threatpost帖子之一——连环杀手Zodiac的340密码，该密码50年来一直未尝有东说念主生效破解。2020年12月，好意思国的软件开发东说念主员David Oranchak，澳大利亚的数学家Sam Blake和比利时的要道员Jarl Van Eycke终于生效科罚了这一穷苦。
据称，这位黄说念十二宫连环杀手在1960年代末和1970年代初在北加利福尼亚地区偏激邻近地区谋杀了至少5东说念主，他宣称我方手上有37条东说念主命。这位仍未具名的凶犯向当地报纸媒体发送了一系列四条编码信息吹嘘我方的罪行，其中还包含了一些奥秘的图标，这为他赢得了“黄说念十二宫”的诨名。
皇冠体育hg86a
连环杀手发送的第一个密码很快就被破译了。但第二个，以340个字符定名的340 Cipher很弄澄莹。澳大利亚数学家Sam Blake打算出有650,000种可能的方式来读取代码，而在比利时担任仓库操作员的Jarl Van Eycke编写了一个密码破解软件来科罚解密问题。很快，他们独到的算法措施得到了答复。这条被FBI戒备认同为正确的信息内容如下：
皇冠体育app下载“我但愿你在尝试收拢我的经由中得到好多乐趣。
打电话上节目宣称是十二宫杀手的那东说念主，并不是我。
我不怕毒气室，因为它不错把我很快地送入天国。
网站显示空白页面我现时有富裕多的扈从为我职责，而其他东说念主到了天国就一无通盘了，是以他们发怵示寂。
我不发怵，因为我知说念，在天国里活命将是一件很时时的事。”
固然难以捉摸的连环杀手的名字仍然无从通晓，但这一龙套代表了密码学和蚁集安全的基本构建块——打听截至和分段的到手。
本文翻译自：https://threatpost.com/5-top-threatpost-stories-2021/177278/如若转载，请注明原文地址。