一行JavaScript代码窃取电商网站支付卡数据 已有数千名用户数据遭泄露
近期,网络安全研究员发现有黑客组织通过在电商网站中放入一行代码下载JS嗅探器,窃取用户支付卡账号密码等数据,目前一致7个网站受影响,数千名客户数据遭泄露,这种JavaScript嗅探器类似于去年Magecart广告系列中使用的恶意软件,Magecart恶意软件影响了800多个网站。[……]
近期,网络安全研究员发现有黑客组织通过在电商网站中放入一行代码下载JS嗅探器,窃取用户支付卡账号密码等数据,目前一致7个网站受影响,数千名客户数据遭泄露,这种JavaScript嗅探器类似于去年Magecart广告系列中使用的恶意软件,Magecart恶意软件影响了800多个网站。[……]
在研究人员披露“BlueBorne”一年之后,大量的Android,Linux和iOS设备仍然没有打补丁。一年后,安全厂商Armis在蓝牙中披露了九个可利用的漏洞,大约20亿台设备 – 包括数亿台Android和iOS智能手机 – 仍然受到威胁。
[……]
NDay漏洞对关键基础设施说是个大问题,一方面Nday漏洞在大型关键基础设施中大量存在,另一方面受限于技术复杂性和行动缓慢的供应链限制,打补丁是个相当麻烦的事情。[……]
Palo Alto主要业务是云提供商、网络安全和数据中心,此次购买了以云为主的创业公司,其目的是为了将两家公司的工具集成到一个解决方案中,提供监控、存储安全和合规报告[……]
研究报告称,在未来两年内将会在重关键基础设施和企业组织方面出现的重大数据泄露事件。目前主要在有针对性的攻击、网络钓鱼和社会工程威胁方面投入预算。[……]
其所利用的黑云僵尸网络主机主要位于东欧、亚洲和中东地区。攻击者会定制不同的邮件回复受害者遇到的问题,钓鱼邮件极具诱惑力。文末附Gozi银行木马IoC[……]
SGX安全功能可用于安装恶意软件。2013年英特尔提出SGX技术时,认为基于软件的SGX边信道攻击是不可能的,然而有研究员恰恰就是从这里攻破了该技术。[……]
这些报告是思科2018网络安全报告、趋势科技2017年度安全报告、Imperva Research报告、Fortinet 2017威胁情况报告、QuickView 2017漏洞报告、战略与国际研究中心(CSIS)与迈克菲2017年度网络犯罪评估报告[……]
笔者认为基于数据泄露数量的风险评估模型是不准确的,而以威胁为中心的风险评估模型更加可靠,并给出一个改进版的风险评估公式。[……]
Imperva今年在Web应用程序中共计发现了14082个新的漏洞,而2016年则为6,615个。跨站脚本漏洞(XSS)错误再次成为最常见的Web应用漏洞,有1863个新漏洞,而去年只有630个。[……]