今天的安全早报包括：时隔数月verizon数据泄漏再次发生；汽车定位设备企业SVR Tracking泄漏54万用户数据；Adobe 安全团队不小心公开了他们的私钥；Cryptojacking：恶意软件开发者们越来越喜欢使用在线挖矿工具Coinhive；新型恶意软件脑洞越开越大，要求发裸照解锁；Locky勒索软件作者似乎是“权利的游戏”的死忠粉？Summit Redstone 表示思科可能将收购NetApp；Secureauth 将以2.25亿美元的并购价与 Core Security 合并；Linux 木马利用被入侵的IOT设备发布垃圾邮件。

【国际时事】

时隔数月verizon数据泄漏再次发生

Kromtech安全研究中心的专家发现了新的 Verizon 漏洞，这个漏洞暴露了其内部系统的敏感数据。泄露的数据包括内部系统的服务器日志和相关的身份凭据，大量文件在未受保护的Amazon S3存储区域中找到，主要内容涉及 Verizon 的分布式视觉服务。

[来源：securiyaffairs]

汽车定位设备企业SVR Tracking泄漏54万用户数据

每天都在发生数据泄漏事件，目前研究人员发现 Amazon S3 中暴露了属于车辆跟踪设备公司 SVR Tracking 的数据库密钥。超过五十万条记录的登录凭证已经在线泄漏，泄露内容使用其服务的司机和企业的个人数据和车辆详细信息。这个数据泄露事件又是云服务器上错误配置导致的敏感数据存储事件的又一个实例。

[来源：thehacker news ]

【web安全】

Adobe 安全团队不小心公开了他们的私钥

Adobe 的产品安全事故响应团队（PSIRT）的成员在官方博客上公开其电邮账号PGP 公钥的同时一并公开了私钥。安全研究人员 Juho Nurminen 发现了这次意外，并证实私钥关联邮件账号 [email protected]。发生这次安全事故的原因很可能是一名团队成员使用浏览器扩展 Mailvelope 从团队的共享电邮账号里提取文本，他本应该点击“公开”的按钮但却点击了“所有”，将私钥在内的文本都提取了出来。目前私钥已经移除，重新公布了一个公钥。

[来源：solidot ]

Cryptojacking：恶意软件开发者们越来越喜欢使用在线挖矿工具Coinhive

Coinhive是一种 JavaScript 的库，它的作用是让加载在网站中，让用户浏览网站时执行 Monero 挖矿操作，而这个过程是以小号用户 CPU 资源作为代价的。9月14日诞生时，其开发者表示这可以用来成为一种摆脱烦人的在线广告，并让站点获得盈利的新方式。

但最近的趋势显示，恶意软件的开发者却对这款工具产生了兴趣，在恶意软件开发社区中已经得到了迅速的传播。SafeBrowse 扩展程序中发现了这个吃 CPU 的存在，一些钓鱼网站和混淆视听的网站（twitter.com.com ）中也嵌入了这款工具，被黑过的部分网站也被加入了这个挖矿脚本。目前专家已经将这一种劫持浏览器进行秘密挖矿的攻击方式命名为 ‘cryptojacking’ 。[来源：bleeping computer ]

【系统安全】

Linux 木马利用被入侵的IOT设备发布垃圾邮件

俄罗斯杀毒软件大蜘蛛发现了一款 Linux 木马，命名为 Linux.ProxyM，黑客利用这款木马在不暴露自己身份的情况下发送大量垃圾软件。这款新木马发现于今年2月，它会在感染的物联网设备中运行 SOCKS 代理服务器，并且能够检测蜜罐，从而防止被研究人员分析。

感染木马后，设备会连接到 C&C 服务器，然后下载两份节点列表，一张表中含有一些登陆名称和密码；另一张表则是用于 SOCKS 代理服务器的。C&C服务器还会发送一条指令，指令中包含SMTP服务器地址，密码、一系列邮箱地址，和邮件模板，模板中包含对成人网站的推广。邮件的内容可能是：

    主题: Kendra问你喜不喜欢辣妹

    有个新的女孩在等着约你

    并且她是个辣妹！

    点击这里看看你想不想约

     http://whi*******today.com/

    查看性感辣妹资料

[来源：THN ] 

【恶意软件】

新型恶意软件脑洞越开越大，要求发裸照解锁

现在勒索软件似乎在要求赎金解锁的路上越走越远，部分勒索软件已经达到了不要求用户支付比特币赎金了，他们要求用户提交裸体图片来作为解锁的条件。

如果你满足他们的要求，才可能解锁加密的文件。安全研究员 MalwareHunterTeam 发现被名为 nRansomware 的赎金要求用户发送私人照片。“您的电脑已被锁定。您只能使用特殊解锁码解锁，“消息说。它进一步告诉受害者，他们需要在ProtonMail上创建一个新的电子邮件地址，这是一个反NSA加密的电子邮件服务，并发送至少10张自己的照片。[来源：hackread ]

Locky勒索软件作者似乎是“权利的游戏”的死忠粉？

George R. R. Martin可能没有想到他的粉丝之中可能有一些特别的人。近期 PhishMe 在进行安全研究发现，Locky勒索软件背后的黑客很可能非常喜欢这部 HBO 剧集，他们都把 VB 脚本代码中的一部分变量命名成为了权利的游戏之中出现过的著名人物，如”Aria,” “SansaStark,” “RobertBaration,” 脚本中“Throne”甚至出现了70次之多。

而在部分用户收到的垃圾邮件中，如果他们打开了附件运行VB脚本程序，就会进行Locky程序的下载。

[来源：bleepingcomputer ]    

【行业动态】

Summit Redstone 表示思科可能将收购NetApp

研究公司Summit Redstone的斯里尼·南杜里表示，考虑到思科在与惠普企业（HPE）的竞争中不占上风，思科可能会收购NetApp。目前他从硅谷的线人处获悉，另一家存储供应商Pure Storage一直在试图待价而沽。南杜里爆了不少有意思的料，包括思科系统需要收购 NetApp，Pure Storage 试图卖掉自己，以及亚马逊旗下的 AWS 云计算服务的价格让一些客户兴味索然。

NetApp前日的股价上涨1.28美元，涨幅3%，涨至每股 41.92 美元，这得益于瑞银集团（UBS）的分析师 Steve Milunovich 提升了对 NetApp 的评级：他将该股评级由“中性”（Neutral）提升至“买入”（Buy），并将目标价由 42 美元上调至 45 美元。他撰文道，该公司更新和改造其软件有助于提升基于闪存存储器这个存储类别的销售额。[来源：云头条         ]    

Secureauth 将以2.25亿美元的并购价与 Core Security 合并

访问控制公司 SecureAuth 上周宣布将与 Core Security 合并，该公司专注于漏洞发现，身份治理和威胁管理。通过合并，两者旨在将安全操作和身份认证和访问管理（IAM）结合在一起。SecureAuth 和 Core Security旨在成为一个将网络，端点，漏洞和身份安全集成在一起的独立安全供应商。

[来源：securityweek ]

转载至freebuf网站：freebuf