安全公司：惡意npm包試圖竊取Discord令牌

12月10日消息，DevOps安全公司JFrog在npm（Node.js包管理器）存儲庫中發現17個新的惡意軟件包，這些軟件包故意試圖攻擊和竊取用戶的Discord令牌。JFrog安全研究高級主管Shachar Menashe和Andrey Polkovnychenko解釋說，劫持用戶的Discord令牌（用戶憑據）使攻擊者能夠完全控制用戶的賬戶。

Menashe表示，“如果執行得當，這種類型的攻擊會產生嚴重的影響，在這種情況下，公共黑客工具使這種攻擊變得足夠容易，即使是新手黑客也可以執行。我們建議各組織采取預防措施并管理其使用npm進行軟件管理，以降低將惡意代碼引入其應用程序的風險。”

兩人解釋說，這些軟件包的有效負載各不相同，從信息竊取者到完全遠程訪問后門。他們補充說，這些軟件包有不同的感染策略，包括鍵入錯誤、依賴性混淆和特洛伊木馬功能。這些軟件包已經從npm存儲庫中刪除，JFrog安全研究團隊表示，它們“在獲得大量下載之前”就被刪除了。

JFrog指出，由于Discord平臺是一款流行的視頻/語音/文本聊天應用程序，目前已擁有超過3.5億注冊用戶，因此旨在竊取Discord令牌的惡意軟件有所增加。（ZDNet）

區塊鏈網絡安全公司Unbound Tech推出企業無密碼登錄解決方案:區塊鏈網絡安全公司Unbound Tech 6月17日宣布推出新的身份解決方案，該系統旨在取代由硬件或軟件驅動的一次性密碼和標準密碼，通過去中心化密鑰管理系統消除企業對傳統身份驗證方法的依賴。此外，該系統還可用于訪問區塊鏈錢包。（Cointelegraph）[2020/6/18]

安全公司：警惕針對銀行APP和加密錢包的的新型安卓惡意軟件EventBot:總部位于美國的網絡安全公司Cybereason發現了一種針對銀行應用程序和加密貨幣錢包的新型安卓惡意軟件。據Techcrunch報道，這款名為EventBot的惡意軟件看似一個合法的安卓應用程序，但其實濫用了安卓內置的可訪問性功能，以獲取對設備操作系統的深度訪問權限。

一旦被不知情的用戶安裝，或被訪問受害者手機的惡意人士安裝，受感染的應用程序將會竊取200多個銀行和加密貨幣應用程序的密碼，包括貝寶（PayPal）、Coinbase、CapitalOne和匯豐（HSBC）等，并截獲雙因素身份驗證文本信息代碼。有了受害者的密碼和雙因素代碼，黑客可以侵入銀行賬戶、應用程序和錢包，竊取受害者的資金。（The Paypers）[2020/4/30]

動態 | 安全公司：雙平臺挖礦木馬MServicesX借用白簽名躲避殺軟件:近日，一款擁有Windows和安卓雙版本的挖礦木馬MServicesX悄然流行，中電腦和手機會運行門羅幣挖礦程序，造成異常發熱乃至設備受損的現象。挖礦木馬MServicesX十分擅長偽裝，在電腦端使用具有合法數字簽名的文件，以躲避安全軟件的查殺；在安卓手機端更偽裝成Youtube視頻播放器軟件，不知情的用戶用其在手機上觀看視頻時，病會在后臺運行門羅幣挖礦程序。數據顯示，在國內，廣東、江蘇、香港三地的受感染量最大。[2018/11/8]