Google 强化 OAuth 协议以防 *** 钓鱼攻击
据外媒 8 日报道，黑客于近期针对 Gmail 用户伪造 Google Docs 展开大规模 *** 钓鱼攻击后，Google 表示将强化 OAuth 协议以防止此类事件再度发生。
OAuth 协议允许第三方应用程序在未触及用户帐号信息（如用户名与密码）时，申请获取用户资源授权。为用户资源授权提供一个安全、开放而又简易的标准。
调查显示，Gmail 用户于上周收到内含伪造 Google Docs 链接的电子邮件，其发件人源自用户所熟悉的账户名称。用户点击链接后将会跳转至要求授予 Google Docs 权限的页面，然而这并非真实的 Google Docs 页面，而是由企图获取用户权限的黑客伪造所伪造的。此外，伪造应用程序使用 Google 自身的 OAuth 协议实现访问 Gmail 账户的请求，若成功获得用户许可，程序将自动向受害者联系人发送相同钓鱼邮件。
事实上，干预美国与法国选举的黑客组织 Fancy Bear 也曾采用过同样的技术手段。据报道，此次 Google 在收到首份钓鱼邮件报告后立即进行了处理，但还是存在大量用户点击链接并下载应用程序的情况。所幸删除应用程序的方式较为简单。目前，也只有不到 0.1％ 的 Gmail 用户受到此次攻击事件的影响。
原作者：Gabriela Vatu， 译者：青楚，译审：狐狸酱
本文由 HackerNews.cc 翻译整理，封面来源于 *** 。
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“Google 强化 OAuth 协议以防 *** 钓鱼攻击” 的相关文章
英伟达泄露数据正被用来制作伪装成驱动的病毒
由于自称为 Lapsus$ 的组织泄露了与英伟达黑客攻击相关的数据，被盗的代码签名证书被用于远程访问未受保护的 PC，其他情况下则被用来部署恶意软件。 根据 Techpowerup 的报道，这些证书被用于“开发一种新型恶意软件”，BleepingComputer 将 Cobalt Strike...
DNS 曝高危漏洞，影响数百万物联网设备
近日，Nozomi Networks发出警告，uClibc库的域名系统 (DNS) 组件中存在一个高危漏洞，编号为CVE-2022-05-02，该漏洞将影响所有版本uClibc-ng库的域名系统（DNS），因此，数百万台使用uClibc库的物联网设备都也将受到影响。 资料显示，uClibc库专门为...
德国摧毁俄罗斯暗网市场 Hydra 九头蛇 收缴价值 2500 万美元的比特币
据德国媒体报道，德国执法机构在最近的执法行动中扣押俄罗斯暗网市场Hydra的服务器，同时收缴价值2500万美元的比特币。不知道这个黑市的创始人是不是漫威的粉丝，所以才会起九头蛇这个名字。 目前访问该市场会弹出德国执法机构挂出的提示，而收缴的2500万美元比特币只是很小的一部分，具体来说是4月5日的一...
俄罗斯外卖应用的泄露数据中包含 GRU 特勤人员的用餐习惯
据The Verge报道，根据Bellingcat的调查结果，俄罗斯外卖平台Yandex Food的一次大规模数据泄漏暴露了属于那些与俄罗斯秘密警察有关的递送地址、电话号码、姓名和配送指示。 Yandex Food是俄罗斯大型互联网公司Yandex的子公司，于3月1日首次报告了数据泄漏事件，将其归...
攻击者劫持英国 NHS 电子邮件帐户以窃取 Microsoft 登录信息
据调查，在近半年的时间里，英国国家卫生系统(NHS)的100多名员工的工作电子邮件帐户被多次用于网络钓鱼活动，其中一些活动旨在窃取Microsoft登录信息。在劫持合法的NHS电子邮件帐户后，这些攻击者于去年10月开始使用它们，并至少在今年4月之前将其继续用于网络钓鱼活动。据电子邮件安全INKY的...
禁止套娃：新发布的 Log4j 补丁被发现又包含一个可利用的漏洞
就在我们了解到国家支持的黑客已经开始研究上周震惊网络安全界的Log4j漏洞问题时，其他研究人员发出了一个令人不安的发展信号。Log4j黑客，也被称为Log4Shell已经有一个补丁，已经可以部署到企业。但事实证明，这个补丁玩起了“套娃”：它解决原有问题的同时又产生新的安全问题，且可以被外部利用。因此...
评论列表
发表评论
