拥有5亿以上用户的WinRAR，曝出新的漏洞（CVE-2023-40477，CVE-2023-38831）；
CVE-2023-40477的PoC
虽然被认为是RCE假定可被利用，但实际上影响并不大；
本文研究内容包括：其影响、可被利用的场景以及缓解措施；
该漏洞已在最新的Winra 尽管其CVE等级很高，但成功利用漏洞所需的复杂性表明广泛滥用的可能性很低，这与广泛利用的Log4j RCE漏洞不同。...

Hackernews 编译，转载请注明出处： 自2023年6月下旬以来，一种名为MMRat的安卓银行木马被发现瞄准东南亚的移动用户，远程控制设备并进行金融欺诈。
该恶意软件以其独特的软件包名称com.mm.user命名,它可以捕获用户输入和屏幕内容，还可以通过各种技术远程控制受害者设备，使其操作员能够在受害者的设备上进行银行欺诈。 MMRat的与众不同之处在于，它使用了一种基于协议缓冲区(又名protobuf)的定制命令与控制(C2)协议，可以有效地从受感染的手机传输大量数据。这表明安卓恶意软件变得越来越复杂了。
根据网络钓鱼页面中使用的语言，该软件可能的目标包括印度尼西亚、越南、新加坡和菲律宾。...

数百万Facebook Messenger帐户将试用个人和群组聊天的端到端加密标准。 日前Meta公司宣布，数百万Facebook Messenger帐户将试用个人和群组聊天的端到端加密标准。Meta公司表示，其正努力在年底前确定最终默认加密标准，而这种默认加密将“增强我们已经提供的安全性，并让人们更加相信他们的个人信息将保持私密。” 自 2019 年以来，Meta 的工程师、密码学家、设计师和政策专家团队一直在应对为 Messenger 和 Instagram DM额外加密的挑战，其目标是增强他们已经提供的安全性，并让人们更加相信其个人信息将保持私密。在这一过程中，他们发现，...

已应用的补丁（Patchstack） 建议受影响的第三方扩展用户升级到以下修复版本：

Box 扩展：v1.54
Google Drive 扩展：v2.80
OneDrive 扩展：v1.67
Dropbox 扩展：v3.76

此外，...

苹果公司昨天（8月31日）正式宣布开始接受2024 年iPhone安全研究设备计划的申请，iOS 安全研究人员可以在 10 月底之前申请安全研究设备 SRD。 SRD设备是专门向安全研究人员提供的iPhone14Pro，该设备具有专为安全研究而设计的特殊硬件和软件，以便更容易地发现 iOS 系统的关键漏洞。只要是使用SRD发现的漏洞，苹果方面都会考虑给予一定的安全漏洞赏金。...

新的研究结果表明，攻击者可以利用一种隐匿的恶意软件检测规避技术，并通过操纵 Windows 容器隔离框架来绕过端点安全的解决方案。 Deep Instinct安全研究员丹尼尔-阿维诺姆（Daniel Avinoam）在本月初举行的DEF CON安全大会上公布了这一发现。 Microsoft的容器体系结构（以及扩展的 Windows 沙盒）使用所谓的动态生成的映像将文件系统从每个容器分离到主机，同时避免重复系统文件。...

与应用安全相比，产品安全的“全域安全”方法变得越来越受欢迎。 无论是所谓的“安全左移”、“内生安全”还是“设计安全”，当今最具前瞻性思维的企业都明白，需要站在业务和产品的整个生命周期的高度考虑安全性问题，而不是仅仅局限于单个应用程序。为此，越来越多的企业正在通过产品安全团队和首席产品安全官（CPSO）来推动这一变革。 产品安全远远超出应用安全以软件测试为主的范畴，扩展到安全意识宣传、业务团队协作、设计思维、威胁建模、架构规划甚至企业风险管理领域。Appdome首席产品官ChrisRoeckl指出：“通过积极参与产品开发的每个阶段，...

曝光的网页文件夹|来源:Cybernews 泄露的包含用户凭证的表|来源:Cybernews 用户表架构|来源:Cybernews...

Lockbit是最常见的勒索软件之一。它附带了一个联盟勒索软件即服务（RaaS）计划，向参与者提供高达80%的赎金要求，并为那些发现并报告导致文件可以无需支付赎金解密漏洞的人提供了漏洞赏金计划。根据Lockbit所有者、同名网络犯罪组织的说法，已经支付了多达5万美元的赏金。除了这些特点之外， Lockbit v3，也称为Lockbit Black，于2022年6月首次被发现，这对自动化分析系统及分析师来说是一个挑战。其中最具挑战性的特征包括：

它支持使用随机生成密码的加密可执行文件。这将会阻止执行并阻碍自动化分析，除非在命令行中提供适当的密码。...

上周晚些时候，动漫游戏《原神》的中国服务器曝出严重漏洞，允许黑客利用外挂从其他玩家的联机世界中删除游戏物品和要素。 同时，《原神》的许多玩家在论坛报告称在游戏内遭遇黑客（外挂）攻击，游戏难以正常进行，因为该外挂可通过四星游戏角色Kaveh删除在组团模式中取得游戏进度至关重要的元素，例如玩家需要与之交互的谜题或NPC（甚至包括Boss）。 还有玩家报告说，他们的探索点被外挂操纵逆转。...