最新文章
Top News
APT29 利用微软认证漏洞发起水坑攻击，亚马逊成功阻断
HackerNews 编译，转载请注明出处：
...
黑客劫持亚马逊 AI 编程助手，植入数据擦除代码
HackerNews 编译，转载请注明出处：
黑客在亚马逊生成式AI编程助手Amazon Q Developer的Visual Studio Code扩展中植入了数据擦除代码。
...
勒索软件滥用亚马逊 AWS 功能加密 S3 存储桶
HackerNews 编译，转载请注明出处：
一种新的勒索软件活动正在利用亚马逊AWS的客户提供的密钥服务器端加密（SSE-C）功能加密S3存储桶，只有威胁行为者才知道解密密钥，并要求支付赎金以获取该密钥。
这一活动由Halcyon发现，据其报告，名为“Codefinger”的威胁行为者已至少对两名受害者进行了加密。然而，该行动可能会升级，或者很快会有更多威胁行为者采用这一战术。
亚马逊简单存储服务（S3）是亚马逊云服务（AWS）提供的一种可扩展、安全且高速的对象存储服务，而S3存储桶是用于存储文件、数据备份、媒体、日志等的云存储容器。
SSE-C是一种加密选项，用于确保S3静态数据的安全，允许客户使用自己的加密密钥，通过AES-256算法对数据进行加密和解密。AWS不存储该密钥，客户负责生成、管理和保护密钥。
在Codefinger的攻击中，威胁行为者使用被破解的AWS凭证，利用具有“s3:GetObject”和“s3:PutObject”权限的受害者密钥，定位到S3存储桶中的对象进行SSE-C加密。
然后，攻击者在本地生成一个加密密钥，对目标数据进行加密。
由于AWS不存储这些加密密钥，因此即使受害者向亚马逊报告了未经授权的活动，也无法在没有攻击者密钥的情况下恢复数据。
Halcyon解释道：“通过利用AWS原生服务，他们在不合作的情况下实现了既安全又无法恢复数据的加密。”
接下来，攻击者使用S3对象生命周期管理API设置了一个七天的文件删除策略，并在所有受影响的目录中放置了勒索信，指示受害者在给定的比特币地址上支付赎金以换取自定义的AES-256密钥。
勒索信还警告受害者，如果他们尝试更改账户权限或修改存储桶中的文件，攻击者将单方面终止谈判，使受害者无法恢复其数据。
Halcyon已将其发现报告给亚马逊，云服务提供商表示，他们会尽力及时通知密钥已泄露的客户，以便他们立即采取行动。
亚马逊还鼓励人们实施严格的安全协议，并按照以下步骤快速解决未经授权的AWS账户活动问题。
Halcyon还建议AWS客户设置限制性策略，以防止在其S3存储桶中使用SSE-C。
关于AWS密钥，应禁用未使用的密钥，频繁轮换活跃的密钥，并将账户权限保持在所需的最低级别。
...
亚马逊披露 2023 年 5 月 MOVEit 攻击后员工数据泄露
亚马逊披露了一起数据泄露事件，据称在 2023 年 5 月的 MOVEit 攻击中被盗的信息暴露了员工数据。
...
FTC 对亚马逊旗下 Alexa 和 Ring 的隐私侵权行为处以 3080 万美元罚款
美国联邦贸易委员会（FTC）对亚马逊旗下的Alexa语音助手和Ring（智能门铃）安全摄像头的一系列隐私问题累计罚款3080万美元。
...
网络钓鱼攻击同时使用虚假亚马逊订单和欺诈性客户服务代理
一个新的多级网络钓鱼攻击伪造了亚马逊的订单通知页面，上面有一个虚假的客户服务语音号码，攻击者利用该号码，要求受害者的信用卡详细信息以更正错误的“订单”
...
亚马逊将监控客服人员键盘输入和鼠标点击以提升安全性
根据Motherboard网站获得的一份亚马逊机密文件显示，亚马逊计划监控客户服务员工的键盘和鼠标动作，以试图阻止流氓员工、冒名顶替者或黑客访问客户的数据。虽然该文件说亚马逊已经考虑部署一个能捕捉所有按键的解决方案，但该公司似乎倾向于购买的工具并不是为了准确记录员工的输入内容或监控他们的通信。
...
谷歌、亚马逊等公司将因“全球最大数据泄露事件”被起诉
...
刷好评服务器出现数据泄露 20 多万亚马逊账号恐将清洗
近日，一个开放的数据库揭示了 20 多万人的个人数据，而他们似乎都参加了亚马逊的虚假产品评论计划（刷好评）。虽然亚马逊采取了各种手段遏制刷好评现象，但是各种商家依然会通过各种途径进行刷好评，以便于在和同类产品竞争的时候获得优势。
...
亚马逊云服务在二月中旬挡下了 2.3 Tbps的 DDoS 攻击
亚马逊表示，其 AWS Shield 防火墙曾于今年 2 月中旬挡下了迄今为止最猛烈的分布式拒绝服务（DDoS）攻击。该公司在近日发布的《威胁纵览》（AWS Shield Threat Landscape）报告中进行了披露。与 2018 年 3 月记录的 1.7 Tbps 峰值相比，本次攻击的规模达到了创纪录的 2.3 Tbps 。
...