上月，总部位于阿姆斯特丹的网络安全公司ThreatFabric发现了名为Cerberus的恶意程序。它是有史以来首款能够成功窃取Google Authenticator应用程序生成的2FA（两因素身份验证）代码功能的Android恶意软件。该软件目前正在开发过程中，目前没有证据表明已用于实际攻击。

众多记者和学者向公众媒体报道，他们已经收到谷歌发送的警告信息，有受国家支持的黑客使用他们的谷歌帐户登录谷歌邮箱或其他网站。收到警告消息的人包括诺贝尔经济学奖得主、纽约时报专栏作家 Paul Krugman，纽约杂志的 Jonathan Chait，GQ 记者 Keith Olbermann 等等。

在上周举行的 RSA 安全会议上，微软工程师讲到，他们每月追踪到的 99.9％ 受感染帐户都没有启用多因素身份验证（MFA），而该解决方案可以阻止大多数自动帐户攻击。根据微软的数据，他们每天跟踪超过 300 亿次登录和超过 10 亿的月活用户。平均每个月约有 0.5％ 的账户被盗，在 2020 年 1 月，这一数字具体约为 120 万。

据外媒报道，欧洲网络犯罪中心（ EC3 ）和联合犯罪行动特别工作组（ J-CAT ），以及欧洲司法和欧洲银行联合会联合行动开展第二次“欧洲钱骡行动”（ European Money Mule Action ），打击为网络诈骗者充当洗钱中介牟取利益的“钱骡”。这些被称作“钱骡”的人从账户接收非法资金，然后将这些钱转汇到不同的账户。该行动获得了英国、法国、德国、希腊等 16 个国家执法机构和美国联邦调查局和美国特勤局的支持。

黑客组织 Amn3s1a 近日窃取了国外高速云盘网站 Mega.nz 服务器的 2GB 源代码数据，并将源码数据公布在网上。

近日英特尔发布公告称自家CPU主控存在严重的安全漏洞，允许黑客绕过存储加密、授权内容保护，并在物联网设备中接管控制硬件传感器。目前英特尔官方已经发布了固件和软件更新，并提供检测工具以缓解这些漏洞的影响。

WordPress 核心更新服务器存在漏洞，允许攻击者入侵服务器并替换更新内容，受影响站点将占全球网站的 27% 。该漏洞于 9 月 2 日提交给了 WordPress 开发方 Automattic ，Automattic 在 5 天后 9 月 7 日发布了更新修复了漏洞。漏洞存在于服务器 api.wordpress.org 内的 php webhook 中，它允许开发人员设置哈希算法来验证上传代码更新的合法性。然而 WordPress 开发人员 Matt Barry 发现该验证过程采用安全性较弱的 adler32 散列算法，这导致可能的排列组合由 43 亿个（ 2 的 32 次方）大幅缩减至 10 万到 40 万个。攻击者只需要数个小时即可暴力破解，获得开发者用来上传代码时使用的共享密钥，从而获得服务器访问权。

据外媒报道，仍有许多人在用着糟糕的密码，这是一个巨大的安全风险。很显然在这件事情上产品公司也有错，因为它们在其设备中使用了极容易被猜到的默认用户名和密码–而黑客们深谙这点。

研究者表示，这种监听手段的实现依赖于 Realtek 音频芯片的一处设计缺陷。目前的 Realtek 音频芯片有一个特殊功能，在一定条件下可以将信号输出线路反转成为信号输入线路，这种功能的确方便了用户，但也给黑客提供了机会。

感谢腾讯御见威胁情报中心来稿！原文：https://mp.weixin.qq.com/s/yNiGdnLDbKE9lm_iZVOxPA