多个美国政府网站被攻击，托管“色情”和“垃圾邮件”-低调大师

多个美国政府网站被攻击，托管“色情”和“垃圾邮件”

2021-09-18 529

安全研究人员发现，多个使用 .gov 和 .mil 域名的美国政府网站托管色情和垃圾邮件内容，例如伟哥广告，这些站点使用同一个软件供应商。

美国政府网站托管“色情”和“垃圾邮件”

9月18日，Bleeping Computer 披露，安全研究员Zach Edwards发现，FBI、CIA、美国财政部、军方等政府机构软件的供应商Laserfiche，在给美国政府机构提供的Laserfiche Forms 软件产品中，包含一个漏洞，该漏洞允许攻击者在政府网站上推送恶意色情内容和垃圾邮件。

包含由 Google 索引的垃圾邮件内容的政府网站 (BleepingComputer)

Zach Edwards称，“这个漏洞在 .gov 和 .mil 域上创建了网络钓鱼诱饵，将访问者推向恶意重定向，并可能以其他漏洞攻击这些受害者。

在对该漏洞一年多追踪的过程中，他还发现美国参议员乔恩·泰斯特和明尼苏达州国民警卫队的网站将用户索引到伟哥产品的宣传页面。

这件事件披露前，攻击者已经在国家气象局等政府网站上滥用重定向功能，将用户重定向到色情网站，这表明发垃圾邮件不是攻击者能够利用的唯一攻击媒介。

Laiserfiche了发布清理工具，但并非所有版本都已修复

近日，Laserfiche发布了针对该漏洞的安全公告，以及有关如何清除网站垃圾邮件内容的说明。该公司在安全公告中表示：攻击者正在利用政府部门网站上存在的漏洞，未经身份验证的第三方可以使用Laserfiche Forms 临时托管上传的文件并进行分发。

Laserfiche公告中显示，客户提交数据不会受到影响，但第三方攻击者无法访问，能够通过减少临时文件下载链接激活的时间，来解决这个漏洞。

一些政府客户已经采取了补救措施，研究人员在访问上述搜索结果(以前显示垃圾邮件内容)时发现，现在通过 Laserfiche Forms 出现显示错误的界面。

当访问垃圾邮件链接时，运行 Laserfiche Forms 的政府网站会抛出错误 (BleepingComputer)

研究员Edwards对Laserfiche处理结果，并不感到十分满意，该公司尚未修复所有产品版本中的漏洞。

后续Laserfiche发布报告称，将漏洞情况和现有更新通知给客户是首要任务，预计很快就会为选定的 Laserfiche Forms 先前版本提供安全更新。

不久之后，Laserfiche 发布了一种清理工具，客户可以使用该工具清除对其门户网站，进行未经授权的上传。

参考链接：

https://www.bleepingcomputer.com/news/security/us-govt-sites-showing-porn-viagra-ads-share-a-common-software-vendor/

上一篇下一篇

优秀的个人博客,低调大师

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202109/682881.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

拜登政府最快下周实施行动遏制黑客通过勒索攻击牟取数字货币

援引《华尔街日报》本周五报道，拜登政府正准备发布包括制裁在内的一系列行动，从而让黑客更难通过数字货币从勒索软件攻击中获利。报道指出新行动最快在下周开始实施。据报道，这些制裁将针对特定的交易商和加密货币交易所，希望在这些交易发生时阻止交易所处理这些交易。该部门还将为企业发布新的指南，说明他们因遵守勒索软件的付款要求而承担的风险。目前美国财政部拒绝发表评论。这些拟议的措施将是拜登政府应对勒索软件攻击浪潮的最重要举措，这些攻击的规模和频率在过去一年中有所增长。今年 5 月，美国最大的管道之一 Colonial Pipeline 在遭受勒索软件攻击后被关闭。该公司向攻击者支付了超过 400 万美元的赎金，以使管道重新上线。本月早些时候，霍华德大学在一次勒索软件攻击中中断了学校的计算机和技术服务后关闭。 5 月，拜登总统签署了一项行政命令，使政府和私营部门的企业在网络攻击后更容易分享信息。该命令还要求政府机构在其系统中部署多因素认证服务。拜登政府预计将在今年晚些时候发布新的反洗钱和恐怖融资规则，以限制在勒索软件攻击中使用加密货币进行支付。

2021-09-18

592

GoSkeleton v1.5.27 发布，基于 Gin 框架封装的 Web 项目骨架

GoSkeleton v1.5.27 已经发布，基于 Gin 框架封装的 Web 项目骨架。此版本更新内容包括： 1.app/model/users.go 中，操作数据库的函数参数类型,个别使用了 float64 ,全部统一为 int 系列,避免给开发者带来不必要的困扰. 详情查看：https://gitee.com/daitougege/GinSkeleton/releases/v1.5.27

2021-09-18

643

相关文章

发表评论

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。