FreeBuf周报 | Monzo数字银行用户正受网络钓鱼威胁；Meyer披露影响员工的网络攻击

各位FreeBufer周末好~以下是本周的「FreeBuf周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1、白宫将乌克兰DDoS攻击锁定在俄罗斯GRU黑客身上

2、英国Monzo数字银行用户正受网络钓鱼威胁

3、数十位 OpenSea 用户 NFT 被盗，损失超 170 万美元

4、暴富、反水、围剿……Conti勒索组织魔幻的2021年

5、利用撞库攻击，一尼日利亚黑客将他人工资据为己有

6、2021年91%的英国组织遭到邮件钓鱼攻击

7、华硕子公司ASUSTOR遭攻击，被勒索上千万元赎金

8、新型银行木马正通过Google Play商店攻击英国银行用户

9、炊具巨头Meyer披露了影响员工的网络攻击

10，谷歌宣布将在安卓系统内引入“隐私沙盒”

优质文章

1、TA575组织对我国某机构投递Dridex银行木马的钓鱼活动分析

经关联分析，确认此次攻击活动目的是投递Dridex银行木马。通过对活动过程的相关TTP关联和溯源，最终判定此次攻击活动来自于TA575组织。

2、国务院发布《国务院办公厅关于加快推进电子证照扩大应用领域和全国互通互认的意见》

《意见》共计五章十八条，统筹发展和安全，加强电子证照应用全过程规范管理，严格保护商业秘密和个人信息安全，切实筑牢电子证照应用安全防线。

3、安卓用户注意了！黑客利用“一次性”账户开展诈骗

一个基于僵尸网络的流氓网站关联了数千部受感染的安卓手机，这再次揭露了依托SMS进行账户验证的漏洞。

4、恶意软件即服务的新玩家 Allcome clipbanker

Allcome clipbanker 正在地下论坛售卖，提供的恶意软件即服务定价分为每月 25 美元和终身许可 220 美元两种。

5、Log4j远程代码执行漏洞漫谈

Apache Log4j 是 Apache 的一个开源项目，Apache log4j-2 是 Log4j 的升级，我们可以控制日志信息输送的目的地为控制台、文件、GUI组件等，通过定义每一条日志信息的级别，能够更加细致地控制日志的生成过程。

省心工具

1、CRT：一款针对Azure的CrowdStrike安全报告工具

CRT全称为“CrowdStrike Reporting Tool for Azure”，是一款针对Azure的CrowdStrike安全报告工具。该工具会在Azure AD/O365 租户中查询以下配置，并帮助广大研究人员寻找一些跟权限和配置有关的安全信息，以帮助组织更好地保护Azure环境的安全性。

2、T-Reqs：一款基于语法的HTTP漏洞挖掘工具

T-Reqs全称为Two Requests，T-Reqs是一款基于语法的HTTP模糊测试漏洞挖掘工具，该工具可以通过发送版本为1.1或更早版本的变异HTTP请求来对目标HTTP服务器进行模糊测试以及漏洞挖掘。该工具主要通过下列三大步骤实现其功能：（1）生成输入；（2）对生成的输入进行变异处理；（3）将变异后的数据发送至目标服务器；

3、如何使用Combobulator检测依赖混淆攻击

Combobulator全称为Dependency Combobulator，是一款功能强大的模块化可扩展框架，该工具现已开源，能够帮助广大研究人员检测并防止潜在的依赖混淆攻击风险。在该工具的帮助下，广大研究人员可以更好地采用一种整体的方法来确保应用程序的安全发布，并可以根据不同的源（例如GitHub包、JForg Artifactory等）和许多其他包管理方案（例如NDM、Maven等）来对项目安全性进行评估。