有用户发现宝塔面板最新版增加了新的上报后门，能获取用户的IP且更为隐蔽
今天对比了一下最新版7.9.4的宝塔面板（宝塔的开发习惯是即使是同一个版本号，也会不断更新文件）。发现了一个js文件比较可疑，经过分析后得出，是宝塔最新增加的上报后门，可以上报用户自己的IP和端口（非服务器的）
js文件路径：/panel/BTPanel/static/laydate/laydate.js
根据文件时间戳，可知是10月9日更新的。
这个文件本身是layer的日期显示组件，但是宝塔在最后加入了一段eval加密的js，但是这种加密很容易解。
—— ccclt@hostloc
币安估计区块链黑客攻击事件导致1亿美元被盗
加密货币交易所币安(Binance)周四晚些时候表示，币安智能链(Binance Smart Chain)区块链网络遭黑客攻击，可能导致1亿美元被盗。
在检测到其所说的两个区块链之间桥梁上的漏洞后，币安智能链已暂停交易和资金转移。
币安首席执行官赵长鹏在Twitter上发文说，这个问题涉及跨链桥BSC Token Hub。跨链桥能够将数字资产和信息从一个独立的区块链转移到另一个区块链。
赵长鹏写道：这个问题现在得到了控制，客户的资金是安全的。他对造成的不便表示歉意。
—— 华尔街日报
美国中情局为伊朗线人制作的通信工具被证明存在巨大的安全漏洞。至少有数十人因此被捕。这些工具是用粗糙的模板制作的一个个伪装的网站，用于与CIA联络。但是这种网站的通信功能很容易被识别出来，并且最糟糕的是CIA租用了一组连续的IP地址来提供网站的服务，就像一个个连续的门牌号码。
这些线人是中情局的“一次性间谍”，他们的生死对于中情局来说是无足轻重的。中情局当然有精妙的定制化高级通信系统，但只提供给高级别的伊朗间谍使用。普通线人“不值得为他们投入这些工具”。（路透社）
苹果发布更新修复两个关键的安全漏洞
苹果公司本周为iPhone、iPad和Mac发布了重要的软件更新，修复了苹果公司已知的被攻击者积极利用的两个安全漏洞。
这两个漏洞是在WebKit（为Safari和其他应用程序提供动力的浏览器引擎）和内核（基本上是操作系统的核心）发现的。这两个漏洞同时影响了iOS和iPadOS以及macOS Monterey。
苹果公司说，如果有漏洞的设备访问或处理 “恶意制作的网页内容可能导致任意代码执行”，WebKit的漏洞就会被利用，而第二个漏洞允许恶意应用程序 “以内核权限执行任意代码”，这意味着对设备的完全访问。这两个缺陷被认为是相关的。…
苹果公司表示，iPhone 6s及以后的机型、iPad Air 2及以后的机型、iPad第五代及以后的机型、iPad mini 4及以后的机型和iPod touch（第七代），以及所有iPad Pro机型都受到影响。
—— TechCrunch
Nomad希望通过给予10%“抽佣”合法收入的方式让黑客归还1.9亿美元资产
加密货币公司Nomad正在提供赏金，以收回在1.9亿美元的黑客攻击中被抢走的资金，这再次突出了数字代币领域的安全漏洞。
根据Nomad的一份声明，任何归还至少90%被盗代币的人都将被视为所谓的白帽黑客，其目的是发现漏洞，而不是获取恶意收益。剩余的10%将有效地成为奖励。
—— 彭博社
漏洞白帽研究团队发现WPS出现0day漏洞
该团队称：近日，微步旗下的“X漏洞奖励计划”收录 Windows 平台下 WPS Office 2019个人版、WPS Office 2019企业版的 RCE（远程代码执行）0day 漏洞，微步云沙箱无需更新即可识别该攻击，更新检测引擎后可精准检测该漏洞，微步 TDP 在云沙箱更新规则后捕获到该0day漏洞在野利用。
确认漏洞后，我们（指微步）第一时间联系到金山办公，并协助修补漏洞。截至本文发布，金山办公官方已发布版本更新，修补该漏洞。
该漏洞利用过程简单且稳定，攻击者可完全控制受害者主机，危害巨大，影响范围较广。我们（指微步）建议相关政企单位高度重视，并启动漏洞应急流程，尽快升级修复，相关修复建议参考本文处置建议内容。
—— 微步情报局
名叫geekdada的开发者声称闲蛋中转面板存在一个漏洞，租客可以通过API获取到加密后的服务器密码。该开发者称已获取到解密KEY。
流行的Python和PHP库被劫持用以窃取AWS密钥
每周被下载超过20,000次的PyPI模块 “ctx “在一次软件供应链攻击中被破坏，恶意版本窃取了开发者的环境变量。
攻击者甚至用渗入开发者环境变量的代码替换了旧的安全版本的’ctx’，以收集亚马逊AWS密钥和凭证等秘密。
此外，发布在PHP/Composer软件包库Packagist上的’phpass’分叉版本也被篡改，以类似的方式窃取机密。
PHPass框架在其生命周期内已经在Packagist仓库中产生了超过250万次的下载–尽管恶意版本的下载量被认为要小得多。
—— bleepingcomputer
