1、以卡养币 马斯克骗局再添新花招

加密货币马斯克骗局简直可以单独归类了，影响之大花招之多世所罕有。

近日，传统的文字仿冒已经入不了黑客的眼，也骗不了混圈久的老人，于是新的方式马上出炉。挖矿不如骗钱，与其用显卡吭哧吭哧费电，不如做点有意义的事——比如Deep Fake。黑客在新的骗局中，为马斯克精心制作了伪造视频，挂在钓鱼网站上，声称立刻打款即可获得30%提成，有钱任性。为了让它显得更真实，黑客还大范围黑了一些公共账号发布这个视频，下了血本。经过安全研究员分析，此骗局已拿到价值1200美元的加密货币。但是有没有回本还不太好说，毕竟花了电费烧了显卡做了视频，还要算上没用来挖矿亏的钱不是？[阅读原文]

2、芝加哥50万学生数据因勒索软件泄露

芝加哥公立学校供应商Battelle for Kids于12月遭勒索软件攻击，学生和教职工共60万数据一览无余。

该供应商为非营利性教育组织，分析学校系统中的学生和教职工数据来设计教学模型、评估教师表现。官网可知他们合作学校高达267所，学生数据多达280万，此次影响近五分之一。根据学区披露，此次泄露数据范围从2015年到2019年，包含姓名、生日、性别、年级、学校、学生证号、州学生证号、课程分数、教师评估等，但社保号、住址、健康信息不受影响。此次披露不及时让芝加哥学区大为恼火，1月Battelle for Kids就遭到攻击，直到4月底芝加哥学区才收到数据泄露通知，甚至前几天才知道影响到哪些人。供应商解释他们雇佣了第三方进行取证，确认被攻击后才进行了通知，尚不清楚是哪个组织所为，也未披露其他更细节的内容。[阅读原文]

3、俄罗斯联邦储蓄银行遭大规模DDoS攻击

俄罗斯联邦储蓄银行Serbank遭大规模DDoS攻击，峰值达每秒450G。

自俄乌冲突后，俄罗斯银行一直是黑客的重点目标，Serbank副总裁在Positive Hack Days会议中表示，过去几个月银行遭到无数次攻击，DDoS攻击数不胜数。据统计，此次攻击涉及到全球共27000台设备，和传统DDoS攻击不同，大多由插入浏览器的恶意代码发起，实施成本更低，用户量更大，在线流媒体网站是重灾区。安全研究员呼吁浏览网页时注意防范，也不要主动去参与到这种攻击中。[阅读原文]

4、PyPI再现供应链攻击内藏全平台后门

上周PyKafka的李鬼PyMafka上传至PyPI，专骗没睡醒的开发者。

此包经安全研究员举报后火速移除，下载量虽然只有325，但足以给公司带来巨大损失。分析后发现，此包可根据系统不同运行不同payload，感染受害者计算机，接着从C2获取黑客指令。当前该服务器已停机，但有过连接shell的痕迹。[阅读原文]

5、Wordpress学校解决方案插件现后门

安全研究员在Wordpress插件School Management中发现后门，并且存在于多个版本中。

目前最新版已修复该问题，无法确认此后门是供应链攻击所致还是开发者主动为之。考虑到该插件功能强大，恐怕影响了相当多的用户。开发者提醒使用8.9到9.96版本插件的用户应及时更新到最新版，避免造成更大的危害。[阅读原文]