近日，微软Office中一个被称为"Follina"的零日漏洞被发现。攻击者可使用微软的微软支持诊断工具，从远程URL检索并执行恶意代码。微软Office的系列套件和使用MSDT的产品目前仍有可能受该零日漏洞的影响。
微软在其公告中写道："当从Word等调用应用程序使用URL协议调用MSDT时，存在远程代码执行漏洞。成功利用此漏洞的攻击者可以使用调用应用程序的权限运行任意代码。然后攻击者可以安装程序、查看、更改或删除数据，或者在用户权限允许的上下文中创建新帐户"。
耐克Web3平台.SWOOSH将奖励虚拟运动鞋创作者:金色财经报道，全球鞋业品牌耐克新推出的NFT平台.SWOOSH周三表示，正在邀请用户设计自己的数字可穿戴设备。.SWOOSH 社区成员受邀参加名为#YourForce1 的竞赛，挑战用户在 Instagram 上制作视觉故事板来展示他们的鞋类设计。如果被选中，四名获胜者每人将获得 5,000 美元的奖金，并有机会直接与耐克设计师合作，打造他们自己的一对一数字运动鞋。
耐克补充说，这四种设计可能会成为其计划在不久的将来推出的首个签名系列的一部分。比赛于今天开始，1 月 29 日结束。耐克花了几年时间来研究其 Web3 战略。在11 月发布 .SWOOSH之前，该公司收购了数字时装公司 RTFKT，迈出了进入元宇宙的第一步。2020 年，耐克表示将开始测试与区块链技术相关的 RFID，以追踪供应链流程。[2023/1/26 11:30:37]
由于该漏洞允许攻击者绕过密码保护，从而远程安装文件，或者查看、更改及删除数据，因此也被戏称为“零点击远程代码执行技术”。总的来说，攻击者可以在运行用户权限允许的范围内，通过发送一个微软Word文件，在你打开文件或在"预览"中查看文件的瞬间执行恶意代码，并在目标系统上远程执行恶意代码。
Iris Energy2022年12月产出123BTC，环比下降19%:金色财经报道，加密挖矿公司 Iris Energy Limited（纳斯达克股票代码：IREN）发布了2022 年 12 月的运营结果和业务更新。 该公司12 月产出 123 BTC，环比下降19%，平均运行哈希率为 1,086 PH/s，与 11 月相比下降 25%。 12 月份的营业收入与11月相比下降了 27%，至 210 万美元。
截至2022年12月末，该公司有3900 万美元现金，无债务。该公司表示，未来将继续探索将资产货币化的战略选择，包括已经向比特大陆支付约 6700 万美元的预付款，用于增加约 6.7 EH/s 的矿机，扩大自挖能力。同时评估通过潜在的第三方托管在中短期内利用可用数据中心容量的机会。[2023/1/13 11:09:24]
通过这种方式，黑客能够查看并获得受害者的系统和个人信息。这个零日漏洞允许黑客进一步攻击，提升黑客在受害者系统里的权限，并获得对本地系统和运行进程的额外访问，包括目标用户的互联网浏览器和浏览器插件，如Metamask-一个用于存储加密资金的软件钱包。
安全团队：Neoteric.finance发生Rug Pull，损失至少10万美元:7月20日消息，据CertiK监测，Neoteric.finance发生Rug Pull，其NTRC代币价格下跌超91.6%。目前的报告显示损失约为10万美元，但仍在增加。请保持警惕。[2022/7/20 2:25:02]
这样的漏洞表明了用户使用硬件钱包离线存储私钥的重要性，因为它可将私钥与被攻击的系统分开。忽视使用硬件钱包，是零日漏洞导致加密货币资金被盗的主要原因之一。
这种类型的漏洞在Web3世界中可以说是非常“流行”，每个月可导致数百万美元的损失。类似的攻击已经影响到Web3社区，而这个漏洞比"0-click"漏洞更严重。例如，发生在2022年3月22日的Arthur_0x黑客攻击，导致超过160万美元的NFT和加密货币损失。它使用了有针对性的网络钓鱼攻击技术，通过电子邮件发送了看起来像谷歌文档的链接，将恶意代码注入受害者的系统。另一个使用了有针对性的网络钓鱼攻击的例子发生在2022年2月19日，当交易者打开他们认为是OpenSea官方的关于迁移的电子邮件时，价值170万美元的ETH被盗走，导致恶意软件通过隐藏在伪装链接中的恶意合同被放入他们的钱包。
网络钓鱼攻击是攻击者可获得高价值，且操作相对简单的一种攻击方法。随着Web3用户能够即时直接地进行资产交易，网络钓鱼活动也随之增加。特别是Telegram和Discord相关的攻击，恶意链接每天都会出现在流行的服务器上。而随着Web3的发展，这些类型的攻击将继续增长，因为它成本低且有效性强，攻击者能够适应各种防御手段，以继续进行攻击。
如果你目前正在使用微软的Office，CertiK安全团队建议按照以下链接的步骤，正确保护你的设备和个人信息。?
可以防止攻击的一些方法步骤：
遵循最小权限原则，只给Windows用户分配完成其职责所需的权限。反过来，这也限制了攻击者在系统被破坏时继承的权限。?
在使用微软卫士的ASR时，在阻止模式下激活"阻止所有Office应用程序创建子进程"规则。
在审计模式下运行该规则，并监测结果，以确保对最终用户没有不利影响。
删除有关ms-msdt的文件类型，防止恶意软件运行。
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。