安全周报（03.22-03.29）

1、宏碁回应遭网络攻击：已采取措施且不打算支付赎金

FBS 外汇交易平台上数百万人的机密信息，包括姓名、密码、电子邮件地址、护照号码、居民ID、信用卡、金融交易记录等，被白帽团队 WizCase发现存在泄露风险。

FBS 是成立于 2009 年的国际外汇交易公司，在全球 190 个国家/地区拥有超过 40 万合作伙伴和 1600 万名交易员。FBS 是世界上 最受欢迎的在线外汇交易平台之一。截至 2021 年 1 月，Android 系统的 FBS 应用在 Google Play 中的下载次数已超过一百万次。

FBS 有一个不安全的 ElasticSearch 对外暴露，其中包含近 20 TB 的数据（超过 160 亿条记录）。该服务器没有任何密码保护，其中的财务数据可以自由访问，这是极其危险的。

未加密的密码随处可见：

这些数据对攻击者来说价值特别巨大，可以用于身份盗用和欺诈、网络诈骗、信用卡诈骗、信息勒索、仿冒钓鱼、账户接管甚至危及人身安全。

在芯片紧缺的时候，高通芯片曝出了0day漏洞，这无疑是雪上加霜。

3月23日，谷歌披露了一个影响使用高通芯片组的安卓终端0day漏洞，攻击者可以利用该漏洞定向发起攻击。目前，该漏洞已修复。

该漏洞编号为CVE-2020-11261（CVSS评分8.4），和高通公司图形组件中的 "不当输入验证 "问题有关。当攻击者设计的应用程序请求访问设备大容量内存时，该漏洞可能会被利用，从而引发内存损坏。

值得庆幸是，该漏洞的访问形式是 "本地"，因此利用该漏洞需要对设备进行本地访问。换言之，攻击者需要对智能设备进行物理访问，或者使用水坑、恶意代码传播引发攻击链等其他手段。

根据安全媒体的最新报道，Stratus Technologies很不幸近期遭受到了一次勒索软件攻击，而此次攻击使得他们不得不将所有系统下线以防止攻击扩散。

Stratus Technologies是一家知名的高可用性产品供应商，比如说他们的ztC边缘计算设备和ftServer容错服务器解决方案等等，都是行业内顶尖的商业化产品。Stratus Technologies的产品通常用于银行、电信供应商、紧急呼叫中心和医疗保健等部门，这些部门的需求都有一个共性，就是要求99.999%（5个9）的容错正常运行时间。

2021年3月17日，Stratus Technologies不幸成为了勒索软件攻击事件的受害者。在检测到了可疑活动之后，我们强制下线了多个网络系统和服务以隔离安全风险，并开始启动业务连续性计划。”