“通过说服受害者访问精心编制的网站，远程攻击者可以利用此漏洞执行任意代码或在系统上造成拒绝服务条件，” IBM X-Force在对该漏洞的报告中称。
(5) 戴尔
今年早些时候，研究人员发现自2009年以来售出的所有戴尔个人电脑、平板电脑和笔记本电脑中，都存在五个隐藏了12年的高严重性安全漏洞。据SentinelLabs称，它们允许绕过安全产品，执行代码并转向网络的其他部分进行横向移动。研究人员表示，这些缺陷潜伏在戴尔的固件更新驱动程序中，可能会影响数亿台戴尔台式机、笔记本电脑、笔记本电脑和平板电脑。
自2009年以来一直在使用的固件更新驱动程序版本 2.3 (dbutil_2_3.sys) 模块中，存在多个本地权限提升 (LPE) 错误。驱动程序组件通过戴尔BIOS实用程序处理戴尔固件更新，并且它预先安装在大多数运行Windows的戴尔机器上。
代码库和软件供应链软件供应链由开放源代码存储库(Open Source Code Repositories)支撑，使开发人员可以集中上传软件包，供开发人员在构建各种应用程序、服务和其他项目时使用。
它们包括GitHub以及更专业的存储库，如Java的Node.js包管理器 (npm)代码存储库;RubyGems(用于Ruby编程语言)等。这些包管理器代表了供应链威胁，因为任何人都可以向它们上传代码，而代码又可能在不知不觉中用作各种应用程序的构建块。任何用户的应用程序都可能受到恶意代码的攻击。
网络犯罪分子蜂拥而至。
例如，12月，在npm中发现了一系列17个恶意软件包;它们都是针对 Discord而构建的，Discord是一个被3.5亿用户使用的虚拟会议平台，支持通过语音通话、视频通话、短信和文件进行通信。同样在本月，托管在PyPI代码存储库中的三个恶意软件包被发现，总共有超过12,000 次下载，并且可能被偷偷地安装在各种应用程序中。这些软件包包括一个用于在受害者机器上建立后门的木马和两个信息窃取程序。
研究人员上周还发现，Maven Central生态系统中有17,000个未打补丁的Log4j Java包，这使得Log4Shell漏洞利用带来了巨大的供应链风险。根据谷歌安全团队的说法，整个生态系统可能需要“几年”才能修复。
使用恶意软件包作为网络攻击媒介也是今年早些时候的一个常见主题。
勒索软件变种勒索软件在2021年很猖獗。用于锁定文件的实际恶意软件的进展，不仅仅是简单地在目标文件夹上打一个扩展名，其包括以下三大发现。
HelloKitty 的 Linux 变体以虚拟机为目标
今年6月，研究人员首次公开发现了一种Linux加密器——被 HelloKitty勒索软件团伙使用。
HelloKitty是2月份对视频游戏开发商CD Projekt Red攻击的幕后黑手，它开发了许多Linux ELF-64版本的勒索软件，用于攻击VMware ESXi 服务器和运行在它们上面的虚拟机 (VM)。
VMware ESXi，以前称为ESX，是一种裸机管理程序，可以轻松安装到服务器上并将它们划分为多个VM。虽然这使得多个VM可以轻松共享相同的硬盘驱动器存储，但它使系统成为攻击的一站式站点，因为攻击者可以加密用于存储跨 VM数据的集中式虚拟硬盘驱动器。
(1) MosesStaff：没有可用的解密
11月，一个名为MosesStaff的政治组织瘫痪了以色列实体，没有任何财务目标——也没有交出解密密钥的意图。相反，它正在使用勒索软件对以色列目标进行出于政治动机的破坏性攻击，试图造成最大的破坏。
MosesStaff加密网络并窃取信息，并且无意索要赎金或纠正损害。该组织还保持着活跃的社交媒体，发布信息和视频，并公开其意图。
(2) Epsilon Red以 Exchange 服务器为目标
6 月份，威胁行为者在一组PowerShell脚本的背后部署了新的勒索软件，这些脚本是为利用未修补的Exchange服务器中的缺陷而开发的。
推荐阅读
- 亚马逊|告别“好评返现”，商家侧的“晒单有礼”还有意义吗
- vf|车讯｜大众2021年销量创10年新低；少年黑客称发现特斯拉软件漏洞
- 大型超市|大型超市靠什么赚钱？很多人以为只靠卖货，其实还有2个隐藏途径
- 过节|跟马云有过节的4个人，有3个来自腾讯，还有一个请客唯独不请马云
- 销售额|2021年苹果App Store收入又创纪录了，苹果还能“躺赢”多久？
- 零售|成绩出炉→2021年眉山实现网络交易额310.37亿元!
- 清单|2021年，亚马逊冷门却又赚钱的5款产品清单
- 零售额|2021年岷县农产品网络零售额突破3亿元大关
- 说出你的故事|2021年这一年你过得如何？虎年一起参加余额宝“年年有余”活动吧
- 信息安全|2021年度IT影响中国：银核星际离盾PLUS获“2021年度最佳信创产品”奖