FreeBuf早报 | 新型工具可绕过iPhone生物识别验证；首款集成GPT-4的恶意软件MalTerminal
内容提要
新型iOS视频注入工具可绕过生物识别验证；GPT-4恶意软件动态生成勒索代码；OpenAI ChatGPT存在零点击漏洞；微软Entra ID漏洞影响云身份安全；Cloudflare服务中断；宝马遭勒索软件攻击；npm供应链攻击需警惕；Pixie Dust攻击威胁路由器安全。
关键要点
-
新型iOS视频注入工具可绕过越狱iPhone的生物识别验证，需多层防御系统应对。
-
首款集成GPT-4的恶意软件MalTerminal可动态生成勒索代码，标志着AI被武器化。
-
OpenAI ChatGPT存在零点击漏洞ShadowLeak，攻击者可窃取Gmail数据，需加强安全验证。
-
微软Entra ID高危漏洞允许攻击者伪装用户，需加强全周期可见性防御。
-
Cloudflare因React代码缺陷引发服务中断，团队已修复并改进监控系统。
-
宝马集团疑遭Everest勒索软件攻击，专家警告数据泄露风险。
-
npm供应链攻击需警惕，'沙虫'蠕虫攻击成为自动化传播的供应链攻击。
-
Radware披露针对ChatGPT的零点击数据窃取攻击，建议监控代理行为以缓解风险。
-
黑客通过篡改GitHub Actions工作流窃取PyPI发布令牌，建议启用短期令牌。
-
Pixie Dust攻击利用路由器WPS漏洞离线破解PIN码，建议更新固件或禁用WPS功能。
延伸问答
新型iOS视频注入工具如何绕过生物识别验证？
该工具利用越狱设备和深度伪造技术实施欺诈，显示数字身份攻击日益程序化。
MalTerminal恶意软件的主要特征是什么？
MalTerminal是首款集成GPT-4的恶意软件，能够动态生成勒索代码并绕过邮件安全检测。
OpenAI ChatGPT的零点击漏洞是什么？
ShadowLeak漏洞允许攻击者通过隐藏指令的邮件窃取Gmail数据，绕过传统防御。
微软Entra ID漏洞的影响是什么？
该漏洞允许攻击者伪装任意租户用户，可能导致全局管理员权限沦陷。
宝马集团遭遇的勒索软件攻击有什么后果？
Everest勒索软件团伙声称窃取了宝马60万行敏感数据，并威胁公开，引发数据泄露风险。
Pixie Dust攻击是如何进行的？
该攻击利用路由器WPS漏洞，能够离线破解PIN码以获取网络访问权限。
