今天是4月10日星期一，今天早餐铺的主要内容有：Auth0身份验证出现漏洞，致使企业遭受攻击；专家发现新型ATM恶意软件ATMJackpot；用必应搜索“chrome download”出现的广告会跳转到恶意网站；间谍软件Agent Tesla变种再现：通过特制Word文档诱导安装；腾讯携手西安电子科技大学共建智慧安全创新研究院。
【漏洞攻击】 Auth0身份验证出现漏洞，致使企业遭受攻击
Auth0是最大的身份即服务平台之一，近日被爆出存在严重身份验证绕过漏洞，该漏洞可能被攻击者利用访问任何门户或应用程序进行身份验证。
Auth0为大量平台实施基于令牌的身份验证模型，每天管理4,200万次登录，并为2000多家企业客户管理每月登录数十亿次。
2017年9月，来自安全公司Cinta Infinita的研究人员发现了Auth0的Legacy Lock API中的一个漏洞，并且测试了使用该服务进行身份验证的某个应用程序。
专家们利用这个问题绕过了使用跨站点请求伪造（CSRF / XSRF）攻击触发CVE-2018-6874漏洞，对Auth0身份验证的应用程序绕过登录身份验证。
[SecurityAffairs]
专家发现新型ATM恶意软件ATMJackpot
Netskope威胁研究实验室的专家发现了一种名为ATMJackpot的新型ATM头奖恶意软件。
恶意软件仍在开发之中，似乎起源于香港，与类似的软件相比ATMJackpot留下的痕迹更少。
“这种恶意软件很可能还在开发中。与以前发现的恶意软件相比，此恶意软件的系统占用空间更小，“
该恶意软件具有较小的系统占用空间，它具有简单的图形用户界面，可显示有限数量的信息，包括主机名，服务提供商信息等。
目前还不清楚ATMJackpot恶意软件的攻击媒介，通常是这种恶意软件是通过ATM上的USB手动安装的，或者从网络下载。
[SecurityAffairs]
【安全事件】
用必应搜索“chrome download”出现的广告会跳转到恶意网站
当使用搜索引擎搜索软件下载链接时，请务必直接访问官网，而非点击搜索结果中的广告，否则就会下载到意外的内容。 比如现在在Bing中显示的搜索短语“chrome download”，结果中的广告不会指向官方的Chrome下载页面，而是将您带到推广广告软件和PUP安装程序的网站。
BleepingComputer的编辑就表示：
“当使用Bing搜索“Chrome下载”时，有一则广告看起来像Google推送Chrome浏览器的合法广告。 网址是www.google.com，与我以前见过的其他Chrome浏览器广告类似。
然而，点击广告时，我没有被带到Google Chrome的下载页面，而是被带到了一个名为www.googlechrome2018.net的网站。 此页面显示假冒的www.google.co.uk网页，提示下载Google Chrome。”
[BleepingComputer]
间谍软件Agent Tesla变种再现：通过特制Word文档诱导安装
近期 Fortinet 研究专家发现臭名昭著的间谍软件 Agent Tesla 出现了全新的变种，而变种传播是通过特制的 Microsoft Word文件进行的。
Agent Tesla 是一种用来收集系统键击记录、剪贴板内容、屏幕截图、身份凭证的间谍软件，很多用户使用这款软件窥探受害者。为了实现这些功能，这款间谍软件在主函数中创建了不同的线程和定时函数。
专家首先在去年 6 月份就发现了这款恶意软件变种。当时他们观察到威胁样本中，黑客通过 VBA 宏的自动执行进行软件的传播。一旦用户启用了文档中包含的宏，间谍软件就会在受害者机器上成功安装。
但在最新发现的行动中，黑客将附件文档的内容被制作成模糊的样子，这样用户会遵循文档上的说明，双击文档来得到更清晰的视图。而如果用户照做了，这个文档就会提取可执行文件，在本地系统的临时文件中运行。