【知识】10月31日 - 每日安全知识热点

热点概要：拥有相机权限的iOS应用竟可悄悄拍照录像并实时上传更新！POC已公开、Firefox借鉴Tor浏览器实现了一个隐私保护功能、恶意Chrome扩展偷取用户数据并发布到任何网站、NECURS BOTNET使用Office的DDE攻击push用户下载勒索软件（带样本下载）、阿拉伯网络犯罪团伙Gaza Cybergang在2017年的新动向

资讯类：

iOS可构造app使得当用户一次性同意使用摄像头权限之后，在app启动期间任意访问前后摄像头，可在你不知情的情况下拍照或录像，并实时上传。

https://thehackernews.com/2017/10/iphone-camera-spying.html 

https://krausefx.com/blog/ios-privacy-watchuser-access-both-iphone-cameras-any-time-your-app-is-running 

相关POC app的源码已公开

https://github.com/KrauseFx/watch.user 

阿拉伯网络犯罪团伙Gaza Cybergang在2017年的新动向

https://securelist.com/gaza-cybergang-updated-2017-activity/82765/ 

Firefox借鉴Tor浏览器实现了一个隐私保护功能

https://www.bleepingcomputer.com/news/software/firefox-implements-another-privacy-preserving-feature-taken-from-the-tor-browser/ 

Google的reCaptcha验证码再次被破解

https://threatpost.com/googles-recaptcha-cracked-again/128690/ 

恶意Chrome扩展偷取用户数据并发布到任何网站

https://threatpost.com/malicious-chrome-extension-steals-data-posted-to-any-website/128680/ 

Google的Bug Tracker缺陷导致公司的漏洞数据库被暴露

https://www.bleepingcomputer.com/news/security/flaws-in-googles-bug-tracker-exposed-companys-vulnerability-database/ 

技术类：

NECURS BOTNET MALSPAM使用Office的DDE攻击push用户下载勒索软件（带样本下载）

http://malware-traffic-analysis.net/2017/10/30/index.html 

GoCrack：一款具有管理功能的密码破解工具

https://www.fireeye.com/blog/threat-research/2017/10/gocrack-managed-password-cracking-tool.html 

看我如何去除ShellExperienceHost.exe & MicrosoftShellHost.exe挖矿木马

https://www.bleepingcomputer.com/virus-removal/remove-shellexperiencehost-microsoftshellhost.exe-miners 

Domain Trusts攻击指南

https://posts.specterops.io/a-guide-to-attacking-domain-trusts-971e52cb2944 

Tweep：高级Twitter爬取工具

http://www.kitploit.com/2017/10/tweep-advanced-twitter-scraping-tool.html