AMD CPU 出现堆栈溢出漏洞,专家称其利用条件较为苛刻

据外媒 1 月 6 日报道,谷歌专家 Cfir Cohen 发现 AMD 处理器的平台安全处理器(PSP)中的 fTMP 模块存在一个堆栈溢出漏洞,影响 AMD 64 位 x86 的处理器。研究人员透露虽然该漏洞目前尚未得到解决,但是其利用条件也是非常严苛的。 AMD PSP 是内置于主 CPU 芯片上的专用安全处理器,提供类似于英特尔管理引擎的管理功能;Trusted Platform Module(可信平台模块)是安全加密处理器的国际标准,也是专用微控制器,通过将加密密钥集成到设备中来保护硬件;而 fTMP 则是 Trusted Platform Module 的固件实现。 漏洞通过 EK 证书加以利用 安全专家 Cohen 手动静态分析发现函数 EkCheckCurrentCert 中有一个基于堆栈的溢出,该函数通过 TPM2_CreatePrimary 调用用户控制数据(存储在 NV 存储器中的 DE 编码的认证密钥(EK)证书)。Cohen 解释说,TLV(类型长度值)结构被解析并复制到父堆栈帧,但在管理 TLV 结构时特制的 EK 证书缺少边界检查导致了堆栈溢出。因此攻击者可以使用特制的 EK 证书来获得 AMD 安全处理器的远程代码执行权。 漏洞利用条件较为苛刻 Cohen 称利用该漏洞的先决条件是需要进行物理访问,而有关专家专家指出, PSP 并没有实现堆栈 cookies、No-eXecute(NX)标志或地址空间布局随机化(ASLR)等常见的缓解技术。 与此同时, security biz Capsule8 的联合创始人和首席技术官 Dino Dai Zovi 也表示漏洞应该不太受远程执行。 因为使用了该漏洞的证书需要被写入到 NVRAM 中,所以攻击者必须具有主机的特权访问或物理访问权限。 随后 AMD 的发言人向媒体证实该漏洞确实难以被利用:攻击者首先必须访问主板,然后修改 SPI-Flash 才能进行漏洞利用。考虑到这些条件,攻击者可能将会访问受 TPM 保护的信息,比如加密密钥。 目前 AMD 计划在有限数量的固件版本上解决该漏洞,安全更新将在本月晚些时候发布。 相关阅读: AMD 芯片被披露存在安全漏洞 消息来源:The Register、Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

美国国土安全部发表声明,应对 24.6 万员工信息泄露事件

前景提要:2017 年 5 月,美国国土安全部 ( DHS ) 一名员工的家用电脑服务器被发现存有 24.6 万名截至 2014 年底进入 DHS 的员工个人敏感信息。从 2017 年 5 月到 11 月,国土安全部进行了彻底的隐私调查。 据外媒报道,DHS 针对该起事件于 1 月 3 日发表声明称由于国土安全部监察长办公室(OIG)的案件管理系统(CMS)的缺陷,以至于雇员信息遭到泄露。目前事件影响了 DHS 雇用的 24.6 万员工,以及 2002 年至 2014 年与 DHS OIG 调查相关的主体、证人和投诉人的私密信息,其中包括姓名、社会安全号码、出生日期、职位、职级和工作地点。DHS 表示已向受影响的个体发送通知信,并承诺不会再出现类似事件。 DHS 的声明没有透露该前雇员的具体信息,也没有提供调查的进行细节。但 DHS 强调,这一事件并不是由外部恶意行为者发起的网络攻击,受影响的个体信息也不是事件的主要目标。 美国国土安全部首席隐私官 Phillip Kaplan 称 DHS 非常重视为本部员工服务的义务,并致力于保护他们的信息。据悉,所有可能受到影响的个体都获得了 18 个月的免费信用监控和身份保护服务,同时也被要求警惕声称国土安全部的人的可疑电话,以及任何询问敏感信息的人士。 DHS 表示目前正在实施额外的安全防范措施来限制对信息的访问,并将采取严格的检查措施来识别任何不寻常的访问模式。 消息来源:IBTimes,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

专家猜测黑客组织即将开始远程利用英特尔 CPU 漏洞

据外媒报道 1 月 4 日报道,相关安全专家认为黑客组织即将远程利用影响英特尔 (包括 AMD 和 ARM) 处理器的两个严重漏洞 Spectre (幽灵) 、 Meltdown (熔断)开展攻击行动。 据悉,研究人员于 1 月 3 日披露了漏洞的具体细节:Spectre 和 Meltdown 利用三种不同缺陷绕过内存隔离机制,从而访问敏感数据(包括密码、照片、文档和电子邮件)。目前有数十亿种产品的 CPU 受到影响,其中包括个人电脑和智能手机,此外,云环境也可能会遭受攻击。相关研究人员已提供了一种使用内核页表隔离( KPTI )的防御策略,并且受影响的供应商也发布了补丁和解决方法。 虽然主要攻击媒介是通过本地访问(例如目标机器上安装的一个恶意软件),但研究人员认为通过 JavaScript 进行远程攻击也是有可能的。 对此,研究人员开发了一个概念验证(POC),用于验证在 Google 浏览器 上使用 JavaScript 利用 Spectre 的方法 , 并从其运行过程中读取私有内存。该 PoC 的验证结果显示 JavaScript 远程利用漏洞这一方式是可用的,因此专家认为恶意攻击者远程利用漏洞展开攻击行动只是时间早晚的问题而已。这也就是为什么一些专家建议用户在浏览器中禁用 JavaScript 并安装广告拦截器。 除此之外,几家科技巨头也对可能出现的远程攻击进行了分析。 Mozilla 通过内部实验确定这些技术可以被用来从网页内容读取不同来源之间的私人信息,目前 Mozilla 已决定在 Firefox 57 中实施部分保护。 Google 通过 JavaScript 和 WebAssembly 都可以进行攻击。Google 通知客户,目前版本的 Chrome 包括一个名为站点隔离的功能,可以手动启用以防止攻击。此外,谷歌表示将在 1 月 23 日发布的 Chrome 64 中包含 V8 JavaScript 引擎的缓解措施,其他的强化措施将在未来的版本中加入,但这些措施可能会对性能产生负面影响。 微软 可以通过在浏览器中运行的 JavaScript 代码启动攻击。不过目前微软已经发布了其 Edge 和 IE 浏览器的最新版本,以减少漏洞。 知情人士透露,许多知名公司的高层对黑客即将远程利用漏洞展开攻击行动的这一猜想也表示赞同,例如 FireEye 亚太区首席技术官 Bryce Boland 、Cybereason 公司首席安全官 Sam Curry 等人士。 消息来源:SecurityWeek,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

前 NSA 黑客揭露如何将卡巴斯基杀软变成间谍工具

根据卡巴斯基的案例表明,安全软件可以被情报机构利用来作为一种强大的间谍工具。Digita Security 首席研究官  Patrick Wardle 和前 NSA 黑客通过颠覆卡巴斯基实验室杀毒软件并将其变成强大的机密文档搜索工具来证实了这一点。 Patrick Wardle 在接受纽约时报采访时说: “ 杀毒产品是对抗恶意代码的首选。“  然而,具有讽刺意味的是,这些产品与先进的网络间谍工具有许多共同之处。“从技术角度来看,如果一个反病毒制造商出于某种原因,比如被强迫、被黑客攻击等,是否可以创建一个标记机密文件的签名? 去年12月,美国总统特朗普 签署了一项法案,禁止在联邦机构使用卡巴斯基实验室产品和服务。根据 Edward J. Snowden 泄漏的一份绝密报告草案显示,NSA 至少自 2008 年就瞄准了杀毒软件(即 Checkpoint 和 Avast )以便于收集存储在目标机器上的敏感信息。 Wardle 对卡巴斯基实验室杀毒软件进行了逆向工程,以探究是否有可能将其用于情报目的。其目标是希望能够编写一个能够检测机密文件的签名。Wardle 发现代码非常复杂,与传统的防病毒软件不同的是,卡巴斯基的恶意软件签名很容易更新。研究人员认为这个功能可以调整自动扫描受害者的机器和窃取机密文件。 “ 现代反病毒产品是非常复杂的软件,卡巴斯基可能是最复杂的一个。因此,仅仅获得对其签名和扫描逻辑的合理理解是一项具有挑战性的任务。”卡巴斯基的反病毒引擎会定期检查并自动安装任何新的签名。当新的签名可用时,该签名将被卡巴斯基更新服务器的kav守护进程下载。 杀毒软件扫描可能被用于网络间谍活动 Wardle 称官员们通常会将最高机密文件与 “ TS / SCI ” ( “ 最高机密 / 敏感区域信息 ” )进行分类,Wardle  向卡巴斯基的杀毒程序添加了一条规则,用来标记任何包含 “ TS / SCI ” 的文档。为了测试新规则,研究人员在他的电脑上编辑了一个文件,其中包含小熊维尼儿童读物系列的文本,并添加了 “ TS / SC ” 标记。一旦文档被保存到他的机器上,卡巴斯基的防病毒软件就会标记并隔离该文档。 Wardle 测试的后续阶段是发现如何管理被标记的文档,但是反病毒软件将数据发送回公司通过进一步分析发现是正常的。 而卡巴斯基在一份声明中称 Wardle 的研究并不正确,因为卡巴斯基实验室不可能以特定的秘密方式向特定的用户提供特定的签名或更新,所有签名总是公开给所有用户使用而且更新是经过数字签名的,不可能进一步伪造。 但无论如何,Wardle 的研究表明,黑客厂商的平台可以使用杀毒软件作为搜索工具。 专家总结说 :“然而,任何反病毒公司内部的恶意或有意识的内部人士,如果能够策略性地部署这样的签名,那么在一个可能的情况下任何被强迫或愿意与如政府之类强大机构合作的反病毒公司都同样能够悄悄地利用他们的产品来检测和利用任何感兴趣的文件。” 。 详细报告内容见<All Your Docs Are Belong To Us> 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

phpMyAdmin 存在关键 CSRF 安全漏洞,4.7.7 之前版本均受影响

据外媒 1 月 2 日报道,印度安全研究人员 Ashutosh Barot 发现 phpMyAdmin 存在一个严重的 CSRF 安全漏洞——通过欺骗管理员点击链接来执行危险的数据库操作,比如删除记录、删除/截断表等。Barot 称 phpMyAdmin 4.7.7 之前的版本都受到该漏洞的影响,并且可能会泄露敏感数据。 CSRF :跨站点请求伪造漏洞(也称为 XSRF),可在(已通过身份验证的)目标在不知情的情况下以目标名义伪造请求然后发送到受攻击站点,从而在并未授权的情况下执行一些操作。 phpMyAdmin 的一个特性是使用 GET 请求,在数据库操作的 POST 请求之后,GET 请求必须受到保护以防止 CSRF 攻击。在实例演示中,攻击者使用 URL 发送 POST 请求可能会欺骗数据库管理员单击按钮,执行删除数据库。 但是要进行这种攻击并不简单,因为要利用 CSRF 攻击 URL ,所以攻击者很可能知道目标数据库以及数据表的具体名称。那么这些信息是如何泄露的呢? 根据上述猜想,Barot 对此进行研究发现若用户通过单击插入、删除等按钮来操作数据库,那么 URL 将包含数据库和表名称。 而 URL 又存储在不同的地方,比如浏览器历史记录,SIEM 日志,防火墙日志,ISP 日志等,因此 Barot 认为该漏洞很可能会导致敏感信息泄露。 目前,phpMyAdmin 已发布了 phpMyAdmin 4.7.7 版本来解决这个 CSRF 漏洞。 消息来源:thehackernews,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

家中音箱突然半夜高歌?别担心,它只是被黑了

据外媒 1 月 1 日报道,网络安全软件公司趋势科技证实一些型号的 Sonos 和 Bose 智能音箱存在安全漏洞,或可导致设备被劫持。相关研究人员称攻击者利用该漏洞进行简单的网络扫描,从而远程操控设备,例如播放诡异的音乐以及执行 Alexa 语音命令。虽只有小部分型号的音箱受到影响(其中包括 Sonos One 和 Bose SoundTouch ),但目前为止约有 2500 – 5000 台 Sonos 设备和 400- 500 台 Bose 设备已遭到攻击 。 据趋势科技研究人员介绍,攻击者通过扫描互联网寻找易受攻击的设备,一旦发现存有漏洞的音箱就立即使用 API 来引导其播放托管在特定 URL 上的音频文件。研究人员解释说有缺陷的音箱允许同一网络上的任何设备在未进行身份验证的情况下使用如 Spotify 或 Pandora 之类的应用程序的 API。攻击者利用该 API 可以播放任意 URL 的音频文件。此外,攻击者除了任意播放音乐,还制造了一些更加恐怖的攻击场景,比如通过语音助手设备控制门锁、空调和照明等智能家居的功能。 趋势科技称之所以会出现音箱被人侵的事件,其主要原因可能与这些音箱连接到一个错误配置的网络上有关。目前 Sonos 表示已发布安全补丁,解决了包括拒绝服务(DoS)错误在内的一些问题,但 Bose 方面仍然没有回应。 相关参考阅读: < The Need for Better Built-in Security in IoT Devices > 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

专家披露 IOHIDSystem macOS 内核任意读写漏洞 POC

据外媒 1 月 1 日报道,研究苹果 iOS 操作系统的安全人员 Siguza 公布了 macOS 中一个未被修复的 0day 的 POC 细节:攻击者可以利用该漏洞访问系统、执行任意代码以及获得 root 权限。该漏洞会影响 macOS 的所有版本,可能导致内核中出现任意读/写的问题,同时也使得黑客能够禁用系统完整性保护(SIP)和 Apple 移动文件完整性(AMFI)安全功能。 安全研究员 Siguza 在试图破解 iOS 内核漏洞时注意到 IOHIDFamily,这是一种为人机界面设备( HID )设计的内核扩展,比如触摸屏或按钮。 目前 Siguza 公布的开发和概念证明(POC)代码只适用于 macOS High Sierra 10.13.1 及更早版本,但研究人员认为可以将该代码调整到适用于苹果 12 月 6 日发布的最新版本 10.13.2 。 专家认为,至少从 2002 年起这个漏洞就已经存在,但是一些线索表明漏洞潜藏时间至少 10-15 年。 值得注意的是,有些研究人员认为公开 POC 会使 macOS 用户面临被攻击的风险, 但 Siguza 认为事实并非如此。 消息来源:SecurityWeek,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

真相扑朔迷离?Lurk 黑客自称 WannaCry 实为俄罗斯开发

据外媒 12 月 30 日报道,Lurk 网络犯罪团伙的黑客 Konstantin Kozlovsky 承认在 FSB( 俄罗斯联邦安全局信息安全中心) 的要求下开发了 WannaCry 勒索软件和 DNC 黑客软件,并为其破解了美国民主党的服务器以及希拉里·克林顿的电子邮件服务器。根据 Kozlovsky 的供词显示, 2014 年雅虎服务器的入侵事件可能也与 FSB 有关。 Lurk 网络犯罪团伙因开发、维护和租用钓鱼漏洞开发工具包闻名。黑客团伙利用 Lurk 银行木马从俄罗斯金融机构窃取了约 4500 万美元资金,其成员于 2016 年被俄罗斯警方逮捕。 据俄罗斯网站 crimerussia.com 报道,黑客 Kozlovsky 称 Lurk 团伙开发的 WannaCry 勒索软件主要针对企业网络,能够通过感染大量的机器得到迅速传播,最终达到“一键”瘫痪目标网络能力的目的。黑客团伙还甚至计划利用 WannaCry 破解俄罗斯第三大钢铁生产企业——Novolipetsk钢铁公司网络,并试图干扰高炉运作。 知情人士透露,美国之前认为朝鲜是今年 5 月利用 WannaCry 进行网络攻击的幕后黑手,不过目前 Kozlovsky 表示 WannaCry 是为 FSB 开发的,并指认这些攻击行动是由 FSB 的 Dmitry Dokuchaev (被指控在 2014 年入侵雅虎服务器的两名俄罗斯情报官员之一)协调完成的。但此番言论也遭到了 Dmitry Dokuchaev  的否认。 真相依旧扑朔迷离,媒体对此事件感到奇怪的一点在于——Kozlovsky 目前还被俄罗斯当局监禁,却反而指控 FSB 的其他黑客? 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

杜绝互联网“错误观点”:越南政府组建“Force 47”网络战部队

据 IBTimes 英文网报道,越南人民军总政治部副主任 Nguyen Trong Nghia 于 12 月 25 日宣称越南已建立 “ Force 47 ” 网络战部队,旨在打击互联网上传播的 “错误观点” 。Nguyen Trong Nghia 表示越南应毫不犹豫向世界展示 “ Force 47 ” ,并且必须每时每刻都做好主动打击敌人的准备。目前该部队可能已经开始在某些地区运作。 东南亚国家互联网增长迅速,在越南 9300 万人口中,网民比例占据 63% 。如此强劲的增长率对国家发展虽有利但也有弊,比如敌人可以利用互联网制造混乱。 知情人士透露,越南政府对这些混乱和不能遏制容忍的言论自由产生了巨大的担忧。相关媒体称越南此前就采取措施管制互联网:越南政府曾要求 YouTube 和 Facebook 删除损害国家利益的视频和账号,因此 YouTube 于 2017 年下架了 4500 个视频,Facebook 移除了 159 个账号。 随着互联网发展愈加迅速,越南中央军事委员会有志于建立一支常备部队打击错误观点。目前越南军方与越南的政府部门已合作建立了一个装备精良的网络战部门 “ Force 47 ”。 对此网络安全公司 FireEye Inc 发出警告称,越南在防御能力相对较弱的地区构建了强大的网络间谍能力。网络间谍活动对国家的吸引力越来越大,部分原因是它可以通过适度的投资、似是而非的“推诿”和有限的风险提供大量的信息。 消息来源:IBTimes,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

俄罗斯区块链专家遭绑架,任职乌克兰加密货币交易所 EXMO 负责人

据外媒报道,俄罗斯著名区块链专家、加密货币交易所 EXMO 负责人 Pavel Lerner 于 12 月 26 日在乌克兰首都基辅被绑架。EXMO 随后发表声明证实该绑架事件,并承诺 EXMO 的运营不会受到影响,所有的用户资金都是绝对安全的。目前执法人员正对此事进行调查,以了解 Lerner 被绑架的原因。不过有相关人士认为 Lerner 被绑架可能是涉及具有隐密货币背景的俄罗斯国民的又一起案件。 根据乌克兰执法机构的匿名信息,Lerner 在距离其工作地点不远的地方被不明身份的人士强行拖入奔驰车内(车牌号  AA 2063 MT ),随后开往未知方向。 虽然目前执法机构还在进行调查,但 EXMO 表示 Lerner 并没有直接访问任何加密货币账户或其他个人数据的权限,公司的运营以及所有的用户资金都不会受到影响。 事件后续 据新浪科技北京时间 30 日凌晨消息,乌克兰内政部部长顾问安东·格拉斯申科(Anton Gerashchenko)透露,Lerner 周二在他的办公室附近被绑架,于周四被释放。 “帕维尔是被持枪歹徒绑架的,为的是勒索比特币。”同时,他还提到:“我们已掌握的信息显示帕维尔最后是支付了价值超过 100 万美元的比特币后才被释放的。” 在帕维尔周四被释放后,Exmo 和他本人都拒绝对此事进行评论。 消息来源:Thehackernews,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。