狐狸酱

(∩•̀ω•́)⊃-*⋆biubiubiu~ 这是一个帅气的狐狸~

76 款知名应用存在安全漏洞,累积下载量突破 1800 万

安全研究人员开发的 verify.ly 服务通过扫描 iOS App Store 中的应用发现,有 76 款知名的应用存在安全漏洞,数据传输容易被拦截。无论 App Store 开发者是否使用  App Transport Security(应用传输安全功能),安全漏洞都存在。verify.ly 服务专门帮助开发者扫描 iOS App Store 中的应用,并帮助开发者增强应用安全性。今天的发现令人真震惊,因为这 76 款应用在 App Store 的累积下载量超过了 1800 万。 iOS 系统的 App Transport Security 功能无法帮助阻止这个安全漏洞。App Transport Security 在 iOS 9 中出现,主要帮助提升用户安全性和隐私,简单的说,这个功能强制应用使用 HTTPS。这次出现的安全漏洞问题是因为错误配置网络代码导致的,错误的网络代码导致苹果 App Transport Security 一直认为连接是安全的 TLS 连接,即使连接不是。因为安全问题,Strafach 并没有公开存在安全漏洞的应用名单。 稿源:cnBeta;封面来源于网络

英特尔 Atom C2000 芯片缺陷会让设备变砖

英特尔 Atom C2000 芯片家族存在缺陷会导致使用该芯片的产品停止工作。芯片巨人没有披露受影响的产品和存在缺陷的芯片数量,但已经预留了一笔资金处理该问题。 在这之前,思科发出警告称, 2016 年 11 月 16 日前出售的路由、光网络和交换机产品包含了一个有缺陷的时钟元件,会导致设备在运行 18 个月后加速发生故障。思科没有披露元件供应商的名字,但根据芯片巨人自己公布的 Atom C2000家族 修订版文档,英特尔就是思科的供应商。英特尔在文档中称,缺陷可能会导致 Atom C2000 Low Pin Count 总线时钟输出停止工作,而如果 LPC 时钟停止工作,系统也将无法启动。存在缺陷的产品型号是  Atoms C2xxx B0 步进,英特尔从 2013 年开始供应这些产品。 稿源:solidot奇客;封面来源于网络

Firefox 52 将停止支持所有 NPAPI 插件,Flash 除外

计划于 3 月 7 日发布的 Firefox 52 将停止支持所有 NPAPI 插件,但最流行的插件 Flash 除外。NPAPI 代表 Netscape Plugins API,最早是 Firefox 的前辈 Netscape 开发的,后来成为其它浏览器共同支持的插件标准。 随着 Web 的演化,互联网标准组织逐渐开发出了独立的 Web API 在无需安装插件的情况下支持绝大部分插件所提供的特性。Mozilla 是在 2014 年宣布 Firefox 将逐步停止支持 NPAPI 插件。旧的 NPAPI 插件能在 Firefox ESR (扩展支持版本)  52 上继续工作,但 ESR 53 之后将不再支持。这一改变不会影响到扩展,但随着Firefox的扩展技术切换到 WebExtensions,众多的扩展也将停止工作,已有许多流行的扩展宣布停止更新。 稿源:solidot奇客,封面:百度搜索  

纽约时报:中国在人工智能领域挑战美国

中国正在人工智能领域挑战美国的地位,中国在该领域发表的论文数量以及耗费巨资建造的世界最强大超算都是证据。 《纽约时报》报道称,在五角大楼酝酿把 AI 引入军队的计划时,中国的研究人员也正在这个新兴科技领域大步前进。中国进步迅速,使美国的军事战略专家和科技专家围绕中国究竟只是在模仿进步,还是很快便会在该领域超过美国的独立创新展开了一场争论。 百度首席科学家吴恩达称,美国可能有些过于目光短浅和自信,理解不了中国竞争的速度。“很多时候,中国和其他地方都在同时发明某样东西,或是先在中国发明出来了,后来传到了海外,”他说。“但美国媒体只报道美国的版本。这导致外界误以为那些想法是现在美国发明出来的。”科大讯飞就是中国的进步在美国基本未获报道的一个重要例子。这家人工智能公司侧重语音识别和自然语言理解,在多项国际语音合成和中英文文本互译比赛中获奖。该公司自称正在与科技部合作,研发一款“人形应答机器人”。中国的科技工作者则表示,该公司在监控技术的研发上同政府关系密切。 稿源:solidot奇客,有修正;封面:源自网络

美法院要求谷歌提交储存在海外服务器的邮件数据

据外媒报道,日前,看起来谷歌不得不遵守由法官 Thomas Rueter 下达的客户邮件搜查令。据悉,该搜查令针对的是谷歌储存在海外服务器的数据。根据法官最新作出的判决,谷歌将需要提交其储存在美国之外的客户邮件数据,以便 FBI 展开一起欺诈案的调查工作。Rueter 法官指出,虽然这种要求谷歌提供海外服务器数据的行为可能涉及到隐私问题,但真正的隐私侵犯只出现在在美国境内公开的时候。 谷歌方面表示将对这一判决结果展开上诉,特别是微软先前得到的是一个完全相反的结果。去年 7 月,纽约美国第二巡回上诉法院作出判决,政府机构不能强制要求微软上交其储存在都柏林服务器的数据。几周前,该判决结果再度得到院方肯定。 据了解,谷歌已经有在向政府提交其储存在美国境内数据中心的数据,当然前提是要有来自法院的搜查令。这家公司在美国总共拥有 9 家数据中心,海外则有 6 家,分别在中国台湾、新加坡、爱尔兰、荷兰、芬兰、比利时。 稿源:cnBeta;封面:源自网络

《巫师》老开发者论坛被黑,190 万份凭证遭窃

据外媒报道,游戏开发工作室 CD Projekt RED 成为了去年 3 月份一起数据泄露事件的受害者,该事件致使 190 万名用户的凭证遭到泄露。虽然在几日前,Have I Benn Pwned?网站对外公布了这一消息,但现在则是CD Projekt RED 官方自己向用户发出了通知。出于安全考虑,他们建议用户赶紧更改密码,另外他们还告诉用户公司正在让事态朝好的方面发展。CD Projekt RED 开发了《巫师》等数款成功的游戏。 据这家公司自己披露,已经被他们淘汰的游戏论坛 cdprojektred.com 在去年 3 月遭到黑客攻击,其中 190 万名用户的数据被盗。 那时论坛使用状态已不怎么活跃,CD Projekt RED 表示,遭攻击的一年前他们就已经建议玩家转移到保护机制更强的新论坛 GOG.com。GOG.com 采用了双重认证机制,另外其所用的引擎则已经被升级到了最新、最安全的版本。 CD Projekt RED 并没有直接把老论坛的数据转移到新论坛,因此这对于玩家来说又多了一个保护层。 稿源:cnBeta,有修正;封面:百度搜索

澳大利亚核科技组织被黑,科学家账户被盗暂未危及反应堆

澳大利亚核科学技术组织(ANSTO)被黑客窃取了科学家的用户名和密码。根据 The Register 报道,黑客攻击了 ANSTO 的研究人员以及第三方托管门户网站的系统,并获取了用户名,电子邮件地址和一些加扰密码。这次黑客攻击事件发生在 1 月 27 日,但没有提到黑客使用何种方式进行攻击,系统管理方建议用户更改密码。 相关方面已立即采取行动解决漏洞,并对澳大利亚同步加速器用户门户网站进行了安全审查,它花了将近一个星期来通知每个用户。考虑到人们习惯在多个平台上重复使用其电子邮件和密码,延迟通知会使用户的数据面临进一步风险。 目前还不清楚用户帐户的所有数据是否已经被盗,或只是上述电子邮件和密码。这是因为门户要求注册用户填写全名,学历,他们工作的单位,部门和职位。其他字段可以填写家庭住址,电话号码,公民身份和性别,但这些不是强制性的。 ANSTO 声称密码已加密,但他们没有提到使用什么方法加密。但是鉴于澳大利亚核科学技术组织的性质,我们希望使用一个适当的算法可以抵御黑客。值得注意的是的,澳大利亚核科学技术组织的数据库与 ANSTO 所在校园的核反应堆是互相隔离的。 稿源:cnBeta;封面:百度搜索

Windows SMBv3 协议曝 0day,可导致拒绝服务攻击危害用户系统

据 Seebug 漏洞平台消息,昨日美国计算机应急响应小组(US-CERT)披露了关于 Microsoft Windows SMBv3 协议的一个新 0day,攻击者可通过诱使用户访问伪造的 SMB 服务端,从而进行拒绝服务攻击,最终危害到用户的系统。但目前还没有更详细的漏洞细节披露。 SMB 是一个网络文件共享协议,它允许应用程序和终端用户从远端的文件服务器访问文件资源。 漏洞影响版本: Windows Server 2012、Windows Server 2016 以及 Windows 10 其它版本可能也受影响。 漏洞测试环境: PoC 运行的服务端:Ubuntu 16.04 x64 测试客户端:Windows 10 x64 漏洞 PoC 请戳此处。 漏洞复现 在 Ubuntu 下执行 PoC 脚本来模拟 SMB 服务端并等待客户端的连接: 在客户端 Windows 10 上访问该 SMB 服务端: 最终将触发漏洞从而导致系统的崩溃: 稿源:Seebug;封面:百度搜索

打击勒索软件:Avast 新发布三款解密工具

捷克反病毒软件厂商 Avast 今日在博客上宣布已新推出三款勒索软件解密工具,目前该公司的“反勒索软件工具”的总数也达到了 14 款。Avast 反向工程与恶意软件分析师 Jakub Kroustek 在博文中表示:“在过去一年里,我们发现了超过 200 个勒索软件新株系,野外的利用有些泛滥,但好消息是数以百万计的 Avast 和 AVG 用户得到了保护,可以免受这种威胁”。 新发布的解密工具,解决了三款不同的勒索软件分支,分别是 HiddenTear、Jigsaw、以及 Stampado/Philadelphia 。 勒索软件 HiddenTear 已经肆虐了有一段时间,而且它的代码就托管在 GitHub 上,因此有许多黑客开始利用这款勒索软件的代码。通常它们的套路是,在所有文件被加密之后,勒索软件会在用户桌面上附上一份文本文件。 被勒索软件加密的文件后缀也是五花八门,比如  .locked 、 .34xxx 、 .bloccato 、 .BUGSECCCC 、 .Hollycrypt 、 .lock 、 .saeid 、 .unlockit 、 .razy 、 .mecpt 、 .monstro 、 .lok 、 .암호화됨 、 .8lock8 、 .fucked 、 .flyper 、 .kratos 、 .krypted 、 .CAZZO 、 .doomed 等 。 Jigsaw 则于 2016 年 3 月份被发现,许多变种都选择在屏幕上呈现同名电影 Jigsaw Killer 的照片。该勒索软件今年 1 月的新变种要求受害者阅读两篇有关勒索软件的文章,然后将会提供免费的解密密钥。 被 Jagsaw 劫持的文件后缀有 .kkk 、 .btc 、 .gws 、 .J 、 .encrypted 、 .porno 、 .payransom 、 .pornoransom 、 .epic 、 .xyz 、 .versiegelt 、 .encrypted 、 .payb 、 .pays 、 .payms 、 .paymds 、 .paymts 、 .paymst 、 .payrms 、 .payrmts 、 .paymrts 、 .paybtcs 、 .fun 、 .hush 等 。 Stampado 于 2016 年 8 月份开始冒泡,并在暗网上被出售。网络上有许多版本,其中就有 Philadelphia 。多数情况下,被其劫持的文件后缀为 .locked,且其会每隔 6 个小时删除一个新文件,除非你交付赎金。 稿源:据 cnBeta 内容重新整理;封面:百度搜索  

捷克外交部数十个邮件账户遭黑客入侵,就连外交部长也躺枪

据外媒报道,本周二捷克外交部长 卢博米尔·扎奥莱克 宣布,外交部数十个电子邮件帐户遭到黑客入侵,其中也包括 扎奥莱克 本人的邮件账户。一位政府人士曾向媒体透露,捷克当局怀疑网络攻击源于俄罗斯。 捷克外交部表示,虽然大量数据失窃,但黑客没有渗透到内部通信系统,也没有泄露任何机密材料。然而捷克新闻网站 Neovlivni.cz 指出黑客从扎奥拉莱克和其他外交官电子邮件帐户中下载了高度敏感的信息,并称此次被黑事件是国家“近年来最大的安全丑闻”。 扎奥拉莱克在新闻发布会上称,黑客攻击手段与此前美国民主党被黑事件手法相似。捷克总理 博胡斯拉夫·索博特卡 也已表态“必须彻底调查清楚”。 目前,欧洲众多国家都在准备设立网络防御系统、强化基础设施以便抵御可能发生的网络袭击,甚至是对国家选举的影响。消息显示,捷克共和国预计将于今年 10 月举行国家选举。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。