内容转载

= ̄ω ̄= 内容转载

黑客向热门 JavaScript 库注入恶意代码 窃取 Copay 钱包的比特币

尽管上周已经发现了恶意代码的存在,但直到今天安全专家才理清这个严重混乱的恶意代码,了解它真正的意图是什么。黑客利用该恶意代码获得(合法)访问热门JavaScript库,通过注射恶意代码从BitPay的Copay钱包应用中窃取比特币和比特币现金。 这个可以加载恶意程序的JavaScrip库叫做Event-Stream,非常受者欢迎,在npm.org存储库上每周下载量超过200万。但在三个月前,由于缺乏时间和兴趣原作者将开发和维护工作交给另一位程序员Right9ctrl。Event-Stream,是一个用于处理Node.js流数据的JavaScript npm包。 根据Twitter、GitHub和Hacker News上用户反馈,该恶意程序在默认情况下处于休眠状态,不过当Copay启动(由比特币支付平台BitPay开发的桌面端和移动端钱包应用)之后就会自动激活。它将会窃取包括私钥在内的用户钱包信息,并将其发送至copayapi.host的8080端口上。 目前已经确认9月至11月期间,所有版本的Copay钱包都被认为已被感染。今天早些时候,BitPay团队发布了Copay v5.2.2,已经删除Event-Stream和Flatmap-Stream依赖项。恶意的Event-Stream v3.3.6也已从npm.org中删除,但Event-Stream库仍然可用。这是因为Right9ctrl试图删除他的恶意代码,发布了不包含任何恶意代码的后续版本的Event-Stream。 建议使用这两个库的项目维护人员将其依赖树更新为可用的最新版本–Event-Stream版本4.0.1。此链接包含所有3,900+ JavaScript npm软件包的列表,其中Event-Stream作为直接或间接依赖项加载。   稿源:cnBeta,封面源自网络;

微软发布 KB4461585 更新:修复 Outlook 2010 崩溃问题

上周本站曾报道部分 Windows 10 用户在安装 Windows 10 更新 KB4461529 后,导致 Outlook 2010 崩溃无法正常使用。而今天微软再发布了 KB4461585 更新,修复了上述 BUG,用户也可以通过 Microsoft Download Center 进行手动下载安装。 访问: 微软中国官方商城 – 首页 KB4461529 是微软发布的关键安全漏洞补丁,主要修复了 Office 生产力套件中所存在的漏洞,在未经修复的电脑上一旦用户打开黑客特制的文件之后可以允许黑客执行任意远程代码。但在升级之后,用户反馈称导致 64 位 Outlook 崩溃无法使用。   稿源:cnBeta.COM,封面源自网络;

防御 DNS 攻击成本报告:机构 2018 年平均损失 71.5 万美元

根据研究公司 Coleman Parkes 从全球 1000 家机构采样得来的数据,2018 年间,77% 的机构遭受了至少一次基于 DNS 的网络攻击。调查采样的企业,涵盖了活跃于通信、教育、金融、医疗保健、服务、运输、制造、公共、以及零售事业的组织机构。在全球范围五大基于 DNS 的攻击中,恶意软件和网络钓鱼占据了榜单前二的位置;而域名锁定、DNS 隧道与 DDoS 攻击,也造成了极大的影响。 2017~2018 年间,DNS 攻击导致的损失,已增加 57% 。 EfficientIP 在《2018 DNS 威胁报告》中写到:“思科 2016 安全报告发现,91% 的恶意软件利用了解析服务(DNS)。它们壳借助 DNS 这个载体(DoS 放大或 CnC 服务器通信),对目标、甚至 DNS 服务器发起攻击”。 2017 年的时候,网络钓鱼甚至不是最常遇到的五种基于 DNS 的攻击类型。但 2018 年间,欺诈者已经大量通过定向和定制活动,来提升针对特定行业部门的网络钓鱼受害率。 通过分析调查期间收集到的数据,Coleman Parkes 发现:不法分子已将基于 DNS 的攻击,作为一种相当有效的工具,可对其行业目标造成广泛的品牌和财务损失、产生短期和长期的影响。 受 DNS 攻击所影响的组织,平均损失较上一年增加约 57% —— 从 2017 年的 45.6 万美元,到了 2018 年的 71.5 万美元 —— 这一点尤其令人感到不安。 考虑到所有因素,虽然 DNS 攻击从一个行业部门、转到另一个行业部门的影响差异很大。但对所有组织机构来说,部署恰当的 DNS 攻击检测和防护措施,仍然是至关重要的。   稿源:cnBeta,封面源自网络;

亚马逊部分用户信息被泄露:包括姓名和邮件地址

新浪科技讯 北京时间11月22日早间消息,据美国财经媒体CNBC报道,亚马逊向给用户发邮件称,由于出现技术问题,一些用户的姓名和邮件地址被泄露。目前已经有一些人在网上发布他们收到的邮件截图。 这些邮件中说,用户没有必要因此次事故而修改密码。但CNBC指出,有了名字和邮件地址,黑客仍然可以借此重设用户帐号,或利用邮件发起“钓鱼攻击”。 部分用户收到的邮件   而在一份声明中,亚马逊表示:“我们已经修复问题,并通知可能受到影响的用户。”但该公司并没有透露受影响的用户数量,以及具体泄露的信息量。 亚马逊新闻发言人表示,公司网站和系统并没有出现问题。他也没有透露在何处发现被泄露的用户信息。 在一个用户论坛中,一些收到亚马逊此类邮件的人对于亚马逊不建议修改密码一事感到意外。他们也很惊讶地发现,这类邮件中签名链接到的亚马逊网站并不是“https”安全连接,而是“http”。   稿源:新浪科技,封面源自网络;

Flash Player 被曝类型混乱安全漏洞 Adobe 推荐升级新版本

Adobe近期修复了存在于Flash Player的类型混乱安全漏洞,潜在攻击者可以利用该漏洞执行任意代码。Adobe表示Flash Player 31.0.0.148以及此前版本,Windows、macOS和Linux系统均受影响。该漏洞编号为CVE-2018-15981,被Adobe评为关键漏洞,攻击者可以在用户不知情的情况下执行各种恶意代码。 正如Common Weakness Enumeration平台所详述的,当“程序使用一种类型进行分配或者初始化资源(例如指针、对象或者变量),稍后使用与原始类型不兼容的类型访问该资源时,会出现类型混淆错误。”该错误是由处理恶意制作的.swf文件时触发的类型混淆错误引起的,这些文件可能使攻击者能够使用当前用户的系统权限在目标系统上执行任意代码。 对此,Adobe建议所有平台上的Flash Player应该尽快升级至31.0.0.153版本,以降低风险。   稿源:cnBeta,封面源自网络;

美国邮政局发布 API 漏洞补丁 6000 万用户安全受影响

新浪科技讯 北京时间11月22日上午消息,据报道,美国邮政局(USPS)周三发布补丁修补了一个API漏洞。该漏洞可允许任何拥有USPS.com账户的人查看其他用户账户,大约有6000万美国邮政用户受该安全漏洞影响。 根据Kerbs on Security的报道,这个漏洞在一年前由一名独立的安全研究员首次发现,该研究员随后告知了美国邮政局,然而从未获得任何回复,直到上周Krebs以该研究员名义联系了美国邮政局。 受影响API是美国邮政局“Informed Visibility”项目的一部分,该项目旨在帮助批量邮件发件人能够以近乎实时的方式获得跟踪数据。然而问题在于,任何登录了系统并且对在Web浏览器控制台中修改参数有基本了解的人,在该API的“帮助下”,都可利用任何数量的“通配符”搜索参数获取其他用户的大量数据:从用户名、账号到实际地址和联系方式等等。 随后美国邮政局发布了一份声明,称目前为止他们并未发现该漏洞为人利用以获取用户信息。邮政局在获得此漏洞消息后将竭力修复漏洞减轻其影响。   稿源:新浪科技,封面源自网络;

俄罗斯黑客工具“Cannon”正在美欧计算机上进行更隐蔽的攻击

网络安全专家表示,俄罗斯黑客拥有一种新工具,可以在不被察觉的情况下访问敏感计算机。而且他们正在利用它来瞄准美国和欧洲政府实体,以及苏联的前领土。网络安全公司Palo Alto Networks在周二的博客文章中描述了黑客工具,它称之为“Cannon”。 Cannon是一种恶意软件,黑客潜入目标计算机并用于截取受感染计算机主页的屏幕截图。然后,该软件使用电子邮件将图像发送回黑客并接收新指令。它就像是计算机上的间谍相机,可以将图像发送回家,显然是送到俄罗斯。 Palo Alto Networks认为,Cannon背后的黑客是一个情报官员已经结束的团体,是俄罗斯军事间谍机构GRU的一部分。有时被称为Fancy Bear,黑客组织也被指责在2016年黑客攻击民主党全国委员会。Palo Alto Networks威胁情报副主任Jen Miller-Osborn表示,黑客工具使用电子邮件向黑客可以访问的帐户发送信息既聪明又新颖。 在其他两家网络安全公司告诉路透社,俄罗斯黑客冒充美国国务院的员工向智囊团,企业和政府机构发送网络钓鱼电子邮件之后不到一周,Palo Alto Networks就发现了这个名为Cannon的黑客工具,但是他们没有透露黑客在攻击活动中扮演的角色,也没有提供有关特定目标国家的更多信息。   稿源:cnBeta,封面源自网络;

Facebook 收集信息远超想象:用户家人也成分析目标

新浪科技讯 北京时间11月19日下午消息,国外媒体报道称,Facebook收集用户的许多信息已不是什么新鲜事儿了,但据近日曝光的一项专利申请文件显示,Facebook准备要收集的用户信息远超出了人们想象。 这份专利申请文件是Facebook于2017年提交的,近日才得以曝光。申请文件显示,这项专利将允许Facebook根据用户向其网站和Instagram上传的信息,包括帖子、状态更新、照片、好友、消息记录和网页浏览记录等信息,对用户的家庭成员进行分析。 业内人士称,Facebook此次专利申请旨在防止其他公司利用这一技术,从而继续维持其作为广告平台的优势。如果知道用户的家庭成员信息,和哪些人生活在一起,有助于向用户发布更有针对性的广告。 Facebook向《洛杉矶时报》表示,不对此发表评论,但Facebook同时指出,有时只是简单的申请一项专利,并没有真正利用这项专利技术的意图。 今年,Facebook已被用户信息隐私问题弄得焦头烂额。自今年3月份大规模用户信息泄露事件被曝光后,Facebook股价就一直萎靡不振。当时,Facebook承认有8700万用户的信息被第三方不当分享。 虽然Facebook CEO马克·扎克伯格(Mark Zuckerberg)亲自赴国会作证,但至今仍未彻底摆脱该问题。 雪上加霜的是,Facebook 9月底又宣布,该公司发现一处安全漏洞,允许黑客获取访问权限,从而控制用户账号,受漏洞影响的账号数量高达5000万个。 有分析人士称,隐私问题拖得时间越久,Facebook的核心业务就越可能会受到影响。   稿源:新浪科技,封面源自网络;

Firefox 新增预警功能,自动提醒用户网站有过数据泄露

Mozilla 近日宣布 Firefox Quantum 浏览器新增了一项新的安全功能,在用户访问以前存在数据泄露的网站时会自动显示来自 Firefox Monitor 的警告。 该功能旨在提醒用户可能存在的问题,并建议他们检查自己的电子邮件,看看是否有遭到泄露。 当出现警报时,用户可单击 Check Firefox Monitor 按钮转到 Firefox Monitor 站点,或单击 Dismiss 按钮关闭警报,也可以单击向下箭头选择 “never show Firefox Monitor alerts ” 以禁用此功能。 根据 Mozilla 的说法,该预警功能并非侵入性的,每个站点最多只出现一次,而且仅针对过去12个月内有出现过数据泄露事件的网站。 Firefox Monitor 是一项免费的隐私数据泄露通知服务。要使用它,只需访问 Firefox Monitor 网站并提交电子邮件地址即可。它通过和 “Have I Been Pwned” 中超过31亿个已确认出现安全问题的庞大数据库进行比对,在发现问题时及时提醒用户。   稿源:开源中国,封面源自网络;

研究发现了七个新的“幽灵”与“熔毁”安全漏洞 现有补丁或可抵御

针对 CPU 底层设计缺陷的“幽灵”(Spectre)和“熔毁”(Meltdown)漏洞,让科技界陷入了相当尴尬的境地。为了应对这类特殊的安全威胁,业界协同使出了空前的努力,并推出了相应的补丁 —— 即便可能造成性能上的一定损失。遗憾的是,后续又不断有新的变种曝光。本文要介绍的,就是由 9 人研究团队发现的 7 种新式攻击手段。 由概念演示代码可知,其中两种攻击利用了‘熔毁’漏洞: Melrdown-BR 可利用 AMD 与 Intel 处理器中的 x86 指令路径,而 Meltdown-PK 仅能绕过英特尔处理器上的内存保护密钥。 实际上,研究人员开发出了 8 种‘熔毁’漏洞攻击手段,但尚未让剩余的 6 种攻击手段发挥作用。 其余五个新漏洞都属于‘幽灵’变种,它们会影响 Intel、AMD、ARM 处理器。 其中有两个利用了分支目标缓冲区(Branch Target Buffer)、另三个则利用了模式历史表(Pattern History Table)。 研究人员已向各大芯片供应商通报了上述攻击,但收到的答复并不能让他们满意 —— 英特尔觉得没必要推送新的补丁、AMD 甚至不承认相关结果。 英特尔发表声明称,文章中纪录的漏洞,可通过部署现有的缓解措施来完全克服。 保护客户仍是我们的首要人物,在此要感谢格拉茨科技大学、imec-DistriNet、KU Leuven、以及威廉玛丽学院等团队正在进行的研究。 根据他们的研究,一些现有的补丁‘可能有用’,但不全然如此。 然而英特尔声称,他们的实验过程存在错误,在现实情境下无法成功实施攻击。 即便如此,研究人员还是决定忽略英特尔方面的说辞,在研究论文(PDF)中概述了如何修补上述漏洞。 【PS】“幽灵”漏洞打破了不同应用程序之间的隔离,即便是遵循最佳实践的无 bug 程序,其秘密亦有可能被泄露于攻击者面前。 尽管目前尚未有利用‘幽灵’或‘熔毁’漏洞发起的实际攻击报告,但我们还是推荐大家努力将设备保持在最新状态,以封堵这方面的隐患。 [编译自:TechSpot]     稿源:cnBeta.COM,封面源自网络;