内容转载

= ̄ω ̄= 内容转载

WordPress 插件漏洞被利用 近 20 万站点还没打补丁

攻击者正在利用两个广泛使用的 WordPress 插件中的严重漏洞,以入侵托管站点,影响站点数量众多。 前几天我们才报导过流量排名前一千万网站,三分之一使用 WordPress,这么广泛的采用,一旦其中有安全漏洞被利用,影响会相当广。 被利用的两个插件,其中之一是 Easy WP SMTP,最早由安全公司 NinTechNet 在上周日报导了其被利用进行攻击,数据显示有 300 000 次下载安装;另一个插件是 Social Warfare,已经被安装了 70 000 次,它的利用是由另一家安全公司 Defiant 披露的。 两个插件漏洞都允许攻击者在受攻击的网站上创建恶意管理员帐户。据 Defiant 报导,有两个竞争组织正在实施攻击,其中一个在创建管理员帐户后暂时停止操作,而另一个组织则会进行后续步骤,其会使用虚假帐户更改站点,将访问者重定向到恶意站点。 有趣的是,这两个攻击组织使用了相同的代码用于创建管理员账户,而且这些代码源于最初 NinTechNet 在披露插件漏洞时使用的概念验证代码。不打补丁中招的成本也太低了。 据 arstechnica 的报导,虽然开发人员已经针对这两个被利用的漏洞发布了安全补丁,但是下载数据表明许多易受攻击的网站尚未安装更新,Easy WP SMTP 在过去 7 天内的下载量仅为 135 000次,而 Social Warfare 补丁自周五发布以来,也仅被下载了少于 20 000 次。 安全事大,如果你的网站托管在 WorPress 上,并且使用了这两个插件中的任一一个,那么需要确保已将其更新为:Easy WP SMTP 1.3.9.1 或 Social Warfare 3.5.3。     (稿源:开源中国社区,封面源自网络。)

华硕回应 Live Update 软件漏洞:仅数百台受到影响

来自卡巴斯基实验室(Kaspersky Labs)的安全研究人员周一表示,他们发现去年黑客通过华硕Live Update软件的漏洞入侵计算机,向100多万华硕电脑用户发送了恶意软件,导致这些电脑可能存在后门。据台湾地区媒体《中时电子报》报道,华硕今天下午表示,此事件已在华硕的管理及监控之中。 华硕称,媒体报道华硕Live Update工具程序(以下简称Live Update)可能遭受特定APT集团攻击,APT通常由第三世界国家主导,针对全世界特定机构用户进行攻击,甚少针对一般消费用户。经过华硕的调查和第三方安全顾问的验证,目前受影响的数量是数百台,大部份的消费者用户原则上并不属于APT集团的锁定攻击范围。 华硕表示,Live Update为华硕笔记本电脑搭载的自动更新软件,部份机型搭载的版本遭黑客植入恶意程序后,上传至档案服务器(download server),企图对少数特定对象发动攻击,华硕已主动联系此部份用户提供产品检测及软件更新服务,并由客服专员协助客户解决问题,并持续追踪处理,确保产品使用无虞。 针对此次攻击,华硕已对Live Update软体升级了全新的多重验证机制,对于软体更新及传递路径各种可能的漏洞,强化端对端的密钥加密机制,同时更新服务器端与用户端的软件架构,确保这样的入侵事件不会再发生。   (稿源:新浪科技,封面源自网络。)

黑客劫持了华硕软件更新服务器 在数千台电脑上安装后门

网络安全公司Kaspersky表示,去年在攻击者破坏了Asus华硕实时软件更新工具的服务器之后,作为世界上最大电脑制造商之一的华硕无意中在其数千台客户电脑上安装了恶意后门。Kaspersky表示,恶意文件使用了合法的华硕数字证书,使其看起来像是该公司真正的软件更新。 华硕是一家总部位于台湾价值数十亿美元的电脑硬件公司,生产台式电脑,笔记本电脑,移动电话,智能家居系统和其他电子设备,去年在被发现之前,至少已经向客户推送后门五个月时间。 研究人员估计有50万台Windows电脑通过华硕更新服务器接收了恶意后门,尽管攻击者似乎只利用了其中大约600台电脑。恶意软件通过其唯一的MAC地址搜索目标系统,恶意软件会联系到攻击者操作的命令和控制服务器,然后在这些电脑上安装其他恶意软件。 Kaspersky表示,他们在一月份发现了这一攻击,因为他们在扫描工具中添加了一种新的供应链检测技术,可以捕捉隐藏在合法代码中的异常代码片段,或者捕捉在电脑上劫持正常操作的代码。该公司计划下个月在新加坡举行的安全分析师峰会上发布一份关于华硕这次攻击的完整技术文件和演示文稿,并将这种攻击取名为“ShadowHammer”。 当研究人员在1月份联系华硕时,华硕向Kaspersky否认其服务器遭到入侵,并表示恶意软件来自互联网。但Kaspersky表示其收集的恶意软件样本的下载路径直接通向华硕服务器。     (稿源:cnBeta,封面源自网络。)

HMD 回应 Nokia 7 Plus 事件:从未向第三方共享用户数据

日前有诺基亚手机的非中国用户发现,手机会向域名 http://zzhc.vnet.cn 发送未加密的数据包。数据包含了地理位置、IMEI、SIM 卡号和 MACID。vnet.cn 域名的注册人是 CNNIC,但 CNNIC 表示它实际上属于中国电信。对此HMD在官方博客中做出回应,表示这是由于固件错误导致,目前已在更新固件移除了相关软件包。 HMD Global表示表示只有单个批次的 Nokia 7 Plus 设备受到影响,包含了向中国电信服务器发送数据的软件包。该软件包会在手机启用、解锁、从休眠恢复时候收集用户数据将其发送到中国服务器。 HMD官方回应原文如下 HMD Globa一直以来非常重视消费者的隐私和安全。关于近期Nokia 7 Plus的相关新闻,在这里我们有必要向消费者说清楚这件事情,并公示我们是如何收集和存储数据的。 在对手头上的案例进行深入调查之后,我们可以确定并没有向第三方共享任何个人的隐私信息。在分析之后我们发现,单个批次的Nokia 7 Plus的手机软件包中错误的包含了面向中国地区的设备激活软件。由于这个错误,错误的将这些数据发送给第三方服务器。 但是这些数据从未被处理过,也无法根据这些数据识别出任何人。而且要强调的是,HMD从未和任何第三方共享任意用户的个人身份信息。通过将客户端切换至正确的国家和地区,已经于2019年2月修复了这个错误。所有受影响的设备都已收到此修复程序,几乎所有设备都已安装它。如果您想检查诺基亚7 Plus是否已收到安全修复程序,可以根据文章下方的步骤进行查看。 在事件发生之后,市面上有一些关于诺基亚手机和第三方服务器共享类似数据的猜测。对此我们可以明确表示这些猜测都是不正确的,诺基亚的手机未来也不会发生这样的事情。除中国市场之外的诺基亚所有设备数据都存储在由Amazon Web Services提供支持、位于新加坡的服务器上的。 HMD Global一直严苛对待消费者的安全和隐私,并遵守所有适用的隐私条款,而且我们是遵循法律合法收集和存储这些数据。关于设备信息收集的详细说明我们会另行详细介绍。我们鼓励消费者尽可能熟悉这些信息,以了解他们的信息被收集和使用的。再次强调的是,HMD Global非常注消费者的隐私和安全。   相关文章: 诺基亚手机被发现向中国电信服务器发送设备识别码 HMD Global 称固件错误导致手机向中国服务器发送设备数据   (稿源:cnBeta,封面源自网络。)

Pwn2Own 2019 黑客竞赛首日:Mac 版 Safari 浏览器再曝两个零日漏洞

本周,第 19 届 CanSecWest 安全会议正在加拿大温哥华举行,同时我们迎来了一年一度的 Pwn2Own 黑客竞赛。周三开始的竞赛中,安全研究人员 Amat Cama 与 Richard Zhu 携手,率先曝光了两个与 Mac 版 Safari 浏览器有关的零日漏洞。其成功地利用了整数堆栈溢出的暴力技术组合来逃离沙箱,获得了 5.5 万美元的奖金。 当天晚些时候,又有三位黑客(Niklas Baumstark、Luca Todesco、以及 Bruno Keith)成功地借助内核提权,攻破了 Safari 浏览器。 尽管他们展示了一套完整的访问,但只能算是部分胜利,因为据说苹果已经知晓了演示的其中一个漏洞。不过最终,他们还是拿到了 4.5 万美元的奖金。   Pwn2Own Vancouver 2019 – Day One Results(via MacRumors) 据悉,在 Pwn2Own 黑客竞赛的第一天,参与者们一共领走了 24 万美元的奖金。第二天的比赛正在进行中,期间发现的所有漏洞报告,都会提交给原公司,以便其对系统进行修补。     (稿源:cnBeta,封面源自网络。)

黑客通过 Google Photos 漏洞可以掌握用户位置数据

研究人员发现了一个现已修补的漏洞。通过该漏洞,黑客可以使用谷歌照片(Google Photos)跟踪您的位置历史记录。 来自网络安全公司Imperva的Ron Masas在一篇博客文章中解释说,最近受到Android TV漏洞影响谷歌照片很容易受到基于浏览器的时序攻击,通过对图像数据的利用推测对某个地方或者国家的访问时间。 要想使这种攻击起作用,用户在登录谷歌照片时必须被引导打开恶意网站,而黑客则必须投入一定的精力来进行攻击,因此这不是普遍存在的风险。 然而,正如最近发现Facebook Messenger有类似漏洞的Mases指出,基于浏览器的边信道攻击仍然经常被忽视。 “虽然谷歌和Facebook这样的大公司正在迎头赶上,”他说,“行业的大部分公司仍然没有意识到。” 了解更多: https://www.imperva.com/blog/now-patched-google-photos-vulnerability-let-hackers-track-your-friends-and-location-history/     (稿源:新浪科技,封面源自网络。)

FBI 取缔 DDoS 服务网站之后 此类攻击规模降低 85%

美国联邦调查局(FBI)在去年12月份关闭了15家全球最大的分布式拒绝服务网站,导致全球DDoS网络攻击规模降低了85%。Nexusguard(一家减轻DDoS攻击的网络安全公司)今天发布报告称,在去年12月20日FBI的DDoS专项打击活动中,查处了大量以“压力测试”为幌子出售高带宽互联网攻击服务的网站,有效遏制了这种攻击行为。 这些DDoS-for-hire网站中最出名的就是Lizard Stresser,这是由Lizard Squad(曾在2014年圣诞节对Xbox Live和PlayStation网络发起攻击的黑客组织)提供的犯罪服务。Nexusguard表示,以Stressers为代表的网站允许用户付费购买从而对特定服务发起如海啸般的网络攻击,并使其宕机一段时间。 这些攻击服务往往会利用互联网设备(例如互联网摄像头、无线路由器、智能产品甚至是云服务)中发现的漏洞,使用机器人来生成无用的网络流量来攻击服务和网站。根据卡巴斯基实验室最新的一份报告,DDoS网络每次可以使中小型企业损失12.3万美元,而针对大型企业组织的效果往往不是很明显,但是每次攻击的平均费用超过230万美元。 Nexusguard的研究表明,在FBI取缔了这些非法网站之后DDoS网络攻击规模下降了24%。该公司还认为FBI取缔的这15家服务网站占全球DDoS攻击服务的11%的。Nexusguard首席技术官Juniman Kasman表示:“成功缴获command-and-control服务器、引导程序和其他资源一直是FBI打击网络最烦的重要组成部分,但是这种打击行为依然只触及了表面。”  

谷歌 Facebook 等公司被曝在政府网站上追踪欧盟用户

新浪科技讯 北京时间3月19日凌晨消息,丹麦浏览器分析公司Cookiebot公布研究报告称,欧盟各国政府将允许包括谷歌和Facebook在内的100多家广告公司在敏感的公共部门网站上秘密跟踪公民,而这显然是违反欧盟数据保护规则的。 Cookiebot在欧盟25个成员国的官方政府网站上发现了可记录用户位置、设备和广告主浏览行为的广告追踪工具,其中法国政府网站上的广告追踪工具数量最多,共有25家不同公司在其网站上跟踪用户行为。 在22个主要政府网站的前五大追踪域名中,谷歌、YouTube和谷歌旗下DoubleClick广告平台占据了三席。 研究人员还对欧盟公共卫生服务机构的网站进行了研究,结果发现在接受分析的网站中,就堕胎、艾滋病毒和精神疾病等敏感话题寻求健康建议的人而言,他们在超过一半的网站上都遇到了商业广告追踪工具。 Cookiebot对爱尔兰卫生服务网站的15个页面进行了扫描,发现其中近四分之三页面都含有广告追踪工具;而就法国政府有关流产服务的一个页面而言,有21家不同的公司正在对这个页面进行监控。一个有关产假的德国网页遭到了63个追踪工具的监控,而在提供艾滋病病毒症状、精神分裂症和酒精中毒相关信息的卫生服务网页上则发现了谷歌DoubleClick追踪工具。 研究人员还发现,虽然很多政府都在隐私政策中提到了谷歌用于运行网站的分析cookie,但该公司并未披露任何广告相关cookie。 “任何网站都有责任将其网站上发生的任何数据收集和处理行为告知用户。”非营利组织“隐私国际”(Privacy International)的技术专家埃利奥特·本迪内利(Eliot Bendinelli)说道。“这些网站没有遵循这项基本要求,这个事实表明当前的追踪生态系统已经失控。” 许多商业追踪工具应该是通过后门访问这些公共网站的,其中包括通过ShareThis等社交共享插件进行访问。 “我们发现,在未经用户本人同意或政府不知情的情况下,很多广告技术追踪工具都通过这些插件从其他第三方渠道访问网站。”Cookiebot CEO丹尼尔·约翰森(Daniel Johannsen)说道。“虽然政府应该并没有控制或是受益于有文件证明的数据收集行为,但其仍旧允许公民的隐私权受到损害,这违反了各国政府自己制定的法律。” 行业专家称,广告技术公司正在获取访问欧盟政府网站的访客的个人数据,并将这些数据与其他来源的数据结合起来,组合成每名独立用户的详细信息,并可能将其出售给数据掮客。 “浏览历史是非常私密的信息,能表明我们担心些什么,有什么计划,对什么感兴趣,日常生活是怎样的,工作的重点是什么。”本迪内利说道。“政府网站(的问题)是特别令人关注的案例,因为这些网站提供至关重要的信息和服务,人们依赖这些信息和服务,而且往往无法选择不使用这些信息和服务。” 布鲁塞尔民权组织“欧洲数字权利”(European Digital Rights)高级政策顾问迭戈·纳兰乔(Diego Naranjo)表示,Cookiebot的调查结果引发了人们的疑问,令人质疑这些公共网站是否违反了去年刚刚生效的欧盟“通用数据保护条例”(General Data Protection Regulations)。 “我们需要欧盟数据保护官员对这一行为是否符合‘通用数据保护条例’的问题进行分析。”他说道。“在我看来,这种行为没有任何明显的法理基础,并表明在线广告追踪的问题已经变得多么普遍,需要尽快加以解决。” 谷歌表示:“我们的政策很明确:如果网站出版商选择使用谷歌网站或广告产品,那就必须获许使用与这些产品相关的cookie才行。”此外谷歌还补充称,该公司不允许出版商“根据怀孕或艾滋病毒等健康状况相关的用户敏感信息来建立目标选择清单”。 Facebook发言人称,这项调查“让那些选择使用Facebook商业工具——如‘喜欢’和‘共享’按钮或Facebook像素等——的网站凸显了出来”。 “我们的商业工具能帮助网站和应用程序扩大社区,或是使其更好地了解人们如何使用它们的服务。”Facebook补充道。“Facebook认为,网站所有者有责任就哪些公司可能正在追踪用户的问题向后者发出通知。”     (稿源:新浪科技,封面源自网络。)

研究发现罗技 M185 等热门无线鼠标易受到 MouseJack 漏洞攻击

所谓全球知名的 PC 外设大厂,罗技带来了诸多深受消费者欢迎的设备,但这有时也会带来一些麻烦,比如近日曝光的 MouseJack 漏洞。安全研究人员 David Sopas 指出,鉴于罗技设备的用户基数很大,以 M185 为代表的无线鼠标,正面临着严重的安全隐患。 尽管这是一款售价仅为 25 美元(168 RMB)的非高端外设,但其品质还是相当坚固、持久、耐用的。 基于这三个卖点,M185 成为了许多人出行时的好搭档。遗憾的是,近日曝光的 MouseJack 按键注入攻击,让以罗技 M185 为代表的无线鼠标,瞬间掉入了一个难以被阻挡的漏洞陷阱中。 对于不知情的用户来说,MouseJack 是一项可被别有用心的人们轻松发起的漏洞攻击,可借助低成本的无线电设备进行,且覆盖范围可达到 100 米远。 黑客可借此控制目标计算机的鼠标,运行脚本以实现命令注入。需要指出的是,并非所有无线鼠标都受到 MouseJack 漏洞攻击的影响,比如基于蓝牙方案的无线鼠就对此免疫。 Bettercap + HID + Logitech mousejacking(via) 在 Sopas 的案例中,其演示了如何攻击自己的无线鼠标,并以 Windows 10 操作系统内置的计算器应用作为概念验证。 遗憾的是,尽管厂商可以通过发布固件更新来提升无线鼠标的安全性,但并非所有受影响的设备都可以轻松升级。 如果您不清楚自己的设备是否安全,还请翻阅这份《受影响设备清单》。传送门: https://www.bastille.net/research/vulnerabilities/mousejack/affected-devices     (稿源:cnBeta,封面源自网络。)

一家健康科技公司正在泄露大量医疗记录和处方

据外媒TechCrunch报道,一家健康科技公司在安全证书失效导致服务器没有密码后,每天泄露数千张医生药方、医疗记录和处方。这家名不见经传的软件公司来自加利福尼亚州的Meditab,自称是医院、医生办公室和药房领先的电子医疗记录软件制造商之一。该公司为医疗保健提供商处理电子传真,仍然是将患者文件共享给其他提供商和药房的主要方法。 但据发现数据的安全公司称,该传真服务器没有得到妥善保护。总部位于迪拜的网络安全公司SpiderSilk告诉TechCrunch遭泄露的服务器。自2018年3月创建以来,公开的传真服务器运行的Elasticsearch拥有超过600万条记录。 由于服务器没有密码,任何人都可以实时读取传输的传真 – 包括其内容。 根据对数据的简要回顾,传真包含大量个人身份信息和健康信息,包括医疗记录、医生药方、处方数量和数量,以及疾病信息等。传真还包括姓名、地址、出生日期,在某些情况下还包括社会安全号码和健康保险信息以及支付数据。 传真还包括有关儿童的个人数据和健康信息。没有数据被加密。   在传真服务器上找到两份泄露的文件。(图片来源:TechCrunch) 该服务器托管于MedPharm Services的子域,MedPharm Services是总部位于波多黎各的Meditab的一家分支机构,由Kalpesh Patel创立。MedPharm 作为一家独立的公司在圣胡安被分拆出来,以便为那些在岛上开展业务的人提供减税优惠。 TechCrunch通过联系几位从传真中确认其详细信息的患者来验证记录。 Patel表示,关于安全证书失效问题,该公司正在“调查问题以确定问题和解决方案”。“我们仍在审查我们的日志和记录,以查看任何潜在风险的范围,”该公司总法律顾问Angel Marrero在一封电子邮件中说。 我们询问该公司是否计划通知监管机构和客户。Marrero表示,该公司“将遵守现行联邦和州法律法规规定的任何及所有必要通知(如适用)。” Meditab和MedPharm都声称符合HIPAA,即《美国健康保险流通与责任法案》,该法案管理医疗服务提供者如何正确管理患者的数据安全。 泄露数据或违法的公司可能面临巨额罚款。 去年是“创纪录”罚款的一年 – 几次暴露和违规行为约为2500万美元,其中包括对德克萨斯大学无意中披露加密个人健康数据的430万美元罚款,费森尤斯的解决方案为350万美元。五个不同的违规行为。 美国卫生和公共服务部的发言人没有发表评论。     (稿源:新浪科技,封面源自网络。)