分类: 国际动态

印度 IT 公司 7 年入侵 1 万多电邮账户 多国政要被殃及

北京时间6月10日早间消息,据路透社报道,一家鲜为人知的印度IT公司为客户提供黑客服务,在7年时间里对全球超过1万个电子邮件账户进行入侵。根据该公司的三名前员工披露的信息以及外部研究人员的报告和网上的种种证据,总部位于新德里的BellTroX信息技术服务公司专门瞄准欧洲的政府官员、巴哈马的博彩大亨和以及包括美国私募股权巨头KKR和做空机构浑水在内的著名投资机构。 5名知情人士表示,BellTroX针对美国目标发动的黑客行动正在面临美国执法部门的调查。但美国司法部拒绝置评。 目前还不清楚BellTroX客户的身份。但该公司的所有者苏米特·古普塔(Sumit Gupta)拒绝在电话采访中透露客户身份,并否认存在任何不当行为。  浑水创始人卡尔森·布洛克(Carson Block)说,“得知我们可能成为BellTroX客户的入侵目标时,我感到失望,但并不惊讶。”KKR拒绝置评。 互联网监督组织Citizen Lab的研究人员花费了两年多时间摸清了黑客使用的基础设施。这些研究人员周二发布报告称,他们“充分相信”BellTroX的员工充当了间谍活动的幕后黑手。 “这是有史以来受雇开展的规模最大的间谍活动之一。”Citizen Lab研究员约翰·斯科特-莱尔顿(John Scott-Railton)说。 他表示,尽管与获得国家支持的间谍组织或者引人关注的网络盗窃案相比,“网络雇佣军”并未得到太大关注,但这些服务却得以广泛使用。“我们的调查发现,没有任何领域可以幸免。” 路透社通过查看数据缓存深入研究了这项活动,结果显示,BellTroX在2013至2020年间发送了成千上万条旨在诱骗受害者透露密码的消息。该数据是由黑客使用的网络服务提供商匿名提供给路透社的,在此之前,路透社曾经警告这些公司,他们平台上的活动存在异常。 该数据相当于一份“黑名单”,列出了攻击目标和攻击时间。路透社通过与受攻击的目标收取的电子邮件进行对比,验证了这些数据的真实性。 名单包含南非的法官、墨西哥的政治人物、法国的律师和美国的环保组织。这几十个人只是BellTroX数以千计攻击目标中的一小部分,他们均未作出回应或拒绝发表评论。 目前还无法确定究竟有多少次黑客入侵活动取得成功。 BellTroX的古普塔在2015年的一次黑客案中遭到起诉,该案中有两名美国私家侦探承认向他支付费用,以入侵营销高管的帐号。古普塔在2017年被宣布为逃犯,但美国司法部拒绝评论此案当前的状况,也拒绝透露是否已提出引渡请求。 古普塔在他位于新德里的家中通过电话否认了黑客入侵行为,他还表示执法部门从未与他联系。他说,他在私家侦探向其提供登录详细信息后,才帮助他们从电子邮件收件箱中下载了消息。 “我没有帮助他们获取任何东西,我只是帮助他们下载邮件,他们向我提供了所有详细信息。”他说,“我不知道他们如何获得这些详细信息,我只是为他们提供了技术支持。” 路透社无法确定私家侦探为什么会要求古普塔帮助他们下载电子邮件。古普塔没有回复后续消息,而当路透社记者周一前往他的办公室拜访时,也一再遭到拒绝。德里警方和印度外交部发言人没有发表评论。 伪装邮件 根据路透社查看的数据,BellTroX在德里西部某零售综合体的一家已经关闭的茶摊上方的小房间内开展活动,他们用数以万计的恶意电子邮件对目标展开“轰炸”。有些信息会伪装成攻击目标的同事或亲人,还有的邮件则伪装成Facebook登录请求或色情网站退订邮件。 法哈米·奎德(Fahmi Quadir)在纽约的做空机构Safkhet Capital是BellTroX于2017年至2019年间瞄准的17家投资机构中的一家。她说,在她发起基金后不久,就注意到2018年初的电子邮件数量激增。 最初“似乎不是恶意邮件,”奎德说,“只是占星术之类的内容。然后变成色情内容。” 最终,黑客们又加大了攻击力度,向她发送了看似可信的信息,伪装成她的同事、家人或其他做空机构。奎德说:“他们甚至想假冒我的姐妹。”但她认为攻击并没有成功。 美国游说组织也屡次成为目标。其中包括数字版权组织Free Press和Fight for the Future,这两个组织都为网络中立原则展开游说。这些组织表示,少数员工帐户遭到入侵,但更广泛的网络并未受到影响。电子前沿基金会曾在2017年的报告中详细阐述了这些组织遭到的攻击,但并没有公开将此与BellTroX联系起来。 Free Press主任蒂莫西·卡尔(Timothy Karr)说,“每当我们参与激烈且备受瞩目的公共政策辩论时,攻击行为就会增加。”Fight for the Future副主任埃文·格里尔(Evan Greer)说:“如果企业和政客可以雇用数字雇佣兵来瞄准公民社会组织,就会破坏我们的民主进程。” 尽管路透社无法确定是谁雇用了BellTroX来进行黑客攻击,但该公司的两名前雇员表示,他们及其他类似公司通常会与私家侦探签约,而这些私家侦探的幕后老板其实是受攻击者的商业或政治竞争对手。 圣迭戈私家侦探公司Bulldog Investigation的巴特·桑托斯(Bart Santos)表示,他们就曾经收到了来自印度的黑客服务广告,其中有一个人自称是BellTroX的前雇员。这些广告号称可以提供“数据渗透”和“电子邮件渗透”服务。事实上,有十余家欧美私家侦探都表示曾经收到过类似的广告。 桑托斯说,他并没有理睬这些广告,但他可以理解为什么有些人会花钱雇佣这些公司。“印度人在客户服务方面声誉很好。”他说。     (稿源:新浪科技,封面源自网络。)

IBM 开源 FHE 工具包,在数据处理过程中也能进行加密

现代加密技术令人们可以在传输和存储过程中保护敏感数据,但在数据处理时,却几乎无法对其进行保护。而完全同态加密(Fully Homomorphic Encryption,FHE)技术能够解决这一难题,它允许在保持加密状态的情况下对数据进行操作,最大程度上降低了数据暴露的风险。 起初,允许对加密数据进行处理的密码方案仅限于部分同态方案,该方案只能支持一种基本操作,即加法或乘法,无法同时支持两者。2009 年,IBM 在这方面取得了重大进展,并发明了完全同态加密,它同时支持两种基本操作,因此可以在不访问数据的情况下进行数据处理。结合其他技术,FHE 还可以有选择地限制解密功能,人们只能看到他们有权访问的文件部分。近年来,由于算法的发展,完全同态加密已达到拐点,其性能正在变得更加实用。 FHE 在许多用例中都具有重大前景,包括但不限于:从私人数据中提取价值(例如分析用户数据)、数据集交集、基因组学分析、不显示意图的查询和安全的外包。IBM 指出,FHE 特别适合金融和医疗保健等行业,因为该技术可以广泛共享财务信息或患者健康记录,同时限制了对除必要数据以外的所有数据的访问。 但 FHE 的要求会使开发者所习惯的编程范例发生变化,将它集成到应用程序中不是一件易事。因此,IBM 开发并开源了一套工具包,帮助开发人员简单、快速地启用这项技术。 目前,适用于 MacOS 和 iOS 的新 FHE 工具包已发布,Linux 和 Android 的将于数周之内提供。根据 IBM 的介绍,每个工具包都基于 HELib(世界上最成熟、功能最全的加密库),其中包含一些示例程序,可简化基于 FHE 的代码的编写。iOS 工具包还提供了对加密数据库的隐私保护搜索的简单演示。 IBM 表示,希望尽快将这项技术推出去,交付给早期采用者;希望在建立用户和用例社区时,这些概念变得不那么抽象,更具体。     (稿源:开源中国,封面源自网络。)

Zoom 并未给免费用户提供端到端加密 “以防有人将其用于不良目的”

由于COVID-19迫使更多的人在家办公,Zoom的使用量迅猛攀升,导致人们对这款视频会议工具的安全性和隐私性产生了极大的兴趣。端到端加密的缺失是很多用户最关心的问题,但在最近收购Keybase之后,Zoom CEO袁征(Eric S.Yuan)表示,将 “帮助我们建立能够达到当前Zoom扩展性的端到端加密”。 不过据外媒报道,Zoom只是给其付费用户提供端到端加密。任何使用免费账户的人都将无法获得该功能。为什么这么说呢?袁征解释说,”我们也希望与FBI、与当地执法部门合作,以防有人将Zoom用于不良目的”。 这个说法是在一次财报电话会议上提出的。在谈及付费用户端到端加密的到来时,袁征表示:“我们肯定不想给免费用户提供该服务,因为我们也想和FBI、和地方执法部门一起合作,以防有人将Zoom用于不良目的。” 隐私组织Privacy Matter发推文回应了这一消息。 来自Fight for the Future的隐私倡导者Evan Greer表示: 基本的安全性不应该是一个高级功能,这只是提供给富有的个人和大公司。该公司表示,只有在你支付额外费用的情况下,他们才会保证你的通话安全,这实在是太恶心了。 Zoom一位发言人告诉《卫报》:“我们不会与执法部门分享信息,除非是在儿童性虐待的情况下。我们没有后门,任何人都可以在不被他人看到的情况下进入会议。这些都不会改变。”他还指出,该公司不会“主动监控会议内容”。     (稿源:cnBeta,封面源自网络。)

澳大利亚黑客在 Twitter 上发布苹果员工机密信息后被判缓刑

一名澳大利亚男子因从苹果公司的服务器中提取员工资料并在Twitter上发布,被判处5000澳元的罚款和18个月的观察期。据Bega地区新闻报道,24岁的Abe Crannaford周三在伊甸园当地法院出庭接受宣判,此前他在2月份对两项未经授权访问或修改受限数据的罪名表示认罪。 在2017年中和2018年初,Crannaford从这家总部位于美国的大型企业中提取了仅针对员工的受限信息。2018年1月,Crannaford在其Twitter账号上发布员工信息,并据称在GitHub上提供了该公司固件的链接,让这起黑客事件达到了高潮。 裁判官道格-迪克对他处以5000美元的罚款,然而他并没有对Crannaford进行判刑,而是给予他18个月的观察期,如果在观察期内违反了相关规定,将导致额外的5000美元罚款。 Crannaford的辩护律师Ines Chiumento辩称,苹果公司通过其赏金计划奖励寻找漏洞和bug的黑客,在某种意义上 促进了黑客的发展。检察官承认苹果公司存在悬赏计划,但称Crannaford多次入侵网站,并与他人共享受限数据,苹果公司的悬赏的概念与Crannaford的行为背道而驰。     (稿源:cnBeta,封面源自网络。)

五角大楼使用创企研发的 Mayhem 工具搜索软件 Bug

据《连线》(Wired)杂志报道,去年年底,互联网基础设施公司Cloudflare的安全工程师David Haynes发现自己正盯着一张奇怪的图像。“那纯粹是胡言乱语,”他说。“一大堆灰黑色的像素,由机器制造出来的。”他拒绝分享图片,称这将是一个安全风险。Haynes的谨慎是可以理解的。这张图片是由一个名为Mayhem的工具创建的,该工具可以探测软件以发现未知的安全漏洞,由卡内基梅隆大学的衍生创企ForAllSecure制作。 Haynes一直在Cloudflare软件上进行测试,该软件可以调整图片的大小以加快网站的速度,并向它提供了几张照片样本。Mayhem将它们变异成了一些不正常的的图片,通过触发一个不被注意到的bug,使照片处理软件崩溃,这个漏洞可能会给付费给Cloudflare以保持网站正常运行的客户带来问题。 此后,Cloudflare将Mayhem作为其安全工具的标准配置。美国空军、海军和陆军也使用了它。上个月,五角大楼授予ForAllSecure一份4500万美元的合同,让Mayhem在整个美军中推广使用。该部门有大量的Bug可供查找。2018年的一份政府报告发现,国防部在2012年至2017年期间测试的几乎所有武器系统都存在严重的软件漏洞。 Mayhem还不够精密,不足以完全取代人类漏洞查找员的工作,他们利用软件设计知识、代码阅读技巧、创造力和直觉来寻找漏洞。但ForAllSecure联合创始人兼CEO David Brumley表示,该工具可以帮助人类专家完成更多的工作。世界上的软件有更多的安全漏洞,专家们没有时间去发现,而每分钟都有更多的漏洞出现。“安全并不在于是否安全或不安全,而在于你的行动速度有多快。”Brumley说。 Mayhem起源于2016年在拉斯维加斯一家赌场举行的一场不寻常的黑客大赛。数以百计的人到场观看由五角大楼的研究机构Darpa主办的网络大挑战赛。但舞台上没有一个人,只有七台电脑服务器。每台服务器上都有一个机器人,它试图发现并利用其他服务器的漏洞,同时也发现并修补自己的漏洞。8个小时后,由Brumley所带领的卡内基梅隆大学安全实验室团队制作的 “Mayhem “获得了200万美元的最高奖项。 目前仍是卡内基梅隆大学教授的Brumley说,这段经历让他相信,他的实验室创造的东西在现实世界中可以派上用场。他抛开了团队的机器人的进攻能力,认为防御更重要,并着手将其商业化。“网络安全挑战赛( Cyber Grand Challenge)表明,完全自主安全是可能的。”他说。“计算机可以做得相当不错。” 以色列等国政府都提出了合同,但ForAllSecure与美国政府签约。它得到了国防创新部门的合同,这是五角大楼的一个小组,试图将新技术快速引入美军。ForAllSecure受到了挑战,通过寻找美军使用的军用变体商用客机的控制软件中的漏洞来证明Mayhem的能力。在几分钟内,这个自动黑客就发现了一个漏洞,该漏洞随后被飞机制造商验证并修复了。 Mayhem发现的其他漏洞还包括今年早些时候在数百万台网络设备中使用的OpenWRT软件中发现的一个漏洞。去年秋天,该公司的两名实习生从Netflix的漏洞赏金计划中获得了一笔奖金,因为他们利用Mayhem发现了软件中的一个漏洞,该软件可以让人们将视频从手机发送到电视上。 Brumley表示,汽车和航空航天公司对这个工具的兴趣特别浓厚。汽车和飞机对软件的依赖性越来越强,而这些软件需要多年的可靠运行,而且很少更新。 Mayhem只针对基于Linux操作系统的程序,发现漏洞的方式有两种,一种是随机的,另一种更有针对性。第一种称为模糊测试,它涉及到用随机生成的输入(如命令或照片)轰炸目标软件,并观察是否有触发可利用的漏洞。第二种被称为符号执行,涉及到创建一个目标软件的简化数学表示。可以对这个被简化的替身进行分析,以确定真实目标中的潜在弱点。 近几年来,模糊测试工具在计算机安全领域的应用越来越广泛。去年,谷歌发布了一个模糊测试工具,并表示已经在其Chrome浏览器中发现了16000多个Bug。但Cloudflare公司的Haynes表示,该技术在行业内仍未得到普遍使用,因为模糊测试工具通常需要对每个目标程序进行太多仔细的调整。他说,ForAllSecure精心打造的Mayhem更具适应性,让Cloudflare可以更常规地使用模糊测试。Haynes说,符号执行可以找到更复杂的Bug,之前主要是在研究实验室中使用。 亚利桑那州立大学教授Ruoyu Wang希望Mayhem只是计算机安全领域更自动化的未来的开始,但他说,这将需要bug查找机器人与人类进行更多的合作。 Mayhem表明,自动化可以做有用的工作,Wang说,但现有的自动寻找漏洞的机器人在复杂的互联网服务或软件包中不能起到多大的作用。最好的软件还远远不能像人类那样聪明到理解程序的意图和功能。Mayhem比任何人类更快地尝试很多不同的东西的能力都无法替代。“很多自动查找漏洞的难点问题,现在还远远没有解决。”Wang说。 Wang曾是一个名为Mechanical Phish的团队的一员,该团队在2016年Darpa锦标赛上获得了第三名。他现在正在从事该机构的一个名为CHESS的新研究项目,试图制造出更强大的Bug查找软件。“现在,最先进的自动化不知道什么时候会遇到障碍,”Wang说。“它应该意识到这一点,并向人类咨询。”   (稿源:cnBeta,封面源自网络。)

NSA发警告:俄黑客组织 Sandworm 渗入 MTA Exim 已有数月时间

据外媒报道,本周,美国安局(NSA)警告公众,俄罗斯军方网络行为者至少已经利用一个版本的电子邮件软件长达数月之久。据悉,这个受影响的邮件系统是用于基于Unix的系统的MTA软件–Exim mail。该软件默认安装在许多Linux发行版中。 虽然这个漏洞的原始补丁早在去年已经发布,但许多计算机在运行Exim时仍没有安装这个补丁。 据了解,漏洞代码为CVE-2019-10149,其允许远程攻击者在知道该漏洞的情况下执行他们选择的命令和代码。 根据NSA发布的文件,利用这一漏洞发起攻击的俄罗斯组织是Sandworm。他们认为这些俄罗斯网络行动者来自GRU特殊技术中心(GTsST) 74455小组。这些俄罗斯行为者被指通过利用该漏洞增加特权用户、禁用网络安全设置、执行额外的脚本来进一步利用网络,可以说几乎能够实现任何攻击者的梦想访问,而他们要利用的就是未打补丁的Exim MTA版本。 据了解,针对该漏洞的补丁是在几个月前发布的并且当时还有一份来自Exim开发人员的警告。现在,NSA确定他们也已经警告过公众。 随着这些信息的发布,NSA表示,他们将会在未来通过其Twitter账号@NSAcyber公布更多相关的网络安全产品发布和技术指导。     (稿源:cnBeta,封面源自网络。)

黑客组织”匿名者”放言揭露美警察罪行 攻击明州警局

6月1日消息,据国外媒体报道,当地时间上周六晚上,明尼阿波利斯警察局网站自开始有遭到黑客攻击的迹象。几天前,一段据称来自黑客组织“匿名者”(Anonymous)的视频表示,将对乔治·弗洛伊德(George Floyd)在被捕期间遭白人警察 “压颈”后死亡这一事件进行报复。 上周六美国各地城市的抗议者上街游行,反对警察针对黑人的暴力行为。明尼阿波利斯警察局和明尼阿波利斯市的网站暂时无法访问。 到周日上午,这些页面有时会要求访问者提交“验证码”,以验证它们不是机器人。这种工具被用来减缓黑客对网站的攻击。 明尼阿波利斯警察局和市政府的官员没有立即回复置评请求。5月28日,黑客组织“匿名者”在Facebook页面上发布了一段针对明尼阿波利斯警方的视频,在其中指责警方有“可怕的暴力和腐败记录”。 演讲者穿着连帽衫,戴着面具,在视频结尾说,“我们不信任你们这种腐败的组织来执行正义,所以我们将向世界揭露你们的许多罪行。”我们是一个团体。请拭目以待。” 上周末,这段视频在Facebook上被浏览了近230万次。在此期间,抗议者与美国警察执法部门以及国民警卫队发生冲突,暴力事件席卷整个美国。 一些示威活动演变成了骚乱。一些城市实行宵禁,警察有时用橡皮子弹和橡胶棒对付活动人士和报道抗议活动的记者。     (稿源:网易科技,封面源自网络。)

谷歌推出专门网站 帮助人们避免网上诈骗

谷歌周四公布了一个网站,旨在教人们如何发现和避免网上诈骗,因为在冠状病毒大流行的情况下,数字骗局达到了高潮。这家名为Scamspotter.org的网站试图向人们展示如何识别虚假的医疗检查、假的疫苗优惠或其他虚假的医疗信息。该网站还强调了某些典型的骗局模式,比如恋爱诈骗者要求目标人物给他们汇款或给他们买礼品卡。 谷歌与致力于帮助网络欺诈受害者的非营利组织“网络犯罪支持网络”(Cybercrime Support Network)合作推出了这一网站。该网站包括一个小测验,通过常见的诈骗场景,比如收到一条关于赢得夏威夷之旅的消息,通过这个小测验来测试用户反欺诈的能力。 谷歌表示,这项工作是在骗子们以 “惊人的速度 “利用了新冠疫情的情况下进行的。美国人因为COVID-19相关的骗局,已经损失了超过4000万美元。联邦贸易委员会预计,今年将因冠状病毒相关或其他方面的诈骗而损失的金额将超过20亿美元。 本月早些时候,美国联邦贸易委员会警告公众关于相关联系人追踪的短信诈骗,这些骗局要求提供个人信息,如社会安全号、银行账户或信用卡号码等。谷歌和苹果公司已经发布了自己的联络人追踪工具。 谷歌表示,该网站特别针对教育老年人,他们因为诈骗而损失的钱比其他年龄段人多得不成比例。该公司敦促年轻人与生活中的老年人分享网站上的防诈骗信息。     (稿源:cnBeta,封面源自网络。)

Clearview AI 因未经授权收集人像数据而遭到起诉

鉴于伊利诺伊州率先在美启用了有关生物特征测定的隐私保护法律,ACLU 已将未经授权收集人像数据的 Clearview AI 公司告上了法庭。据悉,Clearview AI 涉及在几个月的时间里,从互联网上收集了超过 30 亿张人脸照片。根据周四公布的消息,本次诉讼的共同发起者还包括伊利诺伊公共利益研究小组、以及芝加哥的反性剥削联盟。 《纽约时报》在今年 1 月揭开了 Clearview AI 的灰暗面,报道中详细介绍了该公司计划如何使用人脸识别技术,然而其庞大的数据库却来自 Instagram、YouTube、LinkedIn 等社交媒体平台的未经授权收集。 之所以在伊利诺伊州发起诉讼,是因为目前只有该州通过了《生物识别信息隐私法案》,要求企业必须在使用包括面部识别等个人生物特征信息前获得知书面授权。今年 1 月的时候,Facebook 就已经支付过 5.5 亿美元的和解赔偿金。 ACLU 在一份声明中称,Clearview AI 的所作所为,正是立法机构需要应对的隐私威胁,同时呼吁其它州迅速跟进制定类似的法律。 此外 BuzzFeed News 获得的资料显示,警方正在使用 Clearview AI 来识别性工作者,且该公司一直在向美国移民与海关执法局、以及沃尔玛等私营企业提供面部识别工具。 为了提起本次诉讼,ACLU 特地与 Edelson PC 律师事务所达成了合作,后者曾参与今年 1 月落定的针对社交媒体巨头 Facebook 的面部识别诉讼。 目前原告方正寻求伊利诺伊州的法院命令,以迫使 Clearview AI 删除未经同意手机的该州居民的照片、并停止收集新的照片,直到其行为符合《生物识别信息隐私法案》的要求为止。     (稿源:cnBeta,封面源自网络。)

为防受邮件漏洞影响 德国 BSI 敦促 iPhone 用户尽快安装安全更新

据外媒报道,德国联邦安全局(BSI)敦促iPhone用户尽快安装苹果发布的最新安全更新以解决邮件应用中存在的一个关键漏洞。据悉,这一安全漏洞由网络安全组织ZecOps发现,据信从3.1.3开始的所有版本的iOS操作系统都在受影响范围内。这意味着最新一代的iPhone也很容易受到攻击。 攻击者可以通过该漏洞访问用户邮件应用中的内容。 苹果已经在上周发布的iOS 13.5解决了这一漏洞,现在BSI希望每个人都尽快安装这个新版本。 BSI日前在更新的信息中写道:“苹果已经发布了iOS 12.4.7、iOS 13.5和iPadOS 13.5的安全更新,它们解决了所有受影响iOS版本的漏洞。由于漏洞的严重性,BSI建议立即将相应的安全更新应用于所有受影响的设备。iOS邮件应用在更新后可以再次使用。” 然而重要的是,尽管苹果承认存在这些问题,但这家公司表示,仅凭这些还不足具备访问邮件应用数据的能力。 据悉,想要安装iOS 13.5更新的用户可以前往设置>通用>软件更新,然后在安装完成后重启设备即可。     (稿源:cnBeta,封面源自网络。)