分类: 推荐阅读

Mozilla 将在 2017 年底淘汰 XUL 扩展

Mozilla 官方博客正式宣布 2017 年 11 月 14 日发布的 Firefox 57 将终止支持 XUL 扩展。 扩展或现有的 XUL 扩展本是 Firefox 吸引用户的一大特点,然而在采用多进程架构过程中 Mozilla 发现 XUL 扩展不支持多进程,存在性能和安全方面的问题,因此它在考虑之后决定拥抱 Google 浏览器支持的 WebExtensions 扩展技术。WebExtensions 扩展相比 XUL 扩展支持的功能较少,因此这一迁移将会导致现有的 XUL 扩展难以移植,很多流行的 XUL 扩展将被迫淘汰或终止更新,此举引发了大量 Firefox 资深用户的反感。但多进程以及新的渲染引擎 Servo 代表着未来,Mozilla 无疑明白用户的反应,它只能这么一直走下去。 根据 Mozilla 的计划:4 月 18 日发布的 Firefox 53 将默认启用多进程架构,如果浏览器安装了不支持多进程的扩展,那么浏览器将仍然使用单一进程;11 月 14 日发布的 Firefox 57 将默认只运行 WebExtensions 扩展。 稿源:solidot奇客,封面源自网络  

危险!德国网络监管局警告家长慎用连网智能玩具

德国政府监管机构联邦网络局发出警告,家长应尽快销毁一些为他们孩子设计的可连接互联网的智能玩具。该机构发现玩具中包含的技术并不安全,并且很容易被黑客攻击并且控制泄露儿童隐私。 其中一件有问题的玩具产品是 My Friend Cayla,它可以聆听儿童的问题并且连接到互联网上寻找答案。 它的工作原理非常像我们手机上的数字助理,但该设备被发现是严重缺乏安全功能。研究人员证明,攻击者可以窃听甚至通过这个玩具和儿童对话,它的蓝牙连接功能,也可以让附近的恶意人士控制 My Friend Cayla,无需和儿童在同一间房间内。 在去年年底,消费者已经因为类似原因向美国联邦贸易委员会投诉 My Friend Cayl 玩具制造商。德国监管机构发现这款玩具相当于一个隐藏的发射装置,根据德国严格的隐私法,这是非法的。销售或购买被禁止的监控系统可以最高判刑两年,因此德国政府监管机构联邦网络局鼓励父母简单地销毁这款玩具。 稿源:cnbeta,有删改,封面来源于 cnBeta

清华教授被骗 1800 万元案告破,八名台湾嫌犯落网

北京清华大学女教授被诈骗1800多万元人民币的案件告破。台中警方近日逮捕以刘姓男子为首的台湾诈骗集团 8 人,依法送办。据了解,2016 年 7 月,54 岁的北京清华大学黄姓女教授遭假冒的大陆检察院人士以微信实施诈骗,共被骗走人民币 1800 多万元。 综合中央社、中时电子报、东森新闻等台媒16日报道,台中市政府警察局清水警分局当天表示,黄姓女教授被骗的部分资金在台湾的 ATM 被取现,另发现部分款项以网络银行方式转账,嫌犯使用的 QQ 账号 IP 地址位于台湾。台湾警方追查发现,由 8 人组成的诈骗集团在犯案期间利用人头电话及通讯软件 QQ、微信等为主要联络工具,企图规避查缉。 警方 15 日兵分多路搜索,在台中西屯区一处办公大楼将 7 男 1 女共 8 人逮捕,现场查获网络设备及地下汇兑电联软件等赃物和证物。 稿源:cnbeta,有删改,封面来源于网络

谷歌早已看穿一切:尘封数年的“水族馆”报告揭示俄间谍组织 APT28

国外媒体 MotherBoard 网站分享了一份谷歌此前从未公开过的关于俄罗斯网络间谍组织 APT 28 的活动报告。该报告于 2014 年 9 月 5 日编写完成,内容主要为 Google 团队收集的俄罗斯间谍组织的活动情报。目前 Google 已经公开了这份报告。 报告的标题相当明确:“窥视水族馆”,而俄罗斯军事情报机构 GRU 的总部俗称就是“水族馆”。 2014 年 10 月 FireEye 曾发布了一份报告,将一些东欧国家的网络攻击与俄罗斯网络间谍联系在一起,并命名该组织为 ATP28 。该组织着重于收集对俄罗斯政府有用的情报,目标为美国国防承包商、欧洲安全组织和东欧政府机构。在 FireEye 发布报告之前,也有其他安全公司在调查该组织。显然,Google 也在其中并先于 FireEye 整理出报告,只是出于某种原因一直没有对外发布。此后 APT 28 也被称为 Pawn Storm、Sednit、Sofacy、Fancy Bear 、Tsar Team 。 Google 安全团队的这份 42 页关于 APT 28 活动的报告,可以说是相当的“罕见”:一方面虽然它很早的被整理好,但此前从未发表过,公众没想到谷歌竟然早已做出了有深度的威胁情报分析。另一方面谷歌很少出这种类型的分析报告,这种报告常见于威胁情报公司。 报告的数据来源于病毒分析数据共享平台 VirusTotal ,其中明确提到了恶意软件 Sofacy 和 X-Agent 被俄罗斯支持的黑客所使用,并针对前苏联国家,北约成员国和其他西欧国家。这意味着 Google 早在多年前就意识到该威胁,并在 FireEye、ESET 安全公司之前就将黑客组织与俄罗斯政府联系起来。 根据报告显示,恶意软件 X-Agent 多针对格鲁吉亚,罗马尼亚,俄罗斯和丹麦。碰巧前不久有报道称恶意软件 Xagent 已经有了新变种,除了攻击 Windows、iOS、Android 和 Linux 设备,现在还可以攻击 Mac 用户。 谷歌在报告中表示, 复杂的恶意软件 X-Agent 只被 APT 28 使用针对高优先级目标。常规情况下, APT 28 一般使用恶意软件 Sofacy 进行间谍活动。据 VirusTotal 显示,恶意软件 Sofacy 的数量是 X-Agent 的三倍且有超过 600 个不同的样本。 该报告中还包括有关 APT 28 使用的相关技术细节。总的来说,这份报告最让人印象深刻的一点就是:Google 的安全团队能够在其他威胁情报公司之前就早早识别出威胁源,并加以合理分析推测。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

雅虎就数据泄露再次向用户发出警告、收购价降低 2.5 亿美元

据美联社报道,雅虎近日继续向其用户发出警告, 称在 2015-2016 年之间公司账号可能存在黑客入侵事件,该公司相信黑客通过伪造的 Cookie 入侵用户账号。 此次大规模黑客攻击事件可能导致 10 亿用户账户数据被盗。 雅虎周三证实,该公司正在通知用户,他们的帐户可能已被入侵,但拒绝说出多少用户受到影响。 灾难性的黑客攻击事件也引起了外界对雅虎安全性的质疑。美国最大移动运营商 Verizon 原计划以 48 亿美元收购雅虎的核心业务(互联网业务、电子邮件服务以及雅虎品牌),但近日有报道称 Verizon 有意将收购价降低约 2.5 亿美元。 雅虎警告称,黑客可以通过“伪造的 cookie ”在无需输入密码的状态下入侵 Yahoo 帐号。宾夕法尼亚大学生物教授 Joshua Plotkin 表示:“在我们实验室小组的六个人中,至少有一个人收到了这封电子邮件。” 稿源:cnbeta,有删改,封面来源于网络

讲俄语的开发者创造了世界上 75% 的加密勒索软件

据卡巴斯基实验室统计,在 2016 年全球有 1445434 个用户遭到 62 个加密勒索软件家族 54000 个变种的攻击。平均每隔 10 秒就有一个普通用户遭到勒索,每隔 40 秒就有一个组织或者企业成为攻击目标。 卡巴斯基实验室统计的 2016 年勒索软件威胁 卡巴斯基实验室研究员发现, 62 个加密勒索软件家族中有 47 个是由使用俄语的开发者创建的。这个结论是基于对俄罗斯地下论坛、指挥与控制基础设施和相关文献的观察分析得出。 近年来加密勒索软件发展迅速 一方面归因于灵活且良好的地下生态系统,犯罪分子几乎不需要额外的技术和资金投入,即可借助平台分发勒索软件进行攻击并获得赎金抽成。另一方面,虚拟货币的发展(如比特币),使加密勒索攻击更容易货币化。 参与“业务”的三种类型 俄罗斯地下加密勒索市场目前为犯罪分子提供三种不同的参与方式 ·研发新的勒索软件用于销售 ·发展并支持联盟营销计划,分发勒索软件 ·作为合作伙伴参与联属计划 第一种类型的参与者处于金字塔顶端,不需要参与实际攻击,只负责开发勒索软件,但需要具有很强的代码编写技能。 第二种类型的参与者扮演着代理商的角色,负责联盟营销计划的经营(如一些犯罪社区),借助漏洞包、恶意垃圾邮件等附加工具分发勒索软件。 第三种类型的参与者处于生态链的底层,是联盟营销计划的合作伙伴,负责协助分发恶意软件,可获取赎金的部分抽成。 小结 卡巴斯基实验室还很难解释为什么这么多勒索软件家族由俄语犯罪分子开发。目前卡巴斯基正在跟踪几个专门从事加密勒索软件开发和分发的组织。他们的目标列表不仅包括普通的互联网用户,还包括中小型企业,传播范围也从俄罗斯地区蔓延向世界其他地区。 勒索软件攻击企业的方式也发生着改变。它们不再依赖于钓鱼邮件传播勒索软件。相反,它们开始攻击企业的服务器并利用开源漏洞工具传播勒索软件,并建立后门持续监控网络、识别重要文件。攻击目标也变得更加有针对性,并逐渐向大型企业转移。 此外,卡巴斯基实验室还在其博客中介绍了俄罗斯地下勒索软件市场的成本和利润之间的关系以及各层人员间的利益分配。卡巴斯基希望借此提高公众对勒索软件的危机意识做好防范工作、并为想打击勒索软件的有志人士提供参考信息。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

无人机没有防火墙或成为今年最大的安全威胁

最近一项研究显示,武装无人机已经是 2017 年最大的网络安全威胁之一。黑客可以轻松劫持一架售价不到 200 美元(约合 1370 元)的 Parrot AR drone 无人机,并将其变成恐怖的武器。 无人机与物联网设备一样缺少防火墙 与其他科技产品一样,厂商总是走一条“先污染再治理”的道路,安全问题总在出事之后才有人重视。 此前 FAA 就展示过黑进无人机多容易,Parrot、DB Power 和Cheerson 等品牌甚至连密码和加密都没有。这种现象在物联网圈也非常常见,因此去年黑客便借助这一漏洞瘫痪了半个美国的网络。 在最近的一项演示中,黑客用一台无人机黑掉了飞利浦的物联网灯泡。专家警告称,如果黑客同时控制了物联网和无人机产品,将带来一场浩劫。 无人机可以“无恶不作” 最近对于旧金山公共交通系统的攻击未来可能也会蔓延至无人机领域,一旦黑客将无人机作为勒索工具,漫天盘旋并伺机攻击的无人机可比坐不上地铁要恐怖得多,而对于旧金山公交系统的攻击让市政部门一天损失 56 万美元。 在市场占有率至上指导思想充斥整个市场的背景下,无人机制造商对安全都不屑一顾,安全问题仿佛成了他人的事。虽然 FAA 出手控制无人机,但它们对于重量的苛刻要求对黑客可不起作用。 无人机安全新创公司 Dedrone 的专家表示:“我们都对小问题不屑一顾,但事实上无人机安全问题正在不断变大。眼下,已经有人用无人机来阻断数据中心网络,有的甚至试图用冲撞来损坏数据中心的冷却系统了。此外,还有人借助无人机向监狱里私送武器。” 安全市场的新机遇 这是一个满是矛盾的世界,创新者勇往直前可以给我们带来新的体验,但也会随手制造许多麻烦。而一旦政府部门介入,又会不同程度的扼杀创新,但如果没有详细的规定,无人机这种将威胁提升到三维空间的产品又将成为整个社会的心腹大患。 在无人机厂商忙着抢占市场时,留给安全团队们的机会也在不断增多,谁先行动起来谁就能抢占先机,而那些落后者肯定会被“大雨”浇透。 稿源:cnBeta 节选;封面源自网络

工控系统将成为勒索软件下一个目标

我们目睹了一系列以 Windows 、Mac、Android 设备以及智能电视为目标的勒索软件。近年来,勒索软件将目标转向医疗机构、教育部门、市政交通以及企业,因为黑客发现通过加密企业的关键数据,使其业务、系统无法正常运行可以勒索更多的赎金。这样一个有利可图的“商业模式”不可能很快被放弃,那么它又将如何继续演变、它的下一个目标又是什么? 针对工控系统的勒索软件 佐治亚理工学院的安全研究人员对勒索软件如何潜在影响工业控制系统(ICS)进行了一项研究。他们开发了一种新型的勒索软件,并模拟勒索软件接管水处理厂的控制系统,攻击者将控制可编程逻辑控制器( PLC )并执行带有严重后果的命令。 模拟攻击旨在突出工业控制系统的漏洞,包括工业设施(如制造厂、水和废水处理设施)的控制系统,以及用于控制自动扶梯、电梯、HVAC 系统的楼宇智能管理系统。研究员将在旧金山的 RSA 会议上首次展示勒索软件入侵 PLC 设备。 研究员模拟了一个水处理设备(其中包括测试用的 PLC 、泵、管子和罐子)并模拟黑客接管了控制系统,命令可编程逻辑控制器( PLC )关闭阀门、增加水中的氯气含量、向工作人员显示虚假的操作信息。黑客可以威胁运营商支付赎金,否则就将大量的氯倒入水中。适量的氯可起到消毒作用并可安全饮用,但大量的氯会造成不良反应。 下面是工控勒索软件攻击的一般流程: 入侵工控系统 → 探测并感染 PLC 设备 → 利用弱密码等策略访问设备 → 加密、修改 PLC 上位机程序 → 索要赎金 结论 工控系统至今还没受到勒索软件影响,不是因为它们比传统网络更安全 ,而是由于网络罪犯还没有找到一个可盈利的商业模式值得让其花费时间去攻击。 近期发生的旧金山市政地铁系统感染勒索软件被迫免费开放,以及英国最大的 NHS 信托医院感染恶意软件导致电脑设备被迫离线等案例表明,攻击者开始将注意力转移到工控网络。可以想象,在这种情况下,工控勒索软件索要的赎金可能高于迄今为止所见到的案例,另一方面,攻击者承担的风险也将大大提高,因为政府机构必定会追踪他们。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

墨西哥苏打税支持者成为政府间谍软件 Pegasus 监控目标

据外媒报道,墨西哥的科学家和支持苏打税的活动家,成为了以色列公司 NSO Group 间谍软件 “Pegasus” 目标,而此前墨西哥政府曾是 NSO 公司网络武器的客户。 目标包括墨西哥国家公共健康研究院的 Simón Barquera 博士、墨西哥 Mídete 基金会主席 Luis ManuelEncarnación 、非政府组织 Power of the Consumer 的创始人 Alejandro Calvillo 。受害者都收到一系列引诱他们点击恶意链接的消息。短信的内容声称他们女儿发生了事故、父亲去世等等悲伤的内容,旨在创造恐慌氛围诱使点击链接,下载间谍软件 Pegasus 。 这三个目标都是 2014 “苏打税”的支持者,旨在通过对苏打水提高价格来限制国内含糖饮料的消费,同时公众对含糖饮料引起的健康问题越发重视。然而迫于饮料行业巨大的压力,墨西哥立法议员在 2015 年尝试将苏打税减半,但遭到公众的阻止,最终没有成功。此后,这些人员成为政府间谍软件的攻击目标。 以色列公司公司 NSO Group 自称只向政府执法机构出售间谍软件用于调查和取证。该公司补充说,它不知道其产品被用于跟踪墨西哥活动家和研究人员。但是, NSO 的间谍软件在过去几年间多次被发现针对了记者、非政府组织成员,而不是用于反恐和打击罪犯。 墨西哥数字权利非营利组织 Luis FernandoGarcía 称,这表明墨西哥政府滥用监控权利,让人们对政府产生信任危机。 对此,墨西哥驻华盛顿大使馆发言人 Ricardo Alday 在一份声明中说“墨西哥的情报系统受联邦相关立法的制约,并得到法律授权”“监控软件不是用来对付记者或活动家,联邦政府所有的采购合同都是依照法律执行的。” 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

校园网络卡顿之谜终解开,原因竟然是海鲜?

美国电信运营商 Verizon 公布的 2017 数据泄漏摘要中,讲述了一个非常离奇的校园网络故事。匿名大学 IT 安全团队成员注意到,学校网络太卡、无法连接、大量请求被驳回,通过深入调查后研究员发现竟然有多台服务器正在访问数以千计的海鲜相关的子域名。 这些充满“鱼腥味”的连接活动为服务器带来了沉重的负担,导致部分用户无法合法的进行访问。在评估不会有这么多人喜欢海鲜之后,该校安全团队联系了 Verizon 公司。 Verizon 发现每隔 15 分钟,将会有超过 5000 个系统进行海鲜相关的 DNS 查找。而大部分受感染的系统都是学校内的物联网基础设备,包括灯泡到自动贩卖机等等。显然,这所大学的错误是由于缺乏对物联网设备的管理以及使用弱密码原因所导致的。所幸的是,安全团队可以通过数据包嗅探器访问这些未加密的命令,这允许他们编写脚本来重新获得对设备的控制。 稿源:cnbeta,有删改,封面来源于网络