分类: 推荐阅读

谷歌更改警告方式,进一步提醒“可能受到国家资助的黑客组织攻击”

自 2012 年起谷歌的警告系统就向一小部分用户发出警告,提醒用户注意有政府资助黑客入侵。“ 谷歌检测到有国家资助背景的黑客正在尝试窃取你的密码。” 提示用户使用更高等级的密码和双重身份验证( 2FA )。 而在一年前,谷歌将这种警告方式改为更加不容易被注意的窗口广告条式显示方案,但是大部分可能很容易忽视这样的提升错过警告。 现在,谷歌开始向可能受影响的谷歌账号推送更明显的弹窗式警告,提示用户使用更高等级的密码和双重身份验证( 2FA )。 稿源:cnBeta ,封面源自网络

Necurs 僵尸网络卷土重来,传播内容从勒索软件转为股票垃圾邮件

据 Cisco 威胁情报组织 Talos 发现,世界上最大的僵尸网络 Necurs 在消失数星期后重新上线,并改变了以往的传播内容。网络犯罪分子此前主要通过电子邮件方式传播银行恶意软件 Dridex 和勒索软件 Locky ,现在则将目标锁定为股票市场相关行情。通过电子邮件传播恶意软件的做法不足为奇,但此次事件涉及的电子邮件并未附有任何超链接或恶意软件。 调查表明,Necurs 僵尸网络并非第一次发送大量的电子邮件。2016 年 12 月 20 日,Necurs 僵尸网络就已经开展过一次类似活动,此番策略转变在某种程度上反映了攻击者试图从经济角度对 Necurs 僵尸网络加以利用的意图。 据悉,此封电子邮件包含了移动应用程序开发公司 InCapta 对于某股票市场的行情警示,由无人机公司 DJI 基于曼哈顿公司的提示获得,内容透露该公司股票将以每股 1.37 美元的价格出售。为吸引受害者注意,该电子邮件进一步指出,DJI 公司将创建第一批独立无人机,革命性地改变无人机行业的发展,并将无人机派发至用户感兴趣的领域,如犯罪现场、追击逃犯、山火救援等。为增加一些紧急情况,该邮件显示 DJI 公司将于 3 月 28 日买断 InCapta 公司股票。 据悉,成千上万的电子邮件已通过 Necurs 僵尸网络成功发送给用户,InCapta 公司股票交易量也随之显著增加。 原作者:Gabriela Vatu, 译者:青楚,校对:Liuf 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

研究显示:使用 5 美元的扬声器即可入侵物联网设备

据报道,密歇根大学研究人员仅通过价值 5 美元的扬声器即可成功骗过加速度计,入侵智能手机、汽车、医疗设备和物联网产品的传感器,获取系统的更多访问权限。 硬件系统往往会存在严重的安全隐患,因为传感器会将关键数据直接发送给自治的自动化系统,研究人员本次针对的是 MEMS 加速计,用于测量物体在三个维度的速度变化。 研究人员利用微型机械装置在运动时产生电容变化,检测设备运动形态。通过构造不同频率的音频信号,影响 MEMS 加速计的机械装置(弹簧),给系统传递一个虚假的运动模式,让系统探测到不存在的运动从而做出攻击者期望的判断。这一攻击方式应用在汽车上,能够使控制系统接收到一个不存在的位移,自动校正机制在针对这个虚假动作进行应对时可能会造成一系列事故。 密歇根大学研究生 Timothy Trippel 在视频中介绍,他们不仅能够禁用具有加速度传感器的系统,还能控制设备系统的行为与输出。密歇根大学计算机科学与工程副教授 Kevin Fu 表示,此项目主要通过诱导系统接受“虚假现实”使许多硬件系统产生安全隐患。Trippel 表示,他带领的研究团队已与相应芯片制造商取得联系,希望厂商能在未来提供更安全的芯片。此外,该团队还开发了其他两种软件工具,专门用来防御此类攻击。 稿源:digitalmunition.me, 译者:青楚,校正:LF 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Google 称 2016 年被入侵的网站数量增长了 32%

据外媒报道,根据 Google 的 2016 年网站安全状况报告显示, 2016 年被入侵的网站数量较 2015 年增长了 32%。Google 在博客文章中表示:“与 2015 年相比,我们发现在 2016 年被入侵的网站数量增加了大约 32%。我们预计这种趋势不会放缓。随着黑客的积极性变得越来越高及越来越多的网站没有及时更新,黑客将继续通过攻击更多的网站来获利。” 一方面,谷歌表示,申请重新审核他们网站的 84% 网站管理员是成功清理被黑网站。另一方面,一个梯形数字表示 61% 的被入侵网站的管理员甚至从未收到 Google 发出的他们网站被入侵的通知,因为他们的网站没有在 Google 的 Search Console 中注册并验证。Google 也借此机会提醒每位网站管理员注册 Search Console。 Google 正在进一步尝试通过为已经受到黑客攻击的网站创建清理指南来帮助网站站长。这样,网站管理员不仅可以减少工作量,而且还可以确保其网站在较短的时间内恢复正常运行。 Google 表示:“我们注意到,网站在被黑客入侵时经常受到类似的影响。通过调查相似之处,我们能够为特定的已知类型的黑客入侵行为创建清除指南。” 稿源:cnBeta;封面源自网络

美国国土安全部:放一段声音就能黑掉你的手机

功能强大的智能手机当中保存着使用者太多的秘密,而如何保护这些信息成为让人头疼的事情。往往人们认为良好的使用习惯和安装一款靠谱的防护软件就能保万无一失,但来自美国科学家的最新研究却令人心凉。想要黑掉一台智能手机,只需要播放一段声音这么简单。 隶属美国国土安全部的工业控制系统网络应急响应小组( ICS-CERT )在当地时间 3 月 15 日在官网发布警告称,五大世界知名传感器制造商生产的加速度计存在硬件设计漏洞,可导致智能手机被“黑”。 据悉,这条预警基于美国密歇根大学和南卡罗来纳大学的一项研究,该研究指出利用特定频率的声音,来干扰甚至篡改手机传感器的输出值,从而操纵“无脑”信任传感器的手机系统。研究者称其为“声波病毒”。 在实验过程当中,研究人员测试了来自 5 家知名生产商的20种加速度计品牌,其中 75% 的加速度计会被干扰,而 65% 的加速度计的输出结果可以被操控。这 5 家传感器生产商是:美国 ADI ( Analog Devices )、德国博世( Bosch )、美国应美盛( InvenSense )、日本村田制作所( Murata Manufacturing )和意法半导体( STMicroelectronics )。 研究者表示,此次发现的声波病毒不仅仅会对智能手机设备的信息安全造成威胁,而且还能干扰到无人驾驶汽车甚至是人工心脏,危害巨大。 稿源:cnBeta;封面源自网络  

新型银行卡克隆器竟被公开销售:可藏于袖口、15 厘米内随意操作

现今,犯罪组织的手段变得越来越复杂,特别是涉及到高科技设备的使用。近期, 一个名为 “CC Buddies” 的组织推出了一款新型非接触式克隆银行卡设备 Infusion X6 。该设备一经推出即引发广泛关注,犯罪组织甚至不需要将业务隐藏在网络黑市中进行销售。 Infusion X6 可用于“ 捕获银行卡 ”,每秒存储 21 张银行卡信息,能在 15 厘米范围内进行操作。与只能复制 15 张银行卡信息的 Infusion X5 相比是一个明显的升级。新的设备具有较小的模型和好看的外观,可以系缚到手腕上隐藏于袖子里不被发现。该设备还具有锁定系统的功能。因此,就算当局抓住犯罪分子,他们也能立即加密数据进行存储,使其无法访问。 Infusion X6 可根据银行卡中的无线电芯片进行数据的复制,并将数据存储在内部存储器中,通过随机附带的 USB 电缆传输到 PC 端。该设备可以收集完整的数据集,包括数量和日期以及 RFID 芯片中保存的其他数据,例如个人详细信息。当提取数据时,设备需要由 CC Buddies 提供的软件进行解密。随后,犯罪分子使用空白卡开始伪造借记卡,进行信息的复制。 据悉,普通的 Infusion X6 在市面上的价格为 1.5 比特币,大约是 1700 美元。此外,还有其他几个高达 1.6 比特币的额外卡套餐可以选择。有趣的是,这个犯罪组织很是特别,他们并未像其他犯罪分子那般将新型工具隐藏于暗网中销售。 原作者:Gabriela Vatu, 译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

维基解密已联系苹果微软等企业,但共享漏洞细节需接受 90 天内修复等条件

上周,维基解密(WikiLeaks)承诺将会提供美国中情局(CIA)研发针对 Google、苹果和微软等科技公司入侵工具的技术细节和代码信息。在经历了数天的等待之后,这个机密泄漏网站终于和这些科技公司进行了初步的联系。 图片来自于 motherboard 援引 Motherboard 目前掌握的信息,维基解密创始人 Julian Assange 尝试帮助那些大型科技企业找到 CIA 曾经和目前所利用的漏洞,然后进行修复,但是目前这项工作进行并不如想象中的那么简单和顺利。知情人士透露除了初步接触之外,目前并没有信息共享。 本周早些时候,Assange 向苹果、Google、微软以及所有泄密文档中提及的科技企业发送了邮件。但是这些邮件中并未向这些企业报告在泄漏CIA 文档中发现的漏洞,维基解密提出了一些要求。 在发送给科技企业的邮件中,维基解密在提供实际漏洞技术细节方便公司来修复之前要求这些科技公司签署一系列条件,但是目前尚不清楚都有那些条件,不过有消息在信函中维基解密要求启动了 90 天的披露倒计时,要求这些科技公司在三个月内承诺修复这些漏洞。 随后外媒 Motherboard 向微软、苹果等公司进行了求证,微软发言人透露:“维基解密通过 secure@microsoft.com 帐号和我们取得了初步联系。”,但是目前 Google 和苹果公司并未予以置评。 截至发稿为止,维基解密也并未予以置评。 稿源:cnBeta;封面源自网络

纽约州推出“被遗忘权”提案,用户或能要求将个人隐私信息从搜索结果中移除

互联网是一个了不起的工具,能帮助用户获取大量信息。但当这些信息涉及用户个人隐私及一些令人尴尬的内容时,它可能会对用户造成巨大的负担。十年前就已在欧洲扎根的“被遗忘权”概念旨在通过移除搜索结果中一些特定内容来保护用户隐私,最大限度得减少互联网上大量信息对个人未来造成的负面影响。现在,美国纽约州也提出了一项“被遗忘权”提案。 据悉,美国纽约州议员希望“被遗忘权”法案被添加到纽约州民权和民事实践法案的修正案中。这项提案一旦通过,Google 等搜索引擎在搜索用户请求 30 天内需要删除某些涉及个人隐私的信息。 这些信息需要是“不准确、不相关、 不充分或夸大的”。 Google 选择不对这项提案进行评论,但在过去曾经反对那些被要求修改搜索结果的想法。 稿源:cnBeta;封面源自网络  

2017年网络安全领域的四大发展趋势

当提及网络安全,无疑透露了安全技术人员在过去一年所面临的繁忙事务。网络攻击在 2016 年创下了新的记录,这也导致 2017 年的互联网环境变得更加危险。让我们来看一看有关 2017 年网络安全领域的四大发展趋势。 勒索软件的变脸时代 随着越来越多的数据被存储在移动设备上,勒索软件将继续成为网络罪犯的主流工具。这是一个利润丰厚的商业模式,攻击者将内容强制进行加密,受害者在不缴纳赎金的情况下根本无法恢复数据。勒索软件变得越来越复杂,以致于现在可以瞄准任何网络设备。 另一种观点也显示:网络犯罪分子广泛地利用垃圾邮件进行钓鱼勒索的攻击。他们通常瞄准的目标是具有重要信息的管理人员。 物联网开放的季节 目前,数十亿的物联网产品正在连接企业网络。考虑到许多不定因素的存在,网络设备的广泛使用也使黑客目标数量相应增长。去年 10 月的 Dyn 攻击事件表明,网络犯罪分子正在对物联网进行着大规模地操控。其中,颇具威胁的是黑客部署的 Mirai 恶意软件攻击计划,他们操控 IoT 设备发起 DDoS (分布式拒绝服务) 攻击,由于 Mirai 源代码和其他攻击工具的泄露,如今互联网上任何人都能在此基础上组建自己的僵尸网络。 移动安全威胁无处不在 近期,大约 4% 的移动设备感染了恶意软件,约有将近一半的用户敏感数据面临安全风险。 员工忽视公司协议将未授权的软件下载至企业网络设备中,即使他们遵循公司相关法则但仍具有风险。开发者可通过创建隐藏恶意程序的虚假软件混入知名应用商店,诱使企业员工使用或链接内网从而导致更多设备沦陷。 如今越来越多的企业员工选择通过移动设备连接企业网络,也注定使他们成为更多网络攻击的目标。 政治黑客成为主流 目前欧美国家正在进行定期的网络间谍排查活动。研究表明国家支持的网络攻击不能再局限于工业间谍活动。美国民主党代表也透露过黑客是如何利用所窃取的信息进行挑拨、传播,推进其政治目标的典型例子。研究表明,即使那些不直接参与政治的企业也需要更新其威胁评估。事实上,任何组织都有可能站在对抗国家的十字路口上。 网络安全的威胁不仅仅来源于国家与民族,就连安全从业者也需防御各类欲利用网络攻击达到政治目的的黑客所带来的威胁。 原作者:Charles Cooper, 译者:青楚 本文由 HackerNews.cc 翻译整理、略有改动;封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

2017 Pwn2Own 黑客大会:macOS 和 Safari 被攻破

第十七届年度 CanSecWest 安全会议正在加拿大不列颠哥伦比亚省温哥华市中心举行,研究人员正在竞争夺取 10 周年 Pwn2Own 计算机黑客大赛的冠军,并获得获得超过 100 万美元的奖金。第一天的结果已经在“零日计划网站”上公布。 独立黑客 SamuelGroß 和 Niklas Baumstark 取得了成功,并获得了 2.8 万 美元将近。 黑客们成功的通过 Safari 浏览器的漏洞在 macOS 上获得了 Root 权限,并在 Touch Bar 版 MacBook Pro 上滚动显示信息。同时,Chaitin 安全实验室也攻破了 Safari,并在 macOS 系统获得了 Root 权限。他们在破解过程中找到了 6 个 Bug,并获得了3.5万美元奖金。 参加 Pwn2Own 黑客大会的团队们第一天一共拿到了23.3万美元奖金,其中腾讯安全团队拿到了10.5万美元奖金。 腾讯安全战队代表中国,与美国、法国、韩国、澳大利亚等 11 支国际安全战队过招。截至目前,第一天的各项比赛结果已经尘埃落定,腾讯安全战队 10 秒首破微软 Edge 浏览器,并 3 秒完美攻破了AdobeReader ,获得共计 10.5 万美元奖金,以总分 16 分领跑首日积分榜。 其他成功被攻破的软件包括 Adobe Reader、Ubuntu 桌面版和 Windows 系统的微软 Edge 浏览器。苹果公司代表也参加了这次黑客大会,被发现的安全漏洞将很快被苹果修复。 稿源:据 cnBeta、21cn 整理;封面源自网络