分类: 安全快讯

Facebook 再爆用户不知情下收集了 150 万电子邮件联系人

援引外媒Business Insider报道,在未经用户知情或者同意的情况下当用户开设Facebook账号的时候,Facebook已经收集了150万用户的电子邮件联系方式。报道称自2016年5月以来,该社交网络巨头已经收集了超过150万新加入社交网络用户的联系人列表。对此Facebook官方表示这些联系人是“无意中上传至Facebook”的,而且现在已经着手进行删除。 一位安全研究专家注意到当用户注册新账号来验证身份的时候,Facebook会要求部分用户输入电子邮件密码。而这种行为遭到了安全专家的广泛抨击。外媒Business Insider随后发现,如果用户在注册过程中输入电子邮件密码,会在没有获得允许的情况下导入用户的电子邮件联系人。 Facebook发言人随后承认通过这种方式已经收集了150万电子邮件联系人,并以此用来创建Facebook的社交网络并向这些联系人发送添加请求。目前尚不清楚这些联系人是否也被用于有针对性的广告投放。 Facebook发言人表示在2016年5月之前,公司提供了一个选项在验证用户账号的同时自愿上传其电子邮件账号的联系人。不过在此之后Facebook对这项功能进行了调整,并且文字提醒用户那些上传的电子邮件联系人将会被删除,然而底层功能并没有彻底删除。随后发言人表示,Facebook没有访问用户电子邮件的内容。   (稿源:cnBeta,封面源自网络。)

卡巴斯基报告:70% 的黑客攻击事件瞄准 Office 漏洞

新浪科技讯 北京时间4月16日早间消息,据美国科技媒体ZDNet援引卡巴斯基实验室报告称,黑客最喜欢攻击微软Office产品。 在安全分析师峰会(Security Analyst Summit)上,卡巴斯基表示,分析卡巴斯基产品侦测的攻击后发现,2018年四季度有70%利用了Office漏洞。而在2016年四季度,这一比例只有16%。 黑客瞄准的不同平台比例 卡巴斯基还说,利用最多的漏洞没有一个来自Office本身,大多存在于相关组件。例如,CVE-2017-11882和CVE-2018-0802是两个经常被黑客利用的漏洞,它影响了微软数学公式编辑器(Equation Editor)组件。卡巴斯基称:“分析2018年利用最多的漏洞,我们可以确认一点:恶意软件作者偏爱简单、符合逻辑的Bug。” 正因如此,数学公式编辑器中存在的漏洞CVE-2017-11882、CVE-2018-0802才会成为Office利用最多的漏洞,因为它们很可靠,在过去17年发布的所有Word版本中都能用。还有,用这两个漏洞完成开发不需要什么先进技术。 即使漏洞不会影响Office及其组件,也可以通过Office文档完成。例如,CVE-2018-8174是一个存在于Windows VBScript引擎的漏洞,当我们处理Office文档时,Office App会用到Windows VBScript引擎。 还有CVE-2016-0189和CVE-2018-8373漏洞,它们存在于IE脚本引擎,可以通过Office文档调用漏洞,我们要用IE脚本引擎处理Web内容。   (稿源:新浪科技,封面源自网络。)

专家发现漏洞后是否公示?新报告称已沦为黑客挥向用户的屠刀

是否公开发布安全漏洞(尤其是零日漏洞)的概念验证(PoC)代码历来是备受争议的话题。在代码公开之后往往会被威胁攻击者所利用,在数天乃至数小时内发起攻击,导致终端用户没有充足的时间来修复受影响的系统。而公开这些PoC代码的并非坏人或者其他独立来源,而是理论上更应该保护用户的白帽安全研究人员。 围绕着这个争议做法的话题已经持续多年时间,而信息安全领域的专家分成两派。其中一方认为安全研究人员不应该发布PoC代码,因为攻击者可以采用该代码并自动化攻击;而另一方认为PoC代码同时是测试大型网络和识别存在漏洞系统所必须的,允许IT部门成员模拟未来可能遭受到的攻击。 在上个月发布的“网络安全威胁观2018年第四季度”报告中,Positive Technologies的安全专家再次触及了这场长期争论。 在这份报告中,Positive Technologies的安全专家并没有给这个争论下判断,而是客观陈述了当前用户面临的安全问题。在漏洞发现的新闻曝光或者零日漏洞的PoC代码公开之后,在两种情况下黑客并没有为用户提供充足的时间来修复系统。 在这份季度威胁报告中,Positive Technologies表示这种情况发生的频率越来越多。在报告中通过罗列了一系列安全事件,表明在PoC代码公开之后会立即被黑客所利用。例如在推特上有安全专家公开了Windows系统零日漏洞的PoC代码,随后ESET安全专家就观测到了此类恶意软件活动。例如在网络上关于中文PHP框架的漏洞公开之后,数百万网站立即遭到了攻击。 在接受外媒ZDNet采访时候,Positive Technologies的安全弹性负责人Leigh-Anne Galloway表示:“作为安全行业的一员,我们有责任倡导漏洞公示守则。但是并非所有人都遵循这个原则。同样并非所有安全供应商都知道或者了解。” 他表示: 通常公开披露的驱动因素是因为供应商没有认识到问题的严重性,也没有解决漏洞。或者安全研究人员可能已经尝试了所有其他途径来传达他们的发现。当然,危险的是犯罪分子可能使用此信息来攻击受害者。供应商要求提供证据证明该漏洞实际存在于他们的产品中,并且当研究人员向他们报告漏洞时可以利用这些漏洞。研究人员需要证明它是如何被利用的,为此创建了PoC代码。” 通过CVSS系统来标记该漏洞的危险程度。如果供应商向研究人员支付漏洞奖励框架内发现的漏洞,研究人员会从这项工作中赚钱,但供应商通常不会安排他们的bug-bounty计划,研究人员可以从中得到的所有内容都是专家社区的公开认可。通过在互联网上演示漏洞,展示操作和PoC代码的一个例子,研究人员得到了认可和尊重。 通常情况下,研究人员只有在他们通知供应商有关漏洞的足够长时间后才会发布漏洞利用代码,从而使产品开发人员有机会关闭漏洞并通知用户需要安装升级。但是,很多时候,供应商会推迟发布补丁和更新,有时会延迟六个月以上,因此,在发布补丁之后,[PoC]漏洞的公示就会发生。     (稿源:cnBeta,封面源自网络。)

谷歌为 G Suite 用户引入一系列新的安全工具

谷歌的在线生产力和协作平台G Suite迎来了一系列安全更新。本轮更新重点增强了公司数据的保护,既包括控制用户的访问权限,还可以通过提供新的工具来防止网络钓鱼和恶意软件攻击。今天谷歌发布了高级网络钓鱼和恶意软件保护Beta版本,旨在帮助管理员保护用户免受恶意附件和电子邮件欺骗等因素的影响。 其中最有趣的功能就是全新的安全沙盒,这是面向G Suite企业用户的另一项测试版功能。在对附件进行已知病毒和恶意软件的扫描之外,该沙盒还可以额外添加一层保护层。附件扫描无法完全保护您免受零日勒索软件或复杂恶意软件的侵害。因此在沙箱环境中执行附件,以检查是否存在任何安全问题。 此外在今天的更新中,谷歌还面向管理员推出了全新的安全和警报中心测试版。这些工具目的是创建一个包含最佳实践建议的统一服务,集成通知中心和相关工具,并且对威胁进行分类和采取措施,所有这些工作都侧重于管理员之间的协作。另外还有一个新的安全调查工具,主要侧重于允许管理员创建自动工作流以发送通知或将所有权分配给安全调查。     (稿源:cnBeta,封面源自网络。)

Firefox 将会增加对网站指纹和加密货币挖矿脚本的保护

秉承着对保护用户隐私的承诺,Mozilla近日宣布将会为Firefox浏览器引入几种新方式。正如此前在Bugzilla追踪器中BUG报告中所暗示的,Firefox将会增加对网站指纹和加密货币挖矿脚本的保护。 Mozilla在官方博文中解释道:网站通过指纹脚本可以收集每位访客的硬件相关数据,这样即使用户清除了cookies也能在网络上追踪用户。这些信息包括处理器、内存容量等信息,在苹果去年发布的macOS 10.14 Mojave中就引入了自己的方式来对抗各种数据收集。 而对于加密货币挖矿脚本,这在当前的互联网上的威胁已经越来越大。该脚本可以让你的计算机在后台进行挖矿作业,为其他人挖掘加密货币。这可能会耗尽系统资源并影响系统性能。 为了解决这两个问题,Mozilla与Disconnect合作创建了黑名单,罗列了使用该脚本的域名站点,用户可以选择阻止其中一项或者完全阻止。目前该功能已经出现在Nightly通道的68版本和Beta通道的67版本中,目前默认情况下处于禁用状态,一旦通过测试提高可靠性和稳定性将会默认启用。     (稿源:cnBeta,封面源自网络。)

卡巴斯基报告:超过一半的互联网用户认为完全的数字隐私是不可能的

根据卡巴斯基实验室的一份报告,56%的互联网用户认为现代数字世界中的完全隐私是不可能的。对于许多人来说,他们对数字隐私的担忧可能来自个人经验。卡巴斯基的研究发现,26%的人表示他人在未经他们同意的情况下访问了他们的私人数据,在16至24岁的人群中,这一数字上升到31%。   隐私受到侵害的后果包括经历压力(36%),面临垃圾邮件和广告(25%)以及造成经济损失(21%)。 一个有趣的发现是,一旦人们认为完全隐私是无法实现的,一些消费者愿意出售他们自己的信息,而不是等待别人去利用它。该调查发现,39%的受访者同意收钱让陌生人完全访问其私人数据。此外,如果他们收到免费的回报,18%的人会牺牲自己的隐私并分享他们的数据。 “人们越来越关注他们的隐私,因为他们看到了如果数据落入坏人手中,他们的数据如何被滥用的例子,”北美卡巴斯基实验室消费者销售副总裁Brian Anderson表示。“无论是导致身份盗用的漏洞,针对零售商的网络攻击引起的信用卡欺诈,还是窥探手机的人。当您发现未经您的同意而暴露您的数据时,这会令你感觉非常不好。数据隐私是每个人都可以实现的,并且泄露行为似乎不是不可避免的。强大的数字卫生和更高的隐私最佳实践意识,以及可靠的安全解决方案,可以帮助防止您的数据被任何人查看或滥用。” 您可以在卡巴斯基博客上找到有关该报告的更多信息。     (稿源:cnBeta,封面源自网络。)

研究表明预装 Android 应用程序会带来巨大的安全和隐私风险

一个月前安全人员在阿尔卡特Android智能手机上发现了预先安装的恶意软件,而谷歌自己的Play Store上发现的应用程序也同样存在其他安全缺陷。最近一项分析预装Android软件的研究发现,许多提供基于Android的第三方操作系统供应商滥用该平台,以发布内建数据收集服务的产品。 该分析由IMDEA网络研究所、马德里卡洛斯二世大学、斯托尼布鲁克斯大学和ICSI进行,涉及200多个设备制造商、1700多个设备和82000个预安装应用程序。 这项研究得出的结论是,无论是通过故意滥用还是不恰当的做法,为智能手机创建自己基于Android的操作系统供应商都倾向于允许第三方访问其软件中的用户数据,此外,还将此类活动向用户隐藏起来。 这项研究表示,由于滥用特权,例如预装恶意软件,或者由于软件工程实践不佳而引入漏洞和危险的后门,这种情况已经威胁到用户隐私甚至安全。 研究发现,智能手机制造商,软件开发商到广告商等“无数演员”都参与其中,并且形成秘密合作关系。Google已就此研究和公布的结果作出回应,声称该报告的方法“无法区分预先安装的系统软件与稍后访问该设备的恶意软件”,并且谷歌已经向合作伙伴提供工具,以防止违反其政策的软件预装到Android智能手机当中。     (稿源:cnBeta,封面源自网络。)  

FBI 取缔 DDoS 服务网站之后 此类攻击规模降低 85%

美国联邦调查局(FBI)在去年12月份关闭了15家全球最大的分布式拒绝服务网站,导致全球DDoS网络攻击规模降低了85%。Nexusguard(一家减轻DDoS攻击的网络安全公司)今天发布报告称,在去年12月20日FBI的DDoS专项打击活动中,查处了大量以“压力测试”为幌子出售高带宽互联网攻击服务的网站,有效遏制了这种攻击行为。 这些DDoS-for-hire网站中最出名的就是Lizard Stresser,这是由Lizard Squad(曾在2014年圣诞节对Xbox Live和PlayStation网络发起攻击的黑客组织)提供的犯罪服务。Nexusguard表示,以Stressers为代表的网站允许用户付费购买从而对特定服务发起如海啸般的网络攻击,并使其宕机一段时间。 这些攻击服务往往会利用互联网设备(例如互联网摄像头、无线路由器、智能产品甚至是云服务)中发现的漏洞,使用机器人来生成无用的网络流量来攻击服务和网站。根据卡巴斯基实验室最新的一份报告,DDoS网络每次可以使中小型企业损失12.3万美元,而针对大型企业组织的效果往往不是很明显,但是每次攻击的平均费用超过230万美元。 Nexusguard的研究表明,在FBI取缔了这些非法网站之后DDoS网络攻击规模下降了24%。该公司还认为FBI取缔的这15家服务网站占全球DDoS攻击服务的11%的。Nexusguard首席技术官Juniman Kasman表示:“成功缴获command-and-control服务器、引导程序和其他资源一直是FBI打击网络最烦的重要组成部分,但是这种打击行为依然只触及了表面。”  

原型设备使用用户的身体来防止可穿戴设备和植入物遭黑客攻击

据外媒New Atlas报道,我们已经习惯了有人侵入我们的计算机、平板电脑和智能手机所带来的安全风险,但是心脏起搏器和其他植入式医疗设备呢?为了帮助防止可能的黑客攻击,普渡大学的工程师们提出了一种类似手表的设备,将人体变成自己的网络,以此来保护个人技术的私密性。 自从在15年前变得司空见惯以来,Wi-Fi和蓝牙等无线技术一直是一种解放的体验。这些使得在没有电缆或电线的情况下登录互联网变得正常,并且还使无线耳机,耳塞和智能家居成为可能。此外这还使得出现非常个人化的技术,如健身追踪器、智能手表、高级心脏起搏器、胰岛素泵、机器人假肢和其他医疗设备等。 根据普渡大学的研究小组的说法,这会导致一个潜在的问题。目前,所谓的体域网络使用蓝牙技术在我们的人的各种设备之间发送和接收信号。不幸的是,这些设备传输的距离最远可达10米(33英尺),这意味着任何靠近的人都可以拦截信号并进行入侵。虽然还没有人这样做,但理论上也可能进入类似高级起搏器的事情并按下ENTER键进行谋杀。 为了防止这种情况,由电气和计算机工程助理教授Shreyas Sen领导的普渡大学团队正在研究如何将人体转变为自己的封闭网络。通过使用电准静态场人体通信(EQS-HBC)和身体的导电特性,沿着皮肤与周围环境之间的界面传输低频无载波无线电信号,结果导致信号的私密空间是人体附近0.15米的范围。这不仅使其变得非常难以入侵,而且使用的能量比普通蓝牙连接少100倍。 目前,Sen和他的团队正在研究如何将原型设备的尺寸缩小到可以安装在其他设备中的集成电路的大小。当技术成熟时,它不仅可以提高安全性,还可以使医生能够实现无需外科手术即可重新编程的医疗设备,用于替代药物的闭环生物电子医疗设备,以及用于神经科学应用的高速脑成像。 “我们将越来越多的设备连接到人体网络,从智能手表和健身追踪器到头戴式虚拟现实头显,”Sen表示。“挑战不仅仅是将这种通信保持在体内,以至于没有人可以拦截它,但也获得更高的带宽和更少的电池消耗。“ 该研究发表在《科学报告》上。     (稿源:cnBeta,封面源自网络。)

CheckPoint:Android 恶意广告软件 SimBad 被下载近 1.5 亿次

安全企业 CheckPoint 最新报告称,谷歌 Play 商店中的 200 多款应用,都被恶意广告代码给感染。进一步的分析发现,这可能导致设备在应用外强行显示广告、引导用户到某些网站和应用商店链接、甚至下载新的 App 。在向谷歌提交了恶意软件报告后,官方已经将它们从商店中移除。但根据 Play 商店的统计数据,其已经累积被下载了近 1.5 亿次。 【糟糕的应用软件,在不断地涌入谷歌 Play 商店】 攻击图例(来自:CheckPoint) 据悉,通过隐藏恶意代码,发布者将这些软件伪装成了合法的广告软件。但若你以为它们只会弹广告,那就大错特错了。调查发现,这类广告软件在 Play 商店中广泛存在,涵盖了诸多不同的应用和游戏。 疑似命令与控制服务器的相关代码(来自:CheckPoint) 在被恶意代码感染的流星软件中,模拟类游戏成为了一个重灾区。其中包括重型挖掘机、农业拖拉机、山地巴士、海洋动物 / 卡车运输等稀奇古怪名字的模拟器。 【Check Point 将这类恶意广告软件命名为 SimBad】 隐藏图标代码,删除谈何容易?(图自:CheckPoint) 更可恶的是,该恶意软件还暗藏了隐藏图标的代码,从而加大了用户想要查找和清除它们的难度。作为平台方,谷歌本应肩负起应用审核的责任,但它显然没有苹果 App Store 那样严格和彻底。 在疯狂弹送广告的同时,SimBad 甚至会通过色情广告的形式,引诱用户下载更多的 App 。或者滥用系统权限,劫持设备,将之用于分布式拒绝服务(DDoS)攻击。 后台广告启动代码(图自:CheckPoint) 回想去年,谷歌声称其在检测问题 App 方面取得了“重大进展”,能够在安装前拦截并移除 99% 的有害应用。 但 SimBad 的存在事实,表明这场攻防战永无终点。要让 Android 用户安全访问 Play 商店,谷歌显然还有很多事情要去完善。     (稿源:cnBeta,封面源自网络。)