标签: 安全漏洞

一个安全漏洞暴露了家谱数据库 GEDmatch 中超过 100 万份DNA资料

据外媒BuzzFeed News报道,7月19日,使用GEDmatch网站上传DNA信息、寻找亲属填写家谱的家谱爱好者们得到了一个不愉快的消息。突然间,一直被隐藏起来的100多万份DNA资料,被警察利用该网站找到与犯罪现场DNA部分匹配的资料,供警察搜索。 这个消息破坏了去年12月收购GEDmatch的法医遗传学公司Verogen的努力,使用户相信它将保护他们的隐私,同时追求基于使用遗传谱系帮助解决暴力犯罪的业务。 第二个警报发生在7月21日,总部位于以色列的家谱网站MyHeritage宣布,其部分用户受到钓鱼攻击,以获取他们在该网站的登录信息–显然是针对两天前GEDmatch被攻击时获得的电子邮件地址。 在一份通过电子邮件发给BuzzFeed News并发布在Facebook上的声明中,Verogen解释说,本应对执法部门隐藏的GEDmatch资料突然被揭开,是 “通过现有用户账户对我们的一个服务器进行复杂的攻击而策划的”。 “由于这个漏洞,所有用户的权限被重置,使得所有用户都能看到所有的档案。这种情况大约持续了3个小时,”声明指出。“在此期间,没有选择参加执法匹配的用户可以进行执法匹配,反之,所有执法档案对GEDmatch用户可见。” 2018年4月,随着被指控为金州杀手的Joseph James DeAngelo被捕,调查性遗传系谱爆发了。DeAngelo上个月承认了13起谋杀案,并承认了数十起其他罪行。调查人员在1980年的一起双重谋杀案现场发现的DNA与GEDmatch上属于凶手远亲的资料进行了部分匹配。通过艰苦的研究,他们建立了家族系谱,最终汇聚到了DeAngelo身上。 此后,又有几十名涉嫌谋杀和强奸的人被以类似的方式确认。但这在家谱界引起了很大的分歧。虽然现在一些家谱学家正在与警方合作,但也有人认为,基因隐私已经受到了损害。 在该网站为了让警方调查一起不太严重的暴力袭击事件而影响自己的规则后,GEDmatch的解决方案是用户必须明确选择接受执法部门的搜索。根据Verogen的数据,在黑客攻击之前,145万份资料中大约有28万份资料已经选择加入。周日的漏洞改变了设置,使145万份DNA资料都选择了执法部门的搜索。 这场争论双方的家谱学家告诉BuzzFeed新闻,他们担心新的安全漏洞会阻止人们将他们的DNA档案放在网上–既伤害了在线家谱社区,也伤害了解决冷门案件的努力。“这是一个全新的坏境,”加利福尼亚州利弗莫尔的家谱学家Leah Larkin是一个直言不讳的基因隐私倡导者,他告诉BuzzFeed News。 “从长远来看,如果人们决定他们对GEDmatch的信心减少,并导致更多的个人资料被删除,这不是一件好事,”Parabon NanoLabs公司的首席谱系学家CeCe Moore告诉BuzzFeed新闻,该公司与警方合作解决暴力犯罪。 目前还不清楚是否有任何未经授权的资料被执法部门搜索过。然而,Moore告诉BuzzFeed News,她的团队负责迄今为止通过基因谱系对犯罪嫌疑人进行的大部分鉴定,当时处于离线状态。她表示:“我们没有看到任何不该看到的东西。” 在最初的黑客攻击之后,GEDmatch的正常服务曾短暂恢复,但在7月20日,Moore注意到所有档案的权限又被调换了,这次是阻止了整个数据库中的执法搜索,但却让标记为 “研究 “的档案变得可见,而这些档案本应在所有搜索中被隐藏。 网站很快就被下线了,取而代之的是一条信息。“gedmatch网站已被关闭进行维护, 目前没有ETA。” “我们正在与一家网络安全公司合作,进行全面的取证审查,并帮助我们实施最佳的安全措施。”Verogen在第二次事件发生后发布的声明中说。 这次泄露事件让Verogen很尴尬,7个月前Verogen收购该网站时,用户希望它能为基因隐私带来更专业的方法。在Verogen之前,GEDmatch由两位业余家谱爱好者Curtis Rogers和John Olson创立并运营。不过,该公司的声明还是让用户放心:”没有用户数据被下载或泄露”。 这一结论在7月21日受到质疑,当时家谱网站MyHeritage警告其客户,那些在GEDmatch拥有账户的人被一封钓鱼邮件盯上了,该邮件将他们发送到一个域名为myheritaqe.com的虚假登录页面–该页面将MyHeritage中的 “g “替换为 “q”–以获取他们的用户名和密码。 “由于GEDmatch在两天前遭遇了数据泄露,我们怀疑肇事者就是通过这种方式获得了他们的电子邮件地址和姓名,以进行这种滥用行为,”MyHeritage在一篇博客文章中指出。 “我们发现,其中有16人已经成为该网站的受害者,并在其中输入了密码。到目前为止,这个数字可能更高。我们试图分别联系这些用户,警告他们再次更改密码,并在MyHeritage上设置双因素认证。”该公司表示。 与GEDmatch不同,MyHeritage不允许其数据库被警方使用。但没有证据表明这些黑客是由警察实施的,他们试图颠覆对执法搜索的限制。目前黑客攻击的动机尚不清楚。   (稿源:cnBeta,封面源自网络。)  

微软发布紧急安全更新 修复 Windows 10/Server 中的安全漏洞

距离本月的补丁星期二活动日还有大约两周时间,但由于在 Windows 10 以及 Windows Server 中发现了安全漏洞,今天微软发布了两个紧急安全更新。微软表示,这两个漏洞虽然没有公开披露,被黑客利用的可能性较小,但公司等不到7月14日的补丁星期二活动日发布这个更新了。 微软在安全公告中写道:“微软Windows Codecs Library处理内存中对象的方式存在远程代码执行漏洞。成功利用该漏洞的攻击者可以获取信息,进一步危害用户的系统。” 据悉,受影响的 Windows 版本包括 Windows 10 version 1709 Windows 10 version 1803 Windows 10 version 1809 Windows 10 version 1903 Windows 10 version 1909 Windows 10 version 2004 Windows Server 2019 Windows Server version 1803 Windows Server version 1903 Windows Server version 1909 Windows Server version 2004   (稿源:cnBeta,封面源自网络。)

2019 年热门开源项目当中的漏洞增加了一倍

一项分析前54个开源项目的研究发现,这些工具中的安全漏洞在2019年翻了一番,从2018年的421个bug到去年的968个。根据RiskSense今天发布的 “开源的黑暗现实 “报告,该公司在2015年至2020年3月期间发现流行的开源项目中报告了2694个bug。 该报告并不包括Linux、WordPress、Drupal等超级流行的免费工具项目,因为这些项目经常受到监控,安全bug也会成为新闻,确保这些安全问题大多能相当快地得到修补。 相反,RiskSense观察了其他流行的开源项目,这些项目并不那么知名,但被技术和软件社区广泛采用。其中包括Jenkins、MongoDB、Elasticsearch、Chef、GitLab、Spark、Puppet等工具。 RiskSense表示,他们在研究过程中发现的一个主要问题是,他们分析的大量安全漏洞在公开披露后许多周后才被报告到国家漏洞数据库(NVD)。该公司表示,这54个项目中发现的bug通常平均需要54天左右时间才会被报告给NVD,其中PostgreSQL的报告延迟时间达到了8个月。由于网络安全和IT软件公司使用NVD数据库来创建和发送安全警报,报告延迟导致使用这些开源项目的公司仍然暴露在攻击面前。 RiskSense表示,自2015年以来,在其分析的所有54个项目中,Jenkins自动化服务器和MySQL数据库服务器的武器化漏洞最多,均为15个。虽然其他开源项目的bug较少,但这些bug有时更容易被武器化,例如Vagrant虚拟化软件和Alfresco内容管理系统当中的bug。 RiskSense认为,现在不仅需要改进开源项目内部处理安全漏洞的方式,而且需要整个行业进行改进,因为 开源项目正在以历史性的速度产生新漏洞。     (稿源:cnBeta,封面源自网络。)

Sign in with Apple 被爆高危漏洞:可远程劫持任意用户帐号

近日苹果向印度漏洞安全研究专家Bhavuk Jain支付了高达10万美元的巨额赏金,原因就是他报告了存在于Sign in with Apple中的严重高危漏洞。Sign in with Apple(通过Apple登录),能让你利用现有的Apple ID快速、轻松地登录 App 和网站,目前按该漏洞已经修复。 该漏洞允许远程攻击者绕过身份验证,接管目标用户在第三方服务和应用中使用Sign in with Apple创建的帐号。在接受外媒The Hacker News采访的时候,Bhavuk Jain表示在向苹果的身份验证服务器发出请求之前,苹果客户端验证用户方式上存在漏洞。 通过“Sign in with Apple”验证用户的时候,服务器会包含秘密信息的JSON Web Token(JWT),第三方应用会使用JWT来确认登录用户的身份。Bhavuk发现,虽然苹果公司在发起请求之前要求用户先登录到自己的苹果账户,但在下一步的验证服务器上,它并没有验证是否是同一个人在请求JSON Web Token(JWT)。 因此,该部分机制中缺失的验证可能允许攻击者提供一个属于受害者的单独的苹果ID,欺骗苹果服务器生成JWT有效的有效载荷,以受害者的身份登录到第三方服务中。Bhavuk表示:“我发现我可以向苹果公司的任何Email ID请求JWT,当这些令牌的签名用苹果公司的公钥进行验证时,显示为有效。这意味着,攻击者可以通过链接任何Email ID来伪造JWT,并获得对受害者账户的访问权限。” Bhavuk表示即使你选择隐藏你的电子邮件ID,这个漏洞同样能够生效。即使你选择向第三方服务隐藏你的电子邮件ID,也可以利用该漏洞用受害者的Apple ID注册一个新账户。 Bhavuk补充道:“这个漏洞的影响是相当关键的,因为它可以让人完全接管账户。许多开发者已经将Sign in with Apple整合到应用程序中,目前Dropbox、Spotify、Airbnb、Giphy(现在被Facebook收购)都支持这种登录方式。” Bhavuk在上个月负责任地向苹果安全团队报告了这个问题,目前该公司已经对该漏洞进行了补丁。除了向研究人员支付了bug赏金外,该公司在回应中还确认,它对他们的服务器日志进行了调查,发现该漏洞没有被利用来危害任何账户。     (稿源:cnBeta,封面源自网络。)

Hermit(隐士)APT 组织 2020 年最新攻击活动分析

感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/Gukd2lNr9lE8fluG4bFfSw 一、概述 两年前,腾讯安全威胁情报中心曝光了SYSCON/SANNY木马的活动情况,并且根据关联分析确定跟KONNI为同一组织所为。该组织的攻击对象包括与朝鲜半岛相关的非政府组织、政府部门、贸易公司、新闻媒体等。 SYSCON/SANNY木马是一个非常有特色的远程控制木马,通过ftp协议来进行C&C控制,该后门的主要攻击目标为朝鲜半岛相关的重要政治人物或者要害部门,偶尔也会针对东南亚等国进行攻击。该活动自2017年下半年开始活跃,并且对多个目标进行了攻击活动。被曝光后,该组织活动没有任何减弱的迹象。腾讯安全威胁情报中心根据该组织的特点,在2018年12月将其命名为“Hermit(隐士)”。 2020年,“Hermit(隐士)”APT组织依然保持较高的活跃度,攻击方式和木马行为上也有了较大的更新,因此我们对近期的攻击活动做一个整理,并对木马的一些更新情况做一个详细分析汇总。 二、诱饵 使用带有恶意Office宏代码的攻击诱饵依然是SYSCON/SANNY最常用的攻击方式,此外通过修改字体颜色来伪装宏代码的恶意行为也是该组织的特点之一,该特点一直保持至今。而诱饵的主题依然是紧贴时事热点,尤其是全球新冠疫情(COVID-19)热点以及朝鲜半岛相关的局部热点事件。 例如3月份“Hermit(隐士)”组织使用“口罩仅建议用于照顾COVID-19病人的人使用”的文档标题作为攻击诱饵。 “Hermit(隐士)”使用新冠疫情(COVID-19)口罩话题为诱饵 “Hermit(隐士)”组织使用2020年东京残奥会捐助相关的诱饵  “Hermit(隐士)”组织伪装成2020年朝鲜政策相关话题为诱饵  “Hermit(隐士)”组织使用朝鲜Covid-19疫情相关主题为诱饵 三、恶意宏代码分析 携带恶意宏代码的恶意Office文件几乎是该组织的唯一攻击方式,多数诱饵会在未启用宏的情况下在诱饵文件中显示诱导内容,诱导用户启用宏,在未启用宏的情况下字体为几乎无法查看的灰色。 诱导受害者启用恶意宏代码查看文档 多数诱饵的vba宏代码使用密码保护 宏代码中会调整图片大小以及修改字体颜色,用来隐藏真实的恶意行为 最新的攻击宏代码主要恶意行为是释放一个PE文件,并创建进程执行,执行时会将配置的CC信息作为命令行参数传递给恶意进程。 释放PE文件相关宏代码之一 释放PE文件相关宏代码之二 四、downloader&install过程分析 释放出的PE文件是一个downloader木马,其主要功能是从命令行参数中提取URL,并进行一系列的下载、解压和安装行为,以下以最新版本的文件up.exe(a83ca91c55e7af71ac4f712610646fca)作为样本进行详细分析。 up.exe行为 1)首先从参数中取出URL,然后判断操作系统是32位还是64位,如果32位则下载2.dat、64位下载3.dat下载完成后将其解密成temp.cab,随后执行expand命令对cab进行解压释放 downloader主要功能函数 2)cab内容如下,主要包含一个安装bat文件、一个RAT dll文件、一个ini文件 cab压缩包内容 3)检查当前进程权限,不同权限不同处理方式 进程权限检测相关代码 4)如果不是TokenElevationTypeLimited权限,即管理员用于以非管理员权限运行程序,则直接winexec执行install.bat,如果是TokenElevationTypeLimited则判断cmd.exe的版本,根据版本不同执行不同的UAC bypass策略,共内置了三种绕过UAC的方式。 根据cmd版本信息使用不同的UAC bypass方案 5)UAC bypass方式一相关代码 UAC bypass方式一 6)UACbypass方式二相关代码 UAC bypass方式二 7)UAC bypass方式三相关代码 UAC bypass方式三 8)install.bat的功能就是将wprint.dll和wprint.ini复制到system32目录,并创建服务持久化dll install.bat 五、RAT行为详细分析 1,首先判断目录下是否有dll同名的dat文件,如果有则读取并解密出配置信息,如果没有则读取同名的ini文件,即wprint.ini并解密,解密得到URL后进行不断尝试下载dat 解密ini获取url下载dat相关代码 2、wprint.ini解密结果如下:是一个url,使用URLDownloadToFile进行下载后存为wprint.dat 解密后的ini内容 3)读取wprint.dat并解密,得到包括ftpserver、username、password在内的配置信息 从dat从提取配置信息相关代码 4)根据配置信息连接ftpserver,并将server上的htdocs设置为当前目录,在其中创建一个以本地computername加密后的字符串为名称的新目录 连接ftpserver、创建目录相关代码 5)先后执行cmd /c systeminfo > temp.ini、cmd /c tasklist > temp.ini两个命令收集计算机信息和进程列表,加密上传temp.ini文件到ftpserver并以ff mm-dd hh-mm-ss.txt的时间格式命名。 执行命令获取信息相关代码 6)ftp上传文件相关代码,除了.cab、.zip、.rar外的其他扩展名文件均会被压缩成.cab后加密上传 上传信息、文件相关代码 7)依次下载ftpserver上的cc(x)文件到本地解析指令进行命令分发,x为从0开始依次自增的整数 获取控制指令相关代码 获取控制指令相关代码 8)命令文件格式为开头“#”字符与第二个“#”之间的为下发的文件内容,第二个“#”之后的为指令内容 解析控制文件cc相关代码 9)控制指令列表如下:主要完成cmdshell和文件上传下载执行的功能 10)cmd /c指令相关处理代码如下 cmd命令相关代码 11)/user指令相关处理代码如下 user命令相关代码 12)其他指令处理代码如下 其他命令相关处理代码 六、版本变化 SYSCON/SANNY的活动最早可追溯到2017年,使用ftp协议作为RAT控制协议的木马是该组织最早使用也是最长使用的手法,与之前版本的木马相比,近期攻击所使用的木马有以下升级点: 七、安全建议 腾讯安全威胁情报中心建议我国政府机关、重要企业、科研单位对APT攻击保持高度警惕,可参考以下建议提升信息系统的安全性: 1、建议重要机构网管培训工作人员不要随意打开不明来源的邮件附件,在邮件目的及发件人均未知的情况下,建议不要访问附件。 2、建议企业用户使用腾讯T-Sec终端安全管理系统修补漏洞,及时安装系统补丁,可减少被漏洞攻击的风险。同时注意打开Office文档时,避免启用宏代码。 3、推荐企业用户部署腾讯T-Sec高级威胁检测系统(腾讯御界)对黑客攻击行为进行检测。 八、附录 IOCs HASH: guidance.doc: 677e200c602b44dc0a6cc5f685f78413 123.doc: 40e7a1f37950277b115d5944b53eaf3c Keep an eye on North Korean cyber.doc: 1a7232ef1386f78e76052827d8f703ae Kinzler Foundation for 2020 Tokyo Paralympic games.doc: faf6492129eeca2633a68c9b8c2b8156 ce26d4e20d936ebdad92f29f03dfc1d9 7e71d5a0f1899212cea498bbda476ce8 a83ca91c55e7af71ac4f712610646fca 77f46253fd4ce7176df5db8f71585368 62e959528ae9280f39d49ba5c559d8fb C2: phpview.mygamesonline.org firefox-plug.c1.biz win10-ms.c1.biz ftpserver:myview-202001.c1.biz username:3207035 password:1qazXSW@3edc 参考链接 https://mp.weixin.qq.com/s/rh4DoswLUNkS8uiHjrFU9A https://mp.weixin.qq.com/s/CBh2f-lfG5H4wcoj5VSfEw https://mp.weixin.qq.com/s/F2-DLtuHUkV_nCnKwp44_Q

小米米家摄像头被爆安全漏洞:谷歌已紧急禁止集成功能

近期,不时有报道称“智能”安全摄像头出现了一些愚蠢的安全问题,而绑定谷歌账号的小米米家安全摄像头发现的严重漏洞更令人担忧。援引外媒Android Police报道,由于小米米家摄像头存在的风险隐患,目前谷歌官方已经宣布在Google Home、Google Assistant设备上禁止绑定小米的集成功能。 谷歌阻止小米访问Assistant: https://www.bilibili.com/video/av81851575?zw 据悉,这个问题最初是由Reddit社区用户/r/Dio-V发现并分享的,他表示他自家的小米米家1080P Smart IP安全摄像头,会通过小米的Mi Home应用/服务连接绑定谷歌账号从而使用Google /Nest设备。Dio-V表示Nest Hub和米家摄像头都是从AliExpress新购买的,摄像头正在运行固件版本3.5.1_00.66。 在尝试访问小米米家摄像头的监控视频时候, 他并没有看到摄像头拍摄的监控视频流,而是显示来自家中其他房间的静态图片。在上传到Reddit社区的8张静态照片中,包括熟睡婴儿、封闭的门廊以及男子在椅子上睡觉的画面。 Dio-V表示反馈回到Google Nest Hub展示的随机静止图像中,还包括Xiaomi/Mijia品牌的日期和时间戳的,而且所显示的时区和他当前所处的时区也不同。从技术上讲,这可能是一场精心策划的恶作剧,但Dio-V提供的证据却相当可信。另外,这些图片也有可能是测试图像,Dio-V无意中访问了调试模式。当然也存在其他可能的解释。 随后谷歌非常重视这个问题,表示:“我们已经意识到了这个问题,并正在与小米联系以进行修复。同时,我们正在禁用设备上的小米集成。”随后外媒Android Police进行了实测,确实发现在Google Home等设备上已经禁用了米家所有产品的集成。     (稿源:cnBeta,封面源自网络。)

SQLite 漏洞 Magellan 2.0 允许黑客在Chrome浏览器上远程运行恶意程序

近日腾讯刀锋(Tencent Blade)安全团队发现了一组名为“Magellan 2.0”的SQLite漏洞,允许黑客在Chrome浏览器上远程运行各种恶意程序。这组漏洞共有5个,编号分别为CVE-2019-13734、CVE-2019-13750、CVE-2019-13751、CVE-2019- 13752和CVE-2019-13753,所有使用SQLite数据库的应用均会受到Magellan 2.0攻击影响。 Magellan 2.0(麦哲伦)是一组存在于SQLite的漏洞。它由Tencent Blade Team发现,并验证可利用在基于Chromium内核的浏览器的Render进程中实现远程代码执行。作为知名开源数据库SQLite已经被应用于所有主流操作系统和软件中,因此该漏洞影响十分广泛。经测试,Chrome浏览器也受此漏洞影响,目前Google与SQLite官方已确认并修复了此漏洞。 根据腾讯刀锋安全团队官方博文,除了所有基于Chromium的浏览器和Google Home智能音箱设备受到影响之外,苹果旗下iPhone, iPad, MacBook,, Apple Watch, Apple TV等多款热门产品也受到影响。 SQLite漏洞是Tencent Blade Team在安全研究中,通过人工代码审计与自动化测试发现的。这一组漏洞被团队命名为“Magellan(麦哲伦)”。根据SQLite的官方提交记录,麦哲伦漏洞中危害严重的漏洞可能已经存在8年之久。利用麦哲伦漏洞,攻击者可以在用户电脑上远程运行恶意代码,导致程序内存泄露或程序崩溃。 目前,Tencent Blade Team已联合Google、Apple、Facebook、Microsoft及SQLite官方安全团推动漏洞修复进展。与此同时,Tencent Blade Team也提醒用户及时关注系统与软件更新通知,需将SQLite升级到目前最新的3.26.0 版本。 上周发布的谷歌Chrome 71,也已经修补该漏洞。Vivaldi和Brave等基于Chromium的浏览器,都采用最新版本的Chromium。但Opera仍在运行较老版本的Chromium,因此仍会受到影响。 另外,虽然并不支持Web SQL,但Firefox也会受到这个漏洞的影响,原因在于他们使用了可以在本地访问的SQLite数据库,因此本地攻击者也可以使用这个漏洞执行代码。腾讯Blade安全团队建议,使用Chromium系产品的团队,请尽快更新至官方稳定版本71.0.3578.80,如果使用产品中涉及SQLite,请更新到3.26.0. 另外,如暂时没有条件采用官方提供的修补方案,也有一些应急建议方案: 关闭SQLite中的fts3功能; 禁用WebSQL:编译时不编译third-party的sqlite组件。由于WebSQL没有任何规范,目前仅有Chrome、Safari支持。 最后,验证方法:重新编译后的内核应无法在控制台调用openDatabase函数。   (稿源:cnBeta,封面源自网络。)

Android 端 Twitter 应用曝出安全漏洞:信息恐已泄漏 推荐尽快更改密码

今天早些时候,推特(Twitter)面向所有Android端推特用户发送了一封电子邮件,在确认公司已经修复Android端APP存在的严重漏洞之外,有黑客可能通过该漏洞获取了部分用户账户信息。在公司发布的详细博文中,推特表示公司目前并没有发现任何直接证据表明这些数据已经被使用,在暗网或者其他渠道上也没有披露/出售的信息。 但是作为预防措施,推特已经通过电子邮件和移动APP的方式通知用户尽快更改密码,从而确保自己的账户安全。此外该公司还向用户发布了相关说明和APP更新。 在电子邮件中写道: 我们最近修复了存在于Android端Twitter应用中的一个漏洞,该漏洞能够让不良行为者看到非公开帐户信息或控制您的帐户(即发送推文或直接消息)。在修复之前,通过将恶意代码插入Twitter应用程序受限制的存储区域等复杂过程,不良行为者可能已经可以访问来自Twitter应用程序的信息(例如,直接消息,受保护的推文,位置信息)。 我们没有证据表明恶意代码已插入到应用程序中或已利用此漏洞,但是目前我们无法百分百确认,因此我们需要格外的小心。   (稿源:cnBeta,封面源自网络。)

安全研究人员警告 .Gov 域名的注册审核不严 或导致信任危机

本月初,KerbsOnSecurity 收到了一位研究人员的电子邮件,声称其通过简单的手段,就轻松拿到了 .GOV 域名。若这一漏洞被利用,或导致 .Gov 域名出现信任危机。其表示,自己通过填写线上表格,从美国一个只有 .us 域名的小镇主页上抓取了部分抬头信息,并在申请材料中冒名为当地官员,就成功地骗取了审核者的信任。 这位要求匿名的消息人士称:其使用了虚假的 Google 语音号码和虚假的 Gmail 地址,但这一切只是出于思想实验的目的,资料中唯一真实的,就是政府官员的名字。 据悉,这封邮件是从 exeterri.gov 域名发送来的。该域名于 11 月 14 日注册,网站内容与其模仿的 .us 站点相同(罗德岛州埃克塞特的 Town.exeter.ri.us 网站,现已失效)。 消息人士补充道:其必须填写正式的授权表单,但基本上只需列出管理员、技术人员和计费人员等信息。 此外,它需要打印在“官方信笺”上,但你只需搜索一份市政府的公文模板,即可轻松为伪造。 然后通过传真或邮件发送,审核通过后,即可注册机构发来的创建链接。 从技术上讲,这位消息人士已涉嫌邮件欺诈。若其使用了美国境内的服务,还可能遭到相应的指控。但是对于藏在暗处的网络犯罪分子来说,这个漏洞显然求之不得。 为了堵上流程漏洞,爆料人希望能够引入更加严格的 ID 认证。尽管他所做的实验并不合法,但事实表明确实很容易得逞。 今天早些时候,KrebsOnSecurity 与真正的埃克塞特官员取得了联系。某不愿透露姓名的工作人员称,GSA 曾在 11 月 24 日向市长办公室打过电话。 然而这通电话是在其向联邦机构提出询问的四天之后,距离仿冒域名通过审批更是已过去 10 天左右。 尽管没有直接回应,但该机构还是写到:“GSA 正在与当局合作,且已实施其它预防欺诈的控制措施”。至于具体有哪些附加错误,其并未详细说明。 不过 KrebsOnSecurity 确实得到了国土安全部下属网络安全与基础设施安全局的实质性回应,称其正在努力为 .gov 域名提供保护。     (稿源 cnBeta ,封面源自网络。)

Kryptowire 在预装 Android 应用中发现了 146 个安全风险

在美国国土安全部资助的一项研究中,Kryptowire 在廉价的 Android 智能机上,发现了由预装应用造成的严重安全风险。这些 App 存在潜在的恶意活动,可能秘密录制音频、未经用户许可就变更设置、甚至授予自身新的权限 —— 这显然与 Android 设备制造商和运营商的固件脱不了干系。 类型占比(图自:Kyrptowire,via Cnet) 在新工具的帮助下,Kryptowire 得以在不需要接触手机本体的情况下,扫描固件中存在的漏洞。最终在 29 家制造商的 Android 设备上,查找到了 146 个安全隐患。 在被问及为何特别针对廉价 Android 设备展开软件安全调查时,Kryptowire 首席执行官 Angelos Stavrou 在一封邮件中解释称:这与谷歌对产品的管理态度,有着直接的关系。 Google 可能要求对进入其 Android 生态系统的软件产品进行更彻底的代码分析,并担负起供应商应有的责任。 当前政策制定者应要求该公司将最终用户的信息安全负起责任,而不是放任其置于危险之中。 对此,谷歌亦在一封邮件中称:其感谢合作并以负责任的态度来解决和披露此类问题的研究工作。 (厂商列表) 正如 Kryptowire 研究中发现的那样,预装应用通常为小型、无牌的第三方软件,其被嵌入到了较大的品牌制造商的预装功能中。 然而这类应用很容易构成重要的安全威胁,因为与其它类型的 App 相比,预装应用的权限要大得多、且很难被应用删除。 在 2017 年于拉斯维加斯举办的黑帽网络安全大会上,Kryptowire 披露了上海 Adups Technology 生产的廉价手机中的类似安全威胁。 该手机的预装软件被发现会将用户的设备数据发送到该公司在上海的服务器,而不会提醒这些用户,后续其声称该问题已得到解决。 2018 年的时候,Kryptowire 发布了面向 25 款 Android 入门机型预装固件缺陷的研究,同年谷歌推出了 Test Suite,以部分解决这方面的问题。 (部分漏洞详情) 尽管 Kryptowire 曝光的事情每年都难以避免,不过 Stavrou 认为,谷歌的整体安全策略,还是有所改善的。 他表示:“保护软件供应链是一个非常复杂的问题,谷歌和安全研究界一直在努力解决该问题”。 在今年黑帽安全会议(Black Hat 2019)的演示期间,谷歌安全研究员 Maddie Stone 表示: “Android 设备的常见预装 App 有 100~400 款,从恶意行为者的角度来看,他只需说服一家企业来打包恶意 App,而无需说服成千上万的用户”。     (稿源:cnbeta,封面源自网络。)