安全快讯Top News

消费者报告计划将网络安全和隐私保护纳入产品打分体系中

消费者报告(Consumer Reports)是一家在美国拥有极高公信力的非营利机构,主要对汽车、厨房电器等产品进行全方位的审查。本周一,该机构已经同数家外部机构进行合作,开发相应的标准来衡量产品是否容易被黑客入侵,以及衡量产品如何保护用户数据,将网络安全和隐私保护纳入到现有的产品打分体系中。 消费者报告将会逐步实施新的方法,从少量产品评估中开始测试。该机构的电子测试负责人 Maria Rerecich 在电话采访中表示:“这是一个非常复杂的领域,要达到这个目标需要对类目进行很多的细分。” Craigslist 的创始人 Craig Newmark 表示:“用户的网络安全和隐私对于每个人来说都是至关重要的,因此我们迫切需要这样具备公信力的衡量标准。” 稿源:cnBeta;封面源自网络

美国曾试图利用网络攻击阻止朝鲜核计划

2014 年美国时任总统贝拉克·奥巴马下令,用网络战和电子战手段破坏朝鲜试射弹道导弹。这一报道的信源是一些时任和现任美国政府官员,以及大量“不引人注意”的公开消息。报道说,奥巴马认定美国采用“硬杀伤”方式的导弹防御系统无法确保美国不受导弹攻击。在近乎理想状态下,美国导弹防御系统拦截测试的失败率仍达到 56%,因而专业人士认为,在实战中,这套防御系统的表现将更差。 因而,奥巴马在 2014 年初决定,进一步采用网络和电子战手段,破坏朝鲜试射导弹。朝鲜 2013 年 2 月实施核试验后,美军就宣布一项计划,在敌方导弹升空前,用网络、定向能武器和电子攻击方式,破坏导弹的电子设备及发射指挥控制系统。 2010 年,伊朗纳坦兹核设施电脑网络遭名为“震网”的病毒攻击,1000 台铀浓缩离心机瘫痪。许多媒体已经披露,这种网络病毒由美国和以色列开发,用以打击伊朗核计划。 按照《纽约时报》的说法,奥巴马下令后,“很短时间内”“大量”朝鲜导弹试射失败。支持对朝鲜导弹项目发动“软”打击的人认为,这类行动发挥了效果,而一些专家质疑,这些试射失败的原因并非美方的网络和电子攻击,而是导弹制造方面的问题。 稿源:cnBeta、新华网;封面源自 cnBeta

大规模数据泄露即将公布?涉 13.7 亿用户泄露源尚且未知

专注于挖掘数据泄露的安全研究员 Vickery 表示即将公布一起新的身份数据泄露事件涉及 14 亿用户。此后他又发布推特并附上截图,将影响范围精确到 13.7 亿。 Vickery 是安全软件公司 MacKeeper 的研究员,善于发现漏洞。他曾发现了一个涉及美国军方特别行动指挥部医疗保健专业人员和总统竞选的 AWS 服务器漏洞。 对于这起数据泄露,最有可能的受害者是印度公民的生物识别数据库 Aadhaar ,但官方表示在过去五年内未发生滥用 Aadhaar 项目导致的身份被盗和财务损失。此外,也有网友猜测,泄露数据来自中国,毕竟中国微信、腾讯的用户规模也达到十亿级别。当然,Facebook、YouTube、雅虎、苹果、微软以及大型数据收集公司也在怀疑之列。 原作者:Simon Sharwood,译者:M帅帅 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Slack 应用存在漏洞允许黑客窃取访问令牌劫持账户

漏洞赏金猎人 Frans Rosen 发现社交应用 Slack 存在一个漏洞,可被攻击者利用窃取访问令牌并接管账户。该漏洞存在于应用与互联网浏览器传输数据的方式。Rosen 于上周五报告了这一漏洞,5 个小时后官方便修复了漏洞并付给 Rosen 3000 美元的漏洞赏金。 Slack 利用 postMessage 技术可安全地实现跨域传递信息,但同样也存在一个重大隐患:它不会核查不同域传递过来的信息。Rosen 通过创建一个可劫持程序的恶意页面,并利用该漏洞重新连接受害者的 Slack WebSocket 到自己的 WebSocket 页面上,从而窃取私人 Slack 令牌。 原作者:Pierluigi Paganini,译者:M帅帅 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

俄罗斯背景黑客以公布电子邮件要挟自由团体

根据 Bloomberg 的一份新报告表示,FBI 和私人安全人士指出,最近几个月,至少有 12 个美国自由团体被黑客勒索。黑客向这些团体展示已经被盗的电子邮件或云数据,并且威胁要支付赎金,要么让这些数据公之于众。根据彭博社的数据,赎金数额在 3 万到 15 万美元之间。 彭博名单中只有两个具名团体遭受威胁:美国进步中心和阿拉贝拉合作伙伴。虽然美国进步中心拒绝接受任何此类威胁,尚不清楚可能涉及的其他群体对勒索的反应。 由于涉及金钱,勒索企图通常与网络罪犯相关,而不是情报机构的行。然而,彭博社的消息来源称,这些攻击中使用的许多技术与以前 Cozy Bear 小组采用的技术类似,而后者和俄罗斯情报机构有关。私人网络安全小组以前报告了在选举之后对智囊团和非政府组织的一系列鱼叉式攻击,其中许多攻击也使用了 Cozy Bear 的技术和工具包。 稿源:cnBeta;封面源自网络

为避免公开 Tor 漏洞利用源代码,FBI 竟再次放弃指控儿童色情嫌疑人

两个月里的第二次,为避免公开利用 Tor 漏洞的恶意程序源代码,FBI 放弃起诉另一名儿童色情嫌疑人。 2015 年,FBI 在扣押了运行在暗网的儿童色情网站 Playpen 服务器后,部署 NIT 恶意程序去发现 Tor 用户的真实身份,这些用户可能遍布全世界。美国司法部随后对一百多名美国公民提起了多项诉讼,指控他们持有儿童色情。但在一名儿童色情嫌疑人的辩护律师向法庭提出要求,寻求查看恶意程序的源代码,以了解 FBI 在识别用户身份时是否超出了其权限后,联邦检方放弃了起诉。 在最新这起案件中,联邦检方称披露源代码不是目前的选项。目前代表 FBI 的司法部仍然在起诉 135 名被指访问儿童色情网站的嫌疑人。 稿源:solidot 奇客;封面源自网络

水门事件翻版:特朗普发推称大选时曾遭奥巴马监听

特朗普在个人推特上连发四条推文称,在大选投票前,前总统奥巴马就已经监听了特朗普。特朗普称这就是水门事件的翻版。但奥巴马的一位发言人否认了特朗普的指控称,特朗普没有在推文中提供任何证据来支持他的说法,并强调“奥巴马总统和白宫官员从未发布命令监视过任何一个美国公民。” “太震惊了!我刚知道奥巴马竟然在我获胜前监听了特朗普大楼的电话。但是奥巴马什么也没有发现。这是麦卡锡主义!” “在位总统在大选前竟然窃听竞选对手,这合法吗?之前被法院推翻。真是太卑劣了!” “奥巴马在大选前窃听我的电话,我打赌,一个好律师就可以通过这个案子把他们告翻。” “奥巴马在大选前窃听我电话的行为真是太卑劣了。这是尼克松水门事件。坏家伙。” 本文由 ibtimes 和 cnBeta 翻译整理,封面来源于网络。

朝鲜使用先进工具监视公民的数字生活

路透社援引美国的一份报告《Compromising Connectivity》报道,朝鲜正使用先进工具监视公民的数字生活。朝鲜允许公民使用手机平板和访问本国网络,但自动审查没有被政府批准的内容,远程监视用户在设备上的行为。 朝鲜严密控制对外部信息的访问,韩国的电视剧和好莱坞电影通过线下的网络在人们之间交换和分享。为了对抗这种行为,朝鲜向其网络中的设备推送了强制性的更新,积极的寻找和删除非法的外国媒体文件。在朝鲜开发的红星(Red Star)操作系统中,软件扫描文档寻找不受欢迎的特定单词或短语,然后删除。生活在中朝边界的朝鲜居民秘密的使用中国的移动通信网络绕过国家控制,联络外界或访问外部信息。 稿源:solidot 奇客;封面源自网络  

中国制 GSM 语音网关存在 Root 权限后门

近日,网络安全公司 Trustwave 发布了一份报告,称在一家名为 DBL Technology(得伯乐科技)的中国公司生产的 GoIP GSM 语音网关中发现了一个隐藏后门(…due to a vendor backdoor…)。该后门存在于设备的 Telnet 服务中,黑客可利用其身份验证机制上的漏洞获取具有 root 权限的 shell。事实上,这也不是国产设备第一次被发现留有后门,如之前我们报道过的锐嘉科与上海广升。 DBL Technology(得伯乐科技有限公司)是一家位于深圳的通讯设备生产商,主要产品包括 GSM 语音网关,IP 电话网关,企业级软交换等,多用于电话公司及 VoIP 服务商。 具体来讲,该系列网关在产品文档里向用户提供了两个可用于 Telnet 登录的帐号:“ctlcmd” 与 “limitsh”。这两个帐号提供有限的权限,且可由用户自行更改密码。然而这次的问题出在第三个帐号:“dblamd” 身上。据 Trustwave 分析,该帐号未被列入产品文档,可能仅用于测试阶段。“dbladm”具有 root 级别的权限,并应用了“挑战-响应”(challenge-response)身份验证技术。该验证方式会在用户申请登录后发送一个字符串(即 challenge 信息),然后用户根据自己的密钥或算法加密 challenge 信息再返还给服务器进行验证(即 response)。 但 Trustwave 的安全研究团队表示,该机制较容易被破解利用。负责向用户发送challenge 的代码就位于设备 ROM 中的 “sbin/login” 下,通过对这些代码的逆向分析,安全人员发现只要有 challenge 的值,黑客就可以计算出对应的 MD5 哈希值,做出 response,完成登录。而 challenge 完全可以通过一些自动脚本获取。一旦完成以上步骤,黑客就会拥有对设备的完全控制,可以监听流量,或利用其发起 DDoS 一类的攻击。 代码拆解后得到的结果 Trustwave 在去年 10 月 13 日向厂商报告了此问题,随后厂商在 12 月 22 日发布了固件更新版本。但是经过查证,更新后的设备依然存在同样的问题,只不过机制稍微复杂了一些。Trustwave 在报告中如此评论: “似乎 DBL Tek 的工程师并没有认识到问题的关键在于该认证机制上存在的缺陷,而不是它是否容易被逆向的问题。” 据称,目前受到影响的网关版本为:GoIP 1,4,8,16和32(Trustwave 开始只测试了 8 通道的 GoIP GSM 网关,但由于该系列其他型号具有同样的认证算法,据推测可能也受到影响。) 系列回顾 2016 年 2 月,Pen Test Partners 的研究人员发现中国厂商 MVPower生产的 DVR 中存在类似的隐藏后门; 同一周,Risk Based Security 发现中国厂商 RaySharp 生产的 DVR 中存在同样问题; 2013 年 11 月,浙江大华 DVR 设备被曝后门与认证绕过问题; 安卓设备方面,去年秋天上海 Adups Technology(广升信息技术有限公司)和 Ragentek Group(锐嘉科)安卓组件中的后门; 转载稿源:FreeBuf ,参考来源:bleepingcomputer,译者:FB 小编 cxt

安全专家发现 Uber 漏洞允许乘客坐车免单

据科技博客 TechCrunch 报道,美国一名安全专家早前发现了打车应用 Uber 上存在一处安全漏洞,不仅是这名安全专家本人,即使是发现了这一漏洞的任何用户,都可以在全球各地乘坐 Uber 后直接免单走人。不过,现 Uber 已经成功修复了这一漏洞。去年 8 月,电脑安全专家阿南德·普拉卡什(Anand Prakash)首先发现了这一漏洞,并通过 Uber 公司的“漏洞赏金”项目告知对方。 Uber 在获悉该情况后,立即组织安全专家普拉卡什等人在美国和印度两地对该漏洞展开测试。测试结果正如预期:利用该漏洞,普拉卡什成功在两地免费使用了 Uber 共乘服务。 此次公布的安全漏洞在去年 8 月份发现并及时得到修复,但普拉卡什直至本周才将其公之于众。“利用该漏洞,攻击者可以使用自己的 Uber 账户进行无限制的免费乘坐,”普拉卡什在一篇博客中描述该漏洞时表示。普拉卡什甚至发布了一小段视频,演示如何利用 Uber 漏洞进行免费坐乘。 Uber 公司一位发言人对此表示:“Uber 设置的‘漏洞赏金’项目,旨在与全球安全研究人员共同修复安全漏洞,即使这些漏洞没有直接影响到我们的客户。我们感谢阿南德的持续贡献,对他提交的卓越报告,我们乐于对其进行奖励。”在 Uber 的“漏洞赏金”项目排名中,普拉卡什排第 14 位。据悉,除 Uber 外,普拉卡什还经常向 Twitter、雅虎等其他公司提交漏洞报告。 点击了解更多 anandpraka.sh 稿源:cnBeta、凤凰网科技 节选;封面源自网络