安全快讯Top News

婴儿 Fullz 数据成网络黑市新宠,父母监管不力埋下安全隐患

外媒 1 月 27 日消息,网络犯罪人士于近期在暗网上出售一种新型商品 — 婴儿 fullz 数据(“ fullz ”: 指个人身份信息的完整包装,其中包含个人姓名,社会安全号码,出生日期,账号等)。根据美国有线电视新闻网(CNN)的一份报告显示,网络犯罪人士利用婴儿干净的信用记录来达到申请信用卡、抵押贷款,以及获取政府福利补助的目的。 这是网络犯罪人士第一次在暗网上售卖婴儿资料 ,他们在一个名为 “ Dream Market ” 的暗网交易市场上进行售卖活动,并且规定只能通过 Tor 匿名网络访问网站。 报告指出, 一个婴儿 的 fullz 数据可以达到 300 美元的比特币。与其他被盗数据相比,婴儿资料的价格很明显占有优势,因为儿童的 个人身份信息长久以来一直保持着干净的信用记录。 根据 2011 年卡耐基梅隆大学网络安全调查数据显示,儿童身份被盗窃的几率是成人的 51 倍。研究人员认为这种情况与父母不监管孩子的身份信息有很大关系。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

神秘大规模虚拟货币挖矿活动影响全球逾 3000 万系统

PaloAlto Networks 安全专家近期发现了一项大规模的加密货币挖矿活动,旨在使用开源的 XMRig 工具挖掘门罗币。目前该攻击活动已持续 4 个多月,涉及全球系统数量约达 3000 万,最受影响的国家有泰国(3,545,437),越南(1,830,065)和土耳其(665,058)。 据安全专家介绍,攻击者使用 VBS 文件和 URL 缩短服务来部署采矿工具。例如当攻击者使用 Adf.ly 短网址服务时,只要用户点击链接就会被重定向,随后下载加密货币挖矿软件 。 安全专家认为 Monero 的挖掘操作非常庞大,因为目前研究人员已经检测到超过 250 个独特的 Microsoft Windows PE 文件,其中大部分是从在线云存储提供商 4sync 下载的。 这些文件具有通用名称,可能是因为源自文件共享服务。 攻击者通过 VBS 文件执行 XMRig 挖矿软件,并利用 XMRig 代理服务来隐藏最终的矿池目的地。 此外,研究人员还注意到攻击者使用了 Nicehash 市场来交易哈希处理能力。 据 PaloAlto 的专家介绍,去年 10 月 20 日是该货币挖掘行动的一个里程碑,在此之前攻击者是使用 Windows 内置的 BITSAdmin 工具来从远程位置下载 XMRig 。(注意:一般情况下,最终的 playload 主要是由 “ msvc.exe ” 安装的。) 在 10 月 20 日之后,安全专家观察到攻击者开始使用 HTTP 重定向服务。 而在 11 月 16 日起,攻击者改变了恶意软件的攻击策略: 他们不再使用 SFX 文件,而是重新采用了一种在 Microsoft .NET Framework 中编译的可执行文件,该文件将 VBS 文件写入磁盘并修改受害用户的运行注册表项,以确保持久性。 目前安全人员观察到攻击策略最后一次改变是在 2017 年 12 月下旬,攻击者改变了用来部署恶意软件的 dropper: 在放弃 . NET 之后,他们使用 Borland Delphi 编译的 dropper 来创建必要的 VBS 文件。 与 .NET droppers 不同的是,这个特定的 dropper 将 VBS 文件放在受害用户的启动文件夹中,目的是为了获得持久性 。 令人奇怪的是,规模如此庞大的一个门罗币挖矿活动竟然在这么长的时间内都没有引起人们的注意,相关安全专家认为这种情况很是反常。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

菲律宾正起草加密货币交易相关法规

媒体 1 月 29 日下午消息,菲律宾证券交易委员会周一表示,该部门正在起草规范加密货币交易的法规,以保护投资者,降低诈骗风险。菲律宾证监会负责执法和投资者保护事务的官员埃米利奥·阿基诺(Emilio Aquino)表示,相关规定将包括加密货币发行与注册等部分,预计将于今年确定。 “ 我们需要行动,因为 ICO 目前正在大量涌现,特别是在 2017 年。我们想提出我们自己的法规系列,” 阿基诺在新闻发布会上说,“ 对投资者在这一新领域的保护,你必须特别注意。” 全球监管机构试图控制比特币等加密货币交易的全球热潮,尤其是在亚洲。中国已禁止 ICO,并关闭本地交易平台;韩国也在监管虚拟货币交易。 稿源:cnBeta、新浪科技,封面源自网络;

ATM 厂商发出警告:黑客可迫使美国 ATM 机自动吐钞

据媒体报道,全球最大的两家 ATM 制造商 Diebold Nixdorf 和 NCR 发出警告称,网络犯罪分子正在瞄准美国的 ATM 机,利用工具迫使其自动吐钞。这两家 ATM 制造商尚未披露是否有银行因此受害,也没有透露具体损失的资金。 这种名为 jackpotting 的黑客机制最近几年在世界各地越来越多,但由于受害者和警方通常不肯披露细节,所以很难确定具体损失的资金。 安全网站 Kreb on Security 上周六早些时候报道了这些攻击,并表示这些事件在去年就已经开始。 NCR 上周五发出警告称,这些案件是首批在美国确认的 jackpotting 盗窃案。但该公司的设备并未成为最近的攻击目标,但他们仍对整个 ATM 行业感到担忧。 Diebold Nixdorf 也在上周五发布的独立声明中称,美国政府已经向该公司发出警告称,黑客瞄准了他们的一个名为 Opteva 的 ATM 机型,但这款设备几年前就已经停产。 美国特勤局在发送银行的机密警告中称,黑客通常会瞄准位于药店和商超等地的独立 ATM 。但美国特勤局官员拒绝对此置评,美国联邦调查局官员也尚未作出回应。 稿源:cnBeta、新浪科技,封面源自网络;

Strava 健身追踪热度图可能还披露了世界各地的军事基地位置

据外媒报道,Strava 是一家健身追踪软件开发商,其产品能够利用手机 GPS 追踪某位正在健身的用户的时间以及位置,旨在为锻炼者打造一套社交网络。去年 11 月,这家公司发布了一份展示来自世界各地用户体育锻炼的热度图。 而就在近日,来自联合冲突研究所 ( Institute for United Conflict ) 的分析师 Nathan Ruser 发现了人们可能根本不会想到的东西–这张地图可以让一些人非常容易地找到军事基地的位置以及那里人员的日常活动。 对此,他在 Twitter 上发布了几张截图来证实他的理论,可以看到,图中可以看到发生在阿富汗的定期慢跑路线、巡逻以及前线作战基地的位置。 实际上,Strava 并不是唯一一个能够显示世界军事设施的地图平台,像谷歌地图以及公共卫星图也都已经能做到这点。但是,谷歌地图显示的是建筑物和道路的位置,而 Strava 则还提供了一些外的信息:它让人们看到目标区域内的运动方式以及频度。 谷歌地图 Strava 热度图  Ruser 指出,任何查看 Strava 热度图的用户都能找到叙利亚的联盟基地、阿富汗的军事设施以及一些未被曝光的美国军事基地。对此,美国中央司令部发言人、空军上校 John Thomas 告诉媒体,军方正在对这幅地图背后进行调查。 Strava 发言人则表示,公司一直在努力让用户更好地明白他们的隐私设置,其地图代表的是用户上传至平台的匿名活动数据,但当中并不包括来自被标记为私有或用户定义的隐私区域的活动。 然而这已经不是一个新问题。早前,美国军方就已经意识服役人员将带有追踪功能的设备带入基地的情况。为此,军方作出了禁止服役人员将个人电子设备带入敏感区域的规定。 稿源:cnBeta,封面源自网络;

美国政府考虑建设国有 5G 网络 可 3 年内建成

 1 月 29 日上午消息,根据美国科技网站 Axios 获取的机密文件显示,美国国家安全官员提议联邦政府接管本国的部分移动网络。Axios 拿到一份幻灯片文件和一份备忘录,两份文件全都来自一名国家安全委员会官员,最近,这些文件提交给特朗普政府其它部门的高级官员评估。 随后根据路透社报道,美国政府一名高级官员证实了 Axios 所报道的内容。他表示 5G 网络国有化选项目前只是在政府较低的层面进行讨论,提交给特朗普本人考虑还需要 6-8 个月的时间。 文件认为,美国应该建一个集中化、全国性 5G 网络,在 3 年之内建成。而如何建造、钱从哪里来等问题,未来 6-8 个月内,特朗普政府内部将会进行激烈的争论。 机密文件摆出两种方案: 第一种,美国政府出钱,建一个单一网络,以前美国的网络基础设施都是私有的,这一次它会成为国有网络,史无前例。 第二种,无线运营商建设自己的5G网络,彼此竞争。文件认为,如果选择第二种方案,花费的时间会更长,成本也会更高。不过文件也说第二种方法有一个优点:相比政府建网,无线运营商自建网络对无线产业造成的商业冲击更小一些。 不过知情人士认为,第二种 “ 选择 ” 实际上不算一个选择,因为美国需要用单一的集中化网络来保护本国,提防威胁。 消息人士还说,白宫将会围绕一些关键问题进行讨论,比如政府是否应该建设并拥有网络,还是让运营商联合组建财团,建设网络,如果组团建设,运营商先要将自己的商业利益放在一边,优先考虑国家利益。 幻灯片指出,美国必须快速开发超快 5G 无线技术,因为中国在制造及运营网络基础设施方面已经成为主导力量。 备忘录认为,对于美国政府来说,最好的办法就是自己建一个网络,然后租赁给运营商使用。不过消息人士称这种方案只是老版方案,较新的方案在政府是否应该建设并拥有网络一事上保持中立。 除此之外,备忘录还认为如果想支持新技术发展,比如无人驾驶技术、VR 技术,美国需要建设一个强大的 5G 网络。备忘录称中国正在慢慢赢得 AI 算法大战,如果不建设这样的网络,在信息领域美国将会永远落后于中国。 稿源:cnBeta、新浪科技,封面源自网络;

橘皮能解锁指纹?技术专家:一般难实现,慎用指纹贴

日前,网上流传一段 “ 用橘子皮就能解锁手机指纹识别锁 ” 的视频,视频中主流手机全部中招,用他人手指、橘子皮甚至纸巾就可以随意解锁手机指纹识别,还可以进行相应的指纹支付。专家对此表示,这只是在特定条件下出现的状况,一般情况下,不会出现这种状况。 橘子皮开指纹源于 “ 透明胶带 ” 网上流传的视频显示,在具有指纹验证功能的手机上,贴上一层事先涂上部分导电笔涂层的透明胶带,这样就可以 “ 破解 ” 该手机的指纹功能。在机主解锁过三次以上后,任何人都可以再次将手机解锁,包括桂圆、橘子皮、纸巾等物品也可以成功解锁。 网上流传的视频显示用一块橘子皮也可以通过指纹验证。 截屏图 这样的结果并非是手机的问题,经验证,市面上主流的几款手机都有类似情况。只要有这样一层透明胶带,任何人都可以成功解锁手机,并且可以使用其中的指纹支付、转账等功能。 另据央视报道,安徽的小许将手机摔到地上,导致指纹触摸键出现了裂纹。此后,该指纹解锁功能变为 “ 万能 ”,任何人都可以解锁他的手机,甚至可以进行指纹支付。 除了手机之外,笔记本电脑、防盗门电子锁等都采用了类似的指纹验证方式,而在技术人员的测试下,依靠透明胶带和导电笔,也都可以被随意解锁。 目前工信部、质检总局等相关部门已介入调查。 手机裂纹亦存在隐患 实际上,在打开指纹验证的过程中,最关键的并非透明胶带,而是导电笔涂层。技术人员表示,在机主触摸导电涂层解锁时,指纹传感器接收到的信息其实是导电涂层,而不是手指指纹。涂层会聚集形成固定图案,并且与机主的指纹相结合,将新的图案更新进指纹模板。 “ 这是利用了现在智能手机指纹算法的特点”,苏州迈瑞微 CTO 李扬渊表示,目前指纹解锁为了更好更快的用户体验,只需要小部分指纹符合机主指纹即可开机,并且手机中记录的指纹在不断的更新、优化中;同时,指纹不会区别是否是人体,只要符合该图案即可解锁,也就有了橘子皮都可以解锁指纹识别的例子。 而小许的经历,也是由于手机裂纹造成了指纹触摸键上形成了指纹的图案。目前,手机厂商已经为小许屏蔽了指纹功能。 “ 破解实验 ” 在现实中操作性差 清华大学自动化系副教授冯建江在接受采访时认为,之所以出现这样的情况,是因为传感器面积小的限制,手机采用的指纹识别技术,只需要部分信息相符就能通过,这和传统的公安刑侦、考勤和身份证等采用的指纹识别技术相比,验证并不严格。 对于该问题,业内人士Nemo解释道,这种情况的发生,其实是指纹识别的“自学习”功能。不过,视频中让“橘子皮”图像通过自学习加入到指纹模板中,达到解锁的效果至少需要“学习”几十次,这样的“破解”在现实生活中可操作性实在太差了。 有网友表示,“ 对技术边界探索而言,可以说是很有意义的事件。但是对日常使用环境下的逻辑而言,这种破解,其实很难成立。有谁会允许别人往自己手机上贴个胶带纸,还好好解锁三次再借给别人用的?” 指纹贴值得警惕 虽然贴层 “ 透明胶带 ” 易被机主发现,但是迈瑞微公司认为,目前市面上热卖的指纹贴,将为作案提供更多的隐蔽性和欺骗性。 指纹贴的商品介绍显示,指纹贴由外圈合金金属圈加中间感应膜组成,感应膜包括温度感应层、热压感应膜、指纹增强层等。就是这样一层感应层,实际上自身具有导电功能,如果有不良企图的人利用这种指纹贴,也是可以进行解锁的。 某店铺的商品介绍中,提示用户 “ 安装后指纹识别不灵敏,可删掉原有指纹重新录入,感应会更加灵敏便捷”。这实际上就是利用了指纹识别的算法问题,将自己的指纹和感应膜下形成的导电涂层结合,直接让机器记录新的图案。也就侧面说明了这种指纹贴的风险。 指纹贴比透明胶带更加具有迷惑性,因此更值得警惕。技术专家提示,为了避免被不良企图者利用,最好不要给自己的手机贴类似的指纹贴,而且应经常检查自己的指纹识别位置有无异物、裂缝。 稿源:cnBeta、北京青年报,封面源自网络;

中美科学家利用石墨烯系统探索量子信息处理新方式

新华社合肥 1 月 28 日电(记者徐海涛)记者从中国科学技术大学获悉,该校教授郭国平、副研究员邓光伟等人和美国加州大学默塞德分校教授田琳合作,在非近邻的石墨烯纳米谐振子之间开创性地引入第三个谐振子作为声子腔模,成功实现了远程强耦合,为以声子模式作为载体进行量子信息存储和传输创造了条件。国际权威学术期刊《自然·通讯》 1 月 26 日发表了该成果。 纳米谐振子具有尺寸小、稳定性好、品质因子高等优点,是信息存储、操控和传输的优良载体。经典和量子信息都可以被编码在谐振子的声子态上,声子态也可以用于传输这些信息。实现该方案的一个主要难题是如何在长距离上实现可调的声子相互作用,近年来国际学界尝试采用光学腔或超导微波腔作为传递耦合的媒介,但由于频率相差巨大且耦合强度通常较小,很难达到强耦合区间。 针对这一难题,郭国平研究组提出利用谐振子本身作为声子腔模来代替光腔或微波腔的设想,并设计和制备了 3 个石墨烯纳米谐振子的串联结构。在这个器件中,每个谐振子的谐振频率可以通过各自底部的金属电极进行大幅度调节。实验证明,在该串联结构中近邻谐振子可以达到强耦合区间,当把中间谐振子的频率调到接近于两端谐振子的共振频率时,两端谐振子之间出现了很大的模式劈裂,而且劈裂值可以通过控制中间谐振子的频率进行大范围调控。 使用光学拉曼过程的理论分析,研究团队获得了两端谐振子的等效耦合强度及其随着失谐量的变化关系,实验发现测量到的等效耦合与理论结果吻合得非常好。 据介绍,这个实验首次实现了石墨烯纳米谐振子中的非近邻耦合,对于机电谐振子领域的研究具有重要的推动意义,为以声子模式作为载体进行量子信息的存储和传输创造了条件。 稿源:腾讯科技、新华社;封面源自网络

挖矿病毒泛滥:黑客利用 Youtube 劫持电脑挖掘门罗币

近日,YouTube 视频网站用户抱怨他们的反病毒程序在访问 YouTube 时检测到了加密货币挖掘代码。据安全专家的研究发现,有黑客将一段恶意 JavaScript 注入网站和广告中,用户加载 Youtube 的时候,名为 Cryptojacking 的恶意代码就会启动,占用掉用户 80% 的 CPU 性能来挖掘一个名为 Monero 的加密货币。 Monero(门罗币)是一种新型的加密虚拟货币,它比之前的比特币更加匿名,用户交易时完全隐蔽,因而受到矿工们的热烈欢迎。而 Cryptojacking 正是基于挖掘门罗币提出的一个脚本程序,本意是为网站用户和脚本所有者建立一种协议,脚本所有者利用用户电脑CPU采矿,用户换取免费的电影、去广告等等。 但是,人总是贪婪的,这个脚本很快就泛滥开来,一些黑客开始无节制得利用 Cryptojacking 在别人电脑上挖矿,甚至将用户的 CPU 占用 90% 以上。去年,一些黑客开始将 Cryptojacking 做成病毒的形式植入到各种网站上,用户只要打开这些网站,电脑就会被劫持作为黑客的挖矿工具。 这也不仅仅是针对外网,2017 年 11 月,就有消息称中国电信江苏分公司校园门户网站提供下载的“天翼校园客户端”被植入后门病毒,学生运行安装包以后,该后门病毒接受黑客远程指令,利用中毒电脑刷广告流量和挖矿生产“门罗币”,还有之前星巴克的公共 Wi-Fi 也出现了类似劫持脚本。 目前,门罗币的价格约在 300 到 400 美元之间浮动,而且总体呈上涨趋势,估计网络上还会出现更多劫持病毒,提醒大家尽量不要在网络上胡乱下载文件和点击不明出处的广告。 稿源:cnbeta.com,封面源自网络

马士基董事长谈 NotPetya 惊魂10天:重设 4000 台服务器/ 4.5 万台 PC

本周召开的世界经济论坛上,马士基(Møller-Mærsk)集团董事长Jim Hagemann Snabe在演讲过程中再次谈及发生于去年的 NotPetya 网络攻击事件,导致公司整个“基础设施”几乎都重新安装了一遍。在 10 天时间内,马士基重新安装了 4000 台服务器,4.5 万台 PC 主机以及 2500 款应用程序,而如果按照正规流程下来至少需要 6 个月时间,因此董事长称之为“英雄的努力”。 Hagemann评测到:“想象下一家公司每隔 15 分钟就有 1 万到 2 万个集装箱进入港口,而在这 10 天时间内都没有 IT 方面的支持。你根本想象不出是怎么样混乱的场景。” 不过在员工的协作努力下,公司的出货量仅经历了 20% 的下降,依然有 80% 在手工方式下得以成功运作,直到系统恢复正常。马士基此前透露,此次袭击事件可能会使它的利润损失高达 3 亿美元。 相关阅读: 全球航运巨头马士基集团因 NotPetya 网络攻击损失数亿美元 稿源:cnBeta.COM,封面源自网络