安全快讯Top News

英国隐私保护组织投诉甲骨文等企业违反欧盟 GDPR 政策

新浪科技讯 11月14日下午消息,据中国台湾地区iThome.com.tw报道,英国非营利隐私保护组织Privacy International(PI)上周投诉包括甲骨文(Oracle)在内的7家企业违反《欧盟通用数据保护条例》(EU General Data Protection Regulation,GDPR),并督促法国、英国及爱尔兰的数据保护组织展开调查。 据报道,受到投诉的7家企业全都握有大量消费者资料,包括从事数据分析的甲骨文与Acxiom,提供广告服务的Criteo、Quantcast、Tapad,以及信用报告企业Equifax与Experian。 该隐私保护组织认为,这些企业虽然都握有数百万名消费者资料,但并非是家喻户晓的品牌,因此极少受到挑战。然而,根据企业所公开的宣传文件或隐私政策,它们在利用这些个人数据时并未取得用户同意,也没有处理这些个人机密数据的依据,还缺乏GDPR所明列的透明、合法、目的限制、数据最小化及准确性等要求。 换句话说,该隐私保护组织挑战的是相关企业处理个人数据的深度,而且是GDPR对业者的基本要求。 该隐私保护组织指出,GDPR上线迄今已超过5个月了,该法令强化了个人保护自己数据的能力,对个人资料的处理有更严格的规定,理论上也提供更强大的执法权力,但GDPR真正的考验就在于执行,例如这些握有大量用户数据的企业即未曾被质疑。 GDPR祭出了高额罚金,让不少企业情愿选择撤出欧盟市场也不愿冒着触犯法律的风险,其最高罚款为2000万欧元或企业全球营收的4% ,且两者取其高者。 不过,尽管GDPR听起来非常吓人,但迄今尚未有业者受到处罚,这可能是因为每一家企业都受到了有效的指导,而在规定之内安全地运作,不过也有人认为只是还没有企业被逮到而已。   稿源:新浪科技,封面源自网络;

Play 商店存恶意应用达11个月 直到近日才被谷歌移除

新浪科技讯 11月14日下午消息,据中国台湾地区iThome.com.tw报道,安全企业ESET的研究人员Lukas Stefanko本周揭露了一个在Google Play上安然存在11个月,直到近日才被Google移除。该恶意应用伪装成电话录音程序Simple Call Recorder,而在暗地里下载其它的恶意应用,直到近日才被Google移除。 在去年11月底登上Google Play的Simple Call Recorder约有5000次的安装次数,具备完整的电话录音功能,但主要目的却是要求使用者下载及安装一个伪装成Flash Player的更新应用,只是该更新应用实质上为恶意应用。 Stefanko进一步分析后发现,Simple Call Recorder的电话录音功能与Auto Phone Call Recorder及Auto save call两款程序的代码完全相同,只是夹带了恶意功能,这两款应用都在2016年就上架Google Play。他猜测,黑客是从其它来源取得了这些应用的源代码,窃取了电话录音的功能,重新嵌入恶意程序后再上传至Google Play。 Google Play的政策明文规定禁止移动应用从Play 商店以外的地方下载可执行的程序,但内含flashplayer_update.apk的Simple Call Recorder却照样通过Google审查,而且还安然无恙地待了11个月,直到近日才被Google移除。   稿源:新浪科技,封面源自网络;

第一份 Android 生态安全报告出炉:系统越新越安全

Google 公布了史上第一份 Android 生态系统安全报告(Android Ecosystem Security Transparency Report),这是一份季报,内容来自于 Google Play Protect 所检测到的“可能存在危险的应用程序”((Potentially Harmful Applications,PHA),内容显示 Google Play 下载的应用程序比其他渠道安全9倍。 之前,Google 会提供 Android 年度安全报告,其中包含Android 系统安全趋势、Google 提供的 Android 漏洞奖金,以及在 Android 上提供的保护机制等。而此次季度报告主要针对 PHA。 Android 内置的 Google Play Protect 平均每天扫面500亿的应用,当发现可能存在危险的应用时,就会对使用者提出警告,并允许使用者关闭或下载该程序。每季的季度报告都提供三项指标,分别是 PHA 的来源(Google Play 及非 Google Play),各种 Android 版本所包含的 PHA 比率,以及不同国家的 Android 系统的 PHA 比率。 Google 表示,从 Google 下载程序的 Android 设备,只有 0.09% 会识别到 PHA,今年前三季下降到了 0.08%;相比之下,从包含 Google Play 和第三方应用市场下载程序的设备,检测到 PHA 的比率高达 0.82%,不过,今年前三年也出现了下滑,数值到 0.68%。 Google 还表示,越新的 Android 系统检测到 PHA 的比率越低,如,棒棒糖(Lollipop,Android 5.0)检测到 PHA 的比率 > 棉花糖(Marshmallow,Android 6.0)> 牛轧糖(Nougat,Android 7.0)>奥利奥(Oreo, Android 8.0)> 最新的“派”(Pie,Android 9.0)。 Google 解释说,这是因为公司持续加强 Android 平台和 API,加上常规平台和程序更新,也限制了程序对机密信息的访问。此外,包括Nougat,Oreo 和 Pie都更能够承受权限扩展攻击,让过去尝试扩展权限以避免被删除的 PHA 无处遁形。 而在 Android 的前十大市场,至少安装一个 PHA 的装置百分比中,以印度,印尼及美国的比率最高。 完整的安全生态报告看这里。   稿源:开源中国,封面源自网络;

谷歌 G Suite 账号被黑 发推文称向社区成员赠送1万个比特币

本周二,拥有80多万粉丝的谷歌生产力工具G Suite官方推特账号被黑。在诈骗推文中谷歌将会向社区成员赠送10000个比特币,不过要求消费者先支付0.1至2个比特币,然后谷歌将会返还至少1个比特币,而且返还比例高达200%。在该条欺诈推文发布一小时后被删除。 谷歌并非唯一的受害者。今天早些时候,零售业巨头Target也遭到了类似的攻击。而在过去几周,印度的一家政府机构、一家总部位于澳大利亚的咨询公司以及部分政客的账户也成为此类攻击的受害者。   稿源:cnBeta,封面源自网络;

50 个国家签署文件承诺将打击网络犯罪行为

据外媒报道,来自世界各地50个国家和超150多家科技公司签署了一项名为《Paris call for trust and security in cyberspace》的承诺以表它们致力于打击网络犯罪行为的决心。获悉,法国总统马克龙在众领导人参加一战结束100周年纪念活动前一日公布了这份文件。 签署该文件的国家有日本、加拿大和所有欧盟国家,谷歌、微软、Facebook等国际科技巨头公司也表示将致力于打击网络犯罪。 虽然美国大量政府机构和官员近些年来表示国家经历了多起网络犯罪案件包括2016年总统大选干预等,但它并没有在这份文件上签字。另外,中国和俄罗斯也没有在这份文件上签字。 据美联社报道,马克龙在由联合国文化机构UNESCO组织的互联网管理论坛活动上表达了需要更好监管互联网的迫切需要。 加拿大总理特鲁多则在签署承诺后发表声明称:“作为一个社会、作为科技领袖同时作为一个政府,我们必须要做的其中一件事情是让人们相信创新、技术…他们会觉得自己是我们正在构建的世界的一部分、是我们正在创造的工作场所的一部分。”   稿源:cnBeta,封面源自网络;

攻击预警 | 多家单位官网受到攻击,请提高警惕并做好安全措施

2018年11月以来,知道创宇404积极防御实验室在创宇盾网站舆情监测平台发现并确认,某带有强烈政治意图的境外组织对多个单位官网发起入侵攻击,包括政府、学校、事业单位和名企等。 经分析,该组织采取的主要攻击方式是,利用常见的Web漏洞攻击、通过弱口令登录后台发布信息等手段,对目标网站植入带有挑衅字样的黑页。 多名参与入侵的成员在国外社交平台Twitter发布了“战果”,如: ▼ ▼ ▼ ▼ ▼ ▼ 总结及安全建议 通过知道创宇安全大数据分析发现,近期该组织面对国内的攻击活动频繁,请各单位提高警惕,做好针对性的安全措施,如开启Web防火墙、强制更新重要入口账号密码、升级服务器操作系统的补丁等,并对加强自身网站的安全监控。

WordPress 与 WooCommerce 爆漏洞,大量网站受影响

RIPS Technologies 本周指出,WordPress 在权限处理方面的设计漏洞加上 WooCommerce 的文件删除漏洞,将允许黑客扩展权限,控制整个 WordPress 站点并执行远程程序攻击。 WordPress 和 WooCommerce 都是 Automattic 开发的产品。 WordPress 是一个开源内容管理系统(CMS),在 CMS 市场中占有 60% 的市场份额。WooCommerce,它是一个免费的电子商务插件,全球有超过400万的安装,并有 30% 的在线商店使用该插件。 RIPS 安全研究员 Simon Scannell 指出,WooCommerce 包含一个文件删除漏洞,允许商店经理(Shop Manager)删除服务器上的任何文件。 此类漏洞顶多是删除站点上的 index.php 文件并导致服务阻塞,但如果碰上 WordPress 权限处理漏洞时,可以使黑客控制整个站点。 WooCommerce 提供三种角色权限,即客户,商店经理和管理员。 商店经理主要负责管理客户,产品和订单。 在 WooCommerce 设置商店经理的角色后,WordPress 为其提供了 edit_users 的功能,并且此角色存储在 WordPress 存储库中,但 edit_users 的默认值可以编辑所有用户数据,包括管理员。 为了防止商店经理更改管理员数据,每当调用 edit_users 时,WooCommerce 就会添加元数据以限制 edit_users 的能力。 它只允许修改客户或产品数据,而不得编辑管理员数据。 但是,黑客或拥有商店经理权限的人可以使用 WooCommerce 的文件删除漏洞直接删除 WooCommerce;当 WooCommerce 关闭时,WordPress 不会删除商店经理的许可,同时 WooCommerce 对该权限所设置的限制也会失效,这时商店经理可以修改管理员数据,获得系统的管理权限,直接接管整个网站,并执行任何程序。   稿源:开源中国,封面源自网络;

nginx 安全问题致使 1400 多万台服务器易遭受 DoS 攻击

据外媒报道,近日 nginx 被爆出存在安全问题,有可能会致使 1400 多万台服务器易遭受 DoS 攻击。而导致安全问题的漏洞存在于 HTTP/2 和 MP4 模块中。nginx Web 服务器于11月6日发布了新版本,用于修复影响 1.15.6, 1.14.1 之前版本的多个安全问题,被发现的安全问题有一种这样的情况 —— 允许潜在的攻击者触发拒绝服务(DoS)状态并访问敏感的信息。 “在 nginx HTTP/2 实现中发现了两个安全问题,这可能导致过多的内存消耗(CVE-2018-16843)和CPU使用率(CVE-2018-16844)”,详见 nginx 的安全建议。 此外,“如果在配置文件中使用”listen”指令的”http2″选项,则问题会影响使用 ngx_http_v2_module 编译的 nginx(默认情况下不编译)。” 为了利用上述两个问题,攻击者可以发送特制的 HTTP/2 请求,这将导致过多的CPU使用和内存使用,最终触发 DoS 状态。 所有运行未打上补丁的 nginx 服务器都容易受到 DoS 攻击。 第三个安全问题(CVE-2018-16845)会影响 MP4 模块,使得攻击者在恶意制作的 MP4 文件的帮助下,在 worker 进程中导致出现无限循环、崩溃或内存泄露状态。 最后一个安全问题仅影响运行使用 ngx_http_mp4_module 构建的 nginx 版本并在配置文件中启用 mp4 选项的服务器。 总的来说,HTTP/2 漏洞影响 1.9.5 和 1.15.5 之间的所有 nginx 版本,MP4 模块安全问题影响运行 nginx 1.0.7, 1.1.3 及更高版本的服务器。 为缓解这两个安全问题,服务器管理员必须将其 nginx 升级到 1.14.1 stable 或1.15.6 主线版本。 目前,Shodan 搜索显示超过 1400 万台服务器运行未包含修复补丁的 nginx 版本(更确切地说是 14,036,690 台),仅有 6992 台服务器打上了安全补丁。   稿源:开源中国,封面源自网络;

黑客在 Windows 安装文件中隐藏加密货币挖掘恶意软件

安全研究人员表示,黑客现在伪装加密货币挖掘恶意软件,并将其作为合法的 Windows 安装包传递出去。研究人员表示,这种恶意软件,通常被称为 Coinminer,使用了一系列混淆方法,使其攻击特别难以检测。 这一发现来自安全公司趋势科技(Trend Micro),它表示,恶意软件作为 Windows Installer MSI 文件到达受害者的计算机上,这是值得注意的,因为 Windows Installer 是用于安装软件的合法应用程序。使用真正的 Windows 组件使其看起来不那么可疑,并可能允许它绕过某些安全过滤器。 黑客的诡计并不止于此。研究人员指出,一旦安装,恶意软件目录包含充当诱饵的各种文件。除此之外,安装程序还附带了一个脚本,可以杀掉在受害者电脑上运行的任何反恶意软件进程,以及受害者自己的加密货币挖掘模块。 研究人员还观察到,恶意软件具有内置的自毁机制,使检测和分析更加困难,它会删除其安装目录下的每个文件,并删除系统中的任何安装痕迹。虽然趋势科技还无法将攻击链接定位到特定国家/地区,但它注意到安装程序使用了西里尔语。平心而论,西里尔语似乎在加密货币罪犯中非常受欢迎。     稿源:cnBeta,封面源自网络;  

安全研究人员:英伟达 GPU 存在旁路攻击漏洞

加州大学河滨分校的研究人员,发现了三种可能被黑客利用 GPU、来攻破用户安全与隐私防线的方法。这些技术可用于监视浏览器活动、窃取密码、以及向基于云端的应用程序发起攻击。研究报道中描述的第一项,指出了 GPU 旁路攻击导致的渲染不安全:“计算机科学家们认为这是可行的,并且描述了他们如何通过对 Nvidia GPU 进行反向工程,将图形渲染和计算机堆栈都拉下水”。 英伟达发布的新卡皇(图自:Nvidia 官网) 论文原标题为《渲染也不安全:计算机旁路攻击是可行的》(Rendered Insecure: GPU Side Channel Attacks are Practical)。其声称,这是人们首次成功地对 GPU 发起旁路攻击。 当然,执行这类攻击,也有着几项前提。首先,受害设备上必须被安装了间谍软件程序,这种恶意代码可以嵌入一个无害的应用程序。 其次,攻击者必须拥有可以分析 GPU 内存分配机制的机器学习方法。然后,间谍软件和机器学习程序才可以利用现有的图形 API(如 OpenGL 或 WebGL)发起攻击。 换言之,一旦用户打开了恶意应用程序,它就会调用 API 来分析 GPU 正在呈现的内容(比如网页信息)。GPU 的存储器和性能计数器被其所监视,并馈送给机器学习算法,以解释数据和创建的指纹。 加州大学河滨分校指出,鉴于渲染对象数量和尺寸的不同,每个网站在 GPU 内存利用率方面都会留下独特的痕迹。在多次加载同一个网站时,这个信号的样式几乎时一致的,而且不受缓存的影响。 研究人员称,通过这种‘网站指纹识别方法’,他们已经能够实现很高的识别准确率。借助这项技术,黑客可监控受害者的所有网络活动。 研究配图:旁路攻击解析 更糟糕的是,这一漏洞还允许攻击者从 GPU 数据中提取密码。 当用户键入密码字符时,整个文本框会被发送到 GPU 进行渲染。每一次的击键,都会发生这样的数据传递。 如此一来,凭借完善的密码学习技术,只需监控 GPU 内存中持续的分配事件、并参考间隔时间,理论上攻击者就可以做到这点。 论文中描述的第三种技术(攻击基于云端的应用程序),则比上述两种方法要复杂一些。攻击者可以在 GPU 上启动恶意的计算型工作负载,与受害者的应用程序一起运行。 根据神经网络的参数、缓存、内存、以及功能单元上(随时间而不同的)争用强度和模式,可以产生可测量的信息泄露。 攻击者在性能计数器的追踪上使用了基于机器学习的分类,以此提取受害者的私密神经网络结构,如深层神经网络特定层中的神经元数量。 万幸的是,在团队向 Nvidia 通报了他们的研究结果后,该公司表示将向系统管理员推出一个补丁,以便他们可以禁止从用户级进程访问性能计数器。 同时,研究团队还向 AMD 和英特尔安全团队通报了同样的事情,以便它们评估这些漏洞是否会在自家产品上被利用。   稿源:cnBeta,封面源自网络;