据外媒 ZDNet 报道，美国白宫网络安全协调员罗伯·乔伊斯（Rob Joyce）于本周三在华盛顿特区出席活动时宣布，特朗普政府已发布一套非机密规则来更新 Vulnerabilities Equities Process（VEP）机制，以平息舆论中政府大量 “库存” 漏洞发起黑客攻击的虚假谣言。 VEP 是奥巴马就任时所发布的一套复杂而重要的保密机制，决定了美国政府在发现漏洞后衡量是否秘密通知受影响的科技公司，并提醒其产品或服务存在漏洞，以便黑客入侵前迅速修复。 今年早些时候，神秘黑客组织 “影子经纪人”（Shadow Brokers）通过窃取 NSA 存储的漏洞开展了大规模勒索软件 WannaCry 攻击活动，感染了全球 150 多个国家逾 30 万台电脑。随后，特朗普政府遭到指责并在 NSA 黑客工具被窃不到一年内更新了该份报告。知情人士透露，这一举措能够防止政府私自储存漏洞、黑客工具或网络武器，并被认为是美国政府所公布的一项极其罕见的行为，因为该机制自奥巴马执政以来一直处于保密状态。 据悉，美国此前在奥巴马的领导下成立了多机构审查委员会，以权衡情报机构发现漏洞后是否应该私下向科技公司披露。然而，批评人士认为，美国政府极有可以通过储存漏洞致使个人或商业网络处于危险之中。但乔伊斯近期在一篇博客中表示，一个政府执法的透明程度对于国家来说至关重要，其此次 VEP 机制的更新可以重建商务、国防、特勤、财政等各组织的信心。值得注意的是，最新公布的条例显示，如果国会决定尚不披露漏洞，其相关人员必须每年都要重新评估该项决策。另外，乔伊斯重申，超过 90％ 的漏洞政府都会向受影响公司披露，但不会说这是一个直接或最终的过程。 多年来，网络安全部门一直呼吁政府能够公布 VEP 机制的具体细节，因为他们认为政府实施的行动要比公开披露的事情多得多。例如：美国国家安全局并非只是负责发现漏洞，其报告显示该机构曾在过去一年内花费了2500万美元从第三方购买了之前并未公开披露的漏洞细节。近期，政府将发布一份年度报告，旨在提供有关 VEP 工作的相关信息。 附：特朗普政府官方报告《 Vulnerabilities Equities Policy and Process for the United States Government 》 原作者：Zack Whittaker，译者：青楚  本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

据外媒 11 月 15 日报道，网络安全公司 McAfee 研究人员 Carlos Castillo 于本周发布一份安全报告，宣称今年 9 月曾在应用程序 “ 亚里士多德音乐播放器 2017 ” 中发现一款新型恶意软件 Grabos，允许用户免费下载音乐的同时，不断要求他们评价应用，从而获得权限并在用户不知情下安装额外程序。经进一步调查显示， Grabos 还潜伏在其他 143 款应用程序中且已被 1740 万安卓用户下载。 研究人员表示，该恶意软件不仅可以跟踪用户位置，还可强制应用播放特定广告，从而诱导用户点击链接后通过下载恶意软件牟取暴利。知情人士透露，McAfee 在发现该恶意软件时立即向谷歌进行了报备。随后，虽然谷歌迅速在 Google Play 商店中下线了所有受影响应用，但这并不意味着谷歌市场摆脱了威胁。据称，多数已被用户下载的受损应用于近期再次进行了更新。 此外，杀毒软件公司 ESET 与俄罗斯网络安全机构 Dr Web 在 McAfee 发布报告的 24 小时后也纷纷透露发现类似事件，其结果显示多款 Google 官方应用已遭恶意软件感染，致使数百万用户在不知情下下载并触发恶意软件。对此，研究人员表示，想要保护系统不受感染，其用户不应该完全依赖谷歌商店下载应用。相反，用户应该仔细检查应用的级别与评论并注意下载权限，以防在不知情下下载受感染应用。 原作者： Jason Murdock， 译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

据外媒报道，美国快时尚品牌 Forever 21 负责人于本周二证实，旗下部分门店支付系统遭黑客未经授权访问，导致今年 3 月至 10 月期间在其涉及门店消费的用户信息或遭泄露。目前，该品牌正联合执法机构紧急展开调查。 Forever 21 目前在全球 57 个国家经营超过 815 家商店，但该品牌自今年以来逐渐失守快时尚市场，即澳洲与日本等地区频频关店，其日本的首家旗舰店已于 10 月 15 日关闭。知情人士透露，市场失守又加上发生消费者信息泄露这种事情，无疑是雪上加霜。 此外，这段时间与 Louis Vuitton、AKIRA、INDEPENDENT、Levi’s 联名的潮牌 Supreme 也发生了消费者数据泄露的案件。近日有消息人士称，在过去两个月中分别有三位消费者在美国的 Supreme 店铺使用信用卡消费后，存在其它国家被盗刷的经历。然而，Supreme 作为街头潮流的引领者，每天都有成千上万的人用信用卡在店内消费，发生这种事情实在有点说不过去。 据业界人士分析，Supreme 客户资料被盗的主要原因有三，一是客流量大，信用卡数据都是会留在刷卡机里，这也容易成为黑客盗取资料的目标；二是店员经常替换，不排除这些辞退的员工会在走的时候盗取公司的信用卡信息拿去卖；三是中国消费者惯用的无芯片信用卡容易被盗刷，在国外消费时不走银联渠道是可以非密码交易的。 目前，研究人员对于 Forever 21 和 Supreme 店内消费信息被盗这两个案例来说，想要提醒广大消费者在使用信用卡消费时需要多加小心，以便减少自身利益损失。 稿源：品牌服装网，封面源自网络；

11 月 14 日，一份落款为国网四川甘孜州电力有限责任公司丹巴县供电分公司下发的《关于禁止比特币生产的紧急通知》的文件，在国内比特币行业内流传，引发媒体报道和广泛关注。对此，记者随后联系到国家电网四川省电力公司相关工作人员，其表示没有发布过禁止比特币挖矿的文件，从管辖范围来说，电网公司也无权管辖，此前的一系列传闻是外界误读。 通知称比特币生产是非法经营 11 月 14 日晚，一位比特币 “矿工” 发给记者的截图显示，相关通知称，比特币生产属于非法经营，各并网电站也属于非法转供电经营行为，自接到通知之日起，各并网电站“全部停止比特币生产”，发电量由章谷变电站统一调度安排。文件下发时间为 11 月 3 日。该通知同时强调，对于继续非法转供电的并网电站，将予以“解网处罚”。 对此，一位矿工向记者表示，通知中的严厉措辞让他感到惊愕，“之前从没听监管层说过挖矿是非法的，而且自己的矿场也没有收到过（类似）文件。不少矿工也表达了类似的担忧。有在甘孜州经营比特币矿场的人士称：尚不确定消息是否为真，但自己的矿场已停止经营，由于冬季来临，已经准备将矿机迁往内蒙，确保“万无一失”。 系部分中小电站无供电资质 比特币挖矿真的被禁止了吗？对此，记者 11 月 15 日上午联系到国家电网四川省电力公司相关工作人员，其称，此前的一系列传闻或是外界误读。“电力公司又不是国家行政机关，怎么能决定比特币挖矿的性质呢？”该工作人员进而解释到，“电力公司的管辖范围就是用电，不管是比特币挖矿还是其他生产经营行为，只有用电方式不合法，公司才有权去约束和管控，这是一个基本前提。” 该工作人员同时称，据了解，丹巴县供电分公司下发的通知，并非公司正式文件，而是当地工作人员发布的。起因是当地进入枯水期后，发电量已经无法满足民生需求，而有部分中小电站并没有供电资质，却还在给矿场发电，才紧急发布的这一通知。 对此，有知情人士向记者透露，通知下发后，当地供电公司和水电站就已协商并达成协议，表示在冬季枯水期将优先保证民生用电。“没想到网上有人传出了这个通知，形成了比特币挖矿被禁止的一种舆论，这个解读是错误的，甚至不排除有人炒作。” 今年 9 月，ICO 等代币发行融资活动被国家多部委定性为非法融资并紧急叫停。此后，关于关闭比特币交易所的监管要求下发后，各大交易所也纷纷停止了国内的比特币交易业务。不过，就进行比特币“挖矿”是否违法，监管层面并未有过明确表态。根据财新报道称，监管人士曾表示目前还并没有国内禁止挖矿的计划。 稿源：cnBeta、每日经济新闻，封面源自网络；

据外媒报道，零日漏洞对于公众来说是一个非常大的风险，与此同时它还为攻击性网络攻击创造了一个巨大优势。随着越来越多的设备都具备了联网功能，这为该类型攻击提供额外的机会。日前，白宫网络安全协调官 Rob Joyce 公布了一份相关报告，指出政府系统中可能并没有那么多的漏洞等着攻击者利用。相反，已经知晓的漏洞会被提交给漏洞公正性评估（VEP）部门，由他们决定是否将漏洞公布于众或是保密。 根据 Joyce 的说法，在保密漏洞和未知漏洞保护这件事情上它的处理等级完全不亚于实体军事武器。许多国家都被认为对大部分漏洞进行保密处理以此来扩大它们的攻击能力，而代价是牺牲防御能力。Joyce 表示，他知道没有一个国家将其发现的所有漏洞公布于众。 稿源：cnBeta，封面源自网络；

诺基亚最近推出了 NetGuard 安全管理中心软件，旨在帮助服务提供商检测并保护系统免受勒索软件和其他恶意程序日益增长的威胁。作为这一举措的一部分，该公司还发布了 “ 2017 年度威胁情报报告 ”，该报告考察了网络通信中恶意软件行为。 根据这项研究，智能手机占所有移动网络感染的 72%。它还显示，2017 年 Android 设备感染率达到 69%。诺基亚表示，在智能手机领域，绝大多数的恶意软件目前都是作为 Trojan 化应用程序进行分发的。用户被网络钓鱼，广告或其他社交工程欺骗，下载和安装应用程序。 Android 平台有针对性的主要原因是，一旦启用了侧载，Android 应用程序就可以从任何地方下载。该平台还录到了每月 0.94% 的感染率。诺基亚表示，尽管 Google 努力阻止恶意软件进入用户手机，但是可以通过短信和电子邮件安装恶意软件。第三方商店的存在也起着重要作用，与官方应用商店相比，这些位于中国的第三方商店更受欢迎。 诺基亚这份报告显示，Windows 设备覆盖了一小部分，仅观察到 28% 的恶意软件感染率。诺基亚承认，Windows 设备感染率最终转向智能手机，因为它现在正在成为访问互联网的首选方法。另外，这份报告也显示，iOS 和其他设备覆盖了 3.54% 的感染率。 情报报告还提到了 WannaCry 的惨败。根据该公司的调查结果，WannaCry 勒索软件造成史上规模最大的勒索攻击事件，在 150 个国家感染超过 23 万台电脑。诺基亚表示，要不是安全人员发现了一个可以完全关闭 WannaCry 影响的 DNS 地址，WannaCry 勒索软件造成的伤害可能要大得多。这个 DNS 地址有效地关闭了恶意软件，并阻止了恶意软件的蔓延。 稿源：cnBeta，封面源自网络；

援引比利时当地媒体林堡要闻报（Het Belang Van Limburg）报道，因拒绝提交用户短信数据的 Skype 被罚 36000 美元。据悉，比利时当局曾于 2012 年调查一家利用 Skype 来通信的犯罪机构，要求微软公司提供相关信息和呼叫数据。 双方的争论焦点在于 Skype 的属性问题。法院认为 Skype 属于电信运营商，理应配合政府调查需求来提交相关的数据。而微软认为 Skype 是一家软件提供商，在比利时也没有微软的基础设施和员工且在 2012 年的技术还不能查看用户信息。 11 月 16 日，在比利时安特卫普开庭的审判中，最终认定 Skype 是一家电信运营商，必须要遵循和其他机构相同的责任。在审判后宣布 Skype 需要罚款 36000 美元。 稿源：cnBeta，封面源自网络；

据英国 IBTimes 报道，英国网络安全中心主管 Ciaran Marti 近期警示，俄罗斯政府疑似针对英国媒体、能源以及电信行业发动电网攻击，致使国家网络及关键基础设施面临断电危险。Marti 表示，目前俄罗斯已成功利用拒绝服务（DoS）攻击大量英国网站并企图破坏国际体系。 与此同时，爱丁堡大学的研究人员发现俄罗斯网络研究机构（IRA）利用了 419 个虚假的 Twitter 账户发布了有关英国退欧的文章，旨在干预英国政治发展。另外，《纽约时报》也报道称，与俄罗斯有关的推特账户在欧盟公投的 48 小时内发布了近 45,000 条关于英国退欧的消息。而来自斯旺西大学（Swansea University）和加州大学伯克利分校（California Berkeley University）的安全专家经调查表示，近 15 万个 Twitter 账户由全自动或半自动机器人控制，并发布推文鼓励公民投票支持英国退欧。 英国下议院文化、媒体与体育领域的主席 Damian Collins 表示，希望 Twitter 能够进一步回答俄罗斯如何利用社交平台干涉欧盟公投，因为他们需要了解俄罗斯是否已经建立一套基本架构，可以轻易利用成千上万的虚假账户发布信息，从而干预英国退欧的投票结果。 原作者：Brendan Cole，译者：青楚  本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文链接

据外媒 ZDnet 报道，美国联邦调查局（FBI）联合国土安全部（DHS）的计算机应急团队于本周二发布了一份安全预警，详细介绍了朝鲜黑客利用恶意软件 Fallchill 瞄准航空、电信与金融企业开展网络攻击的具体情况。 Fallchill 是一款恶意软件，允许黑客收集信息（OS 版本和系统名称）后进行远程操作，包括搜索、读取、写入、移动与执行文件。据悉，用户通常都是在不知情下从受感染网站中下载恶意文件。一旦打开执行，黑客就能够通过命令与控制（C&C）服务器将 Fallchill 发送至受害系统并采用多家代理混淆网络流量，从而隐藏踪迹进行远程操控。此外，该恶意软件还利用了伪造的 TLS 协议进行通信、利用 RC4 加密编码数据。 调查显示，恶意软件 Fallchill 的研发最早可追溯至 2016 年，其研究人员通过 IP 地址跟踪发现该恶意软件或与朝鲜政府支持的黑客组织 Lazarus 有关。随后，FBI 调查人员警示，黑客已成功入侵美国多数电脑系统，导致用户设备频繁出现信息丢失或业务中断的现象。对此，他们建议用户增强系统防御体系、不要轻易点击未经检验的文件，从而抵制黑客恶意攻击活动。 原作者：Stephanie Condon ， 译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

据路透社和华尔街日报报道，大约六分之一的美国政府机构发现其电脑上安装了卡巴斯基软件。美国国土安全部负责网络安全和通信的官员表示，美国政府 102 个机构和部门中除了六个以外，其余均向国土安全部发送了卸载卡巴斯基产品的报告。 调查显示，六个未发送报告的部门因为规模太小，无法自行评估，正与国土安全部就此合作。而其他 96 个响应部门中，15% 的部门在其系统内发现了卡巴斯基的产品。联邦机构卸载卡巴斯基软件的最后期限是 12 月 12 日。美国情报机构认为卡巴斯基帮助俄罗斯政府监视美国机密文件，而卡巴斯基则对此坚决予以否认。 稿源：solidot奇客，封面源自网络；