公安部近期发布 2017 年暑期防范电信网络诈骗安全提示，提醒群众在暑假期间防范兼职刷单、高考招生、助学金、校园贷和网购退款五类多发性电信网络诈骗，切实维护自身财产安全和合法权益。 一、兼职刷单诈骗。兼职刷单诈骗中，诈骗分子冒充客服人员向被诈骗对象发送链接，声称点击链接，购买商品成功后，货款会退还，还有返利提成，甚至会让被诈骗对象填写一份入职资料，让其以为自己被正当公司聘用赚钱。在完成第一单购买任务后，被诈骗对象会收到客服之前约定的刷单返利，当交易达到一定数量后，所谓的客服人员就会切断与被诈骗人的联系，就此消失。 二、高考招生诈骗。高考过后谨防“分不够，钱来凑”的虚假招生骗局。诈骗分子常伪造公文，利用家长对特长加分、艺考、军校招生以及自主招生政策的不了解，谎称有高校的“内部指标”或者“计划外指标”，只要出价合理就保证录取。 三、助学金、奖学金诈骗。诈骗分子冒充国家工作人员以发放助学金、奖学金的名义，要求学生提供银行卡卡号和密码，直接诱导学生到ATM机进行转账操作。 四、校园贷诈骗。诈骗分子谎称办理校园贷需要提请贷款的学生缴纳数千元的保险金，诱骗学生多次转账汇款；又或者在大学校园内以给好处费为诱饵，让大学生提供自己的个人信息在网贷平台贷款或购买高档手机等，承诺所有贷款不用大学生偿还，事后还会给大学生几百元甚至数千元的现金作为好处费。然而一但贷款成功，诈骗分子便卷款消失。 五、网购退款诈骗。学生是网购的重要群体，诈骗分子非法获取网购买家信息后，以商品有问题为由，联系买家退款，退款过程中诈骗分子利用被诈骗对象对网络借贷的陌生，诱使买家进入网络借贷平台，在诈骗分子的不断指引下，一步步从网贷平台上借出现金并转账给诈骗分子。 公安部有关负责人表示，公安机关将继续加大打击电信网络诈骗犯罪力度，积极会同相关部门全面落实综合防控措施，不断提高群众防范意识，坚决遏制电信网络诈骗犯罪高发势头，切实维护人民群众财产安全。 稿源：cnBeta、TechWeb，封面源自网络

德国近期通过一项新法律，规定任何一个用户数量超过 200 万的社群或媒体平台必须严格把关，将这些负面言论排除在外。如果有任何违法、种族歧视、仇恨言论，都必须在 24 小时之内删除，如果超时言论还在，那么这些平台就会被处以 500 万到 5000 万欧元不等的罚款。 这项新法律的颁布意味着 Facebook、Twitter 以及拥有 YouTube 的 Google 都必须遵守。其实德国推出这项新法律在很大程度上是因为这几年来不断有难民涌入德国，而这个数字仍在不断上升，难民的涌入让德国少了以往的宁静祥和，为此有一些当地民众发布了种族歧视或是仇恨言论，如不加以控制，那么本地人与难民之间的矛盾会迅速激化，后果不堪设想。 有支持新法律的自然也有反对的，一些人认为这项法律就是限制了人民的言论自由，同时人民的言论是否适当，其决定者不应该是平台方，这样会更有利于这些社交平台以言论不当的方式随意删除和屏蔽人民的发言。尽管有不少反对的声音，但据了解该新法律会在今年 10 月，也就是德国总统选举之后正式生效。 稿源：cnBeta、威锋网，封面源自网络

安全公司 Palo Alto Networks 研究人员报告指出一种主要流行针对中国用户的恶意 Android 木马 SpyDealer，该恶意程序设计窃取 40 余款流行应用的数据。目前，虽然研究人员已通知 Google ，但该恶意程序并非通过 Google Play 商店传播。 研究人员表示，有证据显示 SpyDealer 能通过被入侵的无线网络感染中国 Android 用户。一旦感染，它会利用商业 root 工具 Baidu Easy Root 获取设备的 root 权限，滥用  Android Accessibility Service 功能从应用且其敏感信息，大量收集用户信息，包括 IMEI、IMSI、SMS、MMS、联系人、账号、呼叫历史、位置、连接的 Wi-Fi 信息。 此外，SpyDealer 能自动响应特定号码，通过  UDP、TCP 和 SMS 渠道远程控制设备，用麦克风和摄像头记录附近视频、音频、拍照和屏幕截图。还能从 40 多款流行应用中提取个人信息，这些应用包括微信、Facebook、WhatsApp、飞信、人人等社交软件。SpyDealer 最早版本现身于 2015 年，目前仍然在活跃更新，最新版本于五月释出。 稿源：Solidot奇客，封面源自网络

据外媒 7 月 7 日报道，早期版本的 Petya 勒索软件开发人员 Janus 在线免费发布了解密密钥，旨在关闭 Petya 项目、恢复受害者已被感染的加密文件。 调查显示，Janus 并未参与针对乌克兰的最新攻击，此次勒索软件系由未知黑客盗版并加以传播利用的。安全公司 MalwareByte 发布声明，指出由于勒索软件 Petya 肆意传播，Janus 决定关闭 Petya 项目，并在线发布该勒索软件解密密钥，允许以前遭受 Petya 攻击的所有受害者恢复文件。 卡巴斯基（KasperskyLab）研究人员证实，Janus 发布的解密密钥可恢复被早期版本的 Petya 勒索软件 与 GoldenEye 勒索软件感染的加密文件。GoldenEye 是 Janus 于 2016 年创建的一款基于 Petya 代码的勒索软件，由某未知名黑客于 2017 年盗取编译应用程序并进行修改与传播。 研究人员推测，早期版本的 Petya 源代码从未在线公开泄漏过，若黑客能够重新进行编译，或间接证明 Janus 以某种方式与当前爆发的攻击活动相关（这是他的工作或他已将代码出售给另一名攻击者）。目前专家证实，黑客在大规模的 NotPetya 攻击中使用了基于 GoldenEye 代码的被盗版本勒索赎金。但不同于以前的版本，NotPetya 变体未实现解密文件功能。 原作者：Pierluigi Paganini，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

据外媒 7 月 7 日报道，谷歌于近期发布了一份关于 Android 设备的安全更新报告，警示 Broadcom Wi-Fi 芯片存在一处远程代码执行漏洞 BroadPwn（CVE-2017-3544），或将影响数百万台 Android 设备以及部分 iPhone 机型。 BroadPwn 漏洞影响 Broadcom BCM43xx 系列的 WiFi 芯片，允许远程攻击者可在没有与用户交互的情况下，在具有内核特权的受损设备上触发漏洞、执行恶意代码。 据悉，Google 修补了数十个重要漏洞与 100 多个中等问题。此外，研究人员还修补了几个影响 Android Mediaserver 进程的关键漏洞，其中一些漏洞可能被攻击者远程执行恶意代码。值得注意的是，在 Mediaserver libhevc 库中的输入验证漏洞（CVE-2017-0540）能够允许攻击者使用特制文件在媒体文件与数据处理的过程中损坏内存。 目前，虽然 Google 已发布关于 Pixel 与 Nexus 设备的安全更新，但剩下的 Android 设备仍易遭受攻击。除非各原始设备制造商（ OEM ）能够立即检测并修复漏洞，不然无法完全解决当前问题。 附：《 Google 2017 年 7 月 Android 安全更新报告 》 原作者：Pierluigi Paganini，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

沃通和 StartCom 在去年被发现签发假证书后被各种浏览器厂商取消了信任，但已经签发的证书仍然已白名单的形式被信任。近期， Google 宣布将完全取消对沃通和 StartCom 所有证书的信任，包括过去签发的证书。 Google 督促仍然使用沃通和 StartCom 的网站 “立即替换这些证书”。 稿源：Solidot奇客，封面源自网络

据外媒报道，外界可能会认为美国军方的邮件服务 mail.mil 将比 Gmail 和其他免费的替代方案更安全，但显然不是这样。2015 年外媒 Motherboard 的一项调查显示，尽管它确实有保护分类信息的系统，但它甚至没有使用 STARTTLS (纯文本通信协议扩展) 一种已推出 15 年之久的加密技术，可以防止电子邮件在发送过程中被拦截。 这将可能使未分类的电子邮件被监视，并使它们在发送过程中容易受到攻击。现在，由于认为 mail.mil 缺乏安全性，五角大楼表示，最终将开始加密士兵的电子邮件，但直到 2018 年 7 月才能开始。 此前 Gizmodo 也曾发现军方的电子邮件服务不使用 STARTTLS，因为这将阻止美国国防信息系统局（ DISA ）筛选含有恶意软件、网络钓鱼攻击和漏洞的消息。DISA 在一封信件表示，其使用国家级情报开发的检测方法 “将在 STARTTLS 启用后无效。” 为了能够实施该技术并将其作为默认功能，它必须迁移到 “ 新的电子邮件网关基础设施 ”，而且迁移将在明年 7 月之前完成。 DISA 已经透露其向参议员 Ron Wyden 提交了一封信件，说明迁移军队电子邮件服务的计划。Wyden 曾质疑该机构未使用 “ 基础、广泛使用及易于使用的网络安全技术 ”。Wyden 在一份声明中表示，这一举措绝对是朝着正确方向迈出的一步，但他也对还需一年时间才能完成迁移表示不满：“ 保护美国军人的通信应该是一个优先事项，所以我希望这个机构加快时间安排。” 稿源：cnBeta，封面源自网络

2015 年美国前总统奥巴马通过了一项 “ 网络中立 ” 政策,用来保持互联网的开放和公平性。而特朗普领导下的美国联邦通信委员会（ FCC ）已通过推翻这项网络中立政策的提案。亚马逊、Reddit 及 Mozilla 等公司已经决定在 7 月 12 日举行一次 “ 网络中立 ” 抗议活动 ，近日 Facebook 和谷歌确认也将参与此次抗议。 亚马逊、Netflix、Reddit、Kickstarter、Mozilla、Vimeo 和 Etsy 等公司将与电子前沿基金会（EFF）和数百个其他组织在 7 月 12 日一起参加一次抗议活动，“ 拯救网络中立互联网活动日” ，这些组织包括美国公民自由联盟、媒体正义中心、美国图书馆协会、组织行动、需求进展、绿色和平组织、MoveOn 等。 这些公司和机构的目标是向 FCC 和美国发出强烈的信息。随着谷歌和 Facebook 的加入，这项抗议活动会变得更加声势浩大。FCC 主席 Ajit Pai 已经誓言要推翻网络中立政策。而在 4 月份，美国总统特朗普签署了一项法案，废除 FCC 前任主席 Tom Wheeler 多年来推出的一些法规。 稿源：cnBeta，封面源自网络

据外媒 7 月 6 日报道，英国数字权利组织 Privacy International 已向美国提起联邦诉讼，要求发布五眼情报联盟披露相关信息。 五眼情报联盟形成于二战期间，1946 年签署《 英美通信情报协议 》后正式成立。其联盟由美国、英国、澳大利亚、加拿大与新西兰五国情报机构组成，旨在实现各国政府企业间情报信息的互联互通，共享商业数据、窥探策略、技术手段与信息收集成果。 调查显示，协议最新公开版本发布于 1955 年，揭示了情报数据传播途径。随着科技的迅猛发展，原有法律标准与限制已无法满足时代要求。在此情景下，Privacy International 要求公开五眼联盟情报收集的具体操作细节，因为现有方法极有可能将其他国家置于险地。前美国国家安全局（ NSA ）分析师爱德华 • 斯诺登（Edward Snowden）泄露的文件显示，包括英国政府通信总部（GCHQ）在内的情报机构均利用大型设备获取海量通信数据。  据悉，Privacy International 在诉讼中要求五眼情报联盟发布当前最新版本的《 英美协议 》（UKUSA Agreement），内容包括政府如何实现协议条款、按协议要求交换情报标准与流程以及提供有关美国政府收购、储存、分析与传播美国通信的具体信息等。 耶鲁法学院媒体自由与信息获取部（ MFIA ）研究员 Hannah Bloch-Wehba 表示，限制政府监控行为的法律法规是民主监督的基础。公民如不了解五眼联盟情报共享流程，则无法判断此类秘密监控是否符合宪法规定，而政府拒绝提供相关规则最基本资料的举动将扼杀执法部门公信力、破坏国家民主制度。 原作者：Jason Murdock，译者：青楚，译审：游弋 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

《 纽约时报 》援引美国国土安全部和联邦调查局的一份联合报告称，不明身份的黑客在过去两个月中一直针对美国核电运营商发起猛烈攻击。据悉，黑客针对负责监督堪萨斯州伯灵顿外的核电厂 Wolf Creek 公司开展攻击活动。 此外，报道还指出，能源公司和制造工厂也成为了黑客攻击的目标，但目前这些公司名单尚未被公布。攻击的严重程度及攻击的动机也尚不清楚。黑客可能有意窃取美国的基础设施商业秘密，或是对能源设施的运作造成破坏。另外，目前也不清楚 Wolf Creek 员工是否是唯一受害者。 《 纽约时报 》称，这份联合报告指出，“ 没有迹象表明黑客已经能够从受害者的电脑跳转到设施的控制系统 ”。知情官员还证实，其 “运营系统” 与设施的计算机网络分开，防止类似网络攻击使黑客能够直接控制核电厂系统。 稿源：cnBeta，封面源自网络