近日，一名 15 岁的英国男孩 Saleem Rashid 发现 Ledger 公司制造的加密货币硬件钱包存在一个严重的安全漏洞，被攻击者用来窃取 Ledger 设备私钥。根据这名男孩的说法，由于 Ledger 使用自定义体系结构来解决其安全元件的许多限制，因此造成了该漏洞的出现。 攻击者可以利用该漏洞在用户接收设备之前破坏设备，或者在某些情况下以物理方式远程从设备中窃取私钥。例如以下场景： 1、在设置 seed 之前进行物理访问：也被称为“ 供应链攻击 ” 它不需要目标计算机上的恶意软件，也不需要用户确认任何事务。由于所有的私钥都是从 recovery seed 中派生出来的，因此攻击者可以窃取任何加载到设备上的资金。 2、安装后的物理访问：通常被称为“ Evil Maid 攻击 ” 这种攻击可以提取 PIN 码，recovery seed 以及任何使用的 BIP-39 口令，只要目标设备在攻击后至少使用一次。和供应链攻击一样，Evil Maid 攻击也不需要计算机上的恶意软件，也不需要用户确认任何交易。它只是要求攻击者安装一个自定义的 MCU 固件，以便于在使用时对私钥进行过滤。 3、恶意软件（带有一些社会工程） 这种攻击要求用户在受感染的计算机上更新 MCU 固件，可以通过显示一条错误消息，要求用户按住左键重新连接设备（以进入 MCU 引导加载程序）来实现。然后恶意软件使用恶意代码更新 MCU，达到控制设备上的可信显示和确认按钮的目的。 奇怪的是，当 Saleem Rashid 在首次向 Ledger 报告其发现时遭到了驳回。不过 Ledger 近期已发布了固件更新 1.4.1，并承诺 “深入探讨安全问题”。 Saleem Rashid 漏洞分析细节： 《Breaking the Ledger Security Model》 消息来源：Security Affairs、Bitcoin.com，编译：榆榆，审核：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Trend Micro 0-day 计划的研究人员发现微软的 Windows 远程协助（快速访问）功能出现严重的信息披露漏洞（CVE-2018-0878），影响目前为止所有版本的 Windows，Windows 10、 8.1、 RT 8.1 以及 7 都包括在内。利用这个漏洞，远程攻击者可以窃取目标计算机中的敏感文件。 Windows 远程协助是微软的内置工具，利用这个工具，用户与信任的人之间可以相互接管对方的计算机。这个功能原本是借由远程桌面协议（RDP）实现的。 目前，在微软 3 月份的修复日中，这个漏洞已经被修复，用户可以尽快下载补丁，更新修复。 稿源：FreeBuf，封面源自网络；

上周，以色列安全公司 CTS-Labs 称发现了 AMD Zen 架构处理器和芯片组的安全隐患，3 月 21 日，AMD 在官方博客回应，称所有漏洞都可以在未来数周内完整修复，且不会对性能造成任何影响。在谈 AMD 的修复操作之前先说说 CTS-Labs 的“ 粗糙流程 ”，因为他们在报告给 AMD 不到 24 小时之后就向媒体公开，让 AMD 很是措手不及，这一点的确不地道，毕竟业内的共识是 90 天。 AMD 首先强调，相关漏洞并不涉及前一阶段沸沸扬扬的“ 熔断 ”和“ 幽灵 ”。其次，存在安全风险的是嵌入式的安全控制芯片（32 位 Cortex-A5 架构）的固件和搭载该模块的部分芯片组（AM4、TR4 等），并非 Zen 架构本身。 最后，掌握漏洞和实施攻击都需要完全的管理员权限，门槛还是很高的。 CTS 刚放出的漏洞演示 AMD 初步将漏洞划分为三类，分别是“ Masterkey ”“ RyzenFall/Fallout ”和“ Chimera ”，前两者涉及安全芯片，后者则涉及芯片组。 解决方法上，“ Masterkey ”和“ RyzenFall/Fallout ”可通过 BIOS 更新给 PSP 固件升级完全免疫，未来几周就会放出。 “ Chimera ”同样可通过 BIOS 更新解决，AMD 正和“ Promontory ”的外包商（应该是祥硕）一道加紧协作。 稿源：cnBeta、快科技，封面源自网络；

MikroTik 是拉脱维亚的一家供应商，生产全球许多运行基于 Linux 操作系统的电信公司的路由器。该漏洞被追踪为 CVE-2018-7445，远程攻击者可以利用该服务访问该服务以在系统上执行任意代码。“在处理 NetBIOS 会话请求消息时，MikroTik RouterOS SMB 服务中发现缓冲区溢出。 访问该服务的远程攻击者可以利用此漏洞并在系统上获得代码执行权。“阅读该公司发布的咨询。“溢出发生在身份验证发生之前，因此未经身份验证的远程攻击者有可能利用此漏洞。” 研究人员发布了与 MikroTik 的 x86 云托管路由器配合使用的概念验证代码证明。核心首先在 2018 年 2 月 19 日向 MikroTik 报告了这个漏洞 . MozroTik 计划在 2018 年 3 月 1 日发布下一个版本的修复程序，并要求 Core 不要泄露该漏洞的细节。 即使 MikroTik 无法在 2018 年截止日期前发布修复程序，Core 仍在等待 2018 年 3 月 12 日星期一发布的新版本的发布。如果无法安装更新，MikroTik 建议禁用 SMB。几天前，卡巴斯基实验室的安全专家宣布已经发现了一个新的复杂的 APT 组织，该组织从至少 2012 年起至少已经在雷达中运行。卡巴斯基跟踪该组织，并确定了它使用的一系列恶意软件，称为 Slingshot，以 妥协中东和非洲数十万受害者的系统。 研究人员已经在肯尼亚，也门，阿富汗，利比亚，刚果，约旦，土耳其，伊拉克，苏丹，索马里和坦桑尼亚发现了约 100 名弹弓受害者并发现了其模块。肯尼亚和也门迄今为止感染人数最多。 大多数受害者是个人而非组织，政府组织数量有限。APT 组利用拉脱维亚网络硬件提供商 Mikrotik 使用的路由器中的零日漏洞（CVE-2007-5633; CVE-2010-1592，CVE-2009-0824）将间谍软件放入受害者的计算机中。 攻击者首先破坏路由器，然后用文件系统中的恶意代码替换它的一个 DDL，当用户运行 Winbox Loader 软件（Mikrotik 路由器管理套件）时，该库将加载到目标计算机内存中。 该 DLL 文件在受害者的机器上运行，并连接到远程服务器以下载最终有效负载，即卡巴斯基监控的攻击中的 Slingshot 恶意软件。目前还不清楚 Slingshot 团伙是否也利用 CVE-2018-7445 漏洞危害路由器。既然漏洞 CVE-2018-7445 漏洞的概念证明可用，那么客户需要将 RouterOS 升级到版本 6.41.3 以避免问题。 稿源：东方安全，封面源自网络；

Intel CEO 科再奇近日宣布，过去五年发布的 Intel 处理器已经全部修复了 Spectre 幽灵漏洞的第一个变种，而在下一代处理器中将重新设计硬件，完全免疫幽灵漏洞第二个变种和 Meltdown 熔断漏洞。作为全球  x86 处理器市场的龙头老大，Intel 面临如此严重的漏洞危机，到底是如何应对解决的？幕后又有哪些鲜为人知的故事呢？ 《财富》杂志近日特意撰文，从另外一个视角解读了这次漏洞事件，标题 “ How Intel Is Moving From Software Fixes to Hardware Redesigns to Combat Spectre and Meltdown ” ( Intel 在应对“ 幽灵 ”和“ 熔断 ”漏洞时，如何把策略从软件修复转变为重新设计硬件)。 原文编译如下： 几个星期前，在芯片制造商 Intel 工作了  20 年的资深高管 Ronak Singhal 正准备前往他在以色列最喜欢的餐厅 Helena 就餐，但在他前往这个位于海法南部地中海岸边的高级餐厅，与同事们一起庆祝升职之前，他不得不向公司的一个软件合作伙伴解释，Intel 如何为 “ 幽灵 ”和“ 熔断 ”安全问题打补丁。 当晚，负责 Intel 所有处理器架构开发的 Singhal 要面对的问题是：补丁出了问题。 在全世界运行 Intel CPU 的数百万台电脑中，“ 幽灵 ”的一个补丁会导致某些计算机死机或自动重启。虽然这只影响了一小部分市场，但已经蔓延到足以让 PC 制造商惊慌失措的程度，他们立即暂时召回了更新后的软件。 Linux 之父 Linus Torvalds 甚至被气得公开宣布 Intel 的工作“ 是垃圾 ”。 Singhal 解释说，补丁使用了一些 Intel 以前从未在其软件中使用过的技术，有些情况下并没有达到预期的效果。 他花了一个多小时才打消了承包商的担忧—— Singhal 的同事们迟迟等不到他，就先吃饭了。 “他们还为我迷路了或者被绑架了。”他以开玩笑的口吻回忆起这件事。 他最后确实参加了聚会，吃了一盘 Helena 餐厅的招牌鱿鱼。 几周后，Intel 发布了修正补丁，从那时起，针对计算史上最严重安全事件之一的修复工作进展顺利。北京时间 3 月 15 日深夜，Intel 宣布已为过去 5 年所生产的所有芯片全面部署了补丁。 对 Singhal 来说，下一步就是把修复措施直接嵌入即将发布的处理器硬件中，而改进后的硬件设计将为今年下半年发布的第八代酷睿处理器，以及有望在第四季度推出的代号为“ Cascade Lake ”的至强服务器芯片做好准备。 Singhal 说：“把保护措施植入硬件，这消除了软件补丁对性能的巨大影响。” Intel CEO 科再奇告诉《财富》杂志：“我们的第一套软件防御措施已经发挥作用了。我们已经完成了对最近 5 年和最新发布产品的修复。现在开始实施硬件防御措施，后者将植入我们的芯片内。” “ 幽灵 ”和“ 熔断 ”的变体 1、2、3 这些严重的安全漏洞存在于 Intel 及其竞争对手在过去几十年制造的几乎所有芯片中。去年夏天刚发现的时候，这些漏洞并不起眼。 Google 一个特别安全漏洞研究团队的研究人员在去年 6 月向 Intel 安全部门通报说，他们在 CPU 设计的关键部分发现了一个问题。 现代芯片通常有很多空闲的处理能力，因此，程序在早期步骤执行完毕之前，会计算几个解决问题的选项，这是情理之中的事。这种被称为预测执行的性能增长策略随后会丢弃不符合早期步骤执行结果的答案。 但是，Google 研究人员，以及随后的几个学术界团队，都发现了欺骗芯片、使其泄露密码和加密密钥等数据的方式，因为预测执行计算使用了这些数据。 研究人员把这种欺骗方法的其中两个变体称为“ 幽灵 ”，这是《007》电影中与詹姆斯·邦德对抗的邪恶组织的名称，并把第三个变体称为“熔断”，因为它可以有效地“熔断”安全障碍。 这个危险对于云服务器来说尤其严重，因为来自多个客户的程序可能会在同一个芯片上并在网络浏览器中运行，而网络浏览器可能不知不觉地执行来自一个网站的代码。 2017 年 7 月初，Intel 和其它芯片制造商已经意识到该问题影响范围巨大，并召集了多个小组来开发解决方案。 Singhal 召集了一次晨会，有时候会持续两个小时，以此来协调  Intel 在俄勒冈州、加州、德克萨斯州和以色列的应急响应办公室。来自不同时区的人不停歇地全天候处理这个问题。 自始至终，计划都是首先发布软件补丁，然后把保护措施纳入未来的芯片设计中。 软件补丁的代价是降低了受影响 CPU 的性能，而降低的程度取决于 Intel 芯片的类型，以及运行的程序。 在一台配备 Kaby Lake 酷睿 i7 处理器的 PC 上进行的测试表明，大多数应用的速度降低了不到 10％ ，在日常使用中难以觉察到。 微软警告说，运行 Windows 7/8 系统以及 5年前的 Intel Haswell 处理器的 PC 会受到重大影响。 Intel 最新的安全措施 为此，Intel CEO 科再奇设立了一个新的小组 IPAS ( Intel 产品保障与安全)，不仅修复“ 幽灵 ”和“ 熔断 ”漏洞，还将更高效地应对未来的安全问题。1979 年就加入 Intel 的高管 Leslie Culbertson 负责领导 IPAS 小组。 科再奇说，“这是一个全新的研究领域和全新的安全理解领域，需要 Intel 的长期投资”，重点将是发现未来的漏洞，还有如何让芯片更安全这个普遍问题，“你会看到持续的进展——这就是这个团队的工作”。 Singhal 说：“我们知道这不是故事的结局。对于我们很多人来说，这或许会是一项持续的工作。” 当新闻媒体在今年 1 月初报道了有关“幽灵”和“熔断”的新闻之后，Intel 的股价遭受重击，因为投资者害怕安全问题会减缓芯片销售。 最近，一些分析师认为，内置保护措施的全新 Intel 芯片可能会刺激更多的销售，因为企业希望升级到更安全的硬件。 Intel 的股价今年迄今为止已经增长了 12％，超过了标准普尔 500 指数 3％ 的增幅。 科再奇说：“我们从一开始就说，我们认为影响微不足道。分析师需要意识到，我们持续进行此类改进——提高安全性和性能以及增加新功能，以推动升级换代。” 稿源：cnBeta、快科技，封面源自网络；

据外媒 3 月 16 日报道，在最近一系列利用漏洞插件的攻击之后，SafeBreach 的研究人员探讨了具有第三方可扩展性机制的高级文本编辑器如何被滥用来提升设备权限，并针对 Unix 和 Linux 系统检查了几种流行的可扩展文本编辑器（Sublime、Vim、Emacs、Gedit、pico / nano）。经过研究发现，除 pico / nano 之外，所有受检查的编辑器都受到了一个关键的特权升级漏洞影响，攻击者可以利用这个漏洞在运行易受攻击的文本编辑器的目标设备上运行恶意代码。 据悉，大多数现代文本编辑器允许用户通过使用第三方插件来扩展功能，以此其增大攻击面。 研究人员认为这种情况非常严重，因为第三方插件可能会受到关键的特权升级漏洞影响，波及到类似 WordPress 、Windows 的 Chrome、Firefox 以及 Photoshop 等流行软件的插件。 目前该漏洞被认为与这些文本编辑器加载插件的方式有关，因为它们在加载插件时没有正确分离常规模式和高级模式。 SafeBreach 的研究表明，这些带有第三方插件的文本编辑器是另一种用来获得设备特权提升的方式，并且无论编辑器中是否打开了文件，使用这种方式来获得提升都能成功，即使是在 sudo 命令中运用常用的限制也可能无法阻止。 因此 SafeBreach 提供了的一些缓解措施： ○ 实施 OSEC 监督规则 ○ 拒绝为非提升用户编写权限 ○ 更改文件夹和文件权限模型以确保常规模式和高级模式之间的分离。 ○ 在编辑器升级时阻止加载第三方插件 ○ 提供一个手动界面来批准提升的插件加载 消息来源：Security Affairs.，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

英特尔 CEO Brian Krzanich 今天宣布，下一代至强 Scalable（Cascade Lake）处理器和第八代英特尔酷睿处理器将采用全新设计的组件，并解决了 “Meltdown”（熔断）和 “Spectre”（幽灵）漏洞。“Spectre”（幽灵）变种 1 仍然需要通过软件解决。英特尔的下一代处理器将通过硬件设计的变化解决 “Spectre”（幽灵）变种 2 和 “Meltdown”（熔断）变种 3。 下一代至强 Scalable（Cascade Lake）处理器和第八代英特尔酷睿处理器将于2018年下半年面向厂商出货。除了硬件变化，英特尔还表示，将会对过去5年终所有的产品推出软件微代码更新，并建议所有顾客将系统升级到最新版本。 苹果在今年1月初开始解决“Meltdown”（熔断）和 “Spectre”（幽灵）漏洞，并发布了 iOS 11.2、macOS 10.13.2 和 tvOS 11.2 等升级修复熔断漏洞。iOS 11.2.2 和 macOS High Sierra 10.13.2 补充更新修复幽灵漏洞。 稿源：cnBeta，封面源自网络；

微软已经修补了 Meltdown 和 Specter 硬件漏洞，虽然该公司表示将在未来几个月内推出更多缓解措施，但它也试图确保没有任何可利用的漏洞会针对其用户。因此，这家软件巨头正在推出一项奖励计划，为那些发现新 bug 并将其向微软公开的人提供巨额奖金。 例如，第 1  层部分包含新类别的推测性执行攻击，并且可以带来不低于 25 万美元的财务奖励，而那些符合第 2 层和第 3 层的资格奖励则涉及绕过 Azure 测性执行缓解和绕过  Windows 推测性执行缓解的攻击方式，分别可以赚取高达 20 万美元奖金。 最后研究人员在 Windows 10 或 Microsoft Edge 中披露一个已知的漏洞实例，披露信任边界上的敏感信息，可获得 25000 美元的奖金。推测性执行攻击渠道漏洞需要行业响应。为此，微软将根据漏洞披露的原则，分享在此计划下发现的漏洞，以便受影响的各方可以就这些漏洞的解决方案进行合作。与安全研究人员一起，微软可以为客户构建更安全的环境。 新的 bug 奖励计划将于 3 月 14 日启动，并将持续到 12 月 31 日，微软表示如果发现任何攻击漏洞，所有细节将与其他公司共享，以便为所有客户提供保护。这种方法表明，微软及其合作伙伴最优先考虑这些硬件漏洞，尽管该软件巨头是首批为推车行为漏洞启动奖励计划的公司之一。 稿源：cnBeta，封面源自网络；

在本月的补丁星期二活动上线的累积更新，微软推送安全补丁修复一项利用微软 RDP 远程桌面协议的严重漏洞 CVE-2018-0886，影响所有 Windows Vista 以后的 PC 系统。如果攻击者利用 RDP 协议的远程代码执行漏洞，将通过远程桌面控制端向远程桌面端发起中间人攻击注入可执行恶意密码，这一漏洞率先由信息安全公司 Preempt 发现并向微软报告，微软成功在公布期内修复了此漏洞，目前尚未被黑客利用，但公司敦促各组织企业的 IT 管理员尽快安装最新累计更新。 该漏洞利用了一项在客户端计算机上启用凭据安全服务提供程序 (CredSSP) 身份验证的逻辑缺陷，会在用户使用Windows远程管理应用和 RDP 远程桌面协议发生，由于是逻辑性错误，这将影响所有部署 RDP 协议的 Windows 系统版本，包括 Windows Vista/7/8.x/10 等，请用户尤其是企业级用户尽快升级累积更新。2017 年 8 月 20 日首次向微软 MSRC 披露此漏洞，2017 年 8 月 30 日微软回应已经执勤。 稿源：cnBeta，封面源自网络；

外媒 3 月 13 日消息，以色列安全公司 CTS Labs 发布报告称 AMD Zen 架构处理器和芯片组中存在 13 个类似 Spectre / Meltdown 的严重漏洞，影响了AMD Ryzen 和 EPYC 系列的处理器 。这些漏洞可能会允许攻击者访问敏感数据、在芯片内部安装恶意软件来获得对受感染系统的完全访问权限。目前根据 AMD Ryzen 桌面处理器、Ryzen Pro 企业处理器、Ryzen 移动处理器、EPYC 数据中心处理器的受影响情况，这些漏洞已被分为 RYZENFALL、FALLOUT、CHIMERA、MASTERKEY 四类。 RYZENFALL（v1，v2，v3，v4） 这些缺陷存在于 AMD 的安全操作系统中，影响 Ryzen 安全处理器（工作站/专业版/移动版）。 根据 CTS Labs 研究人员的说法，RYZENFALL 漏洞允许在 Ryzen 安全处理器上执行未经授权的代码，从而使得攻击者能够访问受保护的内存区域。此后，攻击者将恶意软件注入处理器中，并禁止 SMM 保护，以防止未经授权的 BIOS 刷新。 攻击者还可以使用 RYZENFALL 绕过 Windows Credential Guard 来窃取网络证书，然后将被盗数据传播到该网络内的其他计算机（甚至可能是高度安全的 Windows 企业网络）。 FALLOUT（v1，v2，v3） 这些漏洞位于 EPYC 安全处理器的引导加载程序组件中，能够允许攻击者读取和写入受保护的内存区域，如 SMRAM 和 Windows Credential Guard 隔离内存。除此之外，FALLOUT 还可能被利用来将持久的恶意软件注入到 VTL1 中（VTL1：安全内核和隔离用户模式( IUM )执行代码的区域） 。不过 FALLOUT 攻击似乎仅影响使用 AMD EPYC 安全处理器的服务器。 和 RYZENFALL 一样，FALLOUT 也会让攻击者绕过 BIOS 刷新保护，并窃取受 Windows Credential Guard 保护的网络凭据。 CHIMERA（v1，v2） 这两个漏洞实际上是 AMD 的 Promontory 芯片组内的隐藏制造商后门。据悉，该芯片组是所有 Ryzen 和 Ryzen Pro工作站的组成部分。 目前其中一个后门程序已经在芯片上运行的固件中实现，而另一个后门则在芯片的硬件（ASIC）上。实现这些后门程序后，攻击者能够在 AMD Ryzen 芯片组内运行任意代码，或者使用持久恶意软件重新刷新芯片。此外，由于WiFi、网络和蓝牙流量需要流经芯片组，攻击者也可利用芯片组的中间人位置对设备发起复杂的攻击。 研究人员透露，通过侦听流经芯片组的 USB 流量，允许攻击者看到受感染设备上的所有受害者类型，从而实现隐身键盘记录程序。 MASTERKEY（v1，v2，v3） EPYC 和 Ryzen（工作站/专业版/移动版）处理器中的这三个漏洞可能允许攻击者绕过硬件验证指导，以便使用恶意更新重新刷新 BIOS，并渗透到安全处理器以实现任意代码执行。 与 RYZENFALL 和 FALLOUT 一样，MASTERKEY 也允许攻击者做出一些恶意行为，比如：在 AMD 安全处理器中安装隐秘和持久的恶意软件、以最高的权限运行在内核模式下、绕过 Windows Credential Guard 窃取网络证书 。 除此之外，MASTERKEY 漏洞还允许攻击者禁用安全功能，如固件可信平台模块（fTPM）和安全加密虚拟化（SEV）。 CTS Labs  披露的这些漏洞可能会给 AMD 及其客户带来一些麻烦，并且也有可能需要几个月的时间才能解决所有的缺陷。 CTS Labs 披露漏洞细节： 《 Severe Security Advisory on AMD Processors 》 AMD 回应 Zen 安全漏洞（相关报道）： Security Researchers Publish Ryzen Flaws, Gave AMD 24 hours Prior Notice   消息来源：thehackernews，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。