HackerNews 编译，转载请注明出处： 全球最大的非营利性认证网络安全专业人士协会ISC2的最新调查显示，网络安全团队对AI安全工具的兴趣虽谨慎但正在增长。 企业正在拥抱AI工具来提升安全水平，但在此过程中，他们可能切断了未来网络人才的输送管道。 AI已至，并将持续存在 在接受调查的436名安全专业人士中，近三分之一表示他们的团队已将生成式模型、自动化响应代理或AI增强监控系统等AI工具集成到日常运营中。另有42%的团队正在测试或评估这些工具。 最大的采用者是拥有10,000名以上员工的大型企业以及IT服务和工业等数据密集型行业的企业。与此同时，公共部门组织行动迟缓，只有16%采取了行动。 在采用、测试或评估AI安全工具方面处于领先地位的行业包括：工业企业（38%）、IT服务（36%）、商业/消费领域（36%）和专业服务（34%）。而金融服务和公共部门的采用率最低，分别仅为21%和16%。 速度和效率正在推动更快的采用。约70%在安全工作中使用AI的人表示，它已经让团队更有效率，尤其是在入侵检测、网络监控和漏洞管理等繁重领域。 AI正被用于自动化以下安全工作领域： 网络监控与入侵检测：60% 端点保护与响应：56% 漏洞管理：50% 威胁建模：45% 安全测试：43% AI工具可能威胁初级岗位 超过半数（52%）的受访者认为AI工具将减少对入门级员工的需求。21%的受访者表示，AI已经改变了其组织招聘和为网络安全岗位做计划的方式。 然而，这种趋势可能对网络安全专业人员的技能组合产生长期影响。 一位受访者告诉ISC2：“你得先学会走，才能成为真正高效的跑步者。”而当下，初级员工甚至还没系好鞋带（打好基础），AI就已经跑在了前面。 安全团队正面临一个矛盾：他们需要AI是因为它让工作更轻松，但这种轻松可能以牺牲长期人才输送管道为代价。减少初级岗位招聘意味着未来专家会更少，导师指导机会减少，进入这个本就精英化严重的领域的多元化新人也会更少。 一位受访者警告：“减少入门级网络安全岗位可能导致显著的技能缺口，限制人才增长和创新。长期影响包括高级专业人员压力增大、威胁响应速度变慢，以及因争夺经验丰富人才而导致成本上升。” 新型AI增强的工作岗位 不过，并非所有人都在敲警钟。近半数（44%）表示他们公司的网络安全招聘尚未受到AI安全工具使用的影响。 31%的受访者抱有希望地认为，AI实际上可能创造新的入门级岗位，这些岗位融合传统网络知识与新兴AI技能。 根据ISC2的信息，为入门级网络安全专业人士宣传和讨论的新型及AI增强的岗位包括： AI辅助SOC分析师：与AI增强的安全信息与事件管理（SIEM）或安全编排、自动化与响应（SOAR）工具协作。 安全数据分析师/初级威胁情报分析师：专注于通过管理庞大的威胁指标数据集来帮助训练和验证AI模型。 自动化与安全编排助理：支持开发和维护安全自动化脚本和工作流（AI平台利用这些脚本和流程来采取行动）。 AI治理或合规专员：提供入门级支持，确保安全领域使用的AI系统符合道德和合规要求，以及更普遍的正常运行。 安全测试助理：测试AI驱动的安全工具的稳健性，包括评估其对对抗性输入的反应。 云安全支持分析师：与AI增强的云安全监控工具协作，确保关键云服务和数据存储库的安全、可用性和防御能力。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 你是否曾在工作时点击过钓鱼链接？如果有，那么你可能会犯下更多网络安全错误，而你的雇主应当采取“正确干预措施”。最新数据显示，仅一小部分员工造成了绝大多数的网络安全风险行为。 根据人力风险管理平台Living Security的报告，仅10%的员工将导致近四分之三（73%）的网络安全风险。该公司的数据来源于100多家企业和数亿用户事件。 Living Security首席执行官兼联合创始人阿什利·罗斯（Ashley Rose）在新闻稿中表示：“安全团队始终清楚人为因素在安全漏洞中的关键作用，但过去缺乏采取行动的可视化依据。网络安全已不仅是技术问题，更是行为问题。”世界经济论坛此前估计，95%的网络安全问题可追溯至人为失误。 Living Security详细说明，采用“正确干预措施”的企业可将高风险用户数量减少50%，并将高风险行为的持续时间缩短60%。该公司将其平台定位为风险评估和针对性培训工具，聚焦于教育与行为改进。报告中指出：“显然，2025年保护企业的关键在于管理人而不仅是系统。”建议通过数据驱动的行动计划来削减高风险用户群体。 关键发现： 极少数员工（超过1%）触发了其所在组织的大部分安全警报，这意味着不存在“通过改造或解雇单个人就能解决”人为风险问题的可能。 10%的员工将导致： 超过75%的数据丢失事件 超过65%的恶意软件威胁 超过50%的钓鱼邮件、身份验证及访问相关事件 由Cyentia Institute进行的该研究还发现，与普遍认知相反，远程和兼职员工的实际风险低于办公室员工。报告指出：“承包商和远程员工常被视为安全隐患，但其实际风险低于整体平均水平（灰色菱形标识）。就承包商而言，他们更警惕的表现可能源于诸如强制要求所有访问启用多因素认证（MFA），以及必须完成培训以维持有效状态等政策。”此外，五分之四的员工实际上对风险防控的贡献大于其引发的风险。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 你觉得自己的密码很安全，因为它有 8 个字符长，还混了一两个数字？根据 Specops 的新分析，近 99% 的泄露密码都弱到几分钟就能被破解。 要是你觉得把狗的名字和末尾加个 “1234” 的巧妙组合无懈可击，那可得再想想了。Specops 的最新研究显示，98.5% 的现实世界泄露密码客观上都是弱密码。没错，这可能包括你的密码。 Specops 的网络安全团队分析了 1000 万个真实密码，这些密码来自一个包含超过 10 亿个泄露凭证的庞大数据库。随后，团队将这 1000 万个密码绘制在了一张长度与复杂度的热图上。 只有 1.5% 的密码能进入 “强” 密码区域，其定义为至少 15 个字符长，且使用两种或更多字符类型。样本中只有 3.3% 的密码长度超过 15 个字符。这意味着，绝大多数密码用一台便宜的 GPU 设备就能瞬间破解。 在泄露的密码中，最常见的是 8 个字符长、仅包含两种字符类型的密码，比如 “Summer22” 或 “Office99”。 约 8% 的密码都属于这种极度基础的危险区域。紧随其后的是 8 个字符长、仅包含一种字符类型的密码（比如全是小写字母），这部分又占了 7.6%。 为什么弱密码是个问题？ 它们是易受攻击的目标：弱密码往往是攻击者的首个入口。一旦侵入，黑客就能在网络中游走、提升权限、提取敏感数据，而且往往不会触发安全警报。 密码重用会放大风险：大多数员工要管理几十个登录账号，密码重用很常见。一个系统的泄露可能导致内部工具、数据库甚至关键管理员控制台被访问。 它们违反法规：像 GDPR、HIPAA 和 PCI DSS 这样的数据保护法要求安全的认证实践。弱密码或重用密码达不到这些标准，可能会导致罚款、审计和法律后果。 暴力破解工具比以往更快：如今的硬件每秒能尝试数十亿次猜测。以前需要几天的事，现在几分钟就能完成，尤其是对于 10 个字符以下的密码。 加密不能解决所有问题：哈希和加盐能提高密码安全性，但无法弥补糟糕的选择。弱密码即使加密了，仍然容易被破解。 大规模攻击很常见：黑客经常使用僵尸网络发起分布式攻击，绕过速率限制等安全措施。这些方法能对跨服务的密码进行大量测试，增加成功破解的几率。 为什么 15 个字符以上成了新的最低要求？ 尽管进行了十年的安全意识培训、发布了钓鱼警告，还有关于俄罗斯僵尸网络的报道，人们和组织仍然允许弱密码进入他们的系统。 “很多用户仍然选择弱的、容易被猜到的组合，网络罪犯几秒就能破解。”Specops 的高级产品经理达伦・詹姆斯说。 有了 GPU 驱动的设备和云破解服务，对于在破解过程中计算密码可能性的攻击者来说，12 个字符以下的密码都是唾手可得的目标。 增加复杂度，比如使用符号或大小写混合，能提高熵值，减缓暴力破解攻击。不过，更新后的 NIST 指南现在更强调长度。这意味着，使用 16 到 20 个字符的密码，远比依赖特殊符号或随机大写字母要好。 15 个字符或更长，且至少包含两种不同字符类型（字母、数字、符号），能将可能的组合数提升到数万亿甚至更多。这些数字会让即使是高端的破解设备也倍感吃力，将预期的破解时间从几小时延长到几年甚至几个世纪。 要创建强密码，可以使用密码生成器和密码管理器来安全管理不同平台的访问权限。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： MITRE 推出了一个新的网络安全框架，旨在解决加密货币等数字金融系统中的漏洞。 该框架名为 “数字资产支付技术中的对抗性行动（AADAPT）框架”，为开发者、政策制定者和金融机构提供了一种结构化方法，用于识别、分析和缓解与数字资产支付相关的潜在风险。 MITRE 表示，7 月 14 日发布的 AADAPT 框架借鉴了来自现实世界攻击的见解，这些见解引自 150 多个来源，包括政府、行业和学术界。 AADAPT 框架明确了与数字资产支付技术相关的对抗性策略、技术和流程，包括共识算法和智能合约。与加密货币相关的网络威胁包括双花攻击、钓鱼骗局和勒索软件事件，这些威胁影响企业、政府和个人用户。 MITRE 指出，小型组织、地方政府和市政当局尤其脆弱，它们往往缺乏资源来加强自身的网络安全措施。AADAPT 框架旨在通过提供符合这一金融市场领域独特需求的实用指导和工具，来解决这些差距。 MITRE 网络技术副总裁温・马斯特斯表示，加密货币等数字支付资产注定会改变全球金融的未来，但其安全挑战不容忽视。借助 AADAPT，MITRE 正助力相关利益方采取强有力的安全措施，不仅保护其资产，还能建立整个生态系统的信任。 AADAPT 以 MITRE 的 ATT&CK 框架为蓝本，其策略和技术与 ATT&CK 框架相辅相成。 2025 年 7 月，网络安全公司 CertiK 发现，2025 年上半年，约 24.7 亿美元的加密货币通过诈骗、黑客攻击和漏洞利用被盗。这一激增源于 2 月针对加密货币交易所 Bybit 的一次黑客攻击，导致 14 亿美元的加密货币被盗。此次 Bybit 黑客攻击与朝鲜国家支持的 APT 组织 Lazarus 有关。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 英国信息监管机构对TikTok开出罚单一事取得重大进展，法院裁定该机构胜诉。信息监管机构指控TikTok违反了英国《通用数据保护条例》（GDPR）。 “初审法庭”裁决确认，英国信息专员办公室（ICO）的确有权对TikTok开出罚单通知（MPN）。英国信息专员办公室最初开出的1270万英镑罚单针对TikTok多次违反英国GDPR的行为——尤其是第8、12、13和5（1）（a）条。 监管机构称： 2020年约有140万名13岁以下儿童使用TikTok，这违反了该公司的规定 TikTok在未征得监护人同意的情况下使用这些未成年人的个人信息为其提供服务 TikTok未能采取足够措施核查平台用户身份，也没有识别和清理13岁以下的未成年用户 TikTok在法庭听证会上辩解称其数据处理行为属于“艺术目的”范畴，因此应适用GDPR的“特殊目的”条款——该条款限制了信息专员办公室的执法权限。抖音海外版的代理律师主张监管机构属于越权执法。 不过法院认定，本案罚单主要针对的是13岁以下儿童个人信息处理行为，故不适用特殊目的条款。英国信息专员约翰·爱德华兹对判决结果表示欢迎。 他解释道：“这是我们问责TikTok同类平台的重要一步，这些企业在提供在线服务时——尤其是对儿童——存在滥用用户信息的行为。这不仅是我们监管机构的胜利，更为公众赢得了保障，使我们能继续守护数字世界中未成年人的安全。” 然而博弈尚未终结。根据信息专员办公室说明，TikTok有权向上级法庭提起上诉。即使上诉失败，随后还将针对“上诉中提出的实质性问题进行完整听证”。本案罚单最初于2023年开出，显示出此类案件的漫长诉讼周期。隐私保护组织普遍担忧，财力雄厚的科技公司会通过马拉松式诉讼拖垮罚单执行程序，甚至最终逃避处罚。 这种情况令部分人士质疑罚款作为合规手段的有效性，并探讨是否应让企业高管为违规行为承担个人责任以改善监管效果。今年3月，英国信息专员办公室已针对TikTok及其他科技公司在未成年人信息使用问题上启动新一轮调查。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 海康威视坚定维护加拿大市场存在，通过法律行动反击政府禁令。 此前海康威视接受《加拿大投资法》的国家安全审查，结论认定其对加拿大国家安全构成威胁。因此，加拿大联邦政府于6月27日命令该公司停止在加运营并关闭业务，同时禁止所有联邦机构、政府部门及国营企业采购海康威视产品。 海康威视提起法律诉讼推翻加方限制 海康威视加拿大公司发言人7月7日公开声明，确认将“全力挑战该禁令，捍卫我们认为正确的立场”。公司已向加拿大总检察长提交申请，要求启动政府决定的司法审查程序，并请求法院在审查完成前暂停执行禁令。 据发言人透露，在与总检察长达成协议后，海康威视加拿大公司已暂时恢复正常运营，等待法院对暂缓执行申请的裁决。发言人强调，海康威视“始终全力投入加拿大市场及当地合作伙伴”，并“承诺在寻求法律救济过程中，全面保护和支持加拿大员工、经销商、安装商、集成商及终端用户”。 声明补充：“自进入加拿大市场以来，我们始终遵守所有适用法律法规，并将继续坚持立场——海康威视的产品与技术从未危及加拿大或任何运营所在国的国家安全。”       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 人人都信任PDF——而这正是网络犯罪分子如此痴迷于它们的原因。 便携式文档格式（Portable Document Format），更常被称为PDF，每天被分发数百万次。从税务文件、简历到发票、数字手册或任何其他信息，都通过电子邮件以PDF附件的形式发送。 PDF简单、跨平台且普遍受信任。它们可以包含图像、可点击链接和看似官方的标识。这使它们成为攻击者想要混入其中的完美载体，也正是黑客们当前痴迷于它们的原因。 过去几个月，网络安全分析师观察到通过PDF文件发起的钓鱼攻击急剧增加。这些PDF被设计成模仿科技巨头和服务提供商的合法通信，以诱骗受害者泄露凭证或下载恶意软件。 根据思科Talos的洞察，在2025年5月5日至6月5日期间，使用PDF附件进行品牌冒充的行为激增。被冒充最多的品牌是微软（Microsoft）和DocuSign。而NortonLifeLock、PayPal和Geek Squad则属于包含PDF附件的电话导向攻击（TOAD）邮件中最常被冒充的品牌之列。 这些钓鱼活动是全球性的，许多源自美国和欧洲的IP地址。 攻击者如何利用PDF？ 最近的一次攻击冒充了微软，使用了诸如“薪资调整”之类的诱饵主题行，时间点特意选在各组织可能发生晋升或绩效变动的时期。 该PDF看起来像一份标准的人力资源文件，足以让受害者相信并扫描其中的二维码，该二维码会将他们重定向到一个窃取凭证的网站。Dropbox也常被用作分发恶意PDF的平台。 然后是电话导向攻击（TOAD）。这些钓鱼PDF的目的不是让受害者简单地点击链接——而是通过电话对他们进行钓鱼。骗子通常会发送关于账单错误、可疑活动或订阅续费的信息，并包含一个“客服”电话号码。 这些邮件诈骗中使用的大多数电话号码是网络电话（VoIP）号码，追踪到真实个人或物理位置的难度远高于普通固话。 骗子还滥用Adobe电子签名服务等合法平台。2025年4月至5月期间，Talos发现了通过Adobe系统发送的PDF，冒充PayPal等品牌。 PDF也是二维码钓鱼的绝佳载体，而二维码钓鱼当下正大行其道。这些二维码通常冒充微软或Adobe等公司。 此外，还有一种危险策略是滥用PDF文件中的注释功能。PDF可以在评论、便签或表单域等地方隐藏链接。所有这些区域都会被许多扫描器忽略。 攻击者还会在文件中填充无关文本来混淆检测引擎。在某些情况下，他们会嵌入两个URL：一个看起来是干净的（用于建立信任），另一个隐藏的URL则会将你带到真正的钓鱼页面。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 欧盟推出了一项量子战略，重点在于开发覆盖整个区域的量子安全通信和数据共享基础设施。 该战略旨在使欧盟在2030年前成为全球量子领域的领导者，释放创新和经济价值。战略部分内容着眼于应对未来量子计算发展带来的网络安全风险。 超过1万个量子比特的量子计算机将能破解现有加密协议，使组织使用的所有数据、连接和组件面临风险。预计这一情景将在未来7到15年内发生。 欧盟的新战略包含多项举措，旨在开发覆盖全欧洲的量子安全解决方案。 战略的一个方面是欧洲量子通信基础设施（EuroQCI）倡议，旨在开发覆盖整个欧盟（包括其海外领土）的安全量子通信基础设施。 目前，26个欧盟成员国正在部署国家地面量子通信网络。这些网络将用于测试一颗计划于2026年发射的安全通信量子密钥分发（QKD）卫星。 这些地面量子通信网络正被用于在实际环境中实施和测试QKD。试点项目包括医院间医疗数据的安全传输以及政府机构间的加密通信。 欧盟表示，它正在利用完全欧洲本土的量子组件、设备和系统供应链来支持这一部署。到2030年，将建成一个完全互联的欧盟实验性地面和空间安全通信网络。 量子互联网倡议将作为EuroQCI的补充，开发用于分布式量子计算和传感以及超安全数据共享的架构。该倡议将建立在已启动的用例框架基础上，并依托量子互联网联盟（QIA）技术论坛的启动，这是首个致力于量子互联网的全球开放论坛。 2026年，该倡议将支持启动一个欧洲量子互联网试点设施，用于测试关键的量子安全组件和早期用例，包括安全量子云服务、分布式计算以及连接研究与部署的先进验证环境，为全面运营做准备。目标是在2030年部署一个完全可运行的量子安全通信网络，作为迈向联邦式量子互联网的第一步。 欧盟此次宣布之际，正值各方日益关注在“Q日”（量子计算机强大到足以破解RSA和AES等常见加密协议之时）到来前应对量子安全风险。 2024年8月，美国国家标准与技术研究院（NIST）正式确立了全球首个后量子密码学标准。这包含三种后量子加密算法，为不同类型的系统和用例提供抗量子解决方案，包括用于身份认证的数字签名和用于在公共通道上建立共享密钥的密钥封装机制。这些标准为组织提供了一个框架，以保护其系统和数据免受未来量子威胁。NIST敦促组织开始准备使用这些算法将其系统过渡到量子安全解决方案。 2025年3月，英国国家网络安全中心（NCSC）发布了一份路线图，指导组织在2035年前将其系统、服务和产品完全迁移到后量子密码学（PQC）。 尽管有这些政府举措，研究表明，组织在实施量子安全过渡计划方面迄今进展缓慢。 2025年4月，ISACA报告称，仅有5%的组织制定了明确的战略来防御量子威胁。只有3%的IT专业人士认为这是其组织在近期内的首要业务重点。 2025年5月，DigiCert对网络安全经理进行的一项调查发现，在美国、英国和澳大利亚，迄今为止仅有5%的企业部署了后量子密码学（PQC）。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国加利福尼亚州的一家法院已下令谷歌支付3.14亿美元，原因是其被指控在安卓设备用户手机空闲时滥用其蜂窝数据，被动地向该公司发送信息。这一判决标志着最初于2019年8月提起的法律集体诉讼告一段落。 原告在其诉讼中辩称，谷歌的安卓操作系统利用用户的蜂窝数据，在未经用户许可的情况下传输“各种信息给谷歌”，即使他们的设备处于空闲状态也不例外。 原告表示：“尽管谷歌可以设计成仅在手机连接Wi-Fi时进行这些传输，但它却将这些传输设计为也可以在蜂窝网络上进行。” “谷歌未经授权使用他们的蜂窝数据违反了加州法律，并要求谷歌就其未经许可、为自身利益而使用的蜂窝数据价值向原告作出补偿。” 原告辩称，这些传输发生在谷歌产品在后台打开并运行时，即使用户已关闭所有谷歌应用程序且设备处于休眠状态也不例外，从而滥用了用户的数据流量配额。 在一个实例中，原告发现，一台采用默认设置、装有标准预装应用程序并连接了新谷歌账户的三星Galaxy S7设备，每天发送和接收8.88 MB的蜂窝数据，其中94%的通信发生在谷歌与设备之间。 这种信息交换在24小时内大约发生了389次。传输的信息主要包括包含操作系统指标、网络状态和已打开应用列表的日志文件。 根据法庭文件：“日志文件通常不是时间敏感的，其传输可以轻易延迟至有Wi-Fi时再进行，谷歌也可以对安卓进行编程，允许用户仅在连接Wi-Fi时启用被动传输，但显然它选择不这样做。相反，谷歌选择直接利用原告的数据流量配额。” 这还不是全部。该法庭诉讼还引用了2018年的另一项实验，该实验发现，一部“外表处于休眠且静止不动”但打开了Chrome网络浏览器应用程序并将其置于后台的安卓设备，在24小时内导致了约900次被动传输。 相比之下，一部同样静止未动、Safari浏览器在后台打开的iPhone则发送了“明显少得多的信息”，并且指出苹果的操作系统在被动信息传输方面给予用户更大的控制权。 在2025年6月2日开始的审判之后，陪审团支持了原告，称这家科技巨头应对进行这些被动数据传输并导致用户承担其所称的“强制且不可避免的负担[…]以利于谷歌的便利和利益”负责。 谷歌在给路透社的一份声明中表示将对裁决提出上诉，并辩称这些数据传输与“对安卓设备的安全性、性能和可靠性至关重要的服务”有关。该公司还指出，其在用户使用条款协议中披露了这些传输行为并获得了用户的同意。 该陪审团裁决是在谷歌同意支付近14亿美元以和解德克萨斯州两起诉讼近两个月后作出的，这两起诉讼指控谷歌在未经同意的情况下追踪用户的个人位置信息并保存其人脸识别数据。 这一进展也紧随Meta之后，该公司表示正在对欧盟委员会2025年4月的一项决定提出上诉，该决定认为其“付费或同意”模式违反了该地区的《数字市场法案》(DMA)，并处以2亿欧元（2.27亿美元）的罚款。 “该决定强制要求Meta必须免费提供个性化程度较低的广告服务，而忽略了成本、影响或有效性，并强加了一种可能不可行的商业模式，”该公司表示。 “这忽视了市场经济中的商业现实，即Meta理应为其用户选择使用的有价值且创新的服务获得公平补偿——这一原则对于维持创新和经济增长至关重要。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一款伪装成家长监控软件的安卓间谍软件Catwatchful存在漏洞，导致超过6.2万用户账户凭证泄露。安全研究员Eric Daigle透露，这款号称具备”实时监控”功能的应用实际上是一款功能强大的间谍软件（也称跟踪软件），它能在后台持续运行并隐藏自身图标，防止受害者卸载。 开发者虽然在宣传中将其包装为”安卓家长控制应用”，却毫不掩饰其隐蔽特性：”您可以在对方不知情的情况下监控手机——软件在手机上是完全隐形且不可检测的，它会在隐藏和静默模式下运行。”Daigle证实，Catwatchful确实如宣传所言：潜伏在受害者设备中，将数据上传至Firebase数据库，注册用户可通过网页控制面板访问这些内容。 用户注册后会获得一个预配置好凭证的APK文件，需要物理接触目标设备才能完成安装。一旦运行，间谍软件就会启动实时监控功能。在研究其内部机制时，Daigle发现该软件存在SQL注入漏洞，攻击者可通过用户控制面板提取存储个人信息的Firebase数据库。 据Daigle分析，泄露的数据库包含全部62,050个Catwatchful账户的明文登录凭证，以及关联设备信息和管理数据。研究员指出，这些信息足以接管服务中的任何账户。TechCrunch进一步报道称，这次泄露还曝光了乌拉圭开发者Omar Soca Charcov——该间谍软件运营的管理员身份，包括其电话号码、电子邮箱和Firebase数据库地址。 作为应对措施，谷歌已为Play Protect新增防护功能，当检测到设备存在Catwatchful时会向用户发出警报。托管Catwatchful API的网络公司已暂停违规账户，但该API已迁移至其他服务商。Firebase数据库目前尚未被移除，谷歌仍在调查其是否违反相关政策。 虽然Catwatchful号称”不可检测”，但安卓用户可通过拨打”543210″并按下通话键来检查设备是否被安装——这是软件内置的后门功能，会强制间谍软件显示自身图标以便卸载。     消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文