Hackernews 编译，转载请注明出处： 据网络安全公司Sophos报道，苹果公司已将为新设备发布的紧急补丁通知扩展到其所有平台。 该公司的Naked Security研究团队表示，这家科技巨头现在已推出了全面升级，“为公司支持的每个支持的操作系统版本提供了全新的版本号。” 提供所有苹果用户和运营商安装的紧急零日漏洞补丁扩展至如下设备:iOS 16.6和iPadOS 16.6;iOS 15.7.8和iPadOS 15.7.8;macOS Ventura 13.5, Monterey 12.6.8, Big Sur 11.7.9;tvo 16.6;Safari 16.6;和watchOS 9.6。 更新的紧急补丁通知还包括对7月11日Sophos警告的CVE-2023-37450间谍软件漏洞的永久修复。 Sophos表示:“我们再次敦促苹果用户确保设备已经下载(并真正安装)这些更新，越快越好。这些升级中的修复并不仅仅是为了弥补理论上的漏洞，而且关闭了攻击者已知如何利用的网络安全漏洞。” 该公司敦促苹果用户提前采取预防措施，并补充说:“即使黑客到目前为止只有有限的几次成功入侵……但当你可领先时为什么要落后？     消息来源：cybernews，译者：Linn；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc ” 并附上原文

Hackernews 编译，转载请注明出处： 随着使用macOS的人数不断增加，黑客利用苹果操作系统漏洞的想法也在增加。 macOS面临哪些威胁? macOS的粉丝们有一个普遍的误解，认为苹果设备不受黑客攻击和恶意软件感染。然而，用户最近面临着越来越多的危险。善于创新的攻击者专门将Mac系统作为目标，使用如“Geacon”Cobalt Strike的工具进行攻击。该工具使他们能够执行恶意操作，例如数据盗窃、特权提升和远程设备控制等，将Mac用户的安全和隐私置于严重风险之中。 今年早些时候，研究人员还发现了MacStealer恶意软件。该软件也窃取了苹果用户的敏感数据：文件、iCloud钥匙链数据、浏览器cookie、信用卡凭证等，没有什么是安全的。 但这还不是全部。CloudMensis 是专门针对 macOS 系统的恶意软件，通过电子邮件附件传播并危及设备安全性。它可以窃取敏感信息并授予对用户系统的未经授权的访问。另一方面，JockerSpy则可以通过欺骗性网站或捆绑看似无害的软件渗透到系统中。安装后，它可以监控用户的活动、捕获击键和访问个人数据。 就连朝鲜的Lazarus Group等政府支持的黑客组织也开始瞄准苹果的mac系统。你认为这是否给那些认为自己的设备不会受到攻击的苹果用户敲响了警钟? Mac安全调查2023:用户意识和行为 为了了解Mac电脑的网络安全状况，Moonlock团队进行了一项调查。Moonlock团队由MacPaw的研究人员和工程师组成，专注于Mac用户的网络安全需求。从他们对Mac用户行为和误解的担忧出发，以下是Mac用户如何应对日益复杂的安全环境: 网络安全“传说”依然存在 尽管风险越来越大，但许多Mac用户仍然对网络安全掉以轻心。Moonlock的《Mac安全调查2023》显示，三分之一的Mac用户认为他们的数据不会引起网络罪犯的兴趣。57%的Mac用户要么同意要么不完全同意“恶意软件不存在于macOS上”这一说法。 意识很高，但危险行为比比皆是 事实上，许多Mac用户已经成为了攻击的受害者。超过50%的受访者亲身或在其最近的环境中遭受过恶意软件、黑客攻击或欺诈。69%的受访者至少亲身面临过以下一种威胁: 恶意软件、病毒 账户侵入、窃取密码 骗局 从浏览器和社交网络收集个人数据 破坏个人资料 网络钓鱼 违反网络支付安全 身份盗窃(包括SSN盗窃) 访问通信和私人文件。 这表明macOS是多么脆弱，并强调需要更强的安全性。 尽管受到威胁，22%的Mac用户仍对多个账户使用相同的密码，31%的用户跳过软件更新。与此同时，45%的人认为他们在保护自己免受网络威胁方面做得不够。 安全工具缺乏明确性 当涉及到数字安全时，安全工具的使用似乎缺乏明确性。你知道吗，在使用密码管理器的受访者中，有11%的人实际上是把密码存储在浏览器里的?有趣的是，35%自称安全的浏览器用户认为Safari和Google Chrome是安全的选择。 缺乏可靠的信息 根据Moonlock的研究，52%的Mac用户实际上希望与专家讨论如何确保网络安全。然而，30%的用户很难找到有关该主题的可靠信息来源。 Mac用户应该保持警惕，优先考虑网络安全，并随时了解不断变化的威胁形势，这至关重要。通过提高网络安全意识和推广积极的安全措施，我们可以加强对Mac系统的保护，从而保护我们的数字生活。     消息来源：thehackernews，译者：Linn；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc ” 并附上原文

苹果公司发布了安全更新，修复针对 iPhone、Mac 和 iPad 的零日漏洞。 苹果公司在一份公告中描述了一个 WebKit 漏洞，该漏洞被标记为 CVE-2023-37450，已在本月初的新一轮快速安全响应 (RSR) 更新中得到解决。 本次修补的另一个零日漏洞是一个新的内核漏洞，被追标记为 CVE-2023-38606，该漏洞主要针对运行旧版的 iOS 设备。 苹果公司表示：我们注意到有报告称，该漏洞可能已在 iOS 15.7.1 之前发布的 iOS 版本中被主动利用。 攻击者可以在未打补丁的设备上利用它来修改敏感的内核状态。目前苹果公司已通过改进检查和状态管理修复了这两个漏洞。 卡巴斯基 GReAT 首席安全研究员 Boris Larin 称，CVE-2023-38606 是零点击漏洞利用链的一部分，用于通过 iMessage 在 iPhone 上部署 Triangulation 间谍软件。 该公司还向运行 tvOS 16.6 和 watchOS 9.6 的设备回传了 5 月份修复的零日漏洞（CVE-2023-32409）的安全补丁。 苹果通过改进边界检查、输入验证和内存管理，解决了 macOS Ventura 13.4、iOS 和 iPadOS 16.5、tvOS 16.5、watchOS 9.5 以及 Safari 16.5 中的三个零日漏洞。 本次修复的两个零日漏洞影响的设备非常广，包括各种型号的 iPhone 和 iPad，以及运行 macOS Big Sur、Monterey 和 Ventura 的 Mac。 今年修复的第十一个零日漏洞 自今年年初以来，苹果已经修复了 11 个被攻击者利用的零日漏洞。 本月初的时候，苹果发布了快速安全响应（RSR）更新，以修复影响 iPhone、Mac 和 iPad 的漏洞（CVE-2023-37450）。 但是由于RSR 更新破坏了一些网站的网页浏览，该公司又在两天后发布了漏洞补丁的修复版本。 在此之前，苹果还修复了： 6 月份的三个零点漏洞（CVE-2023-32434、CVE-2023-32435 和 CVE-2023-32439） 5 月份又处理了三个零点漏洞（CVE-2023-32409、CVE-2023-28204 和 CVE-2023-32373） 4 月份的两个零日漏洞（CVE-2023-28206 和 CVE-2023-28205） 以及 2 月份的另一个 WebKit 零日漏洞（CVE-2023-23529） 总计十一个零日漏洞。     转自Freebuf，原文链接:https://www.freebuf.com/news/372954.html 封面来源于网络，如有侵权请联系删除

苹果公司警告称，它宁愿停止在英国提供iMessage和FaceTime服务，也不愿屈服于政府的压力，以回应旨在扩大国家情报机构数字监控能力的新提议。 对2016年《调查权力法》（IPA）进行的立法修改后，将使加密保护无效。具体来说，《网络安全法案》要求公司安装技术，扫描加密消息应用程序和其他服务中的儿童性剥削、性虐待材料以及恐怖主义内容。它还要求消息服务在发布安全功能之前与内政部明确这些功能，并在需要时立即采取行动禁用这些功能，而不通知公众。 虽然这一事实并没有明确要求取消端到端的加密，但事实上，这相当于削弱了这种功能，因为提供服务的公司必须扫描所有消息以标记并删除它们。这允许了政府实施大规模拦截和监视，被视为是一个不成规矩的行为。 苹果公司认为这样的条款将对数据安全和信息隐私构成直接的威胁。今年4月初，Element、Signal、Threema、Viber、Metaowned WhatsApp和Wire等提供加密聊天服务的消息应用程序发布了一封公开信，敦促英国政府重新考虑其做法，并鼓励公司保护其用户的隐私和安全。 这些公司联合表示“该法案没有为加密提供明确的保护，如果按照书面规定实施，可能会授权OFCOM，强制性的对端到端加密通信服务上的私人消息进行主动扫描，从而使加密无效，并损害所有用户的隐私。” 去年，苹果宣布了自己的计划，将在iCloud照片中标记出潜在的问题和滥用的内容。但由于担心该功能可能被滥用，破坏用户的隐私和安全，遭到数字版权组织的抵制，因此，苹果放弃了这一计划。 这不是第一次出现端到端加密与解决严重网络犯罪之间的纷争。 2021年5月，WhatsApp起诉印度政府，要求其停止相关互联网法规，该法规通过引入可追溯机制来识别“信息的第一发起者”，迫使该消息应用程序去破坏加密内容，否则将面临刑事处罚的风险。目前，案件仍在审理中。 苹果拒绝合作符合其在隐私问题上的公开立场，这使它将自己定位为对抗那些以收集用户数据为目标的公司的“隐私英雄”。 但考虑到发送到非苹果设备或从非苹果设备接收到的每一条消息都是未加密的，这可能会为政府打开监控的大门。     转自E安全，原文链接:https://mp.weixin.qq.com/s/1Aecd4S3bjF7wkV7u2l74w 封面来源于网络，如有侵权请联系删除

苹果在欧洲下架了一款假冒的Threads应用，该应用在高峰的时候曾在下载榜排名第一。 据网络安全公司和iOS开发商Mysk称，苹果已经暂停了该假冒应用程序开发商的账户。 SocialKit LTD的所有应用程序都已被删除。其中包括名为ChatGP、SelfMe：Selfie AI Face Editor、Remove Background Eraser等应用。 自Meta本月初推出Threads以来，下载量已超过1亿次。但是，Meta尚未在欧盟发布Threads，原因是欧盟有严格的隐私法。 借用这个机会，假冒的Threads应用在欧盟和其他欧洲国家的应用商店中占据主导地位。它在德国、荷兰和瑞士占据了第一的位置。 目前，Instagram的原版Threads应用在美国免费应用排行榜上排名第二，仅次于Remini-AI Photo Enhancer。 据Cybernews报道，网络犯罪分子正忙于通过模仿新的社交媒体应用程序来套现，一天之内就出现了700多个虚假域名。 网络安全分析机构Veriti表示：”随着Meta推出的 Threads应用程序的普及率持续上升，攻击者正在利用这一热点开展恶意活动。通过创建大量可疑域名，骗用户并分发恶意软件。 尤其是欧洲用户，应提防山寨Threads下载，因为它们通常被用于安装恶意软件或钓鱼攻击。用户应时刻保持警惕，只从可信来源下载该应用。     转自Freebuf，原文链接:https://www.freebuf.com/news/372083.html 封面来源于网络，如有侵权请联系删除

近日，苹果发布了解决iOS，iPadOS，macOS和Safari网络浏览器中的零日漏洞的紧急补丁，以化解漏洞安全问题，据了解该漏洞已被黑客广泛利用。 这一漏洞编目为CVE-2023-37450，存在于WebKit中，漏洞允许黑客在处理特制Web内容时实现任意代码的执行。iPhone制造商表示，它们通过改进检查解决了这个问题。 发现和报告该漏洞的是一位匿名研究人员。与大多数此类情况一样，苹果方面对这次攻击的性质和规模以及攻击背后的黑客身份的细节知之甚少。但在一份简短的公告中它也指出，“意识到有报道称这个漏洞可能已被黑客大范围使用”。 苹果最初通过iOS 16.5.1（a），iPadOS 16.5.1（a），macOS Ventura 13.4.1（a）和Safari 16.5.2的发布解决了这个问题。这些更新适用于以下操作系统版本的设备： iOS 16.5.1 和 iPadOS 16.5.1 macOS Ventura 13.4.1 macOS BigSur和macOS Monterey 据了解，Facebook、Instagram和Zoom等网站在安装补丁时，在Safari上显示“不支持的浏览器”错误后，苹果已经撤回了软件更新。麦克鲁莫斯网站也指出：“苹果已经下架了该软件，可能是由于一个问题导致某些网站在安装RSR后无法运行。” 自2023年以来，苹果公司已解决其软件中的10个零日漏洞，几周前，苹果公司对三个零日漏洞进行了修复，其中两个与一项名为“三角行动”的间谍活动有关，甚至被黑客组织武器化。 库比蒂诺在2023年7月11日发布的一份文件中表示，公司意识到最近的快速安全响应可能会阻止一些网站正常显示，建议遇到问题的客户删除更新。另外，iOS 16.5.1（b）、iPadOS 16.5.1（a）和macOS 13.4.1（b）预计将“很快”发布用以修复该问题。     转自E安全，原文链接:https://mp.weixin.qq.com/s/tvv966xO-n4VLrtpNrmyNw 封面来源于网络，如有侵权请联系删除

苹果于7月10日发布了新一轮快速安全响应 (RSR) 更新，以解决在攻击中利用的一个新零日漏洞。 苹果在iOS和macOS的更新公告中引用了一位匿名安全专家对该漏洞（CVE-2023-37450）的描述，表示“苹果已获悉有关此漏洞可能已被积极利用的报告”。苹果在更新公告中也表示这是一个重要修复，建议所有用户进行安装。 此次漏洞发现于苹果开发的WebKit 浏览器引擎中，允许攻击者通过钓鱼方式诱导受害者打开包含恶意内容的网页，在目标设备上获得任意代码执行。需要更新的系统软件版本包括了macOS 13.4.1、iOS 16.5.1、iPadOS 16.5.1以及Safari 16.5.2。 今年的第十个零日漏洞 自 2023 年初以来，Apple 已修复了 10 个被广泛利用来攻击 iPhone、Mac 或 iPad 的零日漏洞。 6月初，苹果修复了三个零日漏洞（CVE-2023-32434、CVE-2023-32435 和 CVE-2023-32439），这些漏洞可通过 iMessage 零点击漏洞在 iPhone 上部署 Triangulation 间谍软件。 5 月，苹果修复了由国际特赦组织和 Google 威胁分析小组报告的3个零日漏洞（CVE-2023-32409、CVE-2023-28204 和 CVE-2023-32373），这些漏洞可能用于安装雇佣兵间谍软件。 4月，苹果修复了两个能够被用作 Android、iOS 和 Chrome 零日和 N日漏洞利用链一部分的两个零日漏洞（CVE-2023-28206 和 CVE-2023-28205）。 2月，苹果修复了另一个WebKit 零日漏洞(CVE-2023-23529)，该漏洞能够在易受攻击的 iPhone、iPad 和 Mac 上执行任意代码。     转自Freebuf，原文链接:https://www.freebuf.com/news/371623.html 封面来源于网络，如有侵权请联系删除

昨天，Apple 加入了约 80 个组织和行业专家的行列，这些组织和行业专家已提交声明，批评拟议的英国《在线安全法案》，该法案将通过强制平台根据政府要求查看通信的能力，从本质上终止真正安全的加密消息传递。此前，苹果公司对这一法案表示了公开反对。苹果公司认为，任何削弱端到端加密的做法都会让所有用户面临安全风险。   苹果公司发表声明称，加密消息对于隐私和在线安全至关重要，特别是对于可能成为专制政府目标的群体而言。这一立场是苹果公司持续转变的一部分，该公司曾独立提议在 2021 年为 iPhone 添加非常类似的功能（同样以扫描儿童性虐待材料为理由），但公众强烈反对促使其改变计划。   英国政府一直在推动备受争议的《在线安全法案》，因为该法案对于保护儿童至关重要。如果获得通过，该法案将授权电信监管机构通信办公室 (Ofcom) 指示加密消息平台扫描受调查人员的私人消息，对不遵守规定的人处以最高年营业额 10% 的罚款。   政府声称这对常规加密消息不会构成威胁，Ofcom 只会在“最后手段”和“严格的隐私保护措施”的情况下才会提出这些请求。但唯一可行的技术实现是客户端扫描方法，强制安装到每部手机和设备上并安装任何这些应用程序。这样，用户就永远无法确定公司是否有人拦截了他们的私人消息，而且这还会为黑客试图利用的潜在安全漏洞创造一个巨大的漏洞。   此前2021年8月，苹果公司就自己提出了这样一个客户端扫描计划，尽管它的范围更为有限。苹果希望扫描上传到 iCloud 的所有照片，以查找儿童性虐待的标记。在对该想法被进行了几周的严厉批评后，苹果公司宣布无限期暂停，并于 2022 年 12 月正式撤销。苹果公司针对这种性质的滥用材料采取的新计划是“通信安全”功能，该功能也是在 2022 年 12 月推出的。十二月。这些控件可在家庭 iCloud 帐户中使用，如果在本地设备上检测到儿童虐待材料或使用这些材料的人搜索到儿童虐待材料，它们将向用户发出警告。该系统还可以检测未成年人是否发送或接收包含裸露的图像。   苹果在声明中使用了强硬的语气，但没有承诺如果《在线安全法案》通过，将从英国撤出任何业务，也没有拒绝遵守新法律（加密消息应用程序 Signal 和 Whataspp 就是如此）。印度最近也出现了类似的情况，印度政府禁止任何不允许根据要求检查流量的VPN 服务；迄今为止，市场上主要参与者的反应是完全将其业务从该国撤出，并为这些客户提供位于另一个国家的 VPN，并分配了印度 IP 地址。   目前，《在线安全法案》已获得下议院批准，预计很快将在上议院获得批准，但在通过之前还需返回下议院批准任何修正案。观察家确实预计在这一过程完成之前将会有进一步的修订，尽管它可能会在今年某个时候以某种形式通过。   加密消息的命运是修正案提案预计要解决的主要问题之一，尽管客户端扫描授权的命运仍然悬而未决。开放权利组织是目前在线安全法案的反对者，它建议可以通过排除私人消息应用程序（默认情况下启用端到端加密的应用程序）来修复该法案，以保护加密消息的隐私和安全。   部分批评者还指出，在线虐待儿童团伙经常被标准的警方调查工作所瓦解，这些调查工作不涉及渗透加密的消息应用程序，即使它们基于暗网并使用 Tor 和加密货币支付等额外的安全层。苹果公司的声明还指出，人权活动家、记者和举报人极其依赖已知的安全端到端加密通信。   Vaultree首席执行官兼联合创始人 Ryan Lasmaili指出，该法案缺乏关键的平衡。他说：“随着在线安全法案的进展，认识到加密的重要作用至关重要防止监视、身份盗窃、欺诈和数据泄露。随着《在线安全法案》逐步成为法律，我们敦促政策制定者考虑加密技术受损的长期影响。在维护网络安全和尊重个人和企业的隐私和安全需求之间取得平衡至关重要。我们可以共同打造一个数据保持加密、隐私得到保护、创新蓬勃发展的未来。”     转自E安全，原文链接：https://mp.weixin.qq.com/s/jZxAM6-H0ufeFAj7j_moDw 封面来源于网络，如有侵权请联系删除

研究人员已经揭开了苹果macOS恶意软件RustBucket更新版本的序幕，该版本具有改进的能力，可以建立持久性并避免被安全软件发现。 安全实验室的研究人员在本周发表的一份报告中表示：RustBucket的变种是一个针对macOS系统的恶意软件集合，它增加了持久隐藏能力，同时利用动态网络基础设施方法进行指挥和控制。 该恶意软件于2023年4月曝光，当时Jamf威胁实验室将其描述为一个基于AppleScript的后门，能够从远程服务器检索第二级有效载荷。 第二阶段的恶意软件是用 Swift 编译的，旨在从命令和控制 （C2） 服务器下载主要恶意软件，这是一种基于 Rust 的二进制文件，具有收集大量信息以及在受感染系统上获取和运行其他 Mach-O 二进制文件或 shell 脚本的功能。 BlueNoroff恶意软件是第一个专门针对macOS用户的例子，现在.NET版本的RustBucket已经以类似的功能在野外浮出水面。 感染链由一个macOS安装文件组成，该文件安装了一个带有后门但功能正常的PDF阅读器。当使用PDF阅读器启动PDF文件时，就会触发恶意活动。最初的入侵载体包括钓鱼邮件，以及在LinkedIn等社交网络上采用假的角色。 安全人员还观察到该攻击具有很强的针对性，集中在亚洲、欧洲和美国的金融相关机构，这也表明该恶意活动是以非法创收为目的。 新发现的版本值得注意的是它不寻常的持久隐匿机制和使用动态DNS域名（docsend.linkpc[.net]）进行指挥和控制。 最后，研究人员表示，此次更新的RustBucket样本中，通过在路径/Users/<user>/Library/LaunchAgents/com.apple.systemupdate.plist添加一个plist文件来建立自己的持久性，并且它将恶意软件的二进制文件复制到以下路径/Users/<user>/Library/Metadata/System Update。     转自 Freebuf，原文链接：https://www.freebuf.com/news/370920.html 封面来源于网络，如有侵权请联系删除

Hackernews 编译，转载请注明出处： 美国网络和基础设施安全局在其已知漏洞目录（Known Exploited Vulnerabilities）中了新增一批漏洞，该举动揭示了近期恶意利用行为的活跃性。 此次更新包括了苹果公司本周修补的3个漏洞(CVE-2023-32434, CVE-2023-32435,CVE-2023-32439)，VMware公司的2个漏洞(CVE-2023-20867,CVE-2023-20887)以及影响Zyxel设备的漏洞(CVE-2023-27992)。 作为长达数年的（2019年起）网络间谍活动的一部分，CVE-2023-32434和CVE-2023-32435都允许代码执行，它们被利用为零日漏洞（零时差攻击）来部署间谍软件。该间谍活动被称为“三角测量行动”(Operation Triangulation)，其最终目的是部署TriangleDB，并从受损设备中获取广泛的信息：创建、修改、删除和窃取文件；遍历和终止进程；从iCloud Keychain收集证书以及跟踪用户的位置。 攻击链始于带有附件的iMessage，当目标受害者收到短信后，附件自动触发有效载荷的执行。这种无需任何交互的特性使其成为零点击漏洞。网络安全公司卡巴斯基在最初的报告中指出:“恶意短信是畸形的，它不会为用户触发任何警报或通知。” CVE-2023-32434和CVE-2023-32435是iOS系统中被间谍攻击滥用的两个漏洞。其中CVE-2022-46690是IOMobileFrameBuffer中的一个严重的越界写入问题，它可以被异常应用程序武器化，以核心特权执行任意代码。苹果公司在2022年12月改进了输入验证，弥补了这一缺陷。 卡巴斯基公司为 TriangleDB做出了以下标记：包含引用 macOS 的未使用功能，寻求访问设备麦克风、摄像头和据称可以在未来使用的地址簿权限。今年年初，这家俄罗斯网络安全公司检测到自己的企业网络遭到入侵，于是开始了对“三角测量”行动的调查。 鉴于活跃的漏洞利用情况，美国联邦民事执行部门(FCEB)的各机构被建议应用供应商提供的补丁来保护其网络，免受潜在威胁。 与此同时，CISA 发布了伯克利互联网名称域 (BIND) 9 域名系统 (DNS) 软件套件中3个错误的警报，这些错误可能为拒绝服务 (DoS) 铺平道路。 CVE-2023-2828、CVE-2023-2829和CVE-2023-2911 (CVSS评分:7.5)可以被远程利用，导致名为BIND9的服务意外终止或运行命名的主机上所有可用内存耗尽，从而导致DoS发生。 这已经是互联网系统联盟 (ISC) 在不到六个月的时间里第二次发布补丁，来解决在BIND9中类似于 DoS 和系统故障的问题。     消息来源：The Hacker News，译者：Linn；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc ” 并附上原文