据外媒报道，当地时间 12 月 20 日，美国众议院司法委员会加密工作组公布年度报告。虽然这份报告并没有明确否定掉执法部门提出的加密法，但它却坚决地表达了对加密政策的反对。委员会称执法部门提出的后门将对国家安全构成威胁。显然，这样的结果对于许多执法部门官员来说是个沉重的打击，在他们看来，设备加密给执法部门调查工作带来了新的威胁。 今年上半年，曼哈顿议员 Cy Vance 就曾指出，他的办公室因苹果加密系统而无法访问 400 多台跟调查工作相关的 iOS 设备。而后门设置的反对者则认为，允许执法部门访问设备的做法将可能为犯罪分子所利用。 报告写道：“国会在该领域的行动应当在国家的短期利益和长期影响中做出权衡。国会无法阻止（无论是国内还是国外）所有的坏人利用加密。所以，委员会应当探索其他能够解决执法界需求的战略。” 稿源：cnbeta 有删改，封面来源：百度搜索

据外媒报道，108 名洛杉矶政府工作人员遭到网络钓鱼邮件攻击，最终泄露了 756000 公民的个人信息。 洛杉矶政府办公室 16 日发布新闻稿证实，黑客入侵事件发生于今年 5 月 13 日，政府工作人员遭到尼日利亚黑客发动的钓鱼邮件攻击，108 名员工点击了邮件并提供了用户名和密码。由于职责需要，他们的账户存有机密客户、病人的个人信息。约 756000 人的个人信息被窃取，数据包括姓名、出生日期、社会保障号码、驾驶执照或州身份证号码、支付卡信息、银行账户信息、家庭住址、电话号码、医疗信息等。影响人群涉及评估师、行政长官办公室、公共医疗、卫生服务、人力资源等。 事发第二天，当地检察官办公室迅速成立网络调查反应小组调查该事件，并于 12 月 8 日逮捕尼日利亚黑客 Austin Kelvin Onaghinor 。他被指控九项罪名，包括未经授权访问计算机以及非法盗取身份信息。 洛杉矶政府办公室表示，尚没有证据表明任何被窃取的个人信息已经泄露。之前，为了秘密调查并没有提前通知受影响的民众，现在已开始逐步通知受害者。 稿源：本站翻译整理，封面来源：百度搜索

安全公司 IOActive 研究员 Ruben Santamarta 近日表示松下公司开发的机载娱乐系统（ IFE ）存在安全漏洞，允许攻击者劫持多个管理系统，甚至可以间接访问飞行控制系统。 机载娱乐（IFE）系统由客舱管理视频设备、与飞机和客舱机组人员的接口、座椅设备和座椅上方视频显示器以及相互连接的数据总线和供电线路等组成。 Santamarta 对 13 家主要航空公司的松下航空电子系统进行研究分析发现多个漏洞。研究人员通过视频演示了如何利用 SQL 注入漏洞更改显示器内容，显示高度、速度、飞行路径，控制客舱照明、广播消息等等。此外，攻击者还可以深入利用漏洞干扰飞行操作、访问任意文件窃取敏感信息。 安全研究人员建议航空公司应将飞行系统与信息娱乐系统隔离，避免攻击者获得飞机的完全控制权。Santamarta 已经在今年三月向松下报告了这些漏洞，详情发布在 IOActive 公司官方博客上。 ☆ 据本站 21 日 22:00 最新消息: 松下在一份电子邮件声明中指责安全公司 IOActive 向公众发表了一份“毫无根据、未经证实的结论”并强调这样的攻击是不可能发生的。该言论极具误导性和煽动性的暗示了“理论上”黑客可以通过入侵松下 IFE 系统劫持飞机的飞行控制系统，并营造出松下系统是飞机安全的威胁隐患的错觉。 松下解释说，公司的确在今年年初接到研究人员 Ruben Santamarta 的报告，一切都在密切调查中，除了一些小问题，这些问题已经都得到解决，不存在危及飞机控制权的可能。松下表示研究人员的研究属于“未经授权的测试”。松下还呼吁安全公司 IOActive 向公众澄清事实。 稿源：本站翻译整理，封面来源：百度搜索

今年 9 月份的苹果发布会上，任天堂正式宣布经典游戏《超级马里奥跑酷》将于 12 月 15 日率先登陆 iOS 平台。《超级马里奥跑酷》上架不到 12 小时，就已登上美区 App Store 的免费榜和畅销榜的榜首，人气远超任天堂的上一爆款游戏《Pokemon GO》（精灵宝可梦），安卓版将在明年发布，目前，该游戏还没有上线中国市场，一旦上线，用户群体将更加庞大。 然而，巨大的市场利润也引来了犯罪分子的觊觎。据趋势科技报道，游戏正式版本发布之前网络上已经开始流传“抢先版”《超级马里奥》。自 2012 年以来，趋势科技已经发现超过 9000 款“马里奥”手游，其中三分之二的应用程序存在恶意行为，包括显示广告、未经用户同意下载应用程序等。 目前这些恶意应用已被下载超过 90000 次，其中大部分是由以下国家的用户下载。下载量前三名分别为印度尼西亚（ 41 % ）、印度（ 33 % ）、墨西哥（ 8 % ）。 大多数恶意应用程序只是显示广告，但部分应用存在强制下载、安装不必要程序的现象。 如以《超级马里奥》为名的 ANDROIDOS_DOWNLOADER.CBTJ 恶意应用程序，当用户试图运行这个程序，游戏并不会启动。它声称需要更新，并“提示”用户安装其他应用程序。 另外一个恶意应用程序 ANDROIDOS_DOWGIN.AXMD ，虽然游戏操作和剧情很符合模拟器版本，但却要求异常的权限许可，如接受短信、阅读并修改 SD 卡数据、查询账户等。它会创建不必要的图标、显示弹出式广告和横幅广告、安装其他应用程序并执行其他侵入活动无需用户授权。点击这些广告或图标将链接到成人网站或恶意网站，并诱使用户安装其他应用程序。恶意程序会申请激活“设备管理器”，执行其他恶意操作。 小贴士 玩家用户在下载游戏时，一定要在正规的第三方平台下载应用，避免下载伪装成正版游戏的恶意软件。此外，对于破解版应用游戏，应更加警惕小心。随着热度的发酵，会有越来越多的恶意应用伪装成“超级马里奥跑酷”游戏感染玩家设备。 稿源：本站翻译整理，封面来源：百度搜索

据外媒报道，乌克兰正在调查周末 首都基辅 电网断电事件，疑似再次因黑客攻击导致能源与金融基础设施罢工。 乌克兰电力公司 “Ukrenergo” 理事长 弗谢沃洛德科瓦利丘克 透露，此次断电可能是受到“网络外部的干扰”，首都附近的一个配电站被意外关闭，影响了基辅北部以及周边地区电力输送。断电事件减少了大约 200 MW 电量输送，相当于基辅 晚间能源消耗总量的的五分之一。 为解决断电问题，Ukrenergo 工程师切换到手动模式，30 分钟后恢复部分供电，直到 1 小时 15 分之后才完全恢复电力。 据悉，乌克兰安全部长上周才刚强调过，乌克兰需要加强网络防御，并列举了来源于俄罗斯的网络攻击事件。 稿源：本站翻译整理，封面：reuters

12 月 19 日，国外漏洞平台 securityfocus 上发布了最新的 OpenSSH（CVE-2016-10009） 远程代码执行漏洞。由于问题出在 ssh-agent ，这个进程默认不启动、只在多主机间免密码登录时才会用到，漏洞利用条件也比较苛刻，因此官方漏洞评级仅“中危”。用户仍需尽快升级至最新版本。 OpenSSH 7.4 已于 2016 年 12 月 19 日正式发布，新版本移植了在 Linux、BSD、以及其它类 Unix 平台上 SSH 2.0 协议的完整支持，主要修复了上一个版本中发现的 bug 和安全问题。需注意的是，7.4 版本的各项底层变化，有可能会影响现有的配置。 CVE 编号：CVE-2016-10009 远程漏洞：是 本地漏洞：否 官方评级：中危 发布时间：2016-12-19 12:00 AM 更新时间：2016-12-20 1:11 PM 漏洞危害：黑客可通过漏洞执行远程代码，或导致数据泄露 影响范围： OpenSSH 7.3 及以下版本 解决方案：将 OpenSSH 升级至最新版本 据网络空间搜索引擎 ZoomEye 结果显示，目前互联网上可探测到的 OpenSSH 设备约有 19,659,712 台，这些设备或成为黑客攻击的潜在目标。 稿源：本站翻译、整理；封面：百度搜索

安全公司 Wordfence 发现针对 WordPress 网站的暴力破解攻击已经显著增多。攻击者尝试猜测网站的用户名和密码从而登录管理员后台。 安全公司 Wordfence 称在 10 月 16 日至 11 月 24 日之间，每天遭暴力攻击站点的数量在五十万以下。然而，11 月 24 日开始，每天遭攻击站点的数量开始猛增，甚至有几天攻击次数超过 70 万。 安全公司表示，每天拦截到的暴力破解攻击的次数也高达 2300 万。 攻击的 IP 地址也从 13000 上升到 30000 。 被攻击的目标中，乌克兰占被攻击的比例最大（ 15.7％ ），其次是法国（ 11.1％ ），俄罗斯（ 6.8％ ），美国（ 6.6％ ），印度（ 5.8％ ） ，中国（ 4.2％ ），德国（ 3.2％ ），意大利（ 2.4％ ）和英国（ 2.2％ ）。 最近，安全公司 RIPS 技术人员还分析了 WordPress 官方插件目录中的 44705 个插件，发现超过 8800 个 WordPress 插件存在漏洞。 稿源：本站翻译整理，封面来源：百度搜索

据外媒报道，周一，黑客 Kapustkiy 利用 SQL 注入攻击入侵了斯洛伐克商务部网站（ www.scci.sk ）数据库，造成至少 4000 个用户数据泄露，被泄露的信息包括真实姓名、电子邮件地址、电话号码和加密过的密码。 黑客 Kapustkiy 表示选定斯洛伐克商务部为攻击目标并没有具体的原因，只是在网上碰巧扫描到该网站存在漏洞。入侵的动机仍是为了让管理员看到了数据泄露的后果，督促网站采取更加安全的措施保护用户数据。 此前，近期黑客 Kapustkiy 还利用相同的方式入侵了 阿根廷政府网站、委内瑞拉陆军网站、印度驻纽约大使馆等多个政府网站。 稿源：本站翻译整理，封面来源：百度搜索

近期，FireEye 建立一系列全球伙伴关系，提升其在网络安全解决方案市场上的地位。12 月 19 日，澳大利亚第三大通信公司 Vodafone Hutchison Australia ( VHA )与安全公司 FireEye 达成合作，在澳大利亚建设一个网络防御和响应中心( CDRC )。参与该项目的还有 IT 服务供应商 Dimension Data 公司。 VHA 是英国电信沃达丰（ Vodafone ）与和记（ Hutchison ）电信公司在 2009 年合并澳大利亚通信业务，形成的一家股权对半开的合资公司并以“沃达丰”品牌运营。 网络防御和响应中心( CDRC )旨在加强 VHA 应对网络犯罪的能力，并与澳大利亚政府的网络安全威胁信息中心共享威胁情报。 VHA 与 FireEye 达成的合作协议是五年，与 Dimension Data 达成的协议是三年。沃达丰公司首席技术官 Kevin Millroy 表示，借助 FireEye 和 Dimension Data 公司的强大技术能力，CDRC 将更好的与澳大利亚网络安全中心进行交流、共享技术和威胁信息，最终有助于保护澳大利亚的国家安全、促进经济繁荣发展。 CDRC 建成后将提供事件监控、威胁防护与情报、事件响应服务，帮助沃达丰( Vodafone )用户应对网络威胁并协助用户解决网络攻击后数据恢复等问题。此外 CDRC 还将为用户提供全球威胁情报、渗透测试、数字取证等服务。 沃达丰公司首席技术官 Kevin Millroy 表示，沃达丰非常重视网络安全并积极与顶尖安全公司合作，保护关键信息和基础设施，因对网络安全威胁。 12 月 16 日，FireEye 还与北大西洋公约组织（ NATO ）签署合作协议， 双方进行共享信息、技术互补、应对网络威胁。 稿源：本站翻译整理，封面来源：百度搜索

美国和欧盟的执法人员本月上旬联合打击 DDoS 僵尸网络的租赁者，约有 34 人被捕，大部分人还不到 20 岁。这次行动被称为 Operation Tarpit，嫌疑人租赁僵尸网络对游戏服务商、政府机构、ISP 或学校发动过 DDoS 攻击。 这次行动始于对英国 DDoS 租赁服务 Netspoof 的调查，Netspoof 的创始人是 20 岁的英国人 Grant Manser，他通过出售 DDoS 攻击服务赚取大约 5 万英镑，由于业务快速扩张使他必须雇佣员工，就在他使用 PayPal 处理交易时被执法部门成功追踪。 在此次 FBI 的行动中被捕的其中一名是 26 岁的南加州大学计算机科学研究生，他曾在 2014 年购买 DDoS 租赁服务“ Xtreme Stresser”，并对聊天服务 Chatango 发动了 DDoS 攻击 。作为惩罚他将面临最高 10 年徒刑和最高 25 万美元罚款。这位学生在缴纳了 10 万美元保释金后被释放，但仍然被禁止访问黑客论坛如 HackForums、禁止使用 VPN 之类工具。 稿源：solidot奇客，封面：百度搜索