Alex Savitsky

在上周发生的众多新闻中不乏一些亮点事件，本周我们也将一如既往地收集最有趣的网络安全新闻，在本文中与您分享。 美国国家安全局出卖IT公司 首先是一条不大但却极具爆炸性的新闻。在上周的”个人隐私与公民自由监督委员会”（PCLOB）会议上，美国国家安全局法律总顾问Rajesh De承认，包括Facebook、Google和Yahoo!在内的各大IT业巨头均知道美国情报部门通过其收集大量用户数据。虽然关于这些行为的新闻人们一直有所耳闻，但得到官方的正式承认又是另一回事了。最令人怀疑的是上述这些公司之前都明确否认了有关涉嫌大规模收集公民数据情报的指控。部分公司（考虑到苹果粉丝们的感受，在此我们不会公开点名道姓）甚至声明说，他们’从未听说过棱镜计划’。此时此刻，让我们拭目以待他们如何应对这次的”严重指控”。 专为智能手表定制的操作系统 Google新近宣布开发的Android Wear操作系统将针对日益流行的智能手表以及其他类型的”穿戴式设备”。Google于周二在公司博客上发布了产品公告，正巧赶上摩托罗拉和LG新型智能手表的发布。该操作系统预计将基于安卓系统，但与其前代产品不同，这一次是偏重于语音，而不是触摸功能（像Google眼镜一样）。该操作系统能够管理支持蓝牙的外围设备，甚至包括车库大门。所以黑客入侵的机会……简直让人不敢想。 微软如何向FBI收费 俗话说：”即使无法获胜，也要掌控大局”。而微软以此的补充是：”即使无法掌控大局，那至少要赚到钱”。据黑客组织”叙利亚电子军团”称，全球知名企业根据美国联邦调查局（FBI）的要求泄露用户个人数据时，每泄露一例，即可赚得100美元。此黑客组织确认，至少在2012年9月，FBI就为此类活动支付了14.5万美元。去年泄露个人数据的单价是100美元/人，但到2013年，此价格已上涨两倍。至于这些行为的合法性，微软声称FBI并没有为此类行为支付过任何费用，而只是为用于执行合法请求所用的时间付费。你现在知道为什么时间就是金钱了。 Gmail现已全面HTTPS化 让人奇怪的是这一切发生在2014年，但从现在开始，所有Gmail活动将全部通过”https”安全协议执行。若不考虑Gmail一直以来都在使用加密，则到目前为止，有部分操作是通过不安全的通道执行的。用户现在别无选择：https连接不仅在默认下启用，而且无法禁用。更有甚者，向收件人发送邮件时，回复内容也会加密，而且邮件在Google内部服务器之间流转时也同样会加密。这是关键性的进步。 通过美国艺电劫持Apple ID 据报告，最近知名游戏发行平台”美国艺电”（EA）被黑客劫持。但有意思的是，犯罪分子的主要攻击目标并不是该公司的数据，而是为了获取用户的Apple ID凭证。黑客们采用极精细的策略来实现这一目标。他们劫持ea.com网站后，小心地发布了模仿网络钓鱼的网址，从该公司子域中复制苹果的凭证请求，这也为劫持信用卡凭证提供了机会。该报告并未给出受害者的具体人数，但更奇怪的是EA从未公开承认过曾有钓鱼网站页面在公司服务器上驻留过。我们不得不说，这确实令人怀疑。 今天就写到这里，下周见!

我们一如既往地密切关注执法机构追踪网络犯罪的进展。下面是上个月发生的一些案例。 长达3年的DDoS攻击 2月初，Christopher Sudlik被判缓刑36个月，参加60个小时的社区服务，并勒令其缴纳11.1万美元的赔偿金。 罪犯现年22岁，此前曾因加入在线黑客组织”匿名者”（Anonymous）并参与了2011年2月和3月的Angel Soft网站攻击而被判有罪。攻击目标Angel Soft是美国科氏工业集团（Koch Industries）旗下子公司。由Christopher等黑客组成的团队在攻击中使用了LOIC（低轨道离子加农炮）软件。该软件能够生成海量流量，直接攻击特定网站。在长达三天的时间里，科氏工业集团有多个网站受到持续攻击，损失高达几十万美元。 这并不是第一起因攻击科氏工业集团网站而被判刑的案例。去年12月，38岁的Eric Rosol因参与阻断服务攻击而被判有罪，两年联邦缓刑，并勒令其支付18.3万美元的赔偿金。 其他”匿名者”大败而归 在两名DDoS攻击者被判有罪后，FBI探员们的调查并未停止，他们仍在继续追踪试图攻击科氏工业集团网站的其他犯罪分子。 年轻的网络犯罪分子同样利用 “低轨道离子加农炮”工具，专门向服务器发送大量流量，旨在中断网站服务。 2月12日对于来自爱荷华州波斯特维尔的Jacob Allen Wilkens（”匿名者”黑客组织第三号活跃分子）来说是个倒霉的日子，他被判缓刑24个月，并被勒令支付111美元的赔偿金。这位年轻的网络犯罪分子同样利用的是”低轨道离子加农炮”工具，此工具专门向服务器发送大量流量，旨在中断网站服务。但”不幸”的是LOIC会存储攻击者的IP地址，因此联邦探员能够迅速抓到罪犯。 通过DDOoS来赚钱？被判有罪 参与DDoS攻击会被判刑，那么显然通过此类攻击来挣钱也同样会被判刑。一位未披露其姓名的26岁俄罗斯人因对大型金融公司发起阻断服务攻击而被判有罪。被攻击目标每中断服务一天，该名罪犯就可获得100美元不到的报酬。 该名罪犯在作案时被警方当场逮捕，他坦白了所有已知信息，包括在黑客论坛上的活动，以及组织攻击的证据。目前他处于2年缓刑期内。 长达2年半的证券欺诈计划 今年2月，另一名俄罗斯人Petr Murmylyuk被判有罪，但这次并未给予缓刑。该名男子居住于纽约，被控合谋窃取Scottrade、E*Trade、Fidelity、Schwab及其他证券经纪公司交易帐户中的资金。合谋犯罪分子首先越权获取证券经纪公司客户的在线帐户，然后使用被盗身份打开其他证券经纪公司的其他帐户。在此之后，犯罪分子会使用受害者的帐户做出非盈利性且不合逻辑的证券交易，而将非法所得转入合谋犯罪分子的帐户。该计划致使牵连公司的损失合计达到约100万美元。 现年33岁的Petr Murmylyuk被判监禁30个月，出狱后将面临三年的监外看管。Petr还被判支付50.5万美元的赔偿金。 更改成绩被判监禁 美国的Roy Sun因学生时代侵入学校计算机系统更改自己的成绩，在本周早些时候被判缓刑18个月，参加200个小时的社区服务。 该案件发生在印地安那州的普渡大学，时间是2008年到2010年间。Roy与两位朋友非法闯入教授办公室，在计算机上连接了键盘记录器，以记录登录信息。然后使用证书将成绩改为全优。2010年Roy从普渡大学毕业，但此事件直到2013年才被曝光。当时一位教授向IT工作人员反应他的密码已被更改。在随后的调查中发现了成绩篡改行为。 Roy的其中一位朋友Sujay

截至一月底，卡巴斯基实验室已收集到约二十万个移动恶意应用软件的样本。这一数字较之2013年11月已呈34%增长。两个月前我们仅收集到十四万八千个样本。然而，比起我们研究发现的恶意安卓应用软件的数字简直是小巫见大巫。一月份其数字已达一千万。 当然，那些略知点谷歌官方数据的安卓忠实粉丝们会质疑这一数字。Google Play市场提供大约110万个应用软件，怎么可能找到的恶意软件多出十倍有余呢？答案很简单。 真相是这样的。在非官方应用商店里上架的超过一百万个应用程序里，恶意软件存在的可能性很大。 事实上，还有很多非官方的应用商店。他们提供的应用总量远超过一百万，而且其中很多安卓软件很有可能是恶意软件。所以，如果你是通过Google Play下载， 遇到恶意软件的几率是比较小的。但如果是其他商店就不好说了，或许您马上就中招。要知道很多人都热衷于下载免费或破解的应用，而黑客们经常就把恶意软件命名为一些比较受欢迎的游戏、银行应用软件和工具等等。结果就是用户的隐私、银行信息和资金等直接落入罪犯之手。下面是一很好的实例：2012年发现的源于俄国的Carberp木马病毒被植入移动软件成功盗走了用户的资金。坏消息是目前网上有上千万的恶意应用软件！ 移动应用市场还在不断发展，集资数额也比个人电脑时代来的多。但同时，保护智能手机和平板电脑的移动杀毒软件却很少。移动用户也因此往往成为黑客们的盘中餐，加上数千万恶意应用软件帮他们的忙，真是令人担忧啊！ 别慌！想要安全也不是难事。看看专家给我们的建议吧： -不用启用设备上的”开发者模式” -不要勾选”从第三方来源安装应用程序” -仅从官方渠道安装应用 -安装新应用软件时，请注意了解应用所要求的权限。 -运用安全保护的软件 当然啦，还有，常来我们的博客了解最新的安全资讯。