新闻

与上周一样，Heartbleed大事件仍是安全类新闻的头条。也许我该用整个篇幅来全面概述有关Heartbleed事件的讨论内容，但我不会这么做，因为我想你们可能还希望了解影响外置硬盘知名（时尚）品牌制造商长达一年之久的数据外泄事件；微软的奇怪举动，可能会影响用户安装安全更新；某家搜索巨头的潜在行动计划可能会促进网站搜索优化，使网站做出良好的安全决策；看看终结XP支持对互联网有怎样的影响。 Heartbleed漏洞 如我所说，Heartbleed大事件仍在持续报道中。有可能在之前两周半左右的时间里，你完全没注意过任何相关新闻来源，下面我会对此事件进行扼要概述：Heartbleed是一种加密漏洞，互联网上的任何人都能借助此漏洞来读取通过OpenSSL这种加密实施服务进行保护的机器内存。严重情况下，这块小小的内存中很可能含有用户名、密码，甚至私人加密密钥等敏感信息。要在一条简短的新闻提要中清楚解释整个事件是不可能的，如果您对此事件不是很清楚，请阅读Heartbleed发展概要，文章中进一步分析说明了为什么Heartbleed是一个大事件。如果你对此事件的发展已经很熟悉，请继续阅读本文： 上周末，Heartbleed事态进一步升级，已经从严重但仍认为安全的漏洞过渡到在真实世界攻击中被大肆利用，不断收集真实受害者的信息。一家英国育儿网站Mumsnet被黑客利用Heartbleed漏洞攻击后，被攻击者窃取了存储在该网站上的密码，据报道说攻击者利用这些密码在网站上发布消息。更令人担心的是，攻击者还利用Heartbleed漏洞设法入侵加拿大税务署辖下的系统。在加拿大税务署在使用OpenSSL的补丁版本更新系统之前6小时内，攻击者就盗走了900位市民的社会保险号。 可能导致密码、通信和加密密钥泄露的OpenSSL Heartbleed bug仍是安全行业新闻头条 美国波士顿东北大学的Collin Mulliner发起了一项研究，针对Tor节点随机采样进行检查，根据上周晚些时候发布的报告，Tor匿名化网络中大约有20%的服务器或”出口节点“被发现具有漏洞。 虽然出现了Heartbleed攻击，但概念验证证明，由于事实上存在证书被盗的可能性，而且很多人都知道需要更换可能有漏洞的证书，因此证书撤销和更换潮似乎实际上算不上什么”潮”。简而言之，这些证书可确保所访问的网站正是你要去网站。很大程度上证书在互联网上的信任度非常高。当然，Heartbleed漏洞出现后，证书撤销和更换操作出现井喷，但相对于bug的规模是完全不成比例的。 LaCie长达一年的漏洞 据我同事（每月新闻播客主持人之一）Chris Brook报道，法国计算机硬件公司LaCie（莱斯）本周宣布公司成为数据外泄的受害者，只要去年从公司网站上购买过产品的用户，其敏感信息都面临泄露危险。LaCie最出名的产品可能是彩色外置硬盘。该公司称，攻击者利用一款恶意软件入侵公司在线系统，并利用此软件来盗取客户名称、地址和邮箱地址，此外还包括支付卡信息和卡到期日期。所以，如果你大约在去年直接从LaCie网店买过产品，那么你的信息很可能已外泄，如果情况属实，公司可能已经通知过您相关情况。 微软做出古怪决策；Google搜索算法很可能再造辉煌 微软的行动着实让我想不通，但我想他们肯定有充分的理由这样做。微软最近宣布，不再为运行过时版本的Windows 8.1的用户提供安全更新。要想在未来接收安全更新，客户必须使用最新版本的Windows 8.1更新来更新自己的机器，公司于4月推出此更新版本。 我曾和微软发言人交流过，但他并未详细解释为何公司会做出这一决定。好消息是，微软发言人肯定地指出，此项决定的宣布只会影响很小一部分没有启用自动更新功能的用户。明确地说，就是我们极力推荐启用自动更新，我认为默认情况下大多数商用Windows系统都已启用自动更新。如果您已启用，那么就根本不必有任何担心。如果是手动安装更新，则需要安装4月份的Windows 8.1更新，否则将无法安装微软未来每月发布的补丁。您可自行选择怎样做，但对我来说是完全明摆着的事。 另一方面，有谣言说搜索巨头Google可能会在自己魔法般的搜索算法（至少我是这样认为的）中新增一些算法，此举将极大提高实施加密的网站的搜索结果。《华尔街日报》报道说，此新闻源于该公司搜索算法大师Matt Cutts在一次会议上的发言。Google并未直接否认这些说法，但他们称公司目前对此不置一词。很难说Google是不是会真的考虑增加算法，但无疑这看起来是个不错的主意。 XP的终结？ 微软不再对Windows XP提供支持，上个月微软正式发布（终于）针对Windows XP的最后一批补丁。对于是否停止支持XP系统多年来讨论无数，问题主要围绕放弃支持目前仍有多达28%的计算机用户使用的操作系统会带来怎样的影响。目前要对停止支持XP系统产生的影响下结论还为之过早，但如果您仍在运行XP系统，那么可能是时候更新换代了。如果Heartbleed从未现身，我还觉得对此的讨论应到此为止，但是我敢肯定未来我们还将进一步进行探讨。这就是为什么还将讨论XP的终结可能对未来的影响的原因。 移动新闻 最后，但也同样重要的是卡巴斯基实验室研究人员在最新的报告中证实，利用恶意软件盗取安卓用户银行信息的犯罪分子业务繁荣。结束语：总有一天会出现破解那些精心设计的指纹采集仪的入侵行为。

来见见我们的新员工 – 绿色大象。更正式的叫法是”凯旋的大象”（akaEléphant de triomphe），它是西班牙超现实主义雕塑家萨尔瓦多•达利的原创作品。卡巴斯基实验室在今年2月份就买下了它，但却用了两个月的时间才从伦敦运到莫斯科，因为进口一件艺术品牵涉到多种问题。 最终我们克服了所有波折，大象终于成功站在了卡巴斯基莫斯科办公大厅（当然，它也别无选择），在这里任何人都能欣赏到这件设计作品。 这尊大象雕塑结构高挑，高265 cm（8.6英尺），参观者绝不会错过有着纤细长腿的大象，也不会漏掉大象背上一个吹喇叭的金色天使。请见下图： 您可能会好奇，人们弯着腰在基座旁干什么；他们是在与基座上所刻铭文”4/8″合影： 见见我们的新员工 – 大象。我不是在开玩笑！站立在莫斯科办公大厅的这座萨瓦尔多•达利的著名雕塑将鼓舞卡巴斯基团队的士气。 我们的大象雕塑是达利铸造出售的”大象”系列作品中的第4号作品。另外六头大象则被艺术家收藏或用作私人用途（在此艺术批评家们突然转用法语进行评论：épreuves d’artiste和épreuves de fonderie）。大象用青铜铸成，但表面通过锈蚀反应呈现出翠绿色，这与卡巴斯基实验室采用的卡巴斯基绿完美契合。此外，大象被达利用来象征未来（同时也象征着胜利和凯旋），所以卡巴斯基团队一定会把这座大象雕塑当作幸运符，鼓舞员工士气。 谈到鼓舞士气，我们的新朋友几乎在开箱安装过程中就已经散发出这种能量；看看围观的工作人员和拍照的人数（别忘了，这可是周六，几乎所有员工这个时候都应该在家里）： 当然，我们不可能因为好奇心去责怪别人，让大象在我们这里安家落户本身就是一项极具挑战性的工程任务。为了这次旅行，我们专门订做了木箱；在包装时，还安装了防倾和防碰撞探头，以作为额外的预防措施。木箱实际上是俄罗斯海关仓库中最大的一件货物，需要专门的装卸机器才能操作。除此之外，大象还差一点没法从办公室门口搬进来。 现在一切收拾妥当，大象也开始了在卡巴斯基的日常工作。来我们这儿亲眼看看吧！

金融诈骗仍是恶意软件感染计算机后可能会执行的最危险的一类活动。所谓的“网银木马“能够注入到用户与网银之间的通信，借此操纵用户资金，并使用户付款重定向到犯罪分子的银行帐户。为了应对这一威胁，大多数银行利用了一种叫”双重认证“的方法，此认证通常借助SMS来完成：用户试图在线转帐时，必须使用密码来核准交易，此外还有一个一次性密码（移动交易验证码）会以文本消息形式发送到用户的智能手机。而犯罪分子开发出了一种方案，能够感染用户的计算机和智能手机，同时窃取密码和交易验证码。这种方案最初由Zeus/ZitMo恶意软件duo引入，事实证明实施起来非常有效。最近针对安卓系统的恶意软件Faketoken运用了同样的概念。很不幸，此软件也能成功造成感染。在卡巴斯基实验室最近发布的《2014年一季度IT威胁发展状况》报告中指出，Faketoken在20大移动设备威胁排名（按流行程度）中位列13，占到所有感染事件的4.5%。 Faketoken的感染机制实际上非常令人感兴趣。犯罪分子利用社交工程来感染智能手机。在网银会话中，基于计算机的木马病毒利用网络注入把请求种子植入被感染网页中，在此网页中可下载据称是执行安全交易所必需的安卓应用，但实际上链接会转至Faketoken。移动威胁一旦搭载上用户的智能手机，犯罪分子就能利用基于计算机的木马来访问受害者的银行帐户，Faketoken支持木马收集交易验证码，并将受害者的资金转入自己的帐户。 Faketoken网银恶意软件攻击的手机遍及55个国家，包括德国、英国和美国。#卡巴斯基#报告 根据报告，大多数手机银行威胁都是在俄罗斯设计并最初应用的。在此之后，网络犯罪分子可能会在其他国家进行传播。Faketoken就是这样的一种程序。在2014年第一季度，卡巴斯基实验室检测到的攻击中涉及此威胁的就有55个国家，包括德国、瑞典、法国、意大利、英国和美国。要避免此危险，用户必须利用卡巴斯基安全软件多设备版进行保护，也就是说电脑和安卓智能手机上都要使用专用安全解决方案。

更新：在上一篇有关此漏洞的文章中曾提到（引用了Github上的列表）HideMyAss网站用户受到Heartbleed漏洞的威胁。但该网站发言人与我们联系表示，他们的用户并未受此漏洞的影响，所以我们从受影响网站列表中删除了此网站。 更新2:专栏已更新受影响服务列表，这些服务官方推荐更改用户密码。 NPR（美国国家公共广播电台）主播David Green在早8点主持的《早间节目》中讨论安全漏洞话题后，人们都知道了安全漏洞是非常严重的问题。昨天早上的节目中又提到了此话题，这次是OpenSSL中的一种严重的加密漏洞，被戏称为”Heartbleed”（心滴血）。OpenSSL可能是互联网部署最广泛的加密库。如果您不是很清楚什么是OpenSSL，别担心，下面我会用500字左右的篇幅来尽量解释清楚整个原委。 与网站建立起加密连接后，数据都将使用SSL/TLS协议进行加密，不管你连接的Google、Facebook还是网银。许多流行的网络服务器利用开源OpenSSL库来执行此加密作业。本周早些时候，OpenSSL的维护人员针对一种严重漏洞发布了修订，此漏洞在实现TLS功能时出现，称为”Heartbeat”（心跳包），攻击者借助此漏洞可从服务器内存中读取多达64 KB的数据。 换句话说，如果保护机器的库是有漏洞的版本，那么互联网上的任何人都能通过该漏洞来读取机器内存。最坏的情况是这一块小小的内存中可能含有敏感数据 – 用户名、密码，甚至包括服务器用于加密连接的专用密钥。此外，利用Heartbleed漏洞不会留下痕迹，没有确定的方法来判断服务器是否被黑客入侵过，也无法断定哪类数据被盗。 好消息是OpenSSL修复了该漏洞。但坏消息是没有办法保证受Heartbleed漏洞影响的这些网站和服务实施补丁来减轻漏洞的影响。更多的坏消息是，该漏洞很明显能够被轻松利用，而且可能已存在长达两年时间。这意味着许多流行网站的安全证书已被盗，包括密码在内的敏感用户数据也很可能遭窃。 用户行动计划 更新：Mashable收集的清单列出了来自受影响网络服务的正式PR回复。为了节省阅读表格并检查证书（下面有更多检查相关内容）的时间，只需在以下所有站点上更改密码即可：Facebook、Instagram、Pinterest、Tumblr、Yahoo、AWS、Box、Dropbox、Github、IFFT、Minecraft、OKCupid、SoundCloud和Wunderlist。请对每个站点使用唯一密码！ 检查自己喜欢的站点是否有漏洞。有多种在线工具可检查是否存在漏洞，但你还需要知道之前是否有存在过。很幸运，你可以根据一个长长的流行网站列表来检查是否有漏洞。好消息是，PayPal和Google未受影响。坏消息是，Yahoo、Facebook、Flickr、Duckduckgo、LastPass、Redtube、OkCupid、500px及其他许多网站都存在漏洞。如果您在这些脆弱网站上有注册有帐户，请准备好随时行动。 立即检查网站是否有漏洞。有一个简单工具可用于此检查。 网站所有者修复漏洞后，还需要考虑重新发布网站证书。因此准备好监视服务器证书，并确保使用的是最新证书（4月8日或之后发布的证书）。为此，请启用浏览器中的证书撤销检查。下面举例说明了如何在Google Chrome设置中启用此项。 此项将阻止浏览器使用旧证书。要手动检查证书发布日期，请点击地址栏中的绿色锁图标，然后点击”连接”选项卡上的”信息”链接。 对服务器打补丁并更新证书后，最重要的一步是立即更改密码。此时可修改密码策略，并开始使用容易记忆而又安全的密码。您可以使用我们的密码检查程序来检查新密码是否安全。

在2001年10月25日这一天，微软公司推出了当时最新的操作系统解决方案： Windows XP。推出后仅三天的时间内，微软即售出了超过30万套 XP操作系统：该全新操作系统拥有众多出色性能，包括：改进的图像用户界面、集成化的CD刻录软件、适用于液晶显示器的ClearType字体平滑功能、图片和传真查看器、快速用户切换等一系列优点。同时，在这一全新系统下还包括一些革命性的改变：相比于Windows 95/98，XP的内核是基于更稳定和安全的企业级NT架构。在此后的10年中，稳定的内核加上改进后功能丰富的用户界面使得微软成为了最流行的操作系统。微软之前已将对XP的支持延长至12年而非通常的10年，在这期间还发布了3个主要补丁包对该操作系统进行显著的改进和升级。而长盛不衰的XP操作终于在今天，2014年4月8日走到了它”生命的尽头”。 寿终正寝？ 微软高管在今天宣布”不再提供扩展支持”让人有些始料不及，但这到底意味着什么？微软已有多年未给XP操作系统添加任何新的功能，而今天针对新发现漏洞和安全威胁所发布的最新补丁也已到期。当然你还是能够使用XP操作系统，但这些补丁将无法在未来起到任何作用，这意味着你的电脑将无法应对任何安全方面的威胁。这些因素将使你的个人电脑在运行时更容易感染病毒。 Windows XP将不会停止运行，但微软将不再协助解决任何安全问题。 XP-Apocalypse XP-Apocalypse（XP末日），又被称为XPocalypse和XPiration，这些词代表了一些专家的观点。他们预计仍旧坚持使用XP系统的许多企业系统和嵌入式解决方案将出现许许多多的问题。例如，作为ATM机制造商的NCR公司，其95%的ATM机依然使用的是XP系统，而仅有三分之一的ATM机转而试用更新的操作系统版本。 这些安装Windows XP机器设备的命运受到了高度的关注，因为它们的安全性将遭到严峻的威胁。就在微软计划于5月针对Windows 7/8升级发布全新漏洞补丁的同时，一些黑客很可能通过分析这一补丁并找到几种也可能适用于XP的bug，但由于XP系统将从此无法获得定期更新，因此极易受到攻击。考虑到这里点，黑客们将找到更新的方式潜入基于XP的系统。考虑到众多基于XP的机器设备通常用于控制ATM机，医疗器械、灯光辅助系统及诸如此类的解决方案，由黑客而引起的损失将难以估计。 企业XP支持服务年花费超500万美元。 与微软签署进一步技术支持协议的公司可能将幸免于难。目前尚未出台具体的相关价目表，但从目前的一些消息来看，公司每年所需为XP支持服务支付的费用大约在60万至500万美元之间。对于大多数公司来说，这一费用确实让他们有些难以承受。 一个时代的”终结”即将来临 Windows XP已发现的总漏洞数量大约在726个，仅2011年一年记录在册的就有101个。 有些人可能会抱怨，微软不再愿意为使用长达10年之久的旧操作系统进行更新，从而再提供5年的免费服务。而保持XP操作系统的安全变得越来越具挑战性，这并不仅仅是因为几个bug或漏洞：根据编程原理，XP当初的设计根本无法应对如今各式各样的网络威胁，这就导致XP更容易受到威胁和攻击。微软根据自己的调查显示，每1000个反病毒扫描系统中，就能检测出9台受病毒感染的XP系统电脑。这一数字分别是受感染Windows 7和Windows 8系统个人电脑的两倍和四倍。然后这并不令人吃惊，毕竟Windows 7和Windows 8系统是开发于黑客盛行的21世纪，在对这两个操作系统编程时显然将众多的黑客攻击问题考虑在内。即使打上专门强化安全性的补丁包，Windows XP依然不断遭受到威胁。在XP系统服务的这些年里，总共有726个漏洞被打上了补丁，从发售当年的10个飙升至2011年的101个。 与XP有关的方方面面 请勿将XP系统误认为是保守的解决方案，因为其仅适用于反对所有新开发产品的ATM和个人电脑顽固派。根据调研公司NetMarketshare的最新数据报告，有多达27%联网电脑依然使用XP操作系统。事实上这一数字相比去年减少了10%，但依然还有人坚持使用过时的XP系统，无论出于何种原因，接下来他们将面临困境，坦白说，是巨大的困境。那我们能为这些用户提供哪些建议呢？ 尽管微软不再对XP系统提供任何支持，但依然有多达27%的联网电脑坚持使用Windows XP。 没什么比升级换代更好的了，如果能够用上更新的和安全的操作系统，那就行动吧-是时候做出改变了；

网络犯罪分子犯案不止，执法机构成功将其抓拿归案。此类事件每月都有发生，下面我们将谈谈三月份最令人关注的案件。 盗版罚款 300万欧元 – 这是两名法国人将因传播盗版多媒体内容而被判缴纳的罚款金额。几年前，两名年轻人建立了一个名为”Undeadlinks”的网站，在该网站上，任何人都能查找并下载有版权的音乐和视频。非法内容的资源受到了极大的欢迎，因此两位网站所有者决定以此获利。相对于两人从学校获得的奖学金，这笔收入无疑相当巨大，但却无法永久地持续下去：该网站被当地的反盗版协会认定为盗版网站，并向法院提起诉讼，起诉了Undeadlinks及其两位网站创建人。此案件得到了华纳、迪士尼、环球唱片等大公司的极大支持。本案将于4月开庭审理。 因试图窃取1500万美元而被判20年监禁 美国检察官宣布起诉三名男性入侵大量金融机构的美国客户帐户，试图窃取至少1500万美元。起诉书中称，这三名犯罪分子皆为男性，分别是Richard Gundersen、Oleksiy Sharapka和Leonid Yanovitsky，他们是国际网络犯罪圈的成员，曾用一年多的时间取得了对帐户的未授权访问，这些帐户分属美国摩根大通银行、PayPal、花旗银行和其他公司。Sharapka和Yanovitsky尚未逮捕，但Gundersen预计将于今年晚些时候出庭。这三名共谋犯若罪名成立，都将面临最长达20年的监禁。 泄露Windows 8面临监禁 三月下旬，FBI（美国联邦调查局）逮捕了俄罗斯籍程序员Alex Kibalko，他曾是微软雇员，据称窃取了商业机密，并泄露了Windows 7和Windows 8的保密Beta版副本。检查官表示，Kibalko定期与一位不具名的法国技术博主分享软件。他供认是在微软收到工作表现评估不佳后开始这一犯罪行为的。该名泄密者还被诉窃取了微软用于防盗版的”激活服务器软件开发工具包”。法国博主与另一位程序员联系，询问自己从其他地方获取的一段代码是否真的属于新版Windows操作系统，公司由此才发现该名雇员泄露了软件信息。调查过程持续了一年多，涉及扫描该博主的私人Hotmail帐户来跟踪泄密者的身份，调查人员将此称为”特别行动”。Alex Kibalko将被处以2.25万美元的罚款和三个月监禁。 即使躲到泰国，也无法逃脱正义的审判 应瑞士方面的要求，数年前因在许多大公司传播Zotob恶意软件而臭名昭著的黑客Farid Essebar三月份在泰国曼谷落网。据称，现年27岁的黑客被控在一帮网络犯罪分子的帮助下，入侵了欧洲的银行计算机系统，造成价值40亿美元以上的损失。泰国当局表示，过去三年Essebar和其他三名同伙一直在泰国及邻近各国游荡，所花费用均来自犯罪所得。这不是Essebar第一次面临审判：大约十年前，他曾被判入狱两年。正如我们看到的，那次牢狱之灾对他的行为不济于事，而现有他再度有机会来反省自己的行为是否正确。 移动应用程序盗版者服罪 $700,000. Both men, scheduled for sentencing in the summer,

本周要闻：首先出场的是微软公司，下周微软停止支持（终于停止了！）曾经无处不在、漏洞永无止境、部署范围超广的Windows XP系统。 本周发生的事件：我们获悉比特币的更多新闻；关于特斯拉S型车的安全问题；全球网络钓鱼游戏的深入洞察；苹果Safari浏览器修订；飞利浦智能电视中的漏洞等。 据路透社报告，美国德克萨斯州联邦法官已下令Mt. Gox公司首席执行官马克•卡佩勒斯（Mark Karpeles）赶赴美国，回答与比特币交易破产案有关的问题。Mt. Gox曾是世界上最大的比特币（数字加密货币）交易所，该公司在丢失客户价值4亿美元的比特币后于今年2月停业，并在美国申请破产保护。据报道，卡佩勒斯已向传唤其到庭的德克萨斯州法庭申请根据美国《破产法》第15章给予Mt.Gox破产保护，目的是为了让其美国客户在芝加哥联邦法院提起的集体诉讼不能再继续下去。德克萨斯州法官认为，如果卡佩莱斯希望寻求法庭的保护，那么必须亲自来到这里。 据Threatpost的同事Chris Brook报告，在受到大众欢迎的飞利浦智能电视中，支持互联网的某些型号含有漏洞，攻击者可能会借此漏洞访问电视机系统和配置文件中潜在和敏感信息，并能读取插入电视本身的U盘上的任何文件。如果用户碰巧就在这台电视机上浏览互联网，那么攻击者就能窃取cookie，并利用这些cookie来访问特定网站或网上帐户。这一问题与名叫Miracast的WiFi功能有关，这种功能默认情况下已通过预设的固定密码启用。通过此密码，处于电视WiFi适配器辐射范围内的任何人都能连到该电视，并访问电视中的许多功能。 Threatpost的另一位同事Dennis Fisher报告说，深受大众欢迎的高端全电子特斯拉S型汽车上针对移动应用部署了一种易受攻击的单因素验证系统，它允许用户对车门解锁以及执行其他更多功能。研究人员Nitesh Dhanjani发现，新车主在特斯拉网站上注册了帐户后，必须创建一个6位字符的密码。此密码将用于登录iPhone应用程序。该应用支持车主操纵门锁、悬架和制动系统以及天窗。其中真正的问题是对登录尝试次数没有限制；这意味着攻击者可以对相对较短的密码发起暴力破解攻击。在没有登录尝试次数限制的系统中，六位字符是很容易破解的。另外，我想提醒所有苹果用户，位于加州库比蒂诺的计算机巨头-苹果已发布了25个Safari浏览器安全漏洞修订。其中一些漏洞非常严重，所以如果还没有更新Safari浏览器，请尽快更新。 我们的朋友-Securelist的研究人员发布了2013年金融网络威胁黑幕研究报告的第一部分。第一部分密集分析了全球的网络钓鱼环境。简而言之，他们发现，2013年的所有网络钓鱼攻击中有31%针对的目标是金融机构。所有攻击中大约有22%涉及虚假银行网址，这一比例较上年2012年的研究翻了一番；2012年，只有11%的此类攻击是部署虚假银行网址。其中不到60%的网银钓鱼攻击利用的是25家国际银行品牌，其余40%利用的是1000多家银行品牌。最后，我推荐您阅读BBC的一篇新闻，它报告说加州圣地亚哥的一名五岁男童发现流行的XBOX Live在线游戏平台中有漏洞，他通过这一漏洞可以登录到他父亲的XBOX Live网络帐户。当时他输入的密码不对时，系统提示他重新输入密码。他随便按下了空格键，结果就像魔法一样，直接登录了。”我很紧张。我想[爸爸]会发现的，”Kristoffer告诉当地电视台KGTV。”我想有人会偷走Xbox。” BBC说，Kristoffer的父亲从事安保工作，他已经向微软报告了漏洞的详细情况。微软已修复此漏洞，并对Kristoffer的帮助表示了感谢。

在四月一日愚人节这天遇到虚假网站的机率特别高。除了主流媒体开玩笑的头条外，还会遇到指向专门网站的链接，这些网站中不仅满是讽刺性新闻，甚至还有针对性的恶作剧。但是，有些网站建立的目的并不是为了开玩笑，而是为了盗用钱财。 讽刺性新闻 官方的讽刺类新闻已经有150年的历史了。其中首开先河的就是大名鼎鼎的马克•吐温。互联网的出现，为这类新闻注入了新的活力；现在，有许多网站只专注于主流媒体恶搞。此类讽刺性新闻网站很容易和正规网站混淆，因为他们外观都设计得很得体，严格遵循普通新闻网站的所有原则。 访问新闻网站时请检查地址栏。不要相信陌生网站的新闻文章。 全球最著名的讽刺新闻网站包括The Onion、The Spoof、The Borowitz report、World Daily News report和Private Eye。最后三个网站尤其”危险”，因为它们的名称并不会让人联想到内容是杜撰的；您必须依靠常理来判断到底是假新闻还是真新闻。The Borowitz report甚至就活跃在《纽约客》杂志的网站上。 许多网民是根据外表来判断假新闻的。别被愚弄了 – 在陌生网站上遇到的任何讽刺新闻或假新闻文章（取决于查看的内容）都会把你搞得精疲力竭，直到你去Google上核查过新闻真伪。 人物类新闻 这种恶作剧在21世纪的今天变得流行，也一直存在专门针对特定人物制造假新闻的制造机。制造机通常允许用户提供受害者姓名以及其他一些数据，从而创建出一条貌似可信的新闻，像”吃汉堡包餐增重100磅”、”向公共图书馆捐赠20 TB的黄色书刊”等等。 如果读到关于自己的新闻，那么几乎可以肯定是恶作剧。是不是恶作剧很容易判断 – 选择浏览器地址栏，删除”新闻”站点地址中的其他所有内容，只留下域名。此时最可能出现的情况是浏览器会转至一个输入表单，你可在其中输入内容来生成有关自己的假新闻。 资金类新闻 从更严重的方面来看，这类虚假网站是一年365天一天24小时不间断运行，危险程度极高。在此我说的是虚假网银、支付系统和金融机构。访问这些网站可能一开始会收到一封令人大吃一惊或报警电子邮件，内容类似于您所贷款已被批准；你的帐户中有可疑交易；你已收到一笔款项，你的卡已被冻结等。通常这封信里不会包含任何细节信息。要了解更多信息，你必须点击链接，在网银站点上输入你的姓名、密码，或许还要输入卡号。但有一些极小但非常重要的细节可供甄别真伪。链接会将页面转至虚假网站，而不是转向真正的网站。虽然页面看上去一模一样，但你输入的所有信息都会发给网络犯罪分子，而不是发给银行。这是目前横行的一种骗局，被称为网络钓鱼。行骗者还会假冒大型网上商店、预定网站、大型互联网公司（Facebook、Gmail、iCloud等）。 要确定钓鱼邮件和网站十分简单，只是要注意一些特定的细节： 网络钓鱼邮件中通常在你的姓名中不会包含正确的称呼语。 邮件不会含有帐户、卡号等任何具体信息。 邮件总是会含有一个链接，需要你点击来了解更多信息或解决问题。通常还会有一个威胁，表明如果不立即行动会有麻烦。

上周对于我们这些以采写计算机安全新闻为业的人来说的确是漫长的一周。虽然这一周的新闻事件寥寥可数，但还是有一些值得关注的事件。 新闻概述如下：网络安全公司White Hat发布了内部网页浏览器，专注于安全性和隐私，可应用于Windows操作系统计算机；美国总统奥巴马要求美国国家安全局（NSA）终止搜集公民通话元数据；骗子以马来西亚航空370号失联客机为饵实施网络钓鱼骗局；微软再次曝出零日攻击漏洞。 Aviator浏览器 互联网安全性和隐私依然一如既往地成为了流行焦点，这在很大程度上要归功于去年美国国家安全局曝出他们有能力监控任何想要监控的人。然而，保护网络会话安全，尽可能确保这些会话私密是一项艰巨的工程，尤其是对于那些缺乏相关技术知识的用户，或更重要的是，根本无暇了解自己心爱浏览器的设置。 为此，White Hat Security的研究人员几个月前决定向公众发布Aviator浏览器（至少推出Mac版）。该款浏览器在公司内部已使用数年。本周早先时候，他们又发布了Windows版本，使得更多的用户能够使用到这款浏览器。 Aviator浏览器基于Chromium代码库构建，外观与Google的Chrome浏览器非常类似。但Aviator旨在优化用户隐私、安全性和匿名性。默认情况下，该浏览器不允许存在来自广告商的网络跟踪。DuckDuckGo是浏览器默认搜索引擎，它不会收集用户搜索历史记录，也不会以任何方式显示广告或跟踪用户。 总之，该浏览器并不是简单地靠大量流行的扩展程序来阻止广告（全球三大浏览器就是这样做的），而是根本就不与广告网络建立任何连接。这样不仅能阻止无处不在的企业跟踪，而且还能保护用户不接收潜在的恶意广告。该公司表示，所有这些附加的优点使得这款浏览器的运行速度比其他大多数浏览器都要快。 奥巴马要求停止搜集元数据 大约一年前，曝出美国国家安全局（NSA）通过手机或电脑收集和保存几乎所有人的通信元数据。所有这些秘密信息均是由NSA前雇员爱德华•斯诺登披露的，其中有大量内容是针对美国间谍装备的指控－ 对批量元数据搜集的披露吸引了美国公众最大的关注。这让人感到相当奇怪，一方面是因为两年前大多数人甚至不知道元数据为何物，另一方面当我们回顾过往，元数据搜集相对于NSA被曝出的其他一些事件来说，并不算太离谱。 虽然说进步总是好的，但显然，白宫方面决定希望终止该情报机构搜集和存储电话记录。在目前的系统下，NSA可存储五年的电话记录信息。根据新的规定，NSA绝对不能再存储元数据。元数据改为由各服务提供商保存，但要求服务提供商只能将此类信息存储18个月。 事实上，就在我写这篇文章时，白宫方面已向公众宣布其终止批量搜集元数据的计划；元数据搜集行为原本是根据《爱国者法案》第215款所允许的。 利用马航370失联航班的网络钓鱼 你可能知道，三周前，马来西亚航空公司的一架由吉隆坡飞往北京的航班离奇地与地面失去联系，导致机上200余名乘客下落不明。截止本文写作时，已确定该航班失事。目前，还没有确切的证据能证明该航班的下落，除此之外，其很可能坠毁于印度洋某处。 和其他神秘事件和令人费解的失踪一样，马航370航班（虽然失踪航班最后的结果往往是可怕的失事）也催生了一大堆令人啼笑皆非的荒谬说法，其中许多被无耻的媒体持续报道。 同样无耻的是（你可能没那么吃惊，因为我们现在讨论的就是犯罪分子，而不是那些被称为记者的家伙），黑客组织也在互联网上以马航370失联班机为诱饵，盗取信息，骗取钱财。 大量社交媒体点击欺诈争相出现，纷纷表示已经找到马航370客机。用户会看到提示，要求点击链接才能了解新闻内容。这种老式的链接钓鱼欺诈几乎会在任何时间以任何事件为饵弹出，以吸引公众注意（名流身故、国际体育赛事、自然灾害等等）。然而，除此之外还有更复杂、更有针对性的鱼叉式网路钓鱼活动，在此类活动中，攻击者向美国和亚太区政府官员散播与航班相关的电子邮件，其中含有恶意附件。 Microsoft Word零日漏洞 最后一条新闻：本周一，科技巨头微软公司在其Technet博客上宣布，发现Microsoft Word 2010零日漏洞，将成为黑客针对性攻击的目标。虽然发现的攻击目标是Microsoft Word 2010，但该公司表示Word 2003、2007、2013和2013RT，Office for Mac,

在上周发生的众多新闻中不乏一些亮点事件，本周我们也将一如既往地收集最有趣的网络安全新闻，在本文中与您分享。 美国国家安全局出卖IT公司 首先是一条不大但却极具爆炸性的新闻。在上周的”个人隐私与公民自由监督委员会”（PCLOB）会议上，美国国家安全局法律总顾问Rajesh De承认，包括Facebook、Google和Yahoo!在内的各大IT业巨头均知道美国情报部门通过其收集大量用户数据。虽然关于这些行为的新闻人们一直有所耳闻，但得到官方的正式承认又是另一回事了。最令人怀疑的是上述这些公司之前都明确否认了有关涉嫌大规模收集公民数据情报的指控。部分公司（考虑到苹果粉丝们的感受，在此我们不会公开点名道姓）甚至声明说，他们’从未听说过棱镜计划’。此时此刻，让我们拭目以待他们如何应对这次的”严重指控”。 专为智能手表定制的操作系统 Google新近宣布开发的Android Wear操作系统将针对日益流行的智能手表以及其他类型的”穿戴式设备”。Google于周二在公司博客上发布了产品公告，正巧赶上摩托罗拉和LG新型智能手表的发布。该操作系统预计将基于安卓系统，但与其前代产品不同，这一次是偏重于语音，而不是触摸功能（像Google眼镜一样）。该操作系统能够管理支持蓝牙的外围设备，甚至包括车库大门。所以黑客入侵的机会……简直让人不敢想。 微软如何向FBI收费 俗话说：”即使无法获胜，也要掌控大局”。而微软以此的补充是：”即使无法掌控大局，那至少要赚到钱”。据黑客组织”叙利亚电子军团”称，全球知名企业根据美国联邦调查局（FBI）的要求泄露用户个人数据时，每泄露一例，即可赚得100美元。此黑客组织确认，至少在2012年9月，FBI就为此类活动支付了14.5万美元。去年泄露个人数据的单价是100美元/人，但到2013年，此价格已上涨两倍。至于这些行为的合法性，微软声称FBI并没有为此类行为支付过任何费用，而只是为用于执行合法请求所用的时间付费。你现在知道为什么时间就是金钱了。 Gmail现已全面HTTPS化 让人奇怪的是这一切发生在2014年，但从现在开始，所有Gmail活动将全部通过”https”安全协议执行。若不考虑Gmail一直以来都在使用加密，则到目前为止，有部分操作是通过不安全的通道执行的。用户现在别无选择：https连接不仅在默认下启用，而且无法禁用。更有甚者，向收件人发送邮件时，回复内容也会加密，而且邮件在Google内部服务器之间流转时也同样会加密。这是关键性的进步。 通过美国艺电劫持Apple ID 据报告，最近知名游戏发行平台”美国艺电”（EA）被黑客劫持。但有意思的是，犯罪分子的主要攻击目标并不是该公司的数据，而是为了获取用户的Apple ID凭证。黑客们采用极精细的策略来实现这一目标。他们劫持ea.com网站后，小心地发布了模仿网络钓鱼的网址，从该公司子域中复制苹果的凭证请求，这也为劫持信用卡凭证提供了机会。该报告并未给出受害者的具体人数，但更奇怪的是EA从未公开承认过曾有钓鱼网站页面在公司服务器上驻留过。我们不得不说，这确实令人怀疑。 今天就写到这里，下周见!

长久以来，卡巴斯基实验室一直注重于人才培养, 帮助大学生和研究生成长为有丰富经验以及受人尊敬的网络安全专家。这也是卡巴斯基实验室在世界各地举办一年一度的下一代网络安全国际学生研讨会(CSNG)的宗旨。卡巴斯基实验室非常荣幸地能够将世界各地具备丰富信息安全知识的最优秀学生聚集在一起。 最新一轮的[2014下一代网络安全]国际学生研讨会：亚太、中东以及非洲区域赛于3月11-13日在韩国高丽大学举办。创始于1905年，高丽大学被公认为韩国最有历史性、最大以及最美丽的校园。 来自中国香港、印度、印度尼西亚、菲律宾、马来西亚以及南非的学生被选中参加会议并现场发表演讲。 本次比赛的评委包括来自卡巴斯基实验室的专家、IT安全领域的知名学者、IT企业的决策人和媒体代表。 值得一提的是，这也是过往七届会议以来，专家现场发表演讲次数最多的一次（高达10次），可谓让学生们获益良多。在两天的会议中，学生们的演讲主题包括地下网络的演进、网络安全、比特币、Cassandra、多触控行为对安卓屏幕解锁的影响、IT安全、员工自带设备（BYOD）、生物识别技术、网络犯罪检测以及网上安全教育工具。 本次会议在卡巴斯基实验室总裁兼创始人尤金•卡巴斯基的精彩演讲中结束。尤金总结说道：”这个世界并不安全。但我依然乐观地相信我们一定能够挺过去。我们需要更多的技术革新和IT安全专家。我们的使命就是保护整个世界。” 获得比赛第一名的选手是来自香港城市大学的蒙威志，他的报告主题是”评估多触控行为对安卓屏幕解锁的影响”。 紧接其后获得第二名的选手是来自韩国信息安全技术中心的Jaehoo Lee，他的演讲报告主题是”利用数字取证技术检测未知恶意程序”。 第三名获奖选手是来自菲律宾蒂利曼大学的Adelen Victoria Festin，她的报告主题是”利用openbts做为备选基站保障社区连接安全性的好处”。 最佳演讲由同样来自菲律宾蒂利曼大学的Camille Salazar摘得，她的报告主题是”SecuriThief—线上教育平台可保护儿童上网玩游戏等操作的安全性”。 最后，让我们祝贺以上所有获奖者以及预祝他们在六月瑞典举行的总决赛中获得佳绩。 更多会议现场报道，请关注以下卡巴斯基实验室中文官方平台： 新浪官方微博：http://weibo.com/1646000801/AABKUjUB8?mod=weibotime 人人公共主页：http://page.renren.com/600015142/channel-photoshow-7711769960#7711769960 腾讯官方微博：http://t.qq.com/p/t/377810120538318

下面即将讲述的是安全功能如何发挥作用的案例，同时也是关于利用互联网赚取不义之财的新途径的故事。 为了更好地保护濒危动物，生物学家和野生动物保护主义者为濒危物种佩戴GPS跟踪项圈，以研究濒危动物的行为，监视它们的活动位置，并通过电子邮件帐户来接收相关数据。不难想像，对于非法偷猎者（或被非法偷猎者雇用的黑客）来说，入侵相关电子邮件帐户来盗取信息完全可能发生。一旦非法偷猎者获取这些信息，就能监视这些动物的大范围迁移模式，或者在某些情况下，可以获取动物的实时方位，从而跟踪并最终猎杀这些动物。 去年9月，《印度时报》曝光了一起事件，在这起事件中黑客可能已经拥有这样的能力：他们试图入侵一个电子邮件帐户，该账户中含有 “铱星GPS卫星项圈”的中继器信息，该项圈则戴在了位于印度中部中央邦帕纳老虎保护区的一只老虎身上。 网络事故层出不穷，究其原因无法一一道明。登录尝试可能是导致事故的其中一个错误，但此事件的发生突显出了非常实际的威胁。 非法偷猎者能够入侵野生动物保护主义者的电子邮件帐户，窃取其中有关濒危物种所佩戴GPS跟踪项圈所传来的数据，从而跟踪并猎杀这些动物。 一个月后，《国家地理》杂志进一步追踪报道了此事件。有权合法访问老虎GPS项圈信息的有三个人，因此某些其他人或利用某些程序（可能是垃圾邮件程序或其他一些类型的僵尸网络）设法收集到这三个人中其中一个人的电子邮件帐户的有效凭证。在五个月的时间里，GPS项圈一直在通过此电子邮件帐户更新老虎的准确位置。前三个月，项圈每小时传回一次数据，而后面两个月，则每四小时传输一次数据，直到项圈电池耗尽，传输信息中断。不难想像，这对于非法捕猎并猎杀濒危动物的犯罪分子来说简直就是一个宝库。 但是，维护此邮箱的服务器发现有可疑程序正在运行。负责常规访问该邮箱的工作人员的办公场所为于印度德拉敦。而非法访问尝试来源于距离印度普纳600英里的一个IP块。服务器标记了这一登录尝试并阻止它们继续访问。因此安全功能成功遏制了可能出现的对濒危动物的猎杀（或至少阻止了对电子邮件帐户进行未授权的访问尝试）。 该保护区老虎监视计划主管Krishnamurthy Ramesh博士告诉《国家地理》杂志，即便黑客盗用了电子邮件帐户，要想破译其中的信息也不是一件容易的事。 “他们甚至看不到相关数据，因为这些数据看起来像是异常数字或符号，”Ramesh表示。他建议项圈以加密格式传输信息。他还告诉《野生动物杂志》，GPS信息只能使用专用软件和特定的无线项圈产品信息进行破译。 “相关技术在普纳派上了大用场，事实上，由于在基于安全性的监视工作中运用了此类技术，因此野生老虎数量的恢复工作进展良好。”Ramesh说。

直到二月中旬的一个周五下午，苹果公司才悄然发布了一个修正补丁，此修正目的是修复iOS中的关键证书验证bug，原本通过此bug，攻击者能够暗中监视安全通信。 上周五的补丁通告中说此bug非常严重，但也同样难以察觉，这是苹果的标准做法。这家总部位于加州库比蒂诺的大型计算机公司的经营素来充满神秘色彩。 但当曝出bug不仅感染苹果手机iOS操作系统，同时也会感染传统OSX操作系统时，公司高层立刻引起重视，并给予了极大关注。而随着上周GnuTLS受到可怕的类似bug感染的消息曝光后，情况变得更加复杂。GnuTLS作为一种自由开源软件，用于在各种Linux发行版和其他平台上实施加密。 随着越来越多的人关注这些bug（尤其是苹果用户），更多新闻媒体和研究人员开始发表一些”借口性”的建议。其中全球知名的密码安全专家Bruce Schneier是这样描述漏洞的： “漏洞极小，因此扫描编码时难以察觉。但不难想像错误会导致怎样的情况发生。只需一个人就能轻易地添加漏洞。” 漏洞极小，因此扫描编码时难以察觉。但不难想像错误会导致怎样的情况发生。 “漏洞是有意为之吗？我也不知道。但如果让我来有意制造漏洞的话，这绝对是我会选择的方式。” 其他研究人员则更直接一些，他们质疑导致苹果bug-“goto fail”（跳转失败）的编码错误 － 因为要提交这种编码几乎不可能，更不用说在编码审查过程中没有觉察到此编码。当然，考虑到”goto fail”漏洞目前的使用环境和情况，许多人推测苹果和GnuTLS的漏洞都很容易受到”偷窥者”的攻击。 毫无疑问，这两种漏洞非常巧合具有类似的效果，但它们采用的是截然不同的方式。另一位密码专家美国约翰霍普金斯大学的Matthew Green在检查了GnuTLS的bug后认为，这是一种极愚蠢的编码错误，但却无需担忧。 撇开阴谋不谈，GnuTLS中的这种密码验证故障意味着所有Red Hat桌面和服务器产品以及Debian and Ubuntu（Linux）安装全部都含有bug，可被利用来监视这些设备上进行的通信。此类bug的影响波及从上到下的整个系统范围。不仅安全网络浏览会话（如”HTTPS”会话）受影响，而且应用程序、下载以及几乎其他任何使用GnuTLS来实施加密的通信都会受影响。 更直白地说，攻击者只需与其攻击目标位于同一本地网络上，就能利用其中任何bug。但是，在适当环境下，bug使攻击者能够进行中间人攻击，这种攻击的受害者会认为自己正在与可信的在线服务提供商通信，但事实上是把数据包一路发送给了网络攻击者。这两种bug都为窃取登录凭证和监视本地网络通信大开方便之门。 “一旦成功，情况将变得十分糟糕，”北卡罗来纳州Social & Scientific Systems公司安全专家和首席科学家Kenneth White表示,”攻击者可轻松伪造任意域，并使其看起来对请求者是被授权和可信的。这样，不仅能拦截敏感通道，而且还会暗中破坏可信包签名过程。”换句话说，就是能够仿冒某些类型的证书信任信息，而用户正是通过这些信息了解准备下载的软件或应用程序的开发者。 如果您使用的是Linux设备，则很可能存在这些漏洞。我们建议尽快安装Linux发行版的最新更新。即便使用的不是Linux操作系统，也并不意味着您就一定安全。GnuTLS是一种部署范围广，能在未知数量的系统上运行的开源软件包。本文所传达的意图一如既往：及早、频繁安装补丁。

苹果于最近发布了针对IOS 6和IOS 7系统的紧急更新。其中含有的修复补丁值得更新，且越快越好。 据苹果公司称：”一名享有特权网络位置的攻击者可能会窃取或修改受SSL/TLS保护的会话资料。” 这使得苹果公司迅速发布了紧急更新。简单地说，就是当您在公共Wi-Fi网络下使用网上银行、Gmail或用Facebook聊天时，周围的网络犯罪高手能够读取和修改您的资料，就算看到Safari显示您的会话正在被加密保护的小锁，也同样会受到攻击。不得不提到的是，该漏洞几乎能够对任何应用程序造成影响，而不仅仅是网页浏览器。难怪苹果公司如此迅速地发布该更新。 专家称，最近针对IOS的更新修复了一个严重的加密漏洞，但MacOS依然易受攻击。 安全社区花费了整个周末的时间试图找出漏洞的本质。并进行了技术分析，但最重要的发现是MacOS也受到了影响。苹果至今还未发布MacOS补丁，但我们期待很快就能看到。 我们该做些什么： -使用可靠和非公共网络（例如：家庭网络）对IOS 6和IOS 7系统的iPhone、ipod和ipad进行更新。 -避免任何敏感操作，例如：在更新您的iOS设备之前使用网上银行。 – MacOS设备同样也在等待更新中。如果使用已发布的第三方更新则可能存在风险。 -如果您确实需要在设备上使用网上银行，应仅使用最可靠的网络，同时采取其他保护措施—例如使用谷歌浏览器、虚拟私人网络和可靠的反病毒软件。

2014年3月11日，卡巴斯基实验室CEO尤金•卡巴斯基在汉诺威信息及通信技术博览会（CeBIT）全球会议上发表主题演讲。他通过向观众展示了一些案例，以此说明我们今天生活的世界中存在着的各种危险。 首先，他回顾了90年代，当时世界比现在简单得多。智能手机、平板电脑、各种联网设备还未出现，因此保持安全性会容易得多。而如今的世界则完全不同！人们无法想象针对发电厂的网络攻击，但事实上确实发生过此类事件。网络罪犯不仅能经由网络进入控制中心，甚至可以通过网络直接对中心进行控制。理论上来说，几乎今天任何人都能做到这一点。而这种攻击带来的损失是巨大的。 尤金•卡巴斯基在演讲中还谈到用户应该更加重视的四大类问题，以期在互联世界中保持安全。这四类问题分别是：IT安全性发展，对全体员工的持续培训，现代立法，以及IT业内的国际化合作。在他看来，越来越多的国家将持续在基于本国的IT项目上投资，以保护自身安全。他在演讲结束时表示：”我热爱能够在全球范围共享技术的世界，但这种世界可能不再存在。”

毫无疑问，对于所有人来说这是疯狂的一周，即便是对比特币略有兴趣的人也不例外。昔日全球最大的比特币交易商Mt.Gox倒闭，而此前近一个月，该网站就因”技术问题”暂停全部取现交易，倒闭的宣布最终结束了这一痛苦局面。 客户无法从这家全球最著名的比特币交易商处取回资金，因此Mt. Gox实际上已被清除出比特币生态系统，这导致在该交易网站彻底关闭之前，Mt. Gox的比特币交易价格就已暴跌至1比特币兑100美元。Pononix和Flexcoin两家比特币网站遭盗很可能进一步加剧比特币未来的不确定性。可以说，这一切都是意料之中的。 在2014年的预测报告中，我们曾提到针对比特币的攻击，特别是针对比特币矿池、比特币交易商和比特币用户的攻击将成为本年度最受关注的话题之一。这些攻击将尤其受到行骗者们的欢迎，因为它们的成本/收益比非常诱人。Mt. Gox事件可能是比特币有史以来最为严重的事件，据传共失窃744408个比特币，以目前的价格换算，相当于损失了3亿多美元。但唯一不确定的问题是幕后的黑手到底是什么。 置比特币交易安全于首位，重塑加密货币信心。 比特币协议中一个已知的漏洞是交易可塑性。在特定情况下，攻击者可利用这一漏洞针对同一交易发出不同的签名（或交易ID），使已完成的比特币交易看起来没有完成。即恶意用户向交易商要求提现比特币，成功提现后，抢在交易未纳入数据区块之前修改交易号，然后与对方联系，声称该交易没有发生，接着利用其他交易号再次申请提现，从而对同一笔比特币实现多次提现。 此类交易可塑性攻击是Mt. Gox当时为解释中止取现举措而提供的官方理由，根据这一解释，该公司似乎也是网络盗窃的受害者，但并不能排除此次事件是内部人员作案的可能性。 交易可塑性攻击并不一定要有内部人员参与，但确实有权直接访问交易系统的人操作起来更容易。当然，攻击也很可能完全是外部人员干的，但Mt. Gox应该掌握有相关攻击者的完整信息，原因很简单，攻击者是反复请求提现，声称因网络错误，导致实际取现并未成功。 目前唯一能做的是等待执法机构完成对此事件的调查，并寄希望于Mt. Gox和其他相关方能够与执法机构齐心协力找出攻击者，并努力弥补造成的损失。 至于比特币的未来，这疯狂的一周再一次为我们敲响了警钟，比特币生态系统确确实实需要的是了解安全性的公司。比特币是一种分散化虚拟货币，没有任何机构来强制实施安全标准和规范，那么现在就由我们，比特币追捧者和加密货币社区来制定标准，即只选择与符合以下标准的比特币公司合作：历史记录清白，对所涉及的技术，尤其是所要求的安全性有充分了解。但最重要的是，这些公司有意愿不断创新，愿意不断付出努力来赢得客户的信任。让我们齐心协力创造一切可能，使比特币重现辉煌！

手机恶意软件案例逐年上升，有愈演愈烈之势。这主要由于集团化的网络犯罪分子进行了大规模攻击，从中获取巨额利润。最近的证据表明，病毒编写集团正在加紧合作，将恶意软件扩散到更多的手机用户。这一趋势显现无疑：手机恶意软件产业将继续膨胀。 2013年相关数据 回顾2013年，我们清晰地看到发生在已知手机恶意软件案例中的惊人增长速度。然而，尽管恶意软件达到了空前的增长速度，但卡巴斯基实验室的产品依然能够保护您的设备： 2013年，网络犯罪分子总共使用了3,905,502个安装包以散播恶意软件。而在2012-2013年期间，我们总共检测到了约10,000,000个此类安装包。 安卓系统依然是恶意攻击的首要目标。所有已检测到的恶意软件中，98.1%以安卓平台为目标进行攻击。 大多数手机恶意软件依然通过使用户拨打高昂话费的电话和发短信窃取小笔资金。然而，过去的一年中，大量手机恶意软件专为网络钓鱼而设计，以窃取信用卡信息和资金，这一系数增长了19.7。 抵御保护和权限 当编写一款恶意软件时，网络犯罪分子首先考虑的是该款软件能否在受害者设备内连续不断运行。设备被感染的时间越长，网络犯罪分子越有机可乘，从中赚取利润。这使得犯罪分子专注于编写一些难以被发现并移除的病毒。 安卓漏洞正在被网络犯罪分子所利用，通过安装一款应用程序即可绕过代码完整性校验 安卓漏洞正在被网络犯罪分子所利用，通过安装一款应用程序（万能钥匙）即可绕过代码完整性校验，以增强恶意应用程序权限，扩大其权限范围，从而难以被移除。 恶意代码目前可嵌入合法程序，以隐藏其病毒感染症状。结果是，一款从非官方应用程序商店安装或论坛下载的《疯狂的小鸟》极易含有恶意功能。 对Windows XP的攻击可导致受害者因将智能手机或平板电脑连接PC而使手机恶意软件感染PC。 2013年趋势：手机电子银行木马 伴随着这些复杂的攻击方法，还有一个显著的趋势：安卓手机银行木马急剧增加。2013年年初，我们仅检测到67种手机银行木马，但到了2013年年末，已发现木马病毒样本高达1321种。手机银行木马目前甚至可与Win-32系统木马一同运行，以绕过二元认证。 随着新程序的不断出现和手机感染病毒案例的不断上升，手机恶意软件依然没有丝毫减少的迹象。我们预测企图逃脱检测和移除的程序将会不断增加，卡巴斯基实验室将依然致力于为您提供值得信赖的保护。

索尼冬奥会已落下帷幕，但在赛场外还有一位选手表现优异，理应获得金牌，它就是：卡巴斯基实验室。2013年，在独立测试中，卡巴斯基实验室的反病毒和计算机安全产品的表现均优于其它所有竞争对手。在79项独立测试和评审中，卡巴斯基实验室有41项评级最高，61项评级跻身前三。在其位列前三的项目评级中，有77%优于其它所有竞争对手，更不用说其中有41项排名第一了。 最终确定的前三名，即反病毒社区前三名由业界知名的独立测试机构（例如，AV-Comparatives、Dennis Technology Labs和MRG Effitas）以及业内一流的商业杂志（包括《CHIP Online》、《PC World》和《PC Magazine》）共同授予的荣誉产品称号。整个测试涵盖了大量防病毒检测、计算机和移动设备的防御和清除病毒的能力，以及模拟真实世界的威胁和真实用户环境。 在79项独立测试和评审中，卡巴斯基实验室有41项评级最高，61项评级跻身前三。 例如，AV-Comparatives按需检测测试评测的是产品检测最新威胁的能力以及误报率，误报率是指一款安全产品将无害程序当作威胁而阻止其运行的次数。AV-Test针对家庭用户和企业用户的双月认证测试评测的是反病毒套装的防御能力、性能和易用性，反病毒套装用于保护系统，但不能占用系统过多资源，否则会导致性能下降，对用户来说使用的意义不大。MRG Effitas发布的网银/浏览器安全报告评估的是各种安全产品在真实世界中，能够防御旨在窃取用户数据的金融恶意软件的效率。 这些测试涵盖卡巴斯基实验室的各种产品，而且卡巴斯基还提供了多种产品供用户选择，为用户的系统及数据保驾护航。卡巴斯基安全软件2014具备完整的防御能力，能应对最新的互联网安全威胁，保护您在所有在线活动中使用的个人和财务数据。卡巴斯基网络安全软件多设备版通过一个许可证，全面保护PC、Mac和Android设备。卡巴斯基PURE 3.0除了具备互联网安全套装的所有防御功能外，还提供了密码管理器和在线数据备份等额外服务。

移动产业的最大年度盛会-“全球移动通信大会”于近日在阳光明媚的巴塞罗那盛大开幕。大会伊始，即出现了许多令人吃惊且意想不到的消息，这些消息将很可能改变整个移动安全行业的格局。 诺基亚宣布推出全新系列的低价手机。全部拥有互联网功能，可访问社交网络和网站，价格仅售29欧元。其中作为诺基亚全触屏型手机中售价最低的Nokia Asha 230（仅售45欧元）尤其引人注目。但最令人关注和轰动的新闻（尽管之前消息有所泄露）无疑是诺基亚宣布推出三款基于安卓系统的智能手机—Nokia X、X+和XL。所有三款手机皆基于AOSP（安卓开放源代码项目），这即意味着它们将使用不含谷歌服务的独有安卓系统。 诺基亚应用商店、HERE Maps、Mix Radio、OneDrive（SkyDrive）以及Outlook.com将取代原先的谷歌市场、谷歌地图、谷歌音乐、G+ Drive和 Gmail。尽管对整个手机生态系统进行了更换，如果不直接启用谷歌服务，X系列手机依然能够运行所有安卓应用程序。应用程序侧载（例如：从.apk文件安装）也将实现，但这是一个坏消息，因为这将意味着诺基亚手机将从此像其他现代的移动设备一样，易于受到恶意软件的攻击。希望卡巴斯基安全软件安卓版将很快在诺基亚安卓应用商店上架。 诺基亚X可安装第三方安卓软件包，此举将导致与其他供应商无异且易于受到恶意软件攻击。 会议的首日伴随着马克•扎克伯格（Facebook创始人）的演讲达到了最高潮。他着重对众多创新举措进行了推广，即如何使互联网及其所带来的便利惠及全球大部分人口。据扎克伯格称，全球目前人口中仅有1/3的人口使用互联网，而剩下的或受制于财力及教育程度有限，或在本区域缺乏移动网络。由爱立信、Facebook、MediaTek（联发科技）、诺基亚、Opera、Qualcomm和三星共同携手成立的 Internet.org倡议，将尽力解决这一艰巨难题。当然，还少不了近期关于WhatsApp收购的提问。马克确定WhatsApp将独立运营，不会对其过多干预，例如：广告的引入或隐私相关功能的去除。现行的方法，即删除从服务器发布的消息仍然保持不变。此外，扎克伯格还声明Whatsapp团队应在未来5年中专注于提升服务和客户群增长。Whatsapp创始人库姆先生于当天早先时候告诉记者，语音电话即将在WhatsApp中被应用。 廉价的诺基亚手机和Internet.org之间是否存在任何共同点？其共同点显然是为互联网带来新的用户群。伴随着激动的心情和极大便利性的同时，互联网也处处充满了危险，因此Internet.org创始人应该考虑如何对10亿人数的互联网新用户进行相关知识培训，教会他们如何安全地畅游网络，正确地通讯交流方式同时避免受到网络钓鱼的危害。 大多数的移动安全供应商相继推出了各自的移动安全或移动设备管理应用程序。然而， 从消费者的角度来说，最热门的话题无疑是生物识别技术。紧跟苹果公司的脚步，无论是硬件还是软件供应商都提出了各自的建议想法，旨在替代所有那些不易输入且时常不可靠的密码 。 三星推出了期待已久的Galaxy S5智能手机。除了技术参数有所改进和配备1600万像素的照相机外，其硬件还新增生物识别传感器，只需手指滑动即可解锁智能手机。得益于与PayPal的合作，此类确认方式同样还可用于手机支付功能。此外，三星还应用了数码锁，可防止私人数据意外泄露并可通过指纹识别进行保护。 Galaxy S5最引人注意的硬件改进-1600万像素照相机和指纹传感器 对于其他智能手机而言，目前还无法实现指纹阅读功能，生物扫描仪则是以照相机为主。智能手机的潜在功能并不仅限于人脸识别，一些软件公司突破创新，开发出基于眼部识别的技术。虽然照相机分辨率并不足以进行虹膜扫描，但每个人眼球的血管形态却是独一无二的。其中一款创新产品- HoyosID，通过基于智能手机的脸部和眼部扫描仪，它几乎能够替代所有用户密码，但前提条件必须在电脑和智能手机应用程序上安装软件代理程序，从此将免去输入密码的烦恼。然而，该系统仍将由独立专家进行检测，避免使用后可能出现的漏洞。 卡巴斯基实验室和往年一样，也参加了此次”全球移动通信大会”。我们也在当日下午宣布推出众多面向手机的产品和服务为大家提供更多相关方面的资讯。

Facebook收购WhatsApp事件近期登上报纸头条，社交媒体巨头Facebook斥资190亿美元，破纪录大手笔地收购了这家新兴的即时通讯服务商。WhatsApp拥有4.5亿用户－平均每位用户价值大约是42美元！WhatsApp向用户收取的服务费为1美元/年，显然，这笔收入在中短期内是无法涵盖收购成本的。这自然会让人们产生顾虑，WhatsApp是否最终会在应用中插入广告，并附带侵犯隐私的监视工具，包括消息扫描（请想想Gmail的例子）。那么是时候去寻找WhatsApp的替代软件了吗？ 首先，请不要慌。这个问题还远未到要迫切解决的地步。在收购相关的新闻稿中，无论是Facebook的创始人马克•扎克伯格还是WhatsApp的老板库姆都强调说，WhatsApp仍将是一家独立的公司，具有自己独立的政策。库姆一贯以不认同以广告驱动的收入模式而著称，所以我们预计广告和分析不会太快出现。当然，万事都会随时间而变化，这种情况当然也会改变。即便您决定不再搭乘WhatsApp这艘船，你也有足够的时间来寻找完美的替代软件，并说服朋友切换到后者。 不用担心即时通讯的隐私性 不用担心即时通讯的隐私性。老实说，WhatsApp从来就不是真正意义上的保密即时通讯工具；以前甚至发生过几次泄露事件，包括一些可以进行窃听的漏洞。如今，WhatsApp在接收信息时使用合理加。另外服务商声称，用户的消息传递到接收方后就不会再被存储。所以Facebook数据挖掘程序是不能够挖掘到您的历史消息记录的。但是有一些专用工具可用于保密即时通讯，而且Facebook的收购交易与WhatsApp即时消息的隐私性无关。如果担心第三方会读取您的信息，请更多关注NSA或类似机构。 综上所述，大家不需要急着从WhatsApp换到其他移动即时通讯平台。保密数据不会在未加密的情况下通过标准通信通道发送，无论是Facebook、WhatsApp还是电子邮件均不例外。请使用安全专用工具来保护数据不被窥探。接下来要警惕的真正威胁是您会收到新一波的虚假电子邮件和消息，提醒您”确认WhatsApp帐户”、”选择不接受WhatsApp内部的Facebook广告”或类似内容。这些消息肯定含有恶意链接，一旦点击就可能会感染您的设备，或将页面切换至网络钓鱼网站，从而尝试盗取您的个人数据。WhatsApp和Facebook绝不会发送类似的内容，因此切勿落入这类圈套。

您与家人的手机或平板电脑应用商店里储存着大量宝贵的个人信息, 如何保护这些设备不受恶意软件攻击、网络威胁和避免丢失或被盗的风险? 卡巴斯基安全软件安卓版为您提供最新的保护技术，优化安卓设备，即使在手机丢失或被盗的情况下，都能确保您的个人信息受到保护。