威胁

将微型电脑嵌入我们的大脑或许会让我们的生活变得更简单。用’脑电报’代替短信，我们只需在自己心里’低声细语’就能发送消息。如果大脑中突然’灵光一闪’？你可以立即通过脑电波与你的朋友分享！而只需花费2.99美元就能让你回忆起妻子嘱咐你的购物清单。 而尚未成熟的生物接口将以每分钟百万兆字节的速度向电脑（基本上可能会是没有显示屏的智能手机）传送数据，不仅会在搜索数据时产生的巨大背景噪音，同还需要未来更强大的处理器。 他们为什么要将5V和12V 的输出设备嵌入人们的大脑中？说实话，我真不知道。 不管怎么说，未来的iPhone手机一定会告诉你想知道的一切。Google在经过34场品牌再造活动和8次结构重建后，将在占地球表面2%面积的数据中心保存和处理所有数据。当这一突破性技术再成熟一些的时候，他们或许会考虑如何保护这一庞大数据量的安全。 不幸的是，在这些数据受到安全保护之前，很可能已落入黑客之手并流入’黑市’。直到那时，我们才可能最终思考这样一个问题：我们收集和保存了哪些数据以及收集和保存的方式。 这些在不久的将来一定会发生。重新回到现在，我不知道是否有人关心过有多少用户背景的陀螺仪数据遭外泄。安全研究常常滞后于商业技术，而技术设计员在设计自己的小玩意时几乎很少会反复考虑其安全性。 在今天的上周重要新闻摘要中，我们将重点关注那些如今用户数量已达到数百万的软件和硬件设备。这里我再次重申《安全周报》的编辑原则：每周Threatpost的团队都会精心摘选三条当周要闻，并加上我自己独到的见解。往期的内容可以在这里找到。 从越狱iPhone手机盗窃数据的木马病毒 新闻。Palo Alto Networks研究。简单介绍哪些人该为这一木马病毒而担心。 并非所有关于数据外泄或bug的报告都能用语言解释清楚，但以下这个除外。在中国发现了一款流氓iOS应用程序；它会偷偷潜入智能手机与苹果服务器间的通讯并盗取iTunes密码。该恶意软件之所以最终被’逮到’是因为吸引了太多的注意：许多用户陆续向苹果报告自己的iTunes账户被盗（就报告记录来看，由于银行卡与苹果账户绑定，因此只需输入密码即可在线支付）。 很酷吧？错！该攻击仅针对越狱用户。来自中国的独立研究人员向WeipTech报告他们偶然破解的网络犯罪分子的命令与控制服务器，并发现了超过22.5万个用户凭证（越狱用户数量同样让人吃惊），包括用户名、密码和设备的全球唯一识别符。 该恶意应用程序通过Cydia（iOS app store的替代应用商店）侧载。随后自动嵌入设备与苹果服务器间的通讯，接着采用老式但依然有效的中间人攻击方法并将遭劫持数据重新定向至黑客运行的服务器。受害用户的噩梦远不止如此：该恶意软件还使用了动态加密秘钥-‘mischa07’（仅供参考：在俄文中’Misha’表示英文中’Michael’这个名字，同时也有’熊‘的意思。） Mischa07盗取iOS用户密码 目前尚不清楚’Mischa’是否已通过KeyRaider攻击大发横财。”振奋人心”的是，越狱后的iPhone手机相比安卓设备更易于遭受网络攻击。一旦强大的iOS保护功能被攻破，事实证明就再也没有其他的保护措施，任何不法分子都可以对你的设备为所欲为。 几乎所有强大系统均存在这样的缺陷：在外部，全面部署功能强大的防火墙和物理保护方法，系统本身也从不联网–总而言之，整个系统就如一座堡垒坚不可摧。而在内部，却依然在使用运行Windows XP系统的普通奔4电脑，且12年未打过任何安全补丁。但如果有黑客能成功潜入系统内部后果将不堪设想？ 那针对iOS的问题也随之产生：如果有黑客能成功编写出操作简单的root漏洞利用工具又会怎么样？苹果是否还有备用方案？这能否能证明安卓在这方面具备的优势，毕竟，安卓早已有乐遭黑客入侵的准备，到时各个开发商均会采取各自的应对措施？ Google、Mozilla和微软将在2016年（甚至更早）彻底告别RC4 新闻。 在上周刊登的第35期《安全周报》（我们讨论针对GitHub的man-on-the-side分布式拒绝服务攻击那一期）中，我们总结了使用HTTPS无论对用户还是Web服务所有者无疑都是福音。但事实是并非所有HTTPS部署均对用户安全性有利–此外，其中有一些部署了老式加密方法的HTTPS甚至还存在危险性。 举几个例子，是否还记得POODLE攻击中SSLv3的作用，SSLv3投入使用已快18年了，即将”步入成年行列”，而所用的RC4加密算法技术之陈旧甚至可以追溯到上世纪80年代。至于说到web，很难确定使用RC4加密是否会导致连接本身受攻击。早期的互联网工程任务组承认理论上针对RC4的攻击在互联网上很快能被实施。 顺便提供一份最近研究的成果：如果将任何强大加密方法改为RC4加密的话，黑客只需52个小时就能破解cookies（即劫持会话）。黑客要想成功的话，首先需要劫持一些cookies，将可能出现的结果铭记于心，随后暴力破解网站，如此即可提高成功的概率。这是否可行？当然，但需要考虑若干变量。是否有人曾真的用过呢？谁知道呢。在斯诺登公开的文件中，声称情报部门有能力破解RC4加密。 好吧，也有好的方面新闻：可能存在漏洞的加密算法在为安全起见退出历史舞台之前从未被成功破解（至少并非是全球范围）。即使现在，针对RC4加密的攻击也鲜有发生：Chrome浏览器在所有连接中仅有0.13%选择使用RC4加密–就绝对数量而言，这已经是很多了。各大互联网巨头已做出官方声明，将从2016年1月26日（火狐浏览器44）到2月末（Chrome浏览器）逐步停止对RC4加密的技术支持。 微软还计划于明年初禁用RC4（针对Internet Explorer和Microsoft

尽管苹果iOS系统以其出色的安全性而著称，但最近三天iOS遭黑客入侵的新闻占据各大媒体头版，这也彻底颠覆了iOS以往在人们心中的印象。这一切都源于危害巨大的KeyRaider恶意软件的出现，目前已成功盗取了超过22.5万个iPhone手机账户。嘘！ 但事实是大多数iPhone手机和iPad用户（事实上是几乎所有用户）大可不必担心。KeyRaider只会影响越狱设备 —但却无法黑客入侵那些并未越狱的iPhone手机。’合法’苹果设备的机主完全可以松一口气了。 每当提到苹果设备，无论是选择接受制造商设定的限制条件还是通过越狱设备获得更佳的个性化体验和全新功能，这都是你个人的自由。风险往往与自由并存，在获得自由的同时你也为恶意软件的入侵打开了方便之门。 因此，不对越狱自己的iPhone手机或iPad就能避免恶意软件的入侵，反之亦然。目前，KeyRaider恶意软件已波及了包括：中国、法国、俄罗斯、日本、英国、美国、加拿大、德国、澳大利亚、以色列、意大利、西班牙、新加坡和韩国在内的18个国家。其中大部分的受害用户都来自中国。 如果你坚持越狱自己的苹果设备，也并不意味着就一定会遭受KeyRaider恶意软件的攻击。因为你只有从Cydia第三方源仓库安装任意一个应用程序才可能会感染病毒。安装完成后，你的设备将自动通过一个免费恶意软件升级，该恶意软件会盗取用户名、密码和独一无二的设备识别符，并将这些数据发送至由恶意黑客运行的远程服务器内。 此外，KeyRaider还会锁住你的苹果设备并要求支付恢复所有被锁文件的赎金。简而言之，这是一款讨厌至极的恶意软件。 2015年7月，WeipTech专家在获悉iPhone手机和iPad用户时常抱怨在自己的苹果设备发现未经授权的购买操作以及并未曾安装过的iOS应用程序后，及对此展开了调查。研究专家设法追踪了这些网络犯罪分子并成功破解了黑客的服务器。这些专家不仅收集数据甚至还对越狱应用进行了逆向工程，以找出其中的运行方式。 WeipTech专家们称这为有史以来针对苹果账户最大的数据盗窃。尽管恶意软件只影响越狱设备，但对于受害人而言却是致命的。大约有22.5万名苹果用户已不幸数据被盗。 如果你觉得自己的名字可能在受害人名单的话，请登陆WeipTech公司网站查看。网页只有中文版，但你可以用Google翻译。 WeipTech研究专家还提出了另一个替代方案。该操作指南相当专业，但能成功越狱iOS设备的’极客’绝对能应付得过来。好吧，操作步骤如下： 通过Cydia安装openssh服务器 通过SSH连接设备 前往/Library/MobileSubstrate/DynamicLibraries/，并在这一目录下的所有文件中查找这些字符串：wushidou、gotoip4、bamu和getHanzi。 如果你在这个目录下的任何文件中发现这些字符串中的任意一个，应同时删除这些文件和拥有相同文件名的plist格式文件。然后重启设备。这一切操作完成后，强烈建议更改苹果账户密码，并对苹果ID启用二元验证。

“机上安全”问题从今年夏天开始就占据了各大媒体的头版头条，但在这里，我想换个角度讨论。一直以来，航空行业始终致力于飞行安全，且长久占据’最安全行业’的头把交椅。然而，我们所讨论的是另一种’安全’—这不仅让普通乘客大吃一惊，同时也是IT专家相当期待的话题。 众所周知，如今的民航飞机都好似一台巨型计算机，飞行员不再是一名飞行技术熟练的’王牌飞行员’，更多的是扮演计算机操作员的角色—唯一的任务就是监控智能机器。定向飞行员和仪表盘操作员已不复存在，取而代之的是计算机系统。 事实证明机上的计算机系统与普通计算机并无二异，同样容易遭受黑客入侵。黑客攻击飞机计算机很可能会带来灾难性的后果：你完全可以想象恐怖分子不再需要劫持乘客作为人质，或闯入驾驶舱改变飞机航线。他们只需一部笔记本电脑就能实现毁灭飞机的目的。 在美国政府问责办公室公布的机上Wi-Fi安全报告中，提到了今年春天曾出现过的’恐慌潮’。航空业、网络安全和政府问责办公室之间的关系依然不明，而一些媒体却充分发挥想象，绘声绘色编写一个又一个”恐怖故事”：根据目前的大量披露信息，恐怖分子现在只需悠然自得地坐在自家院子里，用一台笔记本电脑就能让目标飞机降落到院子所在地。 显然没人有耐心读完整篇报告：飞行恐惧症患者则更愿意相信飞机是世界上最危险的交通工具。此外，该篇报告内容也相当枯燥：用了极大篇幅反复宣称由于飞机上是通过Wi-Fi和卫星连接互联网，因此是时候航空业该对这一联网通道采取安全保护措施。 由于非加密802.11网络本身就存在不安全性，而且又作为本地网络使用（就像你家里或办公室用的网络），因此一旦有不法分子成功登陆后，就能对联网的其它设备进行黑客入侵。尽管通过机上Wi-Fi访问飞行管理系统依然存在理论上的可能，但到目前为止还没有黑客有成功过。 显然人们非常渴望航空领域能有权威航空安全研究专家的出现，但有时却是一种’奢侈’。专门研究飞机安全的研究人员Chris Roberts乘坐联合航空的航班时在推特上开了个玩笑：”我现在在737/800航班上，让我们来看看Box-IFE-ICE-SATCOM,？我们恶搞一下EICAS信息吧？试试给别人”输氧”？:)” 结果，飞机在到达机场着陆后，随即有几个陌生人要求Roberts紧跟在他们身后，并将他带入一间灯光昏暗的小房间内，最后证明这些人是FBI探员。FBI盘问了他好几个小时，并没收了他的笔记本电脑和平板电脑。联合航空公司也取消了他的回程机票。 推特上的一个玩笑引发了有关部门对Roberts的注意：但事实上，他研究机上系统安全已有数年的时间，但从未受到任何航空公司的特别关注。 在盘问过程中，Roberts承认自己试图控制飞行管理系统，尽管时间很短，但却有能力改变飞行的方向。此外，他还透露了’黑客入侵’的细节内容：通过自定义适配器连接机上娱乐系统总线，借此对飞行管理系统进行篡改。 尽管该名”黑客”承认自己黑客入侵了飞行管理系统，但没有任何证据表明他的确曾设法劫持该系统的控制权。在乘客多媒体显示屏显示的地图上画一条不同的航线与真正更改航线完全是两码事。而一旦飞行航线真的被更改，飞行员和调度员不可能不会注意到，事后一定会进行非常严肃的调查。 一家俄罗斯安全公司Digital Security在5年的时间里对30家航空公司总计500架航班进行了研究，发现这些飞机中的确存在安全漏洞，而一些黑客也曾尝试过进行漏洞利用以寻找黑客入侵的可能性。简要概括来说，飞机的IT系统内的确存在不法分子感兴趣的’入侵切入点’： 飞行管理系统 旨在方便系统之间通讯的另一个网域的路由器，例如：卫星通信服务器- SATCOM 多媒体服务器 终端多媒体设备 多媒体设备是较为容易攻击的目标，通常安装在乘客面前的座位上。一旦该设备遭受攻击，黑客就能潜入操作系统内并借此感染其它系统。 有多种方式可执行此类攻击。黑客可以利用存在漏洞的USB端口插入键盘模拟器，这样就能向系统发送命令。或者，举例来说，还能使用拇指驱动器来利用多媒体播放软件内的漏洞。 在有些飞机上，除了USB端口外还另外设有RJ-45端口，笔记本电脑后连接可以使用更多的黑客工具。高级黑客不仅能掌控整个机上多媒体系统，还能控制多媒体服务器，尽管难度很高但依然可行。 主要的问题是：有些飞机上的RJ-45端口标有”仅供私人使用”的字样。因此一旦黑客通过这一端口联网，则有可能访问关键系统元件。但目前没有任何证据表明此类网络攻击能触及飞行管理系统。 同时，软件bug也可能造成飞机故障。就在最近，一架空客货运飞机在起飞时4台发动机中的3台发生了故障，原因是不正确的软件更新导致校准数据丢失，并最终导致飞机坠毁。 由于程序员没有考虑到为此类故障设置警报，这直接造成事故的发生。他们甚至没有想到这些配置文件会出问题：因为通常认为软件更新会检查配置文件是否完整。 由于这一缺陷导致传感器数据无法正确读取，使得主机认为受影响的发动机出现故障因此关闭–软件开发者并未考虑两台以上发动机同时发生故障的情况：因为飞机就算只有两台发动机运行也能继续飞行，也能成功实施紧急降落。 在波音飞机中也发现了bug：波音787″梦幻客机”在飞行过程中机上电力设备可能会被全部关闭：如果机上全部4个电力发动机同时启动并不间断运行248天的话，就会转入紧急模式而全部关闭，从而导致飞机上断电。 故障的原因很简单：内部计时器的堆栈溢出。尽管可以理解此类巧合在现实中几乎不可能发生，但却暗示着现代飞机都是由计算机操控，且与其他计算机（包括你的台式机）并无法差异，同样易受到漏洞的影响。因此如果哪一天你看到Kaspersky Inflight Security（卡巴斯基机上安全软件）推出市场，千万不要觉得惊讶。

近期，我们就时下热门的”黑客入侵Jeep大切吉诺“主题，写不少与此有关的讨论文章。在今年的网络安全盛会-2015美国黑帽大会上，安全研究专家Charlie Miller和Chris Valasek同样就他们是如何黑客入侵Jeep大切吉诺的整个过程进行了详细阐述。 在他们的研究之初，Miller和Valasek试图通过Wi-Fi连接黑客入侵Jeep车的多媒体系统—Jeep的制造商克莱斯勒根据车主意愿选择是否开通这一收费功能。事实证明，黑客入侵这一车载Wi-Fi并非难事，原因在于Wi-Fi密码是基于汽车本身及其多媒体系统（主机）在首次启动时自动生成的。 从理论上讲，考虑到日期/时间的极高精确度，这是一种相当安全的加密方法，因为你可以得出成千上万种可能的组合。但如果你能成功猜到要在Jeep车开动后的一小时内时刻与车载Wi-Fi保持连接。因此，这两名研究专家决定另寻他路。令人吃惊的是，他们竟然真的又找到了一个解决方案：结果证明，克莱斯勒车载Wi-Fi密码是在车上设置实际时间和日期之前就已经生成，即在主机启动时在默认系统起始时间基础上再加上几秒而自动生成。 那辆大切吉诺的默认系统起始时间是2013年1月1日00:00（格林威治标准时间），或更精确地说，是00:00:32（格林威治标准时间）。这样可能的组合范围就相当小了，即使是业余黑客，猜出正确的Wi-Fi密码也完全是小菜一碟。 在成功连上Jeep车的主机后，Miller和Valasek得以找到一种可能的方法来黑客入侵使用Linux操作系统的多媒体计算机。由于软件内的几个问题完全能猜到，因此他们通过利用软件内的漏洞后最终完全掌控了主机系统。 尽管攻击范围有限，但却足以惊世骇人：研究专家们不仅能完全控制音乐播放器，还能将收音机调到任何他们想听的频率并能随意调节音量。完全可以想象，当你以70英里/小时（相当于112公里/小时）在高速公路上急速行驶时，收音机突然自动提高了音量，任何人碰到都会悚然一惊，进而可能引发交通事故。 研究专家们还发现了另一种可能，即通过车载GPS导航系统追踪目标车辆。你甚至无需更改主机软件就能利用这一漏洞，因为该系统在汽车出厂前就已内置。 以上就是如何成功黑客入侵克莱斯勒汽车车载Wi-Fi连接的方法，但前提条件是车主购买了此项功能服务。但就目前而言，许多车主并未购买。而另一方面，克莱斯勒汽车的所有主机均能与Sprint蜂窝网络相连接，就算其车主并未购买任何无线网络服务也同样能成功连接。而这只是针对车载主机类型的一个标准而已。 Miller和Valasek也试图通过这一方法利用漏洞—虽然花费了大量的时间和精力，但他们的努力并没有白费。借助在eBay上购买的’femtocell’（毫微微蜂窝式基站），他们得以进入到Sprint内网，并通过监听某几个电话（他们通过黑客入侵Wi-Fi获得）扫描大量IP地址。 利用这一黑客技巧，你可以找到几乎所有配备有此类主机的克莱斯勒汽车。事实上菲亚特克莱斯勒已召回了100多万辆车存在类安全漏洞的汽车。可能你会觉得菲亚特克莱斯勒已将所有问题车辆都召回了，因此完全可以放心选购一辆安全的Jeep车。但事实上这并非易事，正如研究专家所言，”相比其他品牌汽车而言，所有Jeep品牌的汽车几乎都存在这方面的安全问题。” 黑客完全可以借助GPS追踪器，对任何想要黑客入侵的Jeep车下手。在成功入侵后，黑客可以利用车载多媒体系统为所欲为。但我们的故事还远未结束。 下一步还需要找到接入CAN总线的途径。CAN总线作为汽车的内网能与车上所有最重要的部件—发动机、传动装置和传感器等（几乎囊括了所有车载部件）互联，原因在于目前Jeep品牌车上的每一个部分均采用电子控制方式。 但多媒体系统却并未与CAN总线直接相连。而这正是每当提及网络-物理系统的IT安全时，所有汽车制造商都反复强调的：多媒体系统完全独立于这些系统的联网和物理部分以外。 但事实证明，其安全性也并非万无一失，至少对于克莱斯勒汽车而言确实如此。尽管多媒体系统控制器本身无法与CAN总线直接通讯，但却能和与CAN总线互联的另一个部件-V850控制器通讯。简单地打个比喻，他认识个家伙，那个家伙又了解另一个家伙的状况。 V850控制器的软件采用了相对谨慎的设计方式，因此尽管有可能’听从于’CAN总线，但却无法通过它发送命令。但你也知道，这毕竟是一台计算机。你根本无需拆箱操作，只需简单地对计算机重新编程即可将其添加入内。 通过与多媒体系统的控制器连接，研究专家们发现了可针对其恶意编写版本更改V850控制器固件的漏洞。在无需检查或授权的情况下，固件即可完成’升级’。尽管存在权限问题，但研究专家们在其中发现了数个漏洞，从而实现了对V850控制器的完全掌控。 实际上就是如此简单：在这一步操作完成后，Miller和Valasek即能通过CAN总线成功发送命令，并且对所有汽车部件（千真万确）进行操控。他们能成功操控方向盘、发动机、传动装置和制动系统，更不用提像雨刷、空调和门锁这样更容易控制的汽车部件。而且，他们完全是通过Sprint蜂窝网络远程控制这些汽车部件的。 好消息是：Miller和Valasek花费了数年时间才得出了他们的研究成果。而主要的黑客技巧—具体如何掌控与汽车部件连接的CAN总线—在他们的介绍中依然未解释清楚。此外，也并非每一名黑客都能达到上述两名研究专家的技术水平。坏消息是：此类黑客入侵成功的可能性相当高，且产生的破坏性将难以估量。

这一最令人震惊的网络威胁不断触动着安卓手机用户原本就脆弱的神经：Zimperium zLabs在2015年4月报告了Google操作系统内的6个漏洞。他们还告诉《福布斯杂志》：尽管Google向其合作伙伴发送了补丁，但有些令人难以置信的是，大多数生产商并未修复这些补丁来保护他们的客户。这些bug被认为有史以来发现的最严重的安卓缺陷。 安全研究人员宣称95%的安卓设备–约9.5亿部智能手机–暴露在漏洞利用的危险之下。运行2.2版本以下安卓操作系统的老式手机可确保无安全之忧，同样安全的还有Silent Circle最新推出的Blackphone（黑手机）,其操作系统已打上了相关安全补丁。同样针对Nexus手机的相关安全补丁也将于近期发布。 只要知道你的手机号码，黑客们就能将恶意软件植入你的手机：即通过受病毒感染的MMS（多媒体短信服务）实现。只要你接受此类短信—恶意软件就能开始自动运行。你甚至不打开受感染的多媒体短信就可能不幸成为受害人，因为手机的操作系统会’帮助你’执行一切操作。这绝对是一种可怕、高效且悄无声息的网络攻击，你说呢？ 该漏洞存在于Stagefright软件库内。Google Hangouts同样遭受牵连，原因在于该应用常被用作处理视频短信的默认应用程序，因此会激活病毒。 一旦不幸安装，该恶意软件则会清除原先的MMS来掩盖所有踪迹。一旦成功运行后，该病毒将不仅通过手机摄像头和麦克风监视你的一举一动，还会将你的个人数据共享到互联网并开展其他犯罪活动。 Google最近针对其Nexus手机开发了另外一些安全补丁，并承诺将于近期发布。但如果你不幸使用其它手机的话，则可能永远也看不到针对你手机的相关安全补丁发布的一天。不幸的是，众多智能手机生产商在提供安全补丁方面可谓名声不佳，尤其当你的手机已上市超过18个月。 而与此同时，作为安卓替代系统的CyanogenMod也于近期发布了修复补丁。如果你手机的生产商无法提供安全更新补丁的话，可以参考以下我们精心准备的安全防范措施。 你首先需获得安卓手机的root权限，然后禁用Stagefright。当然，你还可以选择使用其他的手机操作系统。 你还能买一部在这方面有安全保障的新智能手机（生产商很重要！），然后放心使用直到再出现新的严重安全漏洞。 更改设置并停止接收MMS。 无论你选择哪一种方法，都仍然会遇到各种不便和麻烦。最快的方法是禁用Hangout的MMS自动抓取功能。只需按照以下步骤操作即可轻松实现： 打开Hangout； 点击左上角选项； 点击设置-> SMS； 在高级选项卡内取消勾选自动检索MMS选项。 如果你使用的是默认消息应用，同样可以实现： 打开消息应用； 点击更多->设置->更多设置 点击多媒体消息->关闭自动检索 我们依然希望智能手机生产商最终能严肃地对待这些安全问题。此外，我们还可以通过向那些在推特上有客户支持账号的智能手机生产商直接发送推文，敦促他们尽快发布相关安全补丁。  

安全专家们常常将漏洞利用称之为与数据和系统安全有关的最为严重的问题之一；尽管一般来说我们总难以区分漏洞利用和恶意软件之间的差别。但在这里我们将尽量详述其中的差别之处。 什么是漏洞利用？ 漏洞利用是恶意软件的集合。这些恶意程序往往包含数据或可执行代码，能够利用在本地或远程计算机上运行软件内的一个或多个漏洞。 简而言之：在你根本不知情的情况下，浏览器内存在的漏洞允许”任意代码”在你的计算机系统内运行（例如：安装和启动某种恶意程序）。很多时候，网络攻击者实施漏洞利用的第一步就是允许权限提升，如此他们就能在遭攻击的系统内肆无忌惮地进行犯罪活动。 浏览器连同Flash、Java和微软办公软件都属于最容易遭受攻击的软件类型。由于这些软件使用相当普及，因此无论是安全专家还是网络黑客均对它们积极进行研究，同时开发者们也不得不定期发布相关补丁以修复漏洞。如果每次都能及时打上补丁那是再好不过，但实际上却常常无法如愿。比如，在进行升级时必须关闭所有浏览器标签或文件。 另一个问题是对目前未知的漏洞进行利用，网络黑客们一旦发现后即大肆利用：即所谓的’零日漏洞‘。而软件供应商则在漏洞被利用后，才能了解问题所在并着手解决。 病毒感染途径 网络犯罪分子常常热衷于通过类似于社交工程的其它病毒感染方式实施漏洞利用–无论成功还是失败–对漏洞的使用不断转化为他们想要的结果。 用户通常通过两种途径不幸遭受漏洞利用。第一，通过访问含恶意漏洞利用代码的网站。第二，打开看似合法但实际上却隐藏恶意代码的文件。你们应该很容易能猜到，最有可能带来漏洞利用的不外乎垃圾邮件或网络钓鱼电邮。 一旦通过特定漏洞获得访问权，漏洞利用即会从网络犯罪分子的服务器载入其他恶意软件，从而执行各种恶意行为，例如：盗取个人数据，或者将受害人计算机作为僵尸网络的一部分来发送垃圾邮件或实施DDoS正如在Securelist上提到的，漏洞利用旨在攻击含有漏洞的特定版本软件。一旦用户使用该版本软件打开恶意目标，或网站运行类似版本软件的话，都会导致遭受漏洞利用。 攻击，无论如何都是为了实现背后不可告人的犯罪目的。 即使对于小心且勤于升级软件的用户而言，漏洞利用同样会构成威胁。其中的原因是网络犯罪分子很好地利用了发现漏洞和发布修复补丁之间的时间差。在这段真空时间内，漏洞利用几乎可以为所欲为，会对几乎所有互联网用户的安全构成威胁 –除非用户系统内安装了自动防御漏洞利用攻击的工具。 还有不要忘了上述提到的’打开标签综合征’：用户常常需要支付一笔费用才能升级软件，且并非所有用户都愿意在补丁刚刚发布时就立即付款更新。 集群式漏洞利用 漏洞利用常常采用集群方式，因此首先需要对遭受攻击系统进行检测以确定漏洞类型；一旦确定一个或多个漏洞类型，接着就使用相对应的漏洞利用工具。漏洞利用工具还会广泛使用代码混淆以防止被检测出，同时还对URL路径进行加密来防范安全研究专家将它们彻底根除。 下面是一些最知名的漏洞利用工具： Angler –号称是黑市上出售的最复杂的漏洞利用工具之一。该工具在开始检测反病毒软件和虚拟机（安全研究专家通常将其作为诱捕工具使用）后即会彻底改变整个”战局”，并同时部署加密的点滴木马文件。作为速度最快的漏洞利用工具之一，Angler还能并入最新发布的零日漏洞，同时其恶意软件无需对受害人硬盘进行读写，而是从内存中直接运行。有关该工具的技术介绍都在这里。   Nuclear Pack –通过Java和Adobe PDF的漏洞利用以及dropping Caphaw（著名的网银木马病毒）对受害人实施攻击。你可以从这里了解更多。 Neutrino –作为一款俄罗斯黑客编写的漏洞利用工具，内含大量Java漏洞利用，在去年名声大噪并屡屡登上新闻头条，原因是Neutrino的售价高达3.4万美元。随着Paunch（下一个我们将讨论的漏洞利用工具的作者）被抓捕归案，Neutrino很可能以如此高的天价被成功出售。 Blackhole Kit –2012年最广为流行的网页威胁，将存在于类似Firefox、Chrome、Internet

让我们共同庆贺为消费者量身定制的安全解决方案升级版的推出—卡巴斯基实验室必出精品—卡巴斯基安全软件多设备版和卡巴斯基全方位安全软件多设备版。这些产品专为解决终端用户最关心的安全问题而专门设计，这些安全问题包括：隐私、数据、对身份和资金的盗窃以及对设备本身的保护。 据2015年消费者IT安全风险调查显示（不久将来将开展更多这方面的调查），用户愈来愈重视在线安全问题。其中70%的受访用户表示采取了安全防范措施来保护个人数据，而61%的用户则担心自己的设备中可能被植入了间谍软件，而对于网络摄像头不信任的用户则占到了总受访人数的49%，原因是这些用户在日常生活中频繁使用网络摄像头进行’现场表演’。而卡巴斯基实验室产品的新版本在设计之初即将所有这些用户关心的问题考虑在内。它们时刻保卫着大多数用户偏爱使用的设备和平台：Windows、OS X或安卓系统。 社交网站、广告和分析代理机构常常会收集有关用户浏览网页的内容、具体位置以及搜索历史等数据。他们只需通过浏览器就能获取这些信息。一旦成功收集此类数据，这些网站和机构就将根据这些信息来确定你的口味和偏好，使得你的浏览页面会不断跳出烦人的广告、发送推销电邮以及将你的个人资料再转卖给其他公司。你是否曾收到过发自某家公司的广告短信，而你根本不知道他们是如何获得你的电话号码？而这正是他们的工作方式！ 隐私浏览功能可将来自网络流量的此类数据清除并通过专用插件向用户报告任何受阻的请求，Mozilla Firefox、ternet Explorer和Google Chrome浏览器均具有这项功能。而卡巴斯基实验室产品的功能则更为强大，不仅能防止用户通过cookie文件被识别，还能向网站发出不希望传输数据的警告。最终确保这些隐私数据不会从你的设备外泄。 另一种普遍存在的问题是用户根本不需要的程序软件在设备内启动，即在用户不知情的情况下，额外的扩展与免费软件捆绑安装。这可能会对浏览器主页、默认搜索引擎以及网络和系统配置产生影响。 此类’附赠礼物’还会收集有关用户及其在线行为的信息，并将这些数据用做不同目的。改变控制功能恰恰是用来检测任何尝试引入此类更改的进程，向用户报告并要求这些进程需用户同意后方能运行或者干脆直接阻止。 隐私清理工具同样得到了升级，从而以一种更好的方式保护您的隐私。你除了可以用该工具来清除Windows计算机上的用户所有行为痕迹外，还可清理浏览器历史以及最新打开文档清单。 如果你担心有偷窥狂黑客入侵你的网络摄像头并对你的个人隐私进行窥视的话，确保启用网络摄像头保护功能。该功能不仅能防止黑客从你的网络摄像头截屏，一旦有合法应用程序访问摄像头时还会立即通知用户，此外还可设置为阻止所有应用程序访问。 为确保网银交易安全，卡巴斯基实验室的Mac和PC版反病毒软件通过采用独一无二的安全支付技术，可检查购物或支付网站是否安全以及你是否遭到网络钓鱼页面的欺诈。在测试后，用户即能以一种特殊且受保护的模式打开网站。 据2015年消费者IT安全风险调查显示，22%的受访儿童用户在互联网曾遭受某种类型的网络威胁，同时其中的21%造成自给家长的数据丢失或资金受损，因此我们同样对屡获殊荣的PC或Mac版上网管理功能进行了升级。这些控制功能允许用户管理他们孩子的应用程序下载、阻止对不适当网页内容和游戏的访问以及防止个人信息的披露。 此外2016系列的便利性也有所提高，你无需检查卡巴斯基实验室产品2016系列是否需要升级和更新，最新的产品中已经包括了自动升级和更新功能，并可通过个人的”我的卡巴斯基账户“进行管理。 当然，我还是想告诉读者的是：卡巴斯基实验室反病毒产品旗舰版获得大多数独立研究实验室的认可，且无论在短期还是长期的各项测试中均得到了最高分。

如今，勒索软件的问题愈加凸显期严重性。近期包括CoinVault和CryptoLocke在内的勒索软件在互联网上兴风作浪、肆意妄为，似乎显露出网络犯罪分子对于此类网络攻击的使用频率不断加大。尽管勒索软件攻击的案例数量与日俱增，但据卡巴斯基实验室的一项调查发现，仅有37%的公司将勒索软件视为严重的网络危害。

网络犯罪分子也会相互学习进步。在卡巴斯基实验室研究人员最近发现的TeslaCrypt 2.0最新版本中，恶意软件作者显然加入了不少新的功能，防止被盗文件遭解密以及隐藏恶意软件的命令与控制服务器的位置。

勒索软件作为恶意软件的一种，专门窃取用户文件并对受害人实施勒索。其中最有效的犯罪手法就是对文件进行加密后以提供解密秘钥之名索要赎金— 这也是为什么该恶意程序也被称为”cryptoware”（文件加密病毒）的原因。

我们制作了一张信息图表，显示了卡巴斯基实验室旗舰反病毒毒软件在过去几年是如何改进的。

作为’Dukes family’系列的另一种APT（高级持续性威胁），CozyDuke专门攻击机要机构和公司，其中就包括美国政府办公室。CozyDuke（同时还被称为CozyBear、CozyCar或”Office Monkeys”（办公室猴子））以一段有趣的视频作为诱饵，诱使受害人点击。

在多数情况下，一旦你不幸成为勒索软件的受害人，对此可以说是完全束手无策。但幸运的是，警察和网络安全公司时常会采取联合行动，关闭勒索软件的命令和控制服务器并从中恢复一些重要信息。这些信息十分有用，因为其有助于编写解密工具并恢复用户的文件。最近，德国网络警察和卡巴斯基实验室联手创建一个解决方案以帮助CoinVault勒索软件受害人恢复文件。 如果你想了解更多有关CoinVault勒索软件的内容，可查阅我们刊登在Securelist网站上的详细报告。如果你也对我们是如何编写该解密解决方案感兴趣的话，在我们的博客文章中有详细的介绍。如果你碰巧正在寻找有关如何清除CoinVault勒索软件并恢复文件的方法的话，请参阅以下操作步骤。 第一步：确定自己的计算机是否真的感染了CoinVault勒索软件。 首先，确定你的文件的确是被CoinVault所盗而非其它勒索软件。确定的方法很简单：如果你的计算机被CoinVault感染的话，你将能看到如下图片： 第二步：获取比特币钱包地址 在CoinVault勒索软件界面的右下角，你将能看到比特币钱包地址（上图中用黑圈标记的地方）。复制并保存这个地址非常重要！ 第三步：获取加密文件清单 在该恶意软件窗口的左上角，你将能看到’查看加密文件清单’按钮（上图中用蓝圈标记的地方）。点击这个按钮并保存为一个文件。 第四步：清除CoinVault 前往https://kas.pr/kismd-cvault并下载卡巴斯基安全软件试用版。安装完成后，该试用版软件将能从你的系统中清除CoinVault。确保已保存了所有从第二步和第三步中所恢复的信息。 第五步：访问https://noransom.kaspersky.com检查 访问https://noransom.kaspersky.com 网站输入在第二步中所获取的比特币钱包地址。如果你的比特币钱包地址已知，则IV（初始化向量）和密钥将会出现在屏幕上。请注意可能会出现多个密钥和IV。保存所有在计算机屏幕上出现的密钥和IV，后面你将需要用到。 第六步：下载解密工具 在https://noransom.kaspersky.com网站下载解密工具并在你的计算机上运行。如果你得到的是错误消息（如下图所示），进行第七步操作。如果没有错误消息，则跳过第七步直接进行第八步操作。 第七步：下载并安装另外的libraries（库） 前往http://www.microsoft.com/en-us/download/details.aspx?id=40779并遵照网站的使用说明。随后安装软件。 第八步：打开解密工具 打开该工具后你将能看到以下窗口： 第九步：测试解密程序是否运行正常 在首次运行该工具时，我们强烈建议您对解密程序进行测试。具体操作步序如下： 在”单文件解密”框内点击”选择文件”按钮，并选择你想解密的一个文件； 将来自网页的IV输入到IV框内； 将来自网页的密钥输入到IV框内； 点击”开始”按钮。 验证新创建的文件是否已正确解密。 第十步：解密所有被CoinVault所盗的文件 如果在第九步中操作一切正常的话，则能立即恢复你的所有文件。选择从第三步中所获取的文件清单，输入IV和密钥并点击开始。你完全可以根据自己的需要选择”对带解密内容的加密文件进行重写”选项。 如果你在输入比特币钱包地址的时候收到多个IV和密钥的话，这时候你就要十分小心了。因为我们无法100%确定比特币钱包的多个IV和密钥的正确来源。一旦出现这种情况，我们强烈建议取消勾选”对带解密内容的加密文件进行重写”的选项。如果在解密时出现错误的话，可以尝试不同的IV+密钥组合直到文件被成功解密为止。 如果你根本没有收到IV和密钥的话，应耐心等待并访问https://noransom.kaspersky.com检查。由于相关调查依然在进行中，我们将不断实时添加新的密钥。

许多人都认为恶意软件是一种完全能破坏PC电脑正常运行功能的软件。如果你的计算机运行良好，这就意味着没有受到病毒感染，对吗？完全错误，恶意软件编写者们已不再是那些烦人的”网络牛仔”了。网络犯罪分子制造网络灾难的主要目的并非只是为了好玩，而是为了赚钱。在许多情况下，这一目的却导致了完全相反的恶意软件行为：最重要的信息永远不会让用户看到。 例如，此类’隐秘’动作通常就是僵尸网络的典型行为。普通僵尸网络通常由数千台PC电脑组成，如果要说是最大的僵尸网络的话，可能操控着数十万台PC电脑。而计算机用户者对于他们的计算机已受到病毒根本毫不知情。他们只能感觉到自己的PC电脑运行速度似乎慢了一些，但这对于PC电脑来说再平常不过了。 设计僵尸网络的目的旨在收集包括：密码、社会保险号、信用卡个人资料、地址以及电话号码在内的各种个人数据。这些数据可能被用于各种网络犯罪，包括：身份盗用、各类网络欺诈、垃圾邮件以及其它恶意软件传播等。僵尸网络还可用于对网站和网络发动攻击。 而摧毁一个大型僵尸网络则需要众多合作方在付出巨大努力下才能完成。近期的例子则是被认为已在190多个国家感染超过77万台电脑的Simda僵尸网络。其中，美国、英国、土耳其、加拿大以及俄罗斯等国受到的影响最大。 Simda作为一种”可供出售的僵尸网络”，被用于传播非法软件以及各种类型的恶意软件，其中有一些则能盗取资金凭证。而具体恶意程序的编写者则在每次安装后简单地支付给Simda僵尸网络所有人一笔费用。换句话说，该僵尸网络是恶意软件’制造商’的一种大型交易链。 僵尸网络横行互联网已有数年之久。为了让恶意软件发挥出更大的”功效”，Simda僵尸网络所有人在不断开发新版本同时，还频繁地每隔几小时就创建和传播一次。就目前而言，卡巴斯基实验室的病毒采集库内包含了属于各个Simda恶意软件版本的26万多个可执行文件。 与此同时，就在4月9日（周二）当天，分别位于荷兰、美国、卢森堡、俄罗斯以及波兰境内的14台Simda僵尸网络命令和控制服务器被关闭。 参与当天”关闭服务器”行动的组织可谓数量众多，因此也表明Simda僵尸网络的复杂程度可见一斑。包括国际刑警组织、微软、卡巴斯基实验室、趋势科技、Cyber Defense Institute、美国联邦调查局、荷兰国家反高技术犯罪机构、卢森堡Nouvelles Technologies公司的Police Grand-Ducale部门以及俄罗斯内政部’K’部门在内的众多组织均联合参与了本次打击网络犯罪分子的行动。 “由于僵尸网络是一种地域分散式网络，因此通常很难将其彻底摧毁。这也是为什么尤其需要私人和公共部门的携手合作–各方都必须尽自己的最大努力为整个联合行动做出贡献。”目前正与国际刑警组织紧密合作的卡巴斯基实验室首席安全研究员Vitaly Kamluk如是说。”在本次行动中，卡巴斯基实验室的职责是提供僵尸网络的技术分析、从卡巴斯基安全网络收集僵尸网络的遥测数据以及为行动策略提供建议。” 由于相关调查依然还在进行当中，因此要找出Simda僵尸网络的幕后黑手还需时日。但对于用户而言最重要的是：网络犯罪分子用来与受感染计算机通讯的操作、命令和控制服务器已被关闭且彻底摧毁。尽管Simda僵尸网络的运行暂时得以终止，但那些PC电脑受感染的用户依然应该尽快清除这一恶意软件。 通过使用从Simda僵尸网络命令和控制服务器恢复的信息，卡巴斯基实验室创建了一个特殊页面可用于检查您的计算机IP地址是否在受感染清单中。 此外，还可使用免费的卡巴斯基安全扫描工具或下载功能更为强大的3个月有效的卡巴斯基安全软件试用版，则可确保您的PC电脑万无一失。当然了，所有卡巴斯基实验室解决方案均能检测出Simda恶意软件。有关Simda僵尸网络的更多信息将访问Securelist作进一步了解。

我们习惯于将IT安全概念分为两个不平等的类别进行讨论：硬件和受到高度重视的软件。硬件通常被认为相对安全和干净—而与之相反的是，软件常常遭受bug和恶意软件的危害。 这一评估体系已存在很长一段时间，但最近却显示出改变的迹象。负责管理各独立硬件部件的特定固件也变得愈加复杂起来，因此其漏洞更容易被利用。最糟糕的是，很多情况下现有威胁检测系统根本形同虚设。 为了进一步了解这一危险趋势，下面我们将介绍在如今PC电脑内近期所发现的5个最危险硬件漏洞。 #1. RAM 如果要列一个硬件威胁排行榜，毫无疑问DDR DRAM安全问题将排在首位，而且这个问题无法通过任何软件补丁予以解决。这个漏洞被冠以”Rowhammer”之名，但令人意想不到的是，该漏洞是由硅产业进步所造成的。 由于集成电路的几何结构不断变小，焊接在芯片上的临近硬件元件之间的距离也越来越近，竟然开始互相干扰。在如今的存储芯片内，一旦从临近的单元随机发出电脉冲，可能会导致记忆单元之间的自发性转换。 直到最近，这一现象无法适用于任何现实中通过PoC（概念验证）来利用漏洞（可能有助于网络攻击者获取对受影响PC电脑的控制）的观点才被广泛认可。然而，一支研究人员团队通过使用PoC，设法在总共29台笔记本电脑中的15台提高了系统权限。 这正是PoC的工作方式：为确保安全，只有指定程序或操作系统进程被允许更改RAM内的某个数据区块。简单地说，一些重要的处理功能被允许在”一座受到良好保护的建筑”内进行，而其它非信任的程序则全部被挡在”前门”的外面。 然而，事实证明如果有人门前重重地跺脚（即快速且高频地更改存储单元的内容），则这扇门的锁肯定会损坏。”门锁”如此不可靠的事实也只是最近才了解到的… 而基于更新标准的DDR4以及启用奇偶校验的RAM模块（成本更为昂贵）可抵御此类攻击。这是好消息。但坏消息是，很大一部分的现代PC电脑dom盘在上述提到的黑客攻击下极易受遭受黑客入侵，且没有任何解决方法。唯一可行的解决方案是更换所有RAM模块。 #2. 硬盘 既然我们谈到了RAM，那就不得不再提到硬盘的问题。正巧近期卡巴斯基受委托对Equation网络犯罪小组进行调查研究，我们才能得知硬盘内控制器固件可能含有大量有趣的”古董技术”。 例如，这些包含恶意软件模块的固件会夺取受感染PC电脑和运行的控制权，基本上都在’上帝模式’下进行。一旦遭受此类黑客攻击后，硬盘将遭受无法修复的损失：受到恶意代码感染的控制器固件会隐藏含有恶意软件的扇区，并阻止任何修复固件的尝试。即使格式化也无济于事：清除恶意软件的最可靠方法就是彻底销毁受黑客入侵的硬盘。 好消息是此类网络攻击不仅需要耗费很长时间，也需要支出不菲的成本。因此，绝大多数用户完全可以高枕无忧，无须担心自己的硬盘被黑客入侵。除了那些储存有宝贵数据的硬盘，但过高的攻击成本也让黑客们不得不三思而行。 #3. USB接口 占据我们排名榜第三位的是影响USB接口的漏洞（尽管有点过时但影响依然巨大）。但最近的新闻显示这一长久以来存在的bug似乎已得到修复。如你所知，最新的苹果MacBook和Google Pixel笔记本电脑均配备有万能USB端口，除了传输数据以外还可用于充电。 乍一看下并没有什么问题，最新的USB修正版是一种出色的接口统一方法。然而，通过USB连接任何设备都有可能存在一定的危险性。我们之前曾介绍过BadUSB，是于去年夏天发现的一个重要漏洞。 这一bug能让不法分子将恶意代码植入USB设备控制器（无论是拇指驱动器、键盘还是其它）。任何一款反病毒软件（包括功能最强大的产品）均无法检测出来。那些高度重视数据安全的用户应该听从itsec专家的建议：为了降低风险而不再使用USB端口。而对于最新的MacBook笔记本而言，这一建议毫无用处：因为不管怎么样，笔记本都是需要充电！ 怀疑论者可能会指出通过充电器植入恶意代码根本不可能（因为没有数据存储空间）。但这一’问题’可通过对充电器进行’强化’得以解决（早在两年前，就曾演示过通过充电器将恶意代码植入iPhone手机方法的PoC）。 在将恶意软件植入充电器后，黑客攻击者需要将”含有木马病毒”的充电器放置在公共区域；或在锁定攻击目标后，将原有充电器换成”含有木马病毒”的充电器。 #4. Thunderbolt接口 排名第4的是另一个接口漏洞，将Thunderbolt接口作为攻击目标。不幸的是，通过Thunderbolt连接设备也可能会产生危险。将Mac OS X产品作为攻击目标的单独PoC是于去年年末由安全研究人员Tremmel

卡巴斯基实验室在2014年3、4季度可谓顺风顺水：我们的解决方案在总共11个独立测试中荣获”最佳”称号（包括长期进行的几项独立测试）。 欧洲最畅销的计算机杂志-德国的《Сomputer Bild》杂志将2015年最佳安全套件的称号授予卡巴斯基安全软件2015。该杂志还特别列举了我们解决方案的几个主要优势：最佳的反病毒和网络保护，加上保护性能的最佳组合，以及最佳的易用性和占用资源最小。顺便说一下，卡巴斯基实验室产品已多年占据《Сomputer Bild》杂志测评的头把交椅。 没有产生误报的在线保护 在由AV Comparatives开展的为期4个月的动态测试期间，卡巴斯基安全软件检测出了99.4%的威胁，且没有发生一次误报。 这一测试主要对各种威胁的防范能力（用户尝试安装携带木马病毒的应用程序或在恶意网站上输入个人数据）以及误报数量（反病毒软件阻止与恶意软件十分相似的合法应用程序）进行测评。 在AV Comparatives的文件检测测试中，KIS（卡巴斯基安全软件）成功阻止了99.7%的威胁。当然，KIS在这两项测试中均获得了高分，也使得该产品获得了很高的评级。 在由丹尼斯技术实验室（Dennis Technology Labs）进行类似测试中，我们的许多解决方案均获得了最高分。我们的所有三款产品—卡巴斯基安全软件、和Kaspersky Endpoint Security for Business —均获得了AAA评级，并分别在家庭用户、小型企业以及企业领域荣获”最有效安全解决方案”的称号。 高性能 许多电脑游戏玩家担心反病毒软件会拖慢系统性能，尽管早在2013年的独立测试结果已经证明了大可不必担忧。而在2014年AV Comparatives进行的性能测试中，这一事实再一次得到验证。研究人员对电脑安装和不安装安全解决方案的各种情况均进行了测试。最终结果是，只安装卡巴斯基安全软件的电脑获得了97.7分的高分（满分100分）。 此外，在AV-test research lab于2014年进行的各项测试中，卡巴斯基实验室产品均得到了最高分，因此被授予“2014年最佳性能奖”。 在线交易保护 由MRG Effitas专家们进行的测试，主要测评对于专业金融威胁的防范能力，包括：广泛传播的能窃取网银登录凭证或阻挠在线支付服务兑换信息过程的恶意软件，以及现代僵尸网络测试等等。基于测试的结果，MRG Effitas证明卡巴斯基安全软件的安全解决方案能够针对在线交易提供有效保护。总共参与测评的17个安全解决方案中，仅有4个被证明有能力保护用户免于所有针对网银的威胁。 移动设备保护 在PC

最近出现的一种新的勒索软件将攻击目标锁定为大约40款网络游戏的玩家，而这一类计算机用户人群相对较为年轻。 勒索软件是一种在受病毒感染计算机上对用户文件进行加密的恶意软件。一旦文件被完全加密，控制恶意软件的网络攻击者将向用户索要赎金以获取解密文件的个人密钥。一旦过了规定期限而没有收到赎金的话，网络攻击者即会销毁解密密钥。 该恶意软件最先由一家技术支持和用户教育论坛网站-Bleeping Computer报告出来，该论坛网站正在迅速成为一个旨在揭露有关加密器和勒索软件攻击信息的重要来源。Bleeping Computer将该恶意软件冠以”TelsaCrypt”之名，而与此同时，安全公司Bromium也针对这一威胁发布了一份完整的独立报告，里面将其描述为一种CryptoLocker的新变种。Bleeping Computer对最先揭露TeslaCrypt勒索软件的Fabian Wosar（来自Emsisoft公司）给予了高度赞誉。 据Bleeping Computer称，TeslaCrypt将攻击目标锁定为那些与电脑游戏和平台相关联的文件，其中包括：《RPG制作大师》、《英雄联盟》、《使命召唤》、《龙腾世纪》、《星际争霸》、《我的世界》、《魔兽世界》、《坦克世界》以及其它各种流行的网络游戏。该勒索软件原本的目的是对保存在用户计算机上的文档、图片、视频以及其它标准文件进行攻击和加密。通过采用AES（高级加密标准）加密攻击，使得玩家在没有解密密钥的情况下无法访问与游戏有关的文件。受害人可以选择两种支付赎金的方式：使用比特币支付（500美元）；或通过PayPal”我的现金卡”支付（1000美元）。付款后才能得到解密密钥。 尽管Bleeping Computer率先报告了该勒索软件，但Bromium随后有进一步确定了TeslaCrypt是如何传播的。果然在我们的意料之中，网络犯罪分子将该威胁植入在钓鱼攻击工具包Angler Exploit Kit内。Exploit Kit（漏洞利用工具）事实上是预先编写好的用来感染计算机系统的软件包。这些漏洞利用工具能够利用共同的安全漏洞，就如同软件即服务产业，网络攻击者可付费购买许可证来获取这些工具。 漏洞利用工具使得网络攻击者能够非常容易地在受害人计算机上载入恶意软件。多年来，BlackHole始终是最出色的漏洞利用工具。然而，在该工具的作者停止开发并在俄罗斯被捕后，这一漏洞利用工具随即退出了历史舞台。自一年半以前，Angler的出现填补了BlackHole离开所带来的空缺，不仅集成了最新的零日漏洞，还可利用这些漏洞进行攻击。 一旦受害人计算机受到感染，该恶意软件即会将桌面背景更改为”用户文件已被加密”的通知。主要是告诉用户如何以及在哪里可以购买个人密钥以解密这些文件。在这一过程中还需要下载Tor 浏览器套件。有趣的是，受感染用户可以通过一家十分隐蔽的服务网站，接受来自该恶意软件作者的技术支持以及通过在线支付解密这些文件。该警告通知还列明了付款截止日期，一旦超过期限个人密钥将被销毁，而被加密的文件将再也无法恢复。 防范此类勒索软件攻击的最好方法是定期进行备份 该警告通知与臭名昭著的CryptoLocker勒索软件十分相似，这也难怪Bromium认为这两个恶意软件彼此有关联了。正如Bromium所说的，这两个恶意软件之间的技术方面几乎毫无可比性，但他们认为TeslaCrypt利用了CryptoLocker的”品牌运作方式”。 如往常一样，在卡巴斯基每日中文博客上，我们凭着良心说，并不建议受害人为了个人密钥而支付赎金。因为这样会助长此类的网络诈骗活动。防范此类勒索软件攻击的最好方法是定期进行备份。此外，还可以通过使用强大的反病毒产品进行有效防范。例如，卡巴斯基安全软件以及Kaspersky Total Security均装备有特殊的”系统监视”功能，旨在保护用户免遭加密病毒的感染。 当然，你还需要安装操作系统、软件、应用程序以及浏览器的更新程序。绝大多数的漏洞利用工具将已知和打了补丁的安全漏洞作为攻击目标。 我们之前已经说过很多遍了，但这里还是要再次强调：感染加密勒索软件后会非常麻烦，因此确保定期对自己计算机内的文件进行备份。此外，正如你透过他们在技术支持和品牌化方面的发展所看到的，这些网络攻击的幕后黑手放眼于商业和营销。换句话说，无论是在感染用户方面，还是说服他们付款来恢复文件方面，他们正在做的越来越出色。而随着越多越多的设备和电器连入网络，只会进一步加剧问题的恶化。

卡巴斯基实验室专家于近期检测到了一种全新的危险恶意软件，旨在从那些喜欢下载盗版应用程序的用户那儿窃取资金。被称为”Podec”的木马采用黑帽SEO技术并利用流行的社交网站（尤其是著名的俄罗斯社交网站VKontakte，又称为VK.com）感染安卓智能手机，进而窃取资金。 为了广泛传播Podec木马病毒，黑客们在VKontakte网站上创建了大量的讨论群，随后将木马应用程序伪装成类似于Minecraft（我的世界）等流行的手机游戏。犯罪分子与所谓的”SEO专家”联手通过吸引用户的方式来伪装讨论群。 下载后一旦启动，恶意应用程序即请求设备管理员权限。而一旦用户同意的话，他们将再也无法从自己的受感染设备中清除该恶意软件了。而如果用户拒绝请求的话，该木马病毒即会不断持续请求，直至获得权限为止。事实上，这一过程会严重影响设备的日常使用。 随后该木马应用程序下载并安装合法的Minecraft，并从应用程序列表内删除其快捷方式，从而取代真正的Minecraft快捷方式。 木马病毒一旦成功安装后，即会开始行动。它会将你的手机变成僵尸网络的一部分以发动DDoS（分布式拒绝）攻击，这将对你的手机造成非常恶劣的影响，原因如下：首先，你的手机将被用于进行犯罪活动。其次，恶意机器人还会动用手机的资源，包括会产生费用的网络流量。 该木马病毒还会利用你的手机刷高网站的访问量。当然，此类情况下受害人还不得不支付网络流量所产生的费用。 第三种情况尤其对于用户而言最为糟糕，Podec会用你的手机号码订阅需要付费的内容，而且价格都极其昂贵（一条短信内容就要支付5-10美元）。由于账户内的资金是有定期地被悄悄扣掉的，因此那些已偷偷被订阅了数项服务的用户，可能需要花费很长的时间和巨大精力才能查明他们的钱是如何从自己的账户内”不翼而飞”的，又是被转去哪里了。 值得注意的是，该木马病毒都能轻易绕过验证码认证，而该认证方式最初设计是用于区分人和机器的。为了达到这一目的，Podec采用了一种独出心裁的技术：将验证码请求发往一家叫做”Antigate.com”的印度实时图文识别服务提供商。该项服务通过一个呼叫中心得以实现。只需几秒钟的时间，该呼叫中心的工作人员即能识别出验证码的请求，并将正确答案发回至Podec。这也是首例木马病毒能够通过如此’独具创意’的解决方案来解决验证码认证的难题。 该卑鄙的应用程序能够巧妙地隐藏其犯罪痕迹，并清除手机内的相关呼叫和短信记录。 你可以从刊登在 Securelist上的这篇详细评论文章了解更多内容。 卡巴斯基实验室专家在去年年末的时候追踪到了该短信木马病毒，当时它使用了高度精密的技术以防止对其代码的任何分析。在2015年初的时候，我们的分析师还拦截到了该木马的一个完整版本。该木马病毒的新版本似乎正在开发之中，很可能开发出一个全新的木马，其危险性甚至要高于目前网络上现有的Podec版本。 当然也有好消息带来。VKontakte管理委员会宣称公司已从其网站上清除了一些此类的假冒讨论群（但无法保证所有假冒讨论群都已被清除干净）。所有安装卡巴斯基安全软件安卓版的用户则完全可以高枕无忧：能够有效防止感染所有已知的Podec变型。

2015年2月19日，联想笔记本电脑搭载预装了被称为”Superfish”广告软件的硬盘的事件遭到曝光，而两大主要问题也随之而来。 其一，在2014年9月到2015年2月这几个月内，联想指定的硬件制造商持续将预装了广告软件的硬盘装载到消费笔记本电脑内。 其二，则与Superfish的运行行为有关。该广告软件能够生成自签名证书，可能允许恶意第三方拦截SSL/TLS连接，更简单地说，就是在网页浏览器会话内添加“https”链接。 现在，让我们通过观察Superfish的实际行为来更详细地剖析第二个问题。 下方是通过IE浏览器访问的一家网上银行网站的截图，并且使用的是一台没有安装任何广告软件的干净PC电脑。点击锁定图标，显示的是SSL证书的信息： SSL证书由CA证书授权中心签发，确保网站的归属性。比如，VeriSign作为SSL证书的签发机构保证了”Japan xxxx BANK Co,Ltd.”的真实身份。该证书还被用于对加密会话上的用户ID或密码进行加密。因此连接的安全性得以通过这一方式得到保证。 第二个截图显示的是同一家网站。但这次却使用了已感染Superfish广告软件PC电脑上的IE浏览器访问。点击后清楚显示”Superfish”取代”VeriSign”成为了SSL证书的签发机构。 为什么会有这样的变化？原因在于Superfish在其软件上拥有自己的CA证书授权中心。这使其能够劫持用户的网页会话、生成自签证书并在使用后建立SSL连接。不幸的是，网页浏览器将Superfish生成的证书当作合法证书对待。因此，CA证书授权中心变成了Superfish，而不再是VeriSign。 此外，生成证书的私人密钥被包含在了软件内，任何人都可以随意获取。而密钥的密码已被外泄到互联网上。一旦密钥-密码匹配成功，任何怀有不良企图的人都可以拦截通过加密连接传输的数据，或直接注入恶意代码。最糟糕的情形是来自网上银行网站的网页会话内的数据被窃取。 因此我们强烈建议预装了Superfish广告软件的联想笔记本电脑用户将名为”Superfish Inc. Visual Discovery” 的软件（在Windows控制版面内卸载）和Superfish证书（从受信任的Root认证机构清单中删除）全部清除。 卡巴斯基安全产品能帮助您识别笔记本电脑是否已受到Superfish广告软件的感染。我们的产品完全能删除并未识别为病毒的广告软件：AdWare.Win32.Superfish.b。 此外，联想也在其安全公告（LEN-2015-101）内提供了自动删除Superfish工具的下载。

墨西哥坎昆—卡巴斯基实验室研究人员发现了有史以来第一个以阿拉伯语编写高级持续性威胁（APT）的黑客小组。该黑客小组被冠以”Desert Falcons”（沙漠猎鹰）的称号，总共由30名左右的成员组成—其中有一些赫赫有名—在巴勒斯坦、埃及和土耳其经营业务，并据说通过对中东市场的拓展独家经营众多商品。但对于”Desert Falcons”背后是否有政府的资金支持目前仍然无法确定。 他们的”攻击武器”种类繁多，包括：自制恶意软件工具、社交工程以及旨在对传统和移动操作系统实施和隐蔽活动的其它黑客技术。Desert Falcons的恶意软件专门用来从受害人身上窃取敏感信息，随后被用于进一步的犯罪活动，甚至用来对受影响目标进行敲诈勒索。 据卡巴斯基实验室全球研究和分析小组表示，该APT黑客小组之所以将这些受害人选定为攻击目标，目的是窃取他们所掌握的与其在政府或重要组织内职位有关的机密或情报资料。 这些受害人总共被窃取了超过100万份文件。 “这些受害人总共被窃取了超过100万份文件。”反恶意软件公司说道。”被盗文件包括：大使馆的外交文书、军事计划和文件、财政文档以及VIP和媒体联系人清单和文件。” Desert Falcons攻击致使大约3000人受到影响，范围遍及50多个国家。大多数受害人位于巴勒斯坦、埃及、以色列和约旦境内，但在沙特阿拉伯、阿联酋、美国、韩国、摩洛哥和卡塔尔等国也有所发现。 受害人有些来自军事和政府组织；有些任职于卫生组织以及反洗钱、经济和金融机构；还有些是领导媒体实体、研究和教育机构以及能源和公用事业供应商的员工；当然还包括一些社会活动家和政治领袖、实体安全公司以及拥有重要地缘政治信息访问权的其他目标人。 Desert Falcons实施攻击所用工具还包括了植入传统计算机的后门，即攻击者通过安装能够记录击键、截屏甚至远程录制音频的恶意软件得以实现。此外，他们还采用了可暗中监视短信和通话记录的安卓版移动组件。 有趣的是，研究人员在卡巴斯基实验室安全分析专家峰会上介绍Desert Falcons时透露，该黑客小组的APT攻击首次在有针对性的攻击中采用Facebook聊天，即通过常规Facebook页面与攻击目标取得联系，在获取受害人信任后即通过隐藏为照片的聊天向他们发送木马病毒文件。 该黑客小组早在2011年就开始构建其工具，并于2013年首次成功感染，而在2014年末和2015年初的时候Desert Falcons的黑客活动才真正开始活跃起来。似乎该黑客小组目前的活跃程度远胜于以往任何时候。 卡巴斯基实验室表示其产品能够有效检测出并阻止被用于这一黑客活动的各种恶意软件。

高级持续性威胁（APT）是信息安全专家常常挂在嘴边的话题，这种攻击通常利用最最尖端复杂的黑客工具。但对于普通大众来说，这种威胁似乎与己无关。 对于公众来说，最广为人知的一些攻击类似于间谍小说中的情节。直到最近，APT还不是人们关注的话题，因为绝大多数APT针对的是政府机构，其中所有调查细节高度保密，并且实际造成的经济影响难以估计，原因显而易见。 然而，今时不同往日：APT已将触角伸入商业领域，更准确的说是银行业。结果可想而知：以数十家全球金融机构为攻击目标的APT行动造成的损失高达10亿美元 攻击套路 为了渗透到银行内网，黑客利用定向钓鱼邮件来诱导用户打开邮件，借机使用恶意软件感染电脑。一旦成功，黑客就会在用户电脑上安装一扇后门，后门基于Carberp银行恶意软件源码，此项行动也由此得名为Carbanak。 以数十家全球金融机构为攻击目标的APT行动造成的损失高达10亿美元 获得对电脑的控制权后，黑客会以此电脑作为入口点，探测银行内网并感染其他电脑，目的是找出能用于访问关键金融系统的电脑。 找到这样的电脑后，黑客将研究银行使用的金融工具，并利用键盘记录软件和隐蔽的截屏功能来查看和记录银行职员屏幕上的一切信息。 随后，为了完成行动，黑客会根据具体情况定义最为便利的方法来盗取资金，他们或者使用电汇转帐，或者建立一个假的银行账户，利用钱骡直接取现，或向ATM机发送远程指令吐钱。 这种银行网络盗窃行为的持续周期平均为两到四个月，从感染电脑的第一天开始算，一直到最终取现为止。 估计损失 黑客以某种方式从入侵的每家银行盗取250万美元到1000万美元，即便分别来看，此金额也相当惊人。假设有数十家，甚至上百家金融机构因APT攻击导致资金被盗，累计总损失很有可能达到10亿美元，令人瞠目结舌。 被ATP攻击导致持续严重损失的国家包括俄罗斯、美国、德国、中国和乌克兰。目前，Carbanak蔓延范围不断扩大，目前马来西亚、尼泊尔、科威特和若干非洲国家都已发现APT攻击。 据卡巴斯基实验室发布的信息，Carbanak所利用恶意软件的首批样本早在2013年8月创建。第一例感染发生在2013年12月。第一次有记录的成功盗取发生在2014年2月到4月间，攻击高峰时间是2014年6月。 很明显，除非被捕，否则黑客绝不会就此罢手。目前，众多国家网络防御中心和多家国际机构，包括欧洲刑警组织（Europol）和国际刑警组织在内（Interpol）都展开了调查行动。卡巴斯基全球研究分析小组（GReAT）也在其中贡献了自己的一份力量。 如何防御这种威胁？ 下面要告诉卡巴斯基用户一些好消息： 卡巴斯基实验室的所有企业级产品和解决方案都能检测到已知的Carbanak恶意软件样本：Backdoor.Win32.Carbanak和Backdoor.Win32.CarbanakCmd。 为了确保您的防御等级保持在高水平，我们建议您启用主动防御模块，卡巴斯基的所有产品版本中都含有此模块。 此外，还有一些小贴士，可保护您不受这种及其他安全威胁： 绝不打开任何可疑电子邮件，尤其是带附件的邮件。 定期更新使用的软件。例如，这次攻击行动利用的并不是零日漏洞，而是供应商之前打过补丁的已知漏洞。 启用反病毒软件中的启发式检测：此功能将提高极早检测到恶意软件样本的几率。 若要了解Carbanak行动的更多信息以及卡巴斯基GReAT小组调查的详细信息，请查看Securelist上的相关博文。