威胁

如今，在世界的许多城市，公共免费Wi-Fi似乎已遍布城市中的街头巷尾。无论是走在街边还是坐在地铁和公交车上，我们都能方便地使用各种公共Wi-Fi网络，更不用提像酒店和咖啡店这样的休闲场所。虽然这些公共Wi-Fi的确很棒且使用方便，但却让一些网络犯罪分子有了可乘之机。

在《华盛顿邮报》最近刊登的一篇文章中，赋予了该种方法一种颇具诗意的名称–黄金钥匙。作者引用了一些绑架案和其他犯罪案件，均是由于未能部署’黄金钥匙’系统而导致调查人员无法取得案件进展。该文作者最后呼吁，所有包括：Google、苹果、Facebook和Telegram应向各国政府授予这些所谓的’黄金钥匙’。

勒索软件之所以说是一种极端恶劣的网络诈骗，原因是被索要赎金的加密文件恰恰还保存在用户自己的计算机内。这种情况常常会让受害人痛苦不已，而且只有得到唯一的加密密钥才能恢复文件。勒索软件显然成为了互联网生活中的一个严重问题，用户应该为此打起十二分精神以防止计算机受感染。10个安全小贴士可助您保护自己的数据免受勒索软件侵扰。

对于密码目前还没有更好的替代方案，在保护电邮、个人资金以及存储个人数据的设备安全方面的作用更是无可替代。这也是为什么使用唯一可靠密码组合如此重要的原因—至少需在自己最重要的网站和服务中使用。

就在去年，安全研究专家们发现了一种新的针对蜂窝网络的攻击方式。该攻击方式既无需装备价格昂贵的无线电扫描器，也不需要同时使用数量庞大的PC电脑，几乎每个人都能做到。与此同时，移动网络运营商也无法给出切实可行的方法来应对此类网络攻击。

尽管有许多人认为将登机牌照片发布到社交网站上是一种很好的炫耀方式，但这很可能是一场噩梦的开始。许多人之所以将这些照片的访问权限设为公开，考虑的只是如何更好地炫耀自己，而根本没有想到登机牌上的信息会被某些存心不良的人所利用。

一年前，我们的同事David Jacoby（GReAT团队的安全研究专家）成功黑客入侵了自己家中的各种设备，同时还有很多有趣的发现。许多卡巴斯基实验室员工深受David试验的鼓舞，纷纷跃跃欲试，在自己家中展开相同的试验。

通信技术提供商和移动网络运营商可谓各施所能：前者正致力于5G网络的研发，而后者也同样夜以继日地推出适用于现有4G网络的全新技术。其中即包括了LTE语音技术，简称”VoLTE”。该技术允许通过数据平面传输语音通话。

我有时在想如果这个世上再没有信息安全问题了，那会变成什么样。我们的Threatpost.com新闻博客是否会转而刊登报道一些宠物方面的文章？那在不久将来是否有可能呢？考虑到IT行业的发展速度，这的确有可能。而现在我们依然在努力将许许多多的安全问题”扼杀在萌芽中”，一旦这些问题得以全部解决，崭新的信息安全时代将一定会到来。

在开始本周新一期的《安全周报》之前，我想先说几条与信息安全无关的新闻。大众柴油车被发现污染物排放远超测试中显示的数值。

事实上，病毒损害电脑硬件是信息安全领域流传最广的讹传之一。但同时，也是最不标准的一个。事物的两面性可能是这一讹传长久存在的原因。 在20世纪末同时也是电脑时代即将来临的时候，电脑用户之间时常流传着发生在自己好朋友身上有关电脑遭病毒感染的可怕故事。在这些故事中，病毒常常”神通广大”，不仅能造成阴极射线管显示器交错’错误’，还能致使电脑硬件部件”完全烧毁”。在其它的故事版本中，恶意软件会造成硬盘驱动器猛烈’震动’，最终导致整个硬盘损毁。或者超频后的软驱会导致转子迅速过热从而造成危险。 与此同时，反病毒软件开发人员不时会打破这些讹传。不可否认，有些故事在理论上的确可行，但各硬件内置的极度安全保护机制完全能够阻止此类错误的发生。正如安全专家所说的，对于此类故障的担忧完全是毫无必要且多余的，因为根本不可能发生。 一些电脑用户表面上似乎对这些解释表示满意，但内心里对这些” 讹传”仍然坚信不疑。他们始终认为任何事都有可能发生，电脑供应商只是掩盖了事实真相。 然而，生活中原本就充满各种乐趣和惊喜。举个例子，在1999年的时候，当时广为传播的Win95.CIH病毒曾感染了数千台计算机。该恶意软件会篡改保存在硬盘以及主板BIOS芯片上的数据。导致其中一些受影响电脑无法启动，原因是引导程序损坏。而要想消除该攻击带来的不良影响，用户必须更换BIOS芯片并重写数据。 但这是就是对电脑所造成的物理损伤呢？答案是否定的。在经过一系列的处理后，主板就能被修复并重新回到正常工作状态。但常规’家庭急救箱’无法解决这一问题，还需要特殊的设备。 如今，情况就更加复杂了。 首先，所有单独硬件都附带了可重写的微程序，有时候还不止一个。这一趋势竟然没有影响到这一过于智能化硬件的紧固程度，对此我感到很惊讶。 每一种微程序经过多年的演变，已然成为了一种相当复杂的软件，且因其设计可能会遭受黑客攻击。一旦攻击成功，产生的后果并不总能立即解决。 拿硬盘的改进固件举例。就当时的记录来看，在卡巴斯基实验室专家分析Equation网络间谍活动时，还对植入不同硬盘型号微程序的间谍软件模块进行探究。这些恶意软件被用来对受影响硬盘进行完全控制；而即便格式化也无法立即修复。 使用常规工具箱无法更改固件—固件自行负责更新工作。你完全可以想象，更改固件的难度有多高。当然，如果你正巧手上有专业设备，就有可能更改任何一种微程序。而在现实生活中，一个受影响的硬盘只能直接当垃圾丢掉–从成本角度看这也是最好的选择。 这是否就能认定是物理损坏呢？仍然存在争议。但有关基于硬件漏洞的案例数量却在逐年增加。 其次，难以界定哪些设施可以被定义为’计算机’。比如，目前的所有汽车从某种程度上讲都可以算作是一台计算机—而更重要的是–这是一台装在轮子上的联网计算机。正如我们在最近有关远程入侵Jeep Cherokee车的公开演示中发现的，目前许多汽车都容易遭受远程入侵和病毒感染。 因此，黑客入侵是由黑客实施的，而不是计算机病毒—经过数年的专研，对于黑客来说简直是小菜一碟。然而，通过黑客攻击让行驶中的汽车停下来并撞向路边电线杆并不会让我们感到惊讶。我猜这可以算是物理损坏。 那么我们又回到文章开头提出的问题，计算机病毒是否真的能损坏电脑硬件呢？这到底是事实还是谎言？ 可以说是事实。但这完全取决于你对“损坏”、”病毒”和”电脑”等名词的定义。

在我们爆炸性的热门新闻系列”Infosec news”的新一期中，我们将为您带来以下内容： Bugzilla遭黑客攻破给我们敲响了警钟：完全有必要设置高强度和唯一密码。 导致网络攻击者从各大金融组织窃取数百万美元的Carbanak黑客活动在欧洲和美国”卷土重来”。 卡巴斯基实验室研究发现了一种增强网络间谍C&C服务器隐秘级别的方法，可从”非常难以追踪”级别提高至”根本无法追踪”级别。 再次重申我们《安全周报》的编辑原则：每周Threatpost团队都会精心摘选三条当周要闻，并加上本人的辛辣评论。 Bugzilla的bug数据库遭黑客攻破 新闻。有关这一网络攻击的常见问题。 在上一期的《安全周报》中，我提出了所谓“负责任的信息披露”的问题，同时还列举了网络公司对披露所发现bug相关信息的不同意愿。有关Mozilla的bug追踪器遭黑客攻破的新闻可谓是这方面的完美范例：有时候隐藏存在漏洞的信息未尝不是好事。 显然这一问题并未得解决。在8月份，Mozilla发布了针对Firefox的补丁，并成功修复了存在于内置PDF查看器的bug。一名遭受漏洞利用的受害用户发现了这一bug并随即报告了该漏洞。这一网络攻击的切入点是特别设计的横幅广告，使得网络犯罪分子能窃取用户的个人数据。 我始终认为在开发人员编写补丁时，他们就已经意识到了bug。Bugzilla也含有关于该bug的信息，但却保存在系统的私用部分。上周所发生的状况证实了人们对非法访问的怀疑。事实上，Bugzilla并未被”黑客攻破’：只是网络攻击者发现了特权用户并在另一个受感染数据库找到了他的密码–而这各密码恰巧就是访问Bugzilla的密码。 结果是，网络攻击者早在2013年9月就成功访问了隐秘的bug数据库。在该网络攻击的常见问题中详细记载了在这一期间，黑客总共访问了185个bug的相关信息，其中53个bug极度危险。在网络犯罪分子非法访问数据库后，在被盗的bug清单中总共有43个漏洞打上了补丁。 在剩下信息遭泄露的bug中，其中有两个bug的信息在泄露一周内可能被打上了安全补丁；从理论上说，其中5个bug可能已被实施漏洞利用，因为在信息外泄后的一周到一个月内才发布了相关补丁。剩下的漏洞在过了335天后才发布了有针对性的补丁，在这期间总共被漏洞利用了131,157次。这是有关黑客攻击最可怕的新闻；然而，Mozilla开发者并没有’证据表明这些漏洞都已遭到漏洞利用。’在50多个bug中，只有一个曾遭到漏洞利用。 其中的道理很简单，我真的非常想登上高台大声疾呼：”朋友们！兄弟们，姐妹们！女士们，先生们！请务必对每个单独网络服务使用唯一密码！”然而，这并没有表面看上去的那么简单：此类方法肯定还要用到密码管理器。尽管可能你已经有了密码管理器，但你依然需要静下心来准确并彻底更改所有你使用频率较高的网络资源的密码，如果是全部网络资源的话当然更好。而来自我们的统计数据显示只有7%的人使用密码管理器。 全新Carbanak版本”卷土重来”，再次对美国和欧洲实施网络攻击 新闻。卡巴斯基实验室的2月份研究。CSIS更新研究。 我们将引用我们在2月份对’史上最严重数据盗窃’所发表的声明： “网络攻击者有能力将窃取的资金转移到他们自己的银行账户并立即篡改余额报表，这样可以防止该攻击被许多强大的安全系统发现。这一操作的成功是建立在网络犯罪分子对银行内部系统完全掌控的情况下。这也是为什么在成功攻破银行系统后，网络分子使用了大量情报技术以收集有关银行基础设施工作方式（包括：视频捕捉）的必要信息。” 在与执法机构的共同努力下，发现了多家银行因受到复杂且多层的Carbanak攻击而遭受资金损失，总金额达到10亿美元，且总共有超过100多家大型金融机构不幸成为受害者。但上述网络攻击发生在2月份，而在8月末的时候丹麦CSIS研究人员再次发现了Carbanak的全新改进版本。 新旧版本之间的区别并不大：只是将域名替换成了静态IP地址。至于数据盗窃所用的插件，与2月份使用的并无差异。 据CSIS称，新版本的Crabanak将攻击目标锁定为欧洲和美国的大型公司。 Turla APT攻击：如何借助卫星网络隐藏C&C服务器 新闻。另一篇新闻。研究。 包括卡巴斯基实验室研究专家在内的众多infosec研究人员长期对Turla APT网络间谍活动进行研究。去年，我们公布了针对黑客攻破受害人计算机、收集数据并发送至C&C服务器方法的极其详细的研究。 这一复杂的网络间谍活动每个阶段都需要用到许多工具，包括：借助零日漏洞利用受感染文档的’鱼叉式网络钓鱼’；病毒感染网站；根据攻击目标的复杂程度和数据临界性的各种数据挖掘模块（手动挑选）；以及相当高级的C&C服务器网络。结果是，截止8月份，该网络间谍活动声称已在45个国家（欧洲和中东地区占了大部分）致使数百名用户不幸成为受害人。 就在本周，卡巴斯基研究人员https://twitter.com/stefant公布了该网络攻击最后一阶段的数据，也就是将盗窃数据发送至C&C服务器的时候。为了能进行数据挖掘，Turla像之前的许多APT黑客小组一样，使用了各种不同方法–比如，滥用防托管。而一旦将盗取数据发送到在特定服务器上托管的特定C&C，那无论网络犯罪分子设置何种代理，都极大可能会遭到执法机构逮捕或被服务提供商阻止。 而这时候就需要用到卫星网络。使用卫星网络的优势在于只要在卫星覆盖范围内，就可以在任何地点建立或移除服务器。但这里还有个问题：租用容量够用的双向卫星信道不仅租金昂贵，而且一旦踪迹被发现将很容易暴露服务器的位置。我们研究专家发现的攻击方法并未使用到租赁模式。 只需对卫星通信终端的软件稍加修改就能进行”卫星钓鱼”，不仅不会拒绝不属于任何特定用户的数据包，同时也会进行收集。结果是，”卫星钓鱼者”可能会收集到其他人的网页、文件和数据。这一方法只有在一种情况下有效：卫星信道并未加密。

Turla APT黑客小组（又称”Snake”和”Uroboros”）被誉为全球最高级的网络威胁者。在8年多的时间里，这一网络间谍小组在互联网上兴风作浪、为所欲为，但直到我们去年出版《Epic Turla research》之后，其黑客活动才为普通大众所知晓。 我们在研究中尤其发现了一些语言痕迹的案例，表明Turla小组的一部分成员来自俄罗斯。这些人采用常用于补充斯拉夫字符的1251代码页，里面像’Zagruzchik’这个词在俄语中表示”引导装在程序”的意思。 Turla黑客小组之所以特别危险且难以抓到的原因不仅仅是因为使用了复杂的黑客工具，而是在最后攻击阶段实施了精密的基于卫星的命令与控制（C&C）机制。 命令与控制服务器是高级网络攻击的基础。同时，这也是恶意基础设施中最薄弱的一环，因此往往会成为数字调查者和执法机构的首要打击目标。 主要有两个原因。首先，这些服务器被用来控制所有的操作。一旦成功将其关闭，就能扰乱甚至完全破坏网络间谍活动。其次，C&C服务器可以用来追踪网络攻击者的实际所在位置。 这也是为什么这些网络威胁者总是不遗余力将自己C&C服务器隐藏得尽可能深。Turla黑客小组也找到了颇为有效的隐藏方法：在空中取消服务器IP。 使用最广泛且最廉价的基于卫星的网络连接类型之一就是只使用下行连接。在这里，来自用户电脑的数据通过常规线路—宽带线或蜂窝网络传送—而所有输入流量则来自卫星。 然而，这一技术也有缺陷性：所有从卫星发送到电脑的下行流量均未加密。简而言之，任何人都可以拦截这些流量。Turla小组利用这一漏洞想出了一个有趣方法：隐藏他们自己的C&C流量。 具体操作步骤如下： 他们监听来自卫星的下行流量以发现活跃的IP地址，而这些地址必须属于此刻在线的基于卫星的网络用户。 随后他们选择一定数量当前活跃的IP地址，在合法用户不知道的情况下隐藏C&C服务器。 被Turla用病毒感染的机器将会按照指令向被挑选的IP地址发送所有数据。数据通过常规线路发送至卫星，并最终从卫星传送到IP被挑选到的用户。 这些数据会被合法用户的电脑当做垃圾清除，而这些网络威胁者则从下行卫星连接获取这些数据。 由于卫星下行覆盖区域极大，因此根本无法准确追踪到这些网络威胁者接收器的实际位置。此外，Turla黑客小组还倾向于对位于中东和非洲国家（例如：刚果、黎巴嫩、利比亚、尼日尔、尼日利亚、索马里或阿联酋）的卫星网络提供商实施漏洞利用，因此要想抓到他们更是难上加难。 由于这些国家运营商所用的卫星通讯信号束无法覆盖欧洲和北美地区，这对大多数安全研究专家研究此类攻击造成极大的困难。 Turla黑客小组实施的一系列网络攻击至今已感染了超过45个国家（包括：哈萨克斯坦、俄罗斯、中国、越南和美国）的数百台计算机。Turla黑客小组无论是对政府机构和大使馆还是军事、教育和研究机构以及制药公司均十分感兴趣。 坏消息就说到这里。对我们用户而言，好消息是卡巴斯基实验室产品成功检测并阻止了Turla网络威胁者所使用的恶意软件。  

将微型电脑嵌入我们的大脑或许会让我们的生活变得更简单。用’脑电报’代替短信，我们只需在自己心里’低声细语’就能发送消息。如果大脑中突然’灵光一闪’？你可以立即通过脑电波与你的朋友分享！而只需花费2.99美元就能让你回忆起妻子嘱咐你的购物清单。 而尚未成熟的生物接口将以每分钟百万兆字节的速度向电脑（基本上可能会是没有显示屏的智能手机）传送数据，不仅会在搜索数据时产生的巨大背景噪音，同还需要未来更强大的处理器。 他们为什么要将5V和12V 的输出设备嵌入人们的大脑中？说实话，我真不知道。 不管怎么说，未来的iPhone手机一定会告诉你想知道的一切。Google在经过34场品牌再造活动和8次结构重建后，将在占地球表面2%面积的数据中心保存和处理所有数据。当这一突破性技术再成熟一些的时候，他们或许会考虑如何保护这一庞大数据量的安全。 不幸的是，在这些数据受到安全保护之前，很可能已落入黑客之手并流入’黑市’。直到那时，我们才可能最终思考这样一个问题：我们收集和保存了哪些数据以及收集和保存的方式。 这些在不久的将来一定会发生。重新回到现在，我不知道是否有人关心过有多少用户背景的陀螺仪数据遭外泄。安全研究常常滞后于商业技术，而技术设计员在设计自己的小玩意时几乎很少会反复考虑其安全性。 在今天的上周重要新闻摘要中，我们将重点关注那些如今用户数量已达到数百万的软件和硬件设备。这里我再次重申《安全周报》的编辑原则：每周Threatpost的团队都会精心摘选三条当周要闻，并加上我自己独到的见解。往期的内容可以在这里找到。 从越狱iPhone手机盗窃数据的木马病毒 新闻。Palo Alto Networks研究。简单介绍哪些人该为这一木马病毒而担心。 并非所有关于数据外泄或bug的报告都能用语言解释清楚，但以下这个除外。在中国发现了一款流氓iOS应用程序；它会偷偷潜入智能手机与苹果服务器间的通讯并盗取iTunes密码。该恶意软件之所以最终被’逮到’是因为吸引了太多的注意：许多用户陆续向苹果报告自己的iTunes账户被盗（就报告记录来看，由于银行卡与苹果账户绑定，因此只需输入密码即可在线支付）。 很酷吧？错！该攻击仅针对越狱用户。来自中国的独立研究人员向WeipTech报告他们偶然破解的网络犯罪分子的命令与控制服务器，并发现了超过22.5万个用户凭证（越狱用户数量同样让人吃惊），包括用户名、密码和设备的全球唯一识别符。 该恶意应用程序通过Cydia（iOS app store的替代应用商店）侧载。随后自动嵌入设备与苹果服务器间的通讯，接着采用老式但依然有效的中间人攻击方法并将遭劫持数据重新定向至黑客运行的服务器。受害用户的噩梦远不止如此：该恶意软件还使用了动态加密秘钥-‘mischa07’（仅供参考：在俄文中’Misha’表示英文中’Michael’这个名字，同时也有’熊‘的意思。） Mischa07盗取iOS用户密码 目前尚不清楚’Mischa’是否已通过KeyRaider攻击大发横财。”振奋人心”的是，越狱后的iPhone手机相比安卓设备更易于遭受网络攻击。一旦强大的iOS保护功能被攻破，事实证明就再也没有其他的保护措施，任何不法分子都可以对你的设备为所欲为。 几乎所有强大系统均存在这样的缺陷：在外部，全面部署功能强大的防火墙和物理保护方法，系统本身也从不联网–总而言之，整个系统就如一座堡垒坚不可摧。而在内部，却依然在使用运行Windows XP系统的普通奔4电脑，且12年未打过任何安全补丁。但如果有黑客能成功潜入系统内部后果将不堪设想？ 那针对iOS的问题也随之产生：如果有黑客能成功编写出操作简单的root漏洞利用工具又会怎么样？苹果是否还有备用方案？这能否能证明安卓在这方面具备的优势，毕竟，安卓早已有乐遭黑客入侵的准备，到时各个开发商均会采取各自的应对措施？ Google、Mozilla和微软将在2016年（甚至更早）彻底告别RC4 新闻。 在上周刊登的第35期《安全周报》（我们讨论针对GitHub的man-on-the-side分布式拒绝服务攻击那一期）中，我们总结了使用HTTPS无论对用户还是Web服务所有者无疑都是福音。但事实是并非所有HTTPS部署均对用户安全性有利–此外，其中有一些部署了老式加密方法的HTTPS甚至还存在危险性。 举几个例子，是否还记得POODLE攻击中SSLv3的作用，SSLv3投入使用已快18年了，即将”步入成年行列”，而所用的RC4加密算法技术之陈旧甚至可以追溯到上世纪80年代。至于说到web，很难确定使用RC4加密是否会导致连接本身受攻击。早期的互联网工程任务组承认理论上针对RC4的攻击在互联网上很快能被实施。 顺便提供一份最近研究的成果：如果将任何强大加密方法改为RC4加密的话，黑客只需52个小时就能破解cookies（即劫持会话）。黑客要想成功的话，首先需要劫持一些cookies，将可能出现的结果铭记于心，随后暴力破解网站，如此即可提高成功的概率。这是否可行？当然，但需要考虑若干变量。是否有人曾真的用过呢？谁知道呢。在斯诺登公开的文件中，声称情报部门有能力破解RC4加密。 好吧，也有好的方面新闻：可能存在漏洞的加密算法在为安全起见退出历史舞台之前从未被成功破解（至少并非是全球范围）。即使现在，针对RC4加密的攻击也鲜有发生：Chrome浏览器在所有连接中仅有0.13%选择使用RC4加密–就绝对数量而言，这已经是很多了。各大互联网巨头已做出官方声明，将从2016年1月26日（火狐浏览器44）到2月末（Chrome浏览器）逐步停止对RC4加密的技术支持。 微软还计划于明年初禁用RC4（针对Internet Explorer和Microsoft

如果说’黑客入侵’已成为一种时尚潮流的话，那本季的最热流行非’黑客入侵汽车’莫属。在两名研究专家Charlie Miller和Chris Valasek详细揭露如何黑客入侵Jeep大切吉诺不久后，另一个安全专家小组也成功控制了特斯拉S型电动车。 移动安全公司Lookout联合创始人兼首席技术官Kevin Mahaffey及其合作伙伴Marc Rogers（CloudFlare首席安全研究专家）在特斯拉S型系统中发现了6个漏洞后，已与特斯拉公司开展了数周之久的合作，以共同编写修复补丁。 尽管已放出了相关补丁，但这一事件已让人们对特斯拉S型电动车的安全性产生了极大怀疑。犯罪分子可将PC电脑与车载以太网进行物理连接来利用这些安全漏洞，只需使用软件命令就能将你价值10万美元的’豪车’直接开走。另外，犯罪分子还能让系统感染木马病毒，从而远程关闭正在行驶中的电动车的发动机。 在测试潜在网络威胁时，研究人员竟然完全掌控了车载娱乐系统。他们可以随意打开和关闭车窗、锁车门或开门锁、升/降悬吊系统以及切断汽车电源。 但特斯拉并没有犯和克莱斯勒相同的错误。一旦正在行驶中的S型电动车电源被切断，其车内系统可立即激活手刹。 当车速慢于8公里/小时，车辆会自动倾斜直至停下来为止；而当车速快于8公里/小时，特斯拉则采取特殊安全预防措施。在对高速行驶的车辆进行测试时，当司机保留对转向和制动的控制时，汽车档位会自动转到空挡并自动停下来。此外，安全气囊也能完全起到其应有的作用。 在相同的处境下，克莱斯勒不得不通过召回140万辆问题车打上紧急安全补丁，而特斯拉汽车只需通过无线通信即可打上安全补丁。具有讽刺意味的是，一些汽车生产公司提供安全补丁的速度竟然比许多智能手机生产商还要快许多。 “如果每次下载和安装补丁的过程都能顺畅进行的话，这可以解决许多的问题。你可以看到，在现在的汽车系统内运行着大量的软件，因此需要频繁地安装补丁，其安装频率有时甚至超过了PC电脑，但如果要求车主每周或每个月前往经销商处安装各种补丁的话，那绝对是一件恐怖的事情。我的观点是世界上的每一辆车如果能连接互联网的话，都应该采用OTA（无线通信）方式下载并安装补丁。” —Mahaffey在《Wired》杂志上评论道。 Mahaffey和Rogers将就如何提高特斯拉汽车安全性方面继续展开合作。此外据报道，特斯拉公司还从Google新挖来了一名在业内享有声望的工程师：Chris Evans将担任特斯拉汽车安全团队的负责人。

近期，我们就时下热门的”黑客入侵Jeep大切吉诺“主题，写不少与此有关的讨论文章。在今年的网络安全盛会-2015美国黑帽大会上，安全研究专家Charlie Miller和Chris Valasek同样就他们是如何黑客入侵Jeep大切吉诺的整个过程进行了详细阐述。 在他们的研究之初，Miller和Valasek试图通过Wi-Fi连接黑客入侵Jeep车的多媒体系统—Jeep的制造商克莱斯勒根据车主意愿选择是否开通这一收费功能。事实证明，黑客入侵这一车载Wi-Fi并非难事，原因在于Wi-Fi密码是基于汽车本身及其多媒体系统（主机）在首次启动时自动生成的。 从理论上讲，考虑到日期/时间的极高精确度，这是一种相当安全的加密方法，因为你可以得出成千上万种可能的组合。但如果你能成功猜到要在Jeep车开动后的一小时内时刻与车载Wi-Fi保持连接。因此，这两名研究专家决定另寻他路。令人吃惊的是，他们竟然真的又找到了一个解决方案：结果证明，克莱斯勒车载Wi-Fi密码是在车上设置实际时间和日期之前就已经生成，即在主机启动时在默认系统起始时间基础上再加上几秒而自动生成。 那辆大切吉诺的默认系统起始时间是2013年1月1日00:00（格林威治标准时间），或更精确地说，是00:00:32（格林威治标准时间）。这样可能的组合范围就相当小了，即使是业余黑客，猜出正确的Wi-Fi密码也完全是小菜一碟。 在成功连上Jeep车的主机后，Miller和Valasek得以找到一种可能的方法来黑客入侵使用Linux操作系统的多媒体计算机。由于软件内的几个问题完全能猜到，因此他们通过利用软件内的漏洞后最终完全掌控了主机系统。 尽管攻击范围有限，但却足以惊世骇人：研究专家们不仅能完全控制音乐播放器，还能将收音机调到任何他们想听的频率并能随意调节音量。完全可以想象，当你以70英里/小时（相当于112公里/小时）在高速公路上急速行驶时，收音机突然自动提高了音量，任何人碰到都会悚然一惊，进而可能引发交通事故。 研究专家们还发现了另一种可能，即通过车载GPS导航系统追踪目标车辆。你甚至无需更改主机软件就能利用这一漏洞，因为该系统在汽车出厂前就已内置。 以上就是如何成功黑客入侵克莱斯勒汽车车载Wi-Fi连接的方法，但前提条件是车主购买了此项功能服务。但就目前而言，许多车主并未购买。而另一方面，克莱斯勒汽车的所有主机均能与Sprint蜂窝网络相连接，就算其车主并未购买任何无线网络服务也同样能成功连接。而这只是针对车载主机类型的一个标准而已。 Miller和Valasek也试图通过这一方法利用漏洞—虽然花费了大量的时间和精力，但他们的努力并没有白费。借助在eBay上购买的’femtocell’（毫微微蜂窝式基站），他们得以进入到Sprint内网，并通过监听某几个电话（他们通过黑客入侵Wi-Fi获得）扫描大量IP地址。 利用这一黑客技巧，你可以找到几乎所有配备有此类主机的克莱斯勒汽车。事实上菲亚特克莱斯勒已召回了100多万辆车存在类安全漏洞的汽车。可能你会觉得菲亚特克莱斯勒已将所有问题车辆都召回了，因此完全可以放心选购一辆安全的Jeep车。但事实上这并非易事，正如研究专家所言，”相比其他品牌汽车而言，所有Jeep品牌的汽车几乎都存在这方面的安全问题。” 黑客完全可以借助GPS追踪器，对任何想要黑客入侵的Jeep车下手。在成功入侵后，黑客可以利用车载多媒体系统为所欲为。但我们的故事还远未结束。 下一步还需要找到接入CAN总线的途径。CAN总线作为汽车的内网能与车上所有最重要的部件—发动机、传动装置和传感器等（几乎囊括了所有车载部件）互联，原因在于目前Jeep品牌车上的每一个部分均采用电子控制方式。 但多媒体系统却并未与CAN总线直接相连。而这正是每当提及网络-物理系统的IT安全时，所有汽车制造商都反复强调的：多媒体系统完全独立于这些系统的联网和物理部分以外。 但事实证明，其安全性也并非万无一失，至少对于克莱斯勒汽车而言确实如此。尽管多媒体系统控制器本身无法与CAN总线直接通讯，但却能和与CAN总线互联的另一个部件-V850控制器通讯。简单地打个比喻，他认识个家伙，那个家伙又了解另一个家伙的状况。 V850控制器的软件采用了相对谨慎的设计方式，因此尽管有可能’听从于’CAN总线，但却无法通过它发送命令。但你也知道，这毕竟是一台计算机。你根本无需拆箱操作，只需简单地对计算机重新编程即可将其添加入内。 通过与多媒体系统的控制器连接，研究专家们发现了可针对其恶意编写版本更改V850控制器固件的漏洞。在无需检查或授权的情况下，固件即可完成’升级’。尽管存在权限问题，但研究专家们在其中发现了数个漏洞，从而实现了对V850控制器的完全掌控。 实际上就是如此简单：在这一步操作完成后，Miller和Valasek即能通过CAN总线成功发送命令，并且对所有汽车部件（千真万确）进行操控。他们能成功操控方向盘、发动机、传动装置和制动系统，更不用提像雨刷、空调和门锁这样更容易控制的汽车部件。而且，他们完全是通过Sprint蜂窝网络远程控制这些汽车部件的。 好消息是：Miller和Valasek花费了数年时间才得出了他们的研究成果。而主要的黑客技巧—具体如何掌控与汽车部件连接的CAN总线—在他们的介绍中依然未解释清楚。此外，也并非每一名黑客都能达到上述两名研究专家的技术水平。坏消息是：此类黑客入侵成功的可能性相当高，且产生的破坏性将难以估量。

这一最令人震惊的网络威胁不断触动着安卓手机用户原本就脆弱的神经：Zimperium zLabs在2015年4月报告了Google操作系统内的6个漏洞。他们还告诉《福布斯杂志》：尽管Google向其合作伙伴发送了补丁，但有些令人难以置信的是，大多数生产商并未修复这些补丁来保护他们的客户。这些bug被认为有史以来发现的最严重的安卓缺陷。 安全研究人员宣称95%的安卓设备–约9.5亿部智能手机–暴露在漏洞利用的危险之下。运行2.2版本以下安卓操作系统的老式手机可确保无安全之忧，同样安全的还有Silent Circle最新推出的Blackphone（黑手机）,其操作系统已打上了相关安全补丁。同样针对Nexus手机的相关安全补丁也将于近期发布。 只要知道你的手机号码，黑客们就能将恶意软件植入你的手机：即通过受病毒感染的MMS（多媒体短信服务）实现。只要你接受此类短信—恶意软件就能开始自动运行。你甚至不打开受感染的多媒体短信就可能不幸成为受害人，因为手机的操作系统会’帮助你’执行一切操作。这绝对是一种可怕、高效且悄无声息的网络攻击，你说呢？ 该漏洞存在于Stagefright软件库内。Google Hangouts同样遭受牵连，原因在于该应用常被用作处理视频短信的默认应用程序，因此会激活病毒。 一旦不幸安装，该恶意软件则会清除原先的MMS来掩盖所有踪迹。一旦成功运行后，该病毒将不仅通过手机摄像头和麦克风监视你的一举一动，还会将你的个人数据共享到互联网并开展其他犯罪活动。 Google最近针对其Nexus手机开发了另外一些安全补丁，并承诺将于近期发布。但如果你不幸使用其它手机的话，则可能永远也看不到针对你手机的相关安全补丁发布的一天。不幸的是，众多智能手机生产商在提供安全补丁方面可谓名声不佳，尤其当你的手机已上市超过18个月。 而与此同时，作为安卓替代系统的CyanogenMod也于近期发布了修复补丁。如果你手机的生产商无法提供安全更新补丁的话，可以参考以下我们精心准备的安全防范措施。 你首先需获得安卓手机的root权限，然后禁用Stagefright。当然，你还可以选择使用其他的手机操作系统。 你还能买一部在这方面有安全保障的新智能手机（生产商很重要！），然后放心使用直到再出现新的严重安全漏洞。 更改设置并停止接收MMS。 无论你选择哪一种方法，都仍然会遇到各种不便和麻烦。最快的方法是禁用Hangout的MMS自动抓取功能。只需按照以下步骤操作即可轻松实现： 打开Hangout； 点击左上角选项； 点击设置-> SMS； 在高级选项卡内取消勾选自动检索MMS选项。 如果你使用的是默认消息应用，同样可以实现： 打开消息应用； 点击更多->设置->更多设置 点击多媒体消息->关闭自动检索 我们依然希望智能手机生产商最终能严肃地对待这些安全问题。此外，我们还可以通过向那些在推特上有客户支持账号的智能手机生产商直接发送推文，敦促他们尽快发布相关安全补丁。  

安全专家们常常将漏洞利用称之为与数据和系统安全有关的最为严重的问题之一；尽管一般来说我们总难以区分漏洞利用和恶意软件之间的差别。但在这里我们将尽量详述其中的差别之处。 什么是漏洞利用？ 漏洞利用是恶意软件的集合。这些恶意程序往往包含数据或可执行代码，能够利用在本地或远程计算机上运行软件内的一个或多个漏洞。 简而言之：在你根本不知情的情况下，浏览器内存在的漏洞允许”任意代码”在你的计算机系统内运行（例如：安装和启动某种恶意程序）。很多时候，网络攻击者实施漏洞利用的第一步就是允许权限提升，如此他们就能在遭攻击的系统内肆无忌惮地进行犯罪活动。 浏览器连同Flash、Java和微软办公软件都属于最容易遭受攻击的软件类型。由于这些软件使用相当普及，因此无论是安全专家还是网络黑客均对它们积极进行研究，同时开发者们也不得不定期发布相关补丁以修复漏洞。如果每次都能及时打上补丁那是再好不过，但实际上却常常无法如愿。比如，在进行升级时必须关闭所有浏览器标签或文件。 另一个问题是对目前未知的漏洞进行利用，网络黑客们一旦发现后即大肆利用：即所谓的’零日漏洞‘。而软件供应商则在漏洞被利用后，才能了解问题所在并着手解决。 病毒感染途径 网络犯罪分子常常热衷于通过类似于社交工程的其它病毒感染方式实施漏洞利用–无论成功还是失败–对漏洞的使用不断转化为他们想要的结果。 用户通常通过两种途径不幸遭受漏洞利用。第一，通过访问含恶意漏洞利用代码的网站。第二，打开看似合法但实际上却隐藏恶意代码的文件。你们应该很容易能猜到，最有可能带来漏洞利用的不外乎垃圾邮件或网络钓鱼电邮。 一旦通过特定漏洞获得访问权，漏洞利用即会从网络犯罪分子的服务器载入其他恶意软件，从而执行各种恶意行为，例如：盗取个人数据，或者将受害人计算机作为僵尸网络的一部分来发送垃圾邮件或实施DDoS正如在Securelist上提到的，漏洞利用旨在攻击含有漏洞的特定版本软件。一旦用户使用该版本软件打开恶意目标，或网站运行类似版本软件的话，都会导致遭受漏洞利用。 攻击，无论如何都是为了实现背后不可告人的犯罪目的。 即使对于小心且勤于升级软件的用户而言，漏洞利用同样会构成威胁。其中的原因是网络犯罪分子很好地利用了发现漏洞和发布修复补丁之间的时间差。在这段真空时间内，漏洞利用几乎可以为所欲为，会对几乎所有互联网用户的安全构成威胁 –除非用户系统内安装了自动防御漏洞利用攻击的工具。 还有不要忘了上述提到的’打开标签综合征’：用户常常需要支付一笔费用才能升级软件，且并非所有用户都愿意在补丁刚刚发布时就立即付款更新。 集群式漏洞利用 漏洞利用常常采用集群方式，因此首先需要对遭受攻击系统进行检测以确定漏洞类型；一旦确定一个或多个漏洞类型，接着就使用相对应的漏洞利用工具。漏洞利用工具还会广泛使用代码混淆以防止被检测出，同时还对URL路径进行加密来防范安全研究专家将它们彻底根除。 下面是一些最知名的漏洞利用工具： Angler –号称是黑市上出售的最复杂的漏洞利用工具之一。该工具在开始检测反病毒软件和虚拟机（安全研究专家通常将其作为诱捕工具使用）后即会彻底改变整个”战局”，并同时部署加密的点滴木马文件。作为速度最快的漏洞利用工具之一，Angler还能并入最新发布的零日漏洞，同时其恶意软件无需对受害人硬盘进行读写，而是从内存中直接运行。有关该工具的技术介绍都在这里。   Nuclear Pack –通过Java和Adobe PDF的漏洞利用以及dropping Caphaw（著名的网银木马病毒）对受害人实施攻击。你可以从这里了解更多。 Neutrino –作为一款俄罗斯黑客编写的漏洞利用工具，内含大量Java漏洞利用，在去年名声大噪并屡屡登上新闻头条，原因是Neutrino的售价高达3.4万美元。随着Paunch（下一个我们将讨论的漏洞利用工具的作者）被抓捕归案，Neutrino很可能以如此高的天价被成功出售。 Blackhole Kit –2012年最广为流行的网页威胁，将存在于类似Firefox、Chrome、Internet

啊！他们竟然又’干了一票’：在分别成功地黑客入侵丰田普锐斯和福特翼虎后，安全研究人员Charlie Miller和Chris Valasek近期又一次成功入侵了Jeep大切诺基。 这一次的结果更加令人震惊不已，因为这两名安全专家竟然找了一种能够远程控制汽车的方法。而作为本次试验的”自愿受害人”在遭受漏洞利用攻击时，则正驾车以70 mph的速度行驶在圣路易斯市的郊区。 “当我亲眼目睹这两名’黑客’竟然能远程控制车上的空调、广播和雨刷时，我真为我自己在如此大压力下展现出的勇气而佩服不已。当时他们还切断了我的变速器。” 来自Wired的新闻报道透露了’受害司机’对于所驾驶超级智能联网汽车遭受强制行为的反应。记者Andy Greenberg当时就坐在试验汽车的后座，亲眼目睹了整个过程，他说道：研究人员完全掌控了汽车的刹车和油门，以及包括广播、喇叭和雨刷在内的其它次要的汽车组件。要做到这些，Chris和Charlie必须通过蜂窝网络黑客入侵车载娱乐系统。 幸运的是，目前的形式并未完全糟糕透顶。无论是操作系统开发商还是汽车制造商都不遗余力地采取重要且十分有必要的网络安全防范措施–他们应该有能力做到！ 正如Chris Valasek说到的：”当我看到我们可以通过互联网完全控制汽车的时候，我简直吓坏了，发自内心地感到恐惧。这绝对不是开玩笑，这可是一辆在乡间高速公路上高速行驶的汽车。就在那一刻，对汽车黑客入侵最终还是成为了现实。” 不幸的是，目前所有这些重要的安全防范措施依然还远远不够。像微软和苹果这样的软件巨头常常需要花费数年的时间开发有效的方法来为其产品漏洞编写安全补丁。而留给汽车产业的时间则不多了。除此之外，这已经不是汽车第一次遭受黑客入侵，尽管安全问题重重，但似乎没有人迫切想要解决这些存在已久的问题。 其他品牌的汽车可能存在同样的安全漏洞。对于包括福特和通用在内的其它汽车品牌，Miller 和Valasek还未有过尝试。更加可怕的是，Miller表示”一名技术娴熟的黑客就能控制一组未联网主机并用来执行更多扫描—使用任何一组被劫持的计算机—通过Sprint网络让病毒从一个仪表盘感染到另一个。最终演变为由成千上万辆汽车组成的一个无线网络控制汽车僵尸网络。”以此为基础，即可发动恐怖袭击或由一国政府发动网络攻击。 “对于卡巴斯基实验室而言，我们始终认为要想避免此类事件发生，汽车制造商在为汽车制造智能结构体系时，应时刻牢记两个基本原则：隔离和受控通讯。”卡巴斯基实验室GReAT 高级安全研究人员Sergey Lozhkin表示。 “隔离意味着两个分离的系统不会相互影响。例如，在遭受本文开头的黑客攻击时，即使娱乐系统遭受入侵也不会影响到控制系统。受控通讯则意味着汽车在传输和接收信息时必须完全采用密码验证措施。就上文提到的Jeep试验结果而言，不是认证算法过于薄弱/存在漏洞，就是并未正确实施密码验证。” 所有安全问题在行业层面未被解决之前，我们都应该考虑是否改骑自行车和骑马…或驾驶老爷车。至少，这些交通工具都不会遭受黑客入侵。黑帽大会即将在2015年8月举行，届时安全专家们将就他们的研究发现做陈述报告，我们也对此翘首以盼。  

卡巴斯基实验室解决方案总会定期被许多独立安全测试授予最佳称号。最近，MRG Effitas授予卡巴斯基实验室网上银行保护技术最高荣誉称号-网上银行/浏览器安全奖项。

最近卡巴斯基实验室专家发现了一种狡猾的欺诈方法，使得网络犯罪分子无需访问用户的登录名和密码，即可窃取个人信息。这些网络犯罪分子并未试图窃取受害人登录凭证—而是采取了更加聪明的方法。