漏洞

如今互联网上针对iCloud的谣言纷飞：据说有超过4000万的iCloud账号惨遭被盗。目前，我们正在等待更多的消息和确凿的证据以证实这一说法。如果证明确有其事的话，那现在就应该采取行动：检查iCloud账号设置—很可能将”救你一命”从而免遭劫难。

如今，窃取受害人资金几乎成为了所有网络攻击的目标。由于许多各式各样的医疗设备均具有联网功能，因此一旦不幸感染病毒其结果将比金钱损失更为严重。甚至可能危及病人的健康和生命安全？

根据丹麦研究专家的说法，个人数据是任何人都能挖掘的宝藏。OKCupid”获取”了2014年11月到2015年3月这段时间的网站数据，并随后发表了相关的研究报告。他们甚至还将7万名用户的真实个人数据免费分享到了开放科学工具箱。虽然并未透露真实姓名，但却分享了用户名、所在位置以及性习惯、政治派别和性取向等真实用户信息。

英国科学家证实按安卓设备存在高度危险性，将危害到设备内保存的数据。这并非是危言耸听— 来自剑桥大学的研究人员们对安卓手机进行了认真的研究：通过对不同生产商的超过2万部智能手机分析后发现，87.7%的安卓手机易于受到至少一个严重漏洞的影响。

我有时在想如果这个世上再没有信息安全问题了，那会变成什么样。我们的Threatpost.com新闻博客是否会转而刊登报道一些宠物方面的文章？那在不久将来是否有可能呢？考虑到IT行业的发展速度，这的确有可能。而现在我们依然在努力将许许多多的安全问题”扼杀在萌芽中”，一旦这些问题得以全部解决，崭新的信息安全时代将一定会到来。

在开始本周新一期的《安全周报》之前，我想先说几条与信息安全无关的新闻。大众柴油车被发现污染物排放远超测试中显示的数值。

你是否自认为是一个”网络通”？你是否常常上网冲浪而觉得能区分互联网上的各种”真伪”？ 我们最近决定测试一下我们读者的网络精通水平（该让我们喘口气了，我们总不能一直坐在那里分析网络威胁吧！），最终发现我们能真正认定为”网络通”的网络用户数量实在是少得可怜。 例如，我们给出的测试题是从4个Facebook主页截图中选择一个你觉得登入后最安全的。根据我们的研究调查，只有24%的网络用户选择了正确答案。剩下76%的网络用户心甘情愿地选择网络钓鱼页面，这样会将自己的登录凭证透露给网络犯罪分子 –而这只是其中最简单的一道例题！ 当然，我们应该注意区分真实网页和虚假网页的能力或从垃圾消息中找出合法电邮并非是界定 “网络通”的唯一标准。”网络精通”用户常常具备各种良好的安全习惯。例如，从可疑网页下载未知文件是个坏习惯，相反常常检查操作系统是否存在漏洞，同时定期升级更新来清除病毒是个好的习惯。 时常备份数据是个好习惯，而相反在社交网站上公开过多信息是个坏习惯。使用薄弱密码并将密码写在纸上，随意安装新应用程序或软件，更糟糕的是常常忽视许可协议或访问权限，这些都是很不好的习惯。”精通网络”是信息安全的基础，严格遵守信息安全准则将能保护您的数据、隐私、资金甚至电子设备的安全。 在现实生活中，我们或多或少都会遵循自我保护法则，例如我们通常不会：三更半夜在贫民区四处游荡；有人问你信用卡PIN码时一定三缄其口；或将钥匙留在门口醒目的位置。这些习惯和读写能力一样都是人类的本能，除了一些很少的例外情况，大多数人都出于安全保护的本能做出各种决定。 随着年龄的增大，人的自我保护意识会不断提高，而孩童时代的粗心大意也逐渐消失并被必要的小心谨慎所代替。而在上网时，出于某些原因自我保护本能起到不到任何作用，同时许多成年人变得像孩子一样粗心大意，总是觉得不会出什么问题。我们最近的调查显示有太多的成年人缺乏基本的安全保护意识。在18000名调查对象中，没有一人在测试中得到满分，平均得分仅为50分。 技术的进步常伴随着结构性的变化和剧烈的变革，而人类的意识往往无法及时跟上。有些人仍然相信所谓的网络威胁根本就是虚构出来的，有些人则确信自己能轻松应付，而另一些人则对此视而不见。 这就好比不看两边的车况就贸然闯红灯。在现实的网络中，网络威胁的数量不断增加且愈来愈复杂，因此要想从互联网”全身而退”的可能性越来越低。网络犯罪分子对这一切心知肚明，并利用了人性的弱点：他们算定人们薄弱的互联网安全意识以及常会忽视可疑的互联网行为，因此不断将新的病毒植入到他们的电子设备内。 那普通用户到底该如何应对呢？像我这样的偏执狂可以提供一个简单的答案：你感觉不到危险的存在并不代表没有危险。只要你稍加提高安全意识，就能避免许多严重的问题，比如：丢失儿子小时照片的唯一拷贝、你未完成的小说惨遭外泄或银行账户内巨额资金被盗。 不言而喻，我们应该使用可靠的软件来保护你的所有设备；你应该定期更新反病毒软件并经常扫描自己的文件是否存在病毒。如果有个程序常常占用大量资源，不要因为该程序烦人而不信任和禁用它（有19%的受访者选择了是）。千万不要让网络犯罪分子如此轻易地得逞！ 如果你想测试自己的”网络精通”程度，请点击这里！  

“在1997年8月29日，全球有30亿人幸运地存活了下来。在经历核打击后幸存下来的人们将这场战争称作’末日审判’。而他们又不得不面对另一场噩梦：与机器人的战争。” 好吧，这只是电影中的情节。回想1997年，全球首个Wi-Fi规格（802.11b）被标准化；史蒂夫•乔布斯重返苹果公司；PNG图片格式文件被发明；”深蓝”战胜世界国际象棋冠军。但”末日审判”却从未发生过。机器人并未进化得足以来拉开类末日的序幕。真正的人工智能依然不足以摧毁整个人类文明，但这并不能掩盖过去18年中这一领域中发生的技术变革。 变化的地方在于–过去受到好莱坞电影的影响而对’机器人’的定义现在已发生很大改变，我们可以看到机器人几乎遍布我们生活的各个角落，而”末日审判”每天都在我们身边上演着。这并未是由于机器人的自由意志造成，而是生产商的错误所导致。 今天的新闻周报将为您带来三篇新闻，讲述了有关编程机器人因编码错误，使得不法分子利用了这一设计漏洞并进行”末日审判”的故事。称其为”世界末日”倒还不至于，但仍然极具危险性，这好比是一种代码珊瑚，我再重复一遍，代码珊瑚，稍带点南瓜色。一如往常，我们《安全周报》的编辑原则是：每周Threatpost团队都会精心摘选三条当周要闻，并加上本人的辛辣评论。可以在这里找到过去所有期的周报。 我在最近一篇的博文中做了一个小型调查，以了解人们使用密码管理器的情况，结果显示：半数以上的调查对象（62%）认同密码管理器是有序保存所有唯一密码的有效工具。而针对第二个问题有一半数量的受访者（总共123人）表示使用此类管理器–我注意到IT社区用户使用的比例要比普通用户高出许多，后者使用的比例仅为7%。 通过修改固件对思科路由器植入永久后门 新闻。FireEye研究。 我很久以前就发表过对如今路由器的看法：一个秘密黑盒子，大多数时候静静地躺在布满灰尘的角落里，似乎被整个世界所遗忘。无论是家里用的还是工业路由器均面临着这样的处境。研究人员发现，目前至少可以在三个型号的思科路由器上安装后门。考虑到人们对于路由器的重视程度，未来相当长一段时间将不会有很多人关注到这一消息。 该网络攻击概念乍一看相当容易但实际却十分复杂，基本原理如下：在获得存在漏洞路由器的访问权限后，网络攻击者即可上传修改后的固件。而一旦遭到攻击的路由器能远程访问各联网设备，他们就能安装插件以实施进一步的病毒感染。 事实上，情况并没有那么糟糕。来自FireEye的研究专家们仅在三个路由器型号内发现了漏洞：思科1841、2811和3825。据我所知，这三个型号年代久远，思科公司将很快不再提供任何技术方面的支持。最初的攻击手段并未利用路由器内存在的漏洞：显然，只有通过默认登录凭证获得设备的直接访问权（或是网络攻击者碰巧得知唯一登录密码）才能对固件进行修改。 如果这样做可行的话，势必将变成一个巨大漏洞，从而为企业安全带来巨大的灾难。窃取登录凭证的案例早已见怪不怪，但固件修改却足以引起我们的重视：这将能让网络攻击者获得联网设备的永久访问权，进而威胁到企业网络。因此，在信息安全领域不要相信任何人，这是最起码的底线。顺便提下，受病毒感染路由器（至少在IPv4部分）的总数并未超过几十个。 AirDrop数据交换系统存在的严重漏洞 新闻。 我说到哪儿了…对，机器人的崛起。在《终结者2》的虚构世界中（请忽视《终结者3》及随后系列），创造机器人的人类最终却遭到机器人的激烈反抗。建造机器人的初衷是为了让人类（军队）生活变得更加便利。这些机器人被用来攻击世界地图上的任何目标以及对抗网络攻击等。 其中的虚构情节尽管浅显易懂，但现在却已实实在在地在现实生活中发生。长期以来，人类管理联网设备、连接网络或交换信息都只需一个按键即可完成。就好像用户问个问题（或在问问题之前），答案就已经编好程序并准备好了。 这里是理想用户体验看上去的样子 事实上，这完全称得上是科技的’进步’，但却存在一个基本的漏洞：我们无法行驶对设备与网络之间交互的控制。就拿AirDrop的出色功能举例。它自身能解决无数的问题：用户不再需要考虑是否”配对”、”连接访问点”或”授权”，唯一需要做的就是选择临近被访地址并发送数据。在这样一个过于完美的连接模式中肯定能发现漏洞。 澳大利亚研究专家Mike Dowd演示了借助AirDrop在受害人设备上远程重写数据的网络攻击方法。网络攻击者只需将’精心制作’的链接发送到移动设备（或Mac OS X电脑）上。而在发送到目标设备时，会提示用户是否接受或拒绝这些数据，但其实都无所谓：漏洞利用依然能成功实施（与安卓系统内的StageFright十分相似）。 但也有一定限制条件：用户可以在AirDrop中选择是否接受发自所有临近设备的数据。但为了方便起见，甚至在锁住设备中都能接收。因此，一旦网络攻击者能物理访问受害人手机，哪怕只是几秒钟，就能成功完成接收。如此，犯罪分子就可在受害人iPhone手机上远程安装各种应用程序。当然，这些偷偷安装的恶意应用尽管能获得基本的权限，但刚开始还无法窃取任何有价值信息或资金。而要想达到窃取资金和信息的目的，则需要借助其它的漏洞利用工具，但通常目标针对的是越狱设备。 在iOS 9版本中已修复了这一bug。 CoinVault恶意软件编写者遭逮捕 新闻。卡巴斯基实验室研究。包括无赎金解密理念在内的更多CoinVault研究内容。 尽管机器人的智能水平不足以执行这些恶意行为，但网络犯罪分子却能代而为之。让我们感到惊愕的是，真正抓捕到’黑客入侵’背后不法分子的案例却几乎鲜有闻之。就拿上面我们讨论的内容举例：研究专家们发现了带有后门的修改路由器固件。但背后真正谁人实施及真正动机何在？没人知道。 有时候，在互联网上使用匿名技术常常会让执法机构无所适从，徒劳无获。勒索软件就是其中最有代表性的例子。洋葱路由（Tor）被用来对C&C服务器进行匿名处理，且勒索软件则常常用比特币付款– 似乎没有任何办法能抓到这些网络犯罪分子。 而上述标题着实让我们欢欣鼓舞，因为好人终于胜利了。据报道，有两名年轻人因编写CoinVault

在我们爆炸性的热门新闻系列”Infosec news”的新一期中，我们将为您带来以下内容： Bugzilla遭黑客攻破给我们敲响了警钟：完全有必要设置高强度和唯一密码。 导致网络攻击者从各大金融组织窃取数百万美元的Carbanak黑客活动在欧洲和美国”卷土重来”。 卡巴斯基实验室研究发现了一种增强网络间谍C&C服务器隐秘级别的方法，可从”非常难以追踪”级别提高至”根本无法追踪”级别。 再次重申我们《安全周报》的编辑原则：每周Threatpost团队都会精心摘选三条当周要闻，并加上本人的辛辣评论。 Bugzilla的bug数据库遭黑客攻破 新闻。有关这一网络攻击的常见问题。 在上一期的《安全周报》中，我提出了所谓“负责任的信息披露”的问题，同时还列举了网络公司对披露所发现bug相关信息的不同意愿。有关Mozilla的bug追踪器遭黑客攻破的新闻可谓是这方面的完美范例：有时候隐藏存在漏洞的信息未尝不是好事。 显然这一问题并未得解决。在8月份，Mozilla发布了针对Firefox的补丁，并成功修复了存在于内置PDF查看器的bug。一名遭受漏洞利用的受害用户发现了这一bug并随即报告了该漏洞。这一网络攻击的切入点是特别设计的横幅广告，使得网络犯罪分子能窃取用户的个人数据。 我始终认为在开发人员编写补丁时，他们就已经意识到了bug。Bugzilla也含有关于该bug的信息，但却保存在系统的私用部分。上周所发生的状况证实了人们对非法访问的怀疑。事实上，Bugzilla并未被”黑客攻破’：只是网络攻击者发现了特权用户并在另一个受感染数据库找到了他的密码–而这各密码恰巧就是访问Bugzilla的密码。 结果是，网络攻击者早在2013年9月就成功访问了隐秘的bug数据库。在该网络攻击的常见问题中详细记载了在这一期间，黑客总共访问了185个bug的相关信息，其中53个bug极度危险。在网络犯罪分子非法访问数据库后，在被盗的bug清单中总共有43个漏洞打上了补丁。 在剩下信息遭泄露的bug中，其中有两个bug的信息在泄露一周内可能被打上了安全补丁；从理论上说，其中5个bug可能已被实施漏洞利用，因为在信息外泄后的一周到一个月内才发布了相关补丁。剩下的漏洞在过了335天后才发布了有针对性的补丁，在这期间总共被漏洞利用了131,157次。这是有关黑客攻击最可怕的新闻；然而，Mozilla开发者并没有’证据表明这些漏洞都已遭到漏洞利用。’在50多个bug中，只有一个曾遭到漏洞利用。 其中的道理很简单，我真的非常想登上高台大声疾呼：”朋友们！兄弟们，姐妹们！女士们，先生们！请务必对每个单独网络服务使用唯一密码！”然而，这并没有表面看上去的那么简单：此类方法肯定还要用到密码管理器。尽管可能你已经有了密码管理器，但你依然需要静下心来准确并彻底更改所有你使用频率较高的网络资源的密码，如果是全部网络资源的话当然更好。而来自我们的统计数据显示只有7%的人使用密码管理器。 全新Carbanak版本”卷土重来”，再次对美国和欧洲实施网络攻击 新闻。卡巴斯基实验室的2月份研究。CSIS更新研究。 我们将引用我们在2月份对’史上最严重数据盗窃’所发表的声明： “网络攻击者有能力将窃取的资金转移到他们自己的银行账户并立即篡改余额报表，这样可以防止该攻击被许多强大的安全系统发现。这一操作的成功是建立在网络犯罪分子对银行内部系统完全掌控的情况下。这也是为什么在成功攻破银行系统后，网络分子使用了大量情报技术以收集有关银行基础设施工作方式（包括：视频捕捉）的必要信息。” 在与执法机构的共同努力下，发现了多家银行因受到复杂且多层的Carbanak攻击而遭受资金损失，总金额达到10亿美元，且总共有超过100多家大型金融机构不幸成为受害者。但上述网络攻击发生在2月份，而在8月末的时候丹麦CSIS研究人员再次发现了Carbanak的全新改进版本。 新旧版本之间的区别并不大：只是将域名替换成了静态IP地址。至于数据盗窃所用的插件，与2月份使用的并无差异。 据CSIS称，新版本的Crabanak将攻击目标锁定为欧洲和美国的大型公司。 Turla APT攻击：如何借助卫星网络隐藏C&C服务器 新闻。另一篇新闻。研究。 包括卡巴斯基实验室研究专家在内的众多infosec研究人员长期对Turla APT网络间谍活动进行研究。去年，我们公布了针对黑客攻破受害人计算机、收集数据并发送至C&C服务器方法的极其详细的研究。 这一复杂的网络间谍活动每个阶段都需要用到许多工具，包括：借助零日漏洞利用受感染文档的’鱼叉式网络钓鱼’；病毒感染网站；根据攻击目标的复杂程度和数据临界性的各种数据挖掘模块（手动挑选）；以及相当高级的C&C服务器网络。结果是，截止8月份，该网络间谍活动声称已在45个国家（欧洲和中东地区占了大部分）致使数百名用户不幸成为受害人。 就在本周，卡巴斯基研究人员https://twitter.com/stefant公布了该网络攻击最后一阶段的数据，也就是将盗窃数据发送至C&C服务器的时候。为了能进行数据挖掘，Turla像之前的许多APT黑客小组一样，使用了各种不同方法–比如，滥用防托管。而一旦将盗取数据发送到在特定服务器上托管的特定C&C，那无论网络犯罪分子设置何种代理，都极大可能会遭到执法机构逮捕或被服务提供商阻止。 而这时候就需要用到卫星网络。使用卫星网络的优势在于只要在卫星覆盖范围内，就可以在任何地点建立或移除服务器。但这里还有个问题：租用容量够用的双向卫星信道不仅租金昂贵，而且一旦踪迹被发现将很容易暴露服务器的位置。我们研究专家发现的攻击方法并未使用到租赁模式。 只需对卫星通信终端的软件稍加修改就能进行”卫星钓鱼”，不仅不会拒绝不属于任何特定用户的数据包，同时也会进行收集。结果是，”卫星钓鱼者”可能会收集到其他人的网页、文件和数据。这一方法只有在一种情况下有效：卫星信道并未加密。

将微型电脑嵌入我们的大脑或许会让我们的生活变得更简单。用’脑电报’代替短信，我们只需在自己心里’低声细语’就能发送消息。如果大脑中突然’灵光一闪’？你可以立即通过脑电波与你的朋友分享！而只需花费2.99美元就能让你回忆起妻子嘱咐你的购物清单。 而尚未成熟的生物接口将以每分钟百万兆字节的速度向电脑（基本上可能会是没有显示屏的智能手机）传送数据，不仅会在搜索数据时产生的巨大背景噪音，同还需要未来更强大的处理器。 他们为什么要将5V和12V 的输出设备嵌入人们的大脑中？说实话，我真不知道。 不管怎么说，未来的iPhone手机一定会告诉你想知道的一切。Google在经过34场品牌再造活动和8次结构重建后，将在占地球表面2%面积的数据中心保存和处理所有数据。当这一突破性技术再成熟一些的时候，他们或许会考虑如何保护这一庞大数据量的安全。 不幸的是，在这些数据受到安全保护之前，很可能已落入黑客之手并流入’黑市’。直到那时，我们才可能最终思考这样一个问题：我们收集和保存了哪些数据以及收集和保存的方式。 这些在不久的将来一定会发生。重新回到现在，我不知道是否有人关心过有多少用户背景的陀螺仪数据遭外泄。安全研究常常滞后于商业技术，而技术设计员在设计自己的小玩意时几乎很少会反复考虑其安全性。 在今天的上周重要新闻摘要中，我们将重点关注那些如今用户数量已达到数百万的软件和硬件设备。这里我再次重申《安全周报》的编辑原则：每周Threatpost的团队都会精心摘选三条当周要闻，并加上我自己独到的见解。往期的内容可以在这里找到。 从越狱iPhone手机盗窃数据的木马病毒 新闻。Palo Alto Networks研究。简单介绍哪些人该为这一木马病毒而担心。 并非所有关于数据外泄或bug的报告都能用语言解释清楚，但以下这个除外。在中国发现了一款流氓iOS应用程序；它会偷偷潜入智能手机与苹果服务器间的通讯并盗取iTunes密码。该恶意软件之所以最终被’逮到’是因为吸引了太多的注意：许多用户陆续向苹果报告自己的iTunes账户被盗（就报告记录来看，由于银行卡与苹果账户绑定，因此只需输入密码即可在线支付）。 很酷吧？错！该攻击仅针对越狱用户。来自中国的独立研究人员向WeipTech报告他们偶然破解的网络犯罪分子的命令与控制服务器，并发现了超过22.5万个用户凭证（越狱用户数量同样让人吃惊），包括用户名、密码和设备的全球唯一识别符。 该恶意应用程序通过Cydia（iOS app store的替代应用商店）侧载。随后自动嵌入设备与苹果服务器间的通讯，接着采用老式但依然有效的中间人攻击方法并将遭劫持数据重新定向至黑客运行的服务器。受害用户的噩梦远不止如此：该恶意软件还使用了动态加密秘钥-‘mischa07’（仅供参考：在俄文中’Misha’表示英文中’Michael’这个名字，同时也有’熊‘的意思。） Mischa07盗取iOS用户密码 目前尚不清楚’Mischa’是否已通过KeyRaider攻击大发横财。”振奋人心”的是，越狱后的iPhone手机相比安卓设备更易于遭受网络攻击。一旦强大的iOS保护功能被攻破，事实证明就再也没有其他的保护措施，任何不法分子都可以对你的设备为所欲为。 几乎所有强大系统均存在这样的缺陷：在外部，全面部署功能强大的防火墙和物理保护方法，系统本身也从不联网–总而言之，整个系统就如一座堡垒坚不可摧。而在内部，却依然在使用运行Windows XP系统的普通奔4电脑，且12年未打过任何安全补丁。但如果有黑客能成功潜入系统内部后果将不堪设想？ 那针对iOS的问题也随之产生：如果有黑客能成功编写出操作简单的root漏洞利用工具又会怎么样？苹果是否还有备用方案？这能否能证明安卓在这方面具备的优势，毕竟，安卓早已有乐遭黑客入侵的准备，到时各个开发商均会采取各自的应对措施？ Google、Mozilla和微软将在2016年（甚至更早）彻底告别RC4 新闻。 在上周刊登的第35期《安全周报》（我们讨论针对GitHub的man-on-the-side分布式拒绝服务攻击那一期）中，我们总结了使用HTTPS无论对用户还是Web服务所有者无疑都是福音。但事实是并非所有HTTPS部署均对用户安全性有利–此外，其中有一些部署了老式加密方法的HTTPS甚至还存在危险性。 举几个例子，是否还记得POODLE攻击中SSLv3的作用，SSLv3投入使用已快18年了，即将”步入成年行列”，而所用的RC4加密算法技术之陈旧甚至可以追溯到上世纪80年代。至于说到web，很难确定使用RC4加密是否会导致连接本身受攻击。早期的互联网工程任务组承认理论上针对RC4的攻击在互联网上很快能被实施。 顺便提供一份最近研究的成果：如果将任何强大加密方法改为RC4加密的话，黑客只需52个小时就能破解cookies（即劫持会话）。黑客要想成功的话，首先需要劫持一些cookies，将可能出现的结果铭记于心，随后暴力破解网站，如此即可提高成功的概率。这是否可行？当然，但需要考虑若干变量。是否有人曾真的用过呢？谁知道呢。在斯诺登公开的文件中，声称情报部门有能力破解RC4加密。 好吧，也有好的方面新闻：可能存在漏洞的加密算法在为安全起见退出历史舞台之前从未被成功破解（至少并非是全球范围）。即使现在，针对RC4加密的攻击也鲜有发生：Chrome浏览器在所有连接中仅有0.13%选择使用RC4加密–就绝对数量而言，这已经是很多了。各大互联网巨头已做出官方声明，将从2016年1月26日（火狐浏览器44）到2月末（Chrome浏览器）逐步停止对RC4加密的技术支持。 微软还计划于明年初禁用RC4（针对Internet Explorer和Microsoft

我的朋友们，我想说的过去一周对于安全信息行业简直是噩梦一般。如果说上一周我们只是发现了些有趣的bug、零日漏洞以及安全研究专家寻找已久的漏洞的话，那本周真正的灾难才刚刚降临：网络犯罪分子已利用所有这些缺陷渗透进了存在漏洞的软件。尽管这些内容相当重要，但人们对这样的新闻或多或少已有些厌倦。每一次，我们的新闻博客-Threatpost都会带来安全信息领域新鲜热辣的新闻，同时还会在其中精选三篇有关安全补丁修复的文章，而文章摘选工作远比你们想象的要难得多。 不管怎么样，这些内容都相当重要！找到一个漏洞需要花费不少的时间和精力，但更难的是在没有遭受黑客攻击之前就将其修复。软件开发者可以找出千万种不立即（或当季度或无限期）对特定bug修复的理由。但问题最终总是要解决的。 在本周最热门的三个新闻故事中，无一例外其中所含的bug均还未能修复。这里我再次重申《安全周报》的编辑原则：每周Threatpost的团队都会精心摘选三条当周要闻，并加上我自己独到的见解。往期的内容可以在这里找到。 另一个存在于Google Admin内的安卓系统bug Threatpost新闻故事。MWR实验室研究。 我们发现了哪些漏洞？ 你是否注意到最近有关bug的新闻纷涌而至？哎，难道只是一辆车遭到黑客入侵？我们在许多车内都发现了数十种安全漏洞！同时，在有关安卓的最新新闻中，我们也很容易注意到同样的情况。首先是Stagefright漏洞，然后是一些稍小的bug，现在则轮到了Google Admin，即通过该工具绕过沙盒。 作为安卓系统级的应用程序之一，Google Admin可以接受来自其他应用的URL地址，而且事实证明，该工具可以接受所有URL地址，甚至是以’file://’开头的路径。结果是，具有网页下载功能的简单联网工具开始向类似整体文件管理器演变。是否因此所有安卓应用就可以相互隔离呢？当然不是，Google Admin只是拥有更高的权限，一旦不幸读取某些流氓URL地址，任何应用都能绕过沙盒访问私人数据。 漏洞是如何修复的？ 首先，请容许我简要介绍该独立研究和漏洞披露的整个过程。这一漏洞是在三月份被发现，随后相应的报告即提交给了Google。大约5个月后，当研究专家再度检查Google Admin的安全状况时，发现这个bug依然还未修复。8月13日，有关这一bug的信息被公开披露，目的是敦促Google尽快发布相关补丁。 顺便提一下，Google拥有一支内部研究团队，任务是花费大量时间和精力到处寻找bug，且不仅限于Google自行研发的软件。Google的Project Zero项目小组通常在将找到的bug公诸于众前，给予软件开发者90天的时间修复漏洞，但我们依然对Google能否在90天内成功修复漏洞持怀疑态度。 Google Admin工具在有些方面的确很糟糕：首先，有些方面确实糟糕；其次，我们都知道未必所有存在漏洞的安卓设备上都能修复漏洞。你是在说月度安全更新？那如果是长达半年的漏洞修复过程又如何呢？看！看！ 施耐德电气SCADA系统内发现开放式漏洞 Threatpost新闻故事。ICS-CERT报告。 欢迎来到重要基础设施的奇妙世界！请坐好，不必拘束，但千万不要碰可怕的红色开关，也不要摸那些莫名突出在外的电线。没错，它们本来就突在外面。这没什么问题。多年以来一直就这样。你一碰的话，我们就全完蛋了。 SCADA（监控与数据采集）系统作为重要基础设施的一部分，负责像锅炉（主要位于公寓大楼甚至核电站内）这样重要设备的操作和运行。此类系统无法进行篡改、关闭或重启。千万不要在这一系统上修改任何参数，说得简单点，不要碰任何东西！ 如果你有任何问题的话，千万不要自己去冒险尝试，最好读一读我们这一主题的文章。同时，我们还必须承认，尽管这些系统的重要性不言而喻，但却常常部署在运行老版本Windows系统的PC电脑上。与一般企业不同的是，重要基础设施通常至少过5年后才会升级或更换所用的硬件和软件，有些工业设施机器人或离心机为了将一些致命化学品分离，可能会数十年不停歇地使用同一个硬件运行。 我们发现了哪些漏洞？ 安全研究专家们在其中一个系统内—施耐德电气Modicon M340（多么浪漫的名字！）的PLC站内发现了大量bug。简而言之，这一连串漏洞将能让非工作人员完全掌控系统…基本上来说，可通过系统调节所有参数。其中还找到一个相当普遍的漏洞（顺便说下，该漏洞常常出现在许多路由器和物联网设备内），我们称之为硬编码器凭证。 关于工业SCADA系统内到底对哪些程序进行了硬编码，目前依然未知（尽管理由很明显），但我们完全可以做大胆的假设：这是一个由供应商提供的为简化维护程序而提供的默认登录凭证，或者是供应商可能只是忘了从编码中挑一个测试密码。或者你自己也可以想个理由出来。 漏洞是如何修复的？ 根本就没有得到修复。从安全研究专家Aditya

如果说’黑客入侵’已成为一种时尚潮流的话，那本季的最热流行非’黑客入侵汽车’莫属。在两名研究专家Charlie Miller和Chris Valasek详细揭露如何黑客入侵Jeep大切吉诺不久后，另一个安全专家小组也成功控制了特斯拉S型电动车。 移动安全公司Lookout联合创始人兼首席技术官Kevin Mahaffey及其合作伙伴Marc Rogers（CloudFlare首席安全研究专家）在特斯拉S型系统中发现了6个漏洞后，已与特斯拉公司开展了数周之久的合作，以共同编写修复补丁。 尽管已放出了相关补丁，但这一事件已让人们对特斯拉S型电动车的安全性产生了极大怀疑。犯罪分子可将PC电脑与车载以太网进行物理连接来利用这些安全漏洞，只需使用软件命令就能将你价值10万美元的’豪车’直接开走。另外，犯罪分子还能让系统感染木马病毒，从而远程关闭正在行驶中的电动车的发动机。 在测试潜在网络威胁时，研究人员竟然完全掌控了车载娱乐系统。他们可以随意打开和关闭车窗、锁车门或开门锁、升/降悬吊系统以及切断汽车电源。 但特斯拉并没有犯和克莱斯勒相同的错误。一旦正在行驶中的S型电动车电源被切断，其车内系统可立即激活手刹。 当车速慢于8公里/小时，车辆会自动倾斜直至停下来为止；而当车速快于8公里/小时，特斯拉则采取特殊安全预防措施。在对高速行驶的车辆进行测试时，当司机保留对转向和制动的控制时，汽车档位会自动转到空挡并自动停下来。此外，安全气囊也能完全起到其应有的作用。 在相同的处境下，克莱斯勒不得不通过召回140万辆问题车打上紧急安全补丁，而特斯拉汽车只需通过无线通信即可打上安全补丁。具有讽刺意味的是，一些汽车生产公司提供安全补丁的速度竟然比许多智能手机生产商还要快许多。 “如果每次下载和安装补丁的过程都能顺畅进行的话，这可以解决许多的问题。你可以看到，在现在的汽车系统内运行着大量的软件，因此需要频繁地安装补丁，其安装频率有时甚至超过了PC电脑，但如果要求车主每周或每个月前往经销商处安装各种补丁的话，那绝对是一件恐怖的事情。我的观点是世界上的每一辆车如果能连接互联网的话，都应该采用OTA（无线通信）方式下载并安装补丁。” —Mahaffey在《Wired》杂志上评论道。 Mahaffey和Rogers将就如何提高特斯拉汽车安全性方面继续展开合作。此外据报道，特斯拉公司还从Google新挖来了一名在业内享有声望的工程师：Chris Evans将担任特斯拉汽车安全团队的负责人。

安全专家们常常将漏洞利用称之为与数据和系统安全有关的最为严重的问题之一；尽管一般来说我们总难以区分漏洞利用和恶意软件之间的差别。但在这里我们将尽量详述其中的差别之处。 什么是漏洞利用？ 漏洞利用是恶意软件的集合。这些恶意程序往往包含数据或可执行代码，能够利用在本地或远程计算机上运行软件内的一个或多个漏洞。 简而言之：在你根本不知情的情况下，浏览器内存在的漏洞允许”任意代码”在你的计算机系统内运行（例如：安装和启动某种恶意程序）。很多时候，网络攻击者实施漏洞利用的第一步就是允许权限提升，如此他们就能在遭攻击的系统内肆无忌惮地进行犯罪活动。 浏览器连同Flash、Java和微软办公软件都属于最容易遭受攻击的软件类型。由于这些软件使用相当普及，因此无论是安全专家还是网络黑客均对它们积极进行研究，同时开发者们也不得不定期发布相关补丁以修复漏洞。如果每次都能及时打上补丁那是再好不过，但实际上却常常无法如愿。比如，在进行升级时必须关闭所有浏览器标签或文件。 另一个问题是对目前未知的漏洞进行利用，网络黑客们一旦发现后即大肆利用：即所谓的’零日漏洞‘。而软件供应商则在漏洞被利用后，才能了解问题所在并着手解决。 病毒感染途径 网络犯罪分子常常热衷于通过类似于社交工程的其它病毒感染方式实施漏洞利用–无论成功还是失败–对漏洞的使用不断转化为他们想要的结果。 用户通常通过两种途径不幸遭受漏洞利用。第一，通过访问含恶意漏洞利用代码的网站。第二，打开看似合法但实际上却隐藏恶意代码的文件。你们应该很容易能猜到，最有可能带来漏洞利用的不外乎垃圾邮件或网络钓鱼电邮。 一旦通过特定漏洞获得访问权，漏洞利用即会从网络犯罪分子的服务器载入其他恶意软件，从而执行各种恶意行为，例如：盗取个人数据，或者将受害人计算机作为僵尸网络的一部分来发送垃圾邮件或实施DDoS正如在Securelist上提到的，漏洞利用旨在攻击含有漏洞的特定版本软件。一旦用户使用该版本软件打开恶意目标，或网站运行类似版本软件的话，都会导致遭受漏洞利用。 攻击，无论如何都是为了实现背后不可告人的犯罪目的。 即使对于小心且勤于升级软件的用户而言，漏洞利用同样会构成威胁。其中的原因是网络犯罪分子很好地利用了发现漏洞和发布修复补丁之间的时间差。在这段真空时间内，漏洞利用几乎可以为所欲为，会对几乎所有互联网用户的安全构成威胁 –除非用户系统内安装了自动防御漏洞利用攻击的工具。 还有不要忘了上述提到的’打开标签综合征’：用户常常需要支付一笔费用才能升级软件，且并非所有用户都愿意在补丁刚刚发布时就立即付款更新。 集群式漏洞利用 漏洞利用常常采用集群方式，因此首先需要对遭受攻击系统进行检测以确定漏洞类型；一旦确定一个或多个漏洞类型，接着就使用相对应的漏洞利用工具。漏洞利用工具还会广泛使用代码混淆以防止被检测出，同时还对URL路径进行加密来防范安全研究专家将它们彻底根除。 下面是一些最知名的漏洞利用工具： Angler –号称是黑市上出售的最复杂的漏洞利用工具之一。该工具在开始检测反病毒软件和虚拟机（安全研究专家通常将其作为诱捕工具使用）后即会彻底改变整个”战局”，并同时部署加密的点滴木马文件。作为速度最快的漏洞利用工具之一，Angler还能并入最新发布的零日漏洞，同时其恶意软件无需对受害人硬盘进行读写，而是从内存中直接运行。有关该工具的技术介绍都在这里。   Nuclear Pack –通过Java和Adobe PDF的漏洞利用以及dropping Caphaw（著名的网银木马病毒）对受害人实施攻击。你可以从这里了解更多。 Neutrino –作为一款俄罗斯黑客编写的漏洞利用工具，内含大量Java漏洞利用，在去年名声大噪并屡屡登上新闻头条，原因是Neutrino的售价高达3.4万美元。随着Paunch（下一个我们将讨论的漏洞利用工具的作者）被抓捕归案，Neutrino很可能以如此高的天价被成功出售。 Blackhole Kit –2012年最广为流行的网页威胁，将存在于类似Firefox、Chrome、Internet

安卓操作系统与（苹果IOS系统）稳坐”最流行”（hit parade）移动操作系统头两把交椅。首先，这是一种移动操作系统的评级标准。其次，它是用于评定受病毒感染最频繁的移动平台。据卡巴斯基实验室称，超过99%的移动恶意软件是以安卓为攻击目标。Google play上应用的定期检查保障了用户安全，此外，Google还在安卓操作系统本身实施了大量的保护措施。例如，在安装应用时自动启动验证程序，保障软件合法来源的同时，还确保文件没有被陌生人修改。不幸的是，这些保护措施并非无懈可击，使得长期以来恶意软件总有机会通过系统后门”潜入”智能手机内。 后门 就在去年，安全专家们在安卓系统保护机制内发现了多个漏洞。由于这些漏洞的存在，使得恶意应用能够通过将自身伪装成一款流行并信任的服务，或通过”搭载”合法应用（例如：将自己隐藏在合法软件的安装包内）来潜入智能手机。Master Key和FakeID漏洞广泛存在于大多数流行安卓智能手机内，但与著名的Heartbleed漏洞（安卓智能手机一定程度上也深受其害）相比还稍逊一筹，但问题的关键是如何清除这些漏洞。尽管Google很久以前就发布了一些必要的修复补丁，但问题是这些补丁不是由某几家智能手机和平板电脑厂商发布，就是由移动运营商推出，根本无法覆盖所有使用安卓系统的移动设备。一旦有新补丁发布，用户应立即予以安装和更新。但这些厂商或运营商的更新常常姗姗来迟，有时甚至根本无补丁可打。据统计，存在漏洞的设备数量达数百万部之多。 封堵漏洞 要想独自修复这些漏洞难度相当大，但你能做的就是尽量将设备这方面的风险降到最低。具体步骤如下： 1.查看你的智能手机或平板电脑是否存在类似FakeID、Master Key或Heartbleed这样的漏洞。你可以在Google Play下载卡巴斯基实验室免费扫描软件。除了系统本身漏洞外，你还可以检查已安装应用中是否有利用这些漏洞。 2.如果你的设备的确存在漏洞，检查是否有固件（电话软件）需要升级。大部分安卓供应商都在设置中专门设有”检查更新”部分，但有些情况下你不得不访问厂商的官方网站来获得更新。如果有更新的话，按照指示安装并在设备显示p.1的时候再次检查更新。 漏洞能够让恶意应用”潜入”你的安卓智能手机 – 学习如何修复这一漏洞。 3.如果漏洞依然未能解决的话，你可以自己尝试修复，但过程相当繁琐且不太靠谱，因此不太推荐一般用户这样做。（如果你有足够的勇气并深谙计算机知识，那可以访问xda开发者网站阅读更多有关内容。） 4.不能因为智能手机存在未打补丁的漏洞而舍弃不用，但使用时你必须保持警惕以避免金钱损失和数据丢失： 只使用大型官方应用商店（考虑下Google Play） 只下载高人气和评分的应用 控制应用的权限 使用可靠的安卓安全软件。    

拉斯维加斯 – 上次我们遇见Charlie Miller和Chris Valasek是在卡巴斯基实验室安全分析师峰会上，当时讨论了如何保护汽车免受一系列的攻击（他们正在开发中）。昨天，这个”二人组”在内达华州拉斯维加斯举办的Black Hat安全大会上又一次出现。会上，他们又带来了更广泛的最新研究成果，即针对不同车型的各类共计。 从一开始，来自推特的Miller和IOActive公司的Valasek就致力于打造一款类似于入侵检测系统的反病毒软件，可阻止各种他们自己开发的各种独特攻击，包括：禁用刹车系统、开启全自动倒车系统以及在行驶中让汽车猛地冲向一边等。 更令人感兴趣的是，他们对自己开发的攻击方式还不断进行改进。就在一年前他们首次公布这些研究成果时，所有的攻击方式都基于本地操作。换句话说，Miller和Valasek必须在后排座椅位置用笔记本电脑接入之前”已做过手脚”的丰田普锐斯后才能控制该车的一些功能，使得参与测试的记者则根本无法驾驶失控的汽车。 而现在，Miller和Valasek新开发出的攻击方式则是通过远程操作进行的。他们不再需要将笔记本电脑接入汽车系统，也无需事先在修车厂对汽车做好手脚。此类新型攻击利用了类似蓝牙的无线通信协议中漏洞，通过访问经过车载计算机系统的传输讯息并最终得以完全操控汽车。 “相比于TPMS漏洞利用程序，更多的黑客擅长编写网页漏洞利用程序。许多黑客都会编写恶意应用或使浏览器弹出广告。如果你的刹车或转向装置也在同一个网络的话，那情况就有些糟糕了。” 会上，他们演示的一部分内容是关于不同厂商和车型的安全性讨论，在研究人员发布对奥迪、本田、英菲尼迪、Jeep、道奇和其他品牌车长达95页的检测报告后，我们将为您带来更多的相关报道。 Miller是这样解释问题的关键的，入侵一部汽车虽然可能看起来有些新奇和与众不同，但事实上却与传统的网络入侵并无太多差异。不外乎先找到漏洞，然后再加以利用。但为汽车打补丁比浏览器打补丁要麻烦得多。 Valasek进一步解释道，为汽车打补丁之所以价格高昂，原因在于汽车厂商不仅需要自己花钱制作新补丁，还需要通知客户，让他们依次前往经销商处进行软件更新。 “当漏洞利用程序出现，要修复每一名车主的漏洞将十分困难。”Valasek说道。 #BlackHat安全大会：@0xCharlie和@nudehaberdasher目前#远程入侵汽车并开发类似反病毒软件的保护程序 针对最新车型的可能遭入侵功能可以列出一长串名单；有些比较有趣，有些则让人恐惧。可能将被利用的功能有：全自动倒车系统、主动车道控制、预碰撞系统以及自适应巡航控制，所有这些都需要在传感器和刹车，加速或转向装置之间存在一定级别的通信，通常是通过蓝牙或另一些无线电讯号发送的。网络犯罪分子更”偏爱”的功能还有：被动反盗窃系统、轮胎压力监控系统或远程无钥匙门控。然后，研究人员解释道，后面这些功能的受攻击范围有限，原因在于其中没有太多数据交换或只有近距离才能通信。 由于蓝牙功能、无线电数据系统和telematics系统允许使用蜂窝或Wi-Fi功能，显然扩大了汽车受攻击的范围。随着车内应用和其他网络连接功能的越来越普及，相关情况将变得更加糟糕。 “相比于TPMS漏洞利用程序，更多的黑客擅长编写网页漏洞利用程序。许多黑客都会编写恶意应用或使浏览器弹出广告。如果你的刹车或转向装置也在同一个网络的话，那情况就有些糟糕了。” 请在这里或访问Threatpost继续关注更多有关Black Hat安全大会的报道。

胡扯八道! 你可以不相信我说的，但这可是微软公司和加拿大卡尔顿大学联合研究小组的研究成果，该小组在一份研究报告中称，密码重用不是什么大问题，只是管理大量在线帐户的必要策略而已。乍一看，他们的研究结果似乎在标榜传统智慧。但实际上，研究人员真正想要提倡的是分层密码系统，即共享密码的系统，在此系统中保留最强的密码用于最敏感的帐户，而较弱的密码用于不太重要的帐户。 毫无疑问，为每个在线帐户设置唯一密码是目前最安全的做法。但是，每次登录不同账号都需输入不同密码实在太过繁琐，且难以持久。 研究人员称，密码管理工具也并不是完美无缺的。理由完全可以想得到：因为从本质上说，此类工具只提供唯一的访问点，但同时黑客也可利用这个入口窃取用户的所有密码。 如果我说自己每个在线帐户都用的是不同的密码，那我一定是在撒谎。但是，对于与财务或特殊敏感信息相关的任何帐户，我肯定会推荐用户使用唯一的强密码。至于密码管理工具，它们所提供的保护肯定要比我们大多数人做得好。 此举极大扼制了黑客及试图监视这些传输的不良意图者的行为。 Project Zero Google组建了一支超级安全团队，成员几乎清一色是全球顶级的互联网黑客，宗旨是找出第三方软件中的漏洞，以及互联网中影响客户并最终影响其业务的其他因素。该团队的任务就是发现bug，并向有关供应商进行报告，解决解决问题，并曝光发现结果。该团队被叫做Project Zero。 “我们没有对此项目设置任何条条框框，我们的目标是改进众多用户所依赖的软件的安全性，密切关注攻击者的技术、目标和动机。”Project Zero负责人、曾长期担任谷歌Chrome安全工程师的Chris Evens写道。”我们将采用各种标准方法，例如查找和报告大量漏洞。此外，我们还将在缓解、开发、程序分析方面进行新的研究，研究人员决定研究的其他任何内容都是有价值的投资。” 苹果应用Crypto 本周，苹果公司应用了已经取得巨大成功的Crypto，此软件用于静默加密进出苹果服务器的iCloud.com、mac.com和me.com域的几乎所有电子邮件。此举极大扼制了黑客及试图监视这些传输的不良意图者的行为。 正如Threatpost的编辑Dennis Fisher所述，这堪称一项壮举： “苹果利用TLS加密了自己的电子邮件域名，此举可称得上是一大变革，因为加密是在服务器级别进行的，无需用户在客户端执行任何操作就能提高安全性。众所周知，在桌面上加密电子邮件是一个痛苦的过程，而且只对单封邮件有效。而像苹果这样级别的供应商大规模实施加密，给那些”财力雄厚”的攻击者们当头一棒。利用单封邮件加密来防范某些形式的有针对性监视或攻击，是一种不错的方法，但对于像Yahoo、Google或苹果这样的大型电子邮件提供商来说，加密与其他提供商之间的通信有助于保护大批用户。” 修复补丁 谈到密码管理工具，免不了会提及LastPass，这是一种流行的基于浏览器的密码管理工具，最近此工具修复了若干漏洞。无所不知的黑客能够利用这些漏洞来生成自己的一次性密码，以用于访问受害者的帐户。 Google将改变恶意软件和网络钓鱼网站警告。原先的警告是红底白字，现在整个页面为红色，顶部显示醒目的X。恶意软件警告和网络钓鱼警告都会提醒用户，即将访问的该站点可能尝试在计算机上安装危险的程序，或者有泄露个人信息的风险。 思科公司提供了漏洞补丁，用于修复其无线住宅网关产品中的漏洞；Google发布Chrome安卓版更新，解决了URL欺诈问题。 一周综述#Kaspersky Daily的@TheBrianDonohue #安全头条新闻：

如果你曾听说过诸如”智能家居”或”物联网”这一类的未来概念，我的话可能会让你感到惊讶，因为在目前众多的智能环境中，应用最广泛的非现代汽车莫属。 通常一辆车内置几十个计算机，用于控制刹车、轮胎、车灯、空调及其他部件。当然，汽车厂商也顺应了时代潮流，在新车中加入了各种在线服务功能，从而实现”联网”。因此，你可以通过使用智能手机来远程调节车内空调；在汽车的仪表盘上查看Yelp网站或Google地图；又或者开启自动应急系统，在发生事故时自动呼叫求助并向EMS提供事故GPS坐标。 美国互动广告局（IAB）位于西班牙的一家分支机构在最近的一次调查中发现，此类服务普及度相当高。通过对15家领先汽车品牌（包括：奥迪、宝马、福特、雷克萨斯、欧宝、雷诺和沃尔沃等）新车内”联网”功能的分析，我们发现每一家汽车厂商都或多或少有那么几种联网解决方案。一部分厂商商着重于”车载”解决方案的研发，而另一部分则更关注于智能手机与汽车的集成。宝马品牌领先群雄，总共拥有20款智能手机应用和14款车载应用，从Spotify(音乐播放)到远程汽车诊断，各种功能应有尽有。这一难怪为什么IAB找到卡巴斯基实验室，要求对宝马”联网汽车”进行安全风险评估了。 当然，人们最关心的话题无疑是黑客入侵是否会影响方向盘和刹车，此前已针对其他四个汽车品牌进行过了演示。但就本次研究而言，卡巴斯基的专家们则更关注对联网汽车”标准”功能的滥用问题。在所有这些联网功能中，最吸引人的地方无疑是能在不用钥匙的情况下打开车门，使用装有”My BMW Remote”（宝马远程助理）应用的智能手机即能实现这一功能。 为达到与宝马品牌相称的安全等级，这款应用的开发者们特意设计了双重认证系统，前提是在智能手机上安装”虚拟键盘”。曾接触过银行木马病毒的专家都能轻易发现，网络犯罪分子只需些许花招就能轻松越过此类保护程序。结合网络钓鱼、键盘记录和中间人技术，在加上社交工程，犯罪分子都能越过即使是最复杂的保护机制。在实际操作中，研究者完全可以拦截”受害人”的凭证并在自己的智能手机上安装同样的键盘应用，从而在车主毫不知情的情况下轻松打开车门。 如果你的车能通过智能手机打开，反之犯罪分子也能使用与银行木马病毒类似的技术偷车。 “联网车主可能会面临众多的风险：从密码被盗到地理位置被定位，均会导致非法远程控制甚至直接打开车门。针对计算机世界的威胁可能将波及整个汽车行业，而新一代车主们必须考虑到这些存在的风险”， –卡巴斯基实验室首席安全研究员Vicente Diaz说道。

本周要闻：10年前，首个已知的将移动设备作为目标的蠕虫病毒出现。另外，我们还将报道最新的安卓安全与隐私新闻以及几则泄露敏感用户信息的数据外泄新闻。当然，我们还将一如既往地为您提供有用的补丁信息。下面请见详细内容： 首个手机蠕虫病毒 10年前的这个星期，史上首个手机恶意软件出现在了诺基亚的塞班操作平台（现在几乎绝迹了）。已被大多数人所熟知的’Cabir’和如今的恶意软件样本完全不同，并非是在网上被精密的检测系统网络所发现。毫不夸张地说，当年’Cabir’可是被”一手交给”当时还略显年轻的卡巴斯基实验室的。 首个手机蠕虫病毒 在当年，恶意软件尚处在”纯真年代”，且相对来说Cabir是一种相当简单的蠕虫病毒。Cabir通过蓝牙传播，而在当时那个年代，蓝牙尚属于新鲜事物，而现在则再普遍不过了。Cabir最奇怪的地方是它除了向附近的手机散播外几乎没有任何危害，只是用户在每次打开手机后，其蓝牙功能会自动开启并在手机屏幕上显示”Caribe”字样。不知道你是否还记得，卡巴斯基实验室曾在一台诺基亚N-Gage手机上测出过这一蠕虫病毒。幸运的是，如果你对它还有所好奇的话，我们将所有感染过Cabir的手机型号做成一个幻灯片，供您观看。 安卓新闻 就在昨天，美国政府官员宣布Google和微软将在其各自的安卓和Windows手机操作系统中植入’终止开关’（kill switch）功能。你可能会感到奇怪，为什么是政府官员而不是Google或微软的官员发布这一声明。其个中原因不言而明，因为近几年手机盗窃案件呈现惊人的上升趋势。不幸的是，这些犯罪案件通常伴随着暴力行为，并导致受害人受伤甚至失去生命。 相关研究结果显示在苹果推出”启动锁”（ Activation Lock）功能的这段时间里，iPhone手机盗窃案件呈稳定的下降趋势。 由政府官员和执法人员组成的一个国际团体认为，与智能手机有关的犯罪暴利已然成为了一个普遍性的问题，因此他们发起了一项”拯救我们的智能手机”（S.O.S.）的倡议。S.O.S.倡议旨在说服微软和Google在其各自手机操作系统中安装防盗功能，使得手机一旦被盗后即无法再使用。当然，苹果已在其最新手机操作系统版本中加入了”启动锁”功能，使得盗窃者在没有正确的iCloud用户名和密码的情况下，根本无法解锁手机。 相关研究结果表明在苹果推出”启动锁”功能的这段时间里，iPhone手机盗窃案件数量稳定下降。而在同一时间内，将缺少’终止开关’功能的设备作为目标的盗窃案件则继续呈显著的上升趋势。昨天所发布的声明将意味着在接下来的几个月内，美国97%智能手机的最新操作系统版本将拥有’终止开关’功能。 数据外泄…又一次 本周”仅”发生了两起数据外泄事件：其中一起事件影响了约60万名的多米诺匹萨顾客–大部分在法国，还有一部分在比利时；另一起事件则与AT&T有关，影响了数量未知的移动运营商客户。本次AT&T事件使得该公司移动用户的生日和社会保险号遭到外泄。在多米诺匹萨的资料外泄事件中，客户的姓名、地址、电话号码、email地址、密码、交货说明甚至是最喜欢的匹萨馅料也惨遭泄露。有趣的是，在本次多米诺匹萨事件中，一支黑客小组宣称对此次攻击负责，并索要3万欧元的赎金以换取在本次攻击中所收集到的信息。多米诺匹萨公司官员表示在本次攻击中没有任何财务信息遭到外泄。他们已修复了导致外泄的bug并无意支付任何赎金。 补丁 最后但依然非常重要，目前十分流行的路由器品牌Belkin为其N150无线路由器内存在的一个严重漏洞打了补丁。这一bug能够使攻击者在受感染的路由器上访问任何系统文件，因此可能导致大量恶意行为。如果你正在使用该品牌的路由器，我们建议你尽快安装固件更新，但安装过程其实并不简单。首先，你必须访问Belkin N150网站并下载这一固件的最新版本。随后你必须登录你的路由器并上载全新固件。这里，我们有一篇关于如何安装路由器固件的通用说明文章。 其他新闻 美国联邦贸易委员会呼吁黑客们参加DEF CON黑客会议，共同开发能够成功引诱并识别进行非法robocalling（垃圾电话呼叫）欺诈的犯罪分子的技术。在Threatpost阅读更多内容。

推特暂停了其TweetDeck应用的服务，起因是出现了一个严重的跨站脚本漏洞，并被攻击者大规模地加以利用。 据Mike Mimoso在Threatpost博客称，跨站脚本漏洞使得攻击者能够将代码注入网页或基于网页的服务，并由用户浏览器自动执行。网络黑客一旦成功执行跨站脚本攻击，即可远程注入代码，导致数据丢失或服务中断。 TweetDeck出现严重漏洞，用户应尽快撤销访问。 特别在TweetDeck的案例中，攻击者能够借用用户账户，发推、删除推文或破坏账户。漏洞利用代码可以在整个早上不停地发推，并成百上千次地自动转推。 “这一漏洞尤其能够在浏览器中将代码作为消息发推，只要你查看了这一消息，各种各样的跨站脚本攻击将自动运行，” Rapid7全球安全战略家Trey Ford告诉Threatpost博客。”我们目前看到的攻击是一种’蠕虫’病毒，能够通过创建恶意消息进行自我复制。它似乎主要影响用户Google Chrome浏览器的Tweetdeck插件。” 如果你使用TweetDeck，我们建议你尽快登录推特账户并撤销访问TweetDeck。 观看视频将告诉你如何进行正确的操作，只是你需要假装这一iOS 5应用是TweetDeck，因为在视频制作过程中使用了虚拟的账户，事实上并没有安装TweetDeck。

苹果于最近发布了针对IOS 6和IOS 7系统的紧急更新。其中含有的修复补丁值得更新，且越快越好。 据苹果公司称：”一名享有特权网络位置的攻击者可能会窃取或修改受SSL/TLS保护的会话资料。” 这使得苹果公司迅速发布了紧急更新。简单地说，就是当您在公共Wi-Fi网络下使用网上银行、Gmail或用Facebook聊天时，周围的网络犯罪高手能够读取和修改您的资料，就算看到Safari显示您的会话正在被加密保护的小锁，也同样会受到攻击。不得不提到的是，该漏洞几乎能够对任何应用程序造成影响，而不仅仅是网页浏览器。难怪苹果公司如此迅速地发布该更新。 专家称，最近针对IOS的更新修复了一个严重的加密漏洞，但MacOS依然易受攻击。 安全社区花费了整个周末的时间试图找出漏洞的本质。并进行了技术分析，但最重要的发现是MacOS也受到了影响。苹果至今还未发布MacOS补丁，但我们期待很快就能看到。 我们该做些什么： -使用可靠和非公共网络（例如：家庭网络）对IOS 6和IOS 7系统的iPhone、ipod和ipad进行更新。 -避免任何敏感操作，例如：在更新您的iOS设备之前使用网上银行。 – MacOS设备同样也在等待更新中。如果使用已发布的第三方更新则可能存在风险。 -如果您确实需要在设备上使用网上银行，应仅使用最可靠的网络，同时采取其他保护措施—例如使用谷歌浏览器、虚拟私人网络和可靠的反病毒软件。