文摘

在开始本周新一期的《安全周报》之前，我想先说几条与信息安全无关的新闻。大众柴油车被发现污染物排放远超测试中显示的数值。

“在1997年8月29日，全球有30亿人幸运地存活了下来。在经历核打击后幸存下来的人们将这场战争称作’末日审判’。而他们又不得不面对另一场噩梦：与机器人的战争。” 好吧，这只是电影中的情节。回想1997年，全球首个Wi-Fi规格（802.11b）被标准化；史蒂夫•乔布斯重返苹果公司；PNG图片格式文件被发明；”深蓝”战胜世界国际象棋冠军。但”末日审判”却从未发生过。机器人并未进化得足以来拉开类末日的序幕。真正的人工智能依然不足以摧毁整个人类文明，但这并不能掩盖过去18年中这一领域中发生的技术变革。 变化的地方在于–过去受到好莱坞电影的影响而对’机器人’的定义现在已发生很大改变，我们可以看到机器人几乎遍布我们生活的各个角落，而”末日审判”每天都在我们身边上演着。这并未是由于机器人的自由意志造成，而是生产商的错误所导致。 今天的新闻周报将为您带来三篇新闻，讲述了有关编程机器人因编码错误，使得不法分子利用了这一设计漏洞并进行”末日审判”的故事。称其为”世界末日”倒还不至于，但仍然极具危险性，这好比是一种代码珊瑚，我再重复一遍，代码珊瑚，稍带点南瓜色。一如往常，我们《安全周报》的编辑原则是：每周Threatpost团队都会精心摘选三条当周要闻，并加上本人的辛辣评论。可以在这里找到过去所有期的周报。 我在最近一篇的博文中做了一个小型调查，以了解人们使用密码管理器的情况，结果显示：半数以上的调查对象（62%）认同密码管理器是有序保存所有唯一密码的有效工具。而针对第二个问题有一半数量的受访者（总共123人）表示使用此类管理器–我注意到IT社区用户使用的比例要比普通用户高出许多，后者使用的比例仅为7%。 通过修改固件对思科路由器植入永久后门 新闻。FireEye研究。 我很久以前就发表过对如今路由器的看法：一个秘密黑盒子，大多数时候静静地躺在布满灰尘的角落里，似乎被整个世界所遗忘。无论是家里用的还是工业路由器均面临着这样的处境。研究人员发现，目前至少可以在三个型号的思科路由器上安装后门。考虑到人们对于路由器的重视程度，未来相当长一段时间将不会有很多人关注到这一消息。 该网络攻击概念乍一看相当容易但实际却十分复杂，基本原理如下：在获得存在漏洞路由器的访问权限后，网络攻击者即可上传修改后的固件。而一旦遭到攻击的路由器能远程访问各联网设备，他们就能安装插件以实施进一步的病毒感染。 事实上，情况并没有那么糟糕。来自FireEye的研究专家们仅在三个路由器型号内发现了漏洞：思科1841、2811和3825。据我所知，这三个型号年代久远，思科公司将很快不再提供任何技术方面的支持。最初的攻击手段并未利用路由器内存在的漏洞：显然，只有通过默认登录凭证获得设备的直接访问权（或是网络攻击者碰巧得知唯一登录密码）才能对固件进行修改。 如果这样做可行的话，势必将变成一个巨大漏洞，从而为企业安全带来巨大的灾难。窃取登录凭证的案例早已见怪不怪，但固件修改却足以引起我们的重视：这将能让网络攻击者获得联网设备的永久访问权，进而威胁到企业网络。因此，在信息安全领域不要相信任何人，这是最起码的底线。顺便提下，受病毒感染路由器（至少在IPv4部分）的总数并未超过几十个。 AirDrop数据交换系统存在的严重漏洞 新闻。 我说到哪儿了…对，机器人的崛起。在《终结者2》的虚构世界中（请忽视《终结者3》及随后系列），创造机器人的人类最终却遭到机器人的激烈反抗。建造机器人的初衷是为了让人类（军队）生活变得更加便利。这些机器人被用来攻击世界地图上的任何目标以及对抗网络攻击等。 其中的虚构情节尽管浅显易懂，但现在却已实实在在地在现实生活中发生。长期以来，人类管理联网设备、连接网络或交换信息都只需一个按键即可完成。就好像用户问个问题（或在问问题之前），答案就已经编好程序并准备好了。 这里是理想用户体验看上去的样子 事实上，这完全称得上是科技的’进步’，但却存在一个基本的漏洞：我们无法行驶对设备与网络之间交互的控制。就拿AirDrop的出色功能举例。它自身能解决无数的问题：用户不再需要考虑是否”配对”、”连接访问点”或”授权”，唯一需要做的就是选择临近被访地址并发送数据。在这样一个过于完美的连接模式中肯定能发现漏洞。 澳大利亚研究专家Mike Dowd演示了借助AirDrop在受害人设备上远程重写数据的网络攻击方法。网络攻击者只需将’精心制作’的链接发送到移动设备（或Mac OS X电脑）上。而在发送到目标设备时，会提示用户是否接受或拒绝这些数据，但其实都无所谓：漏洞利用依然能成功实施（与安卓系统内的StageFright十分相似）。 但也有一定限制条件：用户可以在AirDrop中选择是否接受发自所有临近设备的数据。但为了方便起见，甚至在锁住设备中都能接收。因此，一旦网络攻击者能物理访问受害人手机，哪怕只是几秒钟，就能成功完成接收。如此，犯罪分子就可在受害人iPhone手机上远程安装各种应用程序。当然，这些偷偷安装的恶意应用尽管能获得基本的权限，但刚开始还无法窃取任何有价值信息或资金。而要想达到窃取资金和信息的目的，则需要借助其它的漏洞利用工具，但通常目标针对的是越狱设备。 在iOS 9版本中已修复了这一bug。 CoinVault恶意软件编写者遭逮捕 新闻。卡巴斯基实验室研究。包括无赎金解密理念在内的更多CoinVault研究内容。 尽管机器人的智能水平不足以执行这些恶意行为，但网络犯罪分子却能代而为之。让我们感到惊愕的是，真正抓捕到’黑客入侵’背后不法分子的案例却几乎鲜有闻之。就拿上面我们讨论的内容举例：研究专家们发现了带有后门的修改路由器固件。但背后真正谁人实施及真正动机何在？没人知道。 有时候，在互联网上使用匿名技术常常会让执法机构无所适从，徒劳无获。勒索软件就是其中最有代表性的例子。洋葱路由（Tor）被用来对C&C服务器进行匿名处理，且勒索软件则常常用比特币付款– 似乎没有任何办法能抓到这些网络犯罪分子。 而上述标题着实让我们欢欣鼓舞，因为好人终于胜利了。据报道，有两名年轻人因编写CoinVault

仅仅在23年以前，微软只是刚刚发布了Windows 3.1系统，而苹果正推出其第一代PDA（掌上电脑），而Linus Torvalds则在GNU许可证下发布了Linux操作系统。在同一时期，尤金•卡巴斯基也出版了一本书，上面详细介绍了那个时代所有已知的计算机病毒以及清除病毒的方法，其中—这些病毒程序都被称为-V。当时的网络威胁并不是像现在那么严重：一本小册子就能覆盖当时所有病毒的介绍，甚至在随后的20年里情况也并未太过糟糕。 The Complete Сatalogue of Malware, written by Eugene Kaspersky in 1992 《恶意软件完整产品目录》，尤金·卡巴斯基编写于1992年 而那个”天真纯洁”的时代早已一去不复返。现在，每天出现的新型恶意软件数量就多达32.5万。同时几乎每个星期，整个互联网行业都会面临系统安全问题的新考验—从汽车和滑雪板到核电厂，几乎遍及各个领域。这是最好的时代，也是最坏的时代：如今，随着越来越多的人开始重视他们依赖于计算机的数据、企业和个人生活的安全性，整个互联网世界才有可能变得更加安全。 而现在，即便你放松地躺在椅子上的时候，也能了解互联网安全的最新动态。每周一，我们都将为您带来上周发生的三条最重要的安全行业新闻，同时还有从各个网站收集的辛辣评论。这些新闻无一例外都精选自Threatpost和卡巴基斯官方。 Stagefright：还未造成任何改变的安卓漏洞 Threatpost新闻。Google反馈。CERT Advisory。Kaspersky Daily对于如何预防Stagefright感染的建议。 Wired将其称为”迄今为止发现的最严重安卓系统漏洞“之一，但这样的表述并不完全正确：因为它还要更糟。这一漏洞与Heartbleed和Shellshock的主要差别在于：我们不必为Stagefright想一个唬人的名字，Stagefright是安卓系统音频和视频播放的引擎，也是安卓开源项目的一部分。从技术上讲，Stagefright其实是一整套漏洞（来自Zimperium的研究专家发现了留在CVE基地的7个ID），主要与缓冲区溢出有关。 这一多媒体引擎的任务是回放各种音频和视频，正如ZDNet提到的，某种程度上Stagefright的独特功能可实现”你还在考虑是否观看某个视频之前”，它就已经准备好播放了。出于某些神秘的原因，有时所有这些任务都是在”上帝”访问权限级别下执行。但事实上，其中的原因并不神秘：只是这样更容易编码，仅此而已。尽管如此，Stagefright也非常容易脱离安卓沙盒，因此也易于遭受漏洞利用。 最终，我们有了一个出色的概念证明：向手机发送MMS（多媒体短信）–然后一切都一目了然。你甚至无需打开”载入的”MMS：手机会自动帮你打开，因为其编码方式考虑到了为用户的便利性。是不是就没有任何办法了呢？并不尽然。首先，在安卓4.1及以上版本中有一项地址空间布局随机化技术，可防止手机自动打开，或至少部分”解决了问题”。 其次，通过遵循负责任的漏洞披露规则，Zimperium成功阻止了漏洞利用代码。尽管如此，得益于已发布的补丁，所有问题都迎刃而解。 Google的反应则相当有趣。我们从安卓官方博客发布的相关博文中摘录了一小段：”一切都没问题。我们的沙盒棒极了。只有0.15%的安卓设备内存在恶意应用（后面跟着许多星号、细则和条款）。为了确保安全万无一失，Nexus设备需要每个月都进行安全升级。” ‘纵然Nexus设备安全无忧，那安卓智能手机和平板电脑又该如何是好呢？Google的举措无助于解决安卓非一致性问题-新设备常常延迟无法第一时间升级至最新操作系统版本，而更老的硬件则根本无法升级更新。 好在像HTC、三星、索尼和LG这样开发商已宣布，将比以往更频繁地升级他们的智能手机和平板电脑。尽管许多问题依然悬而未决，但我们可以明确的是一些电子设备的系统将进行升级更新。如果我们继续努力下去的话，可能终有一天所有问题都会得到解决。 但无论如何，这都是一个好的迹象。迟早有一天，安卓也会拥有自己的一套升级机制，就像微软的’周二补丁日’一样。正如一年前安卓首席安全工程师Adrian Ludwig在Google总部说的，Google在安全领域做的相当出色，只需再对Google