脸书

不久前，来自我们全球研究与分析团队的反病毒专家大卫·雅各比（David Jacoby）发现了通过”脸书即时通”（Facebook Messenger）传播的多平台恶意软件。几年前类似的病毒爆发也经常发生，不过最近没有出现；脸书为防止同类袭击做出了许多努力。

如今这个时代，互联网上每天都在上演一场又一场的”电视真人秀”，每个人都不愿错过任何一个”露脸”的机会。我们发布的各种趣图目的是为了娱乐大众，但不知从何时起，我们越来越喜欢发布我们孩子的照片和视频，当然目的也完全相同。

网络钓鱼是一种通过假冒官方电邮或网站旨在窃取个人数据的攻击方式，这些虚假电邮看似发自官方网站–但事实上却并非如此。 例如，用户可能会收到一封无论是标题还是图片均酷似发自Facebook官网的常规消息邮件，唯一区别是该电邮会要求用户重置密码并向用户提供重置密码的登录提示。用户一旦点击提示链接，即会直接转至看似与Facebook官网并无二异的假冒网站，同时还要求用户输入用户名和密码。用户一旦落入陷阱，网络钓鱼者即成功实施了网络钓鱼攻击。 网络钓鱼者之所以屡屡得手，主要利用了人们的信任。Facebook就是一个很好的例子。近些年来，无处不在的社交媒体平台成为了网络钓鱼者普遍利用的一种工具，他们利用Facebook的流行风潮以及人们害怕丢失个人数据的心理– 十足的讽刺– 通过向用户发送看似发自Facebook（事实上并非如此）的虚假重置密码请求以窃取用户个人数据。 绝不要接受任何电邮内的个人信息请求 当然，除了通过假冒Facebook电邮来实施网络钓鱼攻击以外– 网络攻击者还会模仿大型银行和信用卡公司的消息通知格式发送类似的假冒通知邮件，从而达到获取用户资金数据和网银账户的目的。无论是假冒何种网络服务，网络钓鱼攻击的目标总是一致的–那就是利用用户对于知名机构的信任来获取他们的用户名、电邮、密码或PIN码。 目前，有多种方法可免于遭受网络钓鱼攻击。无论是哪一种方法，其核心思想就是永远对个人信息的在线请求保持高度警觉。 1.绝不要接受电邮内的个人信息请求 2.只在安全网站上输入个人信息。如果网址是以’https://‘开头且在浏览器右下角显示”锁”图标的话，你所访问的这个网站就是安全的。点击”锁”图标可以查看网站的安全证书。 3.在请求输入个人信息的电邮内寻找明显的伪造证据– 拼写错误通常就表示电邮是伪造的。如果提示你输入个人数据的网站网址与你期望访问的不一致，则可断定这就是这是一个钓鱼网站。 4.请勿点击请求输入个人信息的链接。而应在浏览器中手动输入网址进入官网。 5.确保你电脑上所安装的反病毒套件拥有防范网络钓鱼的功能。 6.确保你电脑上的网络浏览器、反病毒软件以及所有程序总是升级至最新版本，且打上了最新的安全补丁。 7.一旦发现可疑消息通知，立即向所在银行或社交媒体平台报告。

根据Nielsen公司发布的移动技术状况年度报告显示，来自各个成熟市场的用户有一个共性：在每天玩手机的时间中，有大约40%的时间是花在社交网络和消息传送上。此外，该报告中的数据还显示出人们相比于浏览器更多倾向于使用应用程序：平均每个Facebook用户通过应用程序访问Facebook的时间是通过浏览器访问的10倍之多。 顺便说一下，4/5的Facebook每月活跃用户使用的是移动应用程序，这也从整体上反应了这一情况。因此，无论你有多么地不喜欢Facebook Messenger，不可否认它依然是Facebook公司最重要的应用程序。 而就在昨天，我们得到了一个重大消息，足以让整个移动市场为之一振：扎克伯格官方宣布允许数十款流行应用程序在Facebook Messenger内直接运行。这意味着7亿活跃用户无需退出他们可能使用最多的Facebook Messenger，不仅可以在聊天中加入gif动画和视频，甚至还能直接进行网购以及使用其他各种应用程序。潜在的收益将无法估量。 就这一领域而言，亚洲可谓领先于世界其它地区：亚洲地区流行的所有消息平台均拥有丰富的内置功能，包括：租车、网购、支付和视频点播等等。如果你依然认为昨天Facebook f8大会上的主题演讲将为整个世界带来革命性的变革以及前所未有创新的话，你只需去用一下微信就知道了。 这将使得那些原本已饱受怀疑的第三方应用程序最终演变为：移动设备领域高度专业化的微搜索引擎。这也将Google推到了一个十分微妙的境地，社交网络的竞争唯独缺了Google。在两种移动应用程序之间寻找、复制，然后再转换，最后将需要的内容粘贴，这一操作过程极为不方便。 这将迫使Google花费巨资，追赶研发独立平台的流行风潮。但考虑到安卓在移动操作系统市场的占有率近100%，因此开发出一个能够统领市场的消息平台似乎并不算太难，凭借其强大的研发能力将在硬件和软件两个领域继续保持领先地位。 良性竞争对于用户而言可谓是好消息，如果说再买一部手机的话不仅需要花钱，还要签网络合同和付充电电费，但多装一款即时通信对于他们而言没有任何花销，何乐而不为呢。与此同时，苹果所要做的则是尽可能让客户保持对于他们硬件的热衷：独具创意的营销、时尚风范以及先进的技术。 多年来，人们重复着一个古老的”预言”：软件将吞噬整个世界，但有些人可能忘了软件偶然也会吞噬其它低级别的软件。

今天《纽约时报》撰文报道了一个犯罪团伙如何从不同网站盗取了超过12亿个密码和用户名/邮箱。这似乎听起来是互联网有史以来最大的”密码盗窃案”，但由于相关细节还未公布，因此安全社区更多是持怀疑态度。首先，公众并不知晓底哪些网站成了攻击的目标。其次，也缺少技术方面的细节–几乎所有安全专家都想知道这些被盗密码是否采用了哈希加密。然而，普通用户只想道一件事–那就是现在是否需要采取行动，如果是，则应该采取哪些措施。 主要网络服务提供商并未向用户发出密码更改通知，这可能表示他们并未受到影响或根本就不想对终端用户造成不良后果。然而一家名为Hold Security的公司却公布自己的研究结果，声称受影响最多的是一些小型网站。这些网站通常并没有一套严格的安全程序，用户也无法指望从他们那儿收到数据泄露通知。 确保为每一个账户设置唯一密码，可将危险性降到最低。 本次所报道的”密码盗窃案”将是一个很好的契机，即改革当前混乱不堪的密码政策，转而使用更加安全和系统化的方法。”一旦你所使用的网络服务提供商遭遇黑客入侵，作为消费者你根本无能为力，但可通过为每一个账户设置唯一密码，将危险性降到最低。”英国卡巴斯基实验室高级安全研究员David Emm解释道。 设置唯一密码的安全性远高于其它的一些密码保护措施。用户计算机（例如：使用键盘记录器）或网络服务提供商遭到黑客入侵都有可能造成用户密码被盗。确保网络服务账号与其他重要账户使用的是不同密码。人们通常很难记住一长串字符，因此我们向大家推荐密码管理器。此外，每一个密码必须足够强大（可以用我们免费的密码检查器进行测试）。 密码泄露事件时常发生，使用唯一密码可将危险性降到最低。 对于一些重要账户（银行和Gmail等），我们强烈推荐采取额外的保护措施。这些网站通常都采用双重认证，即使密码被盗也影响不大。

全球黑客和安全领域两个最重量级的会议：Black Hat和DEF CON大会将于下周在内达华州的拉斯维加斯举行。在本周新闻综述，我们将展望这两个会议的同时，对本周发生的新闻进行一番回顾。 黑客大会抢先预览 Black Hat与DEF CON安全大会将于下周召开，我们将首先展望这两个会议来开始我们的本周新闻综述： 卡巴斯基实验室安全专家Vitaly Kamluk的演讲是我们最为期待的，他将在大会上再次提及Absolute Computrace漏洞问题，在之前2月份举办的安全分析师峰会期间我们曾有写到过。 此外，安全研究员Joshua Drake也将展示他所建造的工具，这一工具足以彻底颠覆目前全球对安卓系统安全性的研究。从本质上说，这一工具集中了所有他能找到的各种安卓设备，且各自适合的操作系统稍有不同。他们认为只有通过这样的方式，安全研究员们才能对目前众多的安卓操作系统有一个更加全面的了解。来自Bluebox Security的Jeff Forristal将作另一场有关安卓系统的有趣演讲，他的研究显示数百万台的安卓设备内存在一种关键漏洞，可使恶意应用伪装成受信任的应用，让攻击者能够将恶意代码植入合法应用，甚至直接控制受感染的设备。 而在今年的DEF CON大会上，主办方将举办一场以黑客入侵路由器为主题的比赛。选手们需要入侵SOHO Wi-Fi路由器，比赛规则公布在SOHOpelessly遭到入侵的网站上。参赛选手必须在DEF CON大会举办期间说明并展示他们如何利用零日漏洞来入侵路由器的。届时将向获胜选手颁发奖品，具体奖品类型尚不得知。 全球最大社交网络遭遇麻烦 接下来，我们将一一回顾本周已发生的新闻事件：本周有关Facebook的新闻可以说是喜忧参半。 首先是本周一，来自欧美的一个隐私倡导团体要求Facebook推迟实施全新针对性广告政策。此前，Facebook的广告几乎全部基于用户所钟意的页面。就在上个月，这家社交网络公司发布了一条令人不解的声明，表示他们将赋予用户更多对所见广告的控制权，同时还将开始收集用户更广泛的网络冲浪行为信息。 众多用户团体向美国联邦贸易委员会提出抗议，希望延迟或者完全阻止Facebook进一步采集用户在Facebook域名以外的上网信息。这些团体表示Facebook的这一计划直接反驳了与此前所做出的有关隐私和用户跟踪方面的声明。就在上个月，Facebook还表示”用户将能自主控制网页上所看到的广告”，此前的声明明显欺骗了用户。 破坏性巨大的攻击迫使组织重建整个系统。 据Threatpost报道，在周二，Facebook修复了其安卓应用内的漏洞，这一漏洞能够让攻击者在受害人设备上造成拒绝服务的情况，或通过在设备上传输大量数据导致受害人手机账单飙升。因此，如果你在安卓系统运行Facebook的话，确保安装了最新的更新补丁。 另外，Facebook颇为流行的照片共享服务Instagram的移动版本并未部署完全加密。因此，用户不得不面临暴露浏览行为及会话cookie被窃的风险，这可能最终导致安卓和iOS系统的账户同时被盗。Facebook和Instagram都意识到了这一问题，并表示将修复这一漏洞，但修复的具体时间尚未给出。访问Threatpost和Kaspersky Daily，阅读更多内容。 高级持续性威胁 本周还曝出了中国高级持续威胁（APT）黑客入侵的事件，入侵对象则是曾参与以色列臭名昭著的”铁穹”导弹防御系统开发的国防承包商。据报道，在2011年至2012年期间，他们先后从以色列的三家国防承包商手中盗窃了一种特定型号反弹道导弹的详细原理图、火箭相关信息以及成页成页的其他机械文件。 据报道，另一个中国APT小组也入侵了加拿大一家主要的技术研究组织，最终迫使他们脱机下线。Threatpost的Chris Brook在其文章中写到此次攻击破坏性巨大，最终迫使该组织重建其整个系统。加拿大方面并未表示攻击发生的时间以及被盗资料的信息。

探究本周的新闻主题，包括#安卓#勒索软件、一个严重的@TweetDeck bug等。 本周的新闻内容丰富，安卓系统上出现了史上首个加密勒索软件，短暂存在于TweetDeck的严重漏洞，对苹果即将发布的iOS 8的一睹为快，以及可能会泄露Gmail用户地址的缺陷等等。 安卓加密勒索软件 上周，一些有关一个对安卓设备内容进行加密的勒索软件的报道开始浮出水面。本周，卡巴斯基实验室专家Roman Unuchek对此类中的首个手机恶意软件Pletor进行了说明。 Pletor是在大约一个月前被发现的，并且在这一期间已经传播到了13个国家。该款恶意软件已经感染了超过2,000台机器—主要分布在俄罗斯和乌克兰—另外，在欧洲其他国家和亚洲国家也出现了类似的案例。报道称，受感染高峰时间是在5月22日，整个一天有500台机器被感染。这一木马病毒在地下存在非法交易，售价高达5000美元。 若您的智能手机感染了[Pletor]，我们建议您不要向不法分子付款，”Unuchek说道。”我们见到的所有版本的木马病毒都含有钥匙，可用于解密受影响的文件。” Pletor可感染访问虚假色情网站的设备。木马病毒在这些网站上伪装成观看视频所需的媒体播放器。另外，Pletor正在向游戏和其它安卓应用以及俄罗斯手机论坛蔓延。 “若您的智能手机感染了[Pletor]，我们建议你不要向不法分子付款，”Unuchek说道。”我们见到的所有版本的木马病毒都含有钥匙，可用于解密受影响的文件。” TweetDeck Fiasco 昨天，我们报道了一个存在于TweetDeck的严重安全漏洞。攻击者能够借用用户账户，发推、删除推文或破坏账户。推特非常及时地为这一问题提供了补丁。所以，用户无需担忧。但是，如果你使用该服务的话，如果能更改推特和TweetDeck的密码，则更有安全保障了。如果您遵照我们昨天的建议，撤消了对TweetDeck应用的访问，则重新使用TweetDeck并授权访问您的推特账号应该不会出现什么问题。 有趣的是，昨天出现的TweetDeck问题再次出现，起因是一名澳大利亚少年和本应不该出现在他的Twitter feed上的Unicode heart。访问Threatpost，查看全文。 MAC地址随机化 苹果为果粉们准备了惊喜，在苹果全球开发者大会上揭开了即将发布的iOS 8手机操作系统的真正面纱。此次所发布的iOS 8在原有IOS应用开发环境基础上进行大量的重建，你可以再这里阅读我们对IOS 8看法的完全分析。IOS 8最大的变化苹果决定在接入无线网络时，将媒体访问控制地质随机化。MAC地址是唯一的标识。众所周知，零售商和网络运营商通过追踪MAC地址，了解更多的用户行为。在iOS 8操作系统内，苹果设备在被无线网络扫描时，将生成随机的MAC地址。这一技术举措将悄悄地使零售商无法再追踪店内客户活动和其它行为。 Feedly你在哪儿? 就在昨天，分布式拒绝服务攻击（DDoS）昨天使新闻手机服务应用Feedly及笔记和归档平台Evernote（离线版）陷入瘫痪。Evernote迅速从DDoS攻击中恢复过来，目前用户已经能正常使用了。但不幸的是，截止星期四下午，Feedly依然无法正常运行。 Feedly在星期三下午曾短时间地恢复正常，但其后在受到另一波DDoS攻击后，又很快地陷入瘫痪。 继续注意垃圾邮件 Google在本周早些时候对其服务内的一个非常严重漏洞打了补丁，并封住了一个可能泄露未知数量Gmail用户账户的漏洞。一些报告估计，可能所有账户地址均难以幸免。您可以再Threatpost上了解到此次攻击的技术细节。在未来数天，甚至数周，您应该特别小心垃圾邮件，一旦有人利用了这一bug，Gmail邮箱地址将难以幸免。 其它新闻