adv

致长期以来一直关注solidot的海内外朋友,请点击这里查看。
安全
lx1(25847)
发表于2019年04月12日 14时30分 星期五
来自
两名安全研究人员披露了 Wi-Fi WPA3 标准中的一组漏洞,这组漏洞被命名为 Dragonblood。攻击者可利用这些漏洞在受害者网络范围内获取 Wi-Fi 密码和渗透进网络。Dragonblood 由五个漏洞构成,包括一个拒绝访问攻击,两个降级攻击和两个侧通道信息泄露。后四个漏洞都利用了 WPA3 标准 Dragonfly 密钥交换机制中的设计缺陷,可用于获取用户密码。
安全
lx1(25847)
发表于2019年04月10日 21时13分 星期三
来自
去年 10 月,安全公司报告,2017 年 8 月沙特石化工厂遭到的网络攻击与一家俄罗斯研究机构有关。攻击者使用的恶意程序设计关闭生产流程或让 SIS 控制的机器工作在不安全的状态下。安全公司将这个恶意程序命名为 Triton 或 Trisis。攻击者入侵了施耐德公司保护设备安全运转的工业控制器 Triconex,该型号的控制器被全世界 1.8 万家工厂使用,其中包括核处理设施。现在,FireEye 的研究人员披露了利用相同恶意程序框架对另一个不同的关键基础设施地点发动的攻击。类似针对沙特工厂的攻击,攻击者主要将资源集中在工厂的运营技术方面。在目标网络获得立足之地之后,攻击者使用的大部分工具都主要用于网络侦察。一旦访问到控制器之后,攻击者开始集中精力在维持控制上。新发现的定制工具展示了攻击者对工业设施运营安全的兴趣。
安全
lx1(25847)
发表于2019年04月10日 15时31分 星期三
来自
Palo Alto Networks 的研究人员报告了物联网僵尸网络 Mirai 的新变种,它加入了四种处理器 Altera Nios II、OpenRISC、Tensilica Xtensa 和 Xilinx MicroBlaze,这些处理器被广泛用于嵌入式系统,包括路由器、网络传感器、基带无线电和数字信号处理器。新变种还修改了用于通信的加密算法,以及新版的 TCP SYN 拒绝服务攻击。研究人员是在 Digital Ocean 位于荷兰数据中心的一台服务器上发现新变种的,该服务器还托管了利用 D-Link、Netgear、Huawei、Realtek、以及中国开发的 ThinkPHP Web server 框架漏洞的版本。
安全
WinterIsComing(31822)
发表于2019年04月10日 12时59分 星期三
来自
安全研究人员在官方的 RubyGems 库发现了后门版本的网站开发工具 bootstrap-sass。该工具的下载量高达 2800 万次,但这并不意味着下载的所有版本都存在后门,受影响的版本是 v3.2.0.3,研究人员呼吁用户尽可能快的更新,认为可能有数千应用受到影响。研究人员推测,黑客入侵了开发者的机器或窃取了开发者的凭证,然后通过开发者账号简单上传了一个后门版本。该后门允许攻击者远程执行代码。此类的供应链攻击正成为一个日益增长的危险。
安全
lx1(25847)
发表于2019年04月09日 21时12分 星期二
来自
一名英国学生在色情网站打广告,广告包含了恶意工具 Angler。当成人网站的用户点击广告,Angler 会触发下载,在受害者的计算机上寻找漏洞然后控制计算机进行勒索。它会展示一个全屏广告,代表 FBI 或其它执法机关,指控受害者违反了法律,将面临最高三年的徒刑,除非支付 100 英镑或 200 美元的赎金。利用这种方法,英国学生 Zain Qaiser 勒索到了 大约 70 万英镑,他被法庭判处了六年五个月徒刑
安全
lx1(25847)
发表于2019年04月09日 16时10分 星期二
来自
Security without Borders 的安全研究人员曝光了一个资金充足的移动手机监视行动,他们相信恶意程序是出售给执法机关或政府的合法监视软件。该恶意程序被称为 Exodus,至少开发了五年时间,通过伪装成合法服务应用的方式进行扩散。感染恶意程序的手机数据不多,大约在数百左右。Exodus 的感染分成了三个阶段,第一个阶段是收集设备的识别信息,第二个阶段包含了大量先进监视功能,第三个阶段则尝试获得 root 权限,执行大量的监视,包括提取应用安装列表,利用内置麦克风录音,提取日历应用事件,提取呼叫日志,使用摄像头拍照,提取 Gmail 信息,等等。它的 iOS 版本使用企业开发者证书安装在设备上,在研究人员向苹果举报之后,证书已经被吊销。
安全
lx1(25847)
发表于2019年04月08日 17时24分 星期一
来自
因为未加密或配置错误的 MongoDB数据库和 ElasticSearch 服务器,中国公司泄漏了 5.9 亿简历。安全研究员 Sanyam Jain 仅在上个月就报告了 7 次数据外泄。他发现了一台 ElasticSearch 服务器包含了 3300 万用户简历。在报告给中国国家计算机应急响应小组四天后服务器才加了安全保护。另一台 ElasticSearch 服务器包含了 8480 万简历,同样是在举报给计算机应急响应小组之后下线的。他总共发现暴露的简历数量高达 5.90497 亿,许多简历包含了敏感的个人数据如电话号码、家庭住址,家庭和婚姻状况,某些还有身份证。
安全
lx1(25847)
发表于2019年04月05日 23时33分 星期五
来自
过去三个月,黑客组织利用友讯科技等公司路由器固件的已知漏洞,悄悄修改路由器的 DNS 设置,在用户访问合法网站时返回会错误的 IP 地址,将其重定向到钓鱼网站,窃取登陆凭证。受影响的路由器型号包括 D-Link DSL-2640B、D-Link DSL-2740R、D-Link DSL-2780B、D-Link DSL-526B、ARG-W4 ADSL、DSLink 260E,以及 Secutech 和 TOTOLINK 路由器。安全研究人员 Troy Mursch 观察到了三波攻击,分别发生在 2018 年 12 月,2019 年 2 月初和 2019 年 3 月下旬。
安全
lx1(25847)
发表于2019年04月04日 19时43分 星期四
来自
广泛使用的 Web server 软件 Apache 修复了一个本地提权漏洞,该漏洞允许拥有有限权限的用户或软件获得 Web server 的 root 权限。受该漏洞影响最大的是提供共享实例的 Web 托管商。Web 托管商的一台服务器通常会提供给多个网站使用,而此类服务器一般会阻止一个网站的管理员访问另一个网站,或访问机器的敏感设置。安全研究人员报告,编号为 CVE-2019-0211 的漏洞允许用户获得服务器的完整访问权限,就像 Web 托管商那样。受影响的版本号为 Apache v2.4.17 到 2.4.38。
安全
lx1(25847)
发表于2019年04月03日 12时52分 星期三
来自
波音推迟了 737 Max 软件修正,“我们正在努力证明我们已找出并且适当处理的所有认证要求,未来几周内一旦完成将会提交FAA审核,我们将以全面和系统性的做法进行软件升级的开发与测试,以便确保我们有足够时间把它做对。”FAA 发言人在一份声明中表示,“当前对 737 MAX 飞行控制系统进行审查后,波音需要更多时间进行额外工作,以确保找出并处理所有相关问题。”波音表示,防失速系统将仅会在感测到问题时迫使机头下压一次,给予飞机驾驶员更大的操控权。据信该机型至少在印尼的坠机事故原因就是防失速系统多次迫使机头朝下所致。
安全
lx1(25847)
发表于2019年04月02日 17时00分 星期二
来自
WordPress 主题供应商 Pipdig 被发现利用客户的服务器对竞争对手的网站发动 DDoS 攻击。安全研究人员分析了它的代码,找到了 DDoS 攻击的确凿证据。但 Pipdig 官方博客发表了一份义正言辞的声明,否认发动 DDoS 攻击,声称相关代码是用来检查主题的许可密钥。它还迅速从其 bitbucket 库里删除了证据,只是有人已经将证据进行了存档
安全
lx1(25847)
发表于2019年04月02日 13时10分 星期二
来自
云服务商 Cloudflare 去年 4 月 1 日宣布了免费 DNS 服务 1.1.1.1,今年的同一天它宣布了 VPN 服务 Warp,用户现在可以通过 Cloudflare 的移动应用 1.1.1.1 注册该服务,它的基本版本是免费的,但也将提供一个付费版本 Warp+。Cloudflare 承诺它不会记录可识别用户身份的日志数据,不会销售用户浏览数据,不需要用户提供任何个人信息如名字、手机号码或电子邮件地址。Warp 使用的是设计替代 TCP 的 QUIC 协议。
安全
lx1(25847)
发表于2019年04月01日 22时31分 星期一
来自
亚马逊 CEO 贝索斯(Jeff Bezos)的一名安全顾问指责沙特阿拉伯侵入他的手机,获取这位世界首富的私人信息。贝索斯的安全负责人德贝克(Gavin de Becker)表示,沙特政府发起了一场针对贝索斯的行动。“我们的调查人员和多名专家以高度信心得出结论认为,沙特方面访问了贝索斯的手机,获取私人信息,”德贝克写道。他表示已将相关证据转交给联邦官员,但没有说明具体是什么证据,也没有进一步详细说明他的说法。德贝克表示,他在调查了《国民问询》以什么手段获得贝索斯和桑切斯(Lauren Sanchez)之间被泄露的短信之后,得出了沙特官方参与的结论。桑切斯是与贝索斯发生婚外情的女性。
安全
lx1(25847)
发表于2019年03月31日 23时22分 星期日
来自
在本周举行的 Black Hat Asia 会议上,安全研究人员演示了利用 Visualization of Internal Signals Architecture (VISA)查看芯片内部工作过程。VISA 是被称为 Trace Hub 的调试接口之一,它本身没有安全漏洞,但将它与其它提权漏洞组合利用,攻击者可以了解芯片组的内部工作,因此这个漏洞主要对想了解内部原理的研究人员和芯片设计师有用
安全
lx1(25847)
发表于2019年03月29日 20时15分 星期五
来自
Google 安全工程师 Matthew Garrett 公开了普联(TP-Link)SR20 智能家庭路由器允许来自本地网络连接的任意命令执行漏洞。他在 90 天前就通知了普联,但至今没有收到任何回应,因此现在正式公开。他公开了 PoC 漏洞利用代码,允许用户在设备上以 root 权限执行任意命令。 Garrett 称,普联的设备调试协议 TP-Link Device Debug Protocol 以前就发现过多个漏洞,其中协议版本 1 不需要密码。他说,SR20 仍然暴露了部分版本 1 的命令,其中一些可作为配置验证。用户只需要发送一个文件名,一个分号和一个参数。路由器收到请求之后会将其导入到 Lua 解释器,以 root 权限运行,并将参数发送到导入文件的 config_test()函数。因为解释器有 root 权限,用户可以执行任意命令。不过由于默认的防火墙防止了网络访问,因此该漏洞只能在本地触发。
安全
lx1(25847)
发表于2019年03月29日 17时15分 星期五
来自
真正的匿名懦夫 写道 "继2016、2017年对特斯拉的研究后,腾讯科恩实验室在其博客公布了对特斯拉 Autopilot 系统的安全研究。研究报告中称,研究人员可欺骗神经网络,使用特定图片令雨刷误动作,并可误导车道保持系统,使汽车驶离车道。此外,研究人员还使用已经被披露的漏洞,获取 Autopilot 的控制权限,并用游戏手柄控制汽车行驶。特斯拉对其研究成果作出了褒贬不一的回应。 "
安全
lx1(25847)
发表于2019年03月29日 16时01分 星期五
来自
韩国 Korea Advanced Institute of Science and Technology Constitution(KAIST)的一组研究人员在 LTE 协议中发现了 36 个新漏洞。这些漏洞允许攻击者破坏基站,屏蔽对设备的传入呼叫,断开用户和移动网络的连接,发送欺骗性的短信,监听和操作数据流量。论文(PDF)预计会在 5 月举行的 IEEE Symposium on Security and Privacy 研讨会上发表。研究人员称他们一共在 LTE 协议中发现了 51 个漏洞,其中有 16 个漏洞已被其他研究团队发现。他们是使用模糊测试技术发现大量漏洞的。KAIST 团队表示,它已经通知了行业组织 3GPP 和 GSMA,以及基带芯片组供应商和网络设备供应商。
安全
lx1(25847)
发表于2019年03月28日 18时54分 星期四
来自
安全研究人员披露,思科 RV320 小型企业路由器允许用户生成证书生成的功能存在命令注入漏洞,研究人员利用流行的命令行工具 cURL 做了漏洞利用的概念验证攻击(PoC)。对于这款旧路由器,思科的工程师采用了最直接的方法去“修复”漏洞:屏蔽包含 cURL 的 User-Agent 的访问。对此,研究人员表示将在不久之后更新 PoC。
微软
lx1(25847)
发表于2019年03月27日 17时31分 星期三
来自
微软披露了华为笔记本电脑 MateBook 自带 PCManager 程序的驱动提权漏洞。华为已经在今年 1 月释出了补丁,如果你的华为笔记本电脑运行了最新版本,那么漏洞已经修复了。Windows version 1809 内置了新的监视功能去跟踪 DOUBLEPULSAR 类型的后门,DOUBLEPULSAR 是 NSA 以及恶意程序广泛使用的技术之一。微软监视到指示 DOUBLEPULSAR 后门的异步过程调用,但进一步的调查没有发现恶意程序,而是华为写的驱动。华为的驱动监视了 PCManager 的一个用户模式服务,如果该服务崩溃或停止运行,驱动将会重启它。为了执行重启,驱动向一个高权 Windows 进程注入代码,然后使用异步过程调用运行代码——这是恶意程序常用的技术。不清楚为什么华为要采用这种方法重启服务,因为 Windows 已经内置了重启崩溃服务的功能。除此之外,微软研究员还观察到驱动存在其它漏洞。
安全
lx1(25847)
发表于2019年03月27日 13时01分 星期三
来自
卡巴斯基研究人员公开了 ShadowHammer 攻击,攻击者通过入侵华硕自动更新工具的服务器,利用自动更新将恶意后门推送到客户计算机。华硕现在宣布了它释出了自动更新工具 ASUS Live Update 的新版本 3.6.8,加入了多个安全验证机制,防止软件自动更新或其它方式进行的任何恶意操纵,实现了一个端对端加密机制,加强了服务器到终端的软件架构,防止未来类似的攻击再次发生。华硕还发布了一个诊断工具,帮助华硕客户诊断是否感染了恶意后门。