国内外简报industry briefing

国内外信息安全简报2018年第十四周

恒安嘉新

本周共收集整理国内外安全信息10例,具体如下:

1.     斯诺登称公共账本是比特币最大缺陷

2013年曝光了美国国家安全局(NSA)大规模监听计划的斯诺登,在近期Blockstack活动上表示,比特币的核心缺陷可能不在于其交易速率限制,而在于其公共账本。斯诺登通过网络摄像头向观众讲话时,  第一次向听众介绍了他对新兴技术的详细观点。尽管同意比特币将会持续很长一段时间,但斯诺登表示他不相信“比特币将永远持续下去”。“每个人都将注意力集中在比特币的交易速度限制上,这是它的主要缺陷,但只是其一,”他补充说,“实际上,”更大的结构性缺陷、长期的缺陷,是公共账本。 “。(详情链接

2.     互联网科技公司内鬼盗取100个比特币 或面临严惩

海淀区某互联网科技公司员工仲某利用职务便利,通过使用管理员权限插入代码以修改公司服务器内应用程序的方式,盗取该公司100个比特币,价值数百万元,后被北京市公安局海淀分局抓获。近日,海淀检察院以涉嫌非法获取计算机信息系统数据罪对犯罪嫌疑人仲某批准逮捕。本案系北京市首例比特币被盗案件,虽然难以从法律角度对比特币价值进行定性,但如果超越权限,非法对计算机信息系统功能进行修改,造成维修等经济损失,也同样会触犯法律。(详情链接

3.     iOS 11相机BUG,恐让用户误入恶意网站

iOS从正式版发布到现在已经经历了好几个小版本的更新,主要还是在BUG修复和增强稳定性上。但最近,有安全机构发现了iOS 11中一个新的可被利用的漏洞,容易让用户误入恶意网站,那就是相机。苹果在iOS 11中增加了一个新的功能,用相机直接扫描二维码就能够直接跳转应用或者用Safari浏览器打开对应的链接,这的确让一些场景变得更加方便。但用户在打开链接之前并不能确认是否安全,甚至容易被误导。(详情链接

4.     央视曝光偷密码的“万能钥匙”,9亿人个人信息存风险

在3月28日晚,央视财经频道《经济半小时》节目主题为偷密码的“万能钥匙”,曝光了WIFI万能钥匙和WIFI钥匙两款WIFI共享类软件,涉嫌窃取用户隐私及WIFI密码。但是你是否想过为何WIFI万能钥匙会有那么那么多加密WIFI的密码信息?全部都是用户主动共享出来的?我相信每个人都希望能够免费连接到别人家的WIFI,但绝对不会有人会希望别人能够随便连接到自家的WIFI。这一类WIFI共享软件,看起来是免费使用,但其实仔细想来,用户所付出的代价却不是用金钱来衡量的。用自己的个人信息和WIFI信息去交换其他的WIFI密码,这笔交易并不见得划算。而在平台服务器保存大量的用户或者机构的WIFI密码之后,却将大量的公司、单位置于潜在风险当中,而用户个人信息也面临泄漏的风险。(详情链接

5.     【安全预警】关于Drupal core远程代码执行漏洞

近期,互联网爆出Drupalcore远程代码执行漏洞(CVE-2018-7600)。综合利用上述漏洞,攻击者可实现远程代码执行攻击。目前,漏洞利用代码尚未公开。该漏洞危害程度为高危(High)。(详情链接

6.     微软发布KB4100480:进一步缓解Meltdown漏洞

微软近期面向Windows 7和Windows Server 2008 R2发布了更新KB4100480,进一步修复今年1月份曝光的Meltdown漏洞。在的公开文档中,微软表示这是非常重要的安全更新,虽然目前没有任何证据表明已经有黑客利用这两个漏洞,但还是推荐用户尽快升级部署。(详情链接

7.     恶意软件“HiddenMiner”利用被感染的安卓手机CPU挖掘门罗币

趋势科技在本周三表示,他们的研究团队发现了一款新型的Android恶意软件,被设计用于利用受感染设备的CPU计算能力来挖掘门罗币。根据研究人员的说法,这款名为“HiddenMiner(由趋势科技检测为ANDROIDOS_HIDDENMINER)”的恶意软件是在第三方应用商店发现的,大部分受害者都位于中国和印度。在进一步的调查中研究人员还发现了与HiddenMiner相关联的采矿池和钱包地址。根据数据显示,HiddenMiner背后的运营团队目前已经挖掘到了26枚硬币(约价值5400美元)。(详情链接

8.     警惕!这些医疗设备易被黑客攻击,变成“索命工具”

医院是挽救生命的地方,但是当医院的医疗设备和互联网受到黑客攻击时,这些原本救人的设备就变成了“索命工具”。据《每日邮报》报道,英国皇家工程院发出警告,医院和家中的互联网设备都容易受到黑客入侵,并让患者的生命处于危险之中。目前,英国尚且没有足够安全措施让医疗机构免受网络攻击。英国皇家工程院的报告指出,越来越多的医疗设备存在被黑客攻击的潜在风险。通过互联网干扰核磁共振成像扫描仪可让机器给出错误或相反结果,进而得到错误诊断结果,影响治疗。当药泵受到黑客攻击时,患者用药量会发生改变,甚至被给予致命剂量。(详情链接

9.     1.5 亿用户数据被泄露 Under Armour:不涉及敏感信息

本周四,美国著名运动装备品牌 Under Armour 称有 1.5 亿 MyFitnessPal 用户数据在上个月被泄露了,MyFitnessPal 是一款 Under Armour 旗下的食物和营养主题应用。此次关于用户数据泄露的声明使得该公司的股票价格下跌了 2.4%。据该公司称,此次数据泄露事件影响到的用户数据包括用户名、邮箱地址、和加密的密码。Under Armour 表示,该数据泄露事件并没有涉及到用户的社会安全号码(Social Security numbers)、驾驶证号、和银行卡号等隐私信息。该运动装备制造商称,是在 3 月 25 日才发现的此次数据泄露事件,并从那时就开始通知受影响用户。(详情链接

10.  安德玛运动品牌1.5亿用户数据泄露

美国功能性运动品牌 Under Armour (安德玛)3月25日发现,其为健身爱好者提供的手机应用 MyFitnessPal于2018年2月遭遇大规模数据泄露事件,1.5亿用户账号受影响,这可能是本年度最大规模的数据泄露事件。自披露后 Under Armour 股价下跌了3.8%。(详情链接