安全研究人員發(fā)現中國網(wǎng)貸App漏洞泄露大量個(gè)人信息
2019.08.01 周四
最近有研究人員發(fā)現有大量網(wǎng)貸App泄漏了個(gè)人信息，有幾百萬(wàn)用戶(hù)受影響。來(lái)自SafetyDetective的研究人員Anurag Sen發(fā)現，在網(wǎng)上有一個(gè)達889GB的巨型數據庫，內有超過(guò)460萬(wàn)使用網(wǎng)貸App的裝置信息。包括用戶(hù)個(gè)人聯(lián)絡(luò )數據、財務(wù)信息（包括借貸記錄、風(fēng)險管理數據、交易詳情）、裝置數據報括聯(lián)絡(luò )人列表、短訊記錄、IMEI編號以及容量數據，甚至每次登入時(shí)的地理位置，而且在不斷更新之中，因此如果有意對特定用戶(hù)進(jìn)行監控，甚至可以追蹤實(shí)時(shí)位置。這個(gè)數據庫位于阿里云，未經(jīng)加密公開(kāi)，而研究人員表示阿里云應該沒(méi)有參與或造成這次個(gè)人資料泄漏。
普普評述：
是“被動(dòng)”還是“主動(dòng)”，不得而知。
?
iPhone藍牙流量被指在某些情況下泄露用戶(hù)電話(huà)號碼
2019.08.02 周五
安全研究員表示他們能夠在某些操作中從iPhone 智能手機的藍牙流量中提取用戶(hù)的手機號碼。
該攻擊起作用的地方在于，當啟動(dòng)蘋(píng)果設備上的藍牙時(shí)，設備在全方位發(fā)送 BLE（藍牙低功耗）數據包，廣播設備的位置和多種詳情。
這種行為是蘋(píng)果無(wú)線(xiàn)直連 (AWDL) 協(xié)議的部分行為，該協(xié)議可通過(guò) WiFi 或 BLE 互聯(lián)并允許數據在附近的設備之間進(jìn)行傳輸。
此前的學(xué)術(shù)研究工作指出，AWDL BLE 流量中包含設備識別詳情如電話(huà)狀態(tài)、WiFi 狀態(tài)、OS 版本、緩沖區可用性等。
然而，Hexway公司的安全研究員指出，在某些操作下，這些 BLE 數據包也能夠包含設備電話(huà)號碼的某個(gè) SHA256 哈希。
由于電話(huà)號碼的格式相當嚴格，因此攻擊者可使用預先計算的哈希表來(lái)恢復電話(huà)號碼的其余部分。
普普評述：
當用戶(hù)使用 AirDrop 和其它用戶(hù)分享文件時(shí)、當用戶(hù)電話(huà)嘗試分享 WiFi 密碼時(shí)、或當聯(lián)系人要求用戶(hù)共享 WiFi 密碼時(shí)，包含電話(huà)號碼哈希的 BLE 流量可遭惡意人員捕獲。
?
7層DDoS攻擊圍困某娛樂(lè )公司流服務(wù)器13天
2019.08.03 周六
某娛樂(lè )公司流應用被超 40 萬(wàn)臺設備組成的物聯(lián)網(wǎng) (IoT) 僵尸網(wǎng)絡(luò )圍困 13 天，網(wǎng)絡(luò )及服務(wù)器在大規模分布式拒絕服務(wù) (DDoS) 攻擊下持續宕機。攻擊發(fā)生在 4 月 24 日，峰值時(shí)該流服務(wù)器每秒承受 29 萬(wàn)多個(gè)請求，躋身史上大型應用層 DDoS 攻擊行列。
應用層攻擊即為針對 OSI 七層模型中最頂層的攻擊，亦稱(chēng) 7 層 (Layer7) 攻擊，區別于 DNS 放大等網(wǎng)絡(luò )層攻擊。該攻擊旨在通過(guò)大量 HTTP GET/POST 請求弄崩公司服務(wù)器。發(fā)現該攻擊的 Imperva 安全研究員維塔利 · 西蒙諾維奇 (Vitaly Simonovich) 在報告中稱(chēng)：攻擊者使用了與該娛樂(lè )公司客戶(hù)服務(wù)應用相同的合法用戶(hù)代理 (User-Agent)，屏蔽掉了自身攻擊動(dòng)作。
普普評述：
信息安全任重道遠。
臭名昭著(zhù)的MyDoon計算機蠕蟲(chóng)2019年依舊肆虐
2019.08.04 周日
盡管早在2004年便被發(fā)現，MyDoom在今天仍然活躍，這足以證明其初始破壞性該有多么強大。多年來(lái)，仍有大量的基礎設施受到感染，我們在今天的威脅環(huán)境中仍能繼續看到MyDoom的存在。盡管在惡意郵件當中含有MyDoom病毒的比例相對較小，但這一病毒始終存在。
?
基于對我們所掌握數據的分析，大多數受到MyDoom感染的基礎設施其IP地址大多來(lái)自中國，而美國則緊跟其后。盡管MyDoom病毒全球傳播并指向多個(gè)國家，但中國和美國仍然是兩個(gè)主要接收MyDoom郵件的國家。高科技產(chǎn)業(yè)是其最大攻擊目標。
普普評述：
MyDoom傳播的方法是通過(guò)郵件，因此也會(huì )被惡意這廣泛采用。
移動(dòng)安全威脅
2019.08.05 周一
智能手機、平板電腦和更小的聯(lián)網(wǎng)設備對企業(yè)安全構成了新的風(fēng)險，因為與傳統的工作設備不同，它們通常不能保證及時(shí)和持續的軟件更新,而如今這些因素正成為越來(lái)越大的威脅。
Ponemon 認為，撇開(kāi)攻擊可能性增加不提，移動(dòng)平臺的廣泛使用提高了數據泄露的總體成本，而大量與工作相關(guān)的物聯(lián)網(wǎng)產(chǎn)品只會(huì )導致這一數字進(jìn)一步攀升。根據網(wǎng)絡(luò )安全公司 Raytheon 的說(shuō)法，物聯(lián)網(wǎng)是一扇 “敞開(kāi)的大門(mén)”。該公司贊助的一項研究顯示，82% 的 IT專(zhuān)業(yè)人士預測，不安全的物聯(lián)網(wǎng)設備將會(huì )導致企業(yè)內部的數據泄露——而且這種數據泄露規模和影響很可能是 “災難級的”。
同樣，一項強有力的政策還有很長(cháng)的路要走。有些Android設備確實(shí)可以及時(shí)獲得可靠的持續性更新。在物聯(lián)網(wǎng)領(lǐng)域變得不那么像 “蠻荒西部” 之前，必須由一家公司圍繞它們建立自己的安全網(wǎng)絡(luò )。
普普評述：
移動(dòng)互聯(lián)網(wǎng)的發(fā)展，也帶來(lái)了新的挑戰。
5G下的網(wǎng)絡(luò )安全建設
2019.08.06 周二
隨著(zhù)5G技術(shù)在全球范圍內的逐漸商用和相關(guān)產(chǎn)業(yè)鏈的不斷成熟，5G產(chǎn)業(yè)發(fā)展已成為通信業(yè)、信息產(chǎn)業(yè)、社會(huì )經(jīng)濟乃至全球競爭的重要熱點(diǎn)，在全球范圍內已經(jīng)進(jìn)入了商用部署的關(guān)鍵時(shí)期。
與此同時(shí)，網(wǎng)絡(luò )安全建設同樣不容忽視。萬(wàn)物互聯(lián)的發(fā)展為攻擊者提供了更多的入侵策略，縱觀(guān)網(wǎng)絡(luò )安全形勢的發(fā)展，過(guò)去“創(chuàng )可貼”式的網(wǎng)絡(luò )安全建設思路已經(jīng)不再適用，應該借助5G建設的契機，在信息化升級改造的初期，進(jìn)一步推進(jìn)落實(shí)“三同步”戰略，即：同步規劃、同步建設與同步運營(yíng)。
對此，加強5G商用與相關(guān)網(wǎng)絡(luò )安全防護的標準化工作，運用標準來(lái)指導網(wǎng)絡(luò )安全、規范引領(lǐng)信息技術(shù)應用，已經(jīng)成為當務(wù)之急。各方機構應該攜手探索5G在各行業(yè)尤其是物聯(lián)網(wǎng)和工業(yè)互聯(lián)網(wǎng)等方面的商用標準，加快5G商用的步伐，強化相關(guān)網(wǎng)絡(luò )安全防護能力。
普普評述：
5G在引領(lǐng)網(wǎng)絡(luò )技術(shù)到一個(gè)新的世界的同時(shí)，也要考慮到其帶來(lái)的風(fēng)險。
謹防“鯨釣攻擊”
2019.08.07 周三
“鯨釣攻擊” (Whaling Attack) 指的就是針對高層管理人員的欺詐和商業(yè)電子郵件騙局。如今，商業(yè)電子郵件妥協(xié) (BEC) 攻擊已經(jīng)對全球各類(lèi)型組織都構成了嚴重的威脅，而令人更為擔憂(yōu)的現實(shí)是，這種攻擊類(lèi)型正變得越來(lái)越復雜，遭受 “鯨釣攻擊” 的受害者往往需要承受比普通網(wǎng)絡(luò )釣魚(yú)攻擊更沉重的經(jīng)濟損失。顧名思義 “鯨釣攻擊” 胃口更大，與隨機竊取電腦使用者個(gè)人機密資料的 “網(wǎng)絡(luò )釣魚(yú)” (phishing) 不同，鯨釣攻擊比網(wǎng)絡(luò )釣魚(yú)更懂得放長(cháng)線(xiàn)釣大魚(yú)！這類(lèi)針對性網(wǎng)絡(luò )釣魚(yú)手法專(zhuān)門(mén)鎖定企業(yè)高級主管，試圖利用電子郵件來(lái)騙取信息。網(wǎng)絡(luò )媒體《Lifewire》指出，鯨釣攻擊電子郵件皆假冒某權威來(lái)源的電子郵件地址，并且要求收件人盡速解決某項緊急問(wèn)題。黑客利用這樣的手法來(lái)騙取員工信息、重要文件，甚至是關(guān)鍵系統的帳號密碼。
普普評述：
雖然這是一個(gè)可怕的前景，但未來(lái)的商業(yè)電子郵件妥協(xié) (BEC) 騙局可能就是這樣！