close
BUF早餐鋪 | 維基解密 Vault 8 系列泄密；谷歌將發佈 Chrome 安全新功能；Equifax 數據泄露導致其 Q3 直接損失 8750 萬美元； Eavesdropper 漏洞造成數千萬通話記錄和短信泄露
原標題：BUF早餐鋪 | 維基解密 Vault 8 系列泄密；谷歌將發佈 Chrome 安全新功能；Equifax 數據泄露導致其 Q3 直接損失 8750 萬美元； Eavesdropper 漏洞造成數千萬通話記錄和短信泄露
雙十一之後的你，需要一頓好早餐。
各位 Buffer 早上好，今天是 2017 年 11 月 13 日星期一。今天份的 BUF 早餐內容有：維基解密開始 Vault 8 系列泄密，公佈 CIA 蜂巢項目的源代碼和詳細文檔；Equifax 數據泄露導致其 Q3 直接損失 8750 萬美元；谷歌將發佈 Chrome 安全新功能，屏蔽重定向和惡意廣告；Twilio 相關的 Eavesdropper 漏洞曝出，導致數千萬通話記錄和短信泄露；俄羅斯 APT 28 組織（Fancy Bear）利用微軟 DDE 機制分發惡意軟件；谷歌研究：比起鍵盤記錄器和密碼復用，釣魚對用戶的威脅更大。
以下請看詳細內容：
【國際時事】
維基社區公寓大廈抽肥解密開始 Vault 8 系列泄密，公佈 CIA 蜂巢項目的源代碼和詳細文檔
北京時間 11 月 10 日周五，繼休息 2 個月後，維基解密發佈 Vault 8 系列第一波，公佈 CIA 蜂巢項目的源代碼、開發日志以及所有項目文檔。此前我們報道過，CIA 的蜂巢項目是 CIA 計算機網絡行動小組（COG）在執行遠程目標任務時使用的一個協助平臺，由 CIA 嵌入式研發部門（EDB）開發，可以提供針對 Windows、Solaris、MikroTik（路由器OS）、Linux 和 AVTech 網絡視頻監控等系統的定制植入程序，並能實現多種平臺植入任務的後臺控制工作，協助 CIA 從植入惡意軟件的目標機器中以 HTTPS 協議和數據加密方式執行命令和竊取數據。其自身具備的 HTTPS 協議接口為網絡入侵行為增添瞭隱蔽掩護性。 慶幸的是，蜂巢工具不會對終端用戶造成直接威脅。因此這次源代碼泄露暫時不會造成對終端用戶的直接危害。
但是，此次維基解密公佈源代碼還是引起瞭恐慌，因為之前的 Vault 7 系列公佈瞭很多 CIA 所使用的網絡攻擊工具，有不少都用在瞭實際攻擊中，包括 WannaCry 勒索軟件、 NotPetya 勒索軟件和 Bad Rabbit 勒索軟件等。如果維基解密借由 Vault 8 系列公佈 Vault 7 系列中攻擊性工具的源代碼，那麼後果將不堪設想。不過，維基解密也表示，不會公佈任何 0-day 或其他可能被惡意利用的漏洞。此外，在今天公佈的 Vault 8 相關信息裡，維基解密還表示CIA 使用山寨證書、偽造身份進行信息搜集等操作。其中卡巴斯基實驗室就躺槍，成為瞭 CIA 其中一個假身份。
可以說這出大戲越來越亂瞭。FreeBuf 會繼續關註進展，也提醒各位讀者謹慎觀看，註意安全。[來源：SecurityAffairs]
Equifax 數據泄露導致其 Q3 直接損失 8750 萬美元
本周四，Equifax 表示，2017 年第三季度，其數據泄露事件共造成 8750 萬美元的支出。其中，產品花費 5550 萬美元、專業支出 1710 萬美元（據稱主要包括 FireEye 的 Mandiant 分部調查費、律師費、及其他公司的調查費和應急響應費）；而客戶支持費用則達到瞭 1490 萬美元。
自 9 月份 數據泄漏事件曝出之後，Equifax 股價暴跌，市場損失達到數十億美元。據 Equifax 收入公告表示，除瞭市場損失和直接指出之外，Equifax 還將支付 5600 萬美元到 1.1 億美元的賠償費。
[來源：SecurityWeek]
谷歌將發佈 Chrome 安全新功能，屏蔽重定向和惡意廣告
日前，谷歌表示將發佈三個新的 Chrome 安全功能，阻止網站在未經用戶或網站擁有者允許的情況下重定向到新的 URL 網址，其中一個功能還有助於屏蔽惡意廣告。
第一個功能最為重要，將在 2018 年 1 月添加到 Chrome 64 中。事實上，大部分網站主在創建網站時都不會使用iframe，大多數 iframe 都是通過廣告嵌入到頁面中。而惡意廣告則在 iframe 中隱藏 JS 代碼，最後將網頁重定向到惡意網頁中。有瞭這個功能後，Chrome 就可以阻止這種頁碼重定向行為。第二個功能是一種新的機制，可以屏蔽 tab-under 行為。 Tab-under 是指 web 網頁在新標簽頁中打開連接並將原先的標簽頁重定向到新 URL 網址的行為。惡意廣告商也會利用 tab-under 繞過 Chrome 的內置彈框屏蔽機制，打開多個標簽頁，推送產品、服務、網站等。新功能屏蔽 tab-under 之後，網頁會幹凈很多。第三種功能叫做 Abusive Experiences Report，隻要利用網站黑名單機制，屏蔽可能導致用戶點擊並重定向網頁的誤導性 UI 元素。
谷歌表示，這些功能主要會在 2018 年 1 月全面實現。[來源：bleepingcomputer]
【漏洞威脅】 Twilio 相關的 Eavesdropper 漏洞曝出，導致數千萬通話記錄和短信泄露
安全研究人員發現，十幾名開發人員在數百款應用中留下瞭 Twilio 相關的 API 憑證，攻擊者可利用這些應用的源代碼獲取這些憑證，進而獲取該應用中利用 Twilio 而產生的通話記錄和短信。Twilio 是一個雲平臺，允許第三方應用利用不同電信運營商編程過的 API 接口接打電話、發送信息。
事實上，Appthority 移動威脅團隊在今年四月份就發現瞭應用硬編碼 Twilio API 憑證漏洞並上報給瞭 Twilio，Twilio 也已經通知相關應用開發者，並通力撤回那些已經暴露的 API 憑證。Appthority 的研究人員將這個問題標記為 Eavesdropper 漏洞，並表示在 685 個企業應用中發現瞭漏洞（44% 為安卓應用，56% 為 iOS 應用），這些應用與 85 個 Twilio 開發者賬號相關聯。這些應用一共泄露瞭數千萬份通話記錄、短信、錄音等隱私信息。
[來源：bleepingcomputer]
俄羅斯 APT 28 組織（Fancy Bear）利用微軟 DDE 機制分發惡意軟件
McAfee 安全專傢發現俄羅斯 APT 28 組織（Fancy Bear）利用最近曝出的微軟 DDE 機制分發惡意軟件，發起攻擊活動。DDE 是一種動態數據交換機制，可以在應用之間進行數據交換。利用 DDE 機制，一個 Office 應用可以從另一個 Office 應用中下載數據，目前 DDE 已經被 DLE 替代，但微軟依然支持 DDE 機制。因此，攻擊者可以利用 DDE，無需用戶交互就可執行 Office 文檔內置的惡意代碼。
在此次檢測到的攻擊活動中，攻擊者利用惡意文檔分發第一階段的 payload，標記為 Seduploader（也叫 GAMEFISH 後門或 Sofacy 等），主要包含一個分發器和一段 payload。此前也有攻擊者利用 Seduploader 攻擊 NATO， APT 28 組織更是常年使用這個工具。就研究人員的觀察來看，APT 28 近期很活躍，針對個人、企業組織都發起過攻擊。
對於 DDE 被用於惡意活動，微軟表示，DDE 本身是個合法的功能，不可能發佈補丁，不過目前有相關的保護和緩解方式，感興趣的用戶可以點擊這裡（https://technet.microsoft.com/en-us/library/security/4053440?f=255 MSPPError=-2147217396）查看。
[來源：Secur台中市抽化糞池ityaffairs]
【研究發現】 谷歌研究：比起鍵盤記錄器和密碼復用，釣魚對用戶的威脅更大
谷歌工程師與加利福尼亞大學伯克利分校及國際計算機科學研究院共同發起瞭調研，最終發現釣魚攻擊造成用戶谷歌賬戶和登錄憑證被盜的幾率最大，比鍵盤記錄器和密碼復用都可怕。
研究發現，超過 788000 個登錄憑證因為鍵盤記錄器而被盜；1240 個登錄憑證因為釣魚攻擊而被盜；而高達 19 億登錄憑證是由於第三方遭遇入侵而泄露。在所有的研究數據中，因第三方遭入侵而泄露的登錄憑證中，有 12% 是利用 Gmail 郵箱註冊的；在這 12% 的賬戶中，又有 7% 的賬號用戶將同一密碼使用在其他賬戶中，造成更大的危險。此外，谷歌還表示，黑客所售賣的賬戶數據中，有很多密碼台中通馬桶推薦是無效的。
以下是重要發現：
1.在長達一年的監測樣本中，有 4069 個不同的網絡釣魚工具和 52 個鍵盤記錄工具發起過主動攻擊；
2 最流行的釣魚工具包是一個模擬 Gmail、Yahoo 和 Hotmail 登錄頁面的網站，累計被 2599 名黑客利用，竊取到 140 萬個憑證；
3.最流行的鍵盤記錄器 HawkEye 被 470 名黑客用來記錄受感染設備中累計 409,000 份用戶活動；
4.網絡釣魚工具和鍵盤記錄器的運營商集中在尼日利亞，其次是非洲和東南亞的其他國傢；
5.研究人員從私人論壇收集到大量數據，但在公共論壇、粘貼網站和搜索網站上找到不少數據；
6.研究人員在泄露的憑證中發現瞭明文密碼；哈希密碼也被轉成明文密碼；使用頻率最高的密碼分別是： 123456、password、123456789、abc123 和 password1；
7.釣魚工具的前幾大目標品牌分別是 Yahoo，Hotmail 和 Gmail。
[來源：bleepingcomputer ]
*AngelaY 編譯整理，轉載請註明來自 FreeBuf.COM返回搜狐，查看更多
責任編輯：
聲明：本文由入駐搜狐號的作者撰寫，除搜狐官方賬號外，觀點僅代表作者本人，不代表搜狐立場。
閱讀 ()
台灣電動床工廠
電動床
台灣電動床工廠
電動床
AUGI SPORTS｜重機車靴｜重機車靴推薦｜重機專用車靴｜重機防摔鞋｜重機防摔鞋推薦｜重機防摔鞋
AUGI SPORTS｜augisports｜racing boots｜urban boots｜motorcycle boots
一川抽水肥清理行｜台中抽水肥｜台中市抽水肥｜台中抽水肥推薦｜台中抽水肥價格｜台中水肥清運
X戰警多鏡頭行車記錄器專業網｜多鏡頭行車記錄器｜多鏡頭行車紀錄器比較｜多鏡頭行車紀錄器推薦｜多鏡頭行車紀錄器影片
台中抽水肥專業網｜台中抽水肥｜台中市抽水肥｜台中抽水肥推薦｜台中抽水肥價格｜台中水肥清運
台灣靜電機批發工廠｜靜電機｜靜電機推薦｜靜電油煙處理機｜靜電油煙處理機推薦
優美環保科技工程-靜電機,靜電機推薦,靜電機保養,靜電機清洗,靜電油煙處理機
文章標籤
全站熱搜
留言列表
