solidot新版网站常见问题,请点击这里查看。
adv
英国
WinterIsComing(31822)
发表于2021年11月26日 13时24分 星期五
来自火星战士
联网设备使用默认密码通常会成为严重的安全隐患。英国政府出台新法案禁止这种行为,以保护家中的智能联网设备不会被黑客入侵,不遵守新规定的企业将会面临巨额罚款。英国消费者保护组织 Which? 最近的研究发现,有大量智能设备的家庭一周内会受到 1.2 万次以上攻击。黑客如果能成功入侵一个存在漏洞或使用默认密码的设备,他们将可以进一步渗透和控制整个家庭网络。被称为《The Product Security and Telecommunications Infrastructure Bill》的法案禁止使用容易猜测的默认密码,所有产品需要有唯一密码,不能重设为出厂默认密码;通知客户产品获得安全更新的最短时长;为安全研究人员提供漏洞报告的联络信息。违反者将面临最高 1000 万英镑或全球营业额 4% 的罚款,对持续违规每天罚款最高 2 万英镑。
安全
wanwan(42055)
发表于2021年11月23日 17时37分 星期二
来自完美女孩
根据微软蜜罐服务器网络收集的数据,大多数暴力破解攻击者主要尝试猜测短密码,很少攻击针对长的或包含复杂字符的凭证。微软安全研究员 Ross Bevington 表示:“我分析了超过一百万次针对 SSH 的暴力攻击输入的凭据。这是微软传感器网络中约 30 天的数据。”作为微软的欺诈主管,Bevington 的任务是创建看起来合理的蜜罐系统以研究攻击者趋势,他表示:“77% 使用的是长度在 1 至 7 个字符之间的密码。长度超过 10 个字符的密码只占 6%。”
安全
WinterIsComing(31822)
发表于2021年11月22日 11时34分 星期一
来自机器岛
HardenedVault 写道 "自2010年代以来,物理攻击成为了一个古老而重要的话题,如果关键信任基(在本例中为TPM)遭到破坏,则可能会危及关键基础架构的安全,2011年以及2012年发布的<LPC总线劫持者指南>和<TPM通信接口的劫持者指南>揭示了TPM(直到现在高度依赖LPC总线)的攻击面。2018年3月,NCC Group展示了使用价格低于180美元廉价硬件设备方案发起名为TPM Genie的攻击TPM Genie可以作为interposer来发起中间人攻击,以伪造EK或简单地嗅探主机和TPM之间的流量,而在2019年,安全研究人员利用49美金的硬件则完成了针对TPM嗅探的并且提取bitlocker的密钥,所有的公开演示都是PoC级别的,这里值得注意的是真实世界的漏洞利用可以在更短的时间内完成针对TPM中间人劫持或者嗅探的攻击,目前大部分运行TPM v1.2/v2.0的实现都受到影响,幸运的是,VaultBoot对于此种攻击类型免疫,即使是VaultBoot的开源版本的防御弹性也远强于其他商业以及开源方案。"
安全
wanwan(42055)
发表于2021年11月18日 15时57分 星期四
来自凡尔纳地球三部曲
4 月,一辆特斯拉 Model S 在得克萨斯州伍德兰发生车祸,司机超速行驶,未能拐过弯道控制在汽车。美国国家运输安全委员会的调查报告显示,汽车随即撞上排水涵洞和凸起的维修孔,然后被一棵树挡住停了下来。就在那时,这辆特斯拉迅速燃烧起来。

消防员花了四个小时才扑灭了火焰,部分原因是该车的电池不断复燃。当大火最终被扑灭时,大约倾倒了 30,000 加仑的水——这通常是该部门一个月使用的水量。

电动汽车火灾并不常见,但它们与化石燃料汽车火灾有很大不同,消防员需要新的方法。欧洲的一家公司开发了一种类似集装箱的盒子,可以将熊熊燃烧的电动汽车罩在里面,然后从四面八方喷水。但它需要一辆专用卡车,这对消防部门来说是一笔昂贵的额外开支。

不过,明年消防员将有另一种选择——可以推到燃烧的车辆下方的高压喷嘴,将水直接喷到电池中。制造救火车和其他设备的奥地利公司 Rosenbauer 表示,该公司成功地在各种电池设计上测试了设备,包括袋状、棱柱形和圆柱形电池。
安全
wanwan(42055)
发表于2021年11月16日 20时05分 星期二
来自太空谜案1
Rowhammer 漏洞利用允许非特权攻击者修改或破坏存储在易受攻击内存芯片中的数据,制造商后来为内存芯片加入抵御此类攻击的保护措施,但最新方法瓦解了保护,事实上所有 DDR4 模块都易受 Rowhammer 攻击。

Rowhammer 攻击工作原理是每秒数百万次访问或锤击易受攻击的芯片内的物理行,导致相邻行中的比特翻转,意味着 1 变为 0,反之亦然。研究人员证明,这些攻击可被用于为不受信任的应用程序提供几乎不受限制的系统权限,绕过防止恶意代码访问敏感操作系统资源的安全沙箱,Root 或者感染 Android 设备等。

之前所有的 Rowhammer 攻击都以相同的模式敲击行,例如单面、双面或n面。在所有三种情况下,这些“攻击者”行——导致附近“受害”行比特翻转的那些行——被访问的次数相同。 周一发表的研究提出一种新 Rowhammer 技术。它使用非均匀模式以不同的频率访问两个或多个攻击者行。结果测试池中所有 40 个随机挑选的 DIMM 都出现比特翻转,成功率高于之前的测试,之前在 42 块芯片中只有 13 块出现比特翻转。研究作者 Kaveh Razavi 和 Patrick Jattke 在一封电邮中写道:“我们发现,通过创建特殊的内存访问模式,可绕过部署在 DRAM 中所有的防御措施。根据分析,这将可能被已知攻击入侵的设备比例增加到 80%。由于硬件特性,这些问题无法修复,将在未来很多年中继续存在。”

非均匀模式对目标行刷新也有效。这种缩写为 TRR 的防御措施因供应商而异,但是通常会跟踪行被访问的次数,在出现滥用迹象时为相邻的受害行补电。防御的失效给芯片制造商带来了进一步的压力,推动他们想方设法抵御此类攻击——很多人原本认为较新类型的存储芯片可以抵御它了。
安全
WinterIsComing(31822)
发表于2021年11月16日 13时34分 星期二
来自河流之女
英特尔披露了两个高危漏洞影响多代英特尔处理器家族,漏洞允许攻击者和恶意程序获得更高的权限。漏洞由 SentinelOne 发现,编号为 CVE-2021-0157 和 CVE-2021-0158,CVSS v3 评分都是 8.3/10,前者与 BIOS 固件控制流管理有关,后者则与 BIOS 固件不正确输入验证有关。漏洞可被用于提权,但攻击者需要首先能物理访问机器。受影响的型号包括了 7 代、10 代和 11 代酷睿处理器,至强E、E3 v6 和 W 系列等。英特尔没有披露更多细节,它建议用户如果有可用 BIOS 更新就打上补丁。考虑到 7 代酷睿已有 5 年历史,主板供应商不太可能还会释出 BIOS 更新。
安全
WinterIsComing(31822)
发表于2021年11月15日 12时50分 星期一
来自炼金术战争:机械人
黑客周六入侵了 FBI 的一个电子邮件系统,发送了数万条假信息,警告可能发生网络攻击。FBI 在一份声明中说,假电邮似乎发送自一个以 @ic.fbi.gov 结尾的合法 FBI 邮箱地址。FBI 称,尽管受该事件影响的硬件“在问题被发现后迅速下线,但这是一个持续的情况”。威胁追踪组织 Spamhaus Project 在其推特账户上说,黑客发送了数万封电子邮件,警告可能发生网络攻击。Spamhaus 在推特上发布的其中一封电邮副本显示,邮件标题为“紧急:系统中的威胁行为者”,落款似乎是国土安全部。
安全
WinterIsComing(31822)
发表于2021年11月14日 21时40分 星期日
来自约纳丹号历险记
Palo Alto Networks 的 GlobalProtect VPN 刚刚修复了一个缓冲溢出的高危漏洞,而安全公司 Randori 是在 12 个月前发现该漏洞,但一直将其作为秘密内部使用,而不是尽快报告给软件供应商。编号为 CVE-2021-3064 的高危漏洞(威胁评分 9.8/10)影响 PAN-OS 8.1.17 之前的版本,已有超过一年历史,但 Randori 根据 Shodan 搜索发现有大约 1 万台联网的企业服务器运行存在漏洞的版本。为何不尽早报告漏洞?Randori 声称该漏洞作为红队的工具用于对客户的网络进行安全测试,表示 0day 漏洞对于客户以及整个网络安全世界的成功是必不可少的。
安全
WinterIsComing(31822)
发表于2021年11月12日 20时37分 星期五
来自雾影1:雾影边境
2016 年初,一名美国黑客入侵了世界最大的住宿预订平台 Booking.com,窃取了中东国家的数千酒店预订信息。在两个月的调查之后,IT 专家判断黑客与美国情报机构有紧密联系。Booking.com 并没有就此次事件通知受影响的客户或通知其总部所在地荷兰的数据保护机构。公司高层表示当时的法律不要求他们这么做。公司 IT 专家对公司保持沉默的做法相当不满。根据当时适用的隐私法律,在数据被窃取之后企业需要通知受影响客户,这可能会对他们的个人生活产生不利影响。荷兰 Leiden 大学的法学教授 Gerrit-Jan Zwenne 认为,美国间谍窃取的信息可能会被用于将某些人加入到禁飞名单,禁止进入特定国家,或者对他们进行窃听。
安全
matrix(791)
发表于2021年11月11日 17时24分 星期四
来自一九八四
1,000 多名 Android 手机用户感染了一种新发现的恶意软件,它会悄悄实时录音录像、下载文件并执行其他监视活动。研究人员共发现了 23 个悄悄安装该间谍软件的应用,安全公司 Zimperium 的研究人员将间谍软件称为 PhoneSpy。它提供了一系列完整的功能,除了窃听和盗取文件之外,还包括传输 GPS 位置数据、修改 Wi-Fi 连接以及执行叠加攻击(overlay attacks)以获取 Facebook、Instagram、Google和 Kakao Talk 应用的密码。Zimperium 研究人员 Aazim Yaswant 在官方博客上写道:“这些恶意的 Android 应用被设计为在后台静默运行,不间断地监视受害者而不引起任何怀疑。我们相信 PhoneSpy 的幕后黑手收集了大量受害者的个人和公司信息,包括私人通信和照片。”
安全
WinterIsComing(31822)
发表于2021年11月10日 23时14分 星期三
来自奇迹男孩与冰霜巨人
本月初,剑桥大学的研究人员披露了在源代码中隐藏人眼看不见的漏洞的攻击方法 Trojan-Source,攻击利用的是 Unicode 中的双向机制。现在,安全研究人员披露了在 JavaScript 中发动类似攻击的方法。在 JavaScript 中创造看不见的后门首先需要寻找能被 JS 解释为标识符/变量的不可见的 Unicode 字符,然后寻找使用不可见字符不被注意到的方法。这种方法无法通过语法高亮检测出来。攻击需要 IDE/文本编辑器能正确渲染不可见的字符。Notepad++ 和 VS Code 都能正确渲染。
安全
WinterIsComing(31822)
发表于2021年11月09日 22时39分 星期二
来自夜袭动物园
研究人员公开了蓝牙设备漏洞 BrakTooth 的利用代码。BrakTooth 影响数以十亿计设备使用的 1400 多种芯片组的商业蓝牙栈,包括依赖 Bluetooth Classic (BT)通信的智能手机、PC、物联网设备和工业设备。漏洞利用的 PoC 代码发布在 GitHub 上。美国 CISA(网络安全和基础设施安全局)督促制造商、供应商和开发商给蓝牙设备部署补丁或采用缓解漏洞利用的方法。
安全
wanwan(42055)
发表于2021年11月09日 19时14分 星期二
来自约翰的预言
全球警方联合打击了史上最赚钱的网络犯罪团伙之一。 罗马尼亚警方、美国司法部和欧洲刑警组织周一宣布对 REvil 团伙采取联合行动。突袭同时在线上和线下展开,在罗马尼亚逮捕了两名涉嫌黑客,其中一人来自乌克兰。REvil 被指对全球企业发动了多次大规模黑客攻击。

美国还宣布,通过名为 claw back 的黑客行动,成功从该团伙手中夺回了超过 600 万美元的加密货币。过去三年,REvil——aka GandCrab 或 Sodinikobi——一直在攻击世界各地的企业和机构。欧洲刑警组织专门设立了名为“GoldDust”的行动对付该组织。自 2 月以来,这项行动已使该黑客团伙的 7 名成员在罗马尼亚、乌克兰、韩国和科威特落网。官方表示,11 月 4 日逮捕的两名罗马尼亚人感染了 5,000 名受害者,并从中赚取了 50 万欧元的赎金。REvil 的一名领导成员前不久宣布来自当局的压力迫使他们停止运营。
安全
WinterIsComing(31822)
发表于2021年11月09日 17时02分 星期二
来自女神觉醒
股票交易应用 Robinhood 称有黑客对其客服发动了社会工程攻击,获得了部分客户支持系统的访问权,窃取了 500 多万客户的电邮地址、200 万客户的全名,以及大约 310 名客户比较详细的个人信息如姓名、出生日期和邮编,此外还有 10 名用户的账号细节泄露。黑客之后还尝试进行勒索。Robinhood 表示此次攻击已被控制,它正在通知受影响客户,表现相信社会安全号码、银行账户号码或借记卡号码没有泄露,客户也没有因此遭受财务损失。
安全
wanwan(42055)
发表于2021年11月08日 17时44分 星期一
来自空色勾玉
路透社报道,周日早晨一架载有炸药的无人机袭击了伊拉克总理 Mustafa al-Kadhimi 在巴格达的住所。伊拉克军方称这是一起未遂的暗杀,表示 Kadhimi 没有受伤。”安全消息人士称,袭击造成几名 Kadhimi 的贴身保安人员受伤,此前伊拉克首都因上个月的大选结果引发的抗议演变成了暴力事件。得到伊朗支持的武装民兵领导了对 10 月投票结果的抗议和投诉,他们在选举中失去了大部分议会权力。没有任何团体立即声称对 Kadhimi 在巴格达设有防御工事的“绿区”的住所的袭击负责,“绿区”是政府大楼和外国使馆所在地。
安全
WinterIsComing(31822)
发表于2021年11月05日 13时19分 星期五
来自神秘博士:闪光的人
GitLab 的自托管服务器漏洞被利用发动 DDoS 攻击,攻击流量一度超过 1 Tbps。Google 安全工程师发现了这次 DDoS 攻击,攻击者利用了编号为  CVE-2021-22205 的漏洞去控制服务器,GitLab 已在今年 4 月将其修复,但不是所有自托管服务器打上了补丁。漏洞位于 ExifTool 库内,该软件库被用于移除上传到 Web 服务器中的图像元数据。GitLab 在社区版 GitLab Community Edition (CE) 和企业版 Enterprise Edition (EE)中使用了 ExifTool。有大约 6 万 GitLab 自托管服务器联网,其中一半也就是大约 3 万没有打补丁。利用漏洞的 POC 在今年 6 月公布,而攻击也是始于 6 月。
安全
WinterIsComing(31822)
发表于2021年11月03日 22时47分 星期三
来自冲破黎明
美国商务部工业安全局将四家公司列入出口控制的实体名单:以色列公司 NSO Group 和 Candiru,俄罗斯公司 Positive Technologies 和新加坡公司 Computer Security Initiative Consultancy PTE. LTD.。NSO Group 和 Candiru 被列入实体名单都是因为向政府出售间谍软件,而相关政府利用间谍软件攻击官员、记者和活动人士,间谍软件还被用于跨境镇压。
安全
matrix(791)
发表于2021年11月03日 21时57分 星期三
来自超能第七感·碰撞
HardenedVault 写道 "DSA 型签名算法(包括 ECDSA)的原始实现中需要一个和私钥属于同种数学对象(GF(p) 的元素,p 为素数)的随机数,该随机数必须同时满足以下三个性质:1)随机性:无法仅通过被签名数据(以下称“载荷”)和生成的签名推算出来。2)机密性:不可泄露到签名过程之外。3)唯一性:该随机数对不同的载荷必须不同。否则,攻击者将有可能通过载荷与签名推算出私钥。如果该随机数来自一个有缺陷的随机数发生器,则随机性和唯一性会变得难以保证——攻击者可能通过收集足够多的载荷——签名对找到随机数发生器的规律,进而推算出私钥,虽然行业用户认为这是“可忍受”的缺陷直到LadderLeak漏洞的公开披露彻底让真相浮出水面,在最坏的情况下,攻击者只需要付出30万美金就可以破解P-224的密钥。由于开源的安全ECDSA实现进展并不顺利,Vault Labs给出了测试缺陷的方法和临时安全解决方案: 确保所有你使用的证书是>= P-256或者RSA(有其他风险需要考量)以及安全人员不要漏掉对没有接入互联网的服务的审计。"
安全
WinterIsComing(31822)
发表于2021年11月03日 14时25分 星期三
来自梦蛇
巴基斯坦国家银行(NBP)遭遇了一次破坏性的网络攻击。事件发生在周五到周六之间的晚上,影响了银行的后台系统,用于连接分行的服务器,控制 ATM 网络的后台基础设施,以及银行的移动应用。知情人士称,虽然攻击导致部分系统瘫痪,但据信没有发生金钱方面的损失。NBP 在一份声明中表示在攻击发生之后它立即采取措施隔离受影响系统。到周一一千多家分行正常营业为客户提供服务,ATM 机器已完全恢复。这一消息促使部分受到惊吓的客户周一早晨冲到 ATM 机器前取款。知情人士表示不是勒索软件攻击而是一次有企图的破坏性网络攻击。恶意程序设计破坏计算机的引导系统。
安全
WinterIsComing(31822)
发表于2021年11月01日 15时17分 星期一
来自棕榈上的霜
剑桥大学的研究人员发表论文介绍了在源代码中隐藏人眼看不见的漏洞的攻击方法。POC 攻击代码已发布在 GitHub 上。这种被称为 Trojan-Source 的攻击方法利用的是字符编码标准 Unicode 中的微妙之处,利用方向覆盖、同形异义等创造出对编译器和人类代码审查员视觉上存在差异的源代码,人眼看不出漏洞,但对编译器来说逻辑编码顺序和显示的顺序是不同的。这种攻击方法对 C、C++、C#、JavaScript、Java、Rust、Go 和 Python 都有效,研究人员已经将漏洞报告给了相关项目。