普普每日安全咨询一周概览（05.18-05.24）

作者：

时间：
2020-05-25

2020.05.18 周一



01

?


据外媒报道称，日前，安全研究员发现了一个新的安全漏洞，该漏洞可致使2019年前生产的数百万台电脑很容易受到物理攻击，而攻击的目标是一个共同的组件:Thunderbolt端口。

据安全研究员BjornRuytenberg透露，所谓的“Thunderclap”安全漏洞，是利用Thunderbolt附件授予的特权直接内存访问（DMA）来访问目标设备。除非采取适当的保护措施，否则黑客可以使用该访问权来窃取数据，跟踪文件和运行恶意代码。“黑客可以在几分钟内读取和复制个人电脑上的数据，即使电脑处于锁定或休眠状态。”Bjorn Ruytenberg说。

Bjorn Ruytenberg表示，所有在2011-2020年之间出货、配备Thunderbolt的设备都容易受到攻击。此外自2019年以来提供Kernel DMA保护的设备，都存在该漏洞。




普普评述

虽然这种攻击必须插入雷电接口，不能通过网络进行，但是对于数据敏感的商业用户来说，是个恶性漏洞，只能通过硬件升级解决，所以硬件设计应更加注重安全设计，同时我们信创生态芯片设计也要引以为戒。


2020.05.19 周二


01



微软安全威胁情报部门掌握的数据显示，以COVID-19为主题的威胁是现有网络攻击方式的修正，内容是稍加改动，就可以配合大流行病继续为害四方。安全技术人员看到的更多是诱饵的变化，而不是攻击次数的激增，微软正在积极监测和应对这种焦点的转变。

微软公海710在一篇博文中写道：'我们的收件箱、移动弹窗提醒、电视和新闻更新都是COVID-19，无时无刻不在。在资讯的丰富程度上这是压倒性的，攻击者也知道这一点。他们知道因为心理焦虑，很多人不看就点击，他们正在利用这一点。这就是为什么我们看到网络钓鱼和社交工程攻击的成功率越来越高的原因。攻击者不会突然掌握更多的资源来欺骗用户；相反，他们正在转移他们现有的基础设施，如赎金软件、网络钓鱼和其他恶意软件的传输工具，以包括COVID-19关键字，让被害者点击。一旦我们点击，他们就可以渗透到我们的收件箱中，窃取我们的登录凭证，与同事跨协作工具分享更多的恶意链接，并等着窃取能给攻击者带来最大回报的信息。'



普普评述

在全球人民抗击新冠疫情的过程中最没有帮助或者说添乱的就是被用来诈骗带毒患病者或害怕它的人的虚假信息。它们大多数都是现有的骗局的翻版，被改编为新的恐慌性内容。在抗议的同时信息安全工作也绝不能放松。


2020.05.20 周三


01



今日，中国电信在业界率先发布5G SA安全增强SIM卡白皮书，其中指出现有的4G卡缺少5G标准中定义的新功能和新增的卡文件与服务。

据了解，白皮书指出，现阶段用户通过4G卡接入5G网络，现有的4G卡缺少5G标准中定义的新功能和新增的卡文件与服务，用户身份数据在通信过程中使用明文传输，位置信息不够精准，已经不能满足5G网络的信息与安全要求。随着5G行业应用的深入拓展，不能很好地去应对各种业务发展的要求，用户享受不到5G网络带来的全新体验与业务服务。


普普评述



随着5G网络的普及，用户身份隐私保护、安全认证加强、接入控制等方面都提出了新要求，相关信息安全建设也需要同步进行，保障用户信息安全。


2020.05.21 周四


01

? CreepRank算法帮助谷歌Play商店剔除了813款Android蠕虫应用


得益于某学者团队开发的 CreepRank 新算法，谷歌 Play 商店筛查并下架了 813 款蠕虫伪装的 Android 应用。据悉，来自纽约大学、康奈尔科技学院、以及 NortonLifeLock（原赛门铁克）的学者们，对这些蠕虫软件展开了深入的分析。近日，该团队在一篇新发表的研究报告中介绍了幕后的更多细节。

这里提到的蠕虫，特指不具有完整的间谍或追踪功能的移动 App 。即便如此，别有用心的开发者仍可借此对用户展开间接追踪、骚扰、欺诈或威胁他人。

研究团队开发的 CreepRank 算法，能够识别移动 App 中疑似的蠕虫行为，然而对每款 App 进行打分。




普普评述

采用各种新的技术手段，可以帮助我们更加高效的识别危险应用，同样我们可以是通过不断突破新算法，让其识别网络威胁等，让我们安全检测识别更加简单、高效、准确。


2020.05.22 周五


01

? 5G时代需防范网络攻击，车联网或最先遭难


近日业内人士表示，5G为“万物互联”提供了重要驱动力，促进了物与物、人与物之间的连接，但是与此对应的网络攻击有可能会不断加剧。而且，网络攻击将不再局限于对电脑、手机等终端，而是有可能进一步向汽车、加电站、数据中心等转移，形成更大的威胁。综合分析来看，以智能网联汽车为核心的车联网或许会最先“遭难”。

一方面，智能网联汽车的发展已是大势所趋，各个国家都在大力发展自动驾驶技术，试图以此为突破口，推动传统汽车产业和交通产业的大变革。另一方面，近些年来已经有一些工厂被网络攻击的先例，而许多采用车联网技术的智能汽车都与原生工厂密切相关。此外，在速度与激情系列电影中，也展现了汽车被黑客挟持而造成严重后果的画面。




普普评述

在自动驾驶、车联网技术快速走向普及商用的背景下，在5G网络部署与融合进一步加速的情况下，强化5G网络与车联网安全防护至关重要。只有在能够保障安全的基础上，5G、车联网等技术才能实现可持续、健康发展。


2020.05.23 周六


01

?因违法违规收集个人信息192个App被责令改正


公安部网站近日消息，今年第一季度，全国公安机关网安部门充分发挥职能作用，加大公民个人信息保护力度，依法查处违法违规收集公民个人信息App服务单位386个，涉及信息咨询、辅助学习、文学小说、新闻资讯、娱乐播报等多个类型。其中，97个App被予以行政处罚，192个App被依法责令改正违法行为，51个App被下架、停运，有效保护了公民个人信息。其中十大案例涉及“猎豹清理大师”、“印象笔记”、“好孕帮”、“不背单词”、“哈弗智家”、“完美校园”、“天然工坊”、“随手借”、“每日瑜伽”、“Paintly”等App。

猎豹清理大师”App（版本号：6.13.5.1066）。经查，该款App的隐私协议中对于索取用户通讯录、通话记录等权限的行为没有进行详细说明。北京市公安局朝阳分局已依法责令该公海710改正违法行为。



普普评述

各类应用在设计之初必须遵守相关规定，尊重保护用户隐私，不得超范围收集用户信息；我们在平时使用手机互联网的时候每个位也需要加大安全意识，对于自己的私人信息予以一定的保护意识与安全意识。


2020.05.24 周日


01

?Zerodium宣布暂停购买iOS漏洞：因参与黑客数量过多


近日，第三方漏洞收购平台Zerodium宣布，由于短期内提交的iOS漏洞利用程序太多，其计划在未来 2-3 个月内不再购买这类漏洞。比如，iOS 本地提权、Safari远程执行代码或沙箱漏洞等。

这一举措或许会导致iOS漏洞价格走低，对于iOS系统的安全性来说，或许并不是一件好事。苹果最大的一个卖点则是iOS的安全性，但是Zerodium的CEO Chaouki Bekrar却表示：iOS的安全性还是值得担忧的，并且持续有一些影响所有iPhone和iPad的零日漏洞利用出现，希望iOS 14的安全会进一步改善。

Jalf Security首席安全研究员、Objective-See创始人Patrick Wardle认为，此次声明一方面反映了iOS安全性的真实状态，另一方面可能也是想要掀一掀漏洞市场的波浪。但是见微知著，对于iOS安全研究人员来说，这一举措或许并不让人惊讶。




普普评述

任何系统都不是尽善尽美的，它们都存在着各种各样的漏洞缺陷，我们能够做的是不断地去发现问题，解决问题，不断的完善，从而确保系统的不断的健康发展，为我们更好的服务。