卡巴斯基官方博客

全球黑客和安全领域两个最重量级的会议：Black Hat和DEF CON大会将于下周在内达华州的拉斯维加斯举行。在本周新闻综述，我们将展望这两个会议的同时，对本周发生的新闻进行一番回顾。 黑客大会抢先预览 Black Hat与DEF CON安全大会将于下周召开，我们将首先展望这两个会议来开始我们的本周新闻综述： 卡巴斯基实验室安全专家Vitaly Kamluk的演讲是我们最为期待的，他将在大会上再次提及Absolute Computrace漏洞问题，在之前2月份举办的安全分析师峰会期间我们曾有写到过。 此外，安全研究员Joshua Drake也将展示他所建造的工具，这一工具足以彻底颠覆目前全球对安卓系统安全性的研究。从本质上说，这一工具集中了所有他能找到的各种安卓设备，且各自适合的操作系统稍有不同。他们认为只有通过这样的方式，安全研究员们才能对目前众多的安卓操作系统有一个更加全面的了解。来自Bluebox Security的Jeff Forristal将作另一场有关安卓系统的有趣演讲，他的研究显示数百万台的安卓设备内存在一种关键漏洞，可使恶意应用伪装成受信任的应用，让攻击者能够将恶意代码植入合法应用，甚至直接控制受感染的设备。 而在今年的DEF CON大会上，主办方将举办一场以黑客入侵路由器为主题的比赛。选手们需要入侵SOHO Wi-Fi路由器，比赛规则公布在SOHOpelessly遭到入侵的网站上。参赛选手必须在DEF CON大会举办期间说明并展示他们如何利用零日漏洞来入侵路由器的。届时将向获胜选手颁发奖品，具体奖品类型尚不得知。 全球最大社交网络遭遇麻烦 接下来，我们将一一回顾本周已发生的新闻事件：本周有关Facebook的新闻可以说是喜忧参半。 首先是本周一，来自欧美的一个隐私倡导团体要求Facebook推迟实施全新针对性广告政策。此前，Facebook的广告几乎全部基于用户所钟意的页面。就在上个月，这家社交网络公司发布了一条令人不解的声明，表示他们将赋予用户更多对所见广告的控制权，同时还将开始收集用户更广泛的网络冲浪行为信息。 众多用户团体向美国联邦贸易委员会提出抗议，希望延迟或者完全阻止Facebook进一步采集用户在Facebook域名以外的上网信息。这些团体表示Facebook的这一计划直接反驳了与此前所做出的有关隐私和用户跟踪方面的声明。就在上个月，Facebook还表示”用户将能自主控制网页上所看到的广告”，此前的声明明显欺骗了用户。 破坏性巨大的攻击迫使组织重建整个系统。 据Threatpost报道，在周二，Facebook修复了其安卓应用内的漏洞，这一漏洞能够让攻击者在受害人设备上造成拒绝服务的情况，或通过在设备上传输大量数据导致受害人手机账单飙升。因此，如果你在安卓系统运行Facebook的话，确保安装了最新的更新补丁。 另外，Facebook颇为流行的照片共享服务Instagram的移动版本并未部署完全加密。因此，用户不得不面临暴露浏览行为及会话cookie被窃的风险，这可能最终导致安卓和iOS系统的账户同时被盗。Facebook和Instagram都意识到了这一问题，并表示将修复这一漏洞，但修复的具体时间尚未给出。访问Threatpost和Kaspersky Daily，阅读更多内容。 高级持续性威胁 本周还曝出了中国高级持续威胁（APT）黑客入侵的事件，入侵对象则是曾参与以色列臭名昭著的”铁穹”导弹防御系统开发的国防承包商。据报道，在2011年至2012年期间，他们先后从以色列的三家国防承包商手中盗窃了一种特定型号反弹道导弹的详细原理图、火箭相关信息以及成页成页的其他机械文件。 据报道，另一个中国APT小组也入侵了加拿大一家主要的技术研究组织，最终迫使他们脱机下线。Threatpost的Chris Brook在其文章中写到此次攻击破坏性巨大，最终迫使该组织重建其整个系统。加拿大方面并未表示攻击发生的时间以及被盗资料的信息。

对于网络黑客，多数人只知道他们能破解各种虚拟系统，但殊不知他们对于现实中的东西也同样有兴趣。在众多他们感兴趣的目标中，锁系统显然就是其中之一。在DEF CON或混沌通信大会这样级别的黑客大会上，开锁竞赛及相关话题讨论往往是会上的”保留节目”。

如今，甚至是咖啡机都实现了Wi-Fi联网，而智能化的性玩具拥有联网功能也将只是时间问题。事实上，很久以前人们就已经开始思考这方面的可能性：1975年，美国信息技术先驱，同时也是哲学家和社会学家的Ted Nelson曾向世界提出一个新名词：teledildonics（远程性爱）。这个词代表了一种能够帮助相隔遥远的夫妇获得相互亲密感觉的技术。 如果真要设计出这样的玩具，如何才能像震动棒众多”创新和改进”功能那样简单和有效呢？当然一些酷炫的小功能必不可少。如今，人们可以买到能与色情电子书同步的性玩具、带远程控制功能的玩具，有些甚至还内置自拍功能…以及其它许多有趣的设备。 此外，还有专门为夫妻两人准备的震动棒：比如，We-Vibe 4 Plus早在两年就已上市—最近却成为了媒体追逐的焦点。这也凸显出一个问题：一些极度亲密产品的开发商不重视客户的个人隐私。 事件始末 Standard Innovation是生产We-Vibe 4 Plus性玩具的公司，并声称这款产品是全世界最棒的震动棒。与We-Vibe 4普通版相比，Plus版能通过安装在夫妻双方手机上的app支持远程控制功能。用户可以创建”播放列表”—将各种震动强度和震动频率按先后顺序排列。 乍一看，这一款产品非常棒。但要命的就在细节里面：这款app会不断记录用户的性生活，并将这些私密数据分享给开发商。 办的DEF CON黑客大会上公布。他们在这款app上发现了不少漏洞。除此之外，犯罪分子还成功黑客入侵了app并激活了按摩器。尽管与黑客入侵一家化工厂或核电站相比，听起来并不是那么危险，但也着实让人感到恐惧。 “未经用户同意激活震动棒其实就是赤裸裸的性侵犯” —@RancidBacon在黑客大会上讲到。 想一想：目前We-Vibe 4 Plus的产品用户达到了200万，可以说其中每一个人都可能遭到黑客攻击。 但针对We-Vibe 4 Plus的黑客入侵目前还只停留在理论层面。但开发商收集设备温度和震动差异方面的数据—却是实实在在发生。结果，公司的员工可以轻松知道每一名用户使用震动棒的时间以及频率，甚至是用户偏爱模式—广告宣传的”echo”、”cha-cha-cha”或者个性化播放列表。 Standard Innovation总裁Frank Ferrar向Fusion网站透露，公司收集这些数据是为了改进设备并了解用户使用的方式。但在这两年里，We-Vibe 4 Plus用户不知不觉成为了色情秀的男女主角，但观众仅限于Standard Innovation员工。 We联网的条款和条件解释得相当模糊，并没有提到app收集了哪些数据以及用作何种目的。与此同时，公司还保留需要时与执法机构分享这些信息的权利。这一点风险性极大：因为在有些国家，自慰是犯法的。

我的朋友们，我想说的过去一周对于安全信息行业简直是噩梦一般。如果说上一周我们只是发现了些有趣的bug、零日漏洞以及安全研究专家寻找已久的漏洞的话，那本周真正的灾难才刚刚降临：网络犯罪分子已利用所有这些缺陷渗透进了存在漏洞的软件。尽管这些内容相当重要，但人们对这样的新闻或多或少已有些厌倦。每一次，我们的新闻博客-Threatpost都会带来安全信息领域新鲜热辣的新闻，同时还会在其中精选三篇有关安全补丁修复的文章，而文章摘选工作远比你们想象的要难得多。 不管怎么样，这些内容都相当重要！找到一个漏洞需要花费不少的时间和精力，但更难的是在没有遭受黑客攻击之前就将其修复。软件开发者可以找出千万种不立即（或当季度或无限期）对特定bug修复的理由。但问题最终总是要解决的。 在本周最热门的三个新闻故事中，无一例外其中所含的bug均还未能修复。这里我再次重申《安全周报》的编辑原则：每周Threatpost的团队都会精心摘选三条当周要闻，并加上我自己独到的见解。往期的内容可以在这里找到。 另一个存在于Google Admin内的安卓系统bug Threatpost新闻故事。MWR实验室研究。 我们发现了哪些漏洞？ 你是否注意到最近有关bug的新闻纷涌而至？哎，难道只是一辆车遭到黑客入侵？我们在许多车内都发现了数十种安全漏洞！同时，在有关安卓的最新新闻中，我们也很容易注意到同样的情况。首先是Stagefright漏洞，然后是一些稍小的bug，现在则轮到了Google Admin，即通过该工具绕过沙盒。 作为安卓系统级的应用程序之一，Google Admin可以接受来自其他应用的URL地址，而且事实证明，该工具可以接受所有URL地址，甚至是以’file://’开头的路径。结果是，具有网页下载功能的简单联网工具开始向类似整体文件管理器演变。是否因此所有安卓应用就可以相互隔离呢？当然不是，Google Admin只是拥有更高的权限，一旦不幸读取某些流氓URL地址，任何应用都能绕过沙盒访问私人数据。 漏洞是如何修复的？ 首先，请容许我简要介绍该独立研究和漏洞披露的整个过程。这一漏洞是在三月份被发现，随后相应的报告即提交给了Google。大约5个月后，当研究专家再度检查Google Admin的安全状况时，发现这个bug依然还未修复。8月13日，有关这一bug的信息被公开披露，目的是敦促Google尽快发布相关补丁。 顺便提一下，Google拥有一支内部研究团队，任务是花费大量时间和精力到处寻找bug，且不仅限于Google自行研发的软件。Google的Project Zero项目小组通常在将找到的bug公诸于众前，给予软件开发者90天的时间修复漏洞，但我们依然对Google能否在90天内成功修复漏洞持怀疑态度。 Google Admin工具在有些方面的确很糟糕：首先，有些方面确实糟糕；其次，我们都知道未必所有存在漏洞的安卓设备上都能修复漏洞。你是在说月度安全更新？那如果是长达半年的漏洞修复过程又如何呢？看！看！ 施耐德电气SCADA系统内发现开放式漏洞 Threatpost新闻故事。ICS-CERT报告。 欢迎来到重要基础设施的奇妙世界！请坐好，不必拘束，但千万不要碰可怕的红色开关，也不要摸那些莫名突出在外的电线。没错，它们本来就突在外面。这没什么问题。多年以来一直就这样。你一碰的话，我们就全完蛋了。 SCADA（监控与数据采集）系统作为重要基础设施的一部分，负责像锅炉（主要位于公寓大楼甚至核电站内）这样重要设备的操作和运行。此类系统无法进行篡改、关闭或重启。千万不要在这一系统上修改任何参数，说得简单点，不要碰任何东西！ 如果你有任何问题的话，千万不要自己去冒险尝试，最好读一读我们这一主题的文章。同时，我们还必须承认，尽管这些系统的重要性不言而喻，但却常常部署在运行老版本Windows系统的PC电脑上。与一般企业不同的是，重要基础设施通常至少过5年后才会升级或更换所用的硬件和软件，有些工业设施机器人或离心机为了将一些致命化学品分离，可能会数十年不停歇地使用同一个硬件运行。 我们发现了哪些漏洞？ 安全研究专家们在其中一个系统内—施耐德电气Modicon M340（多么浪漫的名字！）的PLC站内发现了大量bug。简而言之，这一连串漏洞将能让非工作人员完全掌控系统…基本上来说，可通过系统调节所有参数。其中还找到一个相当普遍的漏洞（顺便说下，该漏洞常常出现在许多路由器和物联网设备内），我们称之为硬编码器凭证。 关于工业SCADA系统内到底对哪些程序进行了硬编码，目前依然未知（尽管理由很明显），但我们完全可以做大胆的假设：这是一个由供应商提供的为简化维护程序而提供的默认登录凭证，或者是供应商可能只是忘了从编码中挑一个测试密码。或者你自己也可以想个理由出来。 漏洞是如何修复的？ 根本就没有得到修复。从安全研究专家Aditya

物理网络安全研究专家Marina Krotofil和Jason Larsen在黑猫大会和DEF CON大会上均展示了他们对如何黑客入侵化工厂的研究–内容着实引人入胜。 黑客入侵化工厂并非是天方夜谭。既然黑客已能成功入侵浓缩铀设施、智能阻击枪或同时入侵数千辆Jeep汽车，那黑客入侵化工厂又有何不可能呢。世界上现在已经没有什么东西不可以入侵的，难道说化工厂就能成为例外吗？ 而真正有趣的是：在Krotofil的展示中，她深入地探讨了黑客在成功掌控化工厂的计算机网络后，可以做的以及应该做的事情。这里引出了该项究的第一个结论：黑客入侵导致的后果并不一定是明显的。 黑客可以对已遭入侵和控制的化工厂进行多种方式的漏洞利用。其中只有一种真正容易被发现：就是黑客让工厂的正常生产陷入瘫痪，其后果显而易见。 而更巧妙的入侵方法是：小心翼翼地对化工工艺进行调整，进而让目标工厂利润降低的同时失去市场竞争力。例如，黑客可以通过微调化工工艺来降低产品质量和/或等级。对于化学品而言，最重要的参数无疑是化学纯度。 例如，纯度98%的对乙酰氨基酚成本仅为1欧元/公斤（约合1.11美元）。而纯度达到100%的对乙酰氨基酚，其成本竟高达8000欧元/公斤。显然，黑客完全可以将降低化学品纯度作为首要攻击目标，进而从目标工厂老板的竞争对手那儿获得”丰厚报酬”。 来自Positive Hack Days安全竞赛的”漏洞化工处理框架”工具 而针对物理网络系统的黑客入侵而言，想要进行漏洞利用并非易事，这正是该项研究的第二个结论。由于整个化工厂相当复杂，因此里面的许多物理和化工工艺相互依赖。就算你在这里更改了某个工艺，在其它地方也能产生同样的工艺过程。因此，要想达到自己的目的，你必须了解其中所有工艺的相互关系。 首先，你需要一名化工人员，确切地说是一名化工专家。其次，你需要建造自己的”化工厂”并进行实验。顺便提一下，在Stuxnet作者开发这一著名病毒的过程中，使用了几台真正的铀浓缩离心机。 如果你无法建造”化工厂”，那就需要创建一个软件模型然后在里面进行虚拟实验。此外，你还要明确到底要哪些设备和软件需要处理。令人意想不到的是，想要黑客入侵化工厂，网络黑客最倚靠的工具竟然是互联网，特定情况下还要用到社交网络：化工厂员工通常都会将一些与工作相关的内容发布上去。而他们发布最多的就是包含有用信息的真实屏幕截图。 就算你有真正的化工专家为你工作，并获取了所有必要信息和软件模型，这还是无法确保你一定能控制你想要的化工工艺。问题的关键在于化工厂在设计时考虑了网络安全性；例如，物理网络系统相比纯计算机系统而言，无法使用通用断工具。 这也是为什么你必须借助间接数据对参数进行调整。例如，你无法测量产品本身的纯度，因为工厂根本不需要这样的嵌入式工具，他们通常在产品生产出来以后进行测量。你需要借助温度或压力来估计纯度。因此，黑客入侵化工厂的难度并没有被高估。当然，如果你时间充裕且拥有丰富资源的话，没有什么是做不到的。 简单地说，一方面，黑客入侵复杂的物理网络系统的确很难。另一方面，一切皆有可能。而一旦化工厂不幸遭黑客入侵，其内部的复杂程度对于安全防护恰恰起到了相反的作用—化工厂因此而难以检测到恶意行为。 正如Kim Zetter在《Countdown to Zero Day》一书中谈到Stuxnet时所说的，设计这一蠕虫病毒的真正目的并非是为了破坏铀浓缩离心机，而是降低核燃料的’质量’。如果某个神通广大的人能有足够耐心而且不追求短时效果的话，恶意软件将难以被发现。

仅仅在23年以前，微软只是刚刚发布了Windows 3.1系统，而苹果正推出其第一代PDA（掌上电脑），而Linus Torvalds则在GNU许可证下发布了Linux操作系统。在同一时期，尤金•卡巴斯基也出版了一本书，上面详细介绍了那个时代所有已知的计算机病毒以及清除病毒的方法，其中—这些病毒程序都被称为-V。当时的网络威胁并不是像现在那么严重：一本小册子就能覆盖当时所有病毒的介绍，甚至在随后的20年里情况也并未太过糟糕。 The Complete Сatalogue of Malware, written by Eugene Kaspersky in 1992 《恶意软件完整产品目录》，尤金·卡巴斯基编写于1992年 而那个”天真纯洁”的时代早已一去不复返。现在，每天出现的新型恶意软件数量就多达32.5万。同时几乎每个星期，整个互联网行业都会面临系统安全问题的新考验—从汽车和滑雪板到核电厂，几乎遍及各个领域。这是最好的时代，也是最坏的时代：如今，随着越来越多的人开始重视他们依赖于计算机的数据、企业和个人生活的安全性，整个互联网世界才有可能变得更加安全。 而现在，即便你放松地躺在椅子上的时候，也能了解互联网安全的最新动态。每周一，我们都将为您带来上周发生的三条最重要的安全行业新闻，同时还有从各个网站收集的辛辣评论。这些新闻无一例外都精选自Threatpost和卡巴基斯官方。 Stagefright：还未造成任何改变的安卓漏洞 Threatpost新闻。Google反馈。CERT Advisory。Kaspersky Daily对于如何预防Stagefright感染的建议。 Wired将其称为”迄今为止发现的最严重安卓系统漏洞“之一，但这样的表述并不完全正确：因为它还要更糟。这一漏洞与Heartbleed和Shellshock的主要差别在于：我们不必为Stagefright想一个唬人的名字，Stagefright是安卓系统音频和视频播放的引擎，也是安卓开源项目的一部分。从技术上讲，Stagefright其实是一整套漏洞（来自Zimperium的研究专家发现了留在CVE基地的7个ID），主要与缓冲区溢出有关。 这一多媒体引擎的任务是回放各种音频和视频，正如ZDNet提到的，某种程度上Stagefright的独特功能可实现”你还在考虑是否观看某个视频之前”，它就已经准备好播放了。出于某些神秘的原因，有时所有这些任务都是在”上帝”访问权限级别下执行。但事实上，其中的原因并不神秘：只是这样更容易编码，仅此而已。尽管如此，Stagefright也非常容易脱离安卓沙盒，因此也易于遭受漏洞利用。 最终，我们有了一个出色的概念证明：向手机发送MMS（多媒体短信）–然后一切都一目了然。你甚至无需打开”载入的”MMS：手机会自动帮你打开，因为其编码方式考虑到了为用户的便利性。是不是就没有任何办法了呢？并不尽然。首先，在安卓4.1及以上版本中有一项地址空间布局随机化技术，可防止手机自动打开，或至少部分”解决了问题”。 其次，通过遵循负责任的漏洞披露规则，Zimperium成功阻止了漏洞利用代码。尽管如此，得益于已发布的补丁，所有问题都迎刃而解。 Google的反应则相当有趣。我们从安卓官方博客发布的相关博文中摘录了一小段：”一切都没问题。我们的沙盒棒极了。只有0.15%的安卓设备内存在恶意应用（后面跟着许多星号、细则和条款）。为了确保安全万无一失，Nexus设备需要每个月都进行安全升级。” ‘纵然Nexus设备安全无忧，那安卓智能手机和平板电脑又该如何是好呢？Google的举措无助于解决安卓非一致性问题-新设备常常延迟无法第一时间升级至最新操作系统版本，而更老的硬件则根本无法升级更新。 好在像HTC、三星、索尼和LG这样开发商已宣布，将比以往更频繁地升级他们的智能手机和平板电脑。尽管许多问题依然悬而未决，但我们可以明确的是一些电子设备的系统将进行升级更新。如果我们继续努力下去的话，可能终有一天所有问题都会得到解决。 但无论如何，这都是一个好的迹象。迟早有一天，安卓也会拥有自己的一套升级机制，就像微软的’周二补丁日’一样。正如一年前安卓首席安全工程师Adrian Ludwig在Google总部说的，Google在安全领域做的相当出色，只需再对Google

本月新闻综述：8月，全球顶级安全会议Black Hat和DEF CON大会在万众瞩目下隆重开幕；更加高级的持续性威胁在中国和世界其他地方出现；恶意软件正在利用webmail通信；索尼PS游戏机网络发生令人诡异的短暂中断事件。来自Threatpost和Brian Donohue和Chris Brook将在2014年8月版的卡巴斯基每日播客上与我们一道回顾本月所发生的精彩新闻事件。 补充阅读材料 随着Black Hat安全大会逐渐从仅针对企业层面的会议转变为与消费者息息相关的会议，因此您能在卡巴斯基每日新闻中读到更多与此有关的内容。如需了解相关背景，可阅读新闻事件回顾。Threatpost的编辑Dennis Fisher和Mike Mimoso以及我本人也记录了一些有关Black Hat安全大会前两日播客新闻的主要内容，将带您一同更深入了解本年度”安全夏令营”的详细情况。 在”斯诺登棱镜门事件”发生后，这几个月甚至一整年似乎正在形成一种趋势：那就是越来越多的互联网得到了加密。就在本月，这一趋势再次应验，雅虎承诺将在今年年底对所有邮件端对端进行加密的同时，Google也宣布将给予那些使用安全SSL连接的网站优先搜索权。本月放出了大量补丁，但其中最引人关注的要数微软修补fiasco的补丁。微软本次所发布的标准”周二补丁”对大量用户机器造成了破坏，不得不最终在本周早些时候又发布了一份最新通知。正如我在播客中提到但并未详细说明，Google发布了针对Chrome浏览器的两项更新，你可以在这里和这里读到。此外，苹果在本月也同样发布了一些补丁。 您可以在Threatpost更深入地了解本月有关APT（高级持续威胁）的调查结果，其中包括Turla间谍软件以及非法入侵Community Health Systems的中国黑客小组。除了有关Community Health Systems黑客入侵的文章以外，我们还在卡巴斯基每日新闻上对其破坏性以及这一事件对我们的影响进行了分析。 在恶意软件最前沿，你可以读到所有关于新恶意软件如何利用雅虎邮箱作为通信中心以及一种全新的主要基于网页的流氓反病恶意软件的新闻。您可查看Chris Brook有关Verizon坚信可使用二维码作为身份认证机制的报道，此外还为您带来了有关上周因DDoS攻击造成PS游戏机网络短暂中断事件背后的真相。 播客：@TheBrianDonohue和@BrokenFuses对2014年8月的安全与隐私新闻进行了回顾

拉斯维加斯–每年的8月初，来自全世界各地的安全和黑客社区成员云集内华达州拉斯维加斯，参加一年一度的”安全夏令营”，期间将举办Black Hat大会和DEF CON黑客大会和B-Sides这样的会议。Black Hat大会作为一项历史悠久的商业安全会议，在所有会议中具有绝对的影响力。然而，最近该项会议议题越来越贴近消费者，所谈论话题更多的是关于将智能家庭、关键基础设施、移动设备以及其它联网设备作为目标的攻击。 会议完全报道：没有关于黑客入侵火车的演讲。 卡巴斯基实验室研究员Roel Schouwenberg刊登于Securelist的一篇报告中探讨了对后PC时代Black Hat大会的一些想法。与此同时，来自Threatpost的Mike Mimoso也在他的文章中提到了类似的模式：”固件将成为黑客们攻击的新领域，通过U盘将病毒植入家庭路由器和汽车，能够利用漏洞、盗取数据并侵犯隐私。” 一方面作为一名与会者，我很高兴能听到这些新消息，因为这意味着一些 “暗藏杀机”软件平台（主要由企业使用）的bug报告数量更少或者没有增加，而更多谈论的是与我们日常生活息息相关的系统漏洞话题。另一方面，Black Hat大会讨论焦点的转移显示出一种令人担忧的趋势：安全漏洞离我们的实际生活越来越近。 主题演讲 今年大会由安全领域受人尊敬的杰出人物Dan Geer发表主题演讲。与去年美国国家安全局局长亚历山大（Keith Alexander）发表主题时的景象完全不同，今年没有全副武装的警卫、捣乱分子或成群拿着鸡蛋随时准备向台上招呼的反对者。在近60分钟的演讲中，所有与会者饶都有兴趣地听着In-Q-Tel（美国中央情报局的私人风险投资公司）首席信息安全官Geer所谈论的十大安全戒律。 整个演讲中不乏亮点，其中谈到了美国应以10倍价格收购所有待售出售bug，从而垄断整个漏洞销售市场。随后再将漏洞信息存入公共资源库，让任何一家公司都能修复每一个bug并”销毁所有网络武器”。在安全、自由和便利中，我们一次只能选两样。世界上只有两种东西不存在产品责任，一种是宗教，还有一种就是软件。互联网服务提供商可能会基于内容，随心所欲地进行收费，但需要承担内容的责任；或必须选择支持网络中立性，同时享受公共承运人的保护。 “明智地做出选择，”Geer说道。”互联网服务提供商应选择其中的一项，而不是全部。” 黑客入侵人类和医院 让我们重新回到”安全影响我们实际生活”的话题，我们曾非正式地讨论过有关医疗设备安全的话题，其中的一些漏洞的的确确会影响到我们的身体。对我们大部分人而言，更为普遍且更致命的是放在医院的一台台医疗设备，而不是安装在病人身体内的装置。 不久的将来，很可能会出现以一台或数台医疗设备为目标的网络攻击。但好消息是医疗设备本身的安全程度极高。一台全自动的嵌入式胰岛素泵在调节和修正胰岛素水平方面的效果，远远优于血糖仪和一个月胰岛素注射量的效果。 这些漏洞广泛存在于两台医疗设备之间的通讯方式中，以及许多医疗设备以外的案例中，且无论设备是在病人还是医生控制下。我们需要明确的是，犯罪分子用笔记本电脑向一个嵌入式心脏起搏器发送致命冲击的可能性微乎其微。这一风险听上去虽然恐怖，但事实上存在无数更轻松的方法可以致他人于死地。你要相信，这里真正的风险事实上比早间谈话节目更加无聊。 “固件将成为黑客攻击的新领域，通过U盘将病毒植入家庭路由器和汽车，能够利用漏洞、盗取数据并侵犯隐私。” 由谁来负责为医疗设备制作补丁？谁负责安装这些补丁？这些费用又由谁来买单？无论是设备制造商、医院还是用户本身都很难给出明确的答案。我们所说的医疗设备并非只是心脏起搏器和胰岛素泵这些小型的医疗器械；而是诸如核磁共振机、超声心动图机和X光机这样的大型设备，以及医生用于管理一些重要敏感医疗数据的平板电脑甚至是台式电脑（通常安装Windows XP系统）。 这次非正式讨论所得出的最终结果是：篡改医疗记录–医疗事故和其他内容–可能会造成用药或治疗的失误，这可能是我们在联网医疗设备领域即将面临最多且危险性最高的风险。 最后我们应看到好的一面，因为在遭受真正攻击前就预见即将产生的问题本身就是一个积极的信号，因为这在高科技领域并不常见。 雅虎加密所有邮件 雅虎此前因某些原因无法对其网页邮件进行加密遭受到猛烈抨击，因此在不久前雅虎宣布将在未来的几个月甚至几年里对雅虎邮件做出一系列的安全变革措施。其中最主要的方案就是对所有网页邮件进行端对端的加密。这一举措将使雅虎的安全程度提升至与Google同等的水平。 访问the

本周要闻：10年前，首个已知的将移动设备作为目标的蠕虫病毒出现。另外，我们还将报道最新的安卓安全与隐私新闻以及几则泄露敏感用户信息的数据外泄新闻。当然，我们还将一如既往地为您提供有用的补丁信息。下面请见详细内容： 首个手机蠕虫病毒 10年前的这个星期，史上首个手机恶意软件出现在了诺基亚的塞班操作平台（现在几乎绝迹了）。已被大多数人所熟知的’Cabir’和如今的恶意软件样本完全不同，并非是在网上被精密的检测系统网络所发现。毫不夸张地说，当年’Cabir’可是被”一手交给”当时还略显年轻的卡巴斯基实验室的。 首个手机蠕虫病毒 在当年，恶意软件尚处在”纯真年代”，且相对来说Cabir是一种相当简单的蠕虫病毒。Cabir通过蓝牙传播，而在当时那个年代，蓝牙尚属于新鲜事物，而现在则再普遍不过了。Cabir最奇怪的地方是它除了向附近的手机散播外几乎没有任何危害，只是用户在每次打开手机后，其蓝牙功能会自动开启并在手机屏幕上显示”Caribe”字样。不知道你是否还记得，卡巴斯基实验室曾在一台诺基亚N-Gage手机上测出过这一蠕虫病毒。幸运的是，如果你对它还有所好奇的话，我们将所有感染过Cabir的手机型号做成一个幻灯片，供您观看。 安卓新闻 就在昨天，美国政府官员宣布Google和微软将在其各自的安卓和Windows手机操作系统中植入’终止开关’（kill switch）功能。你可能会感到奇怪，为什么是政府官员而不是Google或微软的官员发布这一声明。其个中原因不言而明，因为近几年手机盗窃案件呈现惊人的上升趋势。不幸的是，这些犯罪案件通常伴随着暴力行为，并导致受害人受伤甚至失去生命。 相关研究结果显示在苹果推出”启动锁”（ Activation Lock）功能的这段时间里，iPhone手机盗窃案件呈稳定的下降趋势。 由政府官员和执法人员组成的一个国际团体认为，与智能手机有关的犯罪暴利已然成为了一个普遍性的问题，因此他们发起了一项”拯救我们的智能手机”（S.O.S.）的倡议。S.O.S.倡议旨在说服微软和Google在其各自手机操作系统中安装防盗功能，使得手机一旦被盗后即无法再使用。当然，苹果已在其最新手机操作系统版本中加入了”启动锁”功能，使得盗窃者在没有正确的iCloud用户名和密码的情况下，根本无法解锁手机。 相关研究结果表明在苹果推出”启动锁”功能的这段时间里，iPhone手机盗窃案件数量稳定下降。而在同一时间内，将缺少’终止开关’功能的设备作为目标的盗窃案件则继续呈显著的上升趋势。昨天所发布的声明将意味着在接下来的几个月内，美国97%智能手机的最新操作系统版本将拥有’终止开关’功能。 数据外泄…又一次 本周”仅”发生了两起数据外泄事件：其中一起事件影响了约60万名的多米诺匹萨顾客–大部分在法国，还有一部分在比利时；另一起事件则与AT&T有关，影响了数量未知的移动运营商客户。本次AT&T事件使得该公司移动用户的生日和社会保险号遭到外泄。在多米诺匹萨的资料外泄事件中，客户的姓名、地址、电话号码、email地址、密码、交货说明甚至是最喜欢的匹萨馅料也惨遭泄露。有趣的是，在本次多米诺匹萨事件中，一支黑客小组宣称对此次攻击负责，并索要3万欧元的赎金以换取在本次攻击中所收集到的信息。多米诺匹萨公司官员表示在本次攻击中没有任何财务信息遭到外泄。他们已修复了导致外泄的bug并无意支付任何赎金。 补丁 最后但依然非常重要，目前十分流行的路由器品牌Belkin为其N150无线路由器内存在的一个严重漏洞打了补丁。这一bug能够使攻击者在受感染的路由器上访问任何系统文件，因此可能导致大量恶意行为。如果你正在使用该品牌的路由器，我们建议你尽快安装固件更新，但安装过程其实并不简单。首先，你必须访问Belkin N150网站并下载这一固件的最新版本。随后你必须登录你的路由器并上载全新固件。这里，我们有一篇关于如何安装路由器固件的通用说明文章。 其他新闻 美国联邦贸易委员会呼吁黑客们参加DEF CON黑客会议，共同开发能够成功引诱并识别进行非法robocalling（垃圾电话呼叫）欺诈的犯罪分子的技术。在Threatpost阅读更多内容。

如果您按照自己的规律方式，定期阅读卡巴斯基每日博客，则您可能已经了解到，当前针对现代化汽车实施的黑客攻击是极可能存在的。实际上，我已经基于威斯康星州大学及加利福尼亚大学的研究研究，于2010年在圣地亚哥市开展的广泛研究，撰写了一篇有关此方面的文章 。当然，唯一的问题在于，该研究为2010年实施的研究项目。幸运的是，著名的苹果公司黑客及富有盛名的计算机安全研究专家查理· 米勒博士（Dr. Charlie Miller）及IOActive公司的安全情报主管克里斯 ·维拉塞克（Chris Valasek）在上周的Def Con安全会议上，已就此方面的问题发表演讲。Def Con安全会议在拉斯维加市的里约酒店（跨过高速公路极为凯撒宫），该会议以黑帽安全协议问题结束。   此外，维拉塞克及米勒的研究——该研究报告超过100页——其研究范围也比先前的研究更为广泛。米勒及维拉赛格详细介绍了其试验所使用的汽车；而UC圣地亚哥及UW的研究员却未对此方面予以介绍。维拉萨克及米勒发布了所有有关漏洞的信息：汽车计算机通信所使用的代码、及如何操纵和欺骗汽车计算机、车载计算机的布局、如何通过网络连接车载计算机及其他信息。除此之外，研究人员还在公路上对测试所使用的汽车实施了黑客攻击。研究者在测试所用的汽车后座上，使用笔记本电脑以幽默的手法描绘出福布斯记者安迪· 柏林伯格试图驾驶受攻击汽车的场景（该汽车处于被研究员控制的状态）。 在我们正式进入这个有趣的话题之前，首先回顾一下汽车内的各种电子组件及车载计算机：现代化汽车中包含名为电子控制单元（ECUs）的小型计算机。在各种不同型号的汽车里面存在多个ECU，一些汽车里面所装载的ECU数量甚至已达到50个。此类ECU起着各种不同的作用。在米勒及维拉塞克试验所使用的汽车中，相互独立的ECU可起到控制、监视及帮助调节各种汽车操作。此类操作从发动机控制至电源管理至转向至防滑控制（防闭锁分断系统）至安全带闭锁至安全气囊至泊车帮助技术至名为综合性仪表组件范围内的各种操作，及其他若干项我从未听说过的装置操作。几乎所有的ECUs都通过网络和控制区域网络（CAN）总线相连接。CAN总线和ECUs一起组成现代化汽车的中枢神经系统，通过相互之间的通信报告车速、发动机每分钟转速；或在即将发生事故的条件下，向防碰撞系统发送消息，以使得汽车可以启动刹车装置、关闭发动机、闭锁安全带及其他一切当汽车发生碰撞时应实施的安全措施。绝大多数此类信号由内置于ECUs中的传感器触发。 为使得研究更有价值，维拉萨克及米克对2010年版的福特Escape车型及2010年版的丰田普锐斯车型实施测试。其研究结果可以直接或可从理论上，适用于其他品牌及型号的现代化汽车。 研究人员购买了价格较为便宜的ECOM电缆，该电缆不但可以连接ECOM设备，而且还可以通过USB端口，插入基于Windows操作系统的设备。经轻微修改后，研究人员可将ECOM电缆插入汽车的OBD端口（该端口处于方向盘下方，可在你汽车检修及其他相关工作中使用；在该端口中插入诊断工具后，可以重置发动机密码，关闭发动机指示灯等）。针对通过CAN总线相互通信的ECUs, 在向OBD端口插入ECOM缆线后，研究人员可以监测此类ECUs的通信状态，并了解ECUs之间的通信，如何影响两辆汽车的操作。在掌握ECUs之间的通信协议后，研究人员针对ECUs完成实施欺骗操作所需的准备工作（向汽车输入研究人员自行编制的信号，以模仿每个ECU s通过汽车CAN总线传输的信号）。 研究人员发现，他们可以操纵汽车的车速表、里程表及燃油表。 研究人员发现，他们可以操纵汽车的车速表、里程表及燃油表 基于测试所使用的汽车，研究人员可使汽车完成各种不同的操作。针对每辆汽车，研究人员所实施的操作，我将在下文中对此类极具趣味性的事项予以描述。如果您希望了解更多的信息，则请阅读维拉塞克及米克提供的报告。 研究人员发现，他们可以操纵汽车的车速表、里程表（用于测量汽车已行使距离的仪表）及油量表。在车速表方面，研究人员发现负责监测车速的ECU通过CAN总线，向ECU控制仪表盘重复发送信号。为使得车速表相信研究人员伪造的车速信号，研究人员向仪表盘发送的虚假信号量远大于实际负责监测车速的ECU所发送的信号量。一旦研究人员按照正确的信号发送频率，发送伪造的车速信号，则车速表则将显示任何研究人员所伪造的车速。 普锐斯的车门可通过ECU上锁及解锁。鉴于车锁配备有物理覆盖装置，这也就意味着研究人员无法将其他人锁在车内，但研究人员可以通过在车外解锁进入车内。 对于福特车来说，研究人员实施了拒绝服务的黑客攻击，通过对负责监测转向且通过CAN总线传输信息的ECU实施洪水炸弹攻击，可以关闭汽车的动力转向功能，并使汽车转向半径仅为全转向半径的45%。研究人员还发现，他们可以操纵泊车帮助模块（该模块的ECU可以控制平行泊车功能）。但是，研究人员承认，鉴于泊车帮助系统仅可使汽车在极低速度条件下形式，因此研究人员可造成的最大破坏仅是可使测试汽车撞上附近正在试图平行停靠的另一辆汽车。 同样，研究人员也成功扰乱了普锐斯的转向帮助系统。鉴于普锐斯中的ECU处于出厂设置状态下，因此仅在倒车及行驶速度低于每小时4英里的条件下，才可使用自动泊车帮助功能。维拉塞克及米克通过攻击成功欺骗汽车，使汽车在正常向前驾驶状态下，认为其处于倒车状态；或在汽车行使速度超过每小时4英里的状态下，认为其行使速度低于每小时4英里。研究人员无法像自动泊车功能那样使车轮精准转向，但研究人员可以控制车轮紧急转向，亦即使车轮突然转向另外方向。 普锐斯还具有车道保持功能。通过使用该功能，在普锐斯检测到驾驶员驾驶的汽车偏离车道时，可使得汽车稍微回转方向。负责实施该功能的ECU仅可使方向盘转向5度。研究人员成功对普锐斯的该项功能实施黑客攻击。尽管5度转向的转向角度较小，但研究人员指出，如果车辆处于高速行驶状态，或正在拥挤的道路上行驶，即便是5度转向也可能造成严重的后果。 对于福特汽车来说，研究人员可向CAN总线发送汽车刹车装置漏油的命令。在汽车刹车装置漏油时，汽车处于无法停止。刹车装置漏油攻击仅可在汽车行驶速度低于每小时5英里的条件下完成。尽管该车速相对较低，但在测试进程中，研究人员仍足以使福特Escape撞向车库墙壁。 福特汽车可通过CAN总线发送停止1个或多个活塞运行的消息命令。维拉塞克及米克重新编辑该命令代码，并重复不断的向福特汽车发送该命令。在研究人员停止发送该命令代码之前，福特汽车无法启动。尽管普锐斯的发动机关闭功能的技术特点不同，但其运行实质相似；因此普锐斯同样存在该漏洞。 研究人员还发现，福特汽车中存在1条可同时给关闭所有车内灯及车外灯的命令。在汽车处于停止状态时，负责控制车辆照明的ECU，仅可接收该命令。但是，在福特汽车处于停止状态的条件下，当研究人员向福特汽车发送该命令后，即便是再次处于移动状态，汽车仍在遵守该命令。可发动关闭所有车灯攻击，意味着研究人员可使福特汽车在无刹车灯的条件下，行使在高速公路上。另外，在泊车后研究人员还可通过攻击负责控制刹车开关的ECU，致使车辆无法开出泊车位。同样，对于普锐斯来说，在驾驶员启动车灯”自动”控制功能（该功能可使得普锐斯根据车外的光线强度，自动打开及关闭车前大灯）的条件下，扰乱普锐斯的车前大灯开关操作（打开或关闭车前大灯）。 在试图扰乱普锐斯巡航控制模块的测试中，研究人员未能致使普锐斯在巡航控制状态下突然加速，这是个好消息。但研究人员声称，他们可以通过欺骗汽车中的防碰撞系统，使普锐斯认为即将撞击前方的物体，而致使普锐斯巡航速度下降甚至完全停止。在该状态下，即便驾驶员连续踩下油门，汽车仍处于制动状态。为使得普锐斯的加速不受巡航功能的公制，研究人员必须将连接ECOM的电缆，直接连接至动力管理控制台（该控制台中的ECU负责控制汽车的加速操作）；其原因在于，该控制台的ECU并未连接CAN总线。研究人员仅在驾驶员踩下油门后的数秒内，控制普锐斯的加速操作。尽管如此，汽车的意外加速也可能造成潜在危险。 防碰撞系统的另一项功能为，可以启动安全带电动机，使车辆在发生碰撞之前，拉紧安全带。维拉塞克及米克可随意控制普锐斯安全带的拉紧操作。

机器学习在哪些方面让我们感到震惊？你能骗过一台机器吗？如果能，难度有多大？《终结者》里的Skynet（天网）和机器会真的出现在现实生活中吗？下面我们就来具体讨论一下。

我们创建了一项新服务，用于提供卡巴斯基实验室系统所遇到的任何文件的详细档案。

Kaspersky® Anti-Ransomware Tool for Business Kaspersky Anti-Ransomware Tool for Business 提供 100% 的勒索软件防范*” Kaspersky Anti-Ransomware Tool for Business 帮助您的企业轻松防范勒索软件！” 下载 免费的 ANTI-RANSOMWARE TOOL FOR BUSINESS 2017 年，勒索软件肆虐横行。 是时候奋起反击，保护您的企业了。 从全球航运巨头到国家卫生服务机构，甚至澳大利亚的测速摄像头运营商 1，各种规模的公司都成为网络犯罪分子的目标。这些犯罪分子加密和保留数据，直到受害人支付赎金。 65% 的企业在

如何利用经过时间考验的技术来为您的解决方案和客户保驾护航。

个人空间的界限在恋爱关系中特别容易模糊。在本文中，我们将谈谈过度的”信息亲密度”可能导致的问题。

了解感染了这种新型木马后会带来的后果

在本文中，我们将重点关注工业控制系统（ICS）：为什么了解ICS很重要，以及为什么我们需要保护ICS。

黑客可以拦截银行发送的短信，然后利用短信中的验证码获取帐户的完整访问权限。最近，德国有一批消费者非常倒霉，黑客正在利用这种办法盗用他们的帐户，导致经济损失惨重。下面我们来看看具体黑客是怎样得逞的。

关于NoMoreRansom这个原本就规模不小的计划，始于欧洲刑警组织、荷兰警方、英特尔安全公司以及卡巴斯基实验室之间的联合倡议，我们最近也发表了与此有关的博文。迄今为止，已有超过13个国家加入，而NoMoreRansom也帮助了2500名用户成功解密了遭勒索软件破坏的数据—且未支付任何赎金。

整个2015年发生的互联网安全事件可谓数不胜数。要从所有这些中挑选出10个当年最热门的话题可以说是一项极其艰巨的任务。照旧如果你对榜单有异议或认为还有哪些事件应该入围的话，请在下面的评论栏留下您宝贵的意见。闲话少说，下面就开始逐一揭晓2015年十大安全事件榜单。

生活在数字时代意味着我们日常中的大多数’物件’均由计算机操作和/或控制。从家用电器到汽车，从生产工厂和发电厂到港口和船舶几乎无所不包，铁路和火车也当然不例外。