【网安动态】Project Zero 团队深入剖析了在野外被利用的 iOS 漏洞;谷歌扩展安全奖励项目


内容提要:

1. Project Zero 团队深入剖析了在野外被利用的 iOS 漏洞

2. 谷歌扩展安全奖励项目 覆盖数据滥用和更多 Android 应用程序

3. 安全研究人员警告 WS-Discovery 协议被被用于大规模 DDoS 攻击

4. Facebook 天秤币发起赏金计划 发现漏洞奖 1 万美元

5. 所有 Instagram 用户都存在新型钓鱼网络威胁

6. 开发者移除 11 个 Ruby 库中 18 个带有后门的版本

7. 2019东京Pwn2Own邀请选手攻击Facebook设备

8. 法国警方拆除了Retadup僵尸网络服务器

9. 怀疑Gorgon黑客组织在肯尼亚和印度的钓鱼活动


1. Project Zero 团队深入剖析了在野外被利用的 iOS 漏洞

作为谷歌旗下的一支安全研究团队,Project Zero 致力于在第一时间发现查找和报告安全漏洞,无论是自家的产品或服务、还是来自其它企业的安全隐患。今年早些时候,谷歌威胁分析小组(TAG)发现了一小部分黑黑客入侵的站点,证实其能够利用零日漏洞,对使用 iPhone 的访客展开无差别攻击。
2. 谷歌扩展安全奖励项目 覆盖数据滥用和更多 Android 应用程序
自 2010 年推出除虫赏金项目以来,谷歌已经向安全研究人员支付了超过 1500 万美元的奖励。今天,这家科技巨头宣布进一步拓展 Google Play 安全奖励项目(GPSRP)的范围,以覆盖上亿的 Android 应用程序。与此同时,谷歌与 HackerOne 合作推出了开发者数保护奖励(DDPRP)项目,适用于针对 Android 应用、OAuth 项目、以及 Chrome 扩展程序的数据滥用。  谷歌认为,除虫奖励项目是其内部安全计划的一个有力补充,能够激励个人和安全研究机构帮助其找到缺陷并正确地披露,而不是将之在灰色市场兜售或恶意使用。
3. 安全研究人员警告 WS-Discovery 协议被被用于大规模 DDoS 攻击
早在今年五月,外媒就已经报道过 WS-Discovery 协议被滥用于发起 DDoS 攻击。为了防止被更多别有用心者利用,研究人员只能相对克制地不披露更多细节。然而最近一个月,滥用 WS-Discovery 协议发起的大规模 DDoS 攻击已经愈演愈烈,频度几乎达到了一周一次。作为一种多播协议,该协议原本用于在本地网络上“发现”通过特定协议或接口进行通信的附近其它设备。
4. Facebook 天秤币发起赏金计划 发现漏洞奖 1 万美元
Facebook和其合作伙伴正在推进他们的Libra(天秤币)加密货币项目,并宣布他们正与HackerOne合作,针对Libra区块链上的应用程序,推出漏洞赏金计划。尽管政府监管机构已经要求公司暂停该项目,以便评估Libra的合法性和其可能对全球金融系统带来的威胁,但Facebook的脚步似乎并未停止,同时又发起漏洞赏金计划以证明公司决心承担责任的态度,好照着公司期望的样子重塑全球金融体系。
5. 所有 Instagram 用户都存在新型钓鱼网络威胁
来自Sophos的网络安全专家近期发现了新型网络攻击方式。虽然要比以往攻击方式更加复杂,但可使用双因素(2FA)来获取受害者的账号信息。研究人员警告称,黑客使用伪造的2FA页面让用户相信有未经授权的登录行为,并要求用户登陆来确认他们的身份。
6. 开发者移除 11 个 Ruby 库中 18 个带有后门的版本
RubyGems 软件包存储库的维护者近期移除了 11 个 Ruby 库中出现的 18 个恶意版本,这些版本包含了后门机制,可以在使用 Ruby 时启动加密货币挖掘程序。恶意代码最初发现于 4 个版本的 rest-client 库中,rest-client 是一个非常流行的 Ruby 库。
7. 2019东京Pwn2Own邀请选手攻击Facebook设备
趋势科技的零日活动(ZDI)周三公布了Pwn2Own Tokyo 2019的奖项,规则和目标,该活动将于11月6日至7日在日本东京举行的PacSec会议期间举行。  今年的活动针对17种设备,超过750,000美元的现金和奖品正在提供给可以破解它们的研究人员。  目标列表已经扩展,Pwn2Own Tokyo 2019邀请白帽黑客利用他们在Facebook,Portal智能显示器和Oculus Quest虚拟现实耳机两种设备中发现的漏洞。  Oculus Quest或Portal中的远程执行代码漏洞可以为参与者带来高达60,000美元的收益,而本地特权升级或非侵入性物理攻击价值高达40,000美元。
8. 下载量超过一亿的流行应用被发现含有恶意模块
来自网络犯罪战斗中心(C3N)的法国警察小组拆除了Retadup蠕虫命令和控制服务器,以阻止进一步的感染,并从850,000台Windows计算机远程擦除恶意软件。  Retadup是一种恶意蠕虫,可以感染易受攻击的Windows计算机,并控制它添加到其僵尸网络中,此外,它还会在受感染的计算机上安装其他恶意软件负载。  Avast通过帮助他们使用Retadup智能详细信息并分享技术从受感染的受害者的计算机上擦除Retadup蠕虫,在此操作中发挥了重要作用。
9. 怀疑Gorgon黑客组织在肯尼亚和印度的钓鱼活动
最近,360安全中心截获了一些主要针对印度和肯尼亚的网络钓鱼攻击。经过技术分析,它发现在网络钓鱼攻击的早期阶段使用的各种技术被朋友们披露的Gorgon黑客团伙使用。技术非常相似,区别在于最终的有效载荷不是Gorgon团队擅长的RevengeRat,而是Tepfer的黑客攻击木马。  除了窃取存储在用户计算机上90多种常用软件(包括FTP,邮件,浏览器等)上的敏感信息外,Tepfer Trojan还将进一步下载攻击有效负载以供执行。


    已同步到看一看

    发送中

    本站仅按申请收录文章,版权归原作者所有
    如若侵权,请联系本站删除
    觉得不错,分享给更多人看到