本周安全资讯
- 研究人员曝光Snapchat源代码
- 墨西哥超过200万医疗数据曝光
- 台积电感染WannaCry勒索软件，预估损失2.5亿美元
信息泄露
1.研究人员曝光Snapchat源代码
Snapchat源代码在GitHub上被曝光，Snap公司依据DMCA提出版权撤除请求，目前，GitHub已移除该资源。知情人士透露，本次泄露事件源于研究人员无法向Snap公司反馈其发现的Bug，Snap公司回应可在HackerOne上参与Bug赏金计划。根据HackerOne官方数据，Snap公司已在12小时内回复初步报告，并支付超过22万美元的赏金。
2.墨西哥超过200万医疗数据曝光
研究人员通过Shodon发现，MongoDB数据库无需密码即可访问，其中超过200万墨西哥公民的医疗数据或已泄露，包括姓名、性别、出生日期、家庭住址、健康状态及保险信息等隐私数据。通过分析数据库，研究人员向对应医疗机构Hova反馈了该泄露事件，Hova已采取措施，并着手调查事件详情。
网络攻击
1.美国多家支付公司遭遇BGP劫持攻击
美国支付公司Datawire、Vantiv和Mercury的DNS服务器遭到BGP劫持攻击，攻击者将这些公司指向安全网站的链接重定向到恶意网站，并窃取数据。Oracle研究人员发现，此次攻击与4月针对AWS的劫持攻击相似，当时黑客将加密货币钱包用户重定向到窃取其资金的恶意网站，窃取价值16万美元的加密货币。
黑客活动
1.Anonymous扬言攻击 QAnon
黑客组织Anonymous在YouTube和Twitter上扬言，将攻击QAnon运动及其创建者。去年以来，QAnon通过在匿名看板上预告和点评重大事件，引起了众多阴谋论爱好者的关注。Anonymous表示无法袖手旁观人们被误导和利用，呼吁大众一起采取行动，消除QAnon可能会对现实生活造成的不利影响。
恶意软件
1.台积电感染WannaCry勒索软件，预估损失2.5亿美元
近日，苹果供应商台积电工厂设备遭勒索病毒Wannacry感染，多家工厂因此停产。据了解，本次事件源于新设备安装过程中的错误操作，受影响工厂已相继恢复正常生产，公司主计算机系统未受到感染，无任何机密信息泄露。公司已通知客户，并进一步加强安全措施。此次事件预估损失达到2.56亿美元，尚不清楚是否会影响苹果新品发布。
漏洞曝光
1.Linux内核出现漏洞，可触发远程DoS攻击
研究人员发现，由于错误处理特殊构造的TCP数据包，Linux内核版本4.9及其后续版本出现漏洞SegementSmack（CVE-2018-5390），攻击者可通过网络工具套件发起DoS攻击。Linux内核开发人员已发布补丁，但未提出其他缓解措施。截至目前，数十家主流厂商受到影响，包括亚马逊，苹果，黑莓，思科，戴尔，谷歌，惠普，IBM，联想，微软等。
2.WhatsApp漏洞曝光，黑客可传播虚假信息
CheckPoint研究人员发现，WhatsApp中存在漏洞，允许黑客在社交应用程序中创建、修改和发送虚假消息。该漏洞位于WhatsApp移动应用程序与WhatsApp Web的连接方式中，通过protobuf2协议解密端到端加密消息。WhatsApp表示，该漏洞不会破坏端到端加密的基本功能，目前已限制转发内容，为转发邮件添加标签并对群聊进行更改。
3.惠普打印机漏洞影响160款产品，官方补丁已发布
惠普Inkjet打印机出现两个严重漏洞，编号为CVE-2018-5924和CVE-2018-5925。通过向受影响设备发送特制文件，攻击者可触发堆栈或静态缓冲溢出并执行任意代码。据了解，约160款产品受到这些漏洞影响，惠普已为所有受影响产品发布固件更新，并推出私有漏洞奖励计划，发现漏洞最多可获得1万美元奖励。
安全资讯
1.IBM开设新实验室，致力于识别并修复ATM、物联网设备漏洞
据外媒报道，IBM X-Force Red将开设四个实验室用于识别并修复设备和系统中的安全漏洞。该实验室由Big Blue的X-Force Red资深黑客组成，可评估物理、网络、应用程序和ATM的计算机系统安全，开发针对产品的渗透测试，为产品工程师提供安全指导，识别物联网设备的安全漏洞并进行修复。
2.Let’s Encrypt受所有主流根证书程序信任
Let’s Encrypt近期宣布，其根证书ISRG Root X1受所有主流根证书程序的直接信任，包括微软、谷歌、苹果、Mozilla、甲骨文和黑莓等。据悉，仍有许多旧系统未直接信任Let’s Encrypt，部分不会升级程序并直接信任Let’s Encrypt的旧系统，需要至少五年时间等待其生命周期终止。目前，Let’s Encrypt证书将通过由IdenTrust交叉签名的中间证书在这些系统中运行。
閱讀更多 安勝ANSCEN 的文章
