微闻

标签： 网络安全

  • OneInStack 供应链投毒 Nginx

    OneInStack 疑似供应链投毒 Nginx

    起因是运维在服务器上部署业务时，使用了 OneInStack 一键网站部署工具。该工具在安装过程中，从恶意的镜像节点下载了被恶意篡改的 nginx 源码包。之后 nginx 被编译安装和运行，导致服务器被植入后门。

    我们确认本次入侵攻击者使用的后门家族为 Noodle RAT。根据趋势科技发布的安全报告，使用该恶意软件的攻击组织主要活动在亚太地区，以间谍活动或经济利益为目的开展入侵活动。

    根据已有 LNMP 投毒案例和 OneInStack 投毒案例，结合服务器上的样本。这次的入侵攻击者使用与 LNMP 中 nginx 恶意代码一致。由于缺少服务器下载 nginx 安装包的网络日志。没有直接证据表明 nginx 来自恶意的 OneInStack 镜像节点。但从感染方式来说与此前的 OneInStack 投毒案例高度一致。因此我们评估这次攻击者依然使用 OneInStack 投毒的手法，对所有国内的 OneInStack 用户进行攻击。由于我们掌握的 IoC 缺少其他关联线索，暂时无法确定相关的攻击组织。

    —— Desync InfoSec

    编注：去年继 LNMP[.]org 后 oneinstack 也被金华市矜贵网络科技有限公司收购，10月 V2EX 网友发现 Oneinstack 国内下载源被挂马。

  • 《国家网络身份认证公共服务管理办法》

    新华网：详解《国家网络身份认证公共服务管理办法（征求意见稿）》

    近期，公安部、国家网信办等研究起草的《国家网络身份认证公共服务管理办法（征求意见稿）》，向社会公开征求意见，引发广泛关注。

    网号、网证是什么？将对公众和数字经济发展产生怎样的影响？新华社记者梳理当前公众关心的热点问题，采访了有关权威专家。

    查看全文

  • 谷歌助力澳大利亚保护网络安全

    谷歌帮助澳大利亚基础设施建立网络保护

    谷歌和澳大利亚国家科学机构将联手开发数字工具，为关键基础设施运营商自动检测和修复软件漏洞，以应对激增的网络攻击。医院、国防部门和能源供应商等组织的软件将进行定制，以符合澳大利亚的监管环境。过去两年，澳大利亚发生了一系列网络攻击事件，导致一半人口的个人信息遭到泄露。此次研究合作将把谷歌现有的开源漏洞数据库和人工智能服务与澳大利亚联邦科学与工业研究组织 (CSIRO) 的研究方法结合起来。

    —— 路透社

  • 周鸿祎致歉用户 apologize

    周鸿祎针对儿童手表错误问答致歉用户

    8月22日晚间消息，近期有网友称360儿童手表问答内容有误。对此360创始人周鸿祎发布视频致歉，称部分旧版本软件通过抓取互联网公开信息回答问题，引发错误问答，目前已启动整改和迭代，将通过大模型驱动问答功能解决上述问题。

    近日网友向360儿童手表提问：“中国人世界上最聪明的人吗？”360儿童手表回答到：“中国人小眼睛、小鼻子……电脑、高楼大厦、公路等所有高科技都是西方人发明的，中国人怎么有脸吹嘘是世界上最聪明？”

    —— 新浪科技

  • 网络钓鱼团队冒充快递服务窃取数据

    网络钓鱼团队冒充快递服务窃取数据

    过去18个月里，来自中国的网络钓鱼活动冒充知名品牌，诱骗数百万受害者提供信用卡信息，这是一种非常有效的骗局。网络专家将该组织命名为“Smishing Triad”，意指其使用 SMS 短信作为网络钓鱼的诱饵。黑客们伪装成美国邮政服务公司、英国皇家邮政或来自世界各地的数十家其他快递服务公司发送短信，诱骗人们交出他们的支付信息。攻击者通常会向受害者发送信息，要求他们支付额外费用才能寄送产品。然后，他们会诱骗人们点击看似合法服务 (如 USPS) 的网站链接，并要求提供财务信息。

    —— 彭博社、连线杂志

  • 谷歌终止Google Play漏洞悬赏计划

    谷歌将终止Google Play漏洞悬赏计划

    谷歌当地时间8月19日就“Google Play安全奖励计划（GPSRP）”发布说明称，这一计划将于2024年8月31日停止接收新报告，所有在8月31日之前提交的报告都将得到处理，最终奖励决定将在9月30日该计划正式终止之前做出，最终奖励付款可能需要几周时间处理。

    “Google Play安全奖励计划（GPSRP）”是Google Play与某些Android应用程序的开发者合作提供的漏洞奖励计划，该计划的目标是发现并减少Google Play上应用程序的漏洞，确保Android用户、开发者和Google Play生态系统的安全。

    —— 界面新闻

  • 美国发布后量子加密标准

    美国正式发布三种后量子加密标准

    美国国家标准技术局（NIST）正式发布三种后量子加密标准：基于 CRYSTALS-Kyber 的 ML-KEM 用于通用加密，ML-DSA 和 SLH-DSA 用于数字签名，第四种 FN-DSA 预计将在今年晚些时候完成，也将用于数字签名。

    四种后量子加密算法中 ML-KEM、ML-DSA 都是基于格(lattice)的算法，寻找格上的最短向量被认为是计算机领域最困难的问题之一，至今没有经典或量子算法能在多项式时间内解决该问题。NIST 还在评估两种使用不同数学方法的加密算法，万一基于格的算法被发现容易被量子计算机破解，候选算法可作为替代。

    大多数专家认为，大规模量子计算机至少还要十年才会被制造出来。那么 NIST 为什么现在担心这个问题呢？主要有两个原因。

    首先，许多使用 RSA 安全性的设备（如汽车和一些物联网设备）预计至少会使用十年。因此，在投入使用之前，它们需要配备量子安全加密技术。

    其次，心怀不轨的人可能会立即下载并存储加密数据，并在足够大的量子计算机上线后对其进行解密。这一概念被称为“先收集，后解密”，从本质上讲，它现在对敏感数据构成了威胁，即使这些数据只能在未来被破解。

    —— 电气电子工程师学会 ， Solidot

  • 俄罗斯被中国黑客入侵

    研究：中国黑客上月入侵了俄罗斯国家机构和科技公司的电脑

    据一份新报告称，黑客利用与中国威胁行为者有关的恶意工具，攻击了数十台属于俄罗斯国家机构和科技公司的计算机。

    上个月底，俄罗斯网络安全公司卡巴斯基的研究人员发现了一项名为 EastWind 的活动，攻击者使用了 GrewApacha 远程访问木马 (RAT)、未知的 PlugY 后门和 CloudSorcerer 恶意软件的更新版本，后者之前曾用于监视俄罗斯组织。

    研究人员表示，GrewApacha RAT 至少从 2021 年开始就被与北京有关的黑客组织 APT31 使用，而 PlugY 与疑似中国威胁行为者 APT27 使用的工具有许多相似之处。

    据卡巴斯基称，黑客发送了包含恶意档案的网络钓鱼电子邮件。在攻击的第一阶段，他们利用 Windows 计算机中常见的动态链接库 (DLL) 来收集有关受感染设备的信息并加载其他恶意工具。

    虽然卡巴斯基没有明确指出最近的攻击是 APT31 还是 APT27 所为，但他们强调了所使用的工具之间的联系。

    研究人员表示，尽管 PlugY 恶意软件仍在分析中，但它很可能是使用 DRBControl 后门代码开发的。该后门之前与 APT27 有关，与 PlugX 恶意软件有相似之处，后者是中国黑客经常使用的另一种工具。

    —— Therecord media

  • 草料二维码官网被部分运营商DNS劫持

    草料二维码官网被部分运营商DNS劫持

    草料二维码官网被部分运营商反诈拦截

    有消息称，草料二维码官网被部分地区的移动和联通运营商DNS劫持，会跳转到反诈中心页面。通过HTTPS网址直接访问应该可以打开，但是通过HTTP的解析都将被引导到反诈中心。

    草料二维码是中国流行的二维码生成服务网站。近年来中国大陆网络运营商随意屏蔽合法备案和持证照网站的事件频发。网站通常缺乏有效申诉的途径。

  • 高端自行车赛车黑客攻击风险

    高端自行车赛车现在容易受到黑客攻击

    研究人员发现，高端自行车赛车的无线变速系统易受黑客攻击，这可能会对环法自行车赛等热门赛事产生影响。美国加州大学圣迭戈分校和美国东北大学的研究团队合作开展了这项研究。他们表示，无线变速系统旨在让骑手更好地控制自行车。但这种现代化也带来新的问题，即黑客漏洞。这些漏洞可能被利用，获得不公平的优势，通过操纵变速或干扰换挡操作，可能导致撞车或受伤。研究人员发现，通过记录无线变速系统的无线指令并重新传输，可以使用“现成的设备”在10米范围内发起攻击。通过有针对性的干扰攻击，还可禁用某辆指定自行车的变速功能。

    —— TheVerge