今天的安全早报包括:勒索软件 Scarab 通过垃圾邮件网络Necurs传播;AlphaBay “新闻发言人”24岁的Trappy 在美国正式遭到指控;英国信息专员办公室确认Uber UK也遭受到数据泄漏事件的影响;接近1,500 网站加载的 LiveHelpNow 组件中存在挖矿脚本;Intel ME 问题影响宏基、戴尔、富士通、惠普、联想、松下等厂商产品;
【国际时事】
勒索软件 Scarab 通过垃圾邮件网络Necurs传播
网络犯罪者似乎都已经放弃了自己的感恩节假期,逼迫安全工作者们也必须加班奉陪……
安全研究员发现最早出现在今年6月的勒索软件Scarab正在经由Necurs垃圾邮件僵尸网络传播。这项恶意行动在欧洲时区的早间发生,F-secure,Forcepoint,MalwareHunter和MyOnlineSecurity等安全企业的研究员(没有忙着度假的那些)都观察到了这次的行动。
根据他们的记录,截止中午的时候, Necurs已经发送了接近 1250万份携带最新 Scarab
勒索软件的垃圾邮件。Scarab是今年由Necurs网络推送的第四波勒索软件,前3款分别是Locky, Jaff, 和
GlobeImposter。除了勒索软件之外,这个网络上还推送过银行木马Dridex和Trickbot。
[来源:bleepingcomputer]
AlphaBay “新闻发言人”24岁的Trappy 在美国正式遭到指控
佐治亚州亚特兰大当局正式对一名 24 岁的伊利诺伊州男性 Ronald L. Wheeler 提起了官方指控。他在网络上的名字是 Trappy 或 Trappy_AB(Reddit用户名),同时也是今年夏天关闭的AlphaBay暗网市场的新闻发言人。
Trappy目前是美国当局追踪中排名最高的AlphaBay成员。Trappy在11月中旬接受了庭审,并被法官释放,条件是递交他的身份凭证并接受毒品检测。
[来源:bleepingcomputer]
【数据泄漏】
英国信息专员办公室确认Uber UK也遭受到数据泄漏事件的影响
英国信息专员办公室确认Uber UK也遭受到本周的Uber5700万用户数据泄漏事件的影响,目前事件的具体调查还在进行之中。在官方的通告中,James Dippl表示,Uber数据泄漏及后续的掩饰行为违反了数据保护政策和企业道德。
英国信息专员办公室表达了企业没有履行职责并企图从用户和监管部门处隐瞒情况的谴责,并表示可能会导致最高级别的处罚(£500,000)。“我们正在和 NCSC 一起继续调查此次事件对英国以及其他地区的影响,我们也会采取相关措施保障企业能够遵守数据保护协定。”
[来源:infosecurity-magazine]
【硬件安全】
Intel ME 问题影响宏基、戴尔、富士通、惠普、联想、松下等厂商产品
宏基、戴尔、富士通、惠普、联想、松下等厂商目前已经得到官方通知,他们的产品中可能收到受到 Intel芯片组中的8个安全漏洞的影响。也就是说,黑客很可能彻底掌管相关的设备。
此前FreeBuf也报道过Intel方面已经将所有的漏洞情况清晰地披露出来了。英特尔表示,现在出现的这些漏洞可能会使黑客冒充ME,SPS或TXE机制,进而让本地安全功能失效。
现在看来,在此次事件中,很多PC和笔记本厂商都是用了存在漏洞的固件版本,目前统计还在进行中,但超过900种PC和笔记本型号已经确认受到影响。
[来源:bleepingcomputer]
【Web安全】
接近1,500 网站加载的 LiveHelpNow 组件中存在挖矿脚本
安全是和时间的战斗,感恩节的加班的一位安全研究员Troy Mursch 在分析了多家网站的源码之后找到了一个大型的劫持行动。
这位研究员发现的是类似于Coinhive的浏览器内挖矿程序 ,这个程序以JavaScript文件的方式嵌入在 LiveHelpNow
组件之中(一个在线聊天帮助组件)。
目前还没有调查清楚,挖矿内容是如何混进这个组件之中的。目前按照PublicWWW的记录来看,接近1500家站点使用了 LiveHelpNow,他们主要是在线购物的网站和私人企业的主站点。
黑色星期五之中,购物的热潮不会退去,来到这些站点的用户势必能够用自己计算机的算力来为“幕后策划者”增加口袋里的财富。
[来源:bleepingcomputer]
【国内新闻】
未来3年网络安全人才缺140万 360将成立安全学院
360公司首席安全官谭晓生透露,360网络空间安全学院即将成立,第一批将在武汉、西安和北京试点,目标是每年为产业培养一万名网络安全防御型人才。
网络安全的本质在对抗,对抗的本质在攻防两端能力较量。而网络空间的竞争,归根结底是人才竞争。
数据表明,当前我国信息系统和信息基础设施等重要行业需要网络空间安全人才70万,至2020年将急剧增加到140万,并且预计以后将以每年1.5万人的速度递增。而近三年来,各高校科班毕业的网络安全类人才只有30,667人,我国网络安全人才培养陷入困局亟待破解。
面对网络安全人才缺口,谭晓生透露,360网络空间安全学院即将成立,第一批将在武汉、西安和北京试点,目标是每年为产业培养一万名网络安全防御型人才。
[来源:cnbeta]
转载至freebuf网站:freebuf