今天的安全早报包括：本月第二次，美国陆军“智库”最高机密文件公开在AWS S3上；新的Mirai僵尸网络攻击阿根廷的ZyXEL设备；MacOS重大漏洞：反复按键即可创建root账号；Google检测到监控WhatsApp, Skype的Android恶意程序。

【国际时事】

本月第二次，美国陆军“智库”最高机密文件公开在AWS S3上

同样是来自 UpGuard 的披露信息，不过这次的主角换成了INSCOM。这家 INSCOM 实际上是美国陆军情报与安全司令部，主要负责为美国陆军提供信息策略、安全管理和情报决策等信息，也就是常见意义上的陆军“智库”。

位于加利福尼亚的安全公司 UpGuard 继续发现了另一个可以公开访问的 S3 bucket。在主目录下，可以看到一些文件和二级目录，文件中有3个可以自由下载，47个可以自由浏览。

其中的一个文件是Oracle虚拟机文件格式（.OVA）。还附带一个虚拟硬盘文件，专家认为这可能是用来远程接收国防部数据的。由于现在并没有连接上 Pentagon 的系统，目前还没有办法直接获取到数据的内容，但专家们可以通过分析虚拟硬盘文件的元信息来了解内部文件的情况。

新的Mirai僵尸网络攻击阿根廷的ZyXEL设备

360 Netlab的安全研究人员在利用蜜罐对僵尸网络进行流量跟踪时发现了Mirai的新变种，Mirai是一个由IoT设备组成的僵尸网络，去年曾造成严重破坏。

上周，研究人员注意到在不到一天的时间里，来自阿根廷数十万个独特IP地址的流量扫描端口2323和23有所增加。

目标端口扫描在找ZyXEL Communications使用的两个默认Telnet密码（admin / CentryL1nk和admin / QwestM0dem），以获得目标设备的root权限。

研究人员认为这些新活动是Mirai所为，该变种已经升级为利用ZyXEL PK5001Z设备中新发布的漏洞（漏洞编号CVE-2016-10401）。

Mirai是一个物联网僵尸网络，去年曾经攻击过大型互联网公司，对Dyndns发起大规模的DDoS攻击，其他目标包括Twitter，Netflix，亚马逊，Slack和Spotify在内的全球最大的网站。

[THN]

【漏洞攻击】

MacOS重大漏洞：反复按键即可创建root账号

macOS又被爆出漏洞，最新版本的macOS High Sierra能让用户创建一个空密码的root账号，创建方法非常简单，只需要反复按键。

攻击场景是：用户没有锁定Mac就离开了办公桌。

攻击者通过反复案件就可以创建root账号，之后就可以登陆设备，root账号也可以被用来远程访问。

利用方法：

1. 打开macOS系统设置

2. 移步至用户和用户组

3. 点击左下角的锁

4. 在用户名处输入root

5. 把光标移到密码区域

6. 反复点击解锁按钮

[FreeBuf]

Google检测到监控WhatsApp, Skype的Android恶意程序

为了保护Android用户低于恶意软件，Google一直在推广Google Play保护服务来检测并清除用户设备上的恶意应用。

最近Google Play Protect帮助Google研究人员找到一个Android间谍软件家族，这个木马能够窃取用户的大量信息。Tizi是一个功能齐全的Android后门，首次在非洲的设备上出现。它具有root功能，能够安装间谍软件应用程序在受害者的设备上窃取来自Facebook，Twitter，WhatsApp，Viber，Skype，LinkedIn, Telegram等流行社交媒体应用程序的敏感数据。

谷歌在一篇博客文章中表示：“Google Play Protect安全团队在2017年9月发现了这个病毒，当时设备扫描发现了一个具有利用旧漏洞root手机的应用程序。 “该使用这个应用程序在Tizi家族找到更多的应用程序，其中最旧的诞生于2015年10月。”大多数Tizi感染的应用程序在社交媒体网站和第三方应用程序商店进行广告，诱骗用户进行安装。

[THN]

【国内新闻】

工程院院士： IPv6 时代将真正能实现网络实名制

中国工程院院士、中国互联网协会理事长邬贺铨在接受采访时表示， IPv6 时代将能实现真正的网络实名制 ，“可以说，我们的 IP 地址资源是严重匮乏的，不但限制了我国互联网的发展，还给安全管理带来了难度。目前我们的 IP 地址是动态分布的，无法实现地址与计算机，或者地址与人的一一对应。但到了 IPv6 时代，有了足够多的地址，每个人一个地址，我们就可以实现实名制，网络安全管理能力就提高了，比如像网络诈骗追溯的难度会大大降低。”

由于 IPv6 协议下，IP 地址数量接近无限的特点，这将打破现在地址资源分配的格局，未来将可以实现自由取用。邬贺铨称，为了更好地定位用户，我国还将编写一套 IP 地址的分配规则，目的是让 IP 地址生成有规律可循。

“就像电话和手机号码的分配，比如我们现在通过区号，或者手机号码的号段就能判断出该号码属于哪个区域、哪个运营商、哪个年代等，未来 IP 地址的分配也会采用类似的方法进行管理。”

[澎湃新闻]

转载至freebuf网站：freebuf