密歇根大学的计算机科学家设计出一种新的处理器架构，能主动抵御未来威胁，事实上让现有的 bug 和补丁安全模式过时。被称为 MORPHEUS 的芯片通过每秒 20 次加密和随机重编关键数据比特来阻止潜在的攻击，远快于人类黑客能做出反应的速度，比最快的电子黑客技术快数千倍。

密歇根大学教授 Todd Austin 称，今天一个接一个消除 bug 的方法是一种失败的博弈，只要有新的代码，总会出现新的 bug 和安全漏洞。

通过使用 MORPHEUS，即使黑客发现了一个 bug，利用 bug 所需的信息会在 50 毫秒后消失，它可能是最接近不会被黑的安全系统。

来源：solidot.org

更多资讯

加拿大边境服务局因旅客拒绝披露密码而扣押其手机和笔记本电脑

加拿大边境服务局被指因律师拒绝披露密码而扣押其手机和笔记本电脑。这位叫 Nick Wright 的加拿大律师于 4 月 10 日乘飞机在多伦多的 Pearson 机场入境，他被要求接受额外的检查，边境服务局没有给出检查的理由。

来源： solidot.org
详情： http://t.cn/EoavJhT

黑客攻击 GitHub 仅获 2.95 美元 买咖啡都不够

据此前报道，日前有黑客攻击 Github，删除了 Git 代码库中一些用户的源代码以及近期的更新，并留下勒索留言，要求受害者支付 0.1 比特币的赎金。攻击者的确收到了赎金，然而收到的比特币甚至还不够在美国买一杯咖啡。

来源： 新浪财经

详情： http://t.cn/EoavSwv

网信办征求意见：App 这些行为属违法违规收集个人信息

各有关单位及专家：落实《关于开展 App 违法违规收集使用个人信息专项治理的公告》，App 专项治理工作组在中央网信办、工信部、公安部、市场监管总局指导下，开展了 App 违法违规收集使用个人信息安全评估，发现一些 App 存在强制授权、过度索权、超范围收集个人信息等问题。

来源： 网信中国

详情： http://t.cn/EoavCY0

网易邮箱回应大量账号被叫卖：仅涉及邮箱地址，已报案

7 日下午消息，针对媒体报道的“大量网易邮箱账号遭公开叫卖”，网易邮箱在其官方微博上发表声明称， 经查，报道中提及的违法行为，仅涉及邮箱地址，不涉及用户敏感信息，并已第一时间向公安机关报案。今日早些时候，人民创投报道称，在某交流平台，有人公开叫卖网易邮箱账号，百万邮箱售价仅 50 元。卖家自称可向这些邮箱发送营销信息，并展示了据说包含有百万个邮箱账号的文件。经测试，仅有 6 个邮箱发送失败。

来源： 新浪科技
详情： http://t.cn/EoavOso

（信息来源于网络，安华金和搜集整理）

网络犯罪组织会为了争夺客户而相互竞争，会花重金招募最优秀的项目经理，甚至会寻找合适的人才来担任类似于首席执行官的角色，在规范管理人员配置和攻击事务之外负责如何帮助牟取更多的资金。来自IBM和谷歌的安全研究人员描述了网络犯罪组织内部是如何运作的，并且称它们经常会公司化运作。

IBM Security 威胁情报主管 Caleb Barlow 表示：“我们观察到他们也有比较严明的纪律，在办公时间里很活跃，他们也会在周末休息，他们也会定时工作，他们也会休假。它们会以公司化进行运作，会有一个老板全权管理所有攻击行为。它们就像是你雇佣装修公司一样，它们有着很多的分包商，就像是水电工、木工和油漆工一样，它们也和你一样正常上下班。”

Barlow 表示了解恶意黑客如何构建和运营其业务非常重要，而公司化可以更好地掌握他们正在攻击的任务。虽然并非所有网络犯罪组织都完全相同，但大体结构应该是这样的：领导者，例如 CEO，会监督整个组织的更广泛目标。而他或者她会雇佣和领导诸多“项目经理”，而每个项目经理负责每次网络攻击的不同部分。

恶意软件的攻击者可能首先购买或创建有针对性的攻击工具，以窃取集团所需的确切信息。另一位攻击者可能会发送欺诈性电子邮件，将恶意软件发送给目标公司。一旦软件成功交付，第三位攻击者可能会努力扩大集团在目标公司内的访问权限，并寻求可以在暗网上进行销售的相关信息。

IBM 还提供了一张信息图，展示了从犯罪集团的角度，如何发起为期 120 天针对一家财富 500 强公司的真实案例。负责 IBM X-Force 业务安全事件响应的 Christopher Scott 表示称在这种情况下，对财富 500 强企业的攻击意味着窃取和破坏数据，不同的颜色大致代表不同的工作职能。

在图形的左侧，专门破坏公司网络的攻击者以自己的方式进入业务以获得立足点。其他“项目经理”通过窃取他们的凭证来破坏各种员工帐户，并使用这些帐户执行该计划中的不同任务，从访问敏感区域或收集信息。时间线上的差距代表了黑客停止进行某些活动的时期，因此他们不会将公司用来检测犯罪活动的传感器干扰。

在 120 天周期尾声的时候，以鲜红色为代表的黑客专家最终画上句号，使用不同的恶意代码来破坏公司的各种数据。隶属于 Alphabet 集团“Other Bet”下方，专门从事网络安全的 Chronicle 公司研究主任 Juan Andres Guerrero-Saade 解释称：“如果我是一名优秀的开发人员，那么我会选择创建勒索软件并将其出售，或者将其像那些提供 software-as-a-service 的公司一样作为服务出售。然后我会不断维护这款恶意软件，如果你找到受害者并让他们受到感染支付赎金，那么我将收取 10％ 或 20％ 的分成。”

来源：cnBeta.COM

更多资讯

Mozilla 修复附加组件问题 同时警告用户不要尝试“可疑的解决方法”

Mozilla 今天推出了 Firefox 66.0.4，解决了因为证书问题导致的附加组件无法在 Firefox 浏览器中工作的问题。周五，过期的安全证书令全球的 Firefox 用户感到困惑，因为扩展被禁用并变得无法使用。Mozilla 现在发布了一个浏览器更新，并且“正在积极努力解决剩下的问题”。

来源： cnBeta.COM

详情： http://t.cn/EotsFEc

爱彼迎民宿路由器暗藏摄像头：官方回应已移除房源

5 月 5 日下午，有媒体报道称，在山东青岛一家爱彼迎（Airbnb）的民宿中，住客在无线路由器内发现了隐藏的摄像头和存储卡，拍摄方向正对卧室。5 日晚间，爱彼迎公关人员对此正式回应称，爱彼迎十分重视隐私保护，对任何侵犯隐私的行为都秉持零容忍态度，目前平台方已经永久性移除涉事房源。

来源： 快科技

详情： http://t.cn/Eocv7vE

来电显示暗藏黑色利益链 你的号码被“标注”了吗？

2015 年 8 月的一天，刘子倩用打车软件叫了一辆车，刚刚上车，他就被司机识破了身份。原来，司机手机上的一款来电号码识别软件，把刘子倩的身份信息标注为“记者”。当刘子倩拨通司机电话时，他的身份信息就已经泄露了。

来源： 法制日报
详情： http://t.cn/Eocvwx0

北京将实现水电气热大数据共享，严防数据丢失、泄露

《北京市公共数据管理办法》日前面向公众开征意见。记者获悉，北京将建设市、区两级大数据管理平台，目前已有11.5亿条数据在市级大数据管理平台汇聚。未来，对于无条件共享的数据，数据需求单位可通过市区两级大数据平台直接获取；对于有条件共享的数据，数据需求单位应根据提供单位的授权获取共享数据。

来源： 北京日报

详情： http://t.cn/EocvLOR

（信息来源于网络，安华金和搜集整理）

从国家互联网应急中心获悉，为了有效控制 WannaCry 勒索病毒的传播感染，国家互联网应急中心近日开通了该病毒感染数据免费查询服务。2017 年 5 月 12 日，WannaCry 勒索病毒利用 Windows SMB（“永恒之蓝”）漏洞在全球快速传播，造成全球计算机大范围感染。

国家互联网应急中心介绍说，为实时掌握 WannaCry 勒索病毒及其变种在我国的传播感染情况，国家互联网应急中心持续开展针对该病毒的监测工作。根据分析，WannaCry 勒索病毒成功感染计算机并运行后，首先会主动连接一个开关域名。如果与开关域名通信成功，该病毒将不运行勒索行为，但病毒文件仍驻留在被感染计算机中；如果通信失败，该病毒将运行勒索行为加密计算机中的文件，并继续向局域网或互联网上的其他计算机传播。

据悉，截至 2019 年 4 月 9 日，国家互联网应急中心监测发现我国境内疑似感染 WannaCry 勒索病毒的计算机数量超过 30 万台，仍有大量的计算机未安装“永恒之蓝”漏洞补丁和杀毒软件。我国计算机感染 WannaCry 勒索病毒疫情依然比较严峻。

为了有效控制 WannaCry 勒索病毒的传播感染，国家互联网应急中心开通了该病毒感染数据免费查询服务。查询说明如下：

1、WannaCry 勒索病毒暂只能感染 Windows 操作系统，请用户在 Windows 操作系统上的浏览器中输入查询地址打开查询页面进行查询，查询地址为：h ttp://wanna-check.cert.org.cn。

2、若提示 IP 地址承载的计算机受到感染，建议使用 WannaCry 勒索病毒专杀工具进行查杀，并及时修复相关漏洞。

3、如果使用宽带拨号上网或手机上网，由于 IP 地址经常变化，会导致查询结果不准确，仅供参考。

来源：快科技

更多资讯

中消协等发智能锁试验报告：半数存指纹识别安全风险

中国消费者协会、四川省保护消费者权益委员会、 深圳市消费者委员会、佛山市消费者委会今天联合发布智能门锁比较试验报告，29 款样品中，48.3% 的样品密码开启安全存在风险，50% 的样品指纹识别开启安全存在风险，85.7% 的样品信息识别卡开启安存在风险。

来源： 央视新闻客户端

详情： http://t.cn/EoLwr4r

如何让过期证书事故不再发生

证书过期是一种常见的问题，但其影响面却可能极其广泛。此类事故频繁发生是因为安装和更新证书是一个乏味的手动过程。证书过期的现象已经有了改善，Let’s Encrypt 和 SSLMate 等 CA 开始提供证书自动更新的方法。

来源： solidot.org

详情： http://t.cn/EoLwsEt

男子购买“教程”掌握点餐软件漏洞 边消费边退代金券大肆实施盗窃

如今，各大餐饮行业手机自助点餐软件兴起，特别是在快餐行业中，大大缓解了排队点餐的尴尬。但是由于软件程序中难免存在漏洞，也成为滋生犯罪的土壤。近日，徐汇区检察院对一起利用手机自助点餐软件漏洞，盗窃某知名快餐公司钱款的被告人钟某某提起公诉。

来源： 新民晚报

详情： http://t.cn/EoLAw0A

中国一智能城市监控系统数据库被发现没有密码保护

智能城市设计旨在让居民生活更轻松，但如果它的监控系统数据泄露？John Wethington 报告一个智能城市数据库没有密码保护可以直接通过浏览器访问。

来源：solidot.org

详情： http://t.cn/EoLAb4Q

（信息来源于网络，安华金和搜集整理）

数百名开发人员的 Git 仓库被黑客删除，取而代之的是赎金要求。攻击于 5 月 3 日开始，包括 GitHub、Bitbucket 和 GitLab在内的代码托管平台都受到了影响。 目前已知的情况是，黑客从受害者的 Git 仓库中删除了所有源代码和最近提交的 Repo，只留下了 0.1 比特币（约 ¥3850）的赎金票据。

黑客声称所有源码都已经下载并存储在他们的一台服务器上，并且给受害者十天时间支付赎金，否则，他们会公开代码。

想要恢复丢失的代码并避免泄露：请将 0.1 比特币（BTC）发送至我们的比特币地址 1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA，并将您的 Git 登录信息和付款证明发送至 [email protected]。如果您不确定我们是否有您的数据，请与我们联系，我们将向您发送证明，您的代码已下载并备份在我们的服务器上。如果我们在接下来的 10 天内没有收到付款，我们将公开代码或以其他方式使用。

在 GitHub 上搜索可发现已有 391 个仓库受影响，这些仓库的代码和提交信息均被一个名为 “gitbackup” 的账号删除。

尽管如此，BitcoinAbuse 平台显示，该比特币地址目前还未收到赎金。

一名用户指出 GitHub 在发现攻击后暂停帐户并进行调查：“GitHub 昨晚在他们调查时暂停了我的帐户，希望今天能听到他们的消息，我可能很幸运。”

据 ZDNet 的报道，好消息是，在深入挖掘受害者的案例后，StackExchange 安全论坛的成员发现黑客实际上没有删除，仅仅是改变了 Git 提交标头，这意味着在某些情况下可以恢复代码提交。

最新消息，GitLab 的安全总监 Kathy Wang 告诉 BleepingComputer：

我们根据 Stefan Gabos 昨天提交的赎金票据确定了消息来源，并立即开始调查此问题。我们已确定受影响的用户帐户，并且已通知所有这些用户。根据调查结果，我们有充分证据表明，受损帐户的帐户密码以明文形式存储在相关存储库的部署中。我们强烈建议使用密码管理工具以更安全的方式存储密码，并尽可能启用双因素身份验证，这两种方法都可以防止出现此问题。

目前，平台和用户都在努力解决问题，此处正在持续讨论可能的解决方案。

来源：开源中国

更多资讯

黑客轻松接管 29 个僵尸网络 只因运营者太菜

ZDNet 网站报导，安全专家一次性接管了 29 个僵尸网络，原理十分简单，利用了运营者技术“太菜”的方法。在采访中，安全专家 Subby 介绍了他接管的这 29 个僵尸网络，他指出其实这些僵尸网络都比较小，最初的机器人数量显示总计将近 40000，但在删除重复数据后，实际数量仅为 25000，这样的数据对于一个单独的 IoT 僵尸网络来说都是很小的，更不用说是 29 个的总和了。

来源： 开源中国

详情： http://t.cn/EoPirDH

德国警方查封全球第二大暗网黑市 Wall Street Market

据外媒 Techspot 报道，近日警方已查封全球第二大暗网黑市。德国当局领导的这项努力导致三名嫌疑人被捕，这是近两年调查的结果。警方还没收了超过 55 万欧元现金以及多辆车、电脑，数据存储和“ 6 位数的加密货币比特币和门罗币”。另外两名嫌疑人在美国被捕，被描述为“销售致幻毒品最多的供应商”。

来源： cnBeta.COM
详情： http://t.cn/EoPiF9c

何时能不被黑客鱼肉？D-Link 智能摄像头又出事了

近些年来各家厂商把“智能”摄像头市场做的是风生水起，许多消费者也想靠这些大眼睛来守护一方平安。对普通人来说，这些智能化的摄像头确实相当方便，只需连上网络，你就能在千里之外获取自己需要的画面。不过，在你享受方便之余又很容易掉入陷阱，因为安全漏洞背后藏着的坏人太可怕了。

来源： 雷锋网
详情： http://t.cn/EoP67yZ

Mozilla 曝出大乌龙 证书过期导致全球 Firefox 用户无法使用扩展

今天早上 Mozilla 和全球的 Firefox 用户开了个不大不小的玩笑，许多人一大早起来打开浏览器发现所有的扩展都无法使用，就连手机版也是如此。重装 Firefox 或者重装所有的插件都无济于事，在 Bugzilla 上提交的报告中我们了解到，这是由于 Mozilla 的官方证书没有及时续期所致。

来源： cnBeta.COM
详情： http://t.cn/EoP6b8B

（信息来源于网络，安华金和搜集整理）

2017 年的 NotPetya 网络攻击给 亿滋国际 （ Mondelez International ） （前身卡夫食品，奥利奥饼干制造商）造成了超过 1 亿美元经济损失。该公司的高管以为保险公司会帮他们承担损失，然而亿滋的承保人 苏黎世保险 （ Zurich Insurance ） 以保险合同中“战争除外”条款拒绝报销费用。

2018 年，美国政府认定俄罗斯是 NotPetya 网络攻击幕后主使，当政府官员放肆地点名羞辱网络攻击的国家级支持者，却白送给保险公司一个拒绝的理由——“网络战”。亿滋于去年起诉了苏黎世保险。于此同时 默沙东制药 （ Merck ） 起诉了 20 多家拒绝理赔的保险公司，NotPetya 攻击给默沙东造成 7 亿美元损失。

这两个案件可能数年后才得以解决，卡内基国际和平基金会高级研究员 Ariel Levite 认为，“我们所面临的风险是，未来的网络保险可能一文不值。”这不是第一次保险公司使用战时条款免责，1970 年解放巴勒斯坦人民阵线劫持泛美航空 93 号班机，并致坠毁，法庭驳回了 安泰人寿 （ Aetna ） 的企图：这是犯罪，而不是战争行为。

在亿滋和默沙东的案件中，核心问题是 NotPetya 攻击是否符合“战争例外”条款，而我们至今不清楚网络战到底是什么样，事实上也没有人与亿滋“交战”，前保险巨头美国国际集团（AIG）首席运营官 Ty Sagalow 认为这是一个灰色地带。

网络攻击带来的连带损害越来越普遍，“这就是今天的网络，如果你不喜欢它，你就不应该经商。”

来源：solidot.org

更多资讯

17 岁安全研究人员发现戴尔电脑的 SupportAssist 存在严重缺陷

如果您使用戴尔 Windows PC，那么肯定了解该公司的 SupportAssist 应用程序，该应用程序预先安装在几乎所有戴尔品牌的 Windows PC，旨在帮助用户处理各种事务，从下载驱动程序到硬件检查。简而言之，SupportAssist 应用程序可以处理您电脑的健康状况。但是，一位 17 岁的安全研究人员在 SupportAssist 应用程序中发现了远程代码执行（RCE）漏洞。

来源： cnBeta.COM

详情： http://t.cn/ESdKQes

Windows 10 将保护用户在 Google Chrome 隐身模式中输入的文字

微软已经提出了在私有模式下运行 Chromium 浏览器（如 Google Chrome）时改善用户隐私的计划，从而解决了当前操作系统中最大的问题之一。微软表示，在 Windows 10 上，每当用户以隐身模式启动 Google Chrome 时，其键入的数据都应该受到保护，不应留下任何浏览痕迹。

来源： cnBeta.COM

详情： http://t.cn/ESdKezQ

Mozilla 更新扩展政策 宣布禁止混淆代码

Mozilla 更新了它的扩展政策，明确禁止含有混淆代码的扩展。这一政策将于 6 月 10 日生效，扩展开发者需要在一个月内更新扩展以避免违反扩展政策。Mozilla 表示此举有助于更好的处理恶意扩展。混淆代码通常被黑客用于隐藏程序的真正用途。

来源： solidot.org

详情： http://t.cn/ESd97T3

2019 年第 1 季度网络钓鱼报告：微软是攻击者最爱模仿的服务品牌

最新报告显示 2019 年第 1 季度，通过社交媒体开展的网络钓鱼行为数量同比增长了 74.7%。根据电子邮件预防公司 Vade Secure 近期公布的网络钓鱼报告显示，由于可以通过 Office 365 中获取丰厚的数据，因此微软已经连续 4 个季度成为黑客重点攻击的目标。

来源： cnBeta.COM

详情： http://t.cn/ESd9y2X

（信息来源于网络，安华金和搜集整理）

中国安全研究人员在 4 月 18 日披露了甲骨文刚刚修复的一个高危漏洞：Weblogic 反序列化漏洞（CVE-2018-2628）。安全研究人员是在去年 11 月将漏洞报告给了甲骨文，漏洞允许攻击者在未授权的情况下远程执行任意代码。

漏洞影响 Weblogic 10.3.6.0、12.1.3.0、12.2.1.2 和 12.2.1.3。研究人员公开了漏洞细节，随后该漏洞观察到被攻击者利用挖掘数字货币，以及安装勒索软件，整个过程无需任何点击或互动。

Cisco Talos 的研究人员报告，该漏洞至少从 4 月 21 日起就被活跃利用。攻击者被发现在尚未修复的计算机上安装一种新的勒索软件叫 Sodinokibi，除了加密重要的数据，该勒索软件还尝试毁掉备份，防止受害者简单利用备份恢复加密的数据。

奇怪的是，攻击者随后还利用相同的漏洞安装了另一种勒索软件叫 GandCrab。

来源：solidot.org

更多资讯

英国防大臣因泄露有关华为信息被开除，曾扬言派航母到南海

参考消息网 5 月 2 日报道 英媒称，英国首相特雷莎·梅办公室1日表示，英国国防大臣加文·威廉姆森因泄露有关中国电信公司华为的信息而被解雇。

来源： 参考消息

详情： http://t.cn/ESR5q9D

俄总统签署防范紧急状态下外部“断网”风险的法律

俄罗斯总统普京 5 月 1 日签署法律文件，以确保俄罗斯互联网在遭遇外部“断网”等冲击时仍能稳定运行。俄罗斯媒体 1 日报道说，根据普京签署的法律，俄罗斯将建立本国的域名系统，即存储和获取网络地址及域名信息的系统。

来源： 新华网
详情： http://t.cn/ESR5Ioo

日本欲开发电脑病毒来抵御网络攻击

据外媒报道，消息人士称，日本将在明年 3 月之前开发出首个用于抵御网络攻击的电脑病毒。消息人士周一表示，日本防卫省正在考虑一种能够侵入电脑系统的恶意软件，希望借此起到威慑网络攻击的作用。

来源： cnBeta.COM

详情： http://t.cn/ESRtwEF

助力线上隐私保护：DuckDuckGo提出《请勿追踪》立法草案

注重用户隐私安全的 DuckDuckGo，刚刚宣布了一份《2019 请勿追踪》草案。尽管不会很快成为正式的法律，但 DuckDuckGo 还是希望此举能够敦促网站尊重用户的“Do-Not-Track”选项设置，成为国内外立法机构通过此类隐私法案的一个参考起点。今年早些时候，DuckDuckGo 进行了一项研究，发现 1/4 的用户已经开启了“请勿追踪”的设置，约为 7500 万美国人和 1.15 亿欧盟公民。

来源： cnBeta.COM

详情： http://t.cn/ESRtGiC

（信息来源于网络，安华金和搜集整理）