美国中央情报局（CIA）最近一改“神秘”形象，开始在社交网站上“抖机灵”。两周前，中情局在 Instagram 上发布一张“猜谜”照片，吸了一波流量，没想到7日却因在推特上分享的暗网链接“翻了车”。

“来洋葱网络（Tor network）找我们呀！”5 月 7 日，中情局一连在推特上发布了 4 条加密链接相关推文。中情局公布了其在洋葱网络的网址链接，承诺网友可以匿名通过该平台上向政府“提供信息”。

推特截图

中情局在推文中写到：“情报收集任务存在着安全、匿名、不可追踪等特点，洋葱网络也刚好具有同样特性。中情局信息一应俱全，如果想获得相关内容，请点击下方链接。”

推特截图

中情局此举也让网友感到疑惑：洋葱网络到底是不是间谍工具？推特上网友回复似乎不完全符合中情局的意。有网友断然拒绝：不用，谢谢！另有评论称：“原来中情局就是这么监视美国民众的。”

更有网友认为，中情局使用加密网络与罪犯和恐怖分子使用的是一样的，被讽刺称“肯定不会让人失望”。（海外网 张琪）

来源：cnBeta.COM

更多资讯

FBI 查获并捣毁暗网索引和新闻网站 Deep Dot Web

据外媒报道，美国 FBI 日前已查获暗网索引和新闻网站 Deep Dot Web。该网站的暗网现已被撤下，取而代之的是一个通知。根据通知了解到，FBI 联合电脑犯罪调查人员和欧洲执法部门并在接到搜查令后查封了该网站。

来源： 海外网
详情： http://t.cn/EoO361X

除 bug 务尽 Mozilla 再次更新 Firefox 以修复扩展被禁用的相关问题

上周末，Mozilla 意外地在桌面和 Android 上安装的 Firefox 浏览器上禁用了许多用户的附加组件，引发一阵混乱，一天后， Mozilla 推出 Firefox 66.0.4，许多问题就得到了解决，但事实上公司承认仍有一大批用户存在一些遗留问题，他们通常需要等待很长时间才会恢复正常，而使用今天新发布的 Firefox 66.0.5，就可以有立竿见影的疗效。

来源： cnBeta.COM

详情： http://t.cn/EoO3o8m

大连警方破获一起侵犯公民个人信息案 查获个人信息近亿条

大连警方近日成功破获一起侵犯公民个人信息案，抓获犯罪嫌疑人 1 名，查获公民个人信息数量近亿条。

来源： 新华网

详情： http://t.cn/EoO3NYO

（信息来源于网络，安华金和搜集整理）

密歇根大学的计算机科学家设计出一种新的处理器架构，能主动抵御未来威胁，事实上让现有的 bug 和补丁安全模式过时。被称为 MORPHEUS 的芯片通过每秒 20 次加密和随机重编关键数据比特来阻止潜在的攻击，远快于人类黑客能做出反应的速度，比最快的电子黑客技术快数千倍。

密歇根大学教授 Todd Austin 称，今天一个接一个消除 bug 的方法是一种失败的博弈，只要有新的代码，总会出现新的 bug 和安全漏洞。

通过使用 MORPHEUS，即使黑客发现了一个 bug，利用 bug 所需的信息会在 50 毫秒后消失，它可能是最接近不会被黑的安全系统。

来源：solidot.org

更多资讯

加拿大边境服务局因旅客拒绝披露密码而扣押其手机和笔记本电脑

加拿大边境服务局被指因律师拒绝披露密码而扣押其手机和笔记本电脑。这位叫 Nick Wright 的加拿大律师于 4 月 10 日乘飞机在多伦多的 Pearson 机场入境，他被要求接受额外的检查，边境服务局没有给出检查的理由。

来源： solidot.org
详情： http://t.cn/EoavJhT

黑客攻击 GitHub 仅获 2.95 美元 买咖啡都不够

据此前报道，日前有黑客攻击 Github，删除了 Git 代码库中一些用户的源代码以及近期的更新，并留下勒索留言，要求受害者支付 0.1 比特币的赎金。攻击者的确收到了赎金，然而收到的比特币甚至还不够在美国买一杯咖啡。

来源： 新浪财经

详情： http://t.cn/EoavSwv

网信办征求意见：App 这些行为属违法违规收集个人信息

各有关单位及专家：落实《关于开展 App 违法违规收集使用个人信息专项治理的公告》，App 专项治理工作组在中央网信办、工信部、公安部、市场监管总局指导下，开展了 App 违法违规收集使用个人信息安全评估，发现一些 App 存在强制授权、过度索权、超范围收集个人信息等问题。

来源： 网信中国

详情： http://t.cn/EoavCY0

网易邮箱回应大量账号被叫卖：仅涉及邮箱地址，已报案

7 日下午消息，针对媒体报道的“大量网易邮箱账号遭公开叫卖”，网易邮箱在其官方微博上发表声明称， 经查，报道中提及的违法行为，仅涉及邮箱地址，不涉及用户敏感信息，并已第一时间向公安机关报案。今日早些时候，人民创投报道称，在某交流平台，有人公开叫卖网易邮箱账号，百万邮箱售价仅 50 元。卖家自称可向这些邮箱发送营销信息，并展示了据说包含有百万个邮箱账号的文件。经测试，仅有 6 个邮箱发送失败。

来源： 新浪科技
详情： http://t.cn/EoavOso

（信息来源于网络，安华金和搜集整理）

网络犯罪组织会为了争夺客户而相互竞争，会花重金招募最优秀的项目经理，甚至会寻找合适的人才来担任类似于首席执行官的角色，在规范管理人员配置和攻击事务之外负责如何帮助牟取更多的资金。来自IBM和谷歌的安全研究人员描述了网络犯罪组织内部是如何运作的，并且称它们经常会公司化运作。

IBM Security 威胁情报主管 Caleb Barlow 表示：“我们观察到他们也有比较严明的纪律，在办公时间里很活跃，他们也会在周末休息，他们也会定时工作，他们也会休假。它们会以公司化进行运作，会有一个老板全权管理所有攻击行为。它们就像是你雇佣装修公司一样，它们有着很多的分包商，就像是水电工、木工和油漆工一样，它们也和你一样正常上下班。”

Barlow 表示了解恶意黑客如何构建和运营其业务非常重要，而公司化可以更好地掌握他们正在攻击的任务。虽然并非所有网络犯罪组织都完全相同，但大体结构应该是这样的：领导者，例如 CEO，会监督整个组织的更广泛目标。而他或者她会雇佣和领导诸多“项目经理”，而每个项目经理负责每次网络攻击的不同部分。

恶意软件的攻击者可能首先购买或创建有针对性的攻击工具，以窃取集团所需的确切信息。另一位攻击者可能会发送欺诈性电子邮件，将恶意软件发送给目标公司。一旦软件成功交付，第三位攻击者可能会努力扩大集团在目标公司内的访问权限，并寻求可以在暗网上进行销售的相关信息。

IBM 还提供了一张信息图，展示了从犯罪集团的角度，如何发起为期 120 天针对一家财富 500 强公司的真实案例。负责 IBM X-Force 业务安全事件响应的 Christopher Scott 表示称在这种情况下，对财富 500 强企业的攻击意味着窃取和破坏数据，不同的颜色大致代表不同的工作职能。

在图形的左侧，专门破坏公司网络的攻击者以自己的方式进入业务以获得立足点。其他“项目经理”通过窃取他们的凭证来破坏各种员工帐户，并使用这些帐户执行该计划中的不同任务，从访问敏感区域或收集信息。时间线上的差距代表了黑客停止进行某些活动的时期，因此他们不会将公司用来检测犯罪活动的传感器干扰。

在 120 天周期尾声的时候，以鲜红色为代表的黑客专家最终画上句号，使用不同的恶意代码来破坏公司的各种数据。隶属于 Alphabet 集团“Other Bet”下方，专门从事网络安全的 Chronicle 公司研究主任 Juan Andres Guerrero-Saade 解释称：“如果我是一名优秀的开发人员，那么我会选择创建勒索软件并将其出售，或者将其像那些提供 software-as-a-service 的公司一样作为服务出售。然后我会不断维护这款恶意软件，如果你找到受害者并让他们受到感染支付赎金，那么我将收取 10％ 或 20％ 的分成。”

来源：cnBeta.COM

更多资讯

Mozilla 修复附加组件问题 同时警告用户不要尝试“可疑的解决方法”

Mozilla 今天推出了 Firefox 66.0.4，解决了因为证书问题导致的附加组件无法在 Firefox 浏览器中工作的问题。周五，过期的安全证书令全球的 Firefox 用户感到困惑，因为扩展被禁用并变得无法使用。Mozilla 现在发布了一个浏览器更新，并且“正在积极努力解决剩下的问题”。

来源： cnBeta.COM

详情： http://t.cn/EotsFEc

爱彼迎民宿路由器暗藏摄像头：官方回应已移除房源

5 月 5 日下午，有媒体报道称，在山东青岛一家爱彼迎（Airbnb）的民宿中，住客在无线路由器内发现了隐藏的摄像头和存储卡，拍摄方向正对卧室。5 日晚间，爱彼迎公关人员对此正式回应称，爱彼迎十分重视隐私保护，对任何侵犯隐私的行为都秉持零容忍态度，目前平台方已经永久性移除涉事房源。

来源： 快科技

详情： http://t.cn/Eocv7vE

来电显示暗藏黑色利益链 你的号码被“标注”了吗？

2015 年 8 月的一天，刘子倩用打车软件叫了一辆车，刚刚上车，他就被司机识破了身份。原来，司机手机上的一款来电号码识别软件，把刘子倩的身份信息标注为“记者”。当刘子倩拨通司机电话时，他的身份信息就已经泄露了。

来源： 法制日报
详情： http://t.cn/Eocvwx0

北京将实现水电气热大数据共享，严防数据丢失、泄露

《北京市公共数据管理办法》日前面向公众开征意见。记者获悉，北京将建设市、区两级大数据管理平台，目前已有11.5亿条数据在市级大数据管理平台汇聚。未来，对于无条件共享的数据，数据需求单位可通过市区两级大数据平台直接获取；对于有条件共享的数据，数据需求单位应根据提供单位的授权获取共享数据。

来源： 北京日报

详情： http://t.cn/EocvLOR

（信息来源于网络，安华金和搜集整理）

从国家互联网应急中心获悉，为了有效控制 WannaCry 勒索病毒的传播感染，国家互联网应急中心近日开通了该病毒感染数据免费查询服务。2017 年 5 月 12 日，WannaCry 勒索病毒利用 Windows SMB（“永恒之蓝”）漏洞在全球快速传播，造成全球计算机大范围感染。

国家互联网应急中心介绍说，为实时掌握 WannaCry 勒索病毒及其变种在我国的传播感染情况，国家互联网应急中心持续开展针对该病毒的监测工作。根据分析，WannaCry 勒索病毒成功感染计算机并运行后，首先会主动连接一个开关域名。如果与开关域名通信成功，该病毒将不运行勒索行为，但病毒文件仍驻留在被感染计算机中；如果通信失败，该病毒将运行勒索行为加密计算机中的文件，并继续向局域网或互联网上的其他计算机传播。

据悉，截至 2019 年 4 月 9 日，国家互联网应急中心监测发现我国境内疑似感染 WannaCry 勒索病毒的计算机数量超过 30 万台，仍有大量的计算机未安装“永恒之蓝”漏洞补丁和杀毒软件。我国计算机感染 WannaCry 勒索病毒疫情依然比较严峻。

为了有效控制 WannaCry 勒索病毒的传播感染，国家互联网应急中心开通了该病毒感染数据免费查询服务。查询说明如下：

1、WannaCry 勒索病毒暂只能感染 Windows 操作系统，请用户在 Windows 操作系统上的浏览器中输入查询地址打开查询页面进行查询，查询地址为：h ttp://wanna-check.cert.org.cn。

2、若提示 IP 地址承载的计算机受到感染，建议使用 WannaCry 勒索病毒专杀工具进行查杀，并及时修复相关漏洞。

3、如果使用宽带拨号上网或手机上网，由于 IP 地址经常变化，会导致查询结果不准确，仅供参考。

来源：快科技

更多资讯

中消协等发智能锁试验报告：半数存指纹识别安全风险

中国消费者协会、四川省保护消费者权益委员会、 深圳市消费者委员会、佛山市消费者委会今天联合发布智能门锁比较试验报告，29 款样品中，48.3% 的样品密码开启安全存在风险，50% 的样品指纹识别开启安全存在风险，85.7% 的样品信息识别卡开启安存在风险。

来源： 央视新闻客户端

详情： http://t.cn/EoLwr4r

如何让过期证书事故不再发生

证书过期是一种常见的问题，但其影响面却可能极其广泛。此类事故频繁发生是因为安装和更新证书是一个乏味的手动过程。证书过期的现象已经有了改善，Let’s Encrypt 和 SSLMate 等 CA 开始提供证书自动更新的方法。

来源： solidot.org

详情： http://t.cn/EoLwsEt

男子购买“教程”掌握点餐软件漏洞 边消费边退代金券大肆实施盗窃

如今，各大餐饮行业手机自助点餐软件兴起，特别是在快餐行业中，大大缓解了排队点餐的尴尬。但是由于软件程序中难免存在漏洞，也成为滋生犯罪的土壤。近日，徐汇区检察院对一起利用手机自助点餐软件漏洞，盗窃某知名快餐公司钱款的被告人钟某某提起公诉。

来源： 新民晚报

详情： http://t.cn/EoLAw0A

中国一智能城市监控系统数据库被发现没有密码保护

智能城市设计旨在让居民生活更轻松，但如果它的监控系统数据泄露？John Wethington 报告一个智能城市数据库没有密码保护可以直接通过浏览器访问。

来源：solidot.org

详情： http://t.cn/EoLAb4Q

（信息来源于网络，安华金和搜集整理）

数百名开发人员的 Git 仓库被黑客删除，取而代之的是赎金要求。攻击于 5 月 3 日开始，包括 GitHub、Bitbucket 和 GitLab在内的代码托管平台都受到了影响。 目前已知的情况是，黑客从受害者的 Git 仓库中删除了所有源代码和最近提交的 Repo，只留下了 0.1 比特币（约 ¥3850）的赎金票据。

黑客声称所有源码都已经下载并存储在他们的一台服务器上，并且给受害者十天时间支付赎金，否则，他们会公开代码。

想要恢复丢失的代码并避免泄露：请将 0.1 比特币（BTC）发送至我们的比特币地址 1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA，并将您的 Git 登录信息和付款证明发送至 [email protected]。如果您不确定我们是否有您的数据，请与我们联系，我们将向您发送证明，您的代码已下载并备份在我们的服务器上。如果我们在接下来的 10 天内没有收到付款，我们将公开代码或以其他方式使用。

在 GitHub 上搜索可发现已有 391 个仓库受影响，这些仓库的代码和提交信息均被一个名为 “gitbackup” 的账号删除。

尽管如此，BitcoinAbuse 平台显示，该比特币地址目前还未收到赎金。

一名用户指出 GitHub 在发现攻击后暂停帐户并进行调查：“GitHub 昨晚在他们调查时暂停了我的帐户，希望今天能听到他们的消息，我可能很幸运。”

据 ZDNet 的报道，好消息是，在深入挖掘受害者的案例后，StackExchange 安全论坛的成员发现黑客实际上没有删除，仅仅是改变了 Git 提交标头，这意味着在某些情况下可以恢复代码提交。

最新消息，GitLab 的安全总监 Kathy Wang 告诉 BleepingComputer：

我们根据 Stefan Gabos 昨天提交的赎金票据确定了消息来源，并立即开始调查此问题。我们已确定受影响的用户帐户，并且已通知所有这些用户。根据调查结果，我们有充分证据表明，受损帐户的帐户密码以明文形式存储在相关存储库的部署中。我们强烈建议使用密码管理工具以更安全的方式存储密码，并尽可能启用双因素身份验证，这两种方法都可以防止出现此问题。

目前，平台和用户都在努力解决问题，此处正在持续讨论可能的解决方案。

来源：开源中国

更多资讯

黑客轻松接管 29 个僵尸网络 只因运营者太菜

ZDNet 网站报导，安全专家一次性接管了 29 个僵尸网络，原理十分简单，利用了运营者技术“太菜”的方法。在采访中，安全专家 Subby 介绍了他接管的这 29 个僵尸网络，他指出其实这些僵尸网络都比较小，最初的机器人数量显示总计将近 40000，但在删除重复数据后，实际数量仅为 25000，这样的数据对于一个单独的 IoT 僵尸网络来说都是很小的，更不用说是 29 个的总和了。

来源： 开源中国

详情： http://t.cn/EoPirDH

德国警方查封全球第二大暗网黑市 Wall Street Market

据外媒 Techspot 报道，近日警方已查封全球第二大暗网黑市。德国当局领导的这项努力导致三名嫌疑人被捕，这是近两年调查的结果。警方还没收了超过 55 万欧元现金以及多辆车、电脑，数据存储和“ 6 位数的加密货币比特币和门罗币”。另外两名嫌疑人在美国被捕，被描述为“销售致幻毒品最多的供应商”。

来源： cnBeta.COM
详情： http://t.cn/EoPiF9c

何时能不被黑客鱼肉？D-Link 智能摄像头又出事了

近些年来各家厂商把“智能”摄像头市场做的是风生水起，许多消费者也想靠这些大眼睛来守护一方平安。对普通人来说，这些智能化的摄像头确实相当方便，只需连上网络，你就能在千里之外获取自己需要的画面。不过，在你享受方便之余又很容易掉入陷阱，因为安全漏洞背后藏着的坏人太可怕了。

来源： 雷锋网
详情： http://t.cn/EoP67yZ

Mozilla 曝出大乌龙 证书过期导致全球 Firefox 用户无法使用扩展

今天早上 Mozilla 和全球的 Firefox 用户开了个不大不小的玩笑，许多人一大早起来打开浏览器发现所有的扩展都无法使用，就连手机版也是如此。重装 Firefox 或者重装所有的插件都无济于事，在 Bugzilla 上提交的报告中我们了解到，这是由于 Mozilla 的官方证书没有及时续期所致。

来源： cnBeta.COM
详情： http://t.cn/EoP6b8B

（信息来源于网络，安华金和搜集整理）

2017 年的 NotPetya 网络攻击给 亿滋国际 （ Mondelez International ） （前身卡夫食品，奥利奥饼干制造商）造成了超过 1 亿美元经济损失。该公司的高管以为保险公司会帮他们承担损失，然而亿滋的承保人 苏黎世保险 （ Zurich Insurance ） 以保险合同中“战争除外”条款拒绝报销费用。

2018 年，美国政府认定俄罗斯是 NotPetya 网络攻击幕后主使，当政府官员放肆地点名羞辱网络攻击的国家级支持者，却白送给保险公司一个拒绝的理由——“网络战”。亿滋于去年起诉了苏黎世保险。于此同时 默沙东制药 （ Merck ） 起诉了 20 多家拒绝理赔的保险公司，NotPetya 攻击给默沙东造成 7 亿美元损失。

这两个案件可能数年后才得以解决，卡内基国际和平基金会高级研究员 Ariel Levite 认为，“我们所面临的风险是，未来的网络保险可能一文不值。”这不是第一次保险公司使用战时条款免责，1970 年解放巴勒斯坦人民阵线劫持泛美航空 93 号班机，并致坠毁，法庭驳回了 安泰人寿 （ Aetna ） 的企图：这是犯罪，而不是战争行为。

在亿滋和默沙东的案件中，核心问题是 NotPetya 攻击是否符合“战争例外”条款，而我们至今不清楚网络战到底是什么样，事实上也没有人与亿滋“交战”，前保险巨头美国国际集团（AIG）首席运营官 Ty Sagalow 认为这是一个灰色地带。

网络攻击带来的连带损害越来越普遍，“这就是今天的网络，如果你不喜欢它，你就不应该经商。”

来源：solidot.org

更多资讯

17 岁安全研究人员发现戴尔电脑的 SupportAssist 存在严重缺陷

如果您使用戴尔 Windows PC，那么肯定了解该公司的 SupportAssist 应用程序，该应用程序预先安装在几乎所有戴尔品牌的 Windows PC，旨在帮助用户处理各种事务，从下载驱动程序到硬件检查。简而言之，SupportAssist 应用程序可以处理您电脑的健康状况。但是，一位 17 岁的安全研究人员在 SupportAssist 应用程序中发现了远程代码执行（RCE）漏洞。

来源： cnBeta.COM

详情： http://t.cn/ESdKQes

Windows 10 将保护用户在 Google Chrome 隐身模式中输入的文字

微软已经提出了在私有模式下运行 Chromium 浏览器（如 Google Chrome）时改善用户隐私的计划，从而解决了当前操作系统中最大的问题之一。微软表示，在 Windows 10 上，每当用户以隐身模式启动 Google Chrome 时，其键入的数据都应该受到保护，不应留下任何浏览痕迹。

来源： cnBeta.COM

详情： http://t.cn/ESdKezQ

Mozilla 更新扩展政策 宣布禁止混淆代码

Mozilla 更新了它的扩展政策，明确禁止含有混淆代码的扩展。这一政策将于 6 月 10 日生效，扩展开发者需要在一个月内更新扩展以避免违反扩展政策。Mozilla 表示此举有助于更好的处理恶意扩展。混淆代码通常被黑客用于隐藏程序的真正用途。

来源： solidot.org

详情： http://t.cn/ESd97T3

2019 年第 1 季度网络钓鱼报告：微软是攻击者最爱模仿的服务品牌

最新报告显示 2019 年第 1 季度，通过社交媒体开展的网络钓鱼行为数量同比增长了 74.7%。根据电子邮件预防公司 Vade Secure 近期公布的网络钓鱼报告显示，由于可以通过 Office 365 中获取丰厚的数据，因此微软已经连续 4 个季度成为黑客重点攻击的目标。

来源： cnBeta.COM

详情： http://t.cn/ESd9y2X

（信息来源于网络，安华金和搜集整理）