青莲晚报（第九十期）| 物联网安全多知道 – 作者:qinglianyun

当今社会物联网设备已经逐步渗透到人们生产生活的方方面面，为人们及时了解自己周围环境以及辅助日常工作带来便利。但随着互联紧密度的增高，物联网设备的安全性问题也逐渐影响到人们的正常生活，甚至生命安全，物联网设备安全不容小觑。

以下为近日的物联网安全新闻内容。

广泛使用的TCP / IP堆栈中的漏洞打开了IoT，OT设备进行攻击

前瞻研究人员发现了九个漏洞，这些漏洞影响了IoT和OT设备中广泛使用的九种不同的TCP / IP堆栈。该漏洞是由弱的初始序列号（ISN）生成引起的，可被利用来对易受攻击的设备发起有限的DoS攻击，在设备上注入恶意数据或绕过身份验证。研究人员调查了11个TCP / IP堆栈，其中七个是开源的（uIP，FNET，picoTCP，Nut / Net，lwIP，cycloneTCP和uC / TCP-IP），其余包括Microchip的MPLAB Net，德州仪器（TI）的NDKTCPIP ，ARM的Nanostack和西门子的Nucleus NET。

详文阅读：

https://www.helpnetsecurity.com/2021/02/11/vulnerabilities-tcp-ip-iot/

佛罗里达州奥尔德斯玛的饮用水系统的网络攻击

试图毒害佛罗里达州奥尔德斯玛的饮用水系统的网络攻击类似于去年对以色列小型水系统的攻击。两次袭击都试图篡改水处理设施，以生产含有危险量化学物质的饮用水。这些化学物质通常以微观用量使用，以减少病原体，矿物质或其他污染物，但大量存在危险。如果遭到破坏，小型供水系统很容易使受影响社区的数百人生病并杀死数十名或更多公民。这些系统无法等待政府保护它们-没有政府能够保护单个站点免受此类攻击。小型水系统必须立即采取行动，以保护自己和消费者。

详文阅读：

https://www.helpnetsecurity.com/2021/02/09/misplaced-expectations-securing-water-treatment-systems/

Sudo漏洞使攻击者能够在Linux系统上获得root特权（CVE-2021-3156）

sudo中的漏洞（CVE-2021-3156）是一种主要在Linux和Unix之类的主要操作系统上使用的功能强大且几乎普及的开源实用程序，它可能允许任何未特权的本地用户在易受攻击的主机上获得root特权（无需身份验证） ）。“ VMDR Qualys产品管理与工程副总裁Mehul Revankar说：“此漏洞可能是近期内存中最重要的sudo漏洞（无论从范围还是影响方面而言，并且已经隐蔽了将近10年了。）并指出可能有数百万资产受到此影响。

详文阅读：

https://www.helpnetsecurity.com/2021/01/27/cve-2021-3156/

ADT 前员工承认曾入侵客户摄像头

据悉，35岁的Telesforo Aviles曾在家庭和小型办公安全公司ADT工作。他表示，在5年的工作时间里，他在9600多次场合下侵入了约200个客户账号的摄像头–所有这些都是没有得到客户的允许或不知情的情况下进行。Aviles告诉检察官，他经常会在用户授权的列表中添加上自己的邮件地址以此来访问客户的ADT Pulse账号，该账号允许用户远程连接到ADT家庭安全系统进行观看。而在某些情况下，他则会告诉客户，他必须暂时将自己的账号添加其中以便测试系统。其他时候，他会在客户不知情的情况下加上自己的邮箱地址。

针对此事，ADT的一位发言人表示，公司在去年4月得知Aviles在未经授权的情况下进入了达拉斯地区220名客户的账号之后将这一非法行为告知检察官。随后，该公司联系了每一位客户来帮助改正这个错误。。

详文阅读：

http://hackernews.cc/archives/34773

安卓设备容易受到僵尸网络的DDoS攻击

研究人员警告说，这个新的僵尸网络通过使用Mirai恶意软件框架，以大量的Android设备为目标发起分布式拒绝服务（DDoS）攻击。

研究人员表示，由于该僵尸网络的许多功能都是层层 “嵌套 “的，因此被称为Matryosh（以Matryoshka俄罗斯嵌套娃娃的名字命名）。该僵尸网络通过Android调试桥（ADB）接口进行传播。ADB是谷歌Android软件开发工具包（SDK）中包含的一个实用的命令行程序。它允许开发人员与设备进行远程通信，执行命令并完全控制设备。

另外值得注意的是，Matryosh使用Tor网络来隐蔽其恶意活动的痕迹，防止作案的服务器被攻陷。

360 Netlab的研究人员在本周表示：”攻击手段在网络通信层面上的变化表明，僵尸网络的幕后操纵者希望实现一种对C2的保护机制。这样做会给静态分析或IOC模拟器带来一些困难。”

详文阅读：

https://www.4hou.com/posts/0E97

来源：freebuf.com 2021-04-09 11:26:04 by: qinglianyun