FreeBuf早报丨继联想之后，技嘉旗下产品也受到固件漏洞影响；贷款应用可暴露数百万国人的位置；五角大楼希望加强网络安全队伍 为2020美国总统大选护航 – 作者:Freddy

FreeBuf早报，安全圈值得关注的每日大事件

【全球动态】

1、火绒安全：灰色产业链成病毒传播最大渠道 流量生意或迎来最后的疯狂【阅读原文】

近期，“火绒威胁情报系统”监测到，病毒团伙为了获取更多的利润，开始与广告推广平台“合作”暗刷流量，以此欺骗用户和广告主、对抗安全厂商。这种病毒和广告联盟协同暗刷坑害广告主的行为、这种近乎癫狂的传播模式，似乎在宣告“流量生意”的彻底黑化。

2、苹果再发静默更新 删除其他存在Zoom漏洞软件的Web服务器【阅读原文】

昨天苹果向The Verge在内的多家媒体发出通知，表示已经向Mac设备发送静默安全更新，以删除RingCentral和Zhumu自动安装的软件。这些视频会议应用程序都使用了Zoom的技术，由于它们本质上都是白标签，因此它们同样存在Zoom的安全漏洞。

3、网购假病历在多个众筹平台诈捐 男子涉诈骗罪被公诉【阅读原文】

唐某某多次利用网上购买的虚假病历，在“轻松筹”“水滴筹”等众筹平台发布个人求助信息及网络筹款，共获得网友帮助429次，骗取捐款7404元（其中1022元未遂）。近日，新疆维吾尔自治区乌鲁木齐市达坂城区检察院以涉嫌诈骗罪对唐某某提起公诉。

4、五角大楼希望加强网络安全队伍 为2020美国总统大选护航【阅读原文】

周二的时候，国防部长提名人 Mark Esper 向参与元军事委员会表示，尽管仍有许多工作要完成，但其对于 2020 总统大选期间的网络安全充满信心：“我们坚信 2020 年的总统大选不会再受到影响，但鉴于总会有人来干扰，我们仍有许多工作要继续”。上个月的时候，一名高级情报官员在某次简报中向记者透露，2020 总统大选仍是该国网络安全的首要维护目标。

5、微信打击违规贷款、仿冒公众号等行为 累积处罚3万多个公众号【阅读原文】

微信官方发文称，最近对于违规贷款服务、打卡欺诈、仿冒公众号等行为开展了专项处理，针对平台的一些其他违规行为，如违规小程序第三方服务商等，将采取多种法律途径进行处理。

6、Android 应用开发者有意推迟升级以收集更多用户数据【阅读原文】

2015 年 10 月释出的 Android 6.0 引入了新的权限管理，用户能管理每个应用的权限，可以选择给予或拒绝特定权限。Android 应用开发者允许在三年时间里升级支持 Android 6.0 SDK，他们不需要立即支持，但他们会选择何时升级支持 Android 6.0 SDK 呢？

【安全事件】

1、继联想之后，技嘉旗下产品也受到固件漏洞影响【外刊-阅读原文】

受影响的产品使用名为MergePoint EMS的固件，由Avocent制造和提供，Avocent是一家软件供应商，现在是数据中心设备和服务提供商Vertiv的全资子公司。技嘉和联想都将MergePoint EMS组件用于一些服务器主板附带的基板管理控制器（BMC）固件。

2、Drupal修复可让攻击者接管网站的关键漏洞【外刊-阅读原文】

Drupal CMS团队发布了一个安全更新，以解决CMS核心组件中的严重访问绕过漏洞，该漏洞可能允许攻击者控制受影响的站点。根据安全通告，该漏洞仅影响Drupal 8.7.4、8.7.3、8.6.x以及Drupal 7。

3、贷款应用可暴露数百万国人的位置【外刊-阅读原文】

数据库、个人身份信息（PII）以及数百万中国用户的实时位置因开放式弹性集群泄露。在申请贷款时，国人使用的100多个移动贷款相关应用程序将高度敏感的信息添加到可公开访问的数据库中。根据国外研究机构的报告，最初发现数据泄漏的研究员这些服务器的所有者并不知情，后来该云服务厂商主动发现后帮助客户下架了这些数据库。

4、Google Play上的监视应用已被安装13万次【外刊-阅读原文】

昨天，Avast的研究人员向谷歌报告了四个被认为是俄罗斯开发者上传的监视应用，谷歌即可对其进行下架操作。这些应用允许用户监视某个人，且不会在设备上留下痕迹，此类应用通常用于秘密监控员工的生活。

5、微软前员工被控窃取公司价值1000万美元数字货币【阅读原文】

微软一名被开除的员工周二被美国当局逮捕，他被控利用在微软工作之便窃取了该公司价值1000万美元的数字货币。西雅图检察长办公室表示，这位名叫Volodymyr Kvashuk的25岁乌克兰公民曾帮助测试微软的在线零售平台。

【优质文章】

1、MITER ATT &CK框架也适合中小型企业使用【外刊-阅读原文】

ATT＆CK框架原来是黑客用来攻击和破坏计算机运行的工具和技术数据库。Splunk首席安全策略师Ryan Kovar表示，他已经看到世界各地的公司在其安全工作中使用ATT&CK，满足多种安全测试需要。

2、网络流量分析（NTA）解决方案市场规模将于2026年达到53亿美元【阅读原文】

不久前，Transparency Market Research针对2018-2026年内的全球网络流量分析市场进行了调研和展望，并发布了相关报告。报告指出，2017年，全球范围内的网络流量分析解决方案具有非常大的市场潜力，整体价值约为15亿美元左右，根据推测，在接下来直到2026年，其每年的增长率将高达15.2%，也就是说到2026年左右，其市场规模将接近53亿美元左右。

3、借助树莓派上演“窃听风云”【阅读原文】

在N年前看《窃听风云》时，里面的窃听环节就深深吸引着我，让我记忆深刻。在N年前对于普通的我们想要实现远程窃听技术需要购买昂贵的设备才能实现。但最近科技发展飞速，一般家庭宽带的网速已经达到了100M，同时手机的4G已经普及，5G也开始商用了，在这样的环境下实现电影里面的窃听技术就比较容易得多了。下面请随我一起开始窃听之旅。

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标注为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册免费账号后方可阅读。

来源：freebuf.com 2019-07-18 09:01:52 by: Freddy