FreeBuf早报丨英国互联网服务提供商协会反对Mozilla为Firefox提供DNS隐私功能；Tor将修复一个用于DDoS攻击的Bug；点开网页瞬间被窃取隐私，访客手机号码被卖1元1条

FreeBuf早报，安全圈值得关注的每日大事件

【全球动态】

1.微软帐户两年内不活跃将被删除，不会发送警告邮件【阅读原文】

7月1日，微软公司更新了Microsoft帐户的支持页面，变更了账户的活动策略。如果两年以上未使用（处于非活跃状态），账户将被删除，所有拥有Microsoft帐户的用户都应遵循这些规则，以确保其帐户不会被波及。根据支持页面信息，微软将删除两年以上未使用的Microsoft帐户。用户必须每两年至少登录一次Microsoft帐户，否则微软将删除帐户而不发出任何警告通知。这个新政策将于2019年8月30日生效。

2.英国互联网服务提供商协会反对Mozilla为Firefox提供DNS隐私功能【阅读原文】

英国互联网服务提供商协会今日对Mozilla在其Firefox浏览器中提供DNS-over-HTTPS（DoH）协议发表了看法。该技术可以加密DNS连接并将其隐藏在常见的HTTPS流量中，这将使ISP很难窥探用户的互联网流量，从而难以知晓用户正在访问哪些网站。而目前，大部分的DNS请求通过纯文本UDP连接发送。据IPSAUK称，这将“绕过英国过滤义务和家长控制，破坏英国的互联网安全标准。”

3.优酷声明：收回被黑灰产冒领VIP【阅读原文】

此前网上流出一条免费领取优酷VIP一年权益的链接，该链接被分享到社交网站后，大量用户涌入领取优酷VIP会员（目前Bug已经修复）。对此优酷会员官方微博发布声明，为保障运营秩序以及正常领用会员的权益，第一时间停止该权益活动，并且按照《会员协议》和《用户协议》规则，取消黑灰产恶意领用及转售等违约违规行为所涉权益。优酷方面表示，我们对黑灰产表示强烈谴责，目前已经向公安机关反映情况。同时对于通过正当途径已领取权益的用户，平台予以保留会员权益，不作取消。

4.谷歌再爆隐私问题：清空Gmail你的购物记录依然存在【阅读原文】

谷歌和其他科技公司最近因各种问题饱受批评，其中包括未能保护用户数据，未能披露其收集和使用的数据，以及未能管理其所提供服务上发布的内容。近日有用户在谷歌的账户管理页面上发现一些奇怪的东西，如果在交易的任何部分使用了Gmail或Gmail地址，谷歌会使用Gmail来保存一份清单，记录你购买的一切东西。包括再清空Gmail之后，依旧可以看到我几年前的购物收据。谷歌似乎是将这些个人信息缓存或保存在其他位置，而这个位置不只是与用户Gmail账户绑定。

5.调查：大数据公司“爬取简历打小报告”侵权现象频发【阅读原文】

关于简历大数据公司爬虫“偷”简历、“打小报告”、推送垃圾广告等被曝光后，让包括应聘者在内的所有人都不得不担心个人信息安全问题。《法制日报》记者在调查中发现，一些简历大数据公司拼命发掘求职者简历上所有的秘密，让HR看到简历上所有修改历史。此外，还出现了监测员工离职动向的工具软件，它可以监测到员工更新、投递简历等行为，以及员工简历被HR、猎头查看次数等信息。换言之，无论你是准备跳槽还是被猎头相中，都会被实时监测并推送给现单位相关负责人。根据法律规定，求职者简历信息遭泄露后，可以向当地网信主管部门投诉，请求对网站进行行政处罚，涉嫌犯罪的可以报警。

6.思科回应交换机中出现华为证书和密钥：因疏忽忘记删除【阅读原文】

思科和华为是通信设备上的老对手，市场竞争多年。2003年，思科曾以“抄袭代码”为由将华为告上法庭。但是，日前思科发布了19条安全声明，其中18条涉及中高危漏洞，另一个则是与小企业级250，350，350X和550X交换机有关的低级别漏洞。而原因居然是由于使用了Futurewei公司（华为北美研发公司）编写的OpenDaylight开源软件包（该开源项目的成员同样有思科）。思科称，本来FindIT团队用在测试阶段的密钥和证书，结果上线前疏忽，忘记删除了。为了进一步澄清，思科强调，证书和密钥仅仅存在于文件系统中，并没有被设备激活使用，现在更是已经删除了。

7.Tor将修复一个用于DDoS攻击的Bug【外刊-阅读原文】

Tor将修复一个过去几年被用于向暗网网站发动DDoS攻击的Bug。即将释出的Tor protocol 0.4.2将修复该bug。拒绝访问攻击的工作原理十分简单：攻击者向目标网站同时发送数千个连接，由于Tor的中继特性，每个连接都需要远程服务器与Tor网络协商一个复杂回路。这个过程中，连接越多，CPU占用率就越高，可能会达到100% ，导致服务器无法再接受新的连接。由于缺乏人手以及缺乏简单的修复方法，该bug多年来一直没有解决，而暗网的DDoS攻击早已司空见惯。最新的修正没有完全解决问题，但会让DDoS攻击的效率降低。

8.Tripoli：通过Facebook页面传播、针对利比亚人民的恶意软件攻击行动【阅读原文】

近日，Check Point Research研究团队发现了一起大规模的攻击行动，该行动已存在多年，一直通过Facebook页面向用户传播恶意软件，且目标国家只有利比亚。攻击者利用了利比亚紧张的政治局势，通过带有利比亚最新空袭或抓捕恐怖分子消息的钓鱼文档引诱受害者点击链接并下载恶意文件。调查始于Facebook上一个伪装成利比亚国民军指挥官哈利法·哈夫塔(Khalifa Haftar)的个人页面。通过此Facebook页面追溯到了恶意活动背后的攻击者，并了解到他们多年来是如何利用社交网络平台、破坏合法网站来托管恶意软件，目前研究人员已向Facebook上报了调查结果，Facebook对这些页面和账户做了封禁处理。

【安全事件】

1.点开网页瞬间被窃取隐私，访客手机号码被卖1元1条【阅读原文】

近日，新京报记者亲测了网络售卖的“最新抓取技术”，用4台不同号码的智能手机浏览“做了手脚”的网站，其中2台手机的号码被成功抓取。记者用手机访问了测试网站，手机号立即被系统抓取，抓取系统后台，可看到访客搜索的关键词、手机号等隐私信息，这项测试源自今年6月的一次经历，新京报记者用手机4G网络浏览一个教育项目网站后，接到了该项目招商人员的电话，但记者并未向其透露自己的手机号。经过检索发现，多个博客、论坛有关于抓取技术的售卖网帖。网络安全专家告诉记者，用户手机号码泄露可能是访问的网站使用了手机访客抓取技术，这是一种网络黑产，受警方打击。

2.Canonical GitHub账号被入侵，未观察到修改源代码【外刊-阅读原文】

Canonical在GitHub的账号周六被入侵。Ubuntu安全团队在一份声明中称，入侵者使用该账号创建了库和问题等活动，但没有观察到任何修改源代码的指示。该账号已经移除，Canonical正在调查入侵的范围，它切断了用于构建和维护Ubuntu发行版的LauncHPad基础设施与GitHub之间的连接。安全团队表示它将在事故调查完成之后发布新的更新报告。在入侵期间，攻击者创建了11个空的库。

3.研究人员发现医疗软件漏洞，将导致诊断结果有误【阅读原文】

近期研究人员最新发现了一个用于基因组分析的通用开源软件的漏洞，这将导致基于DNA的医学诊断很容易受到网络攻击。桑迪亚国家实验室的研究人员发现了这个弱点，并及时通知了软件开发人员，随后他们发布了一个补丁来解决这个问题，同时最新版本的软件也解决了这个问题。虽然目前还不知道该漏洞是否遭受过攻击，但国家标准技术研究院最近在给软件开发人员、基因组学研究人员和网络管理员的一份说明中对该漏洞进行了分析。这一发现揭示了保护基因组信息不仅仅涉及个人基因信息的安全存储，而分析基因数据的计算机系统中的网络安全也是至关重要的。

4.Golang恶意软件重出江湖，数千台Linux服务器遭攻击【阅读原文】

F5 Labs发布的研究报告称，一个加密器组织正使用新的Golang恶意软件攻击基于Linux的服务器。从6月10日开始攻击已经感染了大约数千台机器。研究人员称，黑客使用cryptonight算法挖掘XMR，攻击者的收入不到2000美元，这个数字仅基于F5 Labs矿工使用的钱包，而攻击者为了进一步降低成本有可能在僵尸网络的不同部分使用了多个钱包。报告显示，恶意软件活动使用七种不同的方法进行传播，其中包括四种Web应用程序漏洞、SSH凭据枚举、Redis数据库密码枚举以及尝试通过使用发现的SSH密钥连接其他计算机。

5.黑客利用三星免费固件程序骗钱，安装量超1000万【阅读原文】

Google Play上一名为“Updates for Samsung”的恶意程序已被超过1000万手机用户下载，其将用户重定向到提供固件下载的网站并收取费用。该恶意软件将自己伪装成三星的某个固件更新程序。CSIS集团的恶意软件分析师Aleksejs Kuprins称，该应用程序的大量安装显示了用户对获取固件更新以提高其设备性能的极大兴趣。但实际上，这款固件程序并不会为用户的手机带来任何的性能提升。反之，伪造的应用程序只会在一个WebView（Android浏览器）组件中加载updato [。] com网站，进而将用户转移至诈骗平台。

6.谷歌挖出iMessage新漏洞，运行旧系统的iPhone只能重置修复【阅读原文】

近日，谷歌Project Zero团队曝光了一个重大的 iMessage 漏洞。若用户收到一组特定的字符，iPhone可能会变得一团糟。这个bug会导致受害者的iPhone被锁定，唯一的解决方案就是恢复出厂设置，意味着你将无法恢复未保存的丢失数据。在Mac上，这个bug会导致soagent崩溃重启。但在iPhone上，该代码位于Springboard中。即便经过了硬件重置，该问题依然存在，一旦解锁就会导致手机无法使用。若用户手上的iPhone运行的是iOS 12.3之前的版本，他们会在面对该问题时束手无策。

7.日本便利店试用手机支付，几天内盗刷频发被叫停【阅读原文】

据日媒报道，可以在大型连锁便利店7-11中使用的手机支付服务7pay自7月1日开始提供服务，然而仅在7月2日凌晨，该服务便出现了问题。有客户提出了“好像被盗刷了”的询问。经调查，已有约900名用户的手机被盗刷，损失金额可能达到5500万日元（约合51万美元）。7月4日下午2点，7pay董事长小林强召开了紧急记者会，他表示目前正在调查详细的受害人数以及损失金额。此外小林强还指出，将会对所有的损失提供补偿，并对开通了客户服务中心紧急电话。多数用户表示，原本对7pay手机支付服务非常期待，但是现在变得很失望。已经不会信任手机支付服务了，决定还是使用已经被普及的支付方法（信用卡支付等）。

【优质文章】

1.暗黑势力地图：哪些黑客团伙路子最野？【阅读原文】

世界上哪些黑客团伙路子最野？这里有一份世界著名黑客团伙“势力地图”，这些黑客团伙不是即兴作案，相反，他们非常有耐心地针对一个特定目标，以各种匪夷所思地手段入侵，有时他们默默地潜伏着，收集关于目标对象的一切，只待需要发动时“引爆炸弹”。问题是，被攻击的对象也不是什么“软柿子”，它们可能是重要的政治、军事、金融机构，甚至还有不弱的防守力量。那么，这么“暗黑”的黑客组织到底有哪些？一起来看看，今年这些APT（高级可持续攻击）黑客组织的“榜单”。

2.企业安全体系架构分析：开发安全架构之可用性架构【阅读原文】

最近都在谈论安全体系架构，有一些观点想与诸位分享，主题围绕着如何搭建企业级安全体系架构来进行，全主题不以投入资金来定安全体系，安全体系架构不是安全设备的堆积，这一点是重点想要分享的。作者在上一期大概讲述了安全体系架构的概述以及管理层面的安全体系架构，这一期来讲讲业务在设计时制定安全架构的落地实施。

3.伊朗媒体称：中国同意共同对抗网络威胁(美国)【阅读原文】

2019年7月5日，在伊朗信息技术部长Mohammad Javad Azari Jahromi与中国工业和信息化部长苗圩于周五在北京举行的会晤中，双方讨论了如何促进信息技术领域的合作以及应对网络空间。会议期间，双方同意建立一个联合工作组，以调查和应对网络空间的威胁。Jahromi说，面对美国的单边主义，两国之间长期友好的关系及其面临的共同挑战，足以需要为他们找到共同的解决方案。美国对中兴通讯和华为这两家主要公司的禁令表示，美国已经启动了现代殖民主义，希望将其霸权扩散到新的战略技术上，苗圩表示，在当今世界，这种威胁和压力是不可接受的，应该通过合作加以解决。