各位Buffer早上好，今天是2019年5月13日星期一。今天的早餐铺内容主要有：错误更新导致荷兰数百名嫌犯佩戴的监控踝带短暂失联；杠上美国反病毒公司：俄罗斯黑客要卖它们的源代码；英特尔固件引导验证绕过攻击；三星数十个内部项目源代码泄露，内含大量敏感权限账号；Google将推出新工具限制cookie跟踪。
错误更新导致荷兰数百名嫌犯佩戴的监控踝带短暂失联
前几日，佩戴在嫌犯腿部的踝关节监视器在更新中出现问题，导致设备和警察之间的通信被中断。据悉本次更新于上周四早上推出，在更新之后导致所有监控踝带出现问题。
目前尚不清楚究竟有多少人受到监控，但2017年发布的数据表明，平均每天有700人有踝关节监视器。迫于这种紧急情况，警察被迫先发制人地逮捕他们认为危险的人并将他们关在警察局。虽然现在一切都恢复正常，但目前还不知道是否有罪犯利用这段空窗期进行逃脱或者切断他们的脚踝监视器，虽然这种几率非常低，甚至他们可能都没有意识到存在这个空窗期。外媒报道，事实上荷兰警方在去年8月开展的网络升级中导致了和450名脚踝监视器的联系。去年5月，澳大利亚的750名监视设备也发生了同样的事情。[cnbeta]
杠上美国反病毒公司：俄罗斯黑客要卖它们的源代码
Fxmsp是一个破坏私人企业和政府信息的俄罗斯组织，自3月份以来，Fxmsp在网络犯罪论坛上声称持有了从美国三家主要防病毒公司软件开发相关的独家源代码。
最近该组织声称已开发出一种能够感染目标并泄露敏感数据的凭证窃取僵尸网络，并在几周后破坏了一些安全公司的网络，获得了长期访问权限。该组织以300000美元的价格向公司出售源代码和网络访问，并提供样本。根据高级专家的说法，过去两年中Fxmsp已经通过黑客企业网络赚取了大约100万美元。[leiphone]
英特尔固件引导验证绕过攻击
在荷兰阿姆斯特丹举行的Hack in the Box会议上，安全研究员Peter Bosch和Trammell Hudson演示了对英特尔UEFI参照实现的新攻击。这种攻击需要物理访问硬件，允许攻击者通过替换含有恶意代码的SPI闪存芯片，获得系统的完全的持久的访问权限。这种攻击不太可能成为普遍的危险，但显然可以被情报机构等特殊部门用于设置底层后门发动针对性的攻击。英特尔已经发布了补丁，但给UEFI打补丁并不是一件简单的事情。[solidot]
三星数十个内部项目源代码泄露，内含大量敏感权限账号
迪拜网络安全公司SpiderSilk的安全研究员莫萨布·侯赛因(Mossab Hussein)最近发现，三星工程师使用的某开发实验室泄露了其多个内部项目的高度敏感源代码、凭证和密钥，其中包括其SmartThings平台项目。
这家电子巨头将几十个内部编码项目留在了三星旗下实验室Vandev Lab上的GitLab实例中。这个实例被工作人员用来共享三星的各种应用、服务和项目，并为其贡献代码。由于这些项目被设置为“公共”，而且没有用密码进行适当的保护，因此任何人都可以深入查看每个项目的进展，访问和下载源代码，从而导致绝密信息泄露。其中一个项目包含的凭证允许任何人访问三星工程师正在使用的完整AWS帐户，里面包括100多个S3存储桶，其中包含日志和分析数据。
此外，许多文件夹包含三星SmartThings和Bixby服务的日志和分析数据，但也有几名员工公开的、以明文形式存储的私有GitLab令牌，这使得侯赛因能够利用42个公共项目获得的信息对另外135个项目进行访问，包括许多私人项目。三星宣称，其中一些文件是用于测试的，但侯赛因对这一说法提出质疑，称在GitLab存储库中发现的源代码与4月10日在谷歌应用店Google Play上发布的安卓（Android）应用程序包含的代码相同。这个应用程序已经更新过，到目前为止已经安装了1亿多次。
公开的GitLab实例还包含三星SmartThings的iOS和安卓应用程序的私有证书。通过公开的密匙和令牌，他记录了大量的访问权限，如果被恶意行为者获得，可能会导致“灾难性后果”。[secrss]
Google将推出新工具限制cookie跟踪
Google将在其Chrome浏览器上推出新工具，让用户在避免cookie追踪方面拥有更多控制权。Google的新工具预计不会严重削弱Cookie收集数据的能力，但可能帮助Google扩大领先于在线广告竞争对手的巨大优势。根据eMarketer数据，Google拥有30亿用户，助其成为全球最大互联网广告销售商，将这个市场营收总额的近三分之一收入囊中，领先于Facebook的20%。新工具主要针对牟利的第三方所安装的cookie，而不是用户主动浏览网站的。[solidot]
来源：freebuf.com 2019-05-13 07:00:00 by: Karunesh91
请登录后发表评论
注册