Hasty Briefsbeta

全部标签

#cybersecurity

共 651 篇

双语

America's Mobile Security Crisis: It's Time for a Secure, Private Alternative
a year ago
- 与中国政府有关联的黑客组织针对政府官员、记者及科技专业人士发起精密零点击移动端网络攻击
- 受害者均涉及中国军方及情报部门关注的敏感领域，该事件表明移动设备已成为数字战的新前线
- 网络安全专家Rocky Cole将当前形势描述为'移动安全危机'，指出手机安全监管存在严重不足
- 美国政府对中国电信设备商的警告与禁令未能消除个人设备中潜伏的安全威胁
- 攻击目标包括特朗普及其竞选搭档J.D. Vance等政要，黑客通过窃取通讯录数据实施身份伪装
- Purism公司推出Liberty Phone和Librem 5等安全设备，主打隐私保护与数字主权概念
- Purism产品在美国本土生产，采用国产电子元件并搭载基于Debian的安全系统PureOS
- PureOS仅支持符合道德规范的自由开源应用，杜绝剥削性商业模式及第三方追踪
- 硬件级物理开关可切断麦克风、摄像头及网络模块，赋予用户完全设备控制权
- Liberty Phone、Librem 5等Purism产品库存状态及交付周期各异
Chinese apps pose security risk: Taiwan National Security Bureau
10 months ago
- 台湾“国家安全局”警告称，使用中国大陆社交媒体应用存在隐私和安全风险。
- 对TikTok、小红书、新浪微博、微信和百度网盘等应用的检查发现严重违规行为。
- 五款应用均未通过多项安全指标，其中小红书全部15项检测均不合格。
- 主要问题包括过度收集数据、擅自获取个人信息及向中国大陆服务器传输数据。
- 中国大陆法律要求企业向当局提供用户数据，引发台湾用户隐私担忧。
- 台湾自2019年起禁止在政府设备上使用特定中国大陆应用，但私人使用不受限制。
- 美国众议院委员会谴责中国大陆涉嫌策划涉及台湾地区副领导人萧美琴的车祸事件。
- 捷克官员证实中国大陆特工监视萧美琴并在其访问布拉格期间策划碰撞事故。
- 美军方高层强调需加强印太防御应对中国大陆日益增长的威胁。
Hundreds of Brother printer models have an unpatchable security flaw
10 months ago
- 数百款兄弟打印机型号发现严重安全漏洞
- 新发现八个漏洞，其中一个无法通过固件修复
- 漏洞还影响富士胶片、东芝、理光和柯尼卡美能达的59款机型
- 关键漏洞(CVE-2024-51978)允许攻击者生成默认管理员密码
- 其他漏洞包括数据窃取、设备崩溃及密码泄露风险
- 七个漏洞可通过固件更新修复，一个需调整生产工艺
- 兄弟公司建议现有型号用户修改默认管理员密码
Belgium Is Unsafe for CVD
10 months ago
- 作者讲述了在比利时协调漏洞披露(CVD)过程中的负面经历，这导致他们决定今后避免类似接触
- 比利时对漏洞报告的法律要求极为严格，包括紧迫的时间限制（24小时内提交初步报告，72小时内提供完整细节）以及在未获CCB许可情况下的强制保密义务
- 由于法律权利不明确、CCB政策不透明以及终身保密义务的威胁，作者承受了巨大压力和不确定性
- 在比利时，只要受影响方涉及比利时实体，多利益相关方参与的CVD实际上就不可能实施，因为法律严格限制信息披露
- 作者最后表示，为避免法律风险，今后将不再调查比利时系统中的漏洞
The State of Post-Quantum Cryptography (PQC) on the Web
10 months ago
- 量子计算机能破解公钥密码体系的'Q日'最早可能于2029年到来
- 仅5%的首席信息安全官(CISO)将后量子密码(PQC)列为企业优先事项
- 全球百万顶级网站中仅8.6%支持混合PQC密钥交换机制
- 25%的网站仍未支持TLS 1.3协议，16%缺乏抗量子对称加密算法
- 头部网站PQC采用率较高(前100强达42%)，但千名之后采用率骤降
- 银行、医疗和政府领域PQC进展滞后，金融业采用率仅3%
- 启用PQC的网站通常具有更完善的TLS配置和更少过时的加密套件
- 澳大利亚(.au)、加拿大(.ca)和英国(.uk)等国处于PQC部署领先地位
- 93%的Chrome请求已支持PQC，但Safari的缺失使全球支持率降至57%
- NIST已标准化CRYSTALS-Kyber(ML-KEM)和CRYSTALS-Dilithium(ML-DSA)等PQC算法
- 混合加密方案通过结合经典与PQC算法保障过渡期安全
- 71.3%的百万强网站首选支持PQC的TLS 1.3，但大量系统仍停留在TLS 1.2
- 量子计算机将能伪造数字签名，动摇TLS证书和软件更新的可信基础
- 企业须立即规划PQC迁移，以保护具有长期保密需求的敏感数据
How Let's Encrypt made the internet safer and HTTPS standard – and free
10 months ago
- Let's Encrypt的创立旨在解决SSL/TLS证书获取成本高、流程复杂的问题，推动HTTPS成为免费标配
- 在Let's Encrypt出现前，全球百万顶级网站中仅6.71%使用HTTPS，突显普及加密的紧迫性
- Let's Encrypt推出ACME协议（自动化证书管理环境），实现证书签发、续期和吊销的全流程自动化
- 非营利组织互联网安全研究小组(ISRG)应运而生，以透明运营和公共服务为宗旨监管Let's Encrypt
- Let's Encrypt提供免费自动化90天域名验证证书，使HTTPS普及率从不足7%飙升至88.1%，实现加密民主化
- 谷歌通过提升HTTPS网站搜索排名、标记非加密站点为不安全等政策，进一步加速HTTPS普及进程
- Let's Encrypt的成功激励ISRG将使命扩展到基础设施内存安全领域，例如支持Linux内核引入Rust编程语言
Taking over 60k spyware user accounts with SQL injection
10 months ago
- Catwatchful是一款功能齐全的安卓监控软件，提供3天免费试用，并自我标榜为跟踪软件
- 该软件隐形运行无法察觉，既不能卸载也无法停止，能在完全隐匿状态下收集数据
- 注册流程需同时在Firebase和catwatchful.pink的自定义数据库中创建账户
- 这款间谍软件要求大量权限，伪装成通用「设置」图标，并在后台持续运行
- 用户数据存储于Firebase，借助其安全特性减少了受攻击面
- 研究人员在catwatchful.pink服务器发现SQL注入漏洞，可未经授权访问数据库
- 该漏洞导致约62,000个Catwatchful账户的明文登录凭证泄露
- 漏洞曝光后，通过联系谷歌和托管服务商等多方渠道试图关停该服务
- 尽管初期遭到关停，该服务更换新域名重新上线，后期还部署WAF防御SQL注入攻击
Police warn of SMS scams as 'blaster' is used to send texts
10 months ago
- 一种名为'短信轰炸机'的便携式手机基站正被诈骗分子用于向附近手机发送欺诈短信。
- 该设备诱骗手机连接至虚假2G网络，绕过反垃圾短信防护措施，使犯罪分子无需获取受害者号码即可发送诈骗信息。
- 中国留学生熊瑞辰因在伦敦使用短信轰炸机发送虚假退税信息，被判入狱一年以上。
- 短信轰炸机是诈骗分子的新型工具，英国警方于2024年首次发现此类案件，新西兰和泰国也有相关报道。
- 这些诈骗短信通常包含窃取个人财务信息的恶意链接，用于后续犯罪。
- 安卓用户可通过禁用2G网络防范此类攻击，苹果用户可设置过滤未知联系人信息。
- 英美两国用户可将可疑短信转发至7726进行举报调查。
State Secrets for Sale: More Leaks from the Chinese Hack-for-Hire Industry
10 months ago
- 两个中国数据集'维纳斯科技数据泄露'和'盐台风数据泄露'出现在暗网论坛售卖
- 两份泄露数据均由新注册账号发布，这些账号专门用于出售单一数据集，内容涉及中国雇佣黑客生态系统的数据
- 维纳斯科技是一家与中国政府及网络攻击服务有关联的IT安全供应商
- 维纳斯科技泄露文件包含多国政府合同、攻击性服务资料及情报目标信息
- 盐台风是中国国家支持的APT组织，与全球电信行业及高校网络入侵事件存在关联
- 盐台风泄露数据涵盖员工详细信息、被攻陷路由器资料，以及与中国网络安全厂商和政府单位的交易记录
- 泄露资料揭示了盐台风与四川聚鑫和网络科技有限公司等空壳公司的关联
- 这些数据表明中国国家主导的数据收集存在漏洞，内部人员正在黑市贩卖数据
- 中国网络犯罪者在西方数字犯罪空间日益活跃，频繁转售或二次传播数据泄露信息
EU Product Liability Directive impacts software, digital products, cybersecurity
10 months ago
- 欧盟《产品责任指令》(PLD) 现已将软件、人工智能和数字服务纳入适用严格责任的'产品'范畴
- 不符合网络安全要求或未能提供安全更新可能被认定为产品缺陷
- 企业不得通过合同限制对软件或网络安全缺陷的责任
- 新指令引入可反驳的推定原则，使索赔人在软件或AI等复杂案件中更容易证明缺陷或因果关系
- 法院可要求企业以可理解的方式披露证据，尤其针对数字产品
- 该指令与《代表诉讼指令》并行实施，将增加集体消费者诉讼风险
- 企业须加强网络安全实践、完善合规文档记录并持续监控漏洞，以降低新规下的法律风险
The AI Creative Destruction Wave
10 months ago
- 人工智能正在使现有公司和产品变得低效过时。
- 随着AI驱动的替代方案取代传统企业，数百万工作岗位可能消失。
- 精简的AI驱动团队可以超越大型传统SaaS公司。
- 创造性破坏对网络安全公司的打击尤为严重。
- AI通过将安全性融入工程流程实现革命性变革。
- 游离于工程流程之外的现有安全公司将面临风险。
- 随着行业空心化，AI将对劳动力市场造成突发性冲击。
- 现在一个掌握AI的人能完成50人团队的工作量。
- 企业可能因AI竞争而倒闭或裁员。
- 这场变革是通过众多独立的小变化实现的，而非协调一致的行动。
$500K stolen via fake AI coding extension
10 months ago
- 恶意开源软件包正成为日益增长的威胁，PyPI和npm等代码库中频繁出现被感染的软件包报告
- 一名区块链开发者在安装Cursor AI IDE的恶意Solidity语言扩展后，损失了价值50万美元的加密资产
- 该恶意扩展被下载5.4万次，实为虚假程序——未提供实际功能，而是下载并执行了恶意代码
- 由于Open VSX注册表的排名算法会考量发布时间等因素，这款虚假扩展在搜索结果中的排名反而高于正版扩展
- 恶意扩展下载的PowerShell脚本会安装ScreenConnect，使攻击者能远程控制受害者电脑
- 攻击者通过ScreenConnect上传VBScript脚本，进而下载更多恶意软件（包括Quasar后门程序和针对加密钱包的窃取程序）
- 在首个恶意扩展下架后，攻击者又发布了与正版同名的仿冒扩展，并将下载量刷至200万次
- 同类恶意软件包和扩展相继被发现，表明这是一场针对区块链开发者的有组织攻击
- 安全建议包括：下载前验证软件包真实性、警惕无实际功能的软件、使用网络安全解决方案拦截已知恶意程序
Japan Achieves World Record 1.02 Petabits per Second Internet Speed
10 months ago
- 研究阶段取得突破，有望改善未来互联网基础设施
- 有望显著提升5G及未来6G网络速度
- 可增强云计算和人工智能数据处理能力
- 为1PB超大容量固态硬盘等存储设备铺平道路
- 预计将使各行业数据传输更快、更高效
- 速度提升也带来挑战，包括基础设施脆弱性（如船锚损坏海底光缆）
- 数据速率提高后，网络安全对敏感信息的保护更为重要
Belgian CVD is deeply broken
10 months ago
- 作者发现KBC网银门户存在漏洞，仅需简单操作即可绕过登录验证
- 尝试向KBC银行及比利时网络安全中心(CCB)进行负责任披露，却遭遇法律威胁与漏洞否认
- 批评比利时漏洞协调披露(CVD)机制已失效，法律程序障碍正在扼杀漏洞报告者的积极性
- CCB与KBC错误处理漏洞报告，过度关注形式流程而忽视实际安全问题
- 漏洞根源在于KBC浏览器会话与其itsme认证应用间的绑定机制存在设计缺陷
- 尽管itsme应用具备注册凭证验证(PoPR)缓解机制，但KBC的实施方案缺失该安全层
- 作者指出系统性弊端：将报告者视为罪犯、缺乏公开披露机制、报告者权利严重不对等
- 建议包括立法保护漏洞报告者、允许适度公开披露、提升CCB专业能力以改善协作
A Little-Known Microsoft Program Could Expose the Defense Department to Hackers
10 months ago
- 微软在中国雇佣工程师维护美国国防部计算机系统，且美方监管极少，引发安全担忧。
- 数字督导往往资质不足且薪酬过低，他们监管外籍工程师但缺乏有效识别潜在网络威胁的技术能力。
- 尽管网络安全专家和内部人员发出警告，微软仍扩大数字督导计划，将成本和可扩展性置于安全之上。
- 中国法律允许政府广泛收集数据，这增加了通过微软中国工程师进行间谍活动的风险。
- 该安排已实施近十年，但联邦官员知情有限且监管薄弱。
- 专家指出数字督导模式带来重大国家安全风险，特别是考虑到中国的网络威胁能力。
- 微软及其承包商对督导与工程师之间的知识鸿沟问题轻描淡写，致使敏感数据处于脆弱状态。
- 国防部及其他联邦机构应对风险行动迟缓，部分官员甚至不知道该计划的存在。
Give and Take: An End-to-End Investigation of Giveaway Scam Conversion Rates
10 months ago
- 本文研究了加密货币赠品骗局，重点分析了其运作模式和影响。
- 诈骗者利用Twitter、YouTube和Twitch等平台接触受害者，承诺以加密货币转账换取高额回报。
- 研究发现每1000条诈骗推文中有1人受害，每10万次直播观看中有4人受害。
- 在测量期间，诈骗者从数百名受害者处获取了近462万美元。
- 研究强调鉴于此类骗局低成本、高传播的特性，需要采取有效干预措施进行打击。
Shizuku: Unlocking Advanced Android Capabilities Without Root
10 months ago
- Shizuku是一款Android应用程序，允许其他应用无需完整root权限即可调用高权限系统API。
- 其工作原理是通过ADB在非root设备上使用app_process启动Java进程，或在已root设备上直接使用root权限运行。
- 用户可通过无线ADB（Android 11+）、连接PC端ADB或在已root设备上直接启动Shizuku。
- 支持Shizuku的热门应用包括Android Debloater（系统预装软件卸载工具）、VolumeManager（音量管理）、PhoneProfilesPlus（情景模式）和Termux终端。
- 在Termux中配置Shizuku需使用'rish'命令获取ADB级别特权。
- 网络安全应用场景包括：查看运行进程、使用netstat监控网络、显示Wi-Fi密码以及访问logcat系统日志。
- 防火墙解决方案NetGuard可与Shizuku配合实现应用级网络访问控制。
- Shizuku是Android高级用户的强力工具，无需完整root即可实现诸多系统级功能。
Spain awards Huawei contracts to manage intelligence agency wiretaps
10 months ago
- 西班牙授予华为一份价值1230万欧元的合同，负责管理和存储司法授权的电话监听数据。
- 华为正在为西班牙电信监听系统SITEL提供技术支持。
- 西班牙执法部门对华为参与敏感系统日益感到不安。
- 华为在欧盟及美英等北约盟国的5G网络中面临限制。
- 西班牙首相佩德罗·桑切斯一直支持华为，抵制欧盟对其施加的限制。
- 西班牙对华为的态度强调供应链可靠性而非地缘政治问题，这与其他北约盟国不同。
- 华为否认其设备存在后门，但对其与中国政府关系的担忧持续存在。
- 北京指责西方实行保护主义，称对中国技术的安全担忧毫无根据。
Chinese criminal software 'Darcula' tricking consumers
10 months ago
- 彼得·戴维斯通过虚假的Crust Pizza网站遭遇诈骗，向一家名为Soax Ltd London的公司损失了570.93美元。
- 澳新银行最初拒绝退款，因为该交易通过'Visa验证'认证并在ANZ Plus应用中完成授权。
- 戴维斯随后以'已付款但未收到货物'为由成功发起争议，最终由Soax Ltd公司退款。
- 谷歌将该诈骗网站列为搜索首位，但否认与该域名广告存在关联。
- 诈骗者使用中国开发的钓鱼即服务工具'Darcula V3'克隆正规网站以逃避检测。
- Darcula利用生成式AI仿冒真实网站，全球范围内针对邮政、银行、快递及电信服务实施攻击。
- 通过RCS和iMessage发起的钓鱼攻击可绕过短信防火墙，使得拦截更为困难。
- 专家建议使用通行密钥保护作为验证手段，防范虚假网站诈骗。
Chinese authorities are using a new tool to hack seized phones and extract data
10 months ago
- 中国当局使用名为Massistant的新型恶意软件从扣押手机中提取数据。
- 该软件由厦门美亚柏科开发，可提取短信、图片、位置记录、音频和联系人信息。
- 该恶意软件需物理接触已解锁的安卓设备，并配合硬件设备塔使用。
- Massistant会在设备上留下痕迹，用户可能发现并卸载该软件。
- 中国警方可在无搜查令情况下合法检查手机，尤其在边境检查站。
- 该软件是厦门美亚柏科前代取证工具MSSocket的升级版。
- 美亚柏科占据中国数字取证市场40%份额，2021年遭美国制裁。
- 该公司未回应置评请求。
- Massistant属于中国更庞大的监控恶意软件生态体系。

About|Login

#cybersecurity

America's Mobile Security Crisis: It's Time for a Secure, Private Alternative

Chinese apps pose security risk: Taiwan National Security Bureau

Hundreds of Brother printer models have an unpatchable security flaw

Belgium Is Unsafe for CVD

The State of Post-Quantum Cryptography (PQC) on the Web

How Let's Encrypt made the internet safer and HTTPS standard – and free

Taking over 60k spyware user accounts with SQL injection

Police warn of SMS scams as 'blaster' is used to send texts

State Secrets for Sale: More Leaks from the Chinese Hack-for-Hire Industry

EU Product Liability Directive impacts software, digital products, cybersecurity

The AI Creative Destruction Wave

$500K stolen via fake AI coding extension

Japan Achieves World Record 1.02 Petabits per Second Internet Speed

Belgian CVD is deeply broken

A Little-Known Microsoft Program Could Expose the Defense Department to Hackers

Give and Take: An End-to-End Investigation of Giveaway Scam Conversion Rates

Shizuku: Unlocking Advanced Android Capabilities Without Root

Spain awards Huawei contracts to manage intelligence agency wiretaps

Chinese criminal software 'Darcula' tricking consumers

Chinese authorities are using a new tool to hack seized phones and extract data