指掌易 -尊龙凯时注册

 

移动广告让手机秒变间谍武器

微型跟踪器、天眼、小型定位装置这些在特工电影中经常见到的黑科技，现在变得更加“亲民”了：只要你用手机，黑客们就有办法追踪你的位置。近期的研究发现，攻击者可以通过购买移动网络提供商为用户提供的带定位能力的移动广告的报告，获知在用户手机上广告点击和显示的时间，以及在哪些app和网站上展示。利用报告，攻击者可进一步推断用户的细节，如作息时间、身体状况。关键是与间谍级别的追踪软硬件（有些需花费数百万美元）相比，这种技术仅需几千美元，可谓“物美价廉”。

通过广告运营商可获得的信息及其价格

#只需1000美元就能对特定人员定位跟踪，这是对个人、组织机构、乃至国家安全层面的极大威胁。移动安全建设刻不容缓。#

一周热闻之

模糊化的二维码依然能泄露信息

把截图中的二维码模糊化以后再分享给大家，就能防止信息泄露吗？图样图森破。近期，有两名法国安全研究人员，复原了在电视中播出的、经过模糊化处理的qr二维码（比特币钱包的私人密码），成功转走了该比特币钱包中的1000美元。虽然这次逆向工程耗时16小时，但这已经证明了在社交网络上发布模糊的二维码或条形码图片是不安全的。建议用户在分享数据时，应使用完全的颜色块处理敏感细节，从而防止网络犯罪分子利用黑客工具获取敏感信息。

#google的ai技术已经能快速自动除水印和复原模糊化的图片，快速复原二维码也将是早晚之事，从此分享移动应用的账号登陆、银行转账、付款、身份验证等二维码无异于开门揖盗，特别是涉及企业用户身份准入的二维码，即便被模糊化了，被轻易分享也可能造成难以挽回的损失，企业的cso/ciso们须密切关注。#

一周热闻之

果粉三连击①：不受控的摄像头

近日，google工程师和奥地利某开发商发现一个iphone的严重隐私漏洞：iphone允许ios应用程序开发人员，在未进行任何通知或征得用户同意的情况下，通过启用前置或后置摄像头，拍摄用户的照片或录制实时视频。这本是由苹果公司对其设备进行的一个设置，然而，被有不良意图的人利用后可静默地监控用户的活动，包括访问前后置摄像头、记录用户开启的app，无通报情况下的拍照和录像、上传图片和视频，以及实时面部识别观测。

果粉三连击②：同卵多胞胎骗过iphone x人脸识别

随着iphone x全球发售，其搭载的人脸识别功能的安全性和灵敏度正成为人们争论的焦点。虽然现有的测试已经证明即便用户戴上帽子和眼镜，又或身处黑暗环境，都能被iphone x识别，甚至倒模的硅胶面具也骗不了iphone x；但同时也发现，同卵多胞胎中一人被登记面容后，另外两人仍能顺利解锁；测试者黏上假胡子，iphone x也无法辨识用户。

经媒体测试的8岁三胞胎解锁实验，1人登陆，3人均可解锁

果粉三连击之③：细思恐极的照片分类能力

ai无处不在，连照片的相册分类也用上了机器学习，结果却是喜忧参半。近日超模chrissy teigen在twitter发起：“让我们看看在自己的iphone的照片搜索框输入‘brassiere’（胸罩）会发生什么”的话题，于是有了下图。虽然苹果称相册分类仅存在于手机，不会上传至icloud或其他网络云端，但仍难消用户的顾虑：建立分类的词是如何预设和决定的，某些不想出现的分类，用户是否可以删除呢？

chrissy teigen在twitter发起话题截图

#从系统能力，到功能权限，再到用户习惯，哪怕是相对安全的iphone也已跟不上用户日益增长的移动安全诉求。组织机构的网络安全人员们还有什么理由，不去时刻关注移动安全的新动态呢？#

一周热闻之

移动pwn2own黑客大会，ios沦陷，android缴械

在上周的东京趋势科技移动pwn2own竞赛上，众多主流手机被白帽黑客们攻破，包括搭载了最新系统ios 11 的iphone 7、android8.0的三星 galaxy s8、谷歌 pixel 以及华为 mate 9 pro。各白帽黑客团队瓜分了35万美元的奖金。漏洞具体细节在苹果和google修复，或者披露保护期到期前，将不会公布于众。破解说明见下

iphone 7： tencentkeen security lab got code execution through a wifi bug and escalatesprivileges to persist through a reboot. ($110,000).
iphone 7：腾讯科恩安全实验室利用wi-fi的bug执行代码，重启后获得提权。
huawei mate 9 pro： tencentkeen security lab uses a stack overflow in the huawei baseband processor($100,000).
华为mate 9 pro：腾讯科恩安全实验室利用了华为处理器的基带堆栈溢出。
samsung galaxy s8：360security (@mj0011sec) demonstrated a bug in the samsung internet browser to getcode execution, then leveraged a privilege escalation in a samsung application,which persisted through a reboot ($70,000).
三星galaxy s8：360安全实验室，演示了利用三星浏览器中的bug执行代码，重启后在三星的应用中实现特权升级。
iphone 7：tencentkeen security lab used two bugs, one in the browser and one in a systemservice, to exploit safari. ($45,000).
iphone 7：腾讯科恩安全实验室利用了2个基于safari的bug，一个在浏览器，一个在系统服务。
iphone 7：richardzhu (fluorescence) leveraged two bugs to exploit safari andescape the sandbox – successfully running code of his choice ($25,000).
iphone 7：richardzhu (荧光)利用两个bug，成功运行提权代码，分别是safari和逃避沙箱。

#是程序就有漏洞，规避移动威胁的方法无外乎2点：1.良好的个人使用习惯；2.移动安全软件（对个人）或移动安全管理产品（对企业）。#

一周热闻之

android8.0自适应图标功能让手机无限重启

近日，android8.0（也称“奥利奥”系统）的“自适应图标”功能发现重大漏洞，受影响手机将陷入无限重启模式，用户只有恢复出厂设置才能摆脱无限重启状态，个人数据将全部丢失。这是由于手机app中，定义自适应图标样式的xml文件若与前景图像重名时，名称相同的两个文件引起循环引用，导致systemui和手机支持自适应图标的启动器不断崩溃，系统无法启动，更无法卸载有问题的应用，只能恢复出厂设置。该漏洞不影响默认状态的android 8.0（奥利奥），只对使用自适应图标功能的应用程序构成影响。

#如果这种方法和android勒索软件结合，赎金支付到期后自动修改应用的自适应图标文件的命名，使用户手机陷入无限重启，用户的数据将化为乌有。这种鱼死网破的漏洞严重威胁个人和企业用户的数据安全。#

一周热闻之

android系统现电子货币挖矿机

嵌入到网站和应用程序中的电子货币矿工程序正在悄然扩散，其不需要获得许可即可调用设备的资源，消耗设备的cpu、电量和数据带宽。近日有安全公司在google play上发现3个应用，内嵌了2款不同的挖矿机代码（见下图）：使用流行的coinhive javascript浏览器中的monero矿工，合法的恶意版本cpuminer库。挖矿机运行时，手机的cpu负荷将变得非常高，虽然能够带给攻击者的受益微不足道，但却会显著降低移动设备的性能，并导致元器件磨损、缩减电池寿命。

使用流行的coinhive javascript浏览器monero矿工

#比特币已破￥40000，其他加密电子货币也跟着疯狂，越来越多的浏览器和应用开始内嵌挖矿机，取代了原来的广告。但被拖慢的系统处理速度和安全隐患早就让用户头疼不已。技术带来的问题就用技术解决：用移动安全技术封杀矿工；使用应用黑白名单，不给非法应用代码可乘之机。#

一周热闻之

好消息，ios11.1正式版修复krack安全漏洞

苹果发布ios 11.1正式版，它修复了一个严重的漏洞krack—— wpa2 wi-fi密码安全的协议漏洞。 

#krack的威胁之大此处不再赘述，只是提醒各位及时升级，这！非！常！有！必！要！#

相关阅读：

移动热闻之

马来西亚4600万移动用户数据泄露，人均泄露1次半

研究人员近期发现马来西亚通信与网络运营供应商的大量数据在线泄露，超过4600万移动用户的敏感记录于暗网出售，其泄露数据包括用户姓名、预付费和后付费电话号码、地址、客户详细信息，以及 sim 卡数据。相对4600万的数据，马来西亚人口也才仅有约 3200 万，这意味着泄露的数据可能属于具有多个手机号码的用户，也可能是国外游客，亦或访问马来西亚的境外人群。

#严格意义上讲，数据泄露不能算作移动安全。不过这次泄露事件出自通信运营商，全都是以手机号和用户名为标识的移动用户数据。#

于是

#一波拖库、撞库、暴力破解即将来临，曾经在马来西亚购买过手机号，以及业务涉及马来西亚的企业，须谨防由此次移动数据泄露可能引发的自身数据的二次泄露隐患。#

2017.11/05    指掌易科技