一周海外安全事件回顧(11.25 – 11.30)
如果有媒體采訪NSA此時(shí)此刻的心情，我猜NSA最想說的可能就是：“斯諾登，你他媽有完沒完啊!?”
不斷被曝光的NSA
從斯諾登曝光NSA的諸多劣跡，可以讓人深刻體會(huì)到，沒有底限是多么可怕!
本周，斯諾登爆料NSA如何在全球通過互聯(lián)網(wǎng)收集情報(bào)。見下面的附圖。需要注意的CNE這個(gè)詞，“計(jì)算機(jī)網(wǎng)絡(luò)利用”(Computer Network Exploitation)的縮寫，就是入侵了。“CNE”入侵的數(shù)量了超過五萬個(gè)網(wǎng)絡(luò)。NSA拒絕就此發(fā)表評(píng)論。
事情還沒完。斯諾登本周二揭露NSA曾以訪問色情網(wǎng)站和勾引未成年少女等負(fù)面行為，抹黑6名持“有爭議看法”的穆斯林。這6名穆斯林并非“恐怖分子”，而是煽動(dòng)其他人的異見分子。訪問和聊天記錄來自NSA捕獲的該6人的上網(wǎng)數(shù)據(jù)。
從斯諾登曝光NSA的諸多劣跡，可以讓人深刻體會(huì)到?jīng)]有底限是多么可怕!如果有媒體采訪NSA此時(shí)此刻的心情，我猜NSA最想說的可能就是：“斯諾登，你他媽有完沒完啊!?”
可憐的NSA。
DDoS，絕好的煙幕彈!
DDoS做誘餌，吸引應(yīng)急團(tuán)隊(duì)的注意，實(shí)際上偷竊數(shù)據(jù)。
從11月15-17日，丹麥比特幣創(chuàng)業(yè)公司BIPS系統(tǒng)遭受DDoS攻擊，安全團(tuán)隊(duì)緊急處理。但是，實(shí)際上DDoS只是為吸引防御一方的注意，入侵者悄悄地并成功偷竊了1295個(gè)比特幣，價(jià)值1百萬美金!
以DDoS為煙幕彈，吸引防護(hù)一方的注意，然后從另一個(gè)通道進(jìn)行其他隱秘的入侵操作已經(jīng)不是第一次了。在金融領(lǐng)域，類似的事情不止一次地發(fā)生。之前，Gartner分析師Litan曾經(jīng)發(fā)出過警告：以DDoS吸引防護(hù)者注意，偷偷進(jìn)行轉(zhuǎn)賬的事件，據(jù)她所知就有三起。美國著名安全博主Brain Krebs也提到過類似一起高達(dá)90萬美金的盜竊案。。更早一些，在2011年4月，SONY歐洲分部在一次大規(guī)模信息泄露事件中，有7700萬用戶的信息丟失，包括姓名、地址、生日、密碼等私密信息。當(dāng)時(shí)SONY就是一味忙于處理DDoS攻擊。
因此，如果你認(rèn)為你的數(shù)據(jù)多少還有些價(jià)值，或者你的系統(tǒng)中有第三方數(shù)據(jù)托管，那么一旦你被人家D了，千萬要多留個(gè)心眼，別一根筋扎到單純的抗D中去。
Athena新版本再現(xiàn)江湖。
研究人員發(fā)現(xiàn)由綽號(hào)“_Stoner”開發(fā)的Athena惡意程序出現(xiàn)新版本。
在本周，研究人員發(fā)現(xiàn)了由綽號(hào)“_Stoner”開發(fā)的Athena惡意程序出現(xiàn)新版本，除了DDoS外，還可以從CC端獲得指令進(jìn)行其他操作。當(dāng)前版本的價(jià)格，從Softpedia.com上看，Athena最新版本v2.3.1，售價(jià)100美金，升級(jí)費(fèi)10美金。
回顧Botnet的歷史，不難得出這樣一個(gè)結(jié)論：僵尸網(wǎng)絡(luò)不是一成不變的。Athena僵尸程序就是一個(gè)例子。Athena最近一次重大的改變是在2013上半年，Athena悄悄地從基于IRC轉(zhuǎn)變?yōu)榛贖TTP協(xié)議。
這個(gè)轉(zhuǎn)變的意義是比較重大的。一方面使用者可以獲得更為豐富的攻擊方式;另一方面，通過HTTP傳遞指令也更隱蔽。從工具的界面上看，從可以發(fā)起的DDoS攻擊方式上，幾乎涵蓋了全部的網(wǎng)絡(luò)層到應(yīng)用層的攻擊。工具用起來也很簡單，只要填寫相應(yīng)的端口、IP地址或URL就OK了。
現(xiàn)在做工具的真是非常的貼心，面向使用者開發(fā)，越來越簡單，越來越好用。
當(dāng)然，任何事情都有硬幣的兩個(gè)面。Athena從IRC轉(zhuǎn)向HTTP，客觀上也暴露了很多不足。Athena的僵尸主機(jī)通過Post向CC發(fā)送請(qǐng)求，從HTTP報(bào)文中可以看出非常明顯的特征，這為基于特征的檢測(cè)提供了非常好的依據(jù)。事實(shí)上本人一直認(rèn)為將基于簽名特征的檢測(cè)一棒子打死的人，都是偽專家。很多時(shí)候，特征檢測(cè)是最快最準(zhǔn)確的。除了有明顯的簽名特征之外，基于HTTP要遠(yuǎn)比基于IRC要復(fù)雜，這會(huì)影響僵尸網(wǎng)絡(luò)的搭建，攻擊的規(guī)模也會(huì)受限。
Anonymous掛了微軟日本系統(tǒng)
微軟為殺海豚者躺槍。
本周，黑客主義者Anonymous在Pastebin上發(fā)帖宣稱已經(jīng)將微軟日本的諸多系統(tǒng)用DDoS打掉了，目的是抗議日本對(duì)海豚的濫捕。本番攻擊的代號(hào)是Operation Killing Bay 或#OpKillingBay(中文：殺戮港灣行動(dòng))。其中，Killing Bay(殺戮港灣)意指日本以捕殺海豚聞名的太極村(Taiji)。受到影響的微軟日本系統(tǒng)包括：microsoft.com,，outlook.com,，msn.com和office365.com。
看到這個(gè)新聞，我和很多朋友的反應(yīng)一樣：尼瑪殺海豚和微軟有什么關(guān)系?
其他
在本周中，值得關(guān)注的安全事件還包括：
荷蘭IT服務(wù)公司Levi9稱所有版本為Andriod 4.x的Google Nexus4和5存在可被利用的DDoS脆弱性。當(dāng)Google Nexus4/5設(shè)備接收到一個(gè)短信，系統(tǒng)會(huì)把短信置于所有窗口的上端。如果短信數(shù)量太多同時(shí)所有者又不手工關(guān)閉或取消，就可能導(dǎo)致設(shè)備重啟。重啟后，如果設(shè)置了密碼，客戶又不知道設(shè)備已重啟，可能幾個(gè)小時(shí)處于斷網(wǎng)狀態(tài)。事件可能發(fā)生的場(chǎng)景之一是使用者在睡覺的時(shí)候。
釣魚郵件導(dǎo)致華盛頓大學(xué)醫(yī)院( UW Medicine)逾9萬病人個(gè)人信息被竊。上個(gè)月，一名UW的員工打開了一封釣魚郵件，隨后惡意軟件控制了該計(jì)算機(jī)。黑客通過控制的該員工計(jì)算機(jī)跳轉(zhuǎn)，進(jìn)入院方的服務(wù)器系統(tǒng)，導(dǎo)致超過9萬名醫(yī)院病人個(gè)人信息的泄露。一些病人向媒體表達(dá)了憤怒的心情。UW表示道歉，并向FBI報(bào)案。
