一周安全要聞：Pwn2Own難度升高 CIA監(jiān)控蘋果設(shè)備
原創(chuàng)近期，最受國民關(guān)注的事件莫過于2015全國兩會(huì)的召開。在今年的兩會(huì)上，中國電信股份有限公司湖南分公司總經(jīng)理廖仁斌就“加快建設(shè)大數(shù)據(jù)時(shí)代個(gè)人信息安全保護(hù)體系”提出建議，而中國移動(dòng)廣東公司總經(jīng)理鐘天華提交了《關(guān)于加快制定的議案》,呼吁國家加快立法，保護(hù)網(wǎng)絡(luò)信息安全。欲了解更多信息，請(qǐng)關(guān)注我們的專題報(bào)道：聚焦兩會(huì) 話說安全。
下面，讓我們一起來看看本周有哪些重要的安全要聞。一年一度的Pwn2Own黑客大賽即將舉行;蘋果公司的iTunes和應(yīng)用商店服務(wù)中斷近12個(gè)小時(shí);近十年，美中情局針對(duì)蘋果設(shè)備進(jìn)行各種破解與監(jiān)控研究;：“網(wǎng)安企業(yè)500強(qiáng)”評(píng)選，可花錢買名次;貝恩資本公司即將收購Blue Coat;WordPress、開源軟件Xen等先后曝出安全漏洞……
2015年的Pwn2Own黑客破解大賽將于3月18日在加拿大溫哥華開幕，由美國五角大樓入侵防護(hù)系統(tǒng)供應(yīng)商TippingPoint贊助。近日，Pwn2Own 2015公布全新的比賽規(guī)則，本屆賽事難度超高、史無前例，包括VUPEN等赫赫有名的黑客團(tuán)隊(duì)也望而卻步。Pwn2Own以IE、Chrome、Safari、Firefox等瀏覽器作為主要攻擊目標(biāo)，參賽黑客需要發(fā)現(xiàn)并攻破上述軟件漏洞，完全控制操作系統(tǒng)。而在本屆比賽上攻破IE也被視為幾乎不可能完成的任務(wù)，其難度堪比“射擊手蒙上雙眼打移動(dòng)靶”。
Pwn2Own 2015黑客大賽：難度提升、獎(jiǎng)金減少
愛德華·斯諾登提供給The Intercept網(wǎng)站最新的一份報(bào)告顯示，近十年來，CIA一直在試圖滲透iPhone手機(jī)和iPad平板，專注于破解蘋果設(shè)備的監(jiān)聽以及安全密鑰破解，目的是收集蘋果用戶的數(shù)據(jù)。而蘋果現(xiàn)任CEO蒂姆·庫克公開發(fā)誓要保護(hù)這些數(shù)據(jù)。
揭秘美中情局對(duì)蘋果設(shè)備的各種破解與監(jiān)控研究
漏洞解析
安全研究人員發(fā)現(xiàn)在英特爾PC上的Linux系統(tǒng)中可以利用某些種類的DDR DRAM芯片所存在的物理缺陷來獲取系統(tǒng)最高權(quán)限。該技術(shù)被稱為“Rowhammer”，其可使最近一代的 DRAM 芯片多次訪問內(nèi)存導(dǎo)致相鄰行發(fā)生“位翻轉(zhuǎn)”，并允許任何人改變計(jì)算機(jī)內(nèi)存中的存儲(chǔ)內(nèi)容。
Android 4.4之前版本的Java加密架構(gòu)(JCA)中使用的Apache Harmony 6.0M3及其之前版本的SecureRandom實(shí)現(xiàn)存在安全漏洞。據(jù)了解，2013年8月份的比特幣應(yīng)用被攻擊也與這個(gè)漏洞相關(guān)。比特幣應(yīng)用里使用了ECDSA算法，這個(gè)算法需要一個(gè)隨機(jī)數(shù)來生成簽名，然而生成隨機(jī)數(shù)的算法存在這個(gè)漏洞。
技術(shù)分析：SecureRandom漏洞詳解(CVE-2013-7372)
惡意程序
最近某安全研究人員收到一封釣魚郵件，郵件中附帶著一個(gè).doc的附件。他們利用再平常不過的工具Notepad++，一步一步脫去ZeuS木馬的偽裝外衣，并進(jìn)行了非常深入的靜態(tài)分析。該木馬的偽裝用到了多項(xiàng)關(guān)鍵技術(shù)，例如信息隱藏、加密解密等。
近幾年P(guān)OS惡意軟件活動(dòng)頻繁，LogPOS是2015年發(fā)現(xiàn)的一個(gè)新成員。該惡意軟件的一個(gè)重要的特點(diǎn)是其利用了郵件槽，可以躲避傳統(tǒng)的檢測(cè)機(jī)制。此外，在該樣本中，主程序創(chuàng)建了郵件槽，并作為郵件槽服務(wù)器，而注入到各個(gè)進(jìn)程中的代碼則作為客戶端，它們將獲取到的信用卡號(hào)碼寫入郵件槽，然后通過郵件槽直接將數(shù)據(jù)傳輸出去。
其他熱點(diǎn)
蘋果應(yīng)用商店服務(wù)中斷11小時(shí)后恢復(fù)
調(diào)查：“網(wǎng)安企業(yè)500強(qiáng)”存迷霧 可花錢買名次
開源軟件Xen曝出安全漏洞：多家云計(jì)算服務(wù)暫停
