一周安全要聞：Pwn2Own難度升高 CIA監(jiān)控蘋果設(shè)備
原創(chuàng)近期，最受國民關(guān)注的事件莫過于2015全國兩會的召開。在今年的兩會上，中國電信股份有限公司湖南分公司總經(jīng)理廖仁斌就“加快建設(shè)大數(shù)據(jù)時代個人信息安全保護體系”提出建議，而中國移動廣東公司總經(jīng)理鐘天華提交了《關(guān)于加快制定的議案》,呼吁國家加快立法，保護網(wǎng)絡(luò)信息安全。欲了解更多信息，請關(guān)注我們的專題報道：聚焦兩會 話說安全。
下面，讓我們一起來看看本周有哪些重要的安全要聞。一年一度的Pwn2Own黑客大賽即將舉行;蘋果公司的iTunes和應(yīng)用商店服務(wù)中斷近12個小時;近十年，美中情局針對蘋果設(shè)備進行各種破解與監(jiān)控研究;：“網(wǎng)安企業(yè)500強”評選，可花錢買名次;貝恩資本公司即將收購Blue Coat;WordPress、開源軟件Xen等先后曝出安全漏洞……
2015年的Pwn2Own黑客破解大賽將于3月18日在加拿大溫哥華開幕，由美國五角大樓入侵防護系統(tǒng)供應(yīng)商TippingPoint贊助。近日，Pwn2Own 2015公布全新的比賽規(guī)則，本屆賽事難度超高、史無前例，包括VUPEN等赫赫有名的黑客團隊也望而卻步。Pwn2Own以IE、Chrome、Safari、Firefox等瀏覽器作為主要攻擊目標(biāo)，參賽黑客需要發(fā)現(xiàn)并攻破上述軟件漏洞，完全控制操作系統(tǒng)。而在本屆比賽上攻破IE也被視為幾乎不可能完成的任務(wù)，其難度堪比“射擊手蒙上雙眼打移動靶”。
愛德華·斯諾登提供給The Intercept網(wǎng)站最新的一份報告顯示，近十年來，CIA一直在試圖滲透iPhone手機和iPad平板，專注于破解蘋果設(shè)備的監(jiān)聽以及安全密鑰破解，目的是收集蘋果用戶的數(shù)據(jù)。而蘋果現(xiàn)任CEO蒂姆·庫克公開發(fā)誓要保護這些數(shù)據(jù)。
揭秘美中情局對蘋果設(shè)備的各種破解與監(jiān)控研究
漏洞解析
安全研究人員發(fā)現(xiàn)在英特爾PC上的Linux系統(tǒng)中可以利用某些種類的DDR DRAM芯片所存在的物理缺陷來獲取系統(tǒng)最高權(quán)限。該技術(shù)被稱為“Rowhammer”，其可使最近一代的 DRAM 芯片多次訪問內(nèi)存導(dǎo)致相鄰行發(fā)生“位翻轉(zhuǎn)”，并允許任何人改變計算機內(nèi)存中的存儲內(nèi)容。
Android 4.4之前版本的Java加密架構(gòu)(JCA)中使用的Apache Harmony 6.0M3及其之前版本的SecureRandom實現(xiàn)存在安全漏洞。據(jù)了解，2013年8月份的比特幣應(yīng)用被攻擊也與這個漏洞相關(guān)。比特幣應(yīng)用里使用了ECDSA算法，這個算法需要一個隨機數(shù)來生成簽名，然而生成隨機數(shù)的算法存在這個漏洞。
技術(shù)分析：SecureRandom漏洞詳解(CVE-2013-7372)
惡意程序
最近某安全研究人員收到一封釣魚郵件，郵件中附帶著一個.doc的附件。他們利用再平常不過的工具Notepad++，一步一步脫去ZeuS木馬的偽裝外衣，并進行了非常深入的靜態(tài)分析。該木馬的偽裝用到了多項關(guān)鍵技術(shù)，例如信息隱藏、加密解密等。
近幾年P(guān)OS惡意軟件活動頻繁，LogPOS是2015年發(fā)現(xiàn)的一個新成員。該惡意軟件的一個重要的特點是其利用了郵件槽，可以躲避傳統(tǒng)的檢測機制。此外，在該樣本中，主程序創(chuàng)建了郵件槽，并作為郵件槽服務(wù)器，而注入到各個進程中的代碼則作為客戶端，它們將獲取到的信用卡號碼寫入郵件槽，然后通過郵件槽直接將數(shù)據(jù)傳輸出去。
其他熱點
蘋果應(yīng)用商店服務(wù)中斷11小時后恢復(fù)
調(diào)查：“網(wǎng)安企業(yè)500強”存迷霧 可花錢買名次
