【阿里聚安全·安全周刊】Intel处理器安全漏洞事件跟踪|星巴克挖矿事件分析

2022-01-01 23:51:45

关键词：阿里云Intel漏洞公告丨星巴克挖矿丨阿里工程师丨杭特丨苹果更新丨iOS内核调试丨WPA3 Wifi标准|平昌奥运会|比特币钱包|PHP 7.2.1

本周资讯top3

【安全漏洞公告】Intel处理器Meltdown和Spectre安全漏洞公告

北京时间2018年01月03日，Intel处理器芯片被爆出存严重安全漏洞，该漏洞事件源于芯片硬件层面的设计BUG，可导致操作系统内核信息泄露、应用程序越权访问系统内核数据等问题。
漏洞披露前，阿里云已与Intel同步关键安全信息，并持续就修复方案做验证。

阿里云已经启动了云平台底层基础架构的漏洞修复更新，会根据批次依次修复，最迟于北京时间1月12日24点之前完成。

http://jaq.alibaba.com/community/art/show?articleid=1310

【技术分享】星巴克挖矿事件分析：黑客是如何黑掉WiFi并将挖矿代码注入到HTML页面的？

2017年12月，星巴克集团就确认顾客在其布宜诺斯艾利斯的分店联网时，首次连接WiFi时会有一个10秒左右的延迟，在这个空隙间，黑客可以在用户毫无察觉的情况下挖掘数字货币。
不过目前仍未弄清谁是幕后的操作者，其中所涉及的恶意软件已经被植入了多久，以及有多少用户受到影响都尚不明确。
所以本篇文章就试图分析黑客是如何通过实施MITM攻击并在html页面注入一些javascript，从而强制连接到WiFi网络的所有设备进行挖矿。

http://jaq.alibaba.com/community/art/show?articleid=1312

【阿里工程师】还有这种操作？既是黑客又是居家男的阿里安全工程师

耀刺是谁？他是阿里安全潘多拉实验室负责苹果iOS系统的“越狱小能手”。前段时间，苹果发布iOS 11.2系统后不久，耀刺就将其拿下；而在iOS 11.2.1系统发布数小时内，耀刺又将其攻破。而且，与一般的越狱不同，耀刺的这些操作都是妥妥的“完美越狱”。

http://jaq.alibaba.com/community/art/show?articleid=1321

资讯篇

【网络安全】网络钓鱼盯上平昌奥运会：窃取敏感信息

据外媒1月7日报道，McAfee 安全研究人员报告称黑客组织已经针对韩国平昌奥运会部署了鱼叉式网络钓鱼攻击，可能会涉及到财务以及其他敏感信息。
目前许多与平昌奥运相关的组织都收到了钓鱼信息，并且相关专家预测未来针对类似平昌奥运这样的体育赛事的攻击会越来越多。

http://jaq.alibaba.com/community/art/show?articleid=1314

【安全圈】阿里安全资深专家杭特谈安全圈之“怪现状”

在国家和企业的重视和关注下，我们看到越来越多优秀的技术人才涌出，信息安全已成为各高校中炙手可热的专业，安全人才就业率也在逐年增加，各行各业的信息安全爱好者也投入其中，“挖掘漏洞”成了一件很“极客”，很有挑战并且很有成就感的事情。但渐渐的，我们也发现了安全圈的一个怪现象，那就是：“攻多防少”、“野战军远远大于正规军”、“安全人才结构不合理”。

在本次的采访中，阿里安全资深专家杭特就此问题阐述了自己的一些独特想法。

http://jaq.alibaba.com/community/art/show?articleid=1319

【安全更新】苹果公司发布了针对Spectre CPU漏洞的安全更新

苹果发布了安全更新，以减轻“Spectre”漏洞的影响。该漏洞会影响到苹果设备，如智能手机、平板电脑和台式电脑。
“Spectre”涉及两个安全漏洞(cve - 2017-5753和cve - 2017-5715)。
苹果发布了macOS High Sierra 10.13.2、iOS 11.2.2和Safari 11.0.2，以减轻幽灵漏洞的影响。

http://jaq.alibaba.com/community/art/show?articleid=1316

【WPA3 Wifi】修复KRACK漏洞，WPA3 Wifi标准即将到来

几个月前，WPA2安全协议被曝存在高危漏洞，容易遭受KRACK攻击，这几乎影响了所有的WIFI设备。为了从根本上解决这一问题，也促使新的WIFI网络保护协议WPA3的诞生。

WPA3 WiFi认证协议的首个正式草案将于今年晚些时候正式发布，但WiFi联盟已公布了四项主要功能。

【阿里聚安全·安全周刊】Intel处理器安全漏洞事件跟踪|星巴克挖矿事件分析

http://jaq.alibaba.com/community/art/show?articleid=1317

【安全漏洞】大量比特币钱包暴露，开发商Electrum紧急修复漏洞

外媒1月10日消息，知名钱包开发商 Electrum 近期针对其比特币钱包的 JSONRPC 接口漏洞发布了安全补丁。
据悉，该漏洞允许托管 Electrum 钱包的恶意网站通过 Web 浏览器窃取用户的加密货币，研究人员猜测这可能与 JSONRPC 接口中的密码暴露有关。
此外，攻击者还可以利用该漏洞获得私人数据，例如比特币地址、交易标签、地址标签、钱包联系人等信息。
目前该漏洞影响了几乎所有平台上的 Electrum 2.6 – 3.0.4 版本。

【阿里聚安全·安全周刊】Intel处理器安全漏洞事件跟踪|星巴克挖矿事件分析