報！上一周信息安全圈發生了這些大事，請您審閱
網安知識局
安全知識充電站?
信息安全圈上周都發生了那些大事？
NO.03 一周安全動態 >>>
2018年1月22日—1月26日
01
「撒幣」答題平台爭先湧出，惡意外掛隨之而來。
沖頂大會、百萬英雄、百萬贏家、芝士超人等眾多直播答題平台爭先湧出。其中沖頂大會每場需要回答12道題，全部答對的人可以平分百萬獎金。這種直播答題模式被「國民老公」王思聰戲稱為「撒幣」遊戲，吸引了大批量的網友參與，每場直播答題最高時有200多萬人參與。
然而隨著直播答題的火爆，一些外掛類應用也隨之而來。需要注意的是，外掛類應用中極有可能被植入木馬病毒，用戶一旦下載就會中招。目前已經檢測並查殺出的有偽裝成「沖頂大會」、「沖頂大會答案」的2款惡意軟體。
「沖頂大會答案」軟體正是假借「外掛」答題的名義，來誘導用戶下載，實則推送第三方廣告來牟利。其中，「沖頂大會答案」包含「a.gray.floatgame.o」木馬病毒，在手機中匿名彈窗，影響用戶體驗；「沖頂大會」軟體也非官方版本，不法分子趁機植入了「a.gray.GenericBludger」病毒，會自動下載安裝不需要的軟體，泄露用戶的隱私。
網路上流傳的答題外掛類APP，多是不法分子假借外掛名義推廣的木馬APP，對答題並沒有作用。建議用戶不要下載外掛類應用，以防信息泄露。
02
中國互聯網協會成立個人信息保護工作委員會。
中國互聯網協會1月22日成立個人信息保護工作委員會，近期將開展法律法規研究、個人信息保護領域公眾監督、個人信息保護領域行業自律、相關課題研究等工作，並為政府部門執法及行業監管提供支撐。
目前，我國網路個人信息泄露情況比較嚴重。泄露途徑有通過破解資料庫、惡意代碼等技術手段竊取；通過APP、社交軟體等程序非法收集；通過線上和線下舉辦活動收集濫用；還有些通過商場、醫院、銀行、保險等企業疏於管理而被泄露等。泄露的內容從手機號碼、電子郵箱、身份證號碼到醫療體檢記錄、地理位置等，幾乎涵蓋了一個人的全部信息。
中國互聯網協會秘書長指出，我國個人信息保護工作任重道遠，需要逐步建立結合事前引導、預警，事中監督監測以及事後治理處置等各個環節的一整套完善的管理機制，降低個人信息泄露危害程度，提升個人信息保護工作水平，切實保護好廣大網民的個人信息不被濫用和泄露。協會成立個人信息保護工作委員會，將不斷推進行業自律，組織制定行業規範和標準，促進行業協作和預警機制建設，實施社會和公眾監督，全面開展個人信息保護工作。
03
Facebook為提升安全支付10萬美元賞金。
Facebook周一宣布，將準備高額獎金，用於獎勵那些可以提升在線安全性和隱私性的研究提案。Facebook CSO Alex Stamos去年夏天宣布發布新的「互聯網安全保護獎勵」項目，並在 BlackHat大會上透露，Facebook已經準備了100萬美元來鼓勵原創的防禦性研究。
這個項目已經面向大學研究人員、教職工、非政府組織和非營利組織發出邀請，徵集有關創新技術和實用技術的建議。關於反網路釣魚、用戶安全、後密碼認證、濫用檢測和報告、隱私保護技術以及用戶安全的提案已經紛至沓來。根據具體細則判定，每個提案將得到最高10萬美元的獎勵。提交提案的截止日期為3月30日。部分獲獎者將在5月得到通知，全部名單則會在2018 BlackHat USA公布。
04
暴雪遊戲存在DNS重綁定漏洞，可導致玩家電腦被遠程劫持。
近日，一名谷歌安全研究員發現暴雪公司載入所有遊戲的Update Angent中存在DNS重綁定漏洞。利用這個漏洞，攻擊者可以用暴雪更新伺服器的身份通過驗證並發送惡意文件，Update Angent會將惡意文件當做遊戲更新來運行，從而影響到數百萬安裝暴雪遊戲 Update Agent的計算機。不過，目前暴雪表示已經修復該漏洞。
漏洞報告顯示，暴雪Update Agent包含一個JSON RPC伺服器，其他應用程序可以向這個伺服器發送命令並與Agent進行交互。可以使用瀏覽器向用戶發送惡意JavaScript攻擊該伺服器，並將Agent的更新伺服器重新綁定到惡意伺服器。研究結果還顯示，傳輸BitTorrent 的頁面也容易出現類似的DNS重綁定漏洞。
05
一加承認，黑客竊取了多達4萬名客戶的信用卡信息。
幾天前，一加的許多客戶聲稱在公司網上商店購物後，遭遇信用卡欺詐。客戶通過支持論壇和Reddit報告了數十起案件。
一加最終證實，其在線支付系統遭到入侵，在公司官方網站購買的客戶遭到多次欺詐信用卡交易的投訴。
1月19日，該公司發布聲明，承認盜竊信用卡信息多達4萬客戶。黑客在2017年11月中旬至2018年1月11日之間偷取了信用卡信息，在付款頁面代碼中注入惡意腳本。
這個腳本被攻擊者用來在網上商店購買的用戶輸入信用卡時竊取信用卡信息。
「非常抱歉，我們確實受到了攻擊，Oneplus.net上的多達4萬用戶可能會受到此事件的影響。我們已經發送了一封電子郵件給所有可能受到影響的用戶。」聲明寫道。
06
特朗普簽署美國全球監督法案，美政府監控權力更上一樓。
近日，美國總統特朗普簽署了一項法案，延續美國國家安全局（NSA）的互聯網監控計劃，同意授權NSA監聽外籍人士以及收集與之相關的情報。
據悉，美國《涉外情報監視法（FISA）》修正案第702條一直以來都飽受爭議，其雖然不允許直接監控美國公民，但卻允許收集與外國人通信的美國人相關信息，無論他們是否在美國國內。同時，該法案也允許美國政府收集谷歌、微軟等美國公司的數據。除此之外，在702條款的支持下，美國政府還能夠要求各科技企業必須為其提供可繞過產品中加密機制的實際途徑。此前，702條款已延長了6年。
07
中國網安與招商局集團簽署業內首個網路信息安全整體保障服務合同
1月26日，中國電子科技網路信息安全有限公司（簡稱中國網安）與招商局集團有限公司（簡稱招商局集團）在京簽署業內首個網路信息安全整體保障服務合同，開啟全方位合作，共同應對網路安全新挑戰，共同保障國家關鍵信息基礎設施安全。
國務院國資委綜合局副局長袁雷峰，中國電科副總經理、總工程師、中國工程院院士吳曼青，招商局集團副總經理王宏，中國網安黨委書記、董事長李成剛等相關領導出席會議並見證簽約。招商局集團信息技術總監吳沂與中國網安董事、衛士通信息產業股份有限公司總裁雷利民代表合作雙方簽署了服務合同。
據雙方介紹，本次簽約是順應新時代發展新要求的創新之舉，是彙集資源應對國家關鍵信息基礎設施安全威脅、保障國家利益的必然之為，必將為中央企業網路信息安全保障模式帶來重大轉變。
文本部分內容與圖片素材來源於網路
內容支持 | 衛士通移動安全
編審 | 廖婷婷 編輯 | 孫有權
TAG:中國網安 |