2017年9月19日 星期二
馬哥教育新聞快報

導(dǎo)讀：黑客再度制造多起信息泄漏事件，Python官方平臺現(xiàn)惡意庫

每日一句

美麗屬于自信者，從容屬于有備者，奇跡屬于執(zhí)著者，成功屬于頑強者。

早報內(nèi)容

0.Equifax事件發(fā)酵：高管提前退休，檢察院介入調(diào)查
Equifax 上周通知用戶，黑客在5月中旬和7月下旬入侵了他們的系統(tǒng)。這次的信息泄露影響到了大約1.43億的美國消費者，泄露的信息包括姓名，社保號碼，出生日期，地址，還有一些駕駛證的信息。該公司聘請了FireEye所屬的事故調(diào)查公司Mandiant進行調(diào)查，并表示，Equifax對這一事件的內(nèi)部調(diào)查仍在進行中，公司繼續(xù)與聯(lián)邦調(diào)查局密切合作進行調(diào)查。
在今年九月 Equifax 爆出大規(guī)模數(shù)據(jù)泄露之后，上周五 Equifax 宣布，首席安全官員Susan Mauldin和首席信息官David Webb將立刻退出公司。

1.OurMine 泄露 Vevo 公司內(nèi)網(wǎng)文件
近期，黑客組織 OurMine 又將目標對準了 Vevo，Vevo是一個提供視頻服務(wù)的網(wǎng)站，這次黑客將其公司內(nèi)部網(wǎng)絡(luò)的文件都泄露出來了。
此前，該黑客組織以破壞網(wǎng)站和社交媒體賬戶而聞名。對于這次OurMine的攻擊原因，OurMine表示，在領(lǐng)英上,Vevo 的一名員工對OurMine的一名成員表示出了不尊重。

2.用戶如果兩周沒有使用他們的手機，Google將會刪除他們的安卓備份
近期，reddit用戶發(fā)現(xiàn)了Google的自動刪除功能，當時他正在為出現(xiàn)故障的Nexus 6P進行備份，用戶在等手機維修的過程中，他發(fā)現(xiàn)他的Nexus 6P備份文件已被標記為刪除。這表示如果用戶兩周沒使用他們的手機，Google將會自動刪除那些存儲在 Google Drive 賬戶中的備份文件。Google在檢測到這段不活躍時間后，它將為舊的安卓備份文件劃定一個為期60天的倒計時，當?shù)褂嫊r結(jié)束時，Google將會自動從用戶的云端硬盤中刪除備份文件。而對于此事，google的幫助頁面并沒有說明太多的相關(guān)信息。

3.Python 官方平臺 PyPI 中發(fā)現(xiàn)了10個惡意庫
近日，斯洛伐克國家安全局（NBU）在PyPi中發(fā)現(xiàn)了10個惡意的Python庫，PyPi（Python Package Index）是管理第三方庫的官方平臺。專家表示攻擊者是使用了“拼寫錯誤”的方法來上傳這些惡意的第三方庫，比如將”urlib” 寫成 “urllib”。當開發(fā)者上傳自己的庫到 PyPi 時，平臺不會做任何的安全性檢查或?qū)徲?，所以攻擊者可以輕松的上傳那些惡意的第三方庫。故意填寫錯誤名字的開發(fā)人員將其惡意庫加載到軟件的安裝腳本中。
專家表示這些惡意軟件會收集被感染主機的信息，比如這些虛假庫的名字，安裝這些庫的用戶的用戶名，還有用戶的計算機主機名。NBU 官員上周聯(lián)系了 PyPI 管理員，PyPI已經(jīng)將這些有問題的第三方庫在平臺上下架了。

4.谷歌將FTP協(xié)議標記為“不安全”
谷歌上周宣布，未來版本的 chrome 將對FTP傳輸協(xié)議標注為不安全。谷歌將會在今年12月發(fā)布的 chrome 63 中正式實施此計劃，此舉是Google 長期計劃的一部分，旨在標記所有不安全的鏈接，用來提醒用戶，并鼓勵網(wǎng)站所有者和管理員盡快使用 HTTPS。Google軟件工程師Mike West解釋說：“我們原來的計劃中并沒有包含F(xiàn)TP，但不幸的是，其安全屬性實際上比HTTP稍微差一些。“
Google 鼓勵網(wǎng)站開發(fā)人員將他們提供的可下載文件（特別是可執(zhí)行文件）盡快從 FTP 遷移到 HTTPS 上。

5.阿拉斯加選民數(shù)據(jù)泄漏
研究人員近日發(fā)現(xiàn)，有將近50萬的美國選民信息被泄露到網(wǎng)上，而導(dǎo)致事情發(fā)生的原因卻是數(shù)據(jù)庫配置出現(xiàn)了問題。遭到泄露的是一個CouchDB數(shù)據(jù)庫，其中包含593,328個阿拉斯加選民記錄，包括姓名，地址，出生日期，投票偏好，家庭收入等等。
TargetSmart首席執(zhí)行官Tom Bonier解釋說，事件是由Equals3配置錯誤的結(jié)果，Equals3是一家AI軟件公司，它向TargetSmart授權(quán)了一些數(shù)據(jù)。他補充道，這個大約有59.3萬阿拉斯加選民的數(shù)據(jù)庫的信息是無意間暴露出來的，除了管理團隊和安全研究人員之后，沒有人可以訪問到這個數(shù)據(jù)庫。

6.系統(tǒng)清理工具CCleaner被植入后門，上百萬用戶或受感染
2017年9月18日，有情報披露，著名的系統(tǒng)優(yōu)化工具CCleaner的某個版本被發(fā)現(xiàn)植入后門，大量使用該工具的用戶恐將面臨泄密風(fēng)險。這是繼Xshell后門事件后，又一起嚴重的軟件供應(yīng)鏈來源攻擊事件。
CCleaner是一款免費的系統(tǒng)優(yōu)化和隱私保護工具。主要用來清除Windows系統(tǒng)不再使用的垃圾文件，以騰出更多硬盤空間，并且還具有清除上網(wǎng)記錄等功能。被植入后門的版本為8月15日上線的5.33版本。
目前我們發(fā)現(xiàn)部分國內(nèi)下載站點仍在分發(fā)存在后門的版本。金睛安全研究團隊在此提醒廣大使用該工具的用戶，及時卸載有問題的版本，避免隱私泄露的風(fēng)險。

7.民航局：飛機上能否用手機由航司自行決定
9月18日，在中國民航局的例行新聞發(fā)布會上，中國民航局飛標司副司長朱濤透露，日前，《大型飛機公共航空運輸承運人運行合格審定規(guī)則》（CCAR—121部，以下簡稱《規(guī)則》）第五次修訂發(fā)布，將于2017年10月起實施。
這次修訂放寬了對于機上便攜式電子設(shè)備（PED）的管理規(guī)定，允許航空公司為主體對便攜式電子設(shè)備的影響進行評估，并制定相應(yīng)的管理和使用政策。
對此，朱濤表示，航空公司可以根據(jù)評估的結(jié)果，來決定在飛機上使用何種便攜式電子設(shè)備，原來政府是禁止的，現(xiàn)在政府把這個權(quán)力交給航空公司來評估。

8.亞馬遜云服務(wù)將按秒計費：降低價格打擊谷歌微軟
9月19日消息，亞馬遜公有云服務(wù)Amazon Web Services宣布，從10月2日開始，該公司將向使用其EC2虛擬服務(wù)器的客戶按秒收取費用。
此舉將產(chǎn)生重要影響，因為自從AWS 2006年推出以來，始終按小時計費。2013年，Alphabet旗下子公司谷歌宣布AWS的直接競爭對手按分鐘計費。微軟的Azure也緊隨其后。現(xiàn)在，亞馬遜發(fā)動反擊，更加細致地調(diào)整了人們使用計算資源的方式。

9.賈躍亭履責(zé)：樂視再償一億元債務(wù)，供應(yīng)商稱其有擔(dān)當
據(jù)證券時報報道，賈躍亭香港籌款之行取得了不錯的效果，日前樂視控股和供應(yīng)商達成的債務(wù)解決額度已經(jīng)超過了一億元。
在樂視系發(fā)生資金危機后，便遭遇了大批供應(yīng)商上門討債，更有部分討債者長期在樂視大廈駐守，等待樂視還債。7月份的時候，賈躍亭曾經(jīng)表示，會“盡責(zé)到底”，一定會還債，希望供應(yīng)商能給些時間。

今日花絮

“共享女友”項目發(fā)表致歉聲明：暫停運營，雙倍賠償違約金
一家名叫“他趣”的情趣電商推出了“共享女友”服務(wù)，即提供充氣娃娃的共享服務(wù)，該項目一經(jīng)推出，便吸引了不少關(guān)注。然而，該項目推出不久即被叫停，派出所還對該項目的地推人員進行了罰款。
今天，該項目背后的公司“廈門海豹他趣信息技術(shù)股份有限公司”發(fā)表了致歉聲明，宣布暫?！肮蚕砼选表椖康倪\營。