藍牙協議曝8個嚴重安全漏洞，可能影響53億有藍牙功能的設備

　　Armis公司的研究員將利用這8個漏洞的攻擊命名為BlueBorne。黑客可以利用這些漏洞發起遠程攻擊，不需要任何用戶交互就能接管設備、傳播惡意程序甚至進行中間人攻擊，接入設備的網絡并獲取設備的關鍵數據。

　　只要你的設備打開了藍牙，并且在黑客設備的藍牙連接范圍內，黑客就能實施攻擊，甚至不需要成功連接。

　　研究人員發現，BlueBorne具有蠕蟲傳播特性，可以像WannaCry一樣在世界范圍內迅速蔓延，擾亂公司、組織的網絡。Armis實驗室的研究小組組長Ben Seri表示，在研究這些漏洞時，他們發現可以利用BlueBorne創建一個僵尸網絡并安裝勒索軟件。但他也認為，技術高超的攻擊者也很難利用這些漏洞發起全球性的蠕蟲攻擊，因為同時找到所有具有藍牙功能的設備、同時針對所有平臺發起攻擊、并且利用一個被感染的設備自動大范圍傳播，這三點都很難實現。

　　但是，BlueBorne可被用于網絡監聽、數據竊取、勒索，甚至利用IoT設備創建類似于Mirai的大型僵尸網絡，或者利用移動設備創建類似于WireX的僵尸網絡等惡意活動，危害性不容忽視。

　　.NET 0day漏洞被用來傳播FinFisher病毒

　　微軟在本月安全更新中修補的漏洞之一的一個0day漏洞被黑客用來傳播FinFisher惡意軟件，目標針對俄語用戶。

　　該漏洞由FireEye的研究人員向微軟報告，漏洞編號CVE-2017-8759，它影響的是.NET框架中的SOAP WSDL（Web服務描述語言）解析器。攻擊者可以利用漏洞遠程執行代碼，讓目標用戶打開特制的文檔或應用程序。

　　在FireEye觀察到的攻擊中，黑客利用多個惡意文件利用漏洞，在最終部署有效payload（FinFisher）之前會下載多個組件。

　　微軟認為攻擊與黑客組織NEODYMIUM有關聯，NEODYMIUM去年使用Flash Playe0day漏洞傳播FinFisher。

　　今年早些時候，卡巴斯基注意到一個名為“BlackOasis”的中東黑客，通過Microsoft Office零日漏洞（CVE-2017-0199）傳播FinFisher惡意軟件。FireEye也發現了利用CVE-2017-0199進行的攻擊，盡管目前還沒有證據支持，但FireEye認為CVE-2017-8759也可能是被其他組織使用。

　　Adobe修復2個Flash Player嚴重漏洞

　　Adobe本月只修復了兩個Flash Player漏洞，不過漏洞都可以進行遠程代碼執行，并且都被歸類為嚴重。

　　漏洞的編號分別為CVE-2017-11281和CVE-2017-11282，由Google Project Zero的Mateusz Jurczyk和Natalie Silvanovich在Flash Player 26.0.0.151及更早版本中發現。漏洞的成因是內存損壞問題。

　　Adobe表示，目前沒有發現漏洞公布前，這兩個漏洞被利用的情況。事實上，Adobe和幾家科技巨頭已經決定在2020年底之前殺死Flash Player。

　　除此之外，Adobe還發布了一些影響Windows版本幫助創作工具RoboHelp的幾個漏洞補丁。RoboHelp 2017.0.1和更早版本以及12.0.4.460及更早版本存在XSS漏洞，還有一個中危的未驗證的URL重定向問題，可用于網絡釣魚。

　　Check Point研究員：Linux惡意病毒可能在Windows上偷偷運行

　　Check Point研究人員稱，Windows 10中的新功能把Linux bash終端融入到了操作系統中，但這可能會導致Windows受到更多惡意軟件的攻擊。

　　這個新功能被稱為Windows子系統Linux（WSL），該功能幾個月前在測試版中被移除，會在2017年10月即將推出的Windows 10秋季創作者更新（FCU）中成為正式的功能。

　　簡單來說，WSL把Linux命令行shell帶到Windows，從而允許用戶在Windows系統上運行Linux應用程序。正因為如此，Check Point研究人員認為，Linux平臺的惡意軟件可能無法被Windows檢測出來。

　　安全研究人員認為，即使使用已知的Linux惡意軟件，新的攻擊技術也可能會被濫用，因為Windows的反惡意軟件解決方案無法檢測這樣的威脅。

　　然而微軟表示，由于在Windows上運行Linux應用程序所需的功能在默認情況下被禁用，所以這種攻擊造成的風險很低。

　　“經過我們審查評估，這個漏洞為低風險。要進行攻擊，系統首先必須啟用開發人員模式，然后安裝組件，重新啟動并安裝Windows Subsystem for Linux，才嗯那個生效。默認情況下，開發人員模式未啟用?！?/P>

　　【行業動態】

　　美國能源部宣布投資5千萬美元完善關鍵能源設施安全性

　　今天能源部（DOE）宣布向美國能源部國家實驗室頒發高達5000萬美元的獎金，以支持下一代工具和技術的早期研究和開發，從而進一步提高國家關鍵能源基礎設施的安全，包括電力電網和石油天然氣基礎設施。

　　該部正在努力快速發展和廣泛采用工具和技術，這將有助于創造一個更具彈性，更安全，可持續和可靠的電力系統，以滿足21世紀及以后的需求。

　　電力系統必須不斷發展，應對惡劣天氣和網絡威脅等各種挑戰和機遇、發電類型不斷變化、物聯網的增長、以及電力基礎設施的老化等方面的問題。

　　能源部還宣布了20個網絡安全項目，通過創新，可擴展和具有成本效益的網絡安全解決方案研究和開發，提高國家電網和石油天然氣基礎設施的可靠性和彈性。

　　【國內新聞】

　　逾7億條信息遭泄露，浙江特大侵犯公民信息案判決

　　近日，浙江省松陽縣人民法院一審判決一起特大侵犯公民個人信息案，超過7億條公民信息遭泄露，8000余萬條公民信息被販賣。

　　2016年3月，松陽縣公安局接報多起以“猜猜我是誰”方式冒充單位領導實施詐騙的案件。經案件串并，警方發現麗水市范圍內共案發28起。后過近一個月偵查，警方成功抓獲11名犯罪嫌疑人，現場繳獲用于實施詐騙的全國各地公民個人信息16.7萬條，涉案金額117萬余元。

　　2016年10月，公安機關將涉案人員全部抓獲，并當場查獲各類公民個人信息2億余條、銀行卡200余套。

　　經法院審理查明，用于違法犯罪的數據源是被告人王某輝和犯罪嫌疑人庫某(另案處理)所提供。

　　王某輝于2016年2月入侵某部委醫療服務信息系統，將該系統數據庫內的部分公民個人信息導出，并進行販賣。庫某于2016年9月侵入某省扶貧網站，竊取了該系統內數個高級管理員的賬號和密碼，并下載系統內大量公民個人信息數據進行販賣。隨后，庫某將其中一個賬號和密碼轉賣給陳某亮，其下載大量公民個人信息后，又將該數據以及賬號和密碼販賣給了臺灣等地的詐騙團伙。

責任編輯：韓希宇