每日安全简讯(20170428)

1.研究表明勒索软件受害者四成付赎金

根据网络安全公司Trustlook的最新研究显示，勒索软件的威胁目标不再只是企业，普通网民也在劫难逃。较之大型公司，普通网民更缺乏防护资源，更容易受到威胁。Trustlook的报告显示，目前约有17％的消费者被勒索软件感染。其中38％的受感染的消费者选择支付赎金，常见的比特币金额在100至500美元之间。 另一方面，那些还没有受到勒索软件感染的人表现出强硬的态度，只有7％的人表示会支付费用。


http://news.softpedia.com/news/n ... evices-515189.shtml

---

2.卡巴斯基发布一季度APT攻击趋势报告

安全厂商卡巴斯基发布2017年第一季度 APT 攻击趋势报告。报告主要表达以下观点：1、Wiper（擦除工具）成为 APT 攻击组织的新武器；2、BlueNoroff/Lazarus 组织是对银行最主要威胁；3、开源工具的组合使用增加了检测与追溯难度。


https://securelist.com/analysis/ ... nds-report-q1-2017/

---

3.赛门铁克发布本月安全威胁趋势报告

赛门铁克互联网安全威胁报告（ISTR）中涵盖了最新威胁和安全趋势，通过综合的互联网威胁数据来源，提供全球互联网威胁活动概况和及其分析结果。有趣的亮点包括：每131个电子邮件中就有一个包含恶意链接或附件的比率达到五年内最高；勒索软件赎金飙升266％，64％的美国人支付赎金，美国成为受攻击的主要目标；当CIOs被问及在他们公司内有多少云应用程序是可以踪迹的，回答是40个，实际上数量接近1000个。


https://www.symantec.com/content ... istr-22-2017-en.pdf

---

4.研究人员声称智能电表存在安全隐患

根据堪培拉大学互联网安全中心的Nigel Phair的报告，黑客可以入侵智能电表，监控电力使用情况，并确定用户何时空闲时间较长。水和煤气智能电表通常是单向通信的，这意味着它们只能将数据发送给供应商。但是大多数智能电表都有双向通信的，黑客可以利用双向通信实现对智能电表的监控或者通过对修改程序减少用户的使用费用。


https://www.cnet.com/news/your-s ... be-a-security-risk/

---

5.企业级聊天工具HipChat 服务器被黑

Atlassian宣布，未知黑客入侵公司的云服务器，并访问了HipChat大量的聊天服务组的数据。据Atlassian介绍，攻击者利用HipChat.com域名服务使用的“受欢迎的第三方”软件库中的漏洞实施入侵，该公司没有透露该软件库的名称。Atlassian发布的安全通知中声明没有发现其他Atlassian系统或产品受到影响的证据。


http://securityaffairs.co/wordpr ... hipchat-hacked.html

---

6.美国空军面向黑客开展BUG 奖励计划

在星期三，美国空军Air Force成为美国武装部队的最新部门，宣布面向公众的BUG奖励计划。入侵Air Force计划邀请了白帽安全专家攻击空军关键的公共网站。


https://threatpost.com/air-force ... nty-program/125235/

---

以CV500视角看安天每日安全简讯
2017.4.28

今日安全简讯中提到的安全公司中，位列CV500的有5家：Trustlook（445）、Kaspersky（28）、Symantec（9）、HackerOne（87）和Google（133） 。

今天是周五，这一周的安全简讯，连续五天都是勒索霸占了头条：
周一：关键词是Flash漏洞。国内360公司发现的借用Flash漏洞传播的勒索软件。
周二：关键词是混搭。Sophos和Cisco两家公司从不同角度讲述了通过邮件传播的勒索软件：pdf文件中夹杂doc文件，而勒索软件正隐藏在这个doc文档中。
周三：关键词是RDP漏洞。Kaspersky公司发布了XPan勒索软件的最新变种。
周四：关键词是特殊行业。Sophos公司发布了针对医疗行业的勒索软件的分析。
周五（今天）：关键词是勒索软件统计分析。Trustlook公司发现针对个人的勒索软件有趋多的倾向。发布的统计数字其中2项挺有意思：已经感染的个人有40%支付了赎金；而没感染的个人表示即使感染勒索软件，愿意付赎金的只有7%！今日的安全简讯还报道了Symantec公司发布的长达77页的2016年安全分析报告，而其中讲述勒索软件的占到近10页的篇幅。勒索已然是一种流行现象，参见安天2016安全年报4.2 勒索软件从一种恶意代码行为扩展到一种经济模式。（附件1 第22页）

Kaspersky公司发布了其第一季度APT总结分析报告，掀开了其APT跟踪、研究、分析以及报告团队的一角。报告最后总结到利用漏洞依然是最为首要的途径和方式，敦促用户及时安装补丁。卡巴研究APT的持续时间、影响范围看，侧面证实了安天2016年威胁年报关于APT的普遍存在是网络空间的常态的观点。（见附件1 第8页）

HackerOne是一个美国的安全公司，专门组织针对特定目标的网络攻击“大赛”，获胜者还能获得大奖。已经举办过的网络大赛有：黑美国白宫、黑美国陆军，而这里介绍是最新的大赛：黑美国空军！
当然其目的是发现系统存在的漏洞，以利更好的做好安全防护。这个比赛是邀请制的，没有邀请的人是不能参与的。不过黑空军大赛首次允许除美国以外的人员参加，下月15日才开放注册。


相关链接：
a   Trustlook     http://news.softpedia.com/news/n ... evices-515189.shtml
b   Kaspersky  https://securelist.com/analysis/ ... nds-report-q1-2017/
c   Symantec   https://www.symantec.com/content ... istr-22-2017-en.pdf
d   HackerOne、Google  https://threatpost.com/air-force ... nty-program/125235/  


附件0：2016年安天移动安全年报 参见[20170414]
附件1：2016年安天威胁年报 参见 [20170413]
附件2：CV500 参见 [20170411]