全球外币兑换机构 Travelex 被黑客勒索

‎全球外币兑换服务商 Travelex(通济隆)被使用 Sodinokibi(又名 REvil)勒索软件的网络攻击者袭击,要求 600 万美元(460 万英镑)。一个多星期后,尽管公司努力了补救,但该公司的网站和在线服务仍然处于离线状态。‎

travelex1

‎勒索软件团伙Sodinokibi(也称REvil)表示,已经下载了超过5GB的敏感客户数据,包括出生日期、信用卡信息和国家保险号码,如果一周内没有付款,将公布这些数据。黑客最初要求300万美元,但在两天不付款后,金额翻了一倍。‎攻击者声称在过去六个月中进入公司的计算机网络,从而可以下载客户数据。‎

‎攻击发生在除夕夜,当时许多员工正在休假,之后,该公司在欧洲、亚洲和美国的网站上展示了”计划维护”信息,以便”遏制病毒并保护数据”。该消息已改为官方新闻稿,其中 Travelex 说,虽然”它尚未全面了解已加密的所有数据,但迄今仍没有证据表明任何数据已被泄露。‎

‎”在完成补救过程的遏制阶段后,详细的取证分析已全面展开,公司目前正在致力于恢复所有系统。迄今为止,Travelex 已经能够恢复许多正常运行复许多内部系统正常运行。‎

‎英国信息专员办公室 (ICO) 尚未收到该公司的数据泄露报告,并且客户也没有在攻击前从 Travelex 订购货币并付费但无法兑换的问题。‎

‎Wyze 摄像机安全漏洞导致240 万用户的个人信息被曝光‎

Wyze 摄像机的安全漏洞已经导致超过240万用户的大量个人数据被泄露。漏洞发现者TwelveSecurity说:“从来没有遇到过如此严重的数据泄露”。该公司的两个生产数据库都完全开放在互联网上,结果,240万用户产生的大量敏感信息被泄露。

泄露的数据包括以下内容:

  • 购买摄像机并将摄像机联接到家中的用户的用户名和邮件
  • 240 万用户中 24% 位于 EST 时区(其余用户分散在美国、英国、阿联酋、埃及和马来西亚部分地区的其余区域)
  • 与家庭成员共享过摄像机访问的任何用户的电子邮件
  • 家中所有摄像机的列表、每个摄像机的昵称、设备型号和固件版本
  • WiFi SSID,内部子网布局,相机最后一次按时登录,从应用最后一次登录时间,从应用程序最后一次注销时间
  • API令牌,用于从任何 iOS 或 Android 设备访问用户帐户
  • Alexa令牌,适用于将Alexa设备连接到Wyze摄像机的 24,000名用户
  • 部分用户的身高、体重、性别、骨密度、骨量、每日蛋白质摄入量和其他健康信息

Wyze已经证实了泄漏。我们确认一些Wyze用户数据没有正确保护,并在12月4日至12月26日暴露。我们从主要生产服务器复制了一些数据,并将其放入一个更灵活的数据库,更易于查询。此新数据表在最初创建时受到保护。但是,12月4日,Wyze员工在使用此数据库时犯了一个错误,并且删除了以前用于此数据的安全策略。我们仍在调查这一事件,以找出为什么和如何发生这种情况。

该漏洞始于 12 月 4 日,并不涉及我们的任何生产数据表。虽然重要,但此数据库仅包含数据子集。它不包含用户密码或政府监管的个人或财务信息。它确实包含客户电子邮件以及相机昵称、WiFi SSID、Wyze 设备信息、少量产品测试仪的车身指标以及与 Alexa 集成相关的有限令牌。

小米摄像头被爆安全漏洞: 谷歌紧急禁止集成功能

据外媒Android Police报道,由于小米米家摄像头存在的风险隐患,目前谷歌官方已经宣布在Google Home、Google Assistant设备上禁止绑定小米的集成功能。

问题最初是由Reddit社区用户/r/Dio-V发现并分享的,他刚刚买的小米米家1080P Smart IP摄像头在集成到Nest Hub之后,意外看到其他人家庭中的景象——包括一个睡在椅子上的男人以及一名在婴儿床上睡觉的婴儿等场景。Dio-V称,Nest Hub和摄像头都是从AliExpress新购买的,摄像头正在运行固件版本为3.5.1_00.66。

随后谷歌非常重视这个问题,表示:“我们已经意识到了这个问题,并且联络了小米试图解决问题。同时,我们正在禁用设备上的小米集成。”随后外媒Android Police进行了实测,确实发现在Google Home等设备上已经禁用了米家所有产品的集成。

小米方面表示,Mi Home Security Camera BasIc1080p联动 Google Home Hub功能是小米针对 Google智能家庭系统开发的功能之一。前述Bug出现在海外销售的 Mi Home Security Camera Basic1080p通过 Google Home Hub平台连接 Google带屏音箱时会出现小概率接收到其他 Google用户账号下摄像头串流画面的Bug,目前小米安全中心已与Google一同沟通并修复相关Bug,待双方共同测试完善后将适时重新上线该功能。

苹果公司从App Store中删除了18个带有隐匿广告点击代码的应用

Wandera的研究人员在Apple的App Store中发现了17个应用,都包含一个叫Clicker的模块,该模块被设计为执行与秘密广告欺诈相关的任务,例如自动打开网页,点击链接和广告。

这些有问题的应用程序都是免费的,分为几个应用程序类别,包括生产力,工具,健身,媒体和旅行:

*         RTO Vehicle Information

*         EMI Calculator & Loan Planner

*         File Manager – Documents

*         Smart GPS Speedometer

*         CrickOne – Live Cricket Scores

*         Daily Fitness – Yoga Poses

*         FM Radio PRO – Internet Radio

*         Around Me Place Finder

*         Easy Contacts Backup Manager

*         Ramadan Times 2019 Pro

*         Restaurant Finder – Find Food

*         BMI Calculator PRO – BMR Calc

*         Dual Accounts Pro

*         Video Editor – Mute Video

*         Islamic World PRO – Qibla

*         Smart Video Compressor

*         My Train Info – IRCTC & PNR

除最后一个以外的所有应用均由同一开发人员发布:AppAspect Technologies Pvt . Ltd.(尽管该开发人员发布的所有应用程序并非都包含恶意的Clicker功能。)

在测试中发现这些应用程序表现出和恶意软件一样的规避检查行为。研究人员发现,所有“受感染”的应用程序均使用了高强度的加密密码并只与一个远程控制服务器通信。这个远程控制服务器在几个月前被Dr. Web研究人员标记为Android上类似的clicker特洛伊木马活动的一部分,“受感染”的Android应用会收集设备信息和配置详细信息发送到这个服务器,并从这个服务器接收有关打开哪个网站地址以及要加载的链接的指示,并且在某些情况下会自动为用户订阅昂贵的服务。

Wandera研究人员将他们的发现通知了Apple,此后这些应用已从App Store中删除。

研究人员指出,AppAspect Technologies在Google Play上也拥有开发者资料,其中包含28种已发布的应用程序。 他们对其进行了测试,发现这些Android应用程序均未与上述远程控制服务器通信。

“但是,其他研究发现,AppAspect的Android应用程序过去曾经被感染并从商店中删除。 此后,它们已被重新发布,并且似乎没有嵌入恶意功能。 目前尚不清楚开发人员是有意还是无意地添加了错误代码,”他们补充说。

 

谷歌的bug赏金计划将涵盖了所有流行的Android应用

Google Play 安全奖励计划,是向发现 Google Play 商店中应用问题的开发人员提供奖励。以前,该奖励计划只涵盖八个顶级应用程序的一组列表,现在将扩展到Google Play 商店中任何安装次数超过 1 亿的应用程序。如果开发人员发现并批露一个应用程序的漏洞,谷歌将可以给予高达2万美元的奖励。

谷歌发言人说:”这为安全研究人员打开了大门,帮助数百家组织识别和修复其应用中的漏洞。”

此外,谷歌还推出了一项开发者数据保护奖励计划,以在Android应用、OAuth项目和Chrome扩展中解决”数据滥用问题”。这意味着在未经用户同意的情况下使用或销售用户数据的应用,如果被报告滥用用户数据,将从 Google Play 商店或 Chrome 网上商店中删除,并且Google将给予报告者高达 5万美元的奖励。