小編來報(bào)：大后天就要放假了，各位看官，早上好。希望中秋小長假，蠕蟲們消停點(diǎn)，好讓各設(shè)備的安全維護(hù)人員們安安心心過好節(jié)。攝像頭又暴零日漏洞，美國西海岸前年大面積斷網(wǎng)事件，主角就是以攝像頭為主，組成物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)肆虐美國。這次這個(gè)品牌的攝像頭同樣有數(shù)十萬的市場占有率，如果再被黑客集中起來搞大事，搞僵尸矩陣，破壞力又將難以預(yù)計(jì)。

時(shí)隔一年之后，超過20億臺設(shè)備仍易遭受BlueBorne攻擊

2017年9月，Armis Labs的研究人員發(fā)現(xiàn)新型攻擊技術(shù)BlueBorne，其將目標(biāo)瞄向包括運(yùn)行Android、iOS、Windows和Linux在內(nèi)的移動(dòng)設(shè)備、桌面設(shè)備和物聯(lián)網(wǎng)設(shè)備。BlueBorne將這些設(shè)備暴露在新型遠(yuǎn)程攻擊當(dāng)中，甚至無需借助用戶交互和配對。實(shí)施BlueBorne攻擊的條件是目標(biāo)系統(tǒng)須啟用藍(lán)牙功能。據(jù)研究人員透露，在繼發(fā)現(xiàn)藍(lán)牙漏洞BlueBorne一年之后，仍有超過20億臺設(shè)備易遭遇此類攻擊。

NUUO產(chǎn)品被曝0Day漏洞，黑客可遠(yuǎn)程入侵?jǐn)?shù)十萬攝像頭

美國網(wǎng)絡(luò)安全公司Tenable的研究人員發(fā)現(xiàn)，數(shù)字聯(lián)網(wǎng)監(jiān)控系統(tǒng)供應(yīng)商N(yùn)UUO的網(wǎng)絡(luò)視頻錄像機(jī)軟件存在緩沖區(qū)溢出漏洞，其編號為CVE-2018-1149，研究人員將該漏洞命名為“躲貓貓”（Peekaboo）。該漏洞允許在視頻監(jiān)控系統(tǒng)上遠(yuǎn)程執(zhí)行代碼，這意味著黑客可觀看或篡改監(jiān)控視頻影像。具體而言，攻擊者可以利用這個(gè)漏洞瀏覽、篡改視頻監(jiān)控記錄等信息，還可竊取機(jī)密數(shù)據(jù)，如憑證、IP地址、端口使用情況、監(jiān)控設(shè)備的型號。攻擊者甚至可利用該漏洞使攝像頭等監(jiān)控設(shè)備失靈。據(jù)悉，Peekaboo漏洞的影響范圍較廣，波及超過100個(gè)品牌、2500款不同型號的攝像頭，以及數(shù)十萬設(shè)備。

除此之外，該系統(tǒng)還存在另外一個(gè)漏洞CVE-2018-1150。這兩個(gè)漏洞影響了NUUO的NVRMini2設(shè)備（一款網(wǎng)絡(luò)連接存儲設(shè)備和網(wǎng)絡(luò)視頻錄像機(jī)）。NUUO主要提供閉路電視、監(jiān)視、視頻軟件和硬件。NUUO的軟件和設(shè)備廣泛用于零售、交通、教育、政府和銀行等行業(yè)。

美眾議員提出新法案，希望解決網(wǎng)絡(luò)安全勞動(dòng)力短缺問題

網(wǎng)絡(luò)安全勞動(dòng)力短缺問題嚴(yán)峻，美國對該問題的關(guān)注度不減。近日，美國眾議員提出一項(xiàng)網(wǎng)絡(luò)勞動(dòng)力法案，其旨在通過資助學(xué)徒計(jì)劃，解決網(wǎng)絡(luò)安全勞動(dòng)力短缺的問題。這項(xiàng)新的立法將幫助在美國勞工部內(nèi)設(shè)立一個(gè)資助項(xiàng)目，以便在競爭的基礎(chǔ)上向勞動(dòng)力中介提供資助，其目標(biāo)在于創(chuàng)建、實(shí)施并拓寬網(wǎng)絡(luò)安全學(xué)徒計(jì)劃。

NIST：無法信任或認(rèn)證物聯(lián)網(wǎng)設(shè)備的17個(gè)原因

當(dāng)美國加利福尼亞州的立法者考慮制定美國首個(gè)物聯(lián)網(wǎng)安全法規(guī)時(shí)，美國國家標(biāo)準(zhǔn)技術(shù)研究所（NIST）也在努力解決如何認(rèn)證聯(lián)網(wǎng)設(shè)備的問題。美國國家標(biāo)準(zhǔn)技術(shù)研究所9月17日公布“NIST內(nèi)部報(bào)告8222物聯(lián)網(wǎng)問題草案”，確定了17個(gè)與信任相關(guān)的技術(shù)問題，而這些問題可能會(huì)對采用物聯(lián)網(wǎng)產(chǎn)品和服務(wù)產(chǎn)生負(fù)面影響。NIST提出的這17個(gè)問題包括可擴(kuò)展性、可預(yù)測性、缺乏認(rèn)證標(biāo)準(zhǔn)、可用性問題、性能問題、可靠性問題等。

易遭遇“永恒之藍(lán)”漏洞攻擊的系統(tǒng)陷入無休止的感染

德國網(wǎng)絡(luò)安全公司Avira發(fā)出警告稱，未打補(bǔ)丁抵御“永恒之藍(lán)”漏洞攻擊的Windows設(shè)備陷入了無休止的感染狀態(tài)。Avira表示，微軟發(fā)布補(bǔ)丁一個(gè)月后，該漏洞被公之于眾，但如今仍有數(shù)十萬個(gè)系統(tǒng)依然容易遭受攻擊。Avira指出，未打補(bǔ)丁的系統(tǒng)仍暴露在濫用“永恒之藍(lán)”漏洞的惡意軟件攻擊當(dāng)中。值得指出的是，在WannaCry病毒爆發(fā)一年多之后，仍有大量反復(fù)遭受感染的設(shè)備。據(jù)透露，未打補(bǔ)丁的設(shè)備數(shù)量相當(dāng)多。Avira透露，受影響最嚴(yán)重的10個(gè)國家包括印度尼西亞、越南、泰國、埃及、俄羅斯、中國、菲律賓、印度和土耳其。

Alpine Linux 中存在代碼執(zhí)行漏洞，影響容器

根據(jù)安全研究人員的發(fā)現(xiàn)，Alpine Linux中存在多個(gè)漏洞，包括一個(gè)允許執(zhí)行任意代碼的漏洞。具體而言，Alpine Linux的默認(rèn)包管理器APK受多個(gè)漏洞影響，其中一個(gè)最嚴(yán)重的漏洞可允許惡意包鏡像在用戶設(shè)備上執(zhí)行任意代碼。目前該漏洞已被修復(fù)，且鏡像已經(jīng)有了更新，建議受影響的用戶及時(shí)對鏡像進(jìn)行更新。

亞馬遜調(diào)查員工數(shù)據(jù)泄露事件

據(jù)報(bào)道，經(jīng)亞馬遜9月16日證實(shí)，對于部分員工涉嫌將機(jī)密客戶數(shù)據(jù)出售給第三方公司（尤其中國）的行為，該公司正在開展調(diào)查。據(jù)《據(jù)華爾街日報(bào)》報(bào)道，亞馬遜的部分員工通過中間人向該網(wǎng)站的商家出售內(nèi)部數(shù)據(jù)和其他機(jī)密信息，從而在違反公司政策的情況下，讓這些商家獲得比競爭對手更大的優(yōu)勢。據(jù)悉，這一出售機(jī)密數(shù)據(jù)的行為在中國尤其嚴(yán)重，其原因在于中國賣家數(shù)量大幅增加，且亞馬遜中國員工的薪資相對較低。亞馬遜表示，他們對濫用公司系統(tǒng)的行為持零容忍的態(tài)度。

白宮新政策授權(quán)美國防部長執(zhí)行特定網(wǎng)絡(luò)行動(dòng)任務(wù)

美國國家安全總統(tǒng)備忘錄13（NSPM 13）提出，美國總統(tǒng)可將某些網(wǎng)絡(luò)權(quán)限授予國防部長執(zhí)行特定任務(wù)，以此加速網(wǎng)絡(luò)行動(dòng)。美國國防部的網(wǎng)絡(luò)官員對這項(xiàng)政策持樂觀態(tài)度，并表示這些變化可能會(huì)在行動(dòng)速度方面有所改觀。一名官員表示，根據(jù)新的政策，授權(quán)國防部長執(zhí)行這些任務(wù)仍需通過跨部門協(xié)調(diào)程序，但不是通過由美國國家安全委員會(huì)主導(dǎo)的程序，而是國防部主導(dǎo)的程序。

新加坡將設(shè)立東盟-新加坡網(wǎng)絡(luò)安全卓越中心

新加坡副***張志賢（Teo Chee Hean）9月18日在第三屆新加坡國際網(wǎng)絡(luò)活動(dòng)周的開幕上宣布，新加坡將設(shè)立東盟-新加坡網(wǎng)絡(luò)安全卓越中心，以加強(qiáng)東盟成員國的網(wǎng)絡(luò)戰(zhàn)略制定、立法和研究能力。該中心將擴(kuò)大現(xiàn)有的東盟網(wǎng)絡(luò)能力計(jì)劃，并培訓(xùn)東盟地區(qū)的國家計(jì)算機(jī)應(yīng)急響應(yīng)小組（CERT），并促進(jìn)CERT與CERT之間進(jìn)行信息開源共享。

新型XBash惡意軟件：集勒索軟件、挖礦軟件、僵尸網(wǎng)絡(luò)和蠕蟲的功能為一身

Palo Alto Networks的安全研究人員發(fā)現(xiàn)一款名為“XBash”的惡意軟件，其將目標(biāo)瞄向Linux和Windows服務(wù)器。Xbash的開發(fā)人員通過python開發(fā)了這款惡意軟件，然后通過使用Pyinstaller將其轉(zhuǎn)換成了一個(gè)單獨(dú)的Linux ELF可執(zhí)行程序。值得指出的是，這款惡意軟件結(jié)合了多種惡意軟件的功能，例如勒索軟件、挖礦軟件、僵尸網(wǎng)絡(luò)和蠕蟲。