【安全帮】 常州大学部分学生个人信息泄露 被企业作为员工虚报工资 疑逃税！

摘要: 特斯拉门锁存在安全漏洞 黑客盗取汽车只需数秒钟据The Verge北京时间9月11日报道，比利时鲁汶大学的研究人员发现一种欺骗特斯拉无钥匙进入系统的方法。黑客只需与车主擦肩而过、复制其密钥，数秒钟时间就能轻松盗窃特斯拉电动汽车。这种攻击特别重要，因为特斯拉是无...

特斯拉门锁存在安全漏洞 黑客盗取汽车只需数秒钟 据 The Verge 北京时间 9 月 11 日报道，比利时鲁汶大学的研究人员发现一种欺骗特斯拉无钥匙进入系统的方法。黑客只需与车主擦肩而过、复制其密钥，数秒钟时间就能轻松盗窃特斯拉电动汽车。这种攻击特别重要，因为特斯拉是无钥匙进入系统概念的先驱，目前这一系统已经被大多数豪华汽车所采用。这一攻击似乎只适用于 6 月份前交付的 Model S 车型，特斯拉上周发布的补丁软件已经修正了相关漏洞。更重要的是，特斯拉增添了新的安全选项，汽车在启动前用户需要输入 PIN 密码。

参考来源：

https://www.cnbeta.com/articles/tech/766451.htm

CoinHive 挖矿劫持仍在肆虐 至少 28 万路由器被检出感染 为了攫取不当的加密货币挖矿收益，一些人制作了能够窃取设备算力的恶意软件，有几个挖矿网络的受害者规模甚至相当庞大。就在过去几天，研究人员发现了另外 3700 台秘密运行恶意的加密货币挖矿软件的路由器。截止目前，此类受感染设备的总数已经超过了 28 万台 —— 仅在 30 天的时间里，就增加了 8 万。

8 月初的时候，这波攻击就已经登上了媒体的头条。当时黑客利用此前未被发现的漏洞，入侵了巴西的 20 多万台路由器。攻击者成功地对 MicroTik 路由器实施了 “ 零日攻击 ” ，为其注入了 CoinHive 的修改版本。 CoinHive 的一小段代码，支持利用简易的浏览器来挖掘门罗币。

参考来源：

http://hackernews.cc/

黑客利用 Excel 文档来执行 ChainShot 恶意软件攻击 针对近日曝光的 Adobe Flash 零日漏洞（ CVE-2018-5002 ），已经出现了一款名叫  CHAINSHOT 的恶意软件攻击。其利用微软 Excel 文件包含的微型 Shockwave Flash ActiveX 对象、以及一个所谓的“电影”的 URL 链接，忽悠人们去下载 Flash 应用程序。研究人员攻破了其采用的 512-bit RSA 密钥，从而揭开了它的神秘面纱。研究人员发现，该 Flash 应用程序其实是一个混淆的下载器：进程会在内存中创建一个随机的 512-bit RSA 密钥对，将私钥保留在内存中、并将公钥发送到攻击者的 服务器 ，以加密 AES 密钥（用于加密有效负载）。之后将加密的有效负载和现有的私钥发送到下载程序，以解密 128 位 AES 密钥和有效负载。

参考来源：

https://www.cnbeta.com/articles/tech/766569.htm

常州大学部分学生个人信息泄露 被企业作为员工虚报工资 疑逃税！ 近日，常州大学怀德学院学生向记者反映称，该校大量学生遭遇个人信息泄露，多家企业利用这些信息捏造员工身份并虚报工资记录，背后目的可能是逃税。有相关企业负责人表示，虚报工资记录是因为企业“利润太薄”，将告知税务部门删除信息并赔偿学生损失。学生们的自发统计显示，“被入职”的学生可能超过千人，涉及到的公司至少有七家，基本都是江苏的公司。“被入职”的时间短则两个月，长的近一年。

参考来源：

http://www.sohu.com/a/253122639_161795

网络保险市场的规模 2020 年将达到 548 亿 德国保险业巨头 Munich Re 9 月 9 日在摩纳哥举行的一场会议上表示，网络保险市场的规模 2020 年将达到 80 亿美元（约合 548.8 亿元）以上。该公司董事会成员 Torsten Jeworrek 表示，网络风险是网络经济面临的最大威胁之一。该公司表示，根据预计，全球物联网设备的数量 2030 年将增加到 1250 亿台，这些设备激增可能会带来非常复杂的风险。

参考来源：

https://www.easyaq.com/news/1838067723.shtml

  黑客组织 PowerPool 利用最新 Windows 零日漏洞在全球多个国家实施攻击 网络安全公司 ESET 于上周发表的一篇博文中指出，仅在一个最新的微软 Windows 零日漏洞被公开披露的两天之后，一个被追踪为“ PowerPool ”的黑客组织就在实际攻击活动中对它进行了利用。虽然从相关数据来看受害者数量并不多，但攻击却横跨了多个国家，其中包括智利、德国、印度、菲律宾、波兰、俄罗斯、英国、美国和乌克兰。对于这个最新的 Windows 零日漏洞的利用， PowerPool 并没有直接使用由披露者提供的二进制文件。相反，他们对源代码进行了修改，并对其进行了重新编译。

参考来源：

https://www.leiphone.com

  密码管理公司 Dashlane ：足球队名经常被用于密码中 密码管理公司 Dashlane 的分析显示，随着足球赛季的开始，球队名称经常被用作密码。费城老鹰队，今年超级碗的获胜者，在 NFL 中名列前茅，而达拉斯牛仔队则排在第二位。在英超联赛球队中，密码中提到的最多的是利物浦，紧随其后的是伦敦队的切尔西队和阿森纳队。 Dashlane 首席执行官 Emmanuel Schalit 表示，“设定密码可能是一种非常个人化和情感化的选择，数据清楚地表明消费者喜欢将他们支持的团队作为密码的一部分。” 作为狂热的足球迷，安全专家可能理解账户密码采用最喜欢的球队名称的冲动，但这是一个主要的安全风险。除了使用名字，学校和其他个人身份信息外，还应该避免使用最喜欢的球队作为密码或者密码的一部分。

参考来源：

https://www.cnbeta.com/articles/tech/766397.htm

关于安全帮

安全帮， 是中国电信北京研究院旗下安全团队，致力于成为“SaaS安全服务领导者”。目前拥有“1+4”产品体系：一个SaaS电商(www.anquanbang.vip) 、四个平台（SDS软件定义安全平台、安全能力开放平台、安全大数据平台、安全态势感知平台）。