【安全帮】MWC 2019：未来的Android手机，应用程序将不需要密码

多款 App 被曝与 FB 共享用户敏感数据：部分 App 已改正

美国《华尔街日报》报道称，许多热门健康、健身应用已经停止向Facebook公司发送敏感的个人健康信息，其中包括用户的体重和月经周期。《华尔街日报》上周五报道称，至少有11款热门健康、健身应用通过Facebook提供给App开发商的软件，将用户敏感数据传输至Facebook。而在上周日进行的新一轮测试显示，在《华尔街日报》确认并联系的App应用程序中，至少有四个发布了更新，以切断对Facebook的敏感数据传输。

参考来源：

http://hackernews.cc/archives/24938

黑客在暗网上出售 7 万张巴基斯坦银行信用卡 PIN 码

据外媒报道，研究人员在网上发现了两个新的数据库，其中包含了7万个巴基斯坦银行的信用卡/借记卡数据，这些数据在地下市场上出售。根据发现该数据库的Group-IB估计，这些数据价值近350万美元，是过去6个月巴基斯坦银行在暗网上大卖的数据之一。目前这些数据仍在暗网中出售，所有数据均为巴基斯坦Meezan银行磁条所载信息的未经授权的数字副本。暗网上一般银行卡的售价为10到40美元，但是这些卡的价格为50美元一张。

参考来源：

https://www.easyaq.com/news/438506635.shtml

比特大陆 S15 矿机被指存在致命漏洞，可修改矿工支付地址

虽说比特大陆目前运营比较艰难，亏损惨重，许多部门都面临着裁员。但屋漏偏逢连夜雨，它的旗舰产品现在出现了一个固件漏洞。几周前，比特币核心开发James Hilliard发现比特大陆的S15的固件漏洞。Twitter用户00whiterabbit后来根据Hilliard的发现深入研究了漏洞代码。上周，Hilliard的Twitter账户上分享了一段视频，证明该漏洞代码有效。Hilliard提出会披露比特大陆的漏洞，但希望一个条件能被满足:比特大陆必须遵守GNU通用公共许可证(GNU General Public License，简称GNU GPL)并进行固件开源。

参考来源：

http://onchain.caijing.com.cn/20190222/4564898.shtml

白宫出台打击恐怖分子流动国家战略，生物识别技术是关键

据外媒报道，美国白宫于2月20日发布了《打击恐怖分子流动的国家战略》（National Strategy to Combat Terrorist Travel），该战略计划靠身份验证和生物识别身份系统来探测和阻止恐怖分子的流动。该战略称，政府将为州、地方和部落提供恐怖主义人员的身份和流动数据，以及识别恐怖分子的 工具 和技术。根据这份文件，对人员的审查包括对监视名单和威胁信息的记录或生物特征进行匹配，以及用于解决潜在匹配和误报的手动和自动过程。美国海关与边境保护署（Customs and Border Protection）已经开始利用生物特征进行检查，并已识别出试图用假身份证旅行的人。

参考来源：

https://www.secrss.com/articles/8578

无解密工具，新型勒索病毒 Clop 轻松“骗过”安全软件

2月25日腾讯御见威胁情报中心发文称检测到新型勒索病毒Clop在国内开始传播。值得注意的是，Clop受害企业的大量数据被加密后，暂无有效的解密工具。据称，数字签名滥用、冒用情况出现最多的是在恶意软件或者窃密木马程序当中，而Clop是少见的携带了有效的数字签名的勒索病毒。因此，Clop在病毒拦截的情况下更容易获得安全软件的信任，就这样“瞒天过海”地进行感染，进而造成无法逆转的局势。

参考来源：

雷锋网

https://www.leiphone.com/news/201902/JlBs0KKm8Vf5IQqa.html

APT 黑客利用 Windows 平台，攻击哥伦比亚政府机构和企业

据外媒报道，最近的研究发现，APT黑客组织APT-C-36针对windows平台来攻击哥伦比亚的政府机构和企业网络。研究人员认为，这些威胁行动者利用武器化文件开展行动，以金融部门、石油工业、专业制造业等机构为目标。自2018年4月以来，APT团队一直使用带有密码保护的RAR附件的鱼叉式钓鱼邮件来规避安全检测系统。研究人员总共标记了29个诱饵文件，62个木马样本和多个相关恶意域。

参考来源：

https://www.easyaq.com/news/2131883651.shtml

MWC 2019 ：未来的 Android 手机，应用程序将不需要密码

周一在巴塞罗那举行的2019年世界移动通信大会（MWC）上，谷歌和FIDO联盟概述了Android用户的未来可能性。这些组织一起表示，Android操作系统现已通过FIDO2认证，这意味着有朝一日在移动生态系统中将不再需要密码。FIDO联盟是一个开放的行业协会，致力于减少对密码的依赖。该组织由亚马逊，Arm，谷歌，英特尔，联想和微软等公司组成，也是改进认证标准规范的创建者。启用FIDO2的设备允许用户通过FIDO安全密钥（如YubiKey）或生物识别（包括指纹识别器和相机）登录在线服务和应用程序，所有这些都由加密安全性支持。

参考来源：

https://www.zdnet.com/article/your-future-android-phone-apps-will-need-no-password/

关于安全帮

安全帮，是中国电信北京研究院旗下安全团队，致力于成为“SaaS安全服务领导者”。目前拥有“1+4”产品体系：一个SaaS电商(www.anquanbang.vip) 、四个平台（SDS软件定义安全平台、安全能力开放平台、安全大数据平台、安全态势感知平台）。