一周安全要聞：Pwn2Own難度升高 CIA監控蘋果設備
原創近期，最受國民關注的事件莫過于2015全國兩會的召開。在今年的兩會上，中國電信股份有限公司湖南分公司總經理廖仁斌就“加快建設大數據時代個人信息安全保護體系”提出建議，而中國移動廣東公司總經理鐘天華提交了《關于加快制定的議案》,呼吁國家加快立法，保護網絡信息安全。欲了解更多信息，請關注我們的專題報道：聚焦兩會 話說安全。
下面，讓我們一起來看看本周有哪些重要的安全要聞。一年一度的Pwn2Own黑客大賽即將舉行;蘋果公司的iTunes和應用商店服務中斷近12個小時;近十年，美中情局針對蘋果設備進行各種破解與監控研究;：“網安企業500強”評選，可花錢買名次;貝恩資本公司即將收購Blue Coat;WordPress、開源軟件Xen等先后曝出安全漏洞……
2015年的Pwn2Own黑客破解大賽將于3月18日在加拿大溫哥華開幕，由美國五角大樓入侵防護系統供應商TippingPoint贊助。近日，Pwn2Own 2015公布全新的比賽規則，本屆賽事難度超高、史無前例，包括VUPEN等赫赫有名的黑客團隊也望而卻步。Pwn2Own以IE、Chrome、Safari、Firefox等瀏覽器作為主要攻擊目標，參賽黑客需要發現并攻破上述軟件漏洞，完全控制操作系統。而在本屆比賽上攻破IE也被視為幾乎不可能完成的任務，其難度堪比“射擊手蒙上雙眼打移動靶”。
愛德華·斯諾登提供給The Intercept網站最新的一份報告顯示，近十年來，CIA一直在試圖滲透iPhone手機和iPad平板，專注于破解蘋果設備的監聽以及安全密鑰破解，目的是收集蘋果用戶的數據。而蘋果現任CEO蒂姆·庫克公開發誓要保護這些數據。
漏洞解析
安全研究人員發現在英特爾PC上的Linux系統中可以利用某些種類的DDR DRAM芯片所存在的物理缺陷來獲取系統最高權限。該技術被稱為“Rowhammer”，其可使最近一代的 DRAM 芯片多次訪問內存導致相鄰行發生“位翻轉”，并允許任何人改變計算機內存中的存儲內容。
Android 4.4之前版本的Java加密架構(JCA)中使用的Apache Harmony 6.0M3及其之前版本的SecureRandom實現存在安全漏洞。據了解，2013年8月份的比特幣應用被攻擊也與這個漏洞相關。比特幣應用里使用了ECDSA算法，這個算法需要一個隨機數來生成簽名，然而生成隨機數的算法存在這個漏洞。
技術分析：SecureRandom漏洞詳解(CVE-2013-7372)
惡意程序
最近某安全研究人員收到一封釣魚郵件，郵件中附帶著一個.doc的附件。他們利用再平常不過的工具Notepad++，一步一步脫去ZeuS木馬的偽裝外衣，并進行了非常深入的靜態分析。該木馬的偽裝用到了多項關鍵技術，例如信息隱藏、加密解密等。
近幾年POS惡意軟件活動頻繁，LogPOS是2015年發現的一個新成員。該惡意軟件的一個重要的特點是其利用了郵件槽，可以躲避傳統的檢測機制。此外，在該樣本中，主程序創建了郵件槽，并作為郵件槽服務器，而注入到各個進程中的代碼則作為客戶端，它們將獲取到的信用卡號碼寫入郵件槽，然后通過郵件槽直接將數據傳輸出去。
其他熱點
