THE GOOD, THE BAD AND THE UGLY IN CYBERSECURITY – WEEK 2

The Good
隨著導彈在中東飛行，每個人都對伊朗新的網路戰爭活動保持高度警惕，隨著我們進入 2020 年第一週的尾聲，好消息似乎有點供不應求。 Facebook 臉書宣布了對 Deepfake 視頻的新禁令。臉書表示，他們將刪除被操縱以誤導觀眾相信某個主題“說出他們實際上沒有說過的話”的內容，這是一個機器學習的產物。儘管目前這項政策受到歡迎，但它並不涵蓋刪除或重新排列單詞順序的視頻，也不包括機器學習算法無法產生的編輯內容，以上了種都是操縱媒體的常見的方式。儘管如此，我們仍然會為 Facebook 的好消息給予 100分，特別是因為臉書已與路透社合作提供免費課程，以幫助記者和其他人識別和處理受操縱的媒體。

同時，Cisco 通過植入 14個漏洞 開始了他們的新年，其中包括兩個涉及遠程代碼執行（RCE）和跨站點請求偽造（CSRF）的嚴重漏洞，這對於經常修補與早早修補的使用者來說是個好消息。 RCE 錯誤會影響 Web 基礎管理界面的 Cisco Webex Video Mesh 產品，並且是因為用戶輸入不正確驗證所引起的。

The Bad
Patching 漏洞是件好事，但對在外被積極利用漏洞來攻擊對受害者來說絕對是個壞消息，對還沒被攻擊的使用者也是。 Mozilla 本周發布了 Firefox 的新版本，並將最新的穩定版本更新為 1 月 7 日的 72.0。 1月8日，在 72.0.1 中出現了一個關鍵補丁時，幾乎沒有時間讓用戶有時間檢查新功能的列表。 Mozilla 沒有提供任何細節，只說明了 CVE-2019-17026 的錯誤是其 JIT 編譯器中類型混亂的結果。 而這也不是第一次需要緊急更新，因為已有駭客正積極利用此漏洞發動針對性的攻擊。 令人們擔憂的是，這一切歸功於中國奇虎 360 的發現，再發現後又推文聲稱發現了相關的 Internet Explorer zero day 也在外被積極利用 （而此 tweet 已刪除 ?）。 若有更多詳細信息，我們會立即分享。

另一個則是根據周一的一份聲明，在假期期間，似乎是針對性的勒索程式攻擊了德國自行車製造商 Canyon，對其軟體和伺服器都進行了加密。 雖然沒有贖金金額或公司是否選擇付錢的相關信息，但該公司確實表示來自 IT 網路安全領域的專家已快速分析和控制攻擊”。 預計此攻擊將迫公司承受生產和錯過交貨期限方面的損失。

The Ugly
內部威脅總是在我們的網路安全列表中排在最醜陋的位置，因此，四年以來直到本週再度亮相的是 Amazon 及爭議性的 IoT Ring (家庭式監視器）產品 ：員工一直在偷看使用者的視頻。 該公司表示，在烏克蘭和其他非美國地區的員工可以存取其他員工，承包商，朋友以及員工和承包商的親友的 Ring 視頻，縱使用戶可以選擇公開但可能也包含他們不打算公開的視頻。 公司已發現有四起非相關職務人員偷看的事件。 Amazon 表示這些人員都已被解僱。​

我們都曾看到過供應商將膨脹軟體加載到零售的 PC 和智慧手機上，但是供應商在政府資助的低成本手機上預先安裝了不可移除的惡意軟體就又是另一回事。 根據本週發布的研究報告，政府資助的售價 35 美元的 Unimax U686CL 預裝了已知的風險軟體，其開發者被發現製造 backdoor 後門程式。 它在手機 Settings.app 中攜帶了自己的 “嚴重混淆的惡意軟體”，並植入惡意程式 “Android / Trojan.HiddenAds” 。 刪除 Settings.app 可以有效地去除，因此修復是不可能的。

Source

原文