CoinHive挖矿劫持仍在肆虐 至少28万路由器被检出感染

最近几年,区块链领域闹出了许多幺蛾子。比如为了攫取不当的加密货币挖矿收益,某些人制作了能够窃取设备算力的恶意软件,有几个挖矿网络的受害者规模甚至相当庞大。就在过去几天,研究人员发现了另外 3700 台秘密运行恶意的加密货币挖矿软件的路由器。

截止目前,此类受感染设备的总数已经超过了 28 万台 —— 仅在 30 天的时间里,就增加了 8 万。

8 月初的时候,这波攻击就已经登上了媒体的头条。当时黑客利用此前未被发现的漏洞,入侵了巴西的 20 多万台路由器。

攻击者成功地对 MicroTik 路由器实施了“零日攻击”,为其注入了 CoinHive 的修改版本。CoinHive 的一小段代码,支持利用简易的浏览器来挖掘门罗币。

最近的研究表明,该加密货币僵尸网络,每月有超过 25 万美元的产出。不过安全人员指出,挖矿劫持不是 MicroTik 路由器面临的唯一威胁。

一款危险的、名叫 Android Banker 的特洛伊木马病毒,当前正在互联网上传播。继 1 月首次曝光后,已有近 200 个针对性的网银应用受害。

Android Banker 可以绕过双因素认证,来窃取用户名和密码。若不幸受到影响,还请将所有账号的用户名和密码都重置,比如流行的 Bitfinex 和 Blockfolio 。

安全研究人员 Lukas Stefanko 指出,因其能够动态改变、针对特定的受害者进行定制,所以是一个相当危险的威胁。

由于 Android Banker 主要通过虚假版本的 Adobe Flash Player 分发,因此普通人可以相对简单地避开大部分雷区 —— 确保未知来源的应用程序被阻止且无法运行。

如果你对本文所述的木马和恶意软件的细节感兴趣,并希望知晓如何制定让公司免受网络钓鱼攻击的安全策略,可移步至这里查看(传送门)。

[编译自:TNW]

研究员利用 AI 打击盗猎大象活动

美国 Cornell University 的 Elephant Listening Project 是利用录音数据来追踪非洲森林象的计划,他们通过研究动物的呼叫声来协助研究员追踪大象族群的数目,最终更希望借此保护大象免受偷猎者的伤害。可是这计划在每 3 个月就会获得 7TB 数据需要处理,通常都要 12 星期的时间才能分析完成,在忙于处理数据时就可能已经出现了新威胁,所以研究员就希望利用 AI 来加速分析追踪数据的过程。

Elephant Listening Project 是与一家专门开发分析音频数据的 AI 的新创公司 Conservation Metrics 合作,利用后者的 AI 来大大减少收集数据和分析的所需时间。据 Elephant Listening Project 的负责人 Peter Wrege 所道,这合作的重点为加速,让他们能更快地提供分析结果予国家公园的管理人员,让他们作出应对措施;如果要花逾年的时间才能知道大象在公园里的活动,那已经为时已晚。

目前预计有约 40,000 头森林象栖息于中非,数字已经比十年前大减 60%,其中盗猎活动是大象数目锐减的最大原因。科学家发现在加蓬(Gabon)就有 25,000 头森林象在 2004 年至 2014 年间被杀;刚刚过去的一星期,Elephants Without Borders 就在野生动物保护区附近发现有 90 头大象的尸体,全都因为盗猎活动而死亡。

目前 Conservation Metrics 已经能在 22 天内完成分析,并持续努力缩短需时。据指他们最近成功加入微软的 AI for Earth 计划并能利用 Azure 服务,这有望把分析时间缩短至一天。Wrege 表示,音频数据是会源源不绝地记录下来,但这方法能让我们定期从中获得有用信息。即使这挑战是令人生畏的,但是值得的,而且能够克服下去的,只要坚持到底就可以了。

经由: Engadget
来源: Cornell University

美军火商邀大众开发更迅捷的 AI 无人机导航系统

当前,自动驾驶的无人机很少能进行高速飞行,更别说挑战专业的竞速飞手了。

Lockheed Martin(洛克希德.马丁)与 Drone Racing League(无人机竞速联盟)想要逆转这现况,两者合作开展 AlphaPilot Innovation Challenge,鼓励大众开发高速飞行的无人机 AI 系统,并在DRL联盟的比赛中取得胜利。

AlphaPilot Innovation Challenge既是一项合作,又是一项挑战赛,参与的开发者不仅需要将AI系统开发出来,更需要赢得这场比赛。据悉,参赛的开发者可以在NVIDIA Jetson的平台上开发AI,以便让开发好的AI系统能够转移到联盟的AIRR电路板上使用。

这挑战会在2018年 11 月正式开始,奖金总额达 200 万美元,而且还有额外 25 万美元的奖金来鼓励首个能击败专业 DRL 飞手的 AI 系统开发者。

这计划除了宣传无人机竞速联盟之外,对于洛马来说,更能借助通过 AlphaPilot 的技术来开发无人航机(民用或军用),带来更便宜、更具弹性的操作方案。

来源: Lockheed Martin

好消息 —— GCC 编译器已接纳 OpenRISC 的移植版本

近期,GCC 发布公告称 ,GCC 指导委员会已接受 OpenRISC 作为包含在 GCC 编译器的最新架构移植,并指派 Stafford Horne 为维护者。这个 OpenRISC 移植应该会在不久的将来落地使用,以便明年发布的 GCC 9 稳定版提供该功能。

与 RISC-V 指令集架构相比,虽然 OpenRISC 对 GCC 的支持时间比它更长,但 OpenRISC 移植遇到了复杂的问题 —— 关于代码版权方面的问题。负责 OpenRISC GCC 代码的原始开发者无法满足自由软件基金会代码所需的版权分配作为上游工作的要求。

因此,开发者最终为 GCC 重写了 OpenRISC 编译器代码。该代码已经发布,GCC 指导委员会也已确认其将会成为 GCC 最新的处理器目标。

OpenRISC 是 OpenCores 组织提供的基于 GPL 协议的开源 RISC(精简指令集计算机)处理器。有人认为其性能介于 ARM7 和 ARM9 之间,适合一般的嵌入式系统使用。最重要的一点是 OpenCores 组织提供了大量的开源 IP 核供研究人员使用,因此对于一般的开发单位具有很大的吸引力。

OpenRISC 具有以下特点:

1、采用免费开源的 32/64bit RISC/DSP 架构。

2、用 Verilog HDL(硬件描述语言) 实现了基于该 RISC/DSP 架构的 RTL(寄存器传输级) 描述。

3、具有完整的工具链,包括:开源的软件开发工具、C 语言实现的 CPU 仿真模型、操作系统,以及软件应用所需的函数库。

小米印度用户数据年底前全部迁移至印度本地服务器

据国外媒体报道,中国手机制造商小米正在把它的印度用户数据迁移到云服务提供商AWS(亚马逊网络服务)和微软Azure在印度的服务器上。迁移工作将于2018年年底完成。

该公司表示,自7月1日以来所有印度新用户的数据都已存储在当地服务器中,mi.com/in/上的所有现有用户数据将在2018年9月中旬之前,全部迁移到印度的服务器上。小米还表示,这种迁移将会带来访问速度的提升。

数据迁移将覆盖小米电子商务平台、MI社区(in.c.mi.com)、Mi Cloud、MIUI(Xiaomi Market、消息、Mi Video、广告、Mi Messaging、推送通知等),以及MI TV的所有印度用户数据。

在此之前,使用的所有印度用户数据,都存储在新加坡和美国的AWS服务器中。

小米副总裁兼小米印度公司总经理马努.贾恩(Manu Jain)表示,“小米把用户数据隐私和安全放在至关重要位置。我们在保护用户数据安全和隐私方面又迈出一步,我们将我们的云服务带到印度,满足所有本地数据需求。这是我们的团队一直在不懈努力的事情,我很高兴我们能够为我们的印度用户实现了这一转变。随着数据存储的本地化和端到端加密,用户将能够享受更快的访问速度。”

他还说,“小米致力于印度市场,保护数据和使用设在印度的云服务器,这是我们朝着那个方向迈出的又一步。我们将继续在这方面开展工作,并确保我们在印度的所有用户都能获得更好的用户体验。”

小米在市场获得了很好的业绩。据印度媒体本月中旬报道称,有三家市场研究公司对印度智能手机市场前五强品牌进行了排名,小米在排名榜上不是第一就是第二。

市场研究公司IDC数据显示,今年四至六月份的第二季度印度智能手机市场份额排名前五名分别是小米、三星电子公司、Vivo、Oppo和Transsion。其中,小米市场份额为29.7%,三星电子公司为23.9%,Vivo为12.6%,Oppo为7,6%,Transsion为5%。

市场研究公司Counterpoint的数据显示,今年第二季度印度智能手机市场份额排名前五名分别是三星电子公司、小米、Vivo、Oppo和华为荣耀,它们的市场份额依次为29%,28%、12%、10%和3%。

市场研究公司Canalys数据显示,今年第二季度印度智能手机市场份额排名前五名分别是小米、三星电子公司、Vivo、Oppo和华为荣耀,它们的市场份额依次为30.4%,30.2%、11%、10%和2.9%。

这下好了,家里的智能灯泡都会泄露数据了

前言

近日,来自国外的研究人员提出了一种新的技术,可以从智能灯泡获取用户的数据。举个例子,研究人员能够从远处记录智能灯泡的亮度模式来获取用户的偏好。

黑客不需要入侵用户的内部网络来提取信息,但需要满足以下条件才能行动:

使用的设备要能够直接观察到目标智能灯泡;智能灯泡需要支持多媒体可视化和红外等功能。

“看见”用户的音乐和视频

来自德克萨斯大学圣安东尼奥分校的Anindya Maiti和Murtuza Jadliwala研究了LIFX和飞利浦Hue智能灯泡如何接收指令来实现各种显示效果,并开发了一个模型来解释用户在听音乐或观看视频时,联动的智能灯泡发生的亮度和色彩调制。

在播放音频时产生的可视化效果,其亮度等级反映音源情况,而在播放视频时则可反映当前视频帧中的主要颜色和亮度级别。智能灯泡应用程序通过向灯泡发送特殊格式的数据包来控制显示效果。

两位研究人员创建了一个模型,只要输入歌曲个视频亮度模式的数据库,就可以通过捕获的目标智能灯泡信息得出参考结论。

与电影联动的LIFX可视化效果

个人设备数据泄露

在某些特定条件下,还可以从个人设备中提取信息,但此时对光线变化的简单观察是不够的,需要满足以下条件:

灯泡需要支持红外照明;无需授权即可通过本地网络控制它们;在本设备中植入恶意软件,对目标设备的私人数据进行编码并将其发送到智能灯泡。

室内和室外观察点

研究人员使用两个观察点来捕获数据:室内和室外。在音高发生变化时,振幅和波长也相应地发生了变化,如此一来智能灯泡(LIFX)发出的可见光和红外光谱就可以被设备捕获,进行解码。

为了测试通过红外发射获取数据的方法,研究人员选择发射源对图像进行编码,并在不同距离对智能灯泡进行观察并解码数据。

从下图可以看出,随着视距变远,解析得到的图像质量也相应变差,但是在50米的距离上仍能获取有效的信息。

总结

虽然两位研究人员的工作是实验性质的,但它表明使用红外线或可见光仍可从相对较远的距离上窃取有意义的信息。

防御这些攻击的方法比较简单,拉上窗帘或者选择透光率低的窗户玻璃也是一种充分的防御措施。

来源: Bleeping Computer
翻译:    FreeBuf.com

小米二季度IoT收入翻番 上市来股价振幅高达30%

8月22日,小米集团公布了2018年半年报,这也是小米集团上市以来的首份财报。财报显示,今年上半年,小米收入796.48亿元,同比增长75.4%;经调整利润38.16亿元,同比增长62.2%。

不过,值得一提的是,在过去一个多月中,小米股价多次破发,最低时曾跌至15.52港元/股,较最高峰时的22.2港元/股,震荡幅度达30%。有中国香港券商人士对《证券日报》记者表示,破发是因为投资者仍然担心小米前景,所以沽出股份。截至8月22日收盘,小米报17.68港元/股,当日涨幅1.61%。

上半年收入796亿元 手机业务比重降低

半年报显示,2018年上半年,小米实现了收入、利润双增长。其中,今年二季度小米收入达452.36亿元,同比大涨68.3%,环比增长31.5%;经调整利润21.17亿元,同比增长25.1%,环比增长24.6%。2018年上半年小米收入达796.48亿元,同比增长75.4%;经调整利润38.16亿元,同比增长62.2%。

具体到各业务分部来看,手机业务在小米整体收入中的比重正在降低,收入结构有所优化。其中手机收入由2017年第二季度的192.19亿元增长58.7%至2018年第二季度的305.01亿元,但占总收入百分比由71.5%下降至67.4%。

小米表示,手机收入增长得益于销量和平均售价的双提升。2018年第二季度,小米手机销量达3200万部,同比增长43.9%。而受小米MIX2S、小米8系列等中高端旗舰机型在中国市场优异表现影响,中国大陆地区手机平均售价同比增长超25%。“小米抓住了中国手机市场消费者喜好的转变趋势,将优化产品组合、持续提升高端机型市场占比。”小米在财报中表示。

而与此同时,IoT与生活消费产品和互联网服务收入合计,所占百分比由27.9提升至31.7%。在小米各业务分部中,IoT及生活消费品的增长最为突出。2018年第二季度,该分部收入达103.79亿元,同比增长104.3%。其中,小米电视、小米笔记本电脑等主要IoT产品贡献最大,销售收入达41.78亿元,同比增长147.2%。

此外,2018年第二季度小米互联网服务收入为39.58亿元,同比大涨63.6%。其中,广告收入同比增长69.6%,互联网增值服务收入同比增长54.1%。同时,小米互联网服务的毛利率保持了一贯的高水平,2018年第二季度为62.8%,较上一季度略有提升。

海外市场蓬勃发展 西欧成新增长点

财报显示,小米海外市场收入已占总收入的36.3%,2018年第二季度收入达164亿元,同比增长151.7%。

截至2018年6月30日,小米在全球25个国家和地区跻身市场前五。其中,根据Canalys数据,2018年第二季度小米手机在印度市场同比增长106%,连续四个季度稳居市场份额第一。同一时期,在另一个市场容量极大的海外市场印尼,小米出货量位居该国第二。

此外,继2017年11月进入西班牙市场之后,小米在2018年5月扩展至法国及意大利,截至2018年第二季度,小米手机在西欧的出货量同比增长超过2700%。

来自:证券日报

微软水下数据中心可以看鱼了(附直播地址)

早先微软在苏格兰海岸附近部署了一个水下数据中心,有些网友表示担心这个项目会破坏海底生态环境。

但是微软在其海底数据中心旁边安装了两个网络摄像头,从公布的影像看,大量的鱼群在数据中心附近游动,生态环境未见被破坏。

原本微软打算利用摄像头观察数据中心附近的环境条件,直观地了解这个巨型金属容器的生锈情况,不料歪打正着提供景观用途了,如果你有兴趣,可以在微软的Project Natick网站上观看直播。

直播地址:https://natick.research.microsoft.com/

据报道称,这个数据中心由12个机架和864个服务器组成,其能源是可再生能源,主要用于研究使用可再生能源运作,然后向其附近的沿海城市提供更加快速的互联网服务。

五角大楼发布最新禁令:不准工作人员使用健身手环等设备

五角大楼发布最新禁令:禁止工作人员使用健身追踪器、智能手机的GPS功能,以及获得地理位置权限功能的约会APP,以阻止泄露工作人员的地理位置信息。该禁令于上周五宣布,并由国防部副部长帕特里克·沙纳汉签署生效。在备忘录中写道:“该禁令立即生效。国防部工作人员在指定区域内禁止使用地理定位功能,禁止在政府配发、非政府配发的设备,应用和服务上使用该功能。”

据悉,众多美国士兵使用Fitbit、Jawbone等健身运动软件,并分享他们的成绩和位置,这有可能造成了失泄密。 美军部队对健身手环的推广, 世界各地的美国大兵对这类手环和软件非常热衷,也带来了泄露活动地点的问题。

运动手环可搭配手机等设备并记录运动轨迹,比如手环开发商Strava将使用者轨迹编成地图,在一些人口稠密地区显得十分璀璨,而像是伊朗或阿富汗等地战区或沙漠的少数光点,就显得格外醒目。 若结合已知的美军部署地点资料,就可能推测出美军作战基地位置。

五角大楼发言人Col. Rob Manning在接受记者采访时候表示:“这项禁令可以确保我们不会便宜了敌人,确保不会展示我们军队确切位置。”虽然设备本身不会被禁用,但会有服务人员确保地理定位功能处于禁用状态。

蓝牙加密漏洞曝光:可在未配对情况下访问设备

据外媒报道,最近曝出的一个加密错误(Crypto Bug),对苹果、博通、英特尔、高通等硬件供应商的蓝牙实施和操作系统程序都产生了较大的影响。其原因是支持蓝牙的设备无法充分验证“安全”蓝牙连接期间使用的加密参数。更准确的说法是,配对设备不能充分验证用在 Diffie-Hellman 密钥交换期间,生成公钥的椭圆曲线参数。

该 bug 导致了弱配对,使得远程攻击者有机会获得设备使用的加密密钥,并恢复在“安全”蓝牙连接中配对的两个设备之间发送的数据。

以色列理工学院的科学家 Lior Neumann 和 Eli Biham 发现了该漏洞:

其追溯编号为 CVE-2018-5383,可知蓝牙标准的‘安全简单配对’过程和低功耗蓝牙(Bluetooth LE)的‘安全连接’配对过程都受到了影响。

计算机应急响应小组(CERT / CC)昨晚发布了一份安全通报,其中包含了针对该漏洞的如下说明:

蓝牙利用基于椭圆曲线 Diffie-Hellman(ECDH)的密钥交换配对机制,实现设备之间的加密通信。ECDH 的密钥对,由私钥和公钥组成。且需交换公钥,以产生共享配对密钥。

此外,设备还必须统一所使用的椭圆曲线参数。然而之前涉及‘无效曲线攻击’的工作表明,ECDH 参数在用于计算结果和共享密钥之前,并不总会经过验证。

这样可以减少攻击者获取受攻击设备私钥的工作量 —— 如果在计算被分享的密钥前,并未部署验证所有参数的话。

在某些实施方法中,椭圆曲线参数并非全部由加密算法实现验证。

这使得无线范围内的远程攻击者们,可以通过注入无效的公钥,从而高概率地确定会话密钥。然后这些攻击者可以被动地拦截和解密所有设备信息,或者伪造和注入恶意消息。

苹果、博通、英特尔和高通公司,已经确认蓝牙实施和操作系统驱动程序层面都受到了影响。

万幸的是,前三家公司已经发布了针对该漏洞的修补程序。至于高通,该公司发言人在一封致 Bleeping Computer 的电子邮件中称,他们也已经部署了修复程序。

CERT / CC 专家尚未确定 Android / Google 设备、或者 Linux 内核是否也受到了影响。不过微软表示,自家设备并未受到本次 Crypto Bug 的影响。

负责监督蓝牙标准发展的 SIG 也发表了一份声明:

为了使攻击成功,攻击设备需要处于两个易受攻击的蓝牙设备的无线范围内。如果只有一方设备存在漏洞,则攻击不会得逞。

此外攻击设备需要通过阻止每一次的传输、向发送设备确认,然后在窄时间窗口内将恶意数据包注入接收设备,才能拦截公钥交换。

SIG 表示,该组织已经更新了官方的蓝牙规范,要求所有配对设备验证用于基于密钥的加密蓝牙连接的所有参数,即便当前暂无野外攻击的报道。

至于 CVE-2018-5383 的补丁,将通过操作系统或驱动程序的更新(面向台式机、笔记本电脑、智能手机),或者通过固件来实现(面向物联网 / 智能设备)。

[编译自:Bleeping Computer ]