Pandownload 開發者被捕；微軟修復 3 個 0day 漏洞；福特、大眾被曝網路安全漏洞

Editor發表於2020-04-16
微軟
4 月 14 日，GitHub 的CEO Nat Friedman 在官網上釋出宣告說，“我們很高興宣佈，我們將為所有 GitHub 使用者提供方便無限協作的私有庫。且GitHub 全部核心功能對所有人免費。”作為開發者的你，真香了嗎？



1、Pandownload 開發者被捕


Pandownload 開發者被捕；微軟修復 3 個 0day 漏洞；福特、大眾被曝網路安全漏洞



4月15日，百度網盤“破解版”軟體“Pandownload”PC端開發者被捕，警方通報如上圖所示（原微博已刪除）。

據瞭解，這款軟體能夠一鍵解析百度網盤的下載地址，以非會員許可權實現資源的滿速下載，並支援百度帳號登入。

有使用過“Pandownload”軟體網友表示：不開會員：200KB/s；開會員+官方客戶端：5MB/s；開會員+pandownload：30MB/s。

通報顯示，劉某舉報“Pandownload”軟體會在未經授權共享百度網盤的資料，導致隱私照片和檔案洩露。

警方經調查發現這款軟體突破百度網盤官方設定實現高速下載，屬於侵入、非法控制計算機資訊系統的程式、工具，並且該軟體的使用者達到數萬人，導致百度公司損失上千萬元。

隨後警方在掌握充分證據夠抓捕犯罪嫌疑人並查獲電腦、手機等作案工具。

警方表示，嫌疑人租用網路伺服器進行更新維護併發布接受捐贈的收款碼，同時建立QQ群，向進群人員收取1至10元不等的進群費，群內提供更穩定的“Pandownload”內測版本。截至案發，犯罪嫌疑人非法獲利30萬餘元。

對此，百度網盤官方微博釋出訊息回應稱，一直積極配合警方，嚴厲打擊侵犯百度網盤使用者資料隱私的犯罪行為，同時將持續透過技術不斷提升使用者體驗。

LYA：就這次事件在網路上的輿論風向就可以看出百度的風評有多差了。



2、微軟修復 3 個 0day 漏洞


Pandownload 開發者被捕；微軟修復 3 個 0day 漏洞；福特、大眾被曝網路安全漏洞

圖片來源：ZDNet

近日，微軟釋出了本月的安全更新彙總，本月的補丁星期二共提供了針對 11 種產品、113 個漏洞的補丁程式，其中包括 3 個 0day 漏洞，這些漏洞在野外都被積極利用。 


3 個 0day 漏洞分別如下所示：


CVE-2020-1020


該漏洞位於Windows Adobe Type Manager庫中的遠端程式碼執行漏洞，對於Windows 10以外的所有系統而言，攻擊者利用此漏洞能夠遠端執行程式碼，安裝惡意程式、檢視、更改或刪除資料等。對於Windows 10系統影響有限。


CVE-2020-0938

該漏洞同樣位於Windows Adobe Type Manager庫中，與CVE-2020-1020類似，攻擊者利用此漏洞可在AppContainer沙箱上下文中執行程式碼。

CVE-2020-1027

該漏洞位於Windows核心中，屬於特權提升漏洞，攻擊者利用此漏洞可提升許可權執行程式碼，執行經特殊設計的應用程式。


此外，還修復了位於 Internet Explorer 的指令碼引擎中的遠端程式碼執行漏洞CVE-2020-0968，若成功利用此漏洞可獲得與當前使用者相同的許可權，控制受影響的系統，以此破壞記憶體等，不過截至目前仍未在野外被利用。

與往常一樣，為了防止攻擊者利用並留給使用者足夠的時間更新，暫時沒有釋出概念驗證程式碼和漏洞的細節。目前尚不清楚攻擊者是否在同一次活動中利用了三個 0day 漏洞，微軟表示這三個漏洞均由 Google 的兩個安全團隊發現並報告的。

LYA：及時更新！




3、福特、大眾被曝網路安全漏洞


Pandownload 開發者被捕；微軟修復 3 個 0day 漏洞；福特、大眾被曝網路安全漏洞

圖片來源：：汽車之家


近期，福特和大眾最受歡迎的兩款具有聯網功能的汽車被檢測出存在安全漏洞，該漏洞可能會遭到駭客的攻擊並洩露個人資料。


一份來自獨立消費者組織 Which？ 的新報告顯示，他們對福特福克斯和大眾Polo 的計算機系統進行了檢測，發現啟動或禁用車輛制動控制系統存在漏洞，該漏洞能夠使駭客控制車輛的剎車系統並使之失效，存在較大的安全風險。


報告顯示大眾 Polo 的資訊娛樂系統同樣很容易遭到入侵，而該系統中包含豐富的個人資料，例如電話聯絡人和位置歷史記錄等。這一發現也引發業界對網際網路汽車所收集資料的儲存、共享和使用方式的關注。

此外，研究人員還發現只要抬起汽車前部的大眾徽章就能進入前雷達模組，駭客可透過這一動作進一步篡改車輛碰撞預警系統。


至於福特福克斯，專家發現利用最常規的工具即可攔截其胎壓監測系統傳送的資訊，以此欺騙系統。例如當車胎沒氣時攻擊者可讓系統顯示胎壓正常狀態，從而產生風險。


此外，在檢測福特程式碼時還發現會洩露 WiFi 的詳細資訊以及福特生產線上計算機系統的密碼。


調查結果公佈後，大眾與該組織進行了聯絡，福特則拒絕接受該報告。


Which？ 表示由於汽車行業對車載技術缺乏監管，會導致部分製造商偷工減料，而危及車主的安全和個人隱私，類似的問題可能會在整個行業普遍存在。


LYA：萬物互聯時代，究竟該怎麼保護我們的隱私和安全？還是需要統一強制性的行業標準，這樣才能讓消費者放心，讓這些智慧產品不僅僅是流行，而是在品質上更有保障。


相關文章