物聯(lián)網(wǎng)已成黑客盛宴？巴斯光年實驗室點評2017年網(wǎng)絡(luò)安全事件

　　每到年底，我們都會收到來自派出所民警的貼心關(guān)懷：“防火防電防偷盜”，如今這三防得再加上一防了，那就是對網(wǎng)絡(luò)風(fēng)險的防御。在萬物互聯(lián)的時代，我們享受著網(wǎng)購、網(wǎng)游、移動支付等諸多便利，而這也給犯罪分子提供了新“靈感”。據(jù)統(tǒng)計，2016年中國因數(shù)據(jù)泄露引發(fā)的經(jīng)濟損失高達915億元。許多信息網(wǎng)絡(luò)漏洞和攻擊工具被不法分子商品化，使信息安全威脅的范圍進一步擴大。

　　在今年的各種PWN會議（破解大會）上，極客團隊們現(xiàn)場演示了許多駭人的破解，擴大NFC刷卡距離以盜刷別人的信用卡，無需指紋密碼就能堂而皇之地打開你家的智能門鎖，超聲波攻擊AppleSiri即可將木馬植入手機，遠程操控心臟起搏器輸出高壓電流殺人......這些恐怖的故事隨時有可能變成現(xiàn)實。

　　那么黑客現(xiàn)在又有了哪些“黑魔法”，我們又該如何防范網(wǎng)絡(luò)風(fēng)險呢？記者采訪了螞蟻金服巴斯光年安全實驗室，請他們從專業(yè)技術(shù)層面為我們解讀2017年發(fā)生過的代表性網(wǎng)絡(luò)安全事件，為業(yè)界和用戶揭示智能設(shè)備的安全風(fēng)險和保護手段。

　　1、CIA和NSA黑客工具包泄露

　　今年三四月份，美國中央情報局（CIA）和美國國家安全局（NSA）的黑客工具包分別遭公布。這些工具的攻擊對象包括微軟、安卓、蘋果iOS、AppleOSX和Linux等操作系統(tǒng)以及某些智能電視、路由器等網(wǎng)絡(luò)節(jié)點單元和智能設(shè)備。其中，Windows漏洞EternalBlue（永恒之藍）的泄露，更是為勒索病毒“WannaCry”的爆發(fā)埋下伏筆。

　　巴斯光年點評：

　　各國政府都會研究一些用于安全對抗與制衡的具有極強攻擊性的漏洞利用攻擊套件，它們既是網(wǎng)絡(luò)空間安全實力的體現(xiàn)，同時也是一種安全隱患。因為這種武器化的漏洞一旦泄露，對企業(yè)個人乃至政府部門會構(gòu)成極大的安全威脅。WannaCry就是一個典型的案例。在網(wǎng)絡(luò)空間安全重要性日益顯露的今天，如何防止網(wǎng)絡(luò)空間的武器化攻擊套件被竊取濫用，這是需要慎重考慮的問題。

　　2、WannaCry勒索病毒席卷全球

　　5月12日，一個名為“WannaCry”的勒索蠕蟲病毒在全球大范圍爆發(fā)并蔓延，100多個國家的數(shù)十萬名用戶中招，其中包括醫(yī)療、教育等公用事業(yè)單位和有名聲的大公司。這款病毒對計算機內(nèi)的文檔、圖片、程序等實施高強度加密鎖定，并向用戶索取以比特幣支付的贖金。

　　巴斯光年點評：

　　WannaCry是全球首款通過武器化的系統(tǒng)漏洞實現(xiàn)傳播的勒索蠕蟲病毒。依托于被泄露的Windows漏洞“永恒之藍”，只要開機聯(lián)網(wǎng)且漏洞存在，它就能入侵電腦。比起傳統(tǒng)蠕蟲病毒依附下載安裝等被動式傳播，WannaCry通過漏洞，主動掃描網(wǎng)段式的傳播速度可以說是建立了蠕蟲傳播速度的新紀錄，相當于原來是靠徒步，現(xiàn)在飛車前行。在WannaCry蠕蟲爆發(fā)之后，還陸續(xù)出現(xiàn)了更多的以美國國家安全局（NSA）泄露的武器化漏洞為基礎(chǔ)、進行遠程攻擊并傳播的蠕蟲病毒，這也標志這制作蠕蟲病毒的技術(shù)的進一步提升。另外，要求以比特幣形式支付贖金的操作也很心機，區(qū)塊鏈系統(tǒng)中，支持匿名的收付方式讓警方難以根據(jù)金錢流向查人。

　　公共系統(tǒng)頻繁成為勒索病毒的受害者，醫(yī)院、電力、機場、交通等因遭受攻擊癱瘓，嚴重影響整個社會運轉(zhuǎn)和民眾生活。面對已公布的漏洞以及勒索病毒爆發(fā)和后期變種時，相關(guān)政府部門應(yīng)迅速制定措施，引導(dǎo)并更新基礎(chǔ)設(shè)施的各種漏洞補丁。

　　3、勒索病毒冒充“王者榮耀輔助工具”

　　今年6月，一款冒充“王者榮耀輔助工具”的勒索病毒，通過PC端和手機端的社交平臺、游戲群等渠道大肆擴散，威脅幾乎所有Android平臺，設(shè)備一旦感染后，病毒將會把手機里面的照片、下載、云盤等目錄下的個人文件進行加密，如不支付勒索費用，文件將會被破壞，還會使系統(tǒng)運行異常。

　　巴斯光年點評：

　　作為移動互聯(lián)網(wǎng)的頭號終端，手機面臨的攻擊日益增加，開放的Android系統(tǒng)更是如此。2017年上半年中國網(wǎng)絡(luò)安全報告顯示，排名前5位的手機病毒均是針對Android系統(tǒng)。在最近幾次的PWN活動中，巴斯光年安全實驗室演示利用某安卓手機系統(tǒng)漏洞，遠程在手機中靜默地安裝惡意應(yīng)用及植入惡意圖片，成功竊取了現(xiàn)場演示觀眾的照片。

　　目前AndroidROM存在的安全問題非常嚴重，很多病毒通過ROM進行傳播，植入系統(tǒng)底層，無法查殺，還能獲取到系統(tǒng)所有權(quán)限，導(dǎo)致用戶手機死機、關(guān)機、個人資料被刪、向外發(fā)送垃圾郵件、泄露個人信息等，甚至?xí)p毀SIM卡、芯片等硬件，造成使用者無法正常使用手機。用戶需盡量避免刷一些第三方提供的ROM，因為開發(fā)者代碼質(zhì)量良莠不齊，很容易存在安全漏洞。整個行業(yè)急需加大對ROM安全的關(guān)注，作為移動設(shè)備基礎(chǔ)設(shè)施，保障用戶根本安全。另外值得注意的是，借勢熱門APP和仿照計算機病毒的手機病毒越來越多，用戶下載APP插件時需注意辨別。

　　4、央視調(diào)查發(fā)現(xiàn)大量家庭攝像頭被入侵

　　今年6月，央視《每周質(zhì)量報告》調(diào)查發(fā)現(xiàn)網(wǎng)上有眾多家庭攝像隱私在售，黑客利用弱口令密碼大范圍掃描家用攝像頭進行破解，可獲得IP地址和登錄密碼，遠程操作別人家的攝像頭。隨后在質(zhì)檢總局的抽檢中，采樣品牌涵蓋市場關(guān)注度前5位產(chǎn)品的情況下，40批次產(chǎn)品中有32批次存在安全漏洞，占比高達80%。

　　巴斯光年點評：

　　物聯(lián)時代，智能產(chǎn)品越來越多，功能大幅升級。然而由于IOT（物聯(lián)網(wǎng)）設(shè)備開發(fā)水平尚未成熟，其在“云端+終端+手機APP”的業(yè)務(wù)環(huán)節(jié)上，安全漏洞頻出，設(shè)備安全機制甚至已知漏洞的修復(fù)程度都明顯落后業(yè)界平均水平。對攻擊者而言是一個是低攻擊成本，高隱形收益的的不二對象。2016年，Mirai蠕蟲病毒批量控制全球大量攝像頭發(fā)起DDOS攻擊，導(dǎo)致許多網(wǎng)站宕機；在XDEF2017安全峰會上，巴斯光年安全實驗室的安全研究人員也演示了，通過Wi-Fi可以遠程在微單上安裝具有勒索和竊取照片功能的惡意軟件，從而獲取操作系統(tǒng)的最高權(quán)限，通過相機遠程獲取各種圖片信息。

　　值得重視的是，大量在桌面操作系統(tǒng)已經(jīng)修復(fù)的安全漏洞在IOT設(shè)備上可能被重新利用，而這些與物理世界連密更密切的設(shè)備一旦被操控會帶來更可怕的后果，甚至威脅到人身財產(chǎn)安全。IOT設(shè)備的安全性需要全行業(yè)的重視，各方應(yīng)從網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)陌踩?、協(xié)議層數(shù)據(jù)的合規(guī)、系統(tǒng)層漏洞的修補、固件的加固與加密校驗以及硬件設(shè)計的安全封閉等多個環(huán)節(jié)保障用戶的信息安全和使用安全。同時，也要關(guān)注公共系統(tǒng)在物聯(lián)網(wǎng)設(shè)備使用上的安全性。

　　采訪中，巴斯光年安全實驗室的安全攻防技術(shù)負責(zé)人曲和強調(diào)，如今的安全問題已經(jīng)不是一家公司、一個領(lǐng)域能夠抵抗的。即使是系統(tǒng)開發(fā)相對封閉的蘋果，也會需要其他公司在漏洞修復(fù)上的支持。大量的黑客試圖通過各種手段獲取對用戶設(shè)備的遠程控制權(quán)，在XPwn2017未來安全探索盛會上，巴斯光年安全實驗室對市場上7大主流智能手機進行了破解演示。通過讓用戶掃描一個惡意的二維碼，導(dǎo)向到一個包含漏洞利用的攻擊性網(wǎng)頁鏈接，之后黑客便可遠程獲取用戶設(shè)備的控制權(quán)，讀取修改刪除用戶隱私文件。

　　作為普及率最高的移動網(wǎng)絡(luò)終端，智能手機的使用安全關(guān)乎大量用戶，降低使用風(fēng)險要關(guān)注以下幾點：盡量不給手機越獄、關(guān)閉手機的開發(fā)者模式(如Android中的調(diào)試模式)、從安全可信任的應(yīng)用市場中下載軟件；不使用缺少信任的免費WIFI上網(wǎng)；在郵件短信中不點擊不明鏈接、二維碼、圖片，不安裝不明的應(yīng)用程序，謹防手機木馬；手機丟失或中木馬以后，應(yīng)及時聯(lián)系手機服務(wù)運營商和支付服務(wù)商進行掛失。

　　轉(zhuǎn)自：中華網(wǎng)

　　版權(quán)及免責(zé)聲明：凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章，不代表本網(wǎng)觀點和立場。版權(quán)事宜請聯(lián)系：010-65363056。

延伸閱讀