BUF早餐鋪 | 蘋果隱私表現不及特斯拉、微軟，Facebook墊底；網路犯罪分子通過谷歌雲託
各位Buffer早上好，今天是 2018 年 12 月 28 日星期五。今天的早餐鋪內容有：蘋果隱私表現不及特斯拉、微軟，Facebook墊底毫無意外；網路犯罪分子通過谷歌雲託管用於攻擊英美銀行的惡意負載；CVE-2018-7900：華為部分型號路由器曝資訊洩露漏洞；新的Google Chrome攻擊可能會讓Windows 10裝置發生假死；日本警察廳釋出警告：加密貨幣勒索郵件正在擴散；阿里雲：網傳“可重置任意伺服器root密碼”為虛假資訊。
蘋果隱私表現不及特斯拉、微軟，Facebook墊底毫無意外
在資料研究公司Toluna進行的一項使用者個人資訊隱私調查中，與蘋果相比，特斯拉、微軟更受使用者信任，毫不意外的是，使用者最不信任的科技公司是Facebook。40%的受訪者對Facebook保證使用者個人資訊保安的能力提出質疑，排在第二位的是Twitter，有8%的受訪者表示不信任它。
蘋果與閱後即焚照片分享應用Snapchat商Snap並列第四，有4%的受訪者對它們保護使用者個人資訊保安的能力提出質疑。考慮到蘋果在保護使用者隱私方面的強硬態度，這很有趣。除剛剛釋出透明性報告外，蘋果還經常宣揚其被廣泛使用的端到端加密技術——目前使用這類技術的產品已經越來越少了。在保護使用者隱私方面最受使用者信任的前三家公司是特斯拉、Netflix和微軟。[來源：cnbeta]
網路犯罪分子通過谷歌雲託管用於攻擊英美銀行的惡意負載
Menlo Labs研究人員報告稱，谷歌雲端儲存服務正在被網路犯罪分子濫用，用於託管針對英美銀行的惡意電子郵件活動所用的惡意負載。自2018年8月以來，此類威脅活動在美國和英國一直保持很活躍的狀態。受害者會收到包含檔案檔案連結的電子郵件，研究人員表示所有例項都是.zip或.gz檔案。所有案例都涉及在storage.googleapis.com上託管的惡意負載，該有效負載似乎看起來是正常的Google雲端儲存服務，但實際上是惡意連結。
攻擊者經常使用正規的儲存平臺來託管惡意負載，因為它受信任且可能繞過商業威脅檢測產品。攻擊者選擇連結形式而不是直接附上惡意軟體，因為許多電子郵件安全產品能夠檢測檔案，並且如果惡意URL已經存在於其威脅儲存庫中，惡意URL也會被遮蔽。研究人員表示，這是一個不斷增長的趨勢：在對Alexa排名前10萬個域名的年度分析中，Menlo Labs發現了4600個使用合法託管服務的網路釣魚站點。[來源：darkreading]
新的Google Chrome攻擊可能會讓Windows 10裝置發生假死
Google Chrome中發現了一種可能完全凍結Windows 10裝置的新漏洞。新的錯誤被用於技術支援騙局，讓Windows 10出現假死，然後告訴使用者他們的裝置被病毒感染。新發現的錯誤使用Java程式碼建立迴圈，這使得無法關閉選項卡或瀏覽器。該彈出視窗還聲稱來自官方微軟支援網站並聲稱該電腦感染了病毒，這可能會危及使用者的密碼，瀏覽器歷史記錄，信用卡資訊和其他資料。[來源：cnbeta]
CVE-2018-7900：華為部分型號路由器曝資訊洩露漏洞
網路安全公司NewSkySecurity的首席研究員Ankit Anubhav發現，華為部分型號路由器存在一個安全漏洞。攻擊者可以利用這個漏洞，在不連線裝置的情況下，判定裝置是否使用的是預設憑證。這個漏洞（CVE-2018-7900）位於路由器管理面板中，存在洩露路由器憑證資訊的風險。具體來說，攻擊者可以通過物聯網搜尋引擎（如ZoomEye或Shodan）來掃描使用預設密碼的華為路由器。
華為目前已經修復了這個漏洞，但仍在與運營商合作，以求徹底解決這一問題。Ankit Anubhav表示，NewSkySecurity目前不會透露有關該漏洞的具體細節，目的是避免其遭到大規模的利用。[來源：安全內參]
日本警察廳釋出警告：加密貨幣勒索郵件正在擴散
日本警察廳網路安全中心今日釋出推文稱，索要加密貨幣的郵件正在擴散中，主題為“你的密碼已被入侵”，並附上裝置區塊或被劫持的網路攝像頭拍下的照片，以此要挾索要加密貨幣。警察廳提醒公眾，不要給對方回信，也不要回應其要求。[來源：bianews]
阿里雲：網傳“可重置任意伺服器root密碼”為虛假資訊
近日，有人釋出安全警示稱，阿里雲存在未知0day，可重置任意伺服器root密碼。
阿里雲安全專家確認：網路傳聞“可重置任意阿里雲伺服器root密碼”為虛假資訊。真實情況為某客戶自身的管理員AK（access key）洩露所導致的獨立事件，目前我們已經聯絡該客戶進行處理。藉此提醒：AK為核心金鑰，務必按照最佳實踐合理使用。[來源：安全內參]