BUF早餐鋪 | 部分安卓應用發現廣告騙局，竊取金額達數億美元 ；雅虎向2億使用者賠償3.5億元；
各位 Buffer 早上好，今天是 2018 年 10 月 25 日星期四，農曆九月十七。今天的早餐鋪內容有：研究人員發現近90%安卓App資料被傳回谷歌；部分安卓應用發現廣告騙局，竊取金額達數億美元 ；史上最大安全漏洞案和解，雅虎向2億使用者賠償3.5億元； 日本官方責令 FaceBook 提升安全性； 研究人員再次在 Twitter 上披露 Windows 0-day 漏洞；資訊竊取軟體 Azorult 新版本在地下黑市出現。
研究人員發現近90%安卓App資料被傳回谷歌
據國外媒體報道，牛津大學研究人員發現，通過近100萬款安卓APP收集的資料有近90%被傳回谷歌。這項經過同行評審的研究分析了2017年穀歌Play Store提供下載的約三分之一APP，發現這些APP可能將資料傳給多個（中位數為10個）第三方。專案負責人、電腦科學家魯賓•賓斯(Reuben Binns)表示，隨著多數APP轉向“免費增值”模式（即它們從廣告而不是銷售獲得營收），資料共享已經失控。第三方通過智慧手機 APP 收集的資料非常多樣，包括個人資料資訊（如年齡和性別）到位置詳細資訊（包括附近 WiFi 路由器資料資訊等等），以及有關手機上其他所有 APP 的資訊。[來源： ofollow,noindex" target="_blank">techweb ]
部分安卓應用發現廣告騙局，竊取金額達數億美元
美國的新聞網站 Buzzfeed News 釋出的深入調查報告顯示，超過125個安卓（Android）應用程式和網站被捲入一個大規模的欺詐行為，該行為導致數億美元的廣告收入被盜。報告顯示，欺詐者通過一家名為“我們購買應用程式”的前端公司從開發者處購買合法的，已上傳的應用程式。這些應用程式會將其所有權轉移給將繼續管理該應用程式的空殼公司，同時還會分析使用者的行為和與該應用的互動行為。然後，該資料將被程式設計成為一個網路機器人，從而連結到有購買行為的應用程式上，接著用真實的資料欺騙使用者，而使用者此時並未意識到。這就從應用內（包括谷歌自身運營的那些）支付廣告費用的公司那裡獲得了數億美元的廣告收入。[來源： 新浪科技 ]
史上最大安全漏洞案和解，雅虎向2億使用者賠償3.5億元
據NBC News報道，雅虎已經同意向2億使用者支付5000萬美元（約合3.47億元人民幣）賠償金，併為他們提供為期兩年的免費信用監控服務。2016 年曝出的雅虎資訊洩露案件成為有史以來最大的安全漏洞案，導致約 30 億雅虎賬戶遭到黑客攻擊，洩露了受害使用者的電子郵件地址和其他個人資訊。根據初步和解協議，雅虎將以每小時25美元的標準對雅虎賬戶持有人進行補償，以彌補他們在處理因安全漏洞引發問題的時間損失。那些有記錄在案的損失可以要求最多獲得15小時賠償，或者375美元。而無法記錄損失的人可以提出索賠，要求最多獲得5個小時（約125美元）的賠償。[來源： 網易科技 ]
日本官方責令 FaceBook 提升安全性
本週一，日本個人資訊保護委員會下令對資料洩露進行進一步調查，並要求Facebook實施預防性安全措施。這是日本官方機構在與英國當局一起進行調查後首次 向Facebook 發出警告。日本政府發言人表示，日本有多達10萬名使用者可能受到 FaceBook 近期資料洩露事件的影響。此外，他們還要求 FaceBook改善與使用者的溝通方式，使其更加透明地管理其資料，並及時響應刪除帳戶的請求。Facebook承諾將在網站及時通知使用者平臺賬號是否被不當使用，並及時與相關國家的監管機構合作溝通。[來源： Securityweek ]
研究人員再次在 Twitter 上披露 Windows 0-day 漏洞
一位名為 SandboxEscaper 的安全研究人員在兩個月內第二次在 Twitter 上披露了 Windows 0-day 漏洞，並在 GitHub 上釋出了概念驗證（PoC）。這個漏洞主要影響微軟的資料共享服務（dssvc.dll）。dssvc.dll是一項本地服務，主要用於在應用程式之間提供資料代理。而攻擊者可以利用此次釋出的0-day 漏洞，提升所訪問過的系統許可權。在概念驗證中，攻擊程式碼可以用於刪除原本需要管理員許可權才能刪除的檔案。有專家表示，這個漏洞主要影響Windows 最新版本，如 Windows 10、Server 2016 和 Server 2018 等。[來源： zdnet ]
資訊竊取軟體 Azorult 新版本在地下黑市出現
據外媒報道，新版本的 Azorult 資訊竊取軟體在地下黑市出現，能竊取更多資料，包括多個型別的加密貨幣。最新版本的 Azorult 主要通過RIG漏洞利用工具包以及其他渠道分發，而以前的版本則通過偽造的 Office 文件、作為網路釣魚郵件的附件分發。AZORult 最早由 Proofpoint 的研究人員於 2016 年首次發現。在2018年7月，研究人員發現了複雜版本的 AZORult 間諜軟體，可用於竊取憑證、支付卡資料、瀏覽器歷史記錄和加密貨幣錢包的內容。在此基礎上，新版本使用新的加密方法，用於保護硬編碼的 C&C 域字串，還採取了用於連線命令和 C&C 伺服器的新金鑰。[來源： Securityaffairs ]
*AngelaY 編譯整理，轉載請註明來自 FreeBuf.COM。