信息来源：游侠网

摘要: 一些招聘平台存在漏洞,随机编造姓名也可通过验证 近日，大学生李文星在招聘平台BOSS直聘应聘，落入传销窝点后身亡一事引发关注。8月9日，北京市网信办、天津市网信办开展联合执法专项行动，就BOSS直聘发布违法违规信息、用户管理出现重大疏漏等问题，依法联...

一些招聘平台存在漏洞,随机编造姓名也可通过验证

        近日，大学生李文星在招聘平台BOSS直聘应聘，落入传销窝点后身亡一事引发关注。8月9日，北京市网信办、天津市网信办开展联合执法专项行动，就BOSS直聘发布违法违规信息、用户管理出现重大疏漏等问题，依法联合约谈BOSS直聘法人，并下达行政执法检查记录，责令网站立即整改。据媒体报道，某大数据人力资源公司合伙人刘先生表示，网站对招聘企业的审核完全依赖营业执照，但是可以提供复印件甚至是照片，给造假者提供了很大的空间和漏洞。如果通过某种渠道去办理假的营业执照，基本也不会有平台去查你的真实性。

参考来源：http://tech.sina.com.cn“

橙风单车” 投用次日遭黑客攻击 5000台车被迫停工

冰城多名市民向记者反映，刚刚投用的“橙风单车”不能使用了。记者采访得知，由于这些单车投用第二天就遭到黑客攻击，导致系统瘫痪，用户无法正常体验、使用。9日，记者了解到，目前投放单车的哈尔滨市跨越科技有限公司已经向警方报案。记者了解到，8日该公司已向松北区祥安派出所报警，因该公司服务器在沈阳，同日位于沈阳的后台管理中心，也向当地警方报了案。据松北区祥安派出所李警官介绍，8日夜间哈尔滨市跨越科技有限公司报警称，该公司服务器遭遇黑客攻击。由于该公司服务器在沈阳，按照规定，由沈阳警方处理后续事宜。

参考来源：https://www.77169.com

全球保卫数据隐私之战再升级，数据安全监管亟待完善

      最近，数据泄露事件再次引起公众关注。瑞典遭遇史上最严重的数据泄露事件，印度电信运营商Jio一亿多用户信息“裸奔”。在英国新数据法案下，掌握大量数据和用户信息的谷歌、脸谱等公司已接到重罚警告。全球保卫数据隐私之战进一步升级。数据泄露事件频发，暴露出互联网时代的治理漏洞，也暴露出互联网时代中数据隐私的保护与监管、保护与共享等诸多矛盾，对各国相关法律法规的制定和实施提出了更高要求。

参考网站：http://tech.sina.com

肯尼亚反对党领导人称：选举委员会被黑，黑客意图操纵总统大选

国外媒体报道称，肯尼亚反对党领导人表示，本周三黑客入侵肯尼亚选举委员会数据库，意图操纵选举结果。周二选民已经针对现总统 Uhuru Kenyatta 以及反对党领导人 Raila Odinga 进行投票，计票工作还在持续。Odinga 宣称黑客利用 IEBC 选举委员会某个被杀员工的身份凭证入侵了电子投票系统，并启用某种抬高 Kenyatta 选票的算法。Odinga 说投票结果是假的，是欺骗。随后他还公布了 IEBC 服务器的日志来支撑他的说法，据说 Kenyatta 的总得票率因此抬高了 11%。从 92% 的投票站统计来看，IEBC 结果显示 Kenyatta 得到 1300 万票，得票率 54.4%，而 Odinga 的得票率为 44.7%。Odinga现年72岁，已经是第四次参与总统选举。

参考来源：http://www.securityweek.com

      Cylance 的研究人员最近发现，近期针对朝鲜的两波间谍行动是存在关联的，分别是 DarkHotel 攻击和名为 KONNI 的恶意程序。KONNI 是个 RAT 远程访问木马，最早发现是在 3 多年以前，过去几年一直在活跃中。这款恶意程序能够记录键击、窃取文件、获取截屏、收集数据——今年，思科 Talos 团队发现，这款恶意程序主要用于攻击和朝鲜有关的企业组织。卡巴斯基2014年11月最早曝光该组织。该组织以亚太地区的商务旅行人士为目标——包括来自朝鲜、俄罗斯、韩国、日本、孟加拉、泰国、中国、印度、美国、印尼和德国等地的个人。而 Inexsmar 行动以朝鲜的政府雇员为攻击目标。Cylance 发现 KONNI 涉及的钓鱼文档实际上和 Inexsmar 行动所用钓鱼文档很相似。包括所用的文档标题，文档排版格式，还有作者署名。Cylance 仍在对 KONNI 作深入分析，专家认为该恶意程序作者未来还会发布新版变种，采用更复杂的混淆技术。

参考来源：http://www.securityweek.comvDos 

运营者正式被起诉，曾是全球最大规模 DDoS-For-Hire 服务

      以色列当局最近正式起诉两名年仅 19 岁的 vDos 服务运营者——关注 DDoS 的读者应该知道，vDos 是全球最大规模的 DDoS-For-Hire 平台，该平台已经在去年秋季下线。vDos 服务运营从 2012 年就开始了，最终于去年 9 月终结。vDos 先前提供的服务包括月度订阅的“stresser service”服务，还有可租用僵尸网络向目标发动攻击。去年夏季， PoodleCorp 黑客组织租用了 vDos 的僵尸网络，不过 PoodleCorp 的 PoodleStresser 中存在漏洞，其它黑客或者安全专家能够从其第三方僵尸网络中获取到数据。PoodleStresser 的源码暴露了其与 vDos API 之间的关联，随后专门从事信息安全调查的记者 Brian Krebs 发现其中的蛛丝马迹，并于去年 9 月刊文揭露 vDos 服务，及其运营者 Yarden “applej4ck” Bidani 和 Itay “p1st” Huri。很快，FBI 和以色列警方逮捕两名嫌疑人，并令 vDos 服务下线。两名犯罪嫌疑人利用一家英国皮包企业来洗钱。vDos 最知名的两个客户 Lizard Squad 和 PoodleCorp 黑客组织间也的确存在关联。

参考来源：http://www.securityweek.com

一家神秘公司发布高额漏洞奖励计划，25 万美元找虚拟机逃逸漏洞

      Bugcrowd 漏洞众测平台最近出现一个为期 8 周、仅邀请挖洞的漏洞奖励计划，从 9 月开始持续到 10 月份，这个项目标价 25 万美元，目标是找虚拟机逃逸漏洞。Bugcrowd 表示这是目前其第三方平台最大规模的漏洞奖励项目。这次的“超级机密”漏洞奖励计划要求参与的白帽首先提交一份报告，包括他们打算怎么做和各种相关信息。这家神秘公司在声明中提到，排在前 5 的报告，即便最终没有找到漏洞，只要能展示出专业实力和努力，就能获得 1 万美元奖金。当前已经有 27 名参与者加入到项目中。除了最高 25 万美元的奖励之外，该项目也针对泄露内存和代码的漏洞，奖金10万美元；还有针对相关未经授权网络访问的漏洞，提供 25000 美元奖金。实际上，微软上个月公开的升级版 Windows 漏洞奖励计划就为白帽提供最高 25 万美元的奖金，主要针对 Hyper-V 中发现 hypervisor 和主机内核远程代码执行漏洞。

参考来源：https://threatpost.com

Java反序列化危机已过，这次来的是.Net反序列化漏洞

      自2011年开始，攻击者就开始利用反序列化问题发起攻击。2015年上半年，两名研究员 Chris Frohoff 和 Gabriel Lawrence 发现 Apache Commons Collection 中的反序列化漏洞后，这个问题才真正开始让每个开发者头疼。在2015年年底，Foxglove Security 的安全研究员，揭开了攻击者如何利用 Java 程序中的反序列化漏洞进行攻击。序列化过程很能影响产品的安全性的，开发时需要注意不能使用未加验证的数据。反序列化问题并非只出现在 Java 序列化之中，或者如 JSON，XML 之类特定的 .NET 数据格式中。所有序列化操作后都会重新创建对象，攻击注入的代码即可能被其他方法调用，触发任意代码执行。

参考来源：https://www.77169.com

锁定硬盘的勒索病毒Mamba卷土重来？卡巴斯基发出警告

      早在 2016 年 9 月，Morphus Labs 安全研究人员发现了一种名为“曼巴（Mamba）”的勒索病毒，这是一种典型的加密恶意软件，其攻击对象大多为预先确定的较大片存档区域，并锁定整个硬盘驱动器。还将操控操作系统的启动过程，最后导致计算机无法正常开机。根据国外媒体消息，该恶意软件背后的网络犯罪嫌疑人似乎又有所行动，根据安东·伊万诺夫（Anton Ivanov）和卡巴斯基实验室恶意软件分析师奥尔坎·马梅多夫（Orkhan Mamedov）的一篇博文指出，巴西和沙特阿拉伯目前受到最新一轮的攻击，曼巴仍然使用合法的开源程序 DiskCryptor 来锁定计算机中的整个硬盘。不幸的是目前还没有有效地方法来解密曼巴锁定的文件和驱动器，卡巴斯基称其拥有强大的加密算法，并建议用户谨慎上网，远离恶意网站，以降低重要文件被锁定的风险。

参考来源：http://www.cnbeta.com