【阿里聚安全·安全周刊】科学家警告外星恶意代码|新方法任意解锁iPhone

本周的七个关键词：外星恶意代码丨任意解锁iPhone 丨安卓9.0 丨黑客攻击医疗设备丨仙女座僵尸网络丨苹果联合创始人被骗比特币丨JavaScript

-1- 【恶意代码】科学家警告来自外星的恶意代码

来源：solidot

------------------------------------------------------

2050 年，地球收到了一个外星文明发送来的的首条星际编码信息。由科学家、语言学家和数学家组成的国际团体日以继夜的破解了信息。然而，在代码破译之后，灾难降临了——全世界的联网自动设备崩溃，计算机被加密，电网下线，没有人再能用比特币买东西了。这一切听起来像是来自某部科幻电影。

两位天体物理学家在预印本网站 arXiv 发表论文，警告了外星恶意代码的可能性。两位科学家认为，被动监听也是有可能导致灾难降临的。勒索软件之类的恶意代码同样会引发灾难。

-2- 【iOS】Cellebrite声称能够为政府机构解锁运行iOS 11的设备包括iPhone X

来源： cnbeta.com

------------------------------------------------------------------

以色列安全公司Cellebrite被认为帮助美国联邦调查局解锁iPhone。最近该公司声称能够绕过运行iOS 11和更旧版本的设备的安全性，包括最近推出的iPhone 8和iPhone X在内的硬件。

Cellebrite的高级解锁服务作为“行业唯一的解决方案”销售，用于击败市场领先设备（包括iOS和Android智能手机和平板电脑）的复杂锁定。付费服务仅供执法人员使用，为政府机构解锁设备，允许他们自行提取数据。

-3- 【Android】保护隐私，安卓9.0将禁止后台应用调用摄像头和麦克风权限

来源：FreeBuf.COM

------------------------------------------------------------------------------

由于安卓系统权限管理机制不够完善，黑客可以通过获取麦克风、摄像头等权限在不知情的情况下窃取用户隐私信息。而为了改变这一现状，安卓9.0（初步代号定为Pistachio Ice Cream，Android P）将禁止空闲后台应用访问智能手机的相机或麦克风。

用户和开发者将能够在今年五月测试Android P。预计谷歌将在谷歌I / O年度会议之后发布首个版本。Beta版本预计在夏季，而稳定版本预计将在8月底到9月初。

-4- 【黑客】起搏器与除颤器皆可能遭受黑客攻击

来源： E安全

------------------------------------------------------------------------------

随着医疗植入物的技术越来越复杂，美国心脏病专家指出，使用软件或者无线通信机制的心脏医疗设备很可能遭受黑客攻击，甚至有可能因此导致病患生命受到威胁。

目前还没有任何记录在案的实际患者以及装置入侵案例。实际上，入侵或恶意篡改医疗设备以求对病患造成伤害的行为当下还仅限于影视作品当中。

目前降低黑客攻击风险的惟一可靠方法，就是使用不允许远程软件更新或无线通信的设备。

-5- 【僵尸网络】乌克兰警方成功逮捕 Avalanche （“ 仙女座 ”）僵尸网络组织者

来源：hackernews.cc

-------------------------------------------------------------------------------------

Andromeda （仙女座）是市场上最大的僵尸网络之一，自 2011 年以来一直存在。它为世界各地的恶意软件和 DDoS（分布式拒绝服务）垃圾邮件攻击提供基础架构。乌克兰网络警察在一份声明中说，国际犯罪平台 Avalanche 的组织者在全球范围内每天感染的设备数量约达 50 万台。

乌克兰警方于周一表示，大规模僵尸网络 Avalanche （仙女座）的组织者之一被成功逮捕。被捕的男子是一名乌克兰公民 Gennadiy Kapkanov。警察搜查了该名男子的公寓，并对一台笔记本电脑和存储设备进行了取证。在调查过程中，警方发现，为了隐藏犯罪行为，该名男子使用了不同身份的护照。

-6- 【比特币】苹果联合创始人 7 枚比特币被骗走，价值约 44 万人民币

来源： FreeBuf.COM

--------------------------------------------------

近日，苹果联合创始人史蒂夫·沃兹尼亚克出席了《经济时报》主办的全球商务峰会。在会上，沃兹尼亚克表示自己的 7 枚比特币被骗走了。

被骗过程简单到难以置：有人在网上通过信用卡从他手中买下了这些比特币，然后取消了信用卡付款。骗子使用的是被盗的信用卡号码，无法追踪，因此，这 7 枚比特币就无法再找回。

-7- 【JavaScript】JavaScript的反调试技术（上、下）

来源：嘶吼

--------------------------------------------------------------------------

在本文中，我们为读者介绍了与JavaScript反调试有关的一些技巧，其中包括函数重定义、断点、时间差异、DevTools检测和执行流程完整性的隐式控制等。

——————————————————————————————

以上是本周的安全周刊，想了解更多内容，请访问阿里聚安全官方博客