安信与诚信息安全通告（5月份）-安全事件与安全建议

 

目 录

五、信息安全事件

5.1 黑客欲将盗取的4.27亿个MySpace密码以2800美元卖出犯

5.2 江苏一快递员工出售5万余条客户信息赚7万

5.3 SWIFT问题很大，第4家受害银行浮出水面

六、信息安全建议

6.1 安全产品和服务器应用

6.2 桌面与移动应用

五、信息安全事件

5.1黑客欲将盗取的4.27亿个MySpace密码以2800美元卖出

网络安全领域有一个被屡屡提及的格言：公司分两种，一种是已经被黑客攻击的，一种，是还不知道已被攻击的。

社交媒体巨头MySpace明显属于第二种。上周还在售卖超过1.64亿Linkedln用户数据的同一个黑客，本周继而宣称已拿到MySpace用户的3.6亿封邮件和密码，如果属实，这将是史上最大规模的密码泄露事件。而且，这份数据似乎已在其他黑客中流传开来。

该黑客名为Peace, 从MySpace中盗走数据的时间不明，但黑客自己和一个 LeakedSource（被入侵数据的有偿搜索引擎）的操作员说法一致，且后者称有证据表明，数据泄露发生的原因是过去曾有一个未被报告的漏洞。

Peace和LeakedSource都未提供被盗数据的样例。为验证这些泄露的数据是否正确， Motherboard网站将曾在MySpace注册过的三位员工以及两个公司员工的朋友的邮箱地址提交给LeakedSource ，结果 LeakedSource 正确地回复了对应邮箱的密码。

LeakedSource于周五在一篇博文中宣布了泄露事件。该数据集有427,484,128 个密码，但只有360,213,024 亿封邮件，该文还称，数据集中的每项记录都包含“一个邮件地址，一个用户名，一个密码，某些情况下还包括一个备用密码”。

“数据一旦已被进行若干次交易，最终就会流传到某个不值得信任的人手里，然后就会疯狂地泛滥不止。”

“在这3.6亿邮件中，有111,341,258个账户绑定了用户名，有68,493,651个账户有备用密码（其中有些没有设置第一密码）。”LeakedSource写道。LeakedSource的用户可每天支付2美元，也可每年支付265美元，就能登录其网站并浏览该公司声称的超过16亿被攻击或被泄露的数据记录。

文中表示，数据由某个化名为Tessa88的人提供，但在与Motherboard的采访中。该网站的一个运营人员说他们不清楚泄露数据的真实来源，比如说谁是第一个盗取MySpace的人，也不知道谁在“这段时间”一直持有该数据，以及该公司被攻击的时间。但这些数据最后注定会被泄露，他们表示。

“这是信息的本质，‘三个人无法保住一个秘密，除非是其中两个人死了。’（出自本杰明·富兰克明）。”该运营人员在一次在线聊天中告诉我说：“数据一旦已被进行若干次交易，最终就会流传到某个不值得信任的人手里，然后就会疯狂地泛滥不止。”

MySpace收到多个询问请求，但都未表态。

LeakedSource还写道，密码最初是由SHA1算法进行散列化，该算法被认为性能较弱，易于攻破，雪上加霜的是，该公司在散列过程中没有对密码进行“salt”,即在为使密码难以攻破而进行散列之前，没有在密码末端添加一串随机字节。因此LeakedSource的运营人员才告诉我，他们希望在月底破解98%到99%的密码，尽管该人员拒绝透漏已经破解多少。

10年前的MySpace 曾是互联网上最大的网站之一，而如今这个社交媒体只是空有其名，有很严重的安全问题。该网址最近曾吹嘘注册用户已跨过10亿门槛，然而据去年的报告，每月只有5000万个独立访客。

如果全部数据正确，这将会是有史以来规模最大的一次数据失窃。而且，如果全部数据正确，这将会是有史以来规模最大的一次数据失窃。更重要的是，这表明某些时候MySpace已经被攻击过，而且，该公司从未发现过此事，也未曾公开或在内部披露过这些信息。如果所有数据真的都来自MySpace，这将是会曾出现过的最大规模的邮件和密码泄露事件，并会在数据泄露意识网站Have I Been Pwned上名列榜首。

因此对用户来说，即使弃用账户或让账户休眠也会存在风险，因为账户中仍有可能包含个人数据，并会在其他的网络攻击中加以利用。重要的是，如果你有MySpace账号，要进行密码修改。但最最重要的是，如果你在其他更加敏感的网络服务中也使用同样的密码，也要立即更改。而且可以考虑使用LastPass或1Password等密码管理器，让你可以在每个不同的网站使用专有且强大的密码。

东部时间下午5点1分更新：周五下午，自称为Peace的黑客在网上的黑市The Real Deal上欲出售从Myspace上盗取的密码以及账户等数据，出价6比特币（大约为2800美元）。“在某个傻瓜散布这些信息之前，我要把它们卖出去。”Peace在一次网络聊天中告诉我。

5.2江苏一快递员工出售5万余条客户信息赚7万

一家快递公司的多名员工，为了牟取不法利益，竟然将5万余条客户的信息贩卖给一个微商，非法获利达7万余元。近日，江苏省无锡市公安局新吴分局成功破获了这起非法获取公民个人信息案，抓获犯罪嫌疑人6人，其中2名主要嫌疑人已被刑事拘留。

前不久，某快递公司无锡总部在检查工作中发现，员工季某某有一天的系统查询量高达800多条。季某某是负责处理包裹投诉的办公室人员，按正常工作量，最忙碌时一天也只能查询处理200条左右的信息，如此“勤快”的查询实在不合常理，估计存在猫腻。公司随即找季某某询问，季某某称纯粹是出于工作需要，是给同事柏某某帮忙。但在柏某某的电脑中，公司发现了一份季某某发给他的异常表格。与普通工作表格相比，这份表格上额外查询罗列出了几百个包裹收件人的电话。柏某某知道瞒不住了，最终承认自己把用户信息卖给了微商李某。随后，快递公司报警。无锡市公安局新吴分局硕放派出所接到报警后，很快将李某和柏某某等人抓获。

据了解，柏某某在去年底通过同事认识了做紫砂壶生意的李某，业余跟着他一起做微商。柏某某发现，公司每天接收的快递包裹中，有一批从宜兴市丁山和丁蜀地区发往全国各地的包裹，外包装上标注为易碎品，包裹里十有八九是紫砂壶，那么这些收件人就是潜在的消费者。为拓展客户，柏某某偷偷整理出一些收件人的电话，加对方微信兜生意，但很快被人发现了身份，并遭到投诉。柏某某只好作罢，由于订单太少，后来就不做微商了。一次聊天中，柏某某向李某吐槽自己的失败经历，李某提出自己不容易被发现，他愿购买信息试一试。第一次，柏某某发给李某1000条信息，收到了1000元酬劳。经过尝试，双方觉得此举“双赢”，便商量以1.5万元“包月”，每月交易1.5万条信息。当时在公司负责处理破损邮件投诉的柏某某，每天能获得公司的全市快递信息，他从中筛选信息，并查询出收件人电话。后来一个人忙不过来，柏某某又暗中联系刘某、季某某等4名办公室同事帮忙，每整理出一天的信息支付200元。敲敲键盘复制粘贴，“外快”轻松到手，几个人干得不亦乐乎。

据办案民警介绍，柏某某和李某从没见过面，两人都是通过网络联系和交易。柏某某和被抓获的同事都是20多岁的小年轻，他们知道公司有明文规定不能泄漏用户信息，不过柏某某以为自己只是违反了公司规章制度，担心事发后被炒鱿鱼。获利的大部分钱已被他挥霍掉，柏某某以为退出钱就没事了，没想到要为此吃官司。而李某家里做生意，他本人在宜兴有很好的工作，如今他不仅工作保不住，还要受法律惩处。且据李某反映，试过几个月后，他发觉买来的信息效果一般，订单并没有大量增加，到后来大批信息没来得及使用，他最近的一个电子邮件都没点开，这事对他来说实在得不偿失。据警方调查，柏某某每月整理好信息发送给李某，5月份的信息还没整理完毕就东窗事发了。初步统计，他从今年1月至今，共出售给李某5万多条信息，获利7万多元。

5.3 SWIFT问题很大，第4家受害银行浮出水面

瞄上SWIFT银行间转账系统的黑客，魔爪伸向了第4家银行，这次，受害的是菲律宾银行。赛门铁克安全研究人员认为，2月发生的8100万美元孟加拉央行惊天网络劫案，其作案者与去年袭击菲律宾银行的是同一伙，是不断滋生的银行网络攻击案件中的一部分。

厄瓜多尔南方银行1200万美元失窃案也是同一伙黑客所为。针对不同银行的这几起网络劫案中所用的恶意软件有关联性，表明多起银行网络攻击事件背后的团伙是同一个。

赛门铁克已识别出东南亚金融业针对性攻击中所用的3款恶意软件：Backdoor.Fimlis、Backdoor.Fimlis.B 和 Backdoor.Contopee。最初，这些攻击事件背后的动机尚不明确，但Trojan.Banswift (孟加拉央行攻击中用来操纵SWIFT交易的恶意软件)与 Backdoor.Contopee 早期变体中的共用代码提供了线索。

用来掩盖银行攻击的擦除代码与索尼影业案中所用的一致。策略、技术和流程上的共通性，令安全公司得以指认SWIFT银行劫案就是2年前洗劫了索尼影业的同一伙黑客所为。

赛门铁克认为，恶意软件家族间共享的独特代码，以及 Backdoor.Contopee 被用于该地区金融机构有限范围内针对性攻击中的事实，意味着这些工具出自同一个黑客团伙之手。之前，与名为Lazarus的大型威胁团伙相关的攻击者，曾使用过 Backdoor.Contopee。Lazarus是自2009年起一系列侵略性攻击的操刀人，这些攻击大多针对美国和韩国的目标。因在索尼影业攻击案中现身而被FBI广而告之的破坏性木马 Backdoor.Destover，同样与Lazarus有关。FBI认定，朝鲜政府是索尼影业攻击案的主谋。

水有多深？

有证据表明，SWIFT(全球银行间金融电信协会)攻击始于菲律宾银行首次遭劫的2015年10月，比越南先锋银行那起被挫败了的劫案还早2个月。

菲律宾银行劫案中用到的几款工具，与之前袭击了索尼影业的Lazarus威胁团伙所用的恶意软件，在代码上有着明显的相似之处。美国政府始终坚持2014年11月发生的索尼影业攻击事件背后主谋是朝鲜政府。

赛门铁克的发现有早前BAE系统所做研究的支持，将不断增多的银行网络劫案的罪魁祸首指向了朝鲜。

受渎职指责影响，本周早些时候，SWIFT首席执行官宣布了其银行间转账系统的安全更新和信息共享推进计划。SWIFT仍坚持，问题出在受影响的银行身上，他们的系统一定早已被黑客染指，凭证也被偷走——尽管SWIFT也承认需要做更多工作来对抗诈骗。

正如《经济学人》针对SWIFT网络安全问题的报道所说，近期发生的几起银行黑客事件提起了对于跨境支付系统的关注。

六、信息安全建议

厂商已针对漏洞发布安全公告和补丁程序，建议用户随时访问厂商主页或相关链接以获取漏洞解决方案，及时关注并下载软件更新，防范黑客攻击。软件版本列出的是截止目前厂商发布的最新的稳定版本或正式版本，推荐用户更新，软件版本以红色字体标出表示在本月发生更新。

6.1安全产品和服务器应用

虚拟化应用

序号

软件名称

软件版本

相关链接

1

VMware ESXi

ESXi600-201605001

ESXi550-201602001

ESXi510-201605001

ESXi500-201510001

https://my.vmware.com/group/vmware/patch#search

（需要登录）

http://www.vmware.com/security/advisories

2

VMware vCenter Server

6.0.0-3460911-20160301 5.5.0-3000346-20150901

数据库应用

序号

软件名称

版本

相关链接

1

IBM DB2

10.5.0.7

10.1.0.5

http://www-933.ibm.com/support/fixcentral

2

PostgreSQL

9.5.3，9.4.8

9.3.13，9.2.17，9.1.22

http://www.postgresql.org/download

3

MySQL Database

5.7.12，5.6.30，5.5.49

http://dev.mysql.com/downloads

防病毒程序

序号

软件名称

版本

相关链接

1

TrendMicro OfficeScan

11.0 SP1

10.6 SP3 Patch1

http://downloadcenter.trendmicro.com/index.php?clk=left_nav&clkval=all_download&regs=CH

2

TrendMicro TMCM

6.0 SP3

3

TrendMicro ServerProtect

5.8 Patch Build 1343.00

IBM公司软件

序号

软件名称

版本

相关链接

1

IBM Domino

9.0.1.6

8.5.3.6

http://www-933.ibm.com/support/fixcentral/

2

IBM Notes

3

IBM WebSphere Application Server

8.5.5.9

8.0.0.12

7.0.0.41

4

IBM WebSphere Portal

8.5.0.0

5

IBM Tivoli Storage Manager FastBack

6.1.12.2

操作系统

序号

软件名称

版本

相关链接

1

Solaris

11.3.7.5.0

10.0 CPU 2016.4

http://www.oracle.com/technetwork/topics/security/alerts-086861.html

2

FreeBSD

10.3-RELEASE-p3

10.2-RELEASE-p17

10.1-RELEASE-p34

9.3-RELEASE-p42

https://www.freebsd.org/where.html

3

Linux

4.6（内核版本）

https://www.kernel.org/

4

Redhat RHEL

7.2（3.10.0-327）

6.8（2.6.32-642）

5.11（2.6.18-398）

https://access.redhat.com/articles/3078

https://access.redhat.com/support/policy/updates/errata/

5

SUSE Linux Enterprise

12 SP1

11 SP4

https://download.suse.com/index.jsp

F5公司应用

序号

软件名称

版本

相关链接

1

F5 FirePass

7.0 Cumulative HF-70-9

https://login.f5.com/resource/login.jsp

（需要登录）

2

F5 BIG-IP

Hotfix-BIGIP-12.0.0.1.0.628-HF1

Hotfix-BIGIP-11.6.0.6.0.442-HF6

Hotfix-BIGIP-10.2.4-870.0-HF13

FTP服务器应用

序号

软件名称

版本

相关链接

1

ProFTPD

1.3.5b

http://www.proftpd.org/

2

Serv-U FTP Server

15.1.3.3

http://www.serv-u.com/downloads

网站&论坛&博客应用

序号

软件名称

版本

相关链接

1

Apache HTTP Server

2.4.20

2.2.31

http://httpd.apache.org/

2

Apache Tomcat

6.0.45

7.0.69

8.0.35

http://tomcat.apache.org/

3

Tomcat Native

1.2.7

http://tomcat.apache.org/download-native.cgi

4

Tomcat Connectors

1.2.41

http://tomcat.apache.org/download-connectors.cgi

5

Apache Struts

2.5

http://struts.apache.org/

6

Apache ActiveMQ

5.13.3

http://activemq.apache.org/download.html

7

Apache Qpid

0.32

http://qpid.apache.org/download.html

8

nginx

1.11.0

http://nginx.org/

9

OpenSSL

1.0.1t

1.0.2h

https://www.openssl.org/

10

PHP

5.6.22

5.5.36

7.0.7

http://php.net/

11

Zend Framework

2.4.9

http://framework.zend.com/downloads/latest

12

WordPress

4.5.2

https://wordpress.org/download/

16

PHPWind

9.0.1

http://www.phpwind.net/

17

Discuz!

3.2

http://www.discuz.net/forum.php

18

Drupal

8.1.1

https://www.drupal.org/download

其它服务器应用

序号

软件名称

版本

相关链接

1

ISC BIND

9.9.9-P1

9.10.4

https://ftp.isc.org/isc/

2

ISC DHCP

4.1-ESV-R13

4.3.4

3

OpenSSH

7.2p2

http://www.openssh.com/

4

NTP

4.2.8p7

http://www.ntp.org/downloads.html

5

Squid

3.5.19

http://www.squid-cache.org/Versions/

6

ownCloud Server

9.0.2，8.2.5

https://owncloud.org/

7

FreeRADIUS

3.0.11

http://freeradius.org/download.html

8

OpenLDAP

2.4.44

https://www.openldap.org/software/download/

9

Samba

4.4.3

https://www.samba.org/samba/download/

10

glibc（GNU C Library）

2.23

http://ftp.gnu.org/gnu/glibc/

11

GNU Libgcrypt

1.7.0

https://www.gnu.org/software/libgcrypt/

12

GNU GCC

6.1，5.3，4.9.3

https://gcc.gnu.org/

6.2桌面与移动应用

网页浏览软件

序号

软件名称

软件版本

相关链接

1

Internet Explorer

11.0.9600.16428

http://windows.microsoft.com/zh-cn/internet-explorer/ie-11-worldwide-languages/

2

Google Chrome

50.0.2661.102

http://www.google.cn/intl/zh-CN/chrome/browser/desktop/index.html

3

Mozilla Firefox

46.0.1

http://firefox.com.cn

4

Opera

37.0.2178.54

http://www.opera.com/zh-cn/computer

5

Adobe Flash Player

21.0.0.242

http://www.adobe.com/support/flashplayer/downloads.html

远程控制软件

序号

软件名称

软件版本

相关链接

1

Putty

0.66

http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html

2

SecureCRT

8.0.1

https://www.vandyke.com/download/securecrt/download.html

3

Xmanager Enterprise

5.0 Build 0959

http://www.netsarang.com/download/down_xme.html

4

VNC

5.3.1

http://www.realvnc.com/download/vnc/

5

TeamViewer

11.0.59518

http://www.teamviewer.com/zhcn/download/windows.aspx

6

Dameware Remote Mini Controller

12.0.0

http://www.dameware.com/downloads.aspx

文件传输软件

序号

软件名称

版本

相关链接

1

WinSCP

5.7.7

http://winscp.net/eng/download.php

2

flashfxp

5.3.0.3932

https://www.flashfxp.com/download

文档阅读软件

序号

软件名称

版本

相关链接

1

Adobe Reader

11.0.16

http://www.adobe.com/support/downloads/product.jsp?product=10&platform=Windows

2

Foxit Reader

7.3.8.425

http://www.foxitsoftware.cn/downloads/

虚拟机应用

序号

软件名称

版本

相关链接

1

VMware Workstation Pro

12.1.1-3770994

http://www.vmware.com/cn/products/workstation/workstation-evaluation

2

Oracle VM VirtualBox

5.0.20

https://www.virtualbox.org/

苹果公司应用

序号

软件名称

版本

相关链接

1

Apple OS X El Capitan

10.11.5

https://support.apple.com/zh_CN/downloads

2

Apple OS X Yosemite

10.10.5 2016-003

3

Apple OS X Mavericks

10.9.5 2016-003

4

Apple OS X Mountain Lion

10.8.5 2015-006

5

Apple iTunes

12.4

6

Apple Xcode

7.3

7

Apple iOS

9.3.2

8

Apple Safari

9.1.1

9

Apple tvOS

9.2.1

10

Apple watchOS

2.2.1

其它桌面应用

序号

软件名称

版本

相关链接

1

Java SE JDK and JRE

8.0 Update 91/92

http://www.oracle.com/technetwork/java/javase/downloads/index.html

2

Wireshark

2.0.3

https://www.wireshark.org/download.html

3

Python

3.5.1

2.7.11

https://www.python.org/download

4

phpMyAdmin

4.6.2

4.4.15.6

http://www.phpmyadmin.net/home_page/downloads.php

5

TrueCrypt

7.1a

https://truecrypt.ch/downloads/

6

QEMU

2.6.0

2.5.1.1

http://wiki.qemu.org/Download