所有语音助手都存漏洞；黑客一直在入侵美国发电站

所有语音助手都存漏洞 浙江大学发现DolphinAttack攻击手段

近日来自中国浙江大学的科研团队发现了新的漏洞，并将这种攻击方式命名为“DolphinAttack”。攻击原理就是通过将人类发布的语音命令频率转换成为超声波频率。因此这些声音对于人耳来说是无法听见的，但iPad、iPhone、MacBooks、Apple Watch、亚马逊Echo和联想ThinkPad T440p，甚至是奥迪Q3都能听到这些命令。科研人员不仅能够“静默”激活语音助手，而且还能执行拨打电话、打开网站、关闭飞行模式，能够下达开门解锁（已经绑定智能门锁）等命令。

参考来源：

http://www.cnbeta.com/articles/tech/649271.htm

Struts2插件高危漏洞S2-052波及半数以上财富500强企业

热门开源框架Apache Struts又被曝存在远程代码执行漏洞（高危），漏洞编号CVE-2017-9805，S2-052，再一次没有辜负其“万年漏洞王”的美名。Semmle研究人员发现了这个高危漏洞，该漏洞一旦被黑客利用可轻易控制受影响的服务器，危及公司的敏感数据安全。攻击者利用该漏洞可在使用REST插件运行应用程序的服务器上远程执行代码。即当用户使用带有 XStream 程序的 Struts REST 插件来处理 XML payloads 时，可能会遭到远程代码执行攻击。

参考来源：
https://www.easyaq.com/news/1423059826.shtml

安卓TrustZone降级到已知漏洞的旧版本，并利用这些漏洞攻击最新版本的智能手机

攻击者能把安卓TrustZone技术的组件版本降级到存在已知漏洞的旧版本，并利用这些漏洞攻击运行最新操作系统版本的智能手机。据佛罗里达州立大学和百度X-Lab团队的四名计算机科学家介绍，攻击者能够将trustlet降级到旧版本，从而使其遭受多个漏洞的影响。问题出在trustlet缺乏版本回滚阻止功能，并且为不同的固件版本使用了相同的密钥对。也就是说，攻击者能够用新的trustlets替换掉旧版本的trustlets，而TrustZone OS对此毫不知情，原因就在于它们的密钥是相同的。

参考来源：
http://bobao.360.cn/news/detail/4292.html

6年的老漏洞”Loop Bug”重现，几近全部PDF阅读器中招

近日，德国软件开发商HannoBöck称，一个早在2011年就被发现的PDF解析库中的隐蔽bug，如今在大多数主流的PDF阅读器中再次出现。该bug最初是由德国软件开发商Andreas Bogk，在Evince（GNOME桌面环境下的一个PDF，PostScript，DjVu，TIFF与DVI文档查看工具）的解析器组件中被发现的，当时Andreas Bogk还协助Evince修复了该漏洞，并在2011年的混沌通信大会上展示了该漏洞。六年后的今天，曾经被人们忽视的小问题，如今却转变成了一个大问题。Böck表示，已经在众多知名的PDF阅读器中发现了类似的问题。

参考来源：
http://www.freebuf.com/news/146633.html

德国竞选网站遭数千次网络攻击，或与俄罗斯黑客有关

据路透社报道，德国保守派基督教民主联盟（CDU）副主席 Julia Kloeckner 于本周一（ 9 月 4 日）发表声明，宣称在保守派领导人安吉拉·默克尔（Angela Merkel）与社民党主席马丁·舒尔茨（Martin Schulz）进行电视竞选辩论之前，德国竞选网站遭受了 3000 余次网络攻击，其中多数 IP 地址来自俄罗斯，而保守派在莱茵兰普拉尔塞州的总部之后也遭受了大规模网络攻击。

参考来源：
http://hackernews.cc/archives/14410

赛门铁克：黑客一直在入侵美国发电站

据外媒报道，有攻击者一直在入侵美国发电站。最新一轮的攻击更具侵略性，黑客控制了许多系统，该活动的最终目标仍然不清楚。同时，赛门铁克发现了按组织和设备名称编目的目标电脑屏幕截图，其中包括短语“cntrl”，这可能表示该组已成功地控制了该设备。赛门铁克没有明确说明这些攻击的最终目的，但是长达一年的黑客活动所涉及的坚持和克制，意味着攻击者或者黑客团队是具有政治动机的民族国家攻击者，与早前俄罗斯黑客攻击乌克兰电厂的活动有很大相似之处，尽管这两个活动之间并没有明确的联系。

参考来源：
https://www.77169.com/html/175035.html

影子经纪人每月披露两批NSA网络武器，要价近400万美元

与美国国家安全局（NSA）存在关联的黑客组织“影子经纪人”（Shadow Brokers）从今年6月“开闸放货“，推出每月数据泄露服务,开始将逐月出售包括浏览器、路由器、手机漏洞及相关工具、以及SWIFT供应商和央行入侵等数据等等，并于7月份向客户出售一批新的被盗代码，而购买这些代码的客户需要支付不低于2.2万美元的酬金。9月6日，影子经纪人再发消息宣布一个月会泄露两批NSA漏洞利用。

参考来源:
https://www.easyaq.com/news/1718673897.shtm

【福利】系统安全帮新产品体验回馈活动！

活动时间：2017年6月15日－2017年10月15日

活动产品：上网行为管理服务、云眼APM服务

活动规则：

1. 活动期间系统安全帮上网行为管理服务和云眼APM服务免费；

2. 活动期间用户购买两类服务并成功完成支付的，将下单成功截图分享至朋友圈，并将分享成功截图发送到“安全帮”公众号即赠送100安全币，每类新产品每个用户只赠送一次，请留言注明安全帮用户名；

3. 用户将对产品提出的意见和建议发送至“安全帮”公众号，每次赠送20安全币，如意见被采纳再赠送200安全币，每个用户的相同意见和建议不重复赠送安全币，请留言注明安全帮用户名；

4. 本次活动的最终解释权归安全帮所有。