研究人员披露了西门子ICS软件中的漏洞

西门子用于维护核电站等大型关键基础设施的工业控制系统存在漏洞，所幸该漏洞还未在野外被利用。

据外媒报道，安全公司Tenable的研究人员在西门子软件平台STEP 7 TIA Portal中发现了一个新的漏洞（CVE-2019-10915），该平台用于维护核电站等大型关键基础设施的工业控制系统。研究人员表示，该漏洞还未在野外被利用，西门子已发布了补丁。

研究人员表示，攻击者可利用该漏洞进行网络间谍活动、映射网络、破坏和泄露数据，也可修改系统代码和逻辑。远程攻击者可以通过直接向服务器发送WebSocket命令来绕过HTTP身份验证并访问所有管理员功能。

一旦进入网络，攻击者就可以在易受攻击的系统中执行管理操作，并将恶意代码添加到设施内的相邻工业控制系统中。攻击者还可以利用漏洞收集数据，以便计划其他针对性攻击。传统的保护工业控制系统的方法，例如气隙式分段网络或防火墙，可能无法阻止黑客利用漏洞。

详文阅读：

http://mini.eastday.com/a/190715085142963.html

美国医院麻醉机、呼吸机现安全漏洞：极易遭到远程篡改

Cyber​​MDX的研究人员发现，影响通用电气（GE）医疗保健公司生产的几种麻醉和呼吸设备的漏洞可能会让攻击者操纵设备的设置并使警报静音。

关于此漏洞（CVE-2019-10966）

CVE-2019-10966影响GE Aestive和GE Aespire机器的7100和7900版本，主要用于美国

只有当它们通过串行通信端口和终端服务器连接到医院网络时，并且只有已经可以访问网络的攻击者才能利用此漏洞。

“成功利用此漏洞可能使攻击者能够远程修改GE Healthcare麻醉设备参数。这是因为将GE Healthcare麻醉设备串口扩展到TCP / IP网络的某些终端服务器实施的配置暴露，“ICS-CERT 指出。

Cyber​​MDX的研究人员表示，他们对易受攻击的机器进行了多次现场测试，并证实了这一漏洞。

利用的第一步是强制设备恢复到他们使用的早期安全性较低的通信协议版本。这允许具有命令约定知识的攻击者：

• 查看病房中患者使用的剂量和药物名称

• 使气体成分参数发生变化

• 操纵气压设置和麻醉剂类型选择

• 进行日期和时间更改

• 沉默警报。

详文阅读：

FTC 诉讼后 D-Link 同意加强智能家居产品的安全性

针对智能家用安防摄像头和无线路由器存在的安全风险，美国联邦贸易委员会（FTC）刚刚了结了与 D-Link 的诉讼。该机构周二表示，该公司已同意在产品发布前做好规划，完成应有的威胁建模、漏洞测试、以及软件安全计划。这场诉讼始于 2017 年，起因是 D-Link 路由器和 IP 摄像头存在安全漏洞，或导致用户私密信息（实时音视频）被黑客攻击或别有用心的第三方窥探。

FTC 指出，D-Link 未能保障最基本的软件安全，例如测试和修复“众所周知且可预防的安全漏洞”—— 包括硬编码登录凭证、用 Guest 作为登录用户名、以及在设备和 App 上明文保存密码。

此外，D-Link 需要对安全漏洞展开持续监测、发布固件更新、并接受独立安全研究人员的漏洞报告。

根据 FTC 向美国加州地方法院提交的拟议和解协议，未来 10 年，D-Link 都需要获得由独立的第三方给出的双年度软件安全项目报告。

详文阅读：

http://hackernews.cc/archives/26165

物理黑客上线，罗技被曝出四个硬件漏洞

近日，有研究人员表示发现了罗技的Unifying USB接收器存在4个新的安全漏洞。这个接收器可将六个不同的设备连接到同一个计算机。

据悉，这些漏洞是由于罗技加密狗的过时固件造成的，攻击者可以依靠漏洞通过物理方式访问目标计算机，同时发动点击注入攻击，并记录鼠标点击记录最终实现控制操作系统。

目前，这四个漏洞均已上报给罗技公司，但对方表示只会修复其中两个，另外两个将继续保持“开放”状态：

CVE-2019-13054和CVE-2019-13055漏洞将在2019年8月发布的更新中修复，CVE-2019013052和CVE-2019-13053已经放弃治疗。

CVE-2019-13054和CVE-2019-13055这两个漏洞分别能够影响Logitech R500、Logitech SPOTLIGHT和所有具有键盘功能的加密Unifying设备。原本漏洞可使攻击者对计算机进行物理访问，经过修复后，将成为“通过转储来主动获取链路的加密密钥”。

研究人员Mengs利用CVE-2019-13055漏洞对罗技K360的键盘进行了攻击演示，仅通过一个键盘，就能够实现从所有配对设备中转储AES密钥和地址，随后便能够窃听和解密射频（RF）传输，并且这些操作都是即时的。

详文阅读：

2500 万 Android 设备被“Agent Smith”恶意软件感染

根据报道，一种名为 Agent Smith 的新型 Android 恶意软件已经感染了 2500 万部手机，其目的是推送广告或劫持有效的广告事件。

受害者被引诱从第三方应用商店下载伪装成照片应用程序、色情相关应用程序或游戏等病毒程序，一旦下载完毕，这些程序就会下载 Agent Smith。

该恶意软件通常伪装成 Google Updater、Google Update for U 或 com.google.vending 等实用工具 ，并对用户隐藏其图标。

接下来，恶意软件检查目标手机上的应用程序，然后获取带有恶意广告模块的“补丁”识别 APK 的更新。为了完成更新安装过程，恶意软件利用 Janus 漏洞，该漏洞可以让其绕过 Android 的 APK 完整性检查。Janus 是一个可追溯到 2017 年的 Android 漏洞。

Check Point 估计，每个受害者手机上可能有多达 112 个应用程序被那些显示广告的应用程序所取代。

详文阅读：