“大东话安全”热门原创文章盘点（上）丨初五
“大东话安全”专栏登陆中科院之声已经2年多了，至今已发布近百篇，其中入选“中科院之声十大热门原创文章”的文章达20篇。因此，本期我们就来盘点回顾下这些热门文章的精彩。
1、勒索病毒又来了！微信支付宝被瞄上
2018年12月1日爆发的"微信支付"勒索病毒正在快速传播，感染的电脑数量越来越多。病毒团伙入侵并利用豆瓣的C&C服务器，除了锁死受害者文件勒索赎金（支付通道已经关闭），还大肆偷窃支付宝、微信钱包等的密码。病毒作者首先攻击软件者的电脑，感染其用以编程的"易语言"中的一个模块，导致开发者所有使用"易语言"编程的软件均携带该勒索病毒。广大用户下载这些"带毒"软件后，就会感染该勒索病毒。整个传播过程很简单，但污染"易语言"后再感染软件的方式却比较罕见。
关键词：勒索病毒
小白点评：
调侃地说，病毒的全名其实是“支付宝京东网易微博百度QQ天猫旺旺酷狗迅雷病毒”吧~哈哈哈！
2、账号出现莫名关注，史上最大规模数据窃取案
2018年7月，堪称“史上最大规模数据窃取案”被浙江绍兴越城区警方侦破。警方查明，一伙犯罪分子利用非法窃取的30亿条用户数据，操控用户账号进行社交平台的加粉、刷量、加群、违规推广，非法获利，旗下一家公司一年营收就超过3000万元。
该犯罪团伙依托北京一家以新媒体营销为主业的上市公司，通过与全国十余省市多家运营商签订营销广告系统服务合同，非法从运营商流量池中获取用户数据，几乎国内所有的大型互联网企业均被“雁过拔毛”。
关键词：数据泄漏
小白点评：
保障数据安全，一方面加强相关法治建设至关重要；另一方面，普通用户也应做好自我保护措施。
3、一夜之间财产尽失，而你什么都没有做，“短信嗅探”了解一下
“一觉醒来，手机里多了20多条短信验证码”，这是“短信嗅探”的典型表现。“短信嗅探”是近两年出现的新型伪基站犯罪手段，一般采用“GSM劫持+短信嗅探”技术，通过一些特殊设备可以采集附近手机号码和机主信息，实现不接触目标手机，而获得目标手机所接收到的验证短信，进而利用各大银行、购物网站和移动支付APP的漏洞，实现信息窃取、资金盗刷和网络诈骗等犯罪。一般，这种“短信嗅探”技术只针对2G网络，但不法分子通过特殊设备压制信号或者网络质量不佳导致网络降频，手机在3G或4G网络时也有可能被盗取信息。
关键词：数据窃取
小白点评：
眼睛一闭一睁，各个支付平台及关联银行卡内的资金不翼而飞。
4、被人用搜索引擎蹭热点的“我院”
2018年6月，在国内某搜索引擎上搜索“中科院”关键词的前面加上别的关键词，排名靠前的搜索结果是冒充的野鸡网站，原因很可能是有人利用了“中科院”关键词和搜索引擎策略，恶意蹭中科院的搜索热度。恶意攻击者利用网站镜像技术，通过复制整个网站或部分网页内容并分配以不同域名和服务器，以此欺骗搜索引擎对同一站点或同一页面进行多次索引。
关键词：网站镜像
小白点评：
搜索引擎这个锅，咱中科院，不～背～
5、当你收到一条“XX银行”发的短信，之后呢？
Tinker是安卓平台上首次发现的一款使用Mono for Android开发的恶意APP，其主要恶意性是运用伪装知名应用的界面，联网上传用户的账号密码。为了保证手机的安全，建议用户不要让自己的设备安装来源不明的应用，可通过数字签名的验证来辨别APP的身份。
关键词：信息窃取
小白点评：
来路不明的应用绝不能安装！
6、拖库、撞库、洗库，从某站被黑了解黑产运行
2018年6月13日凌晨，AcFun弹幕视频网（俗称：A站）在其官网发布《关于AcFun受黑客攻击致用户数据外泄的公告》称，AcFun 受黑客攻击，近千万条用户数据外泄，包含用户ID、用户昵称、加密存储的密码等信息。密码泄露的风险众所周知，特别是现在互联网要求实名注册，除了你在这个网站的所有信息一览无余，收藏账号还会暴露你的各种小爱好，攻击者还会把你的信息纳入社工库，通过撞库来获取你在其他网站的密码或信息，进而实施钓鱼等一系列攻击，最终让用户遭遇财产或者其他损失。
关键词：信息泄漏
小白点评：
不同账号最好不要用同一个密码～
7、一瓶酒“助攻”的地球流浪
2019年初上映的科幻电影《流浪地球》是新春档的一匹黑马，同时也引发了大众关于AI安全的思考。人工智能是个很好的网络安全工具，但也是一把双刃剑。当一个新技术用于安全时，会存在两种情况：一种是用新技术支撑安全，当然它可以做攻击，也可以做防御；第二种是一个新技术本身就会带来一个新的安全问题。人工智能可以帮安全很多很多的忙，可以自动评估开源代码的潜在缺陷，可以识别密码的泄露或者误用，分析潜在的安全行为路径等等，但同时也是“攻击者”的宝藏。网络犯罪分子利用人工智能技术，可以用于各种恶意的任务，比如对开放的、易受攻击的端口进行扫描，或者是电子邮件的自动组合，甚至实现被24小时窃听。再例如，使用鱼叉式网络钓鱼的自动化，利用实时语音合成来模拟攻击和欺诈，或者在规模上进行像嗅探和漏洞攻击这样的活动。
关键词：AI安全
小白点评：
任何技术都会存在潜在的安全问题，我们不能因为这个就判断这项技术是不是好的，而是要理性的判断，通过一些手段来让技术更好的为我们服务，而不是成为犯罪份子的机会。
8、2010年“极虎病毒”事件
极虎病毒是金山毒霸云安全实验室首家发现的一款集合了磁碟机、AV终结者、中华吸血鬼、猫癣下载器为一体的混合病毒。由于该病毒可利用IE极光ODAY漏洞进行传播，又是虎年的第一个重大恶性病毒，因此得名“极虎”。极虎病毒最重要的也是最大的危害是造成系统文件被篡改，无法使用杀毒软件进行清理，一旦清理，系统将无法打开和正常运行，同时基于计算机和网络的帐户信息可能会被盗，如网络游戏帐户、银行帐户、支付帐户以及重要的电子邮件帐户等。
关键词：信息窃取
小白点评：
放假过年我真欢喜，不法分子全年他不休息！网安意识你记心底，电脑病毒他进不去！日常杀毒要做好，安全上网要做到，极虎极虎他来不了！
9、千禧年的千年虫
计算机2000年问题，又叫做“千年虫”、“电脑千禧年千年虫问题”或“千年危机”，缩写为“Y2K”。是指在某些使用了计算机程序的智能系统（包括计算机系统、自动控制芯片等）中，由于其中的年份只使用两位十进制数来表示，因此当系统进行（或涉及到）跨世纪的日期处理运算时（如多个日期之间的计算或比较等），就会出现错误的结果，进而引发各种各样的系统功能紊乱甚至崩溃。因此从根本上说千年虫是一种程序处理日期上的bug（计算机程序故障），而非病毒。
“千年虫”影响是巨大的。从计算机系统包括PC机的BIOS、微码到操作系统、数据库软件、商用软件和应用系统等，到与计算机和自动控制有关的电话程控交换机、银行自动取款机、保安系统、工厂自动化系统等，乃至使用了嵌入式芯片技术的大量的电子电器、机械设备和控制系统等等，都有可能受到“千年虫”的攻击。
关键词：程序设计安全
小白点评：
软件工程设计安全也很重要！
10、“波音”事故不寻常，致命的bug你怕了吗？
2019年3月10日早晨，载有149名乘客与8名机组人员的埃塞俄比亚航空 ET302号航班从亚的斯亚贝巴飞往内罗毕途中坠毁。该飞行器失速保护系统在控制飞机下降时，虽然飞行员可以通过手动控制输入指令来进行干预，但是由于事发过于突然，再加上缺乏事先专门培训和警告，搞不清楚状况的飞行员很难及时完成解除风险的正确操作，不知情的地面管理机构也无法提供正确的指引或处置建议。这个致命的软件设计缺陷最终导致了悲剧的发生。
关键词：程序设计安全
小白点评：
程序设计安全最为致命啊！
来源：中国科学院计算技术研究所
