WinRAR 上周修复了一个高危漏洞 CVE-2023-40477，该漏洞允许远程攻击者通过引诱受害者打开一个特制的 RAR 压缩文件去执行任意代码。安全公司 Group IB 周三公开了该漏洞的更多细节。该漏洞从今年四月起就开始被利用，攻击者通过证券交易论坛引诱受害者打开含有恶意代码的压缩文件，利用漏洞攻击者可以伪造文件扩展，在伪造的 .jpg 或 .txt 等文件格式中隐藏恶意脚本。当受害者打开文件，攻击者可以远程执行代码，安装 DarkMe、GuLoader 和 Remcos RAT 等系列恶意软件，然后从经纪帐户中提取出资金。Group-IB 称它跟踪到了至少 130 名受害者，但经济损失和受害者总数尚不清楚。

WinRAR 修复了一个高危漏洞 CVE-2023-40477，该漏洞允许远程攻击者通过引诱受害者打开一个特制的 RAR 压缩文件去执行任意代码。该漏洞需要欺骗用户因此危险等级评分略低为 7.8/10。该漏洞是 Zero Day Initiative 的 研究员 goodbyeselene 发现的，2023 年 6 月 8 日报告给开发商 RARLAB，漏洞存在于恢复卷处理过程中，是未能正确验证用户提供的数据导致的。RARLAB 在 8 月 2 日释出 WinRAR v6.23 修复了该漏洞。WinRAR 用户需要尽可能快的升级。WinRAR v6.23 还修复了另一个会导致错误文件初始化的漏洞。

DEF CON 安全会议的主会场因炸弹威胁而大规模疏散人群。消防人员和警方对大楼进行了彻底搜寻但没有找到可疑物品。主办方取消了当晚的庆祝活动，令与会者大失所望。DEF CON 安全会议于 8 月 10 日举行，13 日结束。主办方表示他们收到了可疑包裹的报告，被要求从大楼里撤离。炸弹威胁被认为是一次恶作剧，但恶作剧者毁掉了所有人的夜晚。有报道称，今年的 DEF CON 会议吸引了逾 3 万人参加，相比下 Black Hat 安全会议只有大约 2 万人。

去年二月，俄罗斯入侵乌克兰占领了人类历史上最严重核灾难发生地切尔诺贝利。随后传感器显示当地的辐射值提高了。乌克兰核监管机构认为，这可能是由于重型军用车辆搅动了仍然受到 1986 年事故污染的土壤造成的。这一解释被广泛接受。但一组环境学家发表论文认为搅动土壤不可能造成辐射值提高，认为真正的原因是电子战武器造成的干扰。现在一位网络安全专家 Ruben Santamarta 在分析了数据模式后认为辐射值提高很可能是网络攻击造成的，黑客远程或能直接访问服务器的人纂改了数据。如果数据真的被操纵，这可能会破坏对辐射监测系统的信任，改变数据公开发表的方法。辐射监测系统的数据是接近实时公布的，如果数据能被纂改，那么攻击者能在数据被验证前引发公众恐慌。

2008 年 8 月初，几位 MIT 学生准备在拉斯维加斯举行的黑客大会 Defcon 上谈论他们找到方法免费搭乘波士顿的地铁系统。但波士顿地铁管理机构 MBTA 提起了诉讼并获得了限制令，禁止他们发表演讲。演讲被取消，但学生们制作的幻灯片在与会者中间广泛传播并发布在网上。2021 年夏天 15 岁高中生 Matty Harris 和 Zachary Bertocchi 在搭乘波士顿地铁时谈论了此事，他们好奇是否能重复 MIT 学生的工作，实现免费搭乘地铁。他们一开始认为不可能，因为此事被广泛报道，波士顿地铁应该早就修复了问题。他们发现，波士顿地铁并没有修复问题。他们在今年举行的 Defcon 黑客大会上谈论了他们的研究结果，这一次没人起诉他们。两名高中生和他们的黑客朋友 Noah Gibson 和 Scott Campbell 扩展了 MIT 学生的工作。MIT 学生当时针对的是磁卡，而 MBTA 已经淘汰了磁卡采用了 RFID 非接触式智能卡 CharlieCard。他们对卡进行了逆向工程，能对卡片任意充值，甚至能提供可以无限免费乘车的 MBTA 员工卡。这几位青少年称，MBTA 邀请他们前往其总部，并礼貌的请求他们隐藏部分技术细节，增加其他黑客复制的难度。

Shawn the R0ck 写道：我们很高兴地介绍 VED-eBPF，这是一种创新的概念验证实现，展示了 eBPF（扩展伯克利数据包过滤器）技术在为 Linux 系统提供强大的内核安全监控和漏洞检测方面的能力。VED-eBPF 利用 eBPF 的功能，提供对内核漏洞和 Rootkit 的运行时分析和检测。开源版本使用 AGPLv3 许可证发布。
使用 eBPF 增强内核安全 eBPF 是一种内核中的虚拟机，可以在内核中执行代码，无需修改内核源代码。通过 VED-eBPF，我们利用 eBPF 的潜力来跟踪安全敏感的内核行为并检测可能表示恶意活动的异常情况。
VED-eBPF 的关键特性：
控制流完整性（wCFI）：VED-eBPF 包含 wCFI，专注于检测控制流劫持攻击。通过跟踪内核调用栈，VED-eBPF 生成一个有效调用位置的位图，并根据此位图验证返回地址。任何无效的返回地址（表示堆栈已被破坏）都会触发安全事件进行进一步分析。
特权提升检测（PSD）：VED-eBPF 集成了 PSD，用于检测未经授权的特权提升。通过监视内核中的凭证结构的变化，VED-eBPF 在特定函数调用之前和之后比较凭证，以识别任何未经授权的修改。当检测到非法特权提升时，会生成一个安全事件进行分析。
VED-eBPF 的工作原理 VED-eBPF 将 eBPF 程序附加到相关的内核函数，实现执行流程的跟踪和安全事件的提取。然后，这些事件将通过 perf 缓冲区提交到用户空间进行进一步分析，确保实时检测潜在威胁。
加入我们，探索 eBPF 的安全能力 我们邀请所有对利用 eBPF 进行安全缓解感兴趣的安全爱好者、研究人员和开发人员一起探索 VED-eBPF。通过利用 eBPF 的跟踪能力和 perf 缓冲区，VED-eBPF 展示了如何实时提取和分析关键的安全事件，以识别新出现的内核威胁。

加拿大多伦多大学公民实验室的研究人员分析了腾讯旗下的搜狗输入法。该输入法月活用户逾 4.5 亿，是中国最流行的中文输入法，占据了七成市场份额，讯飞排名第二，百度输入法第三。研究人员分析了搜狗输入法的 Windows、Android 和 iOS 版本，发现搜狗使用了一个自己开发的加密系统 EncryptWall 加密敏感数据，而该加密系统存在 CBC 密文填塞（Padding Oracle）漏洞，允许网络监听者获得加密网络传输的明文，包括用户输入的内容。研究人员向搜狗报告了漏洞，搜狗开发者释出了新版本修复了漏洞。该输入法的用户需要尽快升级到新版本——Windows v13.7、Android v11.26 和 iOS v11.25。

Google 研究员 Daniel Moghimi 披露了针对英特尔服务器芯片的 Downfall 漏洞。该漏洞允许攻击者窃取共享同一台计算机上的用户的敏感数据，如密码、加密密钥和私人数据如电邮、消息或银行信息。编号为 CVE-2022-40982 的漏洞影响从 Skylake 到 Tiger Lake（6 代到 11 代酷睿）的所有英特尔处理器。即使用户的个人电脑不使用英特尔芯片，鉴于英特尔占据了七成服务器处理器市场，你仍然会受到影响。简单来说，每一个网民都受到影响。CVE-2022-40982 是一个瞬态执行旁道漏洞，利用优化处理器内存的 Gather 指令泄露预测执行期间内部矢量寄存器文件内容。攻击者能利用它提取 Software Guard eXtensions (SGX)保护的数据，SGX 目前只被英特尔服务器芯片支持。英特尔从去年 8 月获悉了该漏洞，目前已经释出了缓解该漏洞的微码更新。

通过记录按键的声音，以及训练一个深度学习模型，三名英国研究员称能以九成以上的准确率识别远程按键声音对应的字母。他们在论文《A Practical Deep Learning-Based Acoustic Side Channel Attack on Keyboards》中称，无处不在的机器学习、麦克风和视频通话，让键盘面临比以往任何时候更大的安全风险。在咖啡店和图书馆等安静公共场所使用笔记本电脑键盘更容易受到这一旁道攻击的影响。大多数笔记本电脑都使用统一的非模块化键盘，有着相似的声学特征。这项研究使用的是苹果 2021 年款 MacBook Pro 笔记本电脑，分别使用 iPhone 13 mini 和通过 Zoom 使用内置麦克风记录按键的声音。两项测试的按键识别准确率都高于 93%。研究人员称用指纹或其它生物识别工具而不是输入密码能抵御此类攻击。

在黑客今年 6 月入侵服务器并删除上面的数据之后，波兰间谍软件开发商 LetMeSpy 宣布将于八月底停止运营。LetMeSpy 开发 Android 手机监控应用，设计不会显示在受害者的屏幕上，因此难以发现和删除。当 LetMeSpy 应用植入到受害者手机上时，它会持续收集消息、通话记录和实时位置数据。非盈利透明组织 DDoSecrets 获得的数据显示，LetMeSpy 被用于从全世界逾 1.3 万部 Android 手机上窃取数据。这一数字比该公司自称控制逾 23.5 万部手机要少得多。

黑客使用假的 Android 聊天应用 SafeChat 窃取敏感用户数据，其中包括通话记录，短信和 GPS 定位。SafeChat 包含了间谍软件 Coverlm 的一个变种，能窃取流行消息应用如 Telegram、Signal、WhatsApp、Viber 和 Facebook Messenger 的数据。安全研究人员认为印度 APT 组织 Bahamut 是这一行动的幕后发起者。攻击者主要是通过 WhatsApp 发送钓鱼消息，直接向受害者发送恶意负荷。

安全公司趋势科技的研究人员发现了一种被称为 CherryBlos 的 Android 恶意程序，能使用光学字符识别窃取手机屏幕上显示的凭证。恶意程序主要通过第三方传播的 Android apps 传播。研究人员发现恶意程序的开发者也在 Google Play 官方市场发布了相同的应用，但并不含有恶意负荷。一旦安装，当用户打开币安等合法加密货币应用，CherryBlos 的覆盖窗口会模拟这些应用，在提款时将受害者接受资金的钱包地址替换成攻击者控制的钱包地址。当合法应用显示密码口令时，恶意程序会截图然后使用光学字符识别将图像翻译成文本格式，然后攻击者可以窃取账号的资金。

Google 安全博客回顾了 2022 年的 0day 漏洞：2022 年发现了 41 个正被利用的 0day，低于 2021 年的 69 但高于 2015 年以来的其它年份。Google 称 Android 生态系统的一大问题是补丁更新不及时，OEM 厂商不能及时向用户推送安全更新，导致的结果是已知的 N-days 漏洞和 0day 漏洞的严重性相差无几，不需要 0day 攻击者使用 N-days 漏洞就能实现成功入侵。举例来说，ARM Mali GPU 的一个漏洞 CVE-2022-38181 是在 2022 年 7 月报告的，ARM 在 10 月释出了新版驱动修复了漏洞，到了 11 月安全研究人员发现了漏洞利用。而 Android 系统直到 2023 年 4 月才修复漏洞。三星浏览器的漏洞利用存在类似现象。

俄罗斯政府以叛国罪判处网络安全公司 Group-IB CEO Ilya Sachkov 14 年徒刑。Group-IB 是俄罗斯最大的网络安全公司之一，Sachkov 是其联合创始人，他已关押近两年。Sachkov 在 2003 年创办了 Group-IB，因曝光和破坏一系列大规模网络犯罪活动而名声大振，他在 2021 年 9 月以叛国罪名遭到逮捕，但政府拒绝透露指控细节，他则拒绝认罪。Group-IB 几年前将其总部搬到了新加坡，到今年 4 月退出了俄罗斯市场。该公司在一份声明中表示，其创始人在关押前几个月被拒绝了与外界通信的权利——不能打电话也不能写信，朋友家人也无法访问。Group-IB 称其创始人被剥夺了公正审判的机会——所有案件材料都保密，所有听证会都秘密举行。在他被捕之后，彭博社曾报道称他向美国提供了与 Fancy Bear 相关的情报，该行动旨在影响 2016 年美国大选。

美国证券交易委员会（SEC）实施了新规则，要求上市公司在被认为重大的网络安全事件发现四天内予以披露。所谓重大事件是指上市公司股东在做出投资决策时认为重大的事件。SEC 还要求外国私人发行人（foreign private issuers）在发生网络攻击后提供同等程度的披露。新的规则将在 12 月或《联邦公报（Federal Register）》上发表 30 天后生效，小型公司给予额外 180 天的推迟执行。特殊情况下，如果美国司法部长认为立即披露网络安全事件会对国家安全或公共安全构成重大风险，那么也可以推迟披露。

Google Project Zero 安全团队的 Tavis Ormandy 披露了 AMD Zen 2 架构处理器的 Zenbleed 漏洞(CVE-2023-20593)。该漏洞影响基于 Zen 2 的消费级、工作站和服务器处理器。漏洞允许攻击者从 CPU 寄存器窃取数据。现代处理器利用预测执行机制通过预测下一步的任务加速操作，Zen 2 处理器无法从特定类型的预测错误中正确恢复， Zenbleed 能利用该漏洞窃取敏感数据。它会导致 CPU 以每秒最高 30 KB 的速度泄露数据，其中包括加密密钥、root 和用户密码等敏感信息。该漏洞能被远程利用，恶意网站可通过加载 JS 触发。好消息是目前还没有观察到漏洞利用，但随着 Zenbleed 的披露情况可能会发生改变。修复该漏洞的微码已经释出，未更新的 Linux 用户需要尽快更新。

欧洲电信标准协会在 1995 年创建了 TETRA(陆地集群无线电)标准，它不是开源标准，而是使用了私有的加密算法，因此外部专家难以验证其安全性。安全公司 Midnight Blue 的研究人员从 eBay 上购买了 TETRA 无线电设备，他们在无线电接口上发现了一个漏洞，实现了在主应用处理器上执行任意代码，他们最终找到了方法逆向工程 TETRA 的加密算法，发现了被称为 TETRA:BURST 的一系列漏洞，细节将在即将举行的 Black Hat 安全会议上公开。后门存在于被称为 TEA1 的加密算法中，不是所有用户都使用该算法，它是批准出口的 TETRA 标准的一部分。研究人员还发现了其它漏洞，能用于实现通信信息的历史解密和去匿名化。该后门被认为是故意植入的，但欧洲电信标准协会不愿意使用后门这一名字，只是表示它是为满足出口控制的加密强度而设计的。该漏洞容易破解，普通计算机能在 1 分钟内破译加密无线电。TETRA 无线电的客户包括欧洲警方和紧急服务部门，非洲军事武装，世界各地关键基础设施的培训操作人员，等等。

2021 年 PC 主板和显卡制造商技嘉遭勒索软件组织 RansomEXX 入侵，多达 112GB 的机密数据被盗，其中包含了来自供应链合作伙伴 AMD、英特尔和 AMI 等的信息。安全公司 Eclypsium 的研究人员分析了泄露的 AMI 固件，识别出了多个存在了多年的高危漏洞，允许本地或远程攻击者利用漏洞访问名为 Redfish 远程管理接口，在数据中心的每一台服务器上执行任意代码。AMI 在今年 4 月释出了补丁修复漏洞。而在漏洞修复前，这些固件漏洞能给予黑客超级用户身份，可以安装任意恶意程序。

Shawn the R0ck 写道：本文详细的总结了数字军火行业的历史以及现状，数字军火涉及0-day和N-day漏洞和漏洞利用的生态，作者介绍了在行业全盛时期的情况，快速衰败的原因和进入平稳期后的形态，这篇文章不仅可以让公众有机会了解数字军火行业，更重要的是可以给安全工程师，安全分析师，CISO（首席安全官）和其他机构决策者一个参考，在赛博世界中，武器化漏洞利用是攻击者的破局之道，而对于防御的一方来说只有理解了武器化漏洞利用和数字军火行业才能更好的打造属于自身的赛博堡垒，0ldsk00l黑客们经历的“Hacking for fun and profit”早在斯诺登大爷那会儿就一去不返，伴随而来的是不可避免的”This is cyber, sir!”时代下的网络战，这些历史或多或少都在这篇文章中有所提及，不论什么时代性的背景，我们都应该谦卑，这样至少在面对The Desert of the Real时降低看花眼的概率。

著名黑客凯文·米特尼克(Kevin Mitnick)于 7 月 16 日因胰腺癌去世，年仅 59 岁。米特尼克出生于洛杉矶，他在 1990 年代参与盗窃大量文件入侵不同公司计算机网络等一系列犯罪行为，被称为当时的头号黑客通缉犯。2000 年出狱之后改头换面，成为安全顾问、演说家和畅销书作者。他与人合作完成了四部书，其中三部与计算机安全相关，还有一部是个人自传——《The Art of Deception: Controlling the Human Element of Securit》、《The Art of Intrusion: The Real Stories Behind the Exploits of Hackers, Intruders & Deceivers》、《Ghost in the Wires: My Adventures as the World's Most Wanted Hacker》和《The Art of Invisibility》。