腾讯财付通发布风险警示：严厉打击非法网络炒汇

9月28日，腾讯旗下支付公司财付通发布风险警示称，过去一段时期，人民币汇率波动较大，外汇市场异常活跃。一些非法二元期权平台以“易操作、回报高”为诱饵，向国内投资者推销“互联网金融理财产品”。这类产品的普遍特征是结构复杂、分销过程不规范、监管难度较大，且具有较大的投资风险。财付通表示，近日，在日常交易监测和风险排查中，财付通公司风险管理部门发现一家服务类公司高度可疑，单日交易金额大，但与该公司实际业务严重偏离，且交易过程中存在大量可疑行为。经深入分析，其真实交易指向某“二元期权交易平台”（见下图）。经核实，该平台为外汇、股票、比特币二元期权交易，属于我国法律明令禁止的网络炒汇和外汇期货行为。核实确认后，财付通关闭了该商户的支付权限，制止其继续进行非法交易。

参考来源：

https://tech.163.com/19/0929/07/EQ7N536F00097U7R.html

微软发现新型 Nodersok 恶意软件已经感染了数千台个人电脑

微软发现全球数千台Windows电脑感染了一种新的恶意软件，该恶意软件下载并安装了node.js框架的副本，以将受感染的系统转换为代理，执行点击欺诈。该恶意软件被称为Nodersok或者Divergent，最初是在今年夏季发现的，通过恶意广告在用户电脑上强行下载HTA文件进行传播。找到并运行这些HTA文件的用户，开始了一个涉及Excel，JavaScript和PowerShell脚本的多阶段感染过程，该过程最终下载并安装了Nodersok恶意软件。恶意软件本身具有多个组件，每个组件都有其自己的角色。有一个PowerShell模块试图禁用Windows Defender和Windows Update，还有一个组件将恶意软件权限提升到系统级别。

参考来源：

http://hackernews.cc/archives/27584

SIM卡又出现新漏送 可盗取用户短信和电话位置信息

前不久，SIM卡被曝出存在一个严重的漏洞Simjacker，使得远程攻击者可以在用户不知情的情况下发送短信攻击目标手机并监控受害者。 目前，安全研究人员有发现了另外一个SIM卡漏洞，可发送短信和电话位置数据信息。该漏洞可用于跟踪设备的位置、将用户指向网络钓鱼网站、收取长途电话费用等等。Ginno已经向全球移动通信协会简要报告了WIBattack，尽管还不清楚该行业组织会采取什么措施来解决这个问题。目前，尚不清楚有多少人会面临攻击。Ginno警告称，拥有WIB功能的SIM卡的“数亿”手机可能面临风险。但根据一份SRLabs报告，表明潜在受害者的真实人数可能要低得多。在对 800 张卡进行测试，只有10.7%安装了WIB，3.5%容易受到类似模拟攻击。

参考来源：

https://www.cnbeta.com/articles/tech/894573.htm

iOS 设备存在永久性的不可修复漏洞，iPhone X 及以下型号均受影响

一位 iOS 安全研究人员开源了一项名为 “Checkm8”的漏洞利用程序，他声称可利用该工具进行“永久性，不可修补的 bootrom 攻击”，攻击范围涵盖使用 A5 至 A11 系列处理器的所有 iPhone 和 iPad，也就是说从 iPhone 4S 到 iPhone X，这一攻击可能会绕过成千上万台苹果设备的安全保护。该漏洞利用了 Apple Bootrom（SecureROM）中无法修补的安全漏洞，Bootrom 是启动时在 iPhone 上运行的第一个重要代码，如果被利用，它将提供更大的系统级访问权限。由于 bootrom 漏洞是硬件级别的问题，如果没有硬件修订版就无法修补，因此简单的软件更新无法解决这一漏洞。

参考来源：

https://www.oschina.net/news/110208/unpatchable-bug-in-ios-devices

Facebook 和 WhatsApp 将向英国警方分享加密信息

据彭博社报道，知情人士透露，根据美英两国之间的一项新条约，包括Facebook和WhatsApp在内的美国社交媒体平台将被迫与英国警察分享用户的加密信息。这位知情人士说，这项定于下个月签署的协议将迫使社交媒体公司分享信息，以支持对涉嫌恐怖主义等严重犯罪行为的个人进行调查。英国内政大臣普里蒂·帕特尔（Priti Patel）此前曾警告称，Facebook允许用户发送端到端加密消息的计划将使罪犯受益，并呼吁社交媒体公司开发“后门”，使情报机构能够访问他们的消息平台。

参考来源：

https://tech.sina.com.cn/i/2019-09-29/doc-iicezueu9040531.shtml

谷歌发布全新数据库 以帮助检测深度假冒视频音频

上周，谷歌与Jigsaw合作推出了一个全新可视化深度虚假数据集。新的数据集已被集成到相关基准测试软件当中，这将将有助于识别伪造的视频。现在用户可以在FaceForensics Github页面上下载这个数据集。谷歌表示，尽管许多假冒视频和图像本来是幽默的，但它们有可能对个人和社会造成危害。该领域进展迅速，随着DeepFake技术发展，它将被添加到数据集中。谷歌还承诺将继续与该领域的合作伙伴合作，坚信支持一个蓬勃发展的研究社区，将减轻滥用合成媒体造成的潜在危害。

参考来源：

http://hackernews.cc/archives/27577

GDPR：只有不到三分之一的企业合规

不到三分之一的公司组织完全符合General Data Protection Regulation法规，这是一项欧洲各地于一年半前开始实施的隐私法，会对违反此法律的公司和团体处以高额罚款。咨询公司Capgemini调查了超过1000名涉及合规、隐私和数据保护的人员，发现此前四分之三的人对遵循GDPR法律充满了信心，但事实并非如此，直到现在，还有很多人在整改的路上。目前，只有28%的受访者认为他们完全符合GDPR——这还是在监管机构随时会开出高额罚款的情况下。英国信息专员办公室（ICO）已向英国航空公司（British Airways）开出1.83亿英镑的创纪录罚单，理由是其“糟糕的安全措施”，直接原因是在2018年9月所曝出的一起网络攻击中，黑客窃取了50万名客户的个人数据。

参考来源：

https://nosec.org/home/detail/2999.html