殭屍網路 Mirai 變種在被感染的設備上設置代理伺服器；npm 更新導致 Linux 系統崩潰，迫使用戶重裝系統
內容提要：
1.殭屍網路 Mirai 變種在被感染的設備上設置代理伺服器
2.npm 更新導致 Linux 系統崩潰，迫使用戶重裝系統
3.Whatsapp 聯合創始人向加密通信應用 Signal 投資 5000萬美元
4.PHP 社區開始採取措施禁止安裝漏洞未修復的庫
5.新加坡國防部付費邀請白帽子尋找漏洞，加固政府網路安全
6.華碩路由器AsusWRT區域網內未授權遠程代碼執行漏洞
7.美參議員炮轟CBP，電子護照系統存在長達十年的漏洞
8.土耳其政府考慮發起全國性加密貨幣
9.洛杉磯時報網站被嵌入門羅幣挖礦腳本
1殭屍網路 Mirai 變種在被感染的設備上設置代理伺服器
安全公司飛塔最近檢測到，臭名昭著的殭屍網路 Mirai 又出現新變種 OMG，保留了 Mirai 的大部分屬性（attack、killer 和scanner模塊），且可以在被感染的 IoT 設備上設置代理伺服器。OMG 與 Mirai 的不同之處在於，OMG配置中多了兩個字元串，可以添加防火牆規則，能確保任意兩個埠上的流量傳播。 初始配置之後，OMG 會連接到 50023 埠上的 C&C 伺服器，連接成功之後，OMG 會向伺服器發送已確認的數據消息，將自己定義為新殭屍。而伺服器會發回一個 5 位元組的場數據字元串，第一個位元組代表的是新殭屍設備的使用方式：0 代表將新設備設置為代理伺服器；1 代表發起攻擊，而 >1 則代表終止連接。 飛塔公司表示這是第一次檢測到既能發起 DDoS 攻擊又能將被攻擊設備變成代理伺服器的殭屍病毒，「可以預見，未來基於 Mirai 的表中還會出現其他新的功能」。
2npm 更新導致 Linux 系統崩潰，迫使用戶重裝系統
最常用的 JavaScript 包管理器 nmp 新版本 5.7.0 中出現了一個漏洞，會更改 Linux 系統中關鍵文件如 /etc, /usr, /boot 等的所有者許可權，導致系統或多個本地應用崩潰，還可能導致系統無法重啟。安裝了 nmp 新版本的用戶必須重裝系統才能解決上述問題。有一位受影響的用戶稱，配置 nmp 更新後，已經有三台生產伺服器崩潰了，而其他用戶也報告了類似問題。事實上，這個漏洞在上周就已經有用戶上報過了，但一直沒有修復。這兩天問題嚴重之後，nmp 團隊終於有所反應，發布了移除漏洞代碼的 5.7.1 修復版本。
3Whatsapp 聯合創始人向加密通信應用 Signal 投資 5000萬美元
本周三，加密通信應用 Signal 所屬組織 Open Whisper Systems 宣布獲得 Whatsapp 聯合創始人 Brian Acton 的 5000 萬美元投資，並成立 Signal 基金會。 Signal 是一款廣受歡迎的加密通信應用，用戶達數百萬人，而其使用的 Signal 加密協議則涵蓋數十億的用戶群。如此成功的產品背後，其實只有一個不到 7 人的團隊，其中只有 2 到 3 名全職成員。相關人員表示：有了這次融資，Signal 可以有更豐富的資源去擴展功能並擴大加密通信所覆蓋的人群。此次成立的Signal 基金會是一個 501(c)(3) 非營利組織，此前其財政來源主要依賴新聞自由基金會（Freedom of the Press Foundation）。 投資者 BrianActon 表示自己很開心能在技術與非盈利領域有所貢獻，希望 Signal 基金會能助力未來的合作與發展。
4PHP 社區開始採取措施禁止安裝漏洞未修復的庫
近日，PHP 社區里有一群影響力較大的成員開始自發形成了 FriendsOfPHP 組織，發起名為 PHP SecurityAdvisories Database（PHP 安全顧問資料庫）的新項目保護 PHP 生態系統的安全。項目成員創建了一個包含影響 PHP 項目和庫的已知漏洞資料庫，以便幫助使用者判斷 PHP 項目或庫是否安全。目前，這個資料庫已經被納入一個可以兼容任何 PHP 項目的 PHP 代碼庫，可以為各種 PHP 項目提供安全保護參考。 利用這個資料庫，可以檢測出漏洞未修復的代碼庫，幫助開發者避開漏洞，構建更安全的 PHP 項目。
5新加坡國防部付費邀請白帽子尋找漏洞，加固政府網路安全
2018 年 1 月中旬到 2 月上旬，新家坡國防部邀請數百名白帽子對其網站進行攻擊測試，以尋找漏洞、加固政府網路安全。項目結束時，新家坡政府共為此支付獎金 14750 美元。 新家坡政府此舉並非無風起浪而是事出有因。2017 年，新家坡國防部某 web 埠遭入侵，約 850 名軍人等僱員個人信息遭黑客竊取，這引起了政府部門對於網路安全的重視。因此，新家坡國防部在 2018 年伊始就在 HackerOne 上發起了這個漏洞獎勵項目。項目中共提交了 97 份漏洞報告，不過有 35 份被宣布無效。其中最出色的白帽子是來自新家坡安永公司的網路安全經理，獲得了 5000 美元的獎金。
6華碩路由器AsusWRT區域網內未授權遠程代碼執行漏洞
近期，Agile安全研究員Pedro Ribeiro，發現了華碩路由器固件系統AsusWRT的一個區域網內未授權遠程代碼執行漏洞，AsusWRT是華碩內置於中高端路由器中一個基於Linux的開源操作系統，它包含一個精美的Web用戶界面以及一個簡潔的外觀，非常適合一些資源受限的路由器使用。非常慶幸的是，華碩是一家負責任的公司，他們不僅按照GPL要求發布了完整的源代碼，而且還能通過SSH為用戶提供對其路由器的root訪問許可權。總體來說，與其他路由器製造商相比，華碩的該開源操作系統安全性相當不錯。然而，由於存在一些編碼性錯誤，導致在區域網內的未授權攻擊者，能以root許可權實現華碩路由器上的遠程代碼執行。
7美參議員炮轟CBP，電子護照系統存在長達十年的漏洞
據外媒報道，過去十年，美國邊境檢查人員一直未能有效加密地驗明入境人員的護照信息，原因是政府沒有合適的軟體。在寫給美國海關與邊防局（CBP）代理司長 Kevin K. McAleenan 的信中，參議員 Ron Wyden 和 Claire McCaskill 要求其就此事作出答覆。電子護照的晶元中嵌入了包含機器可讀文本和加密信息，可以輕鬆驗證護照的真實性和完整性。
8土耳其政府考慮發起全國性加密貨幣
加密貨幣在全球範圍內如火如荼，但是大多還都是企業行為。不過，不管是加密貨幣市場的巨額利潤、對未來發展的重要影響，還是其缺乏監管帶來的一些負面效應，都使得政府也想來摻一腳，或者說分一杯羹了。日前中東新聞源Al-Monitor報道，土耳其的政治家正在計劃推出國家級加密貨幣。
9洛杉磯時報網站被嵌入門羅幣挖礦腳本
研究人員表明他們發現隱藏在洛杉磯時報互動式HomicideReport網頁上的盜取代碼，悄悄地利用訪問者的CPU來竊取Monero加密貨幣。
