数十亿设备受CallStranger 漏洞影响；Win10 6月累计更新补丁正式推送；印度黑客对多国政要开展间谍活动

据报道，5月辽宁一初三女生从家中阳台坠楼身亡。生前，她曾绑定母亲的账户，在游戏《龙族幻想》中消费共计 61678 元。家人发现账户余额异常后，她没有立即承认，家人便以为银行卡被盗刷而报警。但不久后，她给母亲留下一条短信后自杀。游戏内虽有未成年防沉迷规定，仍然未能阻止悲剧的发生。目前，游戏代理商腾讯对此事高度关注，积极推进退款事宜。

1

CallStranger 漏洞影响数十亿设备

据外媒报道，近日，土耳其安全研究员披露一个名叫 CallStranger 的新UPnP 漏洞。该漏洞被追踪为 CVE-2020-12695。

UPnP 协议旨在促进设备自动发现其它联网设备，通过交互建立功能性网络数据共享、通信和娱乐服务。

由于缺乏身份验证，任何与通讯媒体连接的网络设备都可以启用该协议。这直接导致该漏洞影响到数十亿物联网设备。

经确认，易受攻击的设备包括 Windows PC、思科、戴尔、华为、三星、TP-Link 等。

事实上，黑客利用该漏洞，在设备的 UPnP 函数中执行代码，攻击的是设备面向互联网的接口。因为该函数通常只在面向内部局域网的端口上运行。

之后，黑客就可以劫持智能设备，发动分布式拒绝服务（DDoS）攻击，并绕过安全解决方案，对用户的内网进行扫描，访问核心区域，窃取数据。

在该研究员向 OCF 报告漏洞详情后，OCF 更新 UPnP 协议规范试图解决问题，但针对该漏洞的补丁尚未正式推出。建议用户可以在设备上禁用 UPnP 协议，或通过该研究员发布的概念验证脚本，对自己的设备进行检查。

咸鱼想翻身：希望漏洞补丁能尽快推出，否则后果不堪设想啊。

2

Win10 6月积累更新补丁正式推送

今日凌晨，微软面向运行 2020 Windows 10 更新五月版（2004 版本）的设备，正式推出 2020 年 6 月累积更新补丁。升级后版本将升至 Build 19041.329。

此次的版本不含任何新功能，将自动下载到设备上，用以修复此前用户反馈的Bug。与之前的累积更新版本不同的是，它具有较长的更改列表。

该补丁版本重点对Cortana进行了改进，提高用于 Cortana 和其他数字助理的关键字的可靠性，解决了“无法在 Windows Mixed Reality 中启用语音命令”的问题。

此外，全方位进行安全性改进，提高了 Internet Explorer、Microsoft Edge、基础 Windows 10 操作、Microsoft Office 产品、游戏控制手柄、鼠标、键盘等外部输入设备、验证用户名、密码以及存储、管理文件的安全性。

在修复已知问题方面，该版本包含 Xbox 应用程序和 Microsoft Store 的安全修复程序，也修复了“无法更新网络文件夹中的 . msi 文件”的错误。

用户若要更新系统，可按以下流程操作：设置> 更新和安全> Windows Update> 单击 “检查更新”>询问时选择 “立即下载”，并在保存工作后重启计算机。

咸鱼想翻身 ：外接显示器出现黑屏的问题还是没得到修复……话说这次的版本修复了困扰你的问题吗？

3

印度黑客对多国政要开展间谍活动

大多网络间谍都是以个人或是黑客组织形式开展活动。但最近，一家名不见经传的印度 IT 公司因其间谍活动火了。

据了解，BellTroX 以公司名义为掩护，为私人客户提供黑客服务。7年时间里，他们用各类恶意电子邮件，入侵全球超过1万个电子邮件账户，获取用户私人信息。

其攻击对象涉及多国政要，包括欧洲政府官员、美国的环保组织、墨西哥的政治人物、法国的律师等。

互联网监督组织 Citizen Lab 的研究人员花费两年时间，才摸清他们使用的基础设施，并将其定义为“有史以来受雇开展的规模最大的间谍活动之一”。

其间谍行为被该组织披露后，公司所有者却矢口否认，表示他们只提供技术支持，详细信息均由客户提供，并拒绝透露客户身份。

随着越来越多的商业和政治竞争，私人间谍的需求不断上升，间谍黑客服务或许会形成一种新的商业模式，对网络安全提出更大挑战。

咸鱼想翻身：在信息时代的商战和政治战中，黑客的作用不容小觑啊！

推荐文章++++

﹀

﹀

﹀

公众号ID：ikanxue

官方微博：看雪安全

商务合作：[e-mail]

戳“阅读原文”一起来充电吧！