GitHub突发网络劫持；MacOS蓝牙漏洞可无接触利用；微信分付小范围上线

Posted 2021-04-30 看雪学院

3月26日晚，华为举办全球发布会，正式推出P40系列旗舰新机。本次华为P40系列预装了HMS服务，据介绍，HMS目前已覆盖全球170国家和地区，月活用户超4亿，拥有130万开发者。

1

Github出现大规模网络劫持情况

3月26日晚间，大量网友反馈Github网站无法正常访问，疑似有攻击者大规模地发起中间人劫持。除了GitHub，用户访问京东和koajs等国内知名网站亦会报错。

此次攻击似乎通过骨干网络进行443端口劫持，经测试，DNS系统解析是完全正常的。目前受影响的主要是部分地区用户但涉及所有运营商。

例如中国移动、中国联通、中国电信以及教育网均可复现劫持问题，而国外网络访问这些网站并未出现任何异常情况。

查看证书信息可以发现这些网站的证书被攻击者使用的自签名证书代替，由于自签名证书不被所有操作系统以及浏览器信任，因此用户访问这些网站时可能会出现安全警告。

自签名证书显示证书的制作者QQ昵称为心即山灵 ( 346608453 )，即此次攻击的始作俑者。3月27日中午，GitHub的证书使用者换成 [e-mail] 与之前邮箱不同。

本次事件影响范围较广，还留下QQ号，有人猜测这是初学者练习时导致的事件。但也不排除签名信息和QQ邮箱是攻击者留下的假线索，实则是特意而为的大规模攻击。

LYA：近期，国外公司大部分仍在远程办公，而黑客却乘虚而入频繁发起攻击。

近几天使用GitHub的用户们要小心被劫持的风险。

2

苹果MacOS出现蓝牙漏洞 可无接触远程利用

“Bluewave”漏洞同时攻破6台苹果笔记本

近期，360公司发现MacOS存在5个蓝牙漏洞，为此苹果公司连发两份重要安全通告公开致谢360团队。

这是苹果MacOS系统中罕见的漏洞组合，全部属于“零点击无接触”远程利用漏洞。

360团队将其命名为“Bluewave”漏洞，其罕见之处在于攻击者能够以无感知、无交互的形态，完成远程攻击利用，从而导致受害目标陷入非法控制。

由此可见，“Bluewave”的杀伤力和潜在破坏力与一般的漏洞相比有所不同。

需要注意的是，Bluewave漏洞存在于苹果MacOS蓝牙进程中，各种蓝牙设备之间又是互相连接，导致攻击能够无限扩散蔓延。

这也就意味着攻击者一旦攻破某台设备，就能够以其为中心，利用与之配对的MacOS设备发起连锁式攻击。

此次苹果笔记本曝出的“Bluewave”漏洞影响范围较广，覆盖macOS Mojave 10.14.6、macOS High Sierra 10.13.6、macOS Catalina 10.15.2版本在内的所有苹果笔记本。

LYA：广大用户应尽快升级修复，以免遭受漏洞攻击。

3

微信小范围上线“分付”功能

3月26日下午，微信小范围上线了“分付”功能。

据了解，分付是微信新推出的个人分期消费支付产品，和其他相类似的个人消费贷产品一样，这是一种可以先消费再付款的支付方式。

该功能入口位于“我-支付-钱包-分付”，在零钱、零钱通之下的第三栏。用户在使用微信支付时，可以使用“分付”先付款，再进行分期付款。

开通微信分付和消费过程中，用户无需提前申请分期，在支付时直接选择分期即可。支付时，用户也不用提前取现，付款时直接选择“分付付款”即可。

分付专注于线下消费场景，不同于支付宝花呗分期手续费的收取，在利息方面将“按月结算”变成了“按天计息”，且利息随着本金的减少而减少。“分付”的日利率为0.04%，年化利率约为14%。

此外，分付可以由用户自行指定还款日，支持任意金额提前还款，无需付手续费。每期最低还款10%，单月还清后可持续使用。

需要注意的是，分付也设置了惩罚机制，一旦用户逾期超过30天，微信信用分将被停止使用。如果一直如期还款，则有助于提升微信信用分分数。

目前，分付还在灰度测试当中，这一功能将逐渐向更多用户开放。

LYA：继花呗、京东白条之后，又一信用支付产品抢占市场，你更喜欢哪款产品呢？

推荐文章++++

* 

 

 

 

﹀

﹀

﹀

公众号ID：ikanxue

官方微博：看雪安全

商务合作：[e-mail]

戳 “阅读原文”一起来充电吧！