美國海量pos機被植入流氓軟件

1、2014美國黑帽大會有哪些精彩的議題

加密類：
48 Dirty Little Secrets Cryptographers Don't Want You To Know
介紹Matasano公司的加密挑戰賽中——Matasano crypto challenges(http://www.matasano.com/articles/crypto-challenges/)，48個攻擊場景，攻擊方式。
演講者：Thomas Ptacek & Alex Balducci
無線類：
802.1x and Beyond!
介紹IEEE 802.1x以及其RADIUS/EAP協議漏洞，證明在用戶授權接入網絡前，通過802.11的WPA Enterprise在RADIUS服務器遠程執行代碼。
演講者：Brad Antoniewicz
ATTACKING MOBILE BROADBAND MODEMS LIKE A CRIMINAL WOULD
有關移動寬帶modems的安全問題。議題會展示如何盈利，竊取敏感信息和持久的控制著這些設備。
演講者： Andreas Lindh
Bringing Software Defined Radio to the Penetration Testing Community
作者研制了一種簡單易用的工具來進行無線監聽和植入。工具是使用GUN radio和scapy基于Software Defined Radio制作的。議題介紹可以用這個工具來方便進行無線安全評估。
演講者：Jean-Michel Picod & Jonathan-Christofer Demay & Arnaud Lebrun
Hacking the Wireless World with Software Defined Radio – 2.0
我們身邊的無線信號無處不在，想餐廳服務員的對講機，建筑物門禁，汽車無線鑰匙，消費者的，企業的，政府的，業余愛好者的。這個議題就是教你怎樣“盲目”的收集任何RF(Radio Frequency)然后從物理層逆向出來。而且只需要用一些開源軟件和廉價的無線電硬件。作者會你逆向出衛星通信，用mode S追蹤到飛機，并3D可視化的展示出來。
演講者：Balint Seeber
Point of Sale System Architecture and Security
本議題向觀眾展示POS機的組件如何操作，支付的流程如何以及哪些環節是有漏洞的。
演講者：Lucas Zaichkowsky
銀行：
A Journey to Protect Points-of-Sale
介紹PoS(points-of-sale)機是如何被攻陷的。議題介紹比較常見的威脅——memory scraping，介紹這是怎么實現的以及如何減少這種威脅。
演講者：Nir Valtman
SAP, Credit Cards, and the Bird that Talks Too Much
本議題講述 從被廣泛運用在世界各大機構的SAP中提錢、支付信息和信用卡信息。
演講者：Ertunga Arsal
移動方向：
A Practical Attack Against VDI Solutions
Virtual Desktop Infrastructure被認為是目前炒作得厲害的BYOD安全解決方案之一。本議題通過一個PoC證明在VDI平臺應用場景下，惡意移動應用通過“截屏”竊取數據。通過模擬用戶的交互行為，證明這種攻擊方式不但可行而且有效。
演講者：Daniel Brodie & Michael Shaulov
Android FakeID Vulnerability Walkthrough
2013年帶來 MasterKey漏洞的團隊，今天帶來一個新的Android應用漏洞，允許惡意應用逃脫正常應用的sandbox，在用戶不知情的情況下獲得特定的安全特權。從而惡意應用可以竊取用戶數據，恢復密碼，在特定場景下甚至完全控制Android設備。這個漏洞影響所有2010年1月以后的Android( Android Eclair 2.1 )。
演講者：Jeff Forristal
Cellular Exploitation on a Global Scale: The Rise and Fall of the Control Protocol
該議題展示了服務提供商(Service Providers)可以通過隱藏的被動的層面去控制你的設備( Android, iOS, Blackberry)，議題將曝光如何通過 Over-the-Air對主流的蜂窩平臺網絡(GSM/CDMA/LTE)進行遠程執行代碼。
演講者：Mathew Solnik & Marc Blanchou
Exploiting Unpatched iOS Vulnerabilities for Fun and Profit
該議題曝光作者對最新版iOS(version 7.1.1), 的越獄過程。
演講者： Yeongjin Jang & Tielei Wang & Byoungyoung Lee & Billy Lau
It Just (Net)works: The Truth About iOS 7's Multipeer Connectivity Framework
利用Multipeer Connectivity框架，iOS設備之間也可以在一定范圍內通過藍牙和點對點的Wi-Fi連接進行通訊。本議題主要探討這種新型的通信方式存在的漏洞和威脅。
演講者：Alban Diquet
Mobile Device Mismanagement
本議題聚焦于“移動設備管理”MDM產品本身的漏洞。展示如何通過這些產品的漏洞竊取到敏感的信息。
演講者：Stephen Breen
"Nobody is Listening to Your Phone Calls." Really? A Debate and Discussion on the NSA's Activities
本議題主要講述有關NSA監聽的話題的爭論。
演講者：Mark Jaycox & J. Michael Allen
Researching Android Device Security with the Help of a Droid Army
本議題講述利用heterogeneous cluster來挖掘android的漏洞
演講者： Joshua Drake
Sidewinder Targeted Attack Against Android in the Golden Age of Ad Libs
本議題將使用從Google Play下載的Android程序演示“Sidewinder 針對性攻擊”。
演講者：Tao Wei & Yulong Zhang
Static Detection and Automatic Exploitation of Intent Message Vulnerabilities in Android Applications
本議題中演講者將介紹一系列可能出現在一般Android應用編程過程中的漏洞，和開發的針對這些漏洞的靜態分析程序。
演講者：Daniele Gallingani
Understanding IMSI Privacy
本議題中演講者將展示一款低成本且易用的基于Android系統的隱私框架以保護用戶隱私。
演講者：Ravishankar Borgaonkar & Swapnil Udar
Unwrapping the Truth: Analysis of Mobile Application Wrapping Solutions
本議題將分析一些大公司提供的應用打包解決方案，研究為何這些打包方案能同時使用在iOS和Android設備中，并研究其安全性。
演講者：Ron Gutierrez & Stephen Komal
VoIP Wars: Attack of the Cisco Phones
本議題中演講者將現場演示使用他所編寫的Viproy滲透測試工具包攻擊基于思科VoIP解決方案的VoIP服務。
演講者：Fatih Ozavci
惡意軟件：
A Scalable, Ensemble Approach for Building and Visualizing Deep Code-Sharing Networks Over Millions of Malicious Binaries
如果可以重現惡意軟件的Code-Sharing網絡，那么我們就可以更多的了解惡意軟件的上下文和更深入了解新出現的惡意軟件。這個議題就是通過一個還原混淆而又簡單全面的分析方法，對地址多態，打包技術，混淆技術進行分析評估(an obfuscation-resilient ensemble similarity analysis approach that addresses polymorphism, packing, and obfuscation by estimating code-sharing in multiple static and dynamic technical domains at once)這個議題會詳細介紹這套算法。
演講者：Joshua Saxe
badusb-on-accessories-that-turn-evil
這個議題討論一種新的USB惡意軟件，它通過USB設備內的“控制芯片”來進行操作。例如可以通過重新編程來欺騙各種其他設備，以達到控制計算機，竊取數據或者監聽用戶。
演講者：Karsten Nohl & Jakob Lell
Bitcoin Transaction Malleability Theory in Practice
關于比特幣的“ Transaction Malleability ”漏洞
演講者：Daniel Chechik & Ben Hayak
Dissecting Snake – A Federal Espionage Toolkit
本議題介紹分析惡意軟件Snake(也稱Turla或Uroburos)的幾個重要方面，例如usermode-centric和kernel-centric架構，rootki能力，認證的C&C流量，encrypted virtual volumes。
演講者：Sergei Shevchenko
One Packer to Rule Them All: Empirical Identification, Comparison, and Circumvention of Current Antivirus Detection Techniques
如今很多防病毒解決方案都號稱可以最有效的對方未知的和混淆的惡意軟件，但是都沒有具體能說清楚是怎么做到的。以至于作為掏錢買的付費者不知道如何選擇。本議題通過“經驗”來對這些方案的效果做一個展示。從而揭示新的檢測方法是如何實現的。
演講者：Alaeddine Mesbahi & Arne Swinnen
Prevalent Characteristics in Modern Malware
本議題講述作者對當前流行的惡意軟件逃避技術的研究。
演講者：Rodrigo Branco & Gabriel Negreira Barbosa
The New Scourge of Ransomware: A Study of CryptoLocker and Its Friends
本議題將研究CryptoLocker和其他類似的勒索軟件，研究我們能從這樣的新威脅中學到什么。

演講者：Lance James & John Bambenek
第 1 頁：無線類 第 2 頁：移動方向
第 3 頁：惡意軟件 第 4 頁：物聯網
第 5 頁：windows相關 第 6 頁：APT方向
第 7 頁：web安全 第 8 頁：反匯編
你可以去51cto 看看

2、收銀系統的POS機是怎么被黑客攻擊控制的?

本人處在POS機這個行業，從經驗上看，這個問題我覺樓主解讀有誤，這里面被黑的不是POS機，而是POS機的收銀系統。首先POS機用的不是windows系統，大部分是嵌入式Linux系統，或者wince系統，一般的木馬程序幾乎沒有執行的可能性。其次是POS機一般會從三個方面保證POS的安全性：
1.專線操作。如果是無線POS，那么就走APN撥號。網線就是拉專線，走電話線更沒有木馬傳播的可能性。
2.安全芯片保證。POS的加密解密動作都是有加密芯片保證的，而加密芯片都是要過國際的PCI等認證。不只是安全芯片，讀卡器，機具都有過一大堆的認證，大部分認證的技術含量是比較高的，足夠保證POS的安全。
3.專人管理。這個就不說了，POS機的使用都需要授權，后天也有異常檢測機制。凡是涉及金融交易的，沒有人敢夠承擔相應的責任。再過POS認證的時，有一些評分機制，其中有一項需要抵擋住專家用幾百萬美元的設備攻擊系統8個小時（超市休息的時間）。如果不是對POS系統和銀行系統有極深的了解，并且投入上千萬的資金，很難入侵POS機（當然最堅固的密碼系統抵擋不住你非得設置123456這個密碼，希望你懂我的意思）。
所以我覺得這個應該是木馬侵入了POS的進銷存管理軟件，這樣的話會獲取到一些銀行卡信息，但是從目前國內的用卡情況看，對我們造不成什么影響。

借著詞典花了點時間看看Target的分析報告，新聞里所說的POS系統入侵，整個過程是黑客先入侵了供應商的網絡，此供應商的網絡有帳號可以訪問Target的網，在獲得了進入Target的網絡權限后，可能利用Target網絡中的缺陷，進入到POS系統的服務器，通過服務器再給每臺POS機上安裝一個內存駐留程序，記錄下所有的數據，然后通過防火墻將數據傳出。從整個過程來看，Target的系統至少存在幾個問題：

1、授權外部人員訪問公司內部網絡；

2、網段之間沒有足夠的安全劃分；

3、防入侵、防毒軟件的多次警告被忽略，網絡人員存在責任心的問題；

4、防火墻向外的數據包沒有給以足夠的重視，11G的數據傳輸至少應該引起網管人員的警覺。如果能解決系統設計上的問題，人員加強管理，這種入侵幾乎是不可能發生的。

3、被銀聯拉黑的pos機平臺有哪些

被銀聯拉黑的pos機平臺有快樂富、神行付、快樂付、百富寶、金元寶、易刷通、人人付、還付寶、花花支付、高帥付、捷付寶、先鋒寶貝、百億支付、7天刷、好收等等pos機牌子。央行最近注銷了多張支付牌照，新增了20款銀聯卡支付應用軟件報備未報備品牌名單，分別是萌錢包、俏美生活、無界支付、金控掌柜、可瑞生活、卡美生活、聚聯支付、卡付、科銳信、銀寶欣付、愛心付、卡民管家、亮刷科技、樂閃付、飛虎信用卡、美譽招財貓、51寶、中億卡管家、多米閃付、小七助手。

4、下載pos機的軟件安全嗎可以直接刪除嗎

首先，完成pos交易需要滿足三個條件。第一個是機器，第二個是用我們的手機號碼注冊的軟件應用程序，第三個是銀行卡。如果沒有這三個必要條件中的任何一個，即使機器不能完成一筆交易，那么在這種情況下，如果機器丟失了，也不會對我們產生任何影響。所以我們需要確保如果機器丟失了，我們需要確保我們的銀行號碼和密碼不會再次出錯，這樣即使有人撿起機器，它也是有用的，而且和垃圾沒有區別。更換機器后，我們應該如何處理原始應用程序？信息會泄露嗎？事實上，這些問題不必擔心，因為POS機公司是由銀聯和央行授權認證的，有正規的支付機構，接受監管。此外，在注冊申請時提交的信息是嚴格保密的，不會造成泄露。更換機器后，您只需卸載原始應用程序，而不會對您造成任何影響。

5、如何解決pos機無法安裝第三方應用如微信支付寶等常用軟件。

這個自己安裝不了，只能找pos代理商或者銀行，更換最新的機器才行，微信收款支付寶等等這個需要最新的機器才有，傳統的pos機無法實現這個功能 回家吃飯去啊我的意思就是沒有用嗎 薛蟠—夏金桂 寶蟾、小舍兒

轉載請帶上網址：http://www.lol998.com/posjifour/244803.html