腾讯前员工开发外挂“红旗QQ”遭法院判刑


红旗QQ的宣传资料。(网络截图)

今日案卷

腾讯离职员工开发外挂软件“红旗QQ”,号称功能强大实则盗取用户信息;

该案一审判决,研发者犯非法获取计算机信息系统数据罪——

去年年底,一款称为“红旗QQ”的软件在网络上开始流行,其号称是“超炫个性服务类QQ辅助工具”,有“显示好友IP”、“绑定短位ID”等功能,号称有300多万用户使用,然而,红旗QQ实际上是一个盗号木马,盗取QQ用户的数据信息甚至网银密码等等。

昨日,南山检察院对外通报,红旗QQ的三名负责人近日被认定为非法获取计算机信息系统数据,分别被判处六至七个月有期徒刑。

研发这个红旗QQ的两名技术人员,正是腾讯公司的离职员工。他们在网上宣传红旗QQ是继珊瑚虫QQ后的超炫QQ工具,果然,两名研发者也步了珊瑚虫QQ研发者陈寿福(微博)的后尘,难逃入狱的命运。

检方也提醒广大网民,不要因一时好奇随意注册、下载、安装软件而泄露自己的隐私。

QQ员工离职后 专门研究QQ外挂

经查明,被告人管某和王某原系深圳市腾讯计算机系统有限公司的员工,离职后二人利用技术手段,分析腾讯QQ软件的系统文件后研发了针对腾讯QQ软件的一种外挂软件,并在入职杭州某计算机公司后继续研发使用该外挂软件,名为“红旗QQ”。

该“红旗QQ”主要功能是为用户提供缩短位数的QQ号和显示好友IP,能使用户利用“红旗QQ”登录腾讯QQ平台,同时,用户在使用“红旗QQ”登录后会屏蔽腾讯QQ的广告展示功能。

昨日,记者在网络搜索引擎搜索“红旗QQ”,依然能看到很多相关的宣传资料。一个特色服务是“登录更快更简单”,他们宣称,QQ号太长,输入耗时而且容易输错,红旗QQ短位ID绑定让网友能登录更快更简单。他们把这些短位ID称为红Q号,从4位开始发放。

红旗QQ自称是“继彩虹QQ和珊瑚虫QQ,之后又一款可玩性比较高的超炫个性服务类QQ辅助工具。”可笑的是,所谓珊瑚虫QQ的研发者陈寿福早已因为侵权而被判入狱3年,红旗QQ号称要继珊瑚虫之后,果然研发者最终也步了珊瑚虫研发者之后尘。

红旗QQ“发威” 悄悄抓取用户好友数据

根据案情显示,“红旗QQ”以超级靓号+显示好友IP为噱头,吸引用户安装,通过把QQ号绑定红旗靓号,形成QQ号和红旗靓号一对一映射,以达 到用红旗靓号代替QQ号进行QQ登录、资料显示,甚至可以查找红旗靓号好友等功能。然后,“红旗QQ”就可以利用服务器非法抓取并上传QQ用户好友关系链 的数据。

据法院查明,该软件经由被告人胡某在网站宣传,有9万多人注册使用,造成了腾讯公司一定数额的经济损失。

一审法院认为,“红旗QQ”的3名负责人,管某、王某和胡某的行为,构成了非法获取计算机信息系统数据罪,对3人分别判处有期徒刑6至7个月。

受害网友:他们就是一个木马

昨日,记者联系采访到了一名曾经被“红旗QQ”伤害的网友小陈。小陈告诉记者,去年7月,他弄了个红旗账号,下载了“红旗QQ”,当时杀毒软件报告“红旗QQ”有盗号模版,但小陈还是把“红旗QQ”加入了。

小陈说:“当我登入后,突然它就显示出现了异常,说登陆不了了,然后我又重新登入,登了好几次终于登上去了。上去之后发现QQ里面少了好多群和 好多好友。”后来,小陈打电话到腾讯公司客服,咨询“红旗QQ”是不是腾讯旗下的产品,“他们(腾讯客服)告诉我,没有和别的QQ有所谓的联盟,‘红旗 QQ’是盗号木马,还会盗取网银密码,他们正在处理这个事。”

检方提醒:网民不要随意下载软件

记者昨日从检方了解到,非法获取计算机信息系统数据罪是刑法修正案(七)规定的新罪名,该案也是南山区首例非法获取计算机信息系统数据案。

检方希望借此案能对社会起到一定的警示作用,提醒IT技术从业人员要提高法律意识,遵守职业道德操守,切勿以身试法,误入歧途。也提醒网民不要因一时好奇随意注册、下载、安装软件而泄露自己的隐私。

三星新专利:能卷起来的显示器

三星公司已证实它打算今年年底开始批量生产可折叠显示器,并打算将这些显示器投放在2013年的新产品上。这项新专利今天所表现出对屏幕折叠性的关注,对于智能机及其它设备来说是一个很有意思的趋势暗示。

可折叠显示器将使用塑料取代玻璃作为显示器的基板。塑料能够满足显示器对弯曲度和折叠度的需求,而且它能够让智能机看起来像名片一样薄。但是这个技术让人怀疑,因为它只放出一张把屏幕合起来的图片而已。

显示器可以看做是电子报纸,同时还具备着刚性显示器的性能。与刚性显示器相比,可折叠显示器最大的好处就是再也不怕被用户摔个粉碎。

可折叠显示器可以吸收震荡而且可以弯曲而不是断开裂开,同时又轻又强劲。根据这项专利技术,可折叠显示器的主要构成原料包括弹性塑料、金属箔、超薄玻璃或者其他薄膜和弹性材料。

这种显示器不止可以应用于手机,还包括PDA、MP3、电脑显示器以及笔记本电脑。这项专利还有一些很有趣的设计,例如可以使电子书读者打开显示器像在读一本纸质书一样。三星非常希望这种显示器在手机行业是下一个吸金法宝。

GitHub 要求全面檢查 SSH Key

在 GitHub 被攻擊成功後 (參考 GitHub 官方所說的「Public Key Security Vulnerability and Mitigation」這篇),官方除了把漏洞修補完以外,接下來做了更積極的措施:暫停所有的 SSH key 存取權限,一律等到用戶 audit 確認過後才開放:「SSH Key Audit」。

這次 GitHub 除了修正問題、audit key 以外,另外還提出了新的機制讓用戶更容易發現異常存取行為,包括了:

  • 新增 SSH public key 時要輸入密碼。
  • 新增 SSH public key 成功後會寄信通知。
  • 新增「Security History」頁面可以看到帳戶的安全狀況。

算是很積極補救的作法。

另外說明,要如何 audit key,也就是要如何取得你的 public key fingerprint:

ssh-keygen -lf .ssh/id_rsa.pub (如果你是用 RSA)
或是
ssh-keygen -lf .ssh/id_dsa.pub (如果你是用 DSA)

出現的訊息就是你要比對的值。記住!既然是 audit,請一個一個比對確認 fingerprint 全部都正確。

附上原始信件:(好像還沒在 blog 上說明)

A security vulnerability was recently discovered that made it possible for an attacker to add new SSH keys to arbitrary GitHub user accounts. This would have provided an attacker with clone/pull access to repositories with read permissions, and clone/pull/push access to repositories with write permissions. As of 5:53 PM UTC on Sunday, March 4th the vulnerability no longer exists.

While no known malicious activity has been reported, we are taking additional precautions by forcing an audit of all existing SSH keys.

# Required Action

Since you have one or more SSH keys associated with your GitHub account you must visit https://github.com/settings/ssh/audit to approve each valid SSH key.

Until you have approved your SSH keys, you will be unable to clone/pull/push your repositories over SSH.

# Status

We take security seriously and recognize this never should have happened. In addition to a full code audit, we have taken the following measures to enhance the security of your account:

– We are forcing an audit of all existing SSH keys
– Adding a new SSH key will now prompt for your password
– We will now email you any time a new SSH key is added to your account
– You now have access to a log of account changes in your Account Settings page
Sincerely, The GitHub Team

— https://github.com support@github.com

文/gslin.org

Pwn2Own 黑客大赛 Chrome 五分钟被攻破

一年一度的Pwn2Own黑客大赛对于各款浏览器来说就是一场噩梦,尤其是IE之流。往年一直坚持到最后的Chrome今年就没那么好运了,大赛伊始就被拿下。

Vupen团队利用一个安全漏洞在比赛开始5分钟内攻破了Chrome,他们将获得至少60000美元的奖励,这其中有一部分还是Google掏的腰包。

当然了,Vupen团队攻克Chrome的这个安全漏洞并没有被公布,不过可以知道的是,它是一个0day漏洞,避过了Google的沙盒和ran code。相信Google很快就会修复该漏洞。