每周综述，你不应该错过的十大故事

下面是我们的每周总结，简要介绍本周最严重的网络安全威胁、事件和挑战，以防您错过其中任何一个。

除此之外，最近在Android操作系统中发现的Janus漏洞和恶意软件保护引擎（MPE）中的一个关键远程代码执行（RCE）漏洞也在我们每周的综述中占据了一席之地，微软为此发布了一个紧急补丁。
我建议你阅读整个新闻（只需点击“阅读更多”，因为里面也有一些有价值的建议）。

下面是本周的头条新闻：

进程复制：新的恶意软件规避技术

此前发现AtomBombing攻击的一组研究人员最近发现了一种新的无文件代码注入技术，可以帮助恶意软件作者击败大多数现代反病毒解决方案和取证工具。

该方法被称为Process Doppelgänging，它利用了内置的Windows功能和Windows Process loader的未经记录的实现，适用于所有版本的Microsoft Windows操作系统，从Windows Vista到最新版本的Windows 10。

为了了解进程复制攻击是如何工作的，以及为什么微软拒绝修复它，阅读更多。

Android漏洞允许黑客在不改变签名的情况下将恶意软件注入应用程序

安卓系统中新发现的一个名为Janus的漏洞可能会让攻击者在不影响签名的情况下修改安卓应用程序的代码，最终允许他们为合法应用程序分发恶意更新，其外观和工作原理与原始应用程序相同。

尽管谷歌已于本月修补了该漏洞，但大多数安卓用户仍需等待设备制造商为其发布定制更新，显然在未来几个月内，大量安卓用户将容易受到黑客攻击。

要了解更多有关该漏洞的信息，了解其工作原理，以及您是否受到影响，阅读更多。

460多台HP笔记本电脑上预装了键盘记录

惠普（Hewlett-Packard，HP）再次在460多种型号的HP笔记本电脑中安装键盘记录器，黑客可能会记录你的每一次击键并窃取敏感数据，包括密码、帐户信息和信用卡详细信息。

在上个月的报道中，惠普承认了键盘记录器的存在，称它实际上是意外留下的“调试跟踪”，受影响的用户可以安装更新的Synaptics touchpad驱动程序来手动删除它。

要了解如何检查您的HP笔记本电脑是否易受此问题的攻击，并下载兼容的驱动程序，阅读更多。

新的电子邮件欺骗漏洞影响了30多个流行的电子邮件客户端

研究人员在30多个流行的电子邮件客户端应用程序中发现了一系列漏洞，允许任何人绕过反欺骗机制发送欺骗电子邮件。

配音邮寄，这些漏洞会影响流行的电子邮件客户端，包括Apple Mail（适用于macOS、iOS和watchOS）、Mozilla Thunderbird、Yahoo Mail、ProtonMail、多个Microsoft电子邮件客户端等。

为了观看研究人员发布的PoC视频，了解更多关于漏洞的信息，阅读更多。

最大的加密采矿交易所遭到黑客攻击，超过8000万美元的比特币被盗

上周是比特币历史上的黄金周，1比特币的价格接近1.9万美元，但媒体对比特币价格的炒作减少了对最大比特币开采市场的攻击。

NiceHash mining marketplace证实其网站遭到破坏，导致超过4736枚比特币被盗，目前价值近8000万美元。
该服务在其网站上发布帖子，确认“NiceHash网站存在安全漏洞”，并确认黑客窃取了NiceHash比特币钱包的内容，从而离线（撰写本文时仍处于离线状态）。

要了解更多关于比特币黑客的信息，阅读更多。

微软发布紧急Windows安全更新

在12月的补丁周二更新前一周，微软发布了一个紧急安全补丁，以解决其恶意软件保护引擎（MPE）中的一个关键远程代码执行漏洞，该漏洞可能允许攻击者完全控制受害者的电脑。

该漏洞（CVE-2017-11937）影响Windows 10、Windows 8.1、Windows 7、Windows RT 8.1和Windows Server，并影响多个Microsoft安全产品，包括Windows Defender、Microsoft security Essentials、Endpoint Protection、Forefront Endpoint Protection以及Exchange Server 2013和2016。

要了解更多关于脆弱性的信息，阅读更多。

安全漏洞使主要银行应用容易受到通过SSL的MiTM攻击

科学家在主要的手机银行应用程序中发现了一个关键的实现缺陷，对于iOS和安卓系统，这使得数百万用户的银行凭证容易受到中间人攻击。

与受害者连接到同一网络的攻击者可能利用易受攻击的银行应用程序拦截SSL连接并检索用户的银行凭证，如用户名和密码/密码，即使应用程序使用SSL锁定功能。

要了解攻击者如何利用此漏洞接管您的银行账户，阅读更多。

大规模数据泄露暴露3100万用户的个人数据

在智能手机上下载应用程序时，大多数用户可能没有意识到他们在智能手机上收集了多少数据，而应用程序开发人员利用了这种无知，从用户身上抹去的数据比他们实际需要的要多。

但如果这些数据落入坏人之手呢？

上周也发生了同样的事情，当时一个名为AI的著名虚拟键盘应用程序拥有3100多万用户的大量个人数据（超过577 GB）。输入，在网上泄露给任何人下载，无需密码。

要了解更多关于数据泄露事件和用户丢失的信息，阅读更多。

主要安卓工具针对开发者的关键缺陷

该漏洞是由检查站的安全研究人员发现的，他们还发布了一个名为ParseDroid的概念验证（PoC）攻击，以及一段视频来演示该攻击的工作原理。

要观看视频并了解如何利用此漏洞，阅读更多。

优步向佛罗里达黑客支付了10万美元以保密数据泄露新闻

事实证明，一名20岁的佛罗里达男子在另一名男子的帮助下，对2016年10月的Uber大规模数据泄露负有责任，并被出租车公司支付了巨额费用，以销毁数据并对数据泄露事件保密。

上周，优步宣布，去年的一次大规模数据泄露暴露了5700万客户和司机的个人数据，并向两名黑客支付了10万美元的赎金以销毁这些信息。

要了解更多关于优步和黑客数据泄露的信息，阅读更多。