美国海量pos机被植入流氓软件

1、2014美国黑帽大会有哪些精彩的议题

加密类：
48 Dirty Little Secrets Cryptographers Don't Want You To Know
介绍Matasano公司的加密挑战赛中——Matasano crypto challenges(http://www.matasano.com/articles/crypto-challenges/)，48个攻击场景，攻击方式。
演讲者：Thomas Ptacek & Alex Balducci
无线类：
802.1x and Beyond!
介绍IEEE 802.1x以及其RADIUS/EAP协议漏洞，证明在用户授权接入网络前，通过802.11的WPA Enterprise在RADIUS服务器远程执行代码。
演讲者：Brad Antoniewicz
ATTACKING MOBILE BROADBAND MODEMS LIKE A CRIMINAL WOULD
有关移动宽带modems的安全问题。议题会展示如何盈利，窃取敏感信息和持久的控制着这些设备。
演讲者： Andreas Lindh
Bringing Software Defined Radio to the Penetration Testing Community
作者研制了一种简单易用的工具来进行无线监听和植入。工具是使用GUN radio和scapy基于Software Defined Radio制作的。议题介绍可以用这个工具来方便进行无线安全评估。
演讲者：Jean-Michel Picod & Jonathan-Christofer Demay & Arnaud Lebrun
Hacking the Wireless World with Software Defined Radio – 2.0
我们身边的无线信号无处不在，想餐厅服务员的对讲机，建筑物门禁，汽车无线钥匙，消费者的，企业的，政府的，业余爱好者的。这个议题就是教你怎样“盲目”的收集任何RF(Radio Frequency)然后从物理层逆向出来。而且只需要用一些开源软件和廉价的无线电硬件。作者会你逆向出卫星通信，用mode S追踪到飞机，并3D可视化的展示出来。
演讲者：Balint Seeber
Point of Sale System Architecture and Security
本议题向观众展示POS机的组件如何操作，支付的流程如何以及哪些环节是有漏洞的。
演讲者：Lucas Zaichkowsky
银行：
A Journey to Protect Points-of-Sale
介绍PoS(points-of-sale)机是如何被攻陷的。议题介绍比较常见的威胁——memory scraping，介绍这是怎么实现的以及如何减少这种威胁。
演讲者：Nir Valtman
SAP, Credit Cards, and the Bird that Talks Too Much
本议题讲述 从被广泛运用在世界各大机构的SAP中提钱、支付信息和信用卡信息。
演讲者：Ertunga Arsal
移动方向：
A Practical Attack Against VDI Solutions
Virtual Desktop Infrastructure被认为是目前炒作得厉害的BYOD安全解决方案之一。本议题通过一个PoC证明在VDI平台应用场景下，恶意移动应用通过“截屏”窃取数据。通过模拟用户的交互行为，证明这种攻击方式不但可行而且有效。
演讲者：Daniel Brodie & Michael Shaulov
Android FakeID Vulnerability Walkthrough
2013年带来 MasterKey漏洞的团队，今天带来一个新的Android应用漏洞，允许恶意应用逃脱正常应用的sandbox，在用户不知情的情况下获得特定的安全特权。从而恶意应用可以窃取用户数据，恢复密码，在特定场景下甚至完全控制Android设备。这个漏洞影响所有2010年1月以后的Android( Android Eclair 2.1 )。
演讲者：Jeff Forristal
Cellular Exploitation on a Global Scale: The Rise and Fall of the Control Protocol
该议题展示了服务提供商(Service Providers)可以通过隐藏的被动的层面去控制你的设备( Android, iOS, Blackberry)，议题将曝光如何通过 Over-the-Air对主流的蜂窝平台网络(GSM/CDMA/LTE)进行远程执行代码。
演讲者：Mathew Solnik & Marc Blanchou
Exploiting Unpatched iOS Vulnerabilities for Fun and Profit
该议题曝光作者对最新版iOS(version 7.1.1), 的越狱过程。
演讲者： Yeongjin Jang & Tielei Wang & Byoungyoung Lee & Billy Lau
It Just (Net)works: The Truth About iOS 7's Multipeer Connectivity Framework
利用Multipeer Connectivity框架，iOS设备之间也可以在一定范围内通过蓝牙和点对点的Wi-Fi连接进行通讯。本议题主要探讨这种新型的通信方式存在的漏洞和威胁。
演讲者：Alban Diquet
Mobile Device Mismanagement
本议题聚焦于“移动设备管理”MDM产品本身的漏洞。展示如何通过这些产品的漏洞窃取到敏感的信息。
演讲者：Stephen Breen
"Nobody is Listening to Your Phone Calls." Really? A Debate and Discussion on the NSA's Activities
本议题主要讲述有关NSA监听的话题的争论。
演讲者：Mark Jaycox & J. Michael Allen
Researching Android Device Security with the Help of a Droid Army
本议题讲述利用heterogeneous cluster来挖掘android的漏洞
演讲者： Joshua Drake
Sidewinder Targeted Attack Against Android in the Golden Age of Ad Libs
本议题将使用从Google Play下载的Android程序演示“Sidewinder 针对性攻击”。
演讲者：Tao Wei & Yulong Zhang
Static Detection and Automatic Exploitation of Intent Message Vulnerabilities in Android Applications
本议题中演讲者将介绍一系列可能出现在一般Android应用编程过程中的漏洞，和开发的针对这些漏洞的静态分析程序。
演讲者：Daniele Gallingani
Understanding IMSI Privacy
本议题中演讲者将展示一款低成本且易用的基于Android系统的隐私框架以保护用户隐私。
演讲者：Ravishankar Borgaonkar & Swapnil Udar
Unwrapping the Truth: Analysis of Mobile Application Wrapping Solutions
本议题将分析一些大公司提供的应用打包解决方案，研究为何这些打包方案能同时使用在iOS和Android设备中，并研究其安全性。
演讲者：Ron Gutierrez & Stephen Komal
VoIP Wars: Attack of the Cisco Phones
本议题中演讲者将现场演示使用他所编写的Viproy渗透测试工具包攻击基于思科VoIP解决方案的VoIP服务。
演讲者：Fatih Ozavci
恶意软件：
A Scalable, Ensemble Approach for Building and Visualizing Deep Code-Sharing Networks Over Millions of Malicious Binaries
如果可以重现恶意软件的Code-Sharing网络，那么我们就可以更多的了解恶意软件的上下文和更深入了解新出现的恶意软件。这个议题就是通过一个还原混淆而又简单全面的分析方法，对地址多态，打包技术，混淆技术进行分析评估(an obfuscation-resilient ensemble similarity analysis approach that addresses polymorphism, packing, and obfuscation by estimating code-sharing in multiple static and dynamic technical domains at once)这个议题会详细介绍这套算法。
演讲者：Joshua Saxe
badusb-on-accessories-that-turn-evil
这个议题讨论一种新的USB恶意软件，它通过USB设备内的“控制芯片”来进行操作。例如可以通过重新编程来欺骗各种其他设备，以达到控制计算机，窃取数据或者监听用户。
演讲者：Karsten Nohl & Jakob Lell
Bitcoin Transaction Malleability Theory in Practice
关于比特币的“ Transaction Malleability ”漏洞
演讲者：Daniel Chechik & Ben Hayak
Dissecting Snake – A Federal Espionage Toolkit
本议题介绍分析恶意软件Snake(也称Turla或Uroburos)的几个重要方面，例如usermode-centric和kernel-centric架构，rootki能力，认证的C&C流量，encrypted virtual volumes。
演讲者：Sergei Shevchenko
One Packer to Rule Them All: Empirical Identification, Comparison, and Circumvention of Current Antivirus Detection Techniques
如今很多防病毒解决方案都号称可以最有效的对方未知的和混淆的恶意软件，但是都没有具体能说清楚是怎么做到的。以至于作为掏钱买的付费者不知道如何选择。本议题通过“经验”来对这些方案的效果做一个展示。从而揭示新的检测方法是如何实现的。
演讲者：Alaeddine Mesbahi & Arne Swinnen
Prevalent Characteristics in Modern Malware
本议题讲述作者对当前流行的恶意软件逃避技术的研究。
演讲者：Rodrigo Branco & Gabriel Negreira Barbosa
The New Scourge of Ransomware: A Study of CryptoLocker and Its Friends
本议题将研究CryptoLocker和其他类似的勒索软件，研究我们能从这样的新威胁中学到什么。

演讲者：Lance James & John Bambenek
第 1 页：无线类 第 2 页：移动方向
第 3 页：恶意软件 第 4 页：物联网
第 5 页：windows相关 第 6 页：APT方向
第 7 页：web安全 第 8 页：反汇编
你可以去51cto 看看

2、收银系统的POS机是怎么被黑客攻击控制的?

本人处在POS机这个行业，从经验上看，这个问题我觉楼主解读有误，这里面被黑的不是POS机，而是POS机的收银系统。首先POS机用的不是windows系统，大部分是嵌入式Linux系统，或者wince系统，一般的木马程序几乎没有执行的可能性。其次是POS机一般会从三个方面保证POS的安全性：
1.专线操作。如果是无线POS，那么就走APN拨号。网线就是拉专线，走电话线更没有木马传播的可能性。
2.安全芯片保证。POS的加密解密动作都是有加密芯片保证的，而加密芯片都是要过国际的PCI等认证。不只是安全芯片，读卡器，机具都有过一大堆的认证，大部分认证的技术含量是比较高的，足够保证POS的安全。
3.专人管理。这个就不说了，POS机的使用都需要授权，后天也有异常检测机制。凡是涉及金融交易的，没有人敢够承担相应的责任。再过POS认证的时，有一些评分机制，其中有一项需要抵挡住专家用几百万美元的设备攻击系统8个小时（超市休息的时间）。如果不是对POS系统和银行系统有极深的了解，并且投入上千万的资金，很难入侵POS机（当然最坚固的密码系统抵挡不住你非得设置123456这个密码，希望你懂我的意思）。
所以我觉得这个应该是木马侵入了POS的进销存管理软件，这样的话会获取到一些银行卡信息，但是从目前国内的用卡情况看，对我们造不成什么影响。

借着词典花了点时间看看Target的分析报告，新闻里所说的POS系统入侵，整个过程是黑客先入侵了供应商的网络，此供应商的网络有帐号可以访问Target的网，在获得了进入Target的网络权限后，可能利用Target网络中的缺陷，进入到POS系统的服务器，通过服务器再给每台POS机上安装一个内存驻留程序，记录下所有的数据，然后通过防火墙将数据传出。从整个过程来看，Target的系统至少存在几个问题：

1、授权外部人员访问公司内部网络；

2、网段之间没有足够的安全划分；

3、防入侵、防毒软件的多次警告被忽略，网络人员存在责任心的问题；

4、防火墙向外的数据包没有给以足够的重视，11G的数据传输至少应该引起网管人员的警觉。如果能解决系统设计上的问题，人员加强管理，这种入侵几乎是不可能发生的。

3、被银联拉黑的pos机平台有哪些

被银联拉黑的pos机平台有快乐富、神行付、快乐付、百富宝、金元宝、易刷通、人人付、还付宝、花花支付、高帅付、捷付宝、先锋宝贝、百亿支付、7天刷、好收等等pos机牌子。央行最近注销了多张支付牌照，新增了20款银联卡支付应用软件报备未报备品牌名单，分别是萌钱包、俏美生活、无界支付、金控掌柜、可瑞生活、卡美生活、聚联支付、卡付、科锐信、银宝欣付、爱心付、卡民管家、亮刷科技、乐闪付、飞虎信用卡、美誉招财猫、51宝、中亿卡管家、多米闪付、小七助手。

4、下载pos机的软件安全吗可以直接删除吗

首先，完成pos交易需要满足三个条件。第一个是机器，第二个是用我们的手机号码注册的软件应用程序，第三个是银行卡。如果没有这三个必要条件中的任何一个，即使机器不能完成一笔交易，那么在这种情况下，如果机器丢失了，也不会对我们产生任何影响。所以我们需要确保如果机器丢失了，我们需要确保我们的银行号码和密码不会再次出错，这样即使有人捡起机器，它也是有用的，而且和垃圾没有区别。更换机器后，我们应该如何处理原始应用程序？信息会泄露吗？事实上，这些问题不必担心，因为POS机公司是由银联和央行授权认证的，有正规的支付机构，接受监管。此外，在注册申请时提交的信息是严格保密的，不会造成泄露。更换机器后，您只需卸载原始应用程序，而不会对您造成任何影响。

5、如何解决pos机无法安装第三方应用如微信支付宝等常用软件。

这个自己安装不了，只能找pos代理商或者银行，更换最新的机器才行，微信收款支付宝等等这个需要最新的机器才有，传统的pos机无法实现这个功能 回家吃饭去啊我的意思就是没有用吗 薛蟠—夏金桂 宝蟾、小舍儿

转载请带上网址：http://www.pos-diy.com/posjifour/244803.html