苹果曝严重漏洞，

可窃听用户与Siri对话

据The Hacker News 10月27日消息，在苹果近期披露的漏洞中包含了名为SiriSpy的 iOS 和 macOS系统漏洞，使具有蓝牙访问权限的应用程序能够窃听用户与 Siri 的对话。

应用程序开发人员 Guilherme Rambo 在 2022 年 8 月发现并报告了该漏洞，编号为 CVE-2022-32946。Rambo表示，在使用 AirPods 或 Beats 等设备时，只要请求访问蓝牙权限的都可以记录用户与Siri的对话。而该漏洞与 AirPods 中一项名为 DoAP 的服务有关，该服务用于支持 Siri 和听写功能，从而使攻击者能够制作可通过蓝牙连接到 AirPods 并在后台录制音频的应用程序，且不会显示麦克风的访问请求。而在 macOS 系统上，该漏洞可能被滥用以完全绕过TCC用户隐私保护框架，这意味着任何应用程序都可以记录用户与 Siri 的对话，且无需请求任何权限。Rambo表示，造成这一漏洞的原因是由于缺乏对 BTLEServerAgent 的权利检查，BTLEServerAgent 是负责处理 DoAP 音频的保护程序服务。目前该漏洞已通过系统更新补丁得到修复，涉及的产品包括iPhone8及之后的所有机型；所有的iPad Pro；iPad Air 第 3 代、标准版iPad 第 5 代、iPad mini 第 5 代及后续机型。

参考来源：Apple iOS and macOS Flaw Could've Let Apps Eavesdrop on Your Conversations with Siri

“引流”，所有电信网络诈骗的“前菜”

我们都有一个发财梦

无门槛，高收入

谁不心动

犯罪团伙就是抓住这小心思

蛊惑你参与违法犯罪活动

帮他们吸粉引流

可以说，“引流”是所有电信网络诈骗的“前菜”。

诈骗团伙通常会先在网上招募人员，利用他们急于求职的心理，帮助实施引流诈骗活动。

“引流”团伙伪装成各类“服务人员”，以线下扫码送礼品、面对面扫码或线上招聘、打电话、发送短信关注等方式发送诱导性信息，引导受害人进入诈骗微信群。

一旦进了群，后面就交给诈骗团伙了……

来看案例。

山西长治

今年8月，山西长治网安部门工作发现，有人组织学生出租QQ、微信等社交账号，为诈骗团伙提供服务。

经进一步侦查发现，该团伙组织性极强、职责分工明确。

招募发展大量下线人员组成“团队”，以“拉人头”“建群组”等方式，将受害人拉入黑灰产犯罪团伙的群组当中，对其实施“杀猪盘”“刷单”“投资理财”等电信网络诈骗，并从中获利。

9月，网安部门发起全省集群战役，对省内人员开展收网。

目前已斩断2条为黑灰产业提供引流服务的犯罪链条，抓获违法犯罪嫌疑人100名，其中40人被依法采取刑事强制措施，打掉推广引流平台2个，捣毁引流窝点4个，扣押涉案资金220余万元。

广西柳州

今年7月，广西柳州网安部门通过侦查发现，一伙可疑人员聚集在柳州市某小区内，形迹可疑。

经查，他们都是某无营业执照“公司”的员工，一会儿扮演成“专业股票客服”，一会儿竟又成了“订百人团体餐客服”，其实都是在网上引流，为的是进一步实施诈骗。

据了解，一些大专院校的学生或暂无工作的青年，开始都是在网上找兼职，慢慢便成了引流人员。

他们从上线处接收一批电话号码、“台词剧本”及微信群二维码，逐一联系到客户，以“购物返利”“刷单返利”等理由，诱骗受害人扫码进群，进一步实施网络诈骗，从中获利。

警方查明情况固定证据后，成功捣毁了这一诈骗“引流”窝点，现场抓获4名嫌疑人，查获作案手机24台、电脑2台等作案工具一批。

目前，该案嫌疑人已被依法采取刑事强制措施，案件还在进一步深挖中。

网警提示

1.明知他人利用信息网络实施犯罪，为其犯罪提供互联网接入、服务器托管、网络存储、通讯传输等技术支持，或者提供广告推广、支付结算等帮助，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。

2.电信网络诈骗害人害己，请增强法律意识，不要以为自己只是打打电话、拉拉群，这同样是诈骗犯罪的“帮凶”，将面对法律的严惩！

3.生活中，遇到邀请进群、动动手指就可免费领取礼品获得报酬等情况，请务必高度警惕，因为你很有可能已经掉入诈骗分子给你设好的陷阱当中。

4.要牢记天上没有掉馅饼的好事，警惕各种诱饵，谨防电信诈骗，如遇诈骗请第一时间报警!

文章来源 ：freebuf.com、公安部网安局

精彩推荐

最难就业季|“本想先读书躲一躲，谁料行情还不如两年前”

WEB渗透夏日特训来袭！|web渗透入门基础篇|暑期充电

‍

‍

严厉打击！“内鬼”泄露公民个人信息违法犯罪

‍