内置 AI 的代码编辑器（目前还是免费的）：https://www.cursor.so/

Google 将拼多多应用标记为恶意程序

2023-03-21 12:56:00 by 蒸汽歌剧

Google 周一将拼多多的多个应用标记为恶意程序，Android 手机使用的安全机制 Google Play Protect 将阻止用户安装拼多多应用，对于已经安装的应用，Google 将建议用户卸载。Google 同时出于安全理由从官方应用商店 Play Store 下架了拼多多应用。在这之前，中国安全研究人员披露拼多多应用包含有恶意功能，能利用漏洞提权阻止卸载并能监视用户。拼多多尚未对此次事件发表评论。

https://techcrunch.com/2023/03/20/google-flags-apps-made-by-popular-chinese-e-commerce-giant-as-malware/

#安全

据说是 Alibaba Desgin 整的 3D 素材网站：https://d.design?sharecode=Nkd2gss0P1

Obsidian 综述 02 - 近期值得推荐的功能、插件和主题
欢迎来到 Obsidian 综述系列！在这里，我们将分享近期 Obsidian 更新的功能、插件和主题等相关内容。如果您是一位 Obsidian 用户，或者对 Obsidian 的功能和迭代感兴趣，那么这个系列将会对您有帮助，以随时掌握最新

💧小众软件 #Appinn
Via 浏览器 发布 iPhone、iPad 版本，仅 5.5MB 大小
https://www.appinn.com/via-for-ios/

Notion 丢失数据后提交工单已 2 周。

Lookout 确认拼多多的非 Play 版本包含恶意代码

2023-03-27 21:35:00 by 星火

本月早些时候，独立安全研究机构 DarkNavy 发表文章披露，国内一家互联网巨头的 APP 利用了 Android 系统漏洞提权使其难以卸载。这家巨头之后确认为拼多多。上周一 Google 将拼多多的多个应用标记为恶意程序。拼多多则发表声明，表示强烈反对一位匿名独立安全研究员关于其应用恶意的推测和指控。现在，安全公司 Lookout 的研究人员对非 Google Play 版本的拼多多应用的分析确认了 DarkNavy 的指控。初步分析显示，至少两个非 Play 版本的拼多多应用利用了漏洞 CVE-2023-20963。该漏洞是 Google 在 3 月 6 日公开的，利用该漏洞可以提权，而且整个过程不需要用户交互。两周前修复补丁才提供给终端用户。 Lookout 的研究人员分析了拼多多在 3 月 5 日前发布的两个版本，都包含了利用 CVE-2023-20963 的代码。这两个版本都使用了与拼多多 Google Play 版本相同的密钥签名。目前没有证据表明 Play Store 和苹果 App Store 的版本含有恶意代码，通过 Google 和苹果官方商店下载的拼多多应用是安全的。但通过第三方市场下载的 Android 用户则没有那么幸运了，鉴于拼多多有数亿用户，受影响的用户数量可能是非常惊人。

https://arstechnica.com/?p=1926914

#安全

这俩 Favicon 不一样大🤣

俄罗斯去匿名化 Telegram 用户

2023-03-27 22:37:00 by 超时空碎片

俄罗斯在 2022 年逮捕了多名知名的 Telegram 用户，调查显示国有的俄罗斯国家工业和科技集团公司(Rostec)旗下的一家公司开发了名为 "Okhotnik" (Охотник) 的系统，利用了逾 800 个数据点建立关联去匿名化 Telegram 用户的身份。这些数据点来自社交网络、博客、论坛、即时通讯工具、BBS、加密货币区块链、暗网以及政府服务，包括姓名、昵称、电邮地址、网站、域名、加密钱包、加密密钥、电话号码、地理位置信息、IP地址等。Okhotnik 可以找到目标用户过去任何时候犯下的任何错误去实现去匿名化。

https://www.bleepingcomputer.com/news/security/russia-s-rostec-allegedly-can-de-anonymize-telegram-users/

#安全

奇妙的产品：https://getfreewrite.com/products/freewrite-smart-typewriter-3rd-gen

https://twitter.com/0xdesigner/status/1642554817590566915

2017 年，一群开发者热闹地比拼谁能创造出世界上最差的音量控制界面

原帖：https://reurl.cc/RvRApn

谷歌停止服务墓园（清单）：https://killedbygoogle.com/

拼多多解散了在应用中加入恶意功能的团队

2023-04-03 12:54:00 by 2061太空漫游

拼多多在第三方应用商店发行的版本中加入了提权等恶意功能，被曝光之后遭到 Google 的封杀。安全专家表示，他们从未看到过一个主流应用会像拼多多那样做。匿名拼多多员工称，公司在 2020 年组建了一支由大约 100 名工程师和产品经理组成的团队，致力于挖掘 Android 手机漏洞，开发漏洞利用方法，将其转化为利润。
消息源称，拼多多应用的恶意功能最初只针对农村和小城镇的用户，避开北京上海之类大都市的用户，此举旨在降低被暴露的风险。通过收集用户活动的大量数据，拼多多能全面了解用户习惯、兴趣和偏好，改进其机器学习模型，提供更具有个性化的推送通知和广告，吸引用户打开应用并下单。在被曝光之后该团队于三月初被解散。拼多多是在 3 月 5 日释出 v6.50.0 更新移除了漏洞利用代码。匿名员工称，两天之后开发漏洞利用的团队遭到解散。第三天团队成员发现他们被内部使用的工作通讯应用 Knock 锁定，失去了访问内网文件的权限。工程师访问大数据、数据表和日志系统的权限也被撤销。大部分团队成员被转移到了 Temu，被分配到不同部门，从事营销或开发推送通知的工作。20 名核心的网络安全工程师仍然留在公司。安全专家称，虽然漏洞利用代码移除了，但底层代码仍然留在那里，仍然可以被重新激活去执行攻击。

https://edition.cnn.com/2023/04/02/tech/china-pinduoduo-malware-cybersecurity-analysis-intl-hnk/index.html

#安全

我用 GPT4 写了个 macOS 的云剪贴板小工具 - V2EX https://www.v2ex.com/t/929363