1. 威客安全首页
  2. 安全资讯

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

政府举措

● 信安标委下达2020年第一批推荐性网络安全国家标准计划

● 日本防卫省利用人工智能技术开展网络防御

● 新加坡暂停教师使用Zoom在线授课,直到安全问题解决


网络安全事件

● 拒绝付款后,SpaceX、特斯拉、波音的机密文件遭黑客泄露

● 国内下载站提供的开源编辑器被发现捆绑了恶意代码

● 春雨医生、必胜客等20余款APP存涉嫌隐私不合规行为

● 意大利电子邮件服务商被黑,60万用户数据在暗网出售


数据统计

● Sophos:至少有32款“吸费软件”应用滥用App Store免费试用机制

● 八成Exchange服务器仍易受到严重漏洞攻击


漏洞速递

● 骇客揭iPhone相机零时差漏洞获苹果赏金



政府举措


信安标委下达2020年第一批推荐性网络安全国家标准计划

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:网络安全国家标准

2020年4月3日,国家标准化管理委员会下达 2020 年第一批推荐性国家标准计划,该计划共包含432项,涵盖各行各业。其中新制定311项,修订121项;有415项为推荐性标准,剩余17项均为指导性技术文件。

其中,由全国信息安全标准化技术委员会归口的标准项目共计16项,均为推荐性标准。仅有《信息安全技术 个人可识别信息(PII)处理者在公有云中保护 PII 的实践指南》为新制定标准,应报批日期为2022年4月1日,该项目由山东省标准化研究院牵头承担。(来源:信安标委)


日本防卫省利用人工智能技术开展网络防御

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:人工智能

根据最新消息,日本防卫省已宣布2020年在网络领域投资2.37亿美元,包括开发基于人工智能的系统以应对网络攻击,新系统预计2022年可开展实际运用。该系统将自动检测恶意电子邮件、判断威胁登记,并对网络攻击做出反应。除此之外,日本防卫省还表示将花费3150万美元购买网络信息收集系统,以收集针对防卫省或自卫队的网络攻击战术、技术和程序信息。

日本防卫省明确表示,其面临缺乏足够数量网络防御工作人员的处境,必须更新手段,运用人工智能技术以减轻现有人员的工作压力。目前,日本网络防御部队规模仅为220人,防卫省计划2020年内将这一规模增加至290人,进一步探索日本军用网络设备的网络安全措施,并积极推进在日本政府全部网络防御系统中运用人工智能技术。(来源:中国新一代人工智能)


新加坡暂停教师使用Zoom在线授课,直到安全问题解决

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:Zoom

据路透社报道,在为应对疫情采取封锁措施的首周,学校停课,学生在线上课之后,新加坡决定暂停教师使用视频会议工具Zoom进行在线授课,原因是“发生了一些严重的事件”。

随着疫情期间,全球公司和学校都在广泛使用Zoom Video Communications开发的会议应用,人们对这款应用的安全性和隐私问题的关注也日渐上升。

“这些事件非常严重,”教育部技术部门人员亚伦·卢(Aaron Loh)周五时说道,但未提供细节。“教育部目前正在调查两起违规行为,如有必要,将向警方报案。作为预防措施,我们的教师将暂停使用Zoom进行授课,直到这些安全问题得到解决。”亚伦·卢还说,教育部将进一步向教师提供有关安全协议的建议,比如要求安全登录以及不要向非课堂学生分享会议链接。

此前,德国已经禁用Zoom;本周谷歌也禁止在公司笔记本上使用Zoom的桌面应用。公司还面临着集体诉讼。会议缺乏端对端的加密措施,也引起人们的广泛关注。(来源:新浪科技)


网络安全事件


拒绝付款后,SpaceX、特斯拉、波音的机密文件遭黑客泄露

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:机密文件泄露

外媒 The Register 报道,由于没有收到勒索款项,DoppelPaymer 在网上公开了关于 SpaceX,特斯拉,波音等公司的机密信息。

据悉,被泄露的信息包括 Lockheed-Martin 设计的军事装备的细节(比如反迫击炮防御系统中的天线规格)、账单和付款表格、供应商信息、数据分析报告以及法律文书等。此外,Visser 与特斯拉和 SpaceX 之间的保密协议也在其中。

值得一提的是,这些机密信息均来自一家零部件制造商 Visser Precision。2020 年 3 月,DoppelPayme 入侵了 Visser Precision 的电脑并对其文件进行了加密,要求 Visser Precision 在 3 月份结束前支付赎金,否则将把机密文件内容公开至网上。

尽管 Visser Precision 仅是一家为汽车和航空业定制零件的制造商,但其客户涵盖了 SpaceX、特斯拉、波音、霍尼韦尔、Blue Origin,、Sikorsky、Lockheed Martin 等大型公司,其被窃取的机密文件也与这些公司相关。(来源:雷锋网)


国内下载站提供的开源编辑器被发现捆绑了恶意代码

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:捆绑恶意代码

安全公司报告,国内下载站西西软件园提供的开源编辑器 Notepad++ 被发现捆绑了恶意代码,而这个恶意脚本代码与勒索软件 WannaRen 有关联,该勒索软件可能通过国内下载站进行传播。在中文搜索引擎百度搜索 Notepad++,排在前几位的都是下载站,而不是官网 notepad-plus-plus.org,如果下载站的版本存在恶意代码,那么可能会有很多中国用户受到影响。(来源:solidot)


春雨医生、必胜客等20余款APP存涉嫌隐私不合规行为

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:APP隐私不合规

国家计算机病毒应急处理中心近期在“净网2020”专项行动中对互联网监测发现,20余款外卖、医疗和在线教育类移动应用存在涉嫌隐私不合规行为。

这些移动应用的违法违规行为主要有三大方面:

一是未向用户明示申请的全部隐私权限。具体App《美菜商城》、《蜂鸟跑腿》、《永辉生活》、《大润发优鲜》、《luckin coffee》、《每日优鲜》《叮叮课堂》、《学霸君》、《人人讲》、《直播云》(、《课后网》、《叮当快药》、《药师帮》、《健康云》、《1药网》、《智慧好医院》、《春雨医生》等。

二是未说明收集使用个人信息规则。具体App有《必胜客》、《平安好医生》。

三是未提供有效的更正、删除个人信息及注销用户账号功能。具体App有《好大夫》、《妙健康》。

针对上述情况,国家计算机病毒应急处理中心将对这些App进行通报下架处理,同时提醒广大手机用户:一是要谨慎下载使用,避免个人信息受到安全威胁;二是应打开手机中防病毒移动应用的“实时监控”功能,对手机操作进行主动防御,这样可以第一时间监控未知病毒的入侵活动。(来源:网易新闻)


意大利电子邮件服务商被黑,60万用户数据在暗网出售

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:电子邮件被黑

ZDNet从一位读者提供的消息当中得知,目前有超过60万Email.it用户的数据正在暗网上被出售。这家意大利的电子邮件服务提供商周一向ZDNet表示:“不幸的是,我们必须确认,我们遭遇了黑客的攻击。”

Email.it黑客攻击在周日曝光,黑客声称实际入侵发生在两年多前,即2018年1月,黑客入侵了Email.it数据中心,从服务器上拿走了任何可能的敏感数据。

另外,黑客们在2月1日试图勒索Email.it,当时他们要求对方支付赏金,该公司拒绝支付,转而通知了意大利邮政警察局。在勒索失败后,黑客们现在正在以0.5到3个比特币(3500到22000美元)不等的要价出售该公司的数据。这些数据库包含了注册了免费Email.it电子邮件账户的用户信息。(来源:cnBeta)


数据统计


Sophos:至少有32款“吸费软件”应用滥用App Store免费试用机制

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:吸费软件

在本周发布的一份报告中,英国安全公司Sophos透露,有超过350万iOS用户安装了 “吸费软件”,这是一种相对较新的网络诈骗。

某些应用的开发者利用了应用商店的政策,让他们在你卸载之前要求你做更多的许可工作。这让他们仍然可以向你的账户收费,通常是一次性支付少量的费用或廉价的月费,但这种吸费软件应用则更进一步,要求你支付高额的费用,通常是数百美元。

去年,Sophos发现了50多个被安装了不少于6亿次“吸费软件”,随后谷歌在得知这些应用存在后,将其全部清理掉了,但新的应用却依然不断冒出,在安装量上能够与一些最成功的合法应用相媲美。

Sophos示,苹果的App Store目前至少有32款盗版吸费应用,其操作手法与Play Store上的应用相同。只要3天的7天试用期一结束,这些应用就会收取费用。

这些App的下载量往往在50万到100万之间,特别是其中一款名为 “十二生肖大师Plus “的App,更是跻身于总收入最高的App之列,不知情的用户看到这些数字,就会以为这些应用的受欢迎程度就是衡量其价值的标准,于是就会下载。(来源:cnBeta)


八成Exchange服务器仍易受到严重漏洞攻击

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:严重漏洞攻击

近日,Rapid7公布的一项安全调查显示,2月份Exchange曝出的严重漏洞(CVE-2020-0688)至今依然有巨大的杀伤力,超过80%的公开Exchange服务器(已检测到超过35万台Exchange服务器)仍然容易受到该严重漏洞的攻击,研究人员警告说多个威胁组正在利用该漏洞。

研究人员最近使用扫描工具Project Sonar来分析面向Internet的Exchange服务器并嗅探出容易受到该漏洞影响的服务器。截至3月24日,在433,464台面向Internet的Exchange服务器中,至少有357,629台是易受攻击的。

尽管Microsoft在2020年2月发布了针对CVE-2020-0688的补丁程序,但是在攻击者开始扫描服务器漏洞并使用免费的PoC漏洞和3月初发布的Metasploit模块展开攻击时,仍有太多组织尚未实施补丁。(来源:网络)


漏洞速递


骇客揭iPhone相机零时差漏洞获苹果赏金

信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

关键词:iPhone相机漏洞

苹果于去年底在官网上发布了最新的漏洞悬赏给付计划,据外媒报道,苹果近日已向一名骇客支付了7.5万美元奖励,因该名骇客于Safari中发现了多个零时差漏洞(zero-day vulnerability,又称作零日漏洞),其中一些漏洞可用于劫持iOS或macOS设备上的相机。

据《富比士》报道,Ryan Pickren于去年12月向苹果披露了其从Safari中发现的7个零时差漏洞,其中3个漏洞使其可透过诱骗用户开启恶意网站的方式来劫持用户iPhone的相机,同样的方法也适用于Mac上的网路摄影机。透过苹果的赏金计划,Ryan Pickren获得了由苹果支付的7.5万美元赏金,而苹果已于今年1月修复其中最严重的漏洞,其余则在上个月修复。(来源:腾讯网)


免责声明:

信息安全快讯的内容及图片出于传递更多信息之目的,属于非营利性的转载。如无意中侵犯了某个媒体或个人的知识产权,请联系我们,我们将立即删除相关内容。其他媒体、网络或个人从本网下载使用须自负版权等法律责任。


信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

原文始发于微信公众号(e安在线):信息安全快讯丨信安标委下达今年第一批推荐性网络安全国家标准计划;Exchange服务器易受到严重漏洞攻击;多款APP涉隐私不合规

本文转为转载文章,本文观点不代表威客安全立场。

发表评论

登录后才能评论

联系我们

15110186328

在线咨询:点击这里给我发消息

邮件:zhanglei@jinlongsec.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code
X