安全热点周报（2023.3.27-2023.4.2）

安全资讯导视

01 国家能源局关于加快推进能源数字化智能化发展的若干意见

02 美国食品药品监督管理局发布指导文件，医疗设备上市需自证网络安全

03 绝密文档遭举报者泄露，俄罗斯网络战核心支撑机构及武器库曝光

政策法规解读

美国食品药品监督管理局发布指导文件，医疗设备上市需自证网络安全

3月30日FDA官网消息，美国食品药品监督管理局（FDA）发布最终指导文件《医疗设备的网络安全：FD&C法案第524B条下网络设备及相关系统的拒绝接收政策》。该文件指出，《2023年综合拨款法案》第3305条修订了《联邦食品、药品和化妆品法案》（即FD&C法案），添加了第524B节以协助确保医疗类设备的网络安全，其中包括设备上市前的申报材料必须增加网络安全信息，证明其满足相应要求。该文件还提出，医疗保健相关方应落实软件物料清单和漏洞披露报告等规定。FD&C法案修正案将于2023年3月29日颁布起的90天后生效。

原文链接：

https://www.fda.gov/regulatory-information/search-fda-guidance-documents/cybersecurity-medical-devices-refuse-accept-policy-cyber-devices-and-related-systems-under-section

国家能源局关于加快推进能源数字化智能化发展的若干意见

3月28日国家能源局官网消息，国家能源局印发《关于加快推进能源数字化智能化发展的若干意见》，提出针对电力、煤炭、油气等行业数字化智能化转型发展需求，通过数字化智能化技术融合应用，分行业、分环节、分阶段补齐转型发展短板，为能源高质量发展提供有效支撑。该文件要求，从推动技术突破、增强保障能力两方面加强网络安全，具体包括加强融合本体安全和网络安全的能源装备及系统保护技术研究，推动开展能源数据安全共享及多方协同技术研发，推动煤矿、油气田、电厂、传统能源厂（站）等行业系统安全防护升级，加快实现核心装备控制系统安全可信、自主可控，进一步完善电力监控系统安全防护体系。

原文链接：

http://zfxxgk.nea.gov.cn/2023-03/28/c_1310707122.htm

四部门：关于开展网络安全服务认证工作的实施意见

3月28日市场监管总局官网消息，市场监管总局、中央网信办、工业和信息化部、公安部联合发布《关于开展网络安全服务认证工作的实施意见》，加强认证工作的组织实施和监督管理，鼓励网络运营者等广泛采信网络安全服务认证结果，促进网络安全服务产业健康有序发展。该文件提出，四部门确定网络安全服务认证目录，现阶段包括检测评估、安全运维、安全咨询和等级保护测评等服务类别。网络安全服务认证机构应当公开认证收费标准和认证证书有效、暂停、注销或者撤销等状态，并按照有关规定报送网络安全服务认证实施情况及认证证书信息。

原文链接：

https://gkml.samr.gov.cn/nsjg/rzjgs/202303/t20230328_354213.html

拜登发布行政令，禁止美国政府使用商业间谍软件

3月27日美国白宫官网消息，美国总统拜登发布《关于禁止美国政府使用对国家安全构成风险的商业间谍软件的行政命令》，首次禁止美国联邦机构使用可能对人权及国家安全构成威胁的商业间谍软件。该行政令适用于包括执法、国防和情报部门在内的联邦政府机构，相关机构如计划继续使用，应按照规定证明其不会对美国构成重大的反情报和安全风险。这项行政令出台之际，已有数十名美国政府人员的手机遭受间谍软件入侵。

原文链接：

https://www.whitehouse.gov/briefing-room/presidential-actions/2023/03/27/executive-order-on-prohibition-on-use-by-the-united-states-government-of-commercial-spyware-that-poses-risks-to-national-security/

本周安全大事件

绝密文档遭举报者泄露，俄罗斯网络战核心支撑机构及武器库曝光

3月30日英国卫报消息，多家西方媒体报道称，一名反乌克兰战争人士向媒体提供了一批被称为“Vulkan文件”的泄露资料，指责一家名为“NTC Vulkan”的私人公司与俄罗斯军事和情报机构合作，支持后者发动所谓“针对西方的网络战争”。

报道称，“Vulkan文件”的时间跨度从2016年到2021年，其中显示NTC Vulkan公司支持俄罗斯军事和情报机构开展黑客行动、在发起针对国家基础设施的攻击前训练操作员、传播虚假信息以及扫描互联网漏洞并对其进行分区控制；同时，该公司还帮助俄罗斯官方通过互联网影响社交媒体观点、公众意见走向以及西方国家的最终选举结果。报道还称，NTC Vulkan公司的网络攻击工具包括全网漏洞扫描系统“Scan-V”、信息操纵系统“Amezit”、社交媒体数据分析工具“Fraction”、攻击培训系统“Crystal-2V”等。

原文链接：
https://www.theguardian.com/technology/2023/mar/30/vulkan-files-leak-reveals-putins-global-and-domestic-cyberwarfare-tactics

商业间谍软件去年底至少使用了5个零日漏洞，安卓苹果设备通杀

3月29日BleepingComputer消息，谷歌威胁分析小组披露了两起去年底发现的移动设备攻击事件，其中使用了多条利用Android、iOS及Chrome零日及N-day漏洞的利用链，可在目标设备上安装商业间谍软件与恶意应用程序。2022年11月发现的第一起恶意活动中，攻击者向受害者发送带短链接的短信，该短链接会重定向到带多个零日漏洞攻击代码的网页，使攻击者获得iOS/Android设备控制权，然后再跳转到合法网站。同年12月的另一起恶意活动攻击手法类似，主要针对三星手机。这两起事件涉及的零日漏洞至少包括CVE-2022-42856、CVE-2022-4135、CVE-2022-4262、CVE-2023-0266、CVE-2023-26083。

原文链接：
https://www.bleepingcomputer.com/news/security/google-finds-more-android-ios-zero-days-used-to-install-spyware/

重点关注漏洞

3CXDesktop App代码执行漏洞安全风险通告

3月31日，奇安信CERT监测到3CXDesktop App代码执行漏洞(CVE-2023-29059)，3CXDesktop App部分版本在构建安装程序时，内嵌了攻击者特制的恶意代码，在程序安装时会执行恶意代码，并进一步下载恶意负载到目标环境中执行。鉴于该产品用量较多，建议客户尽快做好自查及防护。3CXDesktop App是一款跨平台桌面电话应用程序，适用于Linux、MacOS 和 Windows。3CX在全球190多个国家和地区提供服务，拥有超过1200万日活用户和60万以上的客户群体。

完

精彩推荐

本期周报内容由安全内参&虎符智库&奇安信CERT联合出品！