国安部曝光美国黑手：今年一季度网攻2000次，中国不是唯一受害者

北约和欧盟谴责与俄罗斯有关的威胁行为者APT28对欧洲国家进行的网络间谍活动。

本周，联邦政府以最强烈的措辞谴责APT28组织针对德国社会民主党执行委员会进行的长期间谍活动。德国联邦注册局发布的公告中写道：“联邦政府关于这场运动的国家归因程序得出结论，在相对较长的一段时间内，网络行为者APT28利用微软Outlook中的一个当时尚未确定的关键漏洞，破坏了许多电子邮件帐户。”。

安全内参4月30日消息，根据Gartner的数据，全球63%的组织已经完全或部分实施了零信任策略。正在实施零信任策略的组织中，有78%的零信任投资占网络安全整体预算的比例小于25%。

Gartner在2023年第四季度对303位安全领导者进行了调查，显示他们的组织已经完全或部分实施了零信任策略，或者计划着实施这样的策略。其中，有56%的组织实施零信任策略主要是因为该策略被认为是行业最佳实践。

Gartner副总裁分析师John Watts表示：“尽管相信零信任策略是行业最佳实践，企业并不确定实施零信任的最佳实践是什么。对于大多数组织而言，零信任策略通常只覆盖不到一半的组织环境，只减轻了不到1/4的整体企业风险。”

近日，美国联邦通信委员会宣布，经过调查发现，电信运营商 Verizon、AT&T、T-Mobile 和 Sprint 在未经用户同意的情况下，将用户位置数据访问权限出售给数据聚合商，后者又将数据转售给第三方，并且这四家运营商即使在得知数据被未经授权访问后仍继续出售至数据聚合商，并未采取任何措施确保第三方在被允许访问前取得用户同意。

FCC表示，除非运营商获得用户的明确同意，否则必须对用户数据保密，因此决定对这四家运营商处以近 2 亿美元罚款。其中，Verizon 被罚款 4690 万美元，AT&T 被罚款 5730 万美元，T-Mobile 被罚款 8010 万美元，Sprint 被罚款 1220 万美元。根据对 Verizon 和 T-Mobile 的没收令，在审查了更多证据后，FCC略微减少了对这两家运营商的拟议处罚。

据近日消息，微软近日披露了一个名为“Dirty Stream”的严重安全漏洞，该漏洞可能影响到数十亿下载量的 Android 应用。攻击者一旦利用此漏洞，便有可能控制应用并窃取用户敏感信息。

据IT之家了解，“Dirty Stream”漏洞的核心在于恶意应用可以操纵和滥用 Android 的内容提供程序系统。该系统通常用于设备上不同应用之间安全地交换数据，并包含严格的数据隔离、特定 URI 附加权限以及文件路径验证等安全措施，以防止未经授权的访问。

AI应用安全公司 HiddenLayer 在报告中提到，该漏洞的编号是CVE-2024-27322，“涉及使用R中的 promise 对象和惰性评估。” RDS类似于Python 中的 pickle，是一种用于对R中数据结构或对象状态进行序列化并保存的格式。R语言是一种开源编程语言，用于统计计算、数据可视化和机器挖掘。

这种序列化流程（serialize() 或 saveRDS()）和反序列化（unserialize() 和 readRDS()）也用于保存和加载R包。CVE-2024-27322的根因在于，在反序列化不可信数据时会导致任意代码执行，从而可使用户通过特殊构造R包被暴露给供应链攻击。因此，武器化利用该缺陷的攻击者可利用R包通过RDS格式保存和加载数据的方法，在程序包被解压和反序列化时自动执行代码。

据消息，国内某知名短视频平台报警称，有人在网络上售卖一款视频搬运软件，使用软件的人可以绕过平台的审核机制，一键“搬运”窃取他人作品非法转载投稿。

浙江台州警方经过调查，抓获一名90后程序员周某，周某对开发视频搬运软件之事供认不讳。据周某交代，这款软件主要用于非法搬运视频，支持视频镜像，去水印，草稿替换，摄像头替换等功能，修改后的视频支持在快手、抖音、哔哩哔哩、小红书、西瓜视频等主流视频平台一键发布，从而协助他人实现账号“快速涨粉”目的。

经查，从2022年5月到2023年3月份，周某累计获利700多万元，目前周某因犯提供侵入非法控制计算机信息系统程序工具罪，判有期徒刑3年、缓刑5年；而负责软件销售的从犯陈某被判有期徒刑3年、缓刑3年2个月。

不久前，美国又吹响了“五眼联盟”的狗哨，英国、澳大利亚和新西兰等国家几乎同时炮制出一段“中国黑客实施网络攻击”的假新闻，而针对美国泼过来的“脏水”，日前我国国安部也进行了反击。据环球网报道，2日国家安全部公众号以中英双语的形式，发文驳斥近期美英等国家对我国组织实施网络攻击的污蔑抹黑。

财政部、工业和信息化部近日联合印发通知，部署做好2024年中小企业数字化转型城市试点工作。本次工作包括三项重点任务：聚焦企业需求，加快中小企业数字化转型；强化数字赋能，培育高水平“小快轻准”产品；推动“链式”转型，促进产业链供应链优化升级。

今年将选择35个左右城市开展第二批试点工作，试点城市应为地级市及以上，包括各省（区）的省会城市、其他地级市，直辖市所辖区县，以及新疆生产建设兵团。已纳入首批试点范围的城市不得重复申报。第二批城市试点实施期两年，自实施方案批复之日起开始计算。