5th域安全微讯早报【20240608】138期

2024-06-08 星期六Vol-2024-138

今日热点导读

1. 德克萨斯州总检察长调查汽车制造商数据共享行为

2. 法国电信巨头Corse GSM曝重大数据泄露：20万客户信息或被窃取

3. 阿肯色大学领导合作项目加强太阳能逆变器网络安全

4. First Priority Restoration遭遇勒索软件攻击

5. Guardian Analytics与Webster Bank达成140万美元数据泄露诉讼和解

6. HopSkipDrive遭遇数据泄露事件，司机敏感信息外泄

7. 孟加拉国情报部门将公民数据泄露给私人Telegram频道

8. SolarWinds发布新版本修复关键安全漏洞

9. Mozilla推0Din Gen-AI漏洞赏金计划

10. 美国CISA发布多项ICS网络安全公告，涉及多家公司的硬件漏洞

11. 新网络钓鱼活动利用隐形JPG图像传播Agent Tesla恶意软件

12. 谷歌引入开发人工智能应用程序的规则

资讯详情

政策法规

1. 德克萨斯州总检察长调查汽车制造商数据共享行为

德克萨斯州总检察长肯·帕克斯顿宣布，已对多家汽车制造商展开调查，以了解其数据收集和共享方法是否违反该州的消费者保护法。此前有报道指出汽车行业秘密窃取并出售从联网汽车中提取的驾驶员数据。帕克斯顿未公开具体哪些制造商正接受调查，但据报道，起亚、通用汽车、斯巴鲁和三菱汽车在4月底收到了“民事调查要求”信函。帕克斯顿在声明中提到，现代汽车技术使制造商能够收集数百万个关于驾驶者的数据点，未经消费者同意而侵入性地、毫无节制地收集和出售数据的行为令人不安，需要彻底调查。汽车隐私专家表示，这一行动可能是即将采取强力执法措施的前兆，特别是在该州全面数据隐私法即将于7月1日生效之际。帕克斯顿已在其消费者保护部门内成立了一个新的数据隐私团队，并警告说任何滥用或利用德克萨斯州敏感数据的实体都将受到法律的全面制裁。

来源：https://therecord.media/texas-ag-launches-connected-cars-probe

安全事件

2. 法国电信巨头Corse GSM曝重大数据泄露：20万客户信息或被窃取

6月7日，据报道，法国电信公司Corse GSM遭遇重大数据泄露，影响可能波及客户。名为“ssh_xyz”的黑客在BreachForums 上宣称，已窃取包含20万用户。黑客提供的样本泄露了包括用户ID、姓名、电话号码、订阅信息和财务信息，如BIC、IBAN和KYC数据。更严重的是，样本还可能包含法国国民身份证（CNI）。Corse GSM的此次数据泄露官方声明。为了避免曝光用户账户密码和账户信息泄露，警惕钓鱼邮件，并及时与Corse GSM账户联系，及时发现任何可疑活动。此次数据泄露事件凸显了电信公司在处理大量客户信息时遭遇网络攻击风险，以及实施强大的数据安全。

来源：https://thecyberexpress.com/corse-gsm-data-breach-affects-customers/#google_vignette

3. 阿肯色大学领导合作项目加强太阳能逆变器网络安全

阿肯色大学联合多所大学、实验室和行业伙伴，开展了一个新项目，旨在应对太阳能系统部署中日益增加的风险和挑战。随着太阳能电池板安装量的增加和逆变器技术的进步，潜在的网络安全风险也在上升。未更新或安全措施不足的太阳能逆变器可能被攻击者利用，从而向电力系统植入恶意代码。该项目由美国能源部太阳能技术办公室（SETO）资助，目的是加强太阳能逆变器的网络安全。研究人员拆解并改造了传统商用太阳能逆变器，整合了多层网络安全协议的定制控制。在太阳能农场进行的真实环境测试展示了这些逆变器的网络安全措施的有效性。合作伙伴包括佐治亚大学、德克萨斯A&M金斯维尔分校、伊利诺伊大学芝加哥分校、阿贡国家实验室等。美国能源部强调了电网安全的至关重要性，指出对太阳能光伏逆变器等操作技术设备的网络攻击可能产生物理影响。

来源：https://thecyberexpress.com/university-of-arkansas-solar-inverters/

4. First Priority Restoration遭遇勒索软件攻击

据报道，灾难恢复行业知名公司First Priority Restoration(FPR)遭遇了Cactus Ransomware组织的勒索软件攻击。FPR总部位于佛罗里达州敖德萨，提供全面的灾难恢复服务。勒索软件攻击通常涉及加密关键数据，并索要赎金以换取解密密钥，不支付可能导致数据被公开或销毁。此次攻击若属实，可能对FPR及其客户造成运营中断、财务损失和声誉损害，且可能影响公司提供服务的能力，增加身份盗窃和欺诈风险。尽管FPR官方网站没有显示违规迹象，且Cyber Express团队尝试联系FPR官员以核实情况，但至文章撰写时未收到回复，Cactus Ransomware关于FPR网络攻击的说法尚未得到证实。Cactus是一个臭名昭著的网络犯罪组织，曾对Petersen Health Care和施耐德电气等进行攻击，导致严重后果。

来源：https://thecyberexpress.com/cactus-ransomware-targets-fpr/

5. Guardian Analytics与Webster Bank达成140万美元数据泄露诉讼和解

Guardian Analytics与Webster Bank达成140万美元的和解，解决了2022年数据泄露引发的指控。泄露事件涉及约192,000 人的数据，包括姓名、社会安全号码和金融账户详情。原告指出Guardian Analytics和Webster Bank未能保护客户数据安全，导致身份犯罪和经济损失。和解协议赔偿分为个人的直接赔偿和一般损失，最高赔偿金额分别为5,000美元和250美元，并补偿原告处理泄露的善后工作所花费的时间。个人原告代表包括Mark S. Holden、Richard Andisio、Edward Marshall等人。此次法律诉讼突显了数据泄露的严重后果，强调企业在数字化时代优先考虑网络安全以保护客户数据和信任校园。Guardian Analytics和Webster Bank都承诺加强安全协议。此次和解协议已获得联邦法院的最终批准，并被诉诸集体诉讼中。

来源：https://thecyberexpress.com/guardian-analytics-webster-bank-data-breach/

6. HopSkipDrive遭遇数据泄露事件，司机敏感信息外泄

2024年6月7日，据报道，知名拼车服务公司HopSkipDrive遭受了严重的数据泄露事件。该事件发生在2023年6月，导致公司司机的敏感数据被未经授权访问。一名威胁行为者声称对此负责，并公开了高达500GB的敏感信息，包括姓名、电子邮件、社会安全号码（SSN）、地址等。泄露的数据还涉及驾驶执照、保险文件、车辆检查记录等详细信息。HopSkipDrive尚未对此事做出官方回应或声明，但情况的严重性及其对受影响司机隐私的潜在影响仍然令人担忧。尽管HopSkipDrive网站似乎仍在正常运行，没有出现分布式拒绝服务（DDoS）攻击或网站破坏的迹象，但安全漏洞和数据泄露的调查正在进行中。受影响的个人需要保持警惕，并采取预防措施保护个人信息，防止信息被滥用。

来源：https://thecyberexpress.com/allegedly-hopskipdrive-data-breach/

7. 孟加拉国情报部门将公民数据泄露给私人Telegram频道

孟加拉国情报部门被指称Telegram频道泄露的公民信息，引发严重丑闻。据报道，两高级反恐警察被控出售国民身份信息、电话记录等数据，交易于今年4月发生。涉事警官逃避国家警力监控中心监控，频繁访问并分享数据。其中一名被告为反恐部门警长，另一名被告为执法助理警长，其因涉及失踪和法外处决曾受美国制裁。内部调查显示，警察在国家情报部门非法获取信息，并将回到Telegram频道管理员，后者有意出售。

来源：https://www.securitylab.ru/news/549023.php

漏洞预警

8. SolarWinds发布新版本修复关键安全漏洞

2024年6月8日，软件公司SolarWinds发布了其产品版本2024.2，其中包括多项新功能和升级，并修复了三个安全漏洞。特别值得注意的是，其中一个高危SWQL注入漏洞（CVE-2024-28996，CVSS评分7.5）是由与北大西洋公约组织（NATO）有关联的渗透测试员Nils Putnins报告给SolarWinds安全的。此次更新还修复了一个高危跨站脚本漏洞（CVE-2024-29004，CVSS评分7.1）和一个影响Web控制台的中等严重性的竞态条件漏洞（CVE-2024-28999，CVSS评分6.5）。SolarWinds表示，没有证据表明这些漏洞在野外被利用过。SolarWinds曾在2020年遭受臭名昭著的攻击，当时一个国家级行为者成功入侵了包括美国联邦政府机构在内的许多知名组织。

来源：https://www.darkreading.com/vulnerabilities-threats/solarwinds-flaw-flagged-by-nato-pen-tester

9. Mozilla推0Din Gen-AI漏洞赏金计划

Mozilla最近宣布启动一项名为0Day Investigative Network（0Din）的新漏洞赏金计划，专注于大型语言模型（LLM）和其他深度学习技术，旨在提升新一代人工智能生态系统的安全性。研究人员可以通过0Din报告包括提示注入、拒绝服务、训练数据中毒等安全问题，这些问题包括OWASP为LLM应用描述的Top 10漏洞。有兴趣的参与者可以将研究结果提交至“0din at mozilla.com”。报告经过验证并确认符合计划范围后，研究人员将收到购买报价。如果报价被接受，将联系受影响的供应商。Mozilla尚未公布有关潜在漏洞赏金支付的金额或目标产品列表。SecurityWeek已联系Mozilla以获取更多信息，并将在获得回应后更新报道。Mozilla表示，0Din通过深入研究应用层，扩大了识别和修复通用人工智能（GenAI）安全问题的范围，特别关注新一代模型中新出现的漏洞和弱点。该公司希望这个项目能帮助独立研究人员为大型语言模型、基于注意力的系统和生成模型开发新的安全框架和最佳实践，他们在定义和加强人工智能安全标准方面将发挥关键作用。

来源：https://www.securityweek.com/mozilla-launches-0din-gen-ai-bug-bounty-program/

10. 美国CISA发布多项ICS网络安全公告，涉及多家公司的硬件漏洞

美国网络安全和基础设施安全局（CISA）发布了四项针对工业控制系统（ICS）的网络安全公告，涉及艾默生、三菱电机和江森自控等公司的ICS设备中的硬件漏洞。CISA及时提供了这些设备当前的安全问题、漏洞和漏洞利用的信息，并鼓励用户和管理员查看最新的ICS公告，了解技术细节和缓解措施。CISA披露了Emerson PACSystem和Fanuc设备中的多个漏洞，包括敏感信息明文传输、数据真实性验证不足等，可能导致远程代码执行或敏感信息丢失。此外，CISA还提到了Emerson Ovation设备的关键功能身份验证缺失和数据真实性验证不足漏洞，这些漏洞已与OT:ICEFALL披露相关联。三菱电机CC-Link IE TSN工业管理型交换机存在资源分配漏洞和OpenSSL漏洞，可能允许攻击者造成DoS状况。江森自控的iStar Pro门禁控制器和ICU设备存在关键功能身份验证缺失漏洞，可能允许攻击者执行中间人攻击。

来源：https://industrialcyber.co/cisa/us-cisa-issues-ics-cybersecurity-advisories-for-emerson-mitsubishi-electric-johnson-controls-equipment/

恶意软件

11. 新网络钓鱼活动利用隐形JPG图像传播Agent Tesla恶意软件

2024年6月7日，FortiGuard Labs发现了一起针对西班牙语用户的网络钓鱼活动，该活动通过发送伪装成金融机构SWIFT转账通知的西班牙语钓鱼邮件，传播了Agent Tesla恶意软件的新变种。邮件包含一个看似OLE格式Excel附件，利用CVE-2017-0199漏洞，以及一个嵌入的OLE超链接，自动打开RTF文档，进一步利用CVE-2017-11882漏洞执行远程代码。该Agent Tesla变种是一个32位.NET远程访问木马（RAT），能够完全控制受感染设备，窃取80个软件应用程序中的敏感信息，包括登录凭据、银行信息和电子邮件联系人。它还检查电子邮件客户端、浏览器cookie、系统剪贴板数据、计算机和操作系统信息，以及捕获击键和屏幕截图。恶意软件的核心模块是一个无文件模块，使用base64编码的Powershell代码，从指定URL下载并保存为普通JPG文件，增加了检测难度。它使用FTP协议提交数据，并且能够检测是否在分析环境（如沙箱、虚拟机）或运行有AV软件（如Avast、Comodo）的计算机上运行。

来源：https://hackread.com/phishing-campaign-stealthy-jpgs-drop-agent-tesla/

新兴技术

12. 谷歌引入开发人工智能应用程序的规则

Google Play近期强化了对具有生成式AI功能应用的审核与政策，以应对这一快速发展技术带来的新挑战和机遇。在过去一年中，Google扩展了审核功能，利用大型语言模型（LLM）等新技术快速分析应用提交内容，识别潜在的不当内容，如色情或仇恨言论，并由专业人员进行审查。同时，Google Play更新了相关政策，要求所有生成式AI应用必须让用户能在应用内举报不良内容，确保应用的安全性和可靠性。Google Play强调，开发者在构建具有生成式AI功能的应用时，必须遵守其政策，包括禁止生成受限内容、提供用户反馈机制、负责任地推广应用、严格测试AI工具和模型以确保输出内容的合规性。Google Play承诺持续更新其政策和开发者工具，以适应AI技术的发展，未来将推出新功能简化应用提交过程，并分享最佳实践资源，如《人员 + AI 指南》，支持开发者负责任地创新，丰富全球用户体验。Google也表达了与开发者合作，保护用户安全，征询反馈以优化政策的意愿。

来源：https://android-developers.googleblog.com/2024/06/enabling-safe-ai-experiences.html

往期推荐