(07/29--08/04）

打破纪录！某财富50强公司向勒索组织支付5.4亿元赎金

Dark Angels 最早于 2022 年 5 月以全球公司为目标发起勒索攻击。与大多数人为操作的勒索软件团伙一样，Dark Angels 勒索组织的黑客会入侵企业网络并横向移动，直到最终获得管理权限。在此期间，他们还会从被入侵的服务器上窃取数据，然后在索要赎金时利用这些数据作为额外的筹码。

在获得 Windows 域控制器访问权限后，威胁者会部署勒索软件来加密网络上的所有设备。

黑客使用基于已泄露的 Babuk 勒索软件源代码的 Windows 和 VMware ESXi 加密程序发起攻击。

随着时间的推移，他们开始转而使用 Linux 加密程序，这与 Ragnar Locker 自 2021 年以来使用的加密程序如出一辙。2023 年，执法部门捣毁了 Ragnar Locker。

Dark Angels 此前曾对江森自控发动攻击，其使用了 Linux 加密器加密该公司的 VMware ESXi 服务器，他们声称窃取了 27 TB 数据，并要求江森自控支付 5100 万美元（约 3 亿 6700 万人民币）的赎金。

Dark Angels 的勒索信，来源：BleepingComputer

此外，黑客还运营着一个名为「Dunghill Leaks」的数据泄漏网站，专门用于敲诈受害者，还多次威胁称如果不支付赎金，就会泄漏数据。

Zscaler ThreatLabz 称，「Dark Angels」勒索组织采用的是「大猎杀」策略，即只针对少数几家高价值公司，希望获得巨额赔付，而不是同时针对多家公司，支付数量众多但金额较小的赎金。

对此，Zscaler ThreatLabz 的研究人员解释称，Dark Angels 组织采用的是一种更加具有针对性的方式，他们通常一次只攻击一家大公司，这与大多数勒索软件组织形成了鲜明对比。其他勒索组织通常是以受害者为目标，并将大部分攻击工作外包给由初始访问经纪人和渗透测试团队组成的附属网络。

据 Chainalysis 称，在过去几年中，这种「大猎杀战术」已成为众多勒索软件团伙利用的主流趋势。

300家小型银行因勒索攻击导致支付系统中断

GenAI账户凭证被盗，暗网每日交易量达400条

攻击者劫持Facebook页面用于推广恶意AI照片编辑器

此次钓鱼活动中的攻击始于潜在受害者看到广告之前。因为攻击者首先会向目标社交媒体页面的所有者发送网络钓鱼信息，以获得页面控制权供自己恶意使用。发送者账户的个人资料基本都是空的，因为用户名基本是随机生成的。

信息中的钓鱼链接通常以直接链接或个性化链接页面的形式发送，如 linkup.top、bio.link、s.id 和 linkbio.co 等。有时，攻击者甚至滥用 Facebook 的开放重定向 URL，使这些链接看起来更合法。

如果页面操作员点击这些链接，就会出现一个要求他们向 Meta 开发人员的 「业务支持中心」核实信息的页面。点击屏幕上的「在此验证您的信息」链接，就会进入一个虚假的账户保护页面，在随后的几个步骤中，该页面会要求用户提供登录和接管账户所需的信息，如电话号码、电子邮件地址、生日和密码等。

在目标用户提供这些信息后，攻击者会窃取其个人资料，并开始创建和发布人工智能照片编辑器的恶意广告，广告链接到一个使用合法工具（如 Evoto）名称的虚假域名。

Horejsi 写道：假冒的照片编辑器网页看起来与原始网页非常相似，这有助于欺骗受害者，让他们以为自己正在下载照片编辑器。

然而，上钩的用户实际下载的是免费的 ITarian 端点管理软件。攻击者利用一系列后端进程控制，最终控制受害者的机器下载最终的有效载荷--Lumma 窃取程序。

据趋势科技称，人们有很多方法可以避免成为滥用社交媒体页面的活动和威胁的受害者，这些活动和威胁不仅会损害用户的利益，而且还会通过被盗的凭据作为进入企业基础设施的初始入口而导致二次攻击。

研究人员建议社交媒体用户应在其所有账户上启用多因素身份验证，以增加一层额外的保护，防止未经授权的访问，并在所有账户上定期更新和使用强大、唯一的密码。

企业还应定期开展教育和提高认识活动，让员工了解在访问企业网络时社交媒体上潜伏的危险，以及如何识别与网络钓鱼攻击相关的可疑信息和链接。

最后，企业和个人用户都应监控其账户是否有任何异常行为，如意外登录尝试或账户信息变更，组织应采用某种检测和响应机制。

#03 数据安全

「网证」来了？《国家网络身份认证公共服务管理办法（征求意见稿）》发布

为强化公民个人信息保护，推进并规范国家网络身份认证公共服务建设应用，加快实施网络可信身份战略，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国反电信网络诈骗法》等法律法规，近日公安部、国家互联网信息办公室联合发布《国家网络身份认证公共服务管理办法（征求意见稿）》（以下简称《征求意见稿》）。

《征求意见稿》共16条，主要包括四个方面的内容：一是明确了公共服务和「网号」「网证」等概念；二是明确了公共服务的使用方式和场景；三是强调了公共服务平台和互联网平台的数据和个人信息保护义务；四是明确了公共服务平台和互联网平台违反数据和个人信息保护义务的法律责任。

据介绍，国家组织建设网络身份认证公共服务基础设施，旨在建成国家网络身份认证公共服务平台，形成国家网络身份认证公共服务能力，为社会公众统一签发「网号」「网证」，提供以法定身份证件信息为基础的真实身份登记、核验服务，达到方便人民群众使用、保护个人信息安全、推进网络可信身份战略的目标。基于国家网络身份认证公共服务，自然人在互联网服务中依法需要登记、核验真实身份信息时，可通过国家网络身份认证APP自愿申领并使用「网号」「网证」进行非明文登记、核验，无需向互联网平台等提供明文个人身份信息。

根据《征求意见稿》，持有有效法定身份证件的自然人，可自愿向公共服务平台申领网号、网证。不满十四周岁的自然人需要申领网号、网证的，应当征得其父母或者其他监护人同意，并由其父母或者其他监护人代为申领。已满十四周岁未满十八周岁的自然人需要申领网号、网证的，应当在其父母或者其他监护人的监护下申领。

《征求意见稿》提出，鼓励互联网平台按照自愿原则接入公共服务，用以支持用户使用网号、网证登记、核验用户真实身份信息，依法履行个人信息保护和核验用户真实身份信息的义务。互联网平台接入公共服务后，用户选择使用网号、网证登记、核验真实身份信息并通过验证的，互联网平台不得要求用户另行提供明文身份信息，法律、行政法规另有规定或者用户同意提供的除外。互联网平台应当保障使用网号、网证的用户与其他用户享有相同服务。

以下是《国家网络身份认证公共服务管理办法（征求意见稿）》全文。

国家网络身份认证公共服务管理办法

（征求意见稿）

第一条为实施网络可信身份战略，推进国家网络身份认证公共服务建设，保护公民身份信息安全，促进数字经济发展，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国反电信网络诈骗法》等法律法规，制定本办法。

第二条本办法所称国家网络身份认证公共服务（以下称「公共服务」），是指国家根据法定身份证件信息，依托国家统一建设的网络身份认证公共服务平台（以下称「公共服务平台」），为自然人提供申领网号、网证以及进行身份核验等服务。

本办法所称网号，是指与自然人身份信息一一对应，由字母和数字组成、不含明文身份信息的网络身份符号；网证，是指承载网号及自然人非明文身份信息的网络身份认证凭证。网号、网证可用于在互联网服务及有关部门、行业管理、服务中非明文登记、核验自然人真实身份信息。

第三条国务院公安部门、国家网信部门依照各自法定职责，负责国家网络身份认证公共服务的监督管理，监督、指导公共服务平台依法落实数据安全和个人信息保护义务。

国务院民政、文化和旅游、广播电视、卫生健康、铁路、邮政等部门依照本办法和有关法律、行政法规的规定，在各自职责范围内负责国家网络身份认证公共服务的推广应用和监督管理工作。

第四条持有有效法定身份证件的自然人，可自愿向公共服务平台申领网号、网证。

不满十四周岁的自然人需要申领网号、网证的，应当征得其父母或者其他监护人同意，并由其父母或者其他监护人代为申领。

已满十四周岁未满十八周岁的自然人需要申领网号、网证的，应当在其父母或者其他监护人的监护下申领。

第五条根据法律、行政法规规定，在互联网服务中需要登记、核验用户真实身份信息的，可以使用网号、网证依法进行登记、核验。

不满十四周岁的自然人使用网号、网证登记、核验真实身份信息的，应当征得其父母或者其他监护人同意。

第六条鼓励有关主管部门、重点行业按照自愿原则推广应用网号、网证，为用户提供安全、便捷的身份登记和核验服务，通过公共服务培育网络身份认证应用生态。

第七条鼓励互联网平台按照自愿原则接入公共服务，用以支持用户使用网号、网证登记、核验用户真实身份信息，依法履行个人信息保护和核验用户真实身份信息的义务。

互联网平台接入公共服务后，用户选择使用网号、网证登记、核验真实身份信息并通过验证的，互联网平台不得要求用户另行提供明文身份信息，法律、行政法规另有规定或者用户同意提供的除外。

互联网平台应当保障使用网号、网证的用户与其他用户享有相同服务。

第八条互联网平台需要依法核验用户真实身份信息但无需留存用户法定身份证件信息的，公共服务平台应当仅提供用户身份核验结果。

根据法律、行政法规规定，互联网平台确需获取、留存用户法定身份证件信息的，经用户授权或者单独同意，公共服务平台应当按照最小化原则提供。

未经自然人单独同意，互联网平台不得擅自处理或者对外提供相关数据信息，法律、行政法规另有规定的除外。

第九条公共服务平台处理个人信息不得超出为自然人提供申领网号、网证以及进行身份核验等服务所必需的范围和限度，在向自然人提供公共服务时应当依法履行告知义务并取得其同意。处理敏感个人信息的，应当取得个人的单独同意，法律、行政法规规定应当取得书面同意的，从其规定。

未经自然人单独同意，公共服务平台不得擅自处理或者对外提供相关数据信息，法律、行政法规另有规定的除外。

公共服务平台应当依照法律、行政法规规定或者用户要求，及时删除用户个人信息。

第十条公共服务平台在处理用户个人信息前，应当通过用户协议等书面形式，以显著方式、清晰易懂的语言真实、准确、完整地向用户告知下列事项：

处理敏感个人信息的，还应当向个人告知处理的必要性以及对个人权益的影响，法律、行政法规另有规定的除外。

第十一条公共服务平台处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。

紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，公共服务平台应当在紧急情况消除后及时告知。

第十二条公共服务平台应当加强数据安全和个人信息保护，依法建立并落实安全管理制度与技术防护措施。

第十三条公共服务平台的建设和服务涉及密码的，应当符合国家密码管理有关要求。

第十四条违反本办法第七条第二款、第八条、第九条、第十条、第十二条规定，依照《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》应当追究法律责任的，由国务院公安部门、国家网信部门在各自职责范围内依法予以处罚；构成犯罪的，依法追究刑事责任。

第十五条本办法所称法定身份证件，包括居民身份证、定居国外的中国公民的护照、前往港澳通行证、港澳居民来往内地通行证、台湾居民来往大陆通行证、港澳居民居住证、台湾居民居住证、外国人永久居留身份证等身份证件。

第十六条本办法自 年 月 日起施行。

Sitting Ducks攻击，超过35000个域名被劫持！

大规模短信窃取，全球113个国家的Android设备遭入侵

美国一血液中心遭网络攻击 多地供血服务受到影响

微软确认DDOS攻击导致全球Azure中断

雷德蒙德已经确认，7 月 30 日长达 8 小时的 Azure 中断是由分布式拒绝服务攻击引发的，但“[他们的]防御实施错误”加剧了这种情况。

制药巨头Cencora证实个人和健康信息被盗

消息由湖南省网络空间安全协会整理编辑，涉及版权请联系删除，如有转载请标明出处。