5th域安全微讯早报【20240816】197期

2024-08-16 星期五Vol-2024-197

今日热点导读

1. 白宫报告提出增强QIST国际合作的政策建议

2. ISAGCA发布报告探讨零信任模型在OT网络安全中的应用

3. 得克萨斯州总检察长起诉通用汽车非法收集驾驶数据

4. 《华盛顿时报》遭Rhysida勒索：5个比特币出售内部敏感文件

5. DEF CON呼吁网络安全志愿者加强关键基础设施防护

6. LulzSec Muslims 向阿根廷政府索要赎金

7. 黑暗网络威胁行为者出售全球多行业访问权限

8.IBM QRadar 关键漏洞允许远程攻击者执行任意代码

9. CISA披露AVEVA、Ocean Data和Rockwell自动化关键基础设施设备安全漏洞

10. 微软Entra ID身份验证绕过漏洞威胁混合云安全

11. 新型恶意软件平台“Cyclops”威胁网络安全

12. RansomHub组织部署新型EDR终结工具进行网络攻击

13. 新型Gafgyt僵尸网络变种利用弱SSH密码进行GPU加密货币挖掘

14. 美国开发新型核电池，力图缩小与中国的技术差距

资讯详情

政策法规

1. 白宫报告提出增强QIST国际合作的政策建议

本周，美国政府发布了一份关于推进量子信息科学与技术（QIST）国际合作的报告。报告提出了多项政策建议，以加强国际合作，推动QIST领域的创新与发展。报告指出，尽管美国长期支持QIST国际合作，但仍需调整和加强其策略，以更好地利用国际合作机会，推动美国在QIST领域的优先事项。报告建议，美国政府应建立长期机制资助国际QIST合作，增强跨机构协调，并设立全球竞争力指标。此外，报告强调国际合作应以科学探究、共享价值观和经济利益为基础，通过科学研讨会和专家交流等方式推动合作。报告还指出，当前的国际合作面临技术能力、战略优先事项和资金体系等方面的挑战。总的来说，报告呼吁美国通过国际合作维持在QIST领域的领导地位，推动全球QIST生态系统的科学驱动和安全发展。

来源：https://industrialcyber.co/reports/white-house-report-outlines-policy-recommendations-for-enhancing-international-cooperation-in-qist/

2. ISAGCA发布报告探讨零信任模型在OT网络安全中的应用

2024年8月14日，国际自动化学会全球网络安全联盟（ISAGCA）发布了一份白皮书，探讨了零信任模型在操作技术（OT）和工业控制系统（ICS）中的应用成果。该报告名为《使用ISA/IEC 62443标准的零信任成果》，分析了如何将ISA/IEC 62443系列标准应用于OT中的零信任策略。零信任已成为广泛接受的网络安全策略，其核心理念是风险无处不在，包括内部和外部。ISAGCA的白皮书指出，在OT环境中，零信任模型应与ISA/IEC 62443标准相结合，以增强网络安全。报告建议，在实施零信任时，应避免干扰或覆盖关键的安全功能，特别是涉及容错系统设计的安全功能。虽然实施零信任模型可能会带来额外的初期和维护成本，但它能显著提升安全战略的组织和理解。如果在某些OT网络中无法完全实现零信任原则，建议采用混合方法来增强检测和响应能力。该白皮书现已在ISAGCA官网提供下载。

来源：https://www.darkreading.com/ics-ot-security/new-isagca-report-explores-zero-trust-outcomes-in-ot-cybersecurity

安全事件

3. 得克萨斯州总检察长起诉通用汽车非法收集驾驶数据

得克萨斯州总检察长肯·帕克斯顿对通用汽车（GM）提起诉讼，指控该公司违反州隐私法，非法收集和销售驾驶员信息。帕克斯顿指出，GM故意误导消费者，通过推广要求注册的产品，如OnStar Smart Driver等安全功能，秘密收集并将其数据出售给第三方，包括驾驶评分公司，这些公司再将数据出售给保险公司。诉讼要求对每项违规行为处以高达1万美元的罚款，并要求GM销毁所有收集的数据。此次诉讼影响自2015年以来在得克萨斯州销售的所有GM汽车，涉及约180万客户，可能导致巨额罚款。GM表示正在与帕克斯顿办公室沟通，并致力于保护消费者隐私。此外，美国联邦贸易委员会（FTC）已警告汽车制造商，将密切关注客户数据的收集和销售行为，特别是地理数据和敏感信息的泄露。汽车隐私问题近年来成为消费者权益保护者关注的焦点，Privacy4Cars发布的Vehicle Privacy Report工具显示，汽车每小时可产生高达25GB的数据，而WIRED报告指出大多数大型汽车品牌收集了大量驾驶和车辆状态数据。

来源：https://www.securitylab.ru/news/551158.php

4. 《华盛顿时报》遭Rhysida勒索：5个比特币出售内部敏感文件

8月15日，众多媒体报道，Rhysida勒索软件团伙声称对美国保守派媒体《华盛顿时报》实施了勒索攻击，并在暗网上将其列为拍卖目标，宣称拥有“独家数据”待售。该团伙在其博客上发布消息，表示将在七天内公布数据，除非有人购买。当前的数据售价为五个比特币，但团伙表示接受出价。虽然他们未明确说明被盗数据的内容，但在泄露网站上显示的样本表明，可能包含姓名、地址、银行数据、发票以及至少一名《华盛顿时报》记者的驾照和社保号码等信息。截至目前，《华盛顿时报》尚未对此事件发表公开评论。Rhysida团伙有一系列高调网络攻击的历史，例如去年年底，他们攻破并泄露了《蜘蛛侠2》开发商Insomniac Games的数据，并曾拍卖英国图书馆的数据，导致长时间的网络修复工作。

来源：https://www.securitylab.ru/news/551155.php

5. DEF CON呼吁网络安全志愿者加强关键基础设施防护

DEF CON会议组织呼吁网络安全志愿者加入“Franklin”计划，旨在保护缺乏专业防护能力的关键基础设施和学校系统。该计划由芝加哥大学哈里斯网络政策倡议领导，计划编制《2024黑客年鉴》，汇总DEF CON活动中的前沿研究和漏洞发现。Franklin主席Jake Braun表示，初步工作将集中在美国约50,000个水务设施上，之后计划扩展到其他领域。DEF CON创始人Jeff Moss指出，虽然这一计划雄心勃勃，但从中获得的经验将证明其价值。目前，关键基础设施面临的最大网络安全挑战是勒索软件攻击。网络犯罪分子特别擅长针对许多公用事业依赖的工业控制系统（ICS）。国家级攻击者也可能在冲突中植入恶意软件，攻击这些基础设施以瘫痪对手。由于许多设施由小城市运营，缺乏足够的网络安全预算，迫切需要网络安全专家的志愿支持。

来源：https://securityboulevard.com/2024/08/def-con-calls-for-cybersecurity-volunteers-to-defend-critical-infrastructure/

6. LulzSec Muslims 向阿根廷政府索要赎金

LulzSec Muslims，一个威胁行为者组织，通过其Telegram频道宣称，他们迫使阿根廷政府就敏感的军事和警察数据支付赎金。该组织声称，阿根廷政府作为回应，攻击了他们的暗网网站，并删除了他们的Telegram频道。尽管如此，该组织誓言将继续其网络行动，并声明他们的攻击将持续“直到审判日”。LulzSec Muslims批评了阿根廷的网络安全措施，认为该国的防御系统不足，只能通过封锁和攻击他们的数字资产来遏制该组织的活动。该组织强调，他们将继续威胁发布敏感的军事数据，声称这些数据包括有关45,000个人的资料以及警察记录。该组织为阿根廷设定了五天的最后期限，以满足他们的赎金要求，并威胁说如果要求未被满足，他们将公布被盗数据。

来源：https://dailydarkweb.net/lulzsec-muslims-demands-ransom-from-argentine-government/

7. 黑暗网络威胁行为者出售全球多行业访问权限

2024年8月15日，一名威胁行为者在黑暗网络论坛上发布了详细的网络访问权限清单，列出了各种组织的访问类型、所属行业和定价信息。该清单涉及多个国家的组织，包括新加坡和肯尼亚等。例如，在新加坡，一家年收入1300万美元的交通组织的远程桌面协议（RDP）访问权限售价为300美元。相比之下，多米尼加共和国一家年收入高达2亿美元的电信公司的Citrix访问权限售价为400美元。该清单主要集中在高校领域，涵盖泰国、波兰、西班牙、意大利、印度、秘鲁、斯里兰卡和肯尼亚的多所高校。许多访问权限涉及Fortinet或Citrix系统，价格在100美元至250美元不等。帖子还提供了通过Telegram、XMPP和Tox等平台的联系信息。

来源：https://dailydarkweb.net/threat-actor-allegedly-offers-access-across-multiple-sectors-and-countries/

漏洞预警

8. IBM QRadar 关键漏洞允许远程攻击者执行任意代码

IBM近期发布安全公告，揭示其QRadar套件软件中存在多项关键漏洞，这些漏洞已在最新版本中得到修复。QRadar是集成SIEM、SOAR、网络流量分析和漏洞管理的网络安全平台，用于威胁检测和事件响应。受影响的版本包括IBM Cloud Pak for Security 1.10.0.0至1.10.11.0，以及QRadar套件软件1.10.12.0至1.10.23.0。报告中提到的漏洞包括Node.js jose模块（CVE-2024-28176）导致的拒绝服务、Jinja模板引擎（CVE-2024-34064）的跨站脚本攻击、idna模块（CVE-2024-3651）引发的本地拒绝服务、以及fast-loops库（CVE-2024-39008）中的任意代码执行漏洞。IBM强烈建议用户尽快升级至1.10.24.0或更高版本，以避免潜在的安全风险。目前尚无可用的变通方案或缓解措施，因此尽快应用更新至关重要。

来源：https://cybersecuritynews.com/ibm-qradar-vulnerabilities/

9. CISA披露AVEVA、Ocean Data和Rockwell自动化关键基础设施设备安全漏洞

美国网络安全与基础设施安全局（CISA）发布了十项涉及工业控制系统（ICS）的安全公告，警示AVEVA、Ocean Data Systems及Rockwell Automation等关键基础设施设备中的多项安全漏洞。这些漏洞包括AVEVA SuiteLink服务器的资源分配漏洞（CVE-2024-7113）、Rockwell AADvance Standalone OPC-DA服务器的输入验证漏洞（CVE-2024-40619），以及Rockwell ControlLogix 5580设备的拒绝服务漏洞等。若被成功利用，这些漏洞可能导致任意代码执行、敏感数据泄露、拒绝服务等严重后果。CISA建议相关组织尽快升级受影响的产品版本，以防范潜在威胁，并强调全面可见性和资产管理在多阶段攻击中的重要性。

来源：https://industrialcyber.co/cisa/cisa-reveals-security-flaws-in-critical-infrastructure-equipment-from-aveva-ocean-data-systems-rockwell-automation/

10. 微软Entra ID身份验证绕过漏洞威胁混合云安全

研究人员发现微软Entra ID身份环境中的凭证验证过程存在操纵方式，攻击者可利用此方法绕过混合身份基础设施的认证。该攻击需攻击者在承载Pass-Through Authentication（PTA）代理的服务器上拥有管理员访问权限，PTA代理允许用户使用本地Entra ID凭证登录云服务。Cymulate的研究人员报告称，利用此访问权限，攻击者可以作为Entra ID用户跨不同本地域登录，无需单独认证。Cymulate安全研究员Ilan Kalendarov指出，该漏洞实际上将PTA代理变成了“双面间谍”，允许攻击者在不知道实际密码的情况下登录为任何已同步的AD用户。这可能潜在地授予访问全局管理员用户权限，无论其原始同步的AD域如何，并实现对不同本地域的横向移动。微软尚未立即回应评论请求，但据Cymulate称，微软计划修复其端的代码以解决此问题。

来源：https://www.darkreading.com/application-security/unfixed-microsoft-entra-id-authentication-bypass-threatens-hybrid-clouds

恶意软件

11. 新型恶意软件平台“Cyclops”威胁网络安全

2024年7月，研究人员发现了一个名为“Cyclops”的新型恶意软件平台，与APT 35（又称Charming Kitten）黑客组织有关。该平台由Go语言编写，允许攻击者在受害者的Windows系统上执行任意命令，对中东及其他地区的网络安全构成严重威胁。Cyclops可能是先前BellaCiao恶意软件的继任者，其开发预计在2023年12月完成。该平台通过SSH隧道暴露的HTTP REST API控制，能操纵目标系统的文件系统并在受感染网络中横向移动。虽然目前尚不清楚Cyclops的具体部署方式，但研究人员推测其可能通过利用服务器上的漏洞，如ASP .NET webshell或Exchange Web服务器漏洞进行传播。Cyclops伪装为“Microsoft SqlServer.exe”进程，利用go-svc库在Windows系统上以服务形式运行，进一步增加了其隐蔽性和威胁性。

来源：https://cybersecuritynews.com/malware-cyclops-arbitrary-commands/

12. RansomHub组织部署新型EDR终结工具进行网络攻击

RansomHub组织与其关联的勒索软件攻击中，部署了一种名为EDRKillShifter的新工具，专门用于终止被入侵主机上的终端检测与响应（EDR）软件。该工具被Sophos公司发现，与2024年5月的一次失败勒索软件攻击有关。EDRKillShifter是一个“加载器”可执行文件，能够利用易受攻击的合法驱动程序（即BYOVD工具）加载多种驱动程序负载，从而获取更高权限并关闭EDR软件。此工具的最终负载由Go语言编写，并经过混淆处理。此外，Sophos的研究表明，该恶意软件的编写者可能使用了俄语本地化设置的计算机。为应对这一威胁，建议保持系统更新，启用EDR软件的防篡改功能，并确保Windows安全角色的强大管理。此外，分离用户和管理员权限有助于防止攻击者轻易加载驱动程序。

来源：https://thehackernews.com/2024/08/ransomhub-group-deploys-new-edr-killing.html

13. 新型Gafgyt僵尸网络变种利用弱SSH密码进行GPU加密货币挖掘

网络安全研究人员发现了Gafgyt僵尸网络的新变种，该变种通过弱SSH密码攻击目标机器，利用其GPU计算能力进行加密货币挖掘。Gafgyt（又名BASHLITE、Lizkebab和Torlus）自2014年活跃以来，一直通过利用弱或默认凭据控制路由器、摄像头和数字视频录制器等设备。最新变种使用了“systemd-net”来执行加密货币挖掘任务，并在部署挖掘负载前终止已存在的恶意软件。它还包括一个Go语言编写的SSH扫描器ld-musl-x86，用于扫描互联网并传播恶意软件到其他系统，扩大僵尸网络规模。Gafgyt的新变种主要针对具备强大CPU和GPU计算能力的云原生环境，而不是传统的DDoS攻击。研究表明，Gafgyt变种利用了XMRig挖掘器进行Monero加密货币挖掘，同时利用GPU和Nvidia GPU的计算能力。

来源：https://thehackernews.com/2024/08/new-gafgyt-botnet-variant-targets-weak.html

其他动态

14. 美国开发新型核电池，力图缩小与中国的技术差距

2024年8月15日，美国公司Kronos Advanced Technologies与Yasheng Group宣布联合开发基于镍-63的核电池。这种新型电池预计能在无需充电的情况下工作长达50年，适用于医学、航天、遥感和军事等多个领域。这项技术的推出意在加强美国在能源技术领域的竞争力，并缩小与中国在这一领域的差距。该项目的发布恰逢中国初创公司Betavolt推出其核电池BV100，尽管目前仍在测试阶段。美国公司不仅目标是开发出具有市场竞争力的产品，还希望进军中国市场，获取战略优势。核电池通过放射性同位素的衰变来转化电能，相较于核反应堆，其能量输出更为稳定且风险较低。这种电池可以在医疗设备、航天任务、远程传感器等场景中提供长效稳定的能源，特别适合需要长期不间断供电的应用。

来源：https://www.securitylab.ru/news/551171.php

往期推荐