5th域安全微讯早报【20250108】007期

2025-01-08 星期三 Vol-2025-007

今日热点导读

1. 白宫推出“网络信任”标志以提升消费智能设备网络安全

2. 即将卸任的网络沙皇呼吁联邦预算优先考虑网络安全

3. 法国Inria与微软合作开发C到Rust的自动代码转换工具

4. 芬兰发现俄罗斯“间谍”船涉嫌破坏海底电缆，要求扣押并赔偿

5. 华盛顿州起诉 T-Mobile 因网络安全漏洞导致 2021 年数据泄露

6. 联合国国际民航组织正积极调查网络犯罪分子声称的数据泄露事件

7. Telegram向美国执法部门提交数千名用户数据

8. Illumina 通知客户其 DNA 测序仪存在严重漏洞

9. CISA 警告联邦机构防范Oracle和Mitel系统中被利用的严重漏洞

10. 2024年网络钓鱼点击率增长近两倍，云应用程序成主要目标

备注: 更多资讯信息，欢迎订阅！

资讯详情

政策法规

1. 白宫推出“网络信任”标志以提升消费智能设备网络安全

【The Record网站1月8日消息】白宫宣布将于2025年推出“网络信任”标志，旨在帮助消费者识别符合联邦网络安全标准的智能设备。该标志为自愿性计划，允许生产无线互联智能产品的公司接受网络安全审计，通过后可在产品上显示独特的盾牌标志。美国联邦通信委员会（FCC）已于2024年3月批准该计划，并于上个月指定11家公司担任网络安全标签管理员，其中包括主管理员UL Solutions。白宫还计划发布行政命令，规定自2027年起联邦政府仅采购带有该标志的设备。国家网络安全副顾问安妮·纽伯格强调，随着美国家庭平均拥有21台联网设备，网络安全威胁日益严峻，该标志将激励企业遵循安全标准生产产品，并为消费者提供简单的方式识别设备的安全性。该计划依据美国国家标准与技术研究所的网络安全标准，测试内容包括默认密码、软件更新和数据保护等方面。亚马逊、百思买等主要零售商已表示支持该计划，并计划重点宣传获得该标志的产品。

2. 即将卸任的网络沙皇呼吁联邦预算优先考虑网络安全

【The Record网站1月8日消息】美国国家网络总监哈里·科克在卸任前呼吁联邦政府继续将网络安全作为预算优先事项。科克在民主防御基金会的活动中强调，尽管国家面临预算压力，但网络安全的重要性不容忽视。他指出，国家网络主管办公室（ONCD）与管理与预算办公室（OMB）于2024年发布的数字安全基准清单，旨在帮助各机构在2026财年预算中落实网络安全措施。科克表示，希望新一届政府能够延续这一努力，确保网络安全在联邦预算中得到充分重视。他还提到，ONCD在过去四年中在资源有限的情况下尽力推动了网络安全工作。科克的言论正值特朗普政府即将上任之际，而特朗普在其第一任期内并未将网络安全列为优先事项。科克强调，减少赤字固然重要，但必须在现有预算中优先保障网络安全。

3. 法国Inria与微软合作开发C到Rust的自动代码转换工具

【SecurityLab网站1月7日消息】法国Inria研究中心与微软合作开发了一种将C代码自动转换为安全Rust代码的工具，旨在解决C语言内存安全问题。C语言因其手动内存管理易导致越界和使用后释放等漏洞，长期以来成为软件漏洞的主要来源。例如，2019年Android系统中76%的漏洞与内存安全问题相关。相比之下，Rust语言内置内存安全机制，能够有效避免此类问题。研究人员创建了名为Mini-C的C语言子集，通过KaRaMeL编译器实现自动转换，成功将HACL密码库（80,000行代码）和EverParse序列化库（1,400行代码）转换为Rust代码，且性能保持不变。该工具已在Mozilla NSS和OpenSSH等实际项目中应用，显著提升了代码安全性。这一创新为开发人员提供了一种高效且安全的方式，将现有C代码迁移到Rust，同时避免了传统方法中性能下降和兼容性问题。

安全事件

4. 芬兰发现俄罗斯“间谍”船涉嫌破坏海底电缆，要求扣押并赔偿

【The Record网站1月7日消息】芬兰当局正在调查圣诞节期间发生的海底电缆断裂事件，发现并打捞了一只疑似由俄罗斯“间谍”船“Eagle S”号拖曳的锚。该锚被发现于波罗的海海底，靠近被破坏的C-Lion1海底电缆附近。芬兰电信公司Cinia已向法院申请扣押“Eagle S”号，以索赔因电缆断裂造成的损失。芬兰警方在瑞典海军的协助下完成了锚的打捞工作，并计划对其进行技术检查。目前，“Eagle S”号已被扣押在波尔沃的Kilpilahti石油港口，船上8名船员被禁止离境，接受进一步调查。这是C-Lion1电缆第二次受损，此前11月的事故疑似由中国货船“Yi Peng 3”号造成，但因中国当局的阻挠，调查未能深入。此次事件再次凸显了海底电缆的脆弱性，尤其是在俄罗斯被指控进行一系列破坏活动的背景下。

5. 华盛顿州起诉 T-Mobile 因网络安全漏洞导致 2021 年数据泄露

【The Record网站1月7日消息】华盛顿州对T-Mobile提起诉讼，指控其网络安全措施不当导致2021年发生大规模数据泄露事件，影响了超过200万该州居民的个人数据，使其面临身份盗窃和欺诈的风险。州检察长鲍勃·弗格森称，T-Mobile多年来明知其网络安全存在漏洞却未采取有效修复措施，且在泄露事件中未充分告知客户哪些信息被泄露。2021年的入侵事件导致全美7900万T-Mobile客户数据泄露，其中包括华盛顿州18.3万人的社会安全号码。T-Mobile此前已与美国联邦通信委员会（FCC）达成和解，支付3150万美元罚款并承诺加强网络安全措施。然而，华盛顿州认为T-Mobile的补救措施不足，要求其承担民事处罚并强制改进网络安全计划。T-Mobile表示对诉讼感到意外，并强调已与州检察长办公室多次沟通，同时指出公司在过去四年中已大幅提升网络安全水平。

6. 联合国国际民航组织正积极调查网络犯罪分子声称的数据泄露事件

【The Record网站1月7日消息】联合国国际民用航空组织（ICAO）正在调查一起潜在的信息安全事件。此前，黑客论坛BreachForums 2上一个名为“Natohub”的账户声称泄露了ICAO的42,000份文件，其中包括14,000名联合国代表的个人数据，如全名、出生日期、实际地址、电子邮件地址、电话号码以及教育和就业信息。ICAO表示已立即采取安全措施，并正在进行全面调查，初步调查完成后将提供更多信息。该事件据称与一个以国际组织为目标的威胁行为者有关。

7. Telegram向美国执法部门提交数千名用户数据

【BleepingComputer网站1月7日消息】Telegram在其最新的透明度报告中透露，已响应900项美国政府请求，向执法部门提供了2,253名用户的电话号码或IP地址信息。这一数字较往年大幅增加，主要源于2024年9月Telegram隐私政策的调整。此前，Telegram仅在涉及恐怖主义事件时共享用户数据，而新政策允许其在网络犯罪、非法商品销售和网络欺诈等案件中与执法部门合作。Telegram创始人兼首席执行官Pavel Durov因拒绝协助犯罪调查于2024年8月在法国被捕，随后平台调整了隐私政策。尽管政策变化导致部分网络犯罪集团退出Telegram，但网络犯罪情报公司KELA指出，整体形势尚未显著改变。下一份透明度报告将于2025年4月发布，进一步揭示数据共享趋势。

漏洞预警

8. Illumina 通知客户其 DNA 测序仪存在严重漏洞

【The Record网站1月8日消息】医疗技术供应商Illumina正在通知客户其流行的DNA测序仪Illumina iSeq 100存在多个漏洞，这些漏洞可能被黑客利用以禁用设备或植入恶意固件。网络安全公司Eclypsium发现了九个漏洞，其中四个的严重性评分为7.5分（满分10分），并指出攻击者可能通过篡改设备固件窃取数据或操纵测试结果，例如伪造遗传病诊断或疫苗研究数据。尽管尚未发现实际攻击，但Eclypsium警告称，这些漏洞可能被国家支持的黑客或勒索软件组织利用。Illumina表示已提供修复程序并通知客户，同时强调其初步评估认为风险较低。此外，Eclypsium指出，其他使用相同主板的医疗设备也可能存在类似漏洞。过去两年，美国食品药品监督管理局（FDA）和网络安全与基础设施安全局（CISA）已多次警告Illumina产品的安全问题。

9. CISA 警告联邦机构防范Oracle和Mitel系统中被利用的严重漏洞

【BleepingComputer网站1月7日消息】美国网络安全和基础设施安全局（CISA）警告联邦机构防范Oracle WebLogic Server和Mitel MiCollab系统中被恶意利用的严重漏洞。CISA已将Mitel MiCollab统一通信平台中的关键路径遍历漏洞（CVE-2024-41713）添加到其已知被利用漏洞目录中，该漏洞允许攻击者未经身份验证访问配置信息并执行未经授权的管理操作。此外，CISA还警告了Oracle WebLogic Server的一个严重漏洞（CVE-2020-2883），该漏洞已于2020年修补，但未修补的服务器仍可能被远程入侵。CISA要求联邦民事行政部门机构在1月28日前修复这些漏洞，并建议所有组织优先缓解这些安全问题以阻止攻击。

风险预警

10. 2024年网络钓鱼点击率增长近两倍，云应用程序成主要目标

【信息安全杂志网站1月7日消息】根据Netskope的最新研究，2024年企业用户点击网络钓鱼链接的频率较2023年增长了190%，每月每1000名用户中有超过8人点击钓鱼链接。这一增长归因于认知疲劳、网络钓鱼攻击数量增加以及攻击者使用更具创意的诱饵。云应用程序是网络钓鱼的主要目标，占点击量的27%，其中微软是最常被攻击的品牌。银行和电信提供商分别占17%和13%。此外，网络钓鱼链接的来源从电子邮件转向搜索引擎、购物网站等多样化渠道，表明攻击者正在采用更复杂的社会工程手段。与此同时，2024年生成式人工智能（GenAI）在工作场所的使用激增，94%的公司使用GenAI应用程序，但大多数组织已采取措施缓解相关安全和隐私风险。