行业动态 伊朗 美国 黑客攻击当地时间1月4日晚，美国国土安全部(DHS)正在监控美国政府出版局(GPO)运营的联邦图书馆计划(FDLP)网站遭到明显黑客攻击一事。当晚，一张“伊朗革命卫队拳打特朗普”的图片上了网站首页。美国政府出版局首席公共关系官也证实了此事，并表示该网站目前已处于离线脱机状态。美国官方也证实了此次黑客攻击事件。此外，“今日俄罗斯”(RT)提到，此次黑客攻击事件的发起者自称来自“伊朗网络安全组织黑客S”，旨在抗议美国无人机在巴格达用导弹暗杀了伊朗少将苏莱马尼。

行业动态 区块链 虚拟货币交易近日，央行以及北京的金融证券监管机构对数字货币交易的风险发出警告，声明称：伴随着区块链技术宣传推广，虚拟货币交易活动在境内有死灰复燃迹象，部分虚拟货币交易平台面向境内居民提供虚拟货币交易服务，通过数字货币抵押推出零息借贷、双币理财等项目，严重违反人民银行等七部委发布的《关于防范代币发行融资风险的公告》，涉嫌从事非法金融活动，扰乱经济金融秩序。

行业动态 政策法规 数字经济治理2019年12月26日，中国信息通信研究院在北京召开“2020年中国信通院ICT深度观察报告会”，在“数字经济分论坛”上，中国信通院发布了《数字经济治理白皮书（2019）》。这是继2017、2018年之后，中国信通院第三次发布数字经济治理相关白皮书，内容涵盖数字经济数据治理、算法治理、数字市场竞争治理、网络生态治理新态势，以及全球数字经济治理展望等多个方面。

行业动态 法规标准 智能家居亚马逊、苹果、谷歌和 Zigbee 联盟正着力联手制定新的智能家居标准，该项目已经以 “IP 互联家庭计划”（Project Connected Home over IP，CHIP）的名义上线。CHIP将通过建立基于 Internet 协议（IP）的项目，实现智能家居设备、移动应用程序和云服务之间的通信，并为设备认证定义一套特定的基于IP的联网技术。工作组表示，将采用开源的方法来开发和实施新的统一连接协议。从而简化和加速制造商的开发，并提高智能家居产品之间的兼容性及安全性。

行业动态 微软 官方起诉 Thallium微软起诉了一个网络间谍组织Thallium，该组织与朝鲜关系密切。据12月27日收到的起诉书表明，该组织通过鱼叉式网络钓鱼攻击侵入其客户的账户和网络，以窃取敏感信息。微软表示，Thallium的攻击目标不限于公共或者私营行业，政府官员、从事核扩散问题的组织和个人、智库、大学工作人员，维和组织成员、人权组织以及许多其他组织和个人都是他们的目标。

行业动态 俄罗斯 信息安全近日，据外媒报道，俄罗斯总统普京签署了一项法令，将俄罗斯外交部的部门数量从41个增加到42个。根据该部门的Facebook页面，俄罗斯外交部新成立的第42个部门将处理国际信息安全，包括打击将信息技术用于军事、政治、恐怖主义和其他犯罪目的的行为。俄罗斯外交部官方代表Maria Zakharova表示，该部门的主要思想是制定一种可以被普遍接受的规则，以应对网络相关的挑战。

行业动态 罚款 Facebook近日，Facebook因不正确的分享用户数据被巴西司法部罚款160万美元。巴西司法部消费者保护部门称，它发现443,000名Facebook用户的数据被提供给了thisisyourdigitallife应用的开发商，分享的意图是“可疑的”。Facebook表示考虑上诉，称它已经做出了改变限制应用开发商能访问的信息。巴西政府称，它是在2018年的Cambridge Analytica丑闻之后展开调查的。

行业动态 APP整改 个人信息保护据北京日报报道，从北京市通信管理局获悉，由于其App违法违规收集使用了用户个人信息，百度、360手机卫士、爱奇艺、知乎、新东方在线等17家企业被集体约谈，要求限期整改。中国信通院当日发布的《移动应用（App）数据安全与个人信息保护白皮书（2019年）》则显示，67%的App存在5个及以上个人信息安全问题，地图导航、医疗健康、安全管理类App个人信息安全问题较突出。

勒索攻击 荷兰 马斯特里赫特大学近日，荷兰的马斯特里赫特大学 (UM) 宣布，在 12 月 23 日星期一遭遇勒索软件攻击后，几乎所有 Windows 系统都已被勒索软件加密。目前尚不清楚攻击者在攻击过程中是否使用了未知的勒索软件对系统进行加密，以及攻击前是否窃取了科学数据。该大学声称：为了尽可能安全地工作，学校暂时将所有系统脱机。一切目的都是为了使学生和员工能够尽快，分阶段地访问系统。但是，鉴于该攻击影响了 UM 的绝大多数计算系统，因此尚无法估计恢复所有受影响的计算机所需的时间。

恶意软件 数字签名 大灰狼

研究人员近日发现一种恶意软件，黑客利用其携带的有效数字签名，传播大灰狼恶意软件。据悉，恶意软件使用DLL进程，通过自带有效证书等多种手段规避杀毒软件，不易被察觉。目标设备一旦被感染，将被植入大灰狼恶意软件。专家建议用户对相关指示器进行阻断以保护设备不被攻击。

漏洞补丁 微信 用户名远程代码执行

近日，趋势科技移动安全研究团队的研究人员发现微信存在用户名远程代码执行漏洞。此漏洞使远程攻击者可以在受影响的腾讯微信版本上执行任意代码，但利用此漏洞需要用户交互，目标必须与攻击者一起在聊天会话中。目前，微信7.0.9版本已解决此问题，用户可以尽快更新。

漏洞补丁 特斯拉 任意命令执行近日，研究人员发现，特斯拉车载系统中含有两个漏洞，黑客可在Parrot模块的Linux系统中执行任意命令。据悉，漏洞分别存在于无线芯片固件和无线芯片驱动中。通过这两个漏洞，黑客可通过无线协议远程攻入特斯拉车载系统。截至目前，特斯拉已修复了该漏洞，专家建议用户及时更新版本，以免受到影响。

漏洞补丁 星巴克 API密钥据外媒报道，攻击者可以使用星巴克被泄露的API密钥来访问公司内部系统并接管授权用户列表。据悉，这个问题可能会让攻击者在系统上执行命令，添加或删除有权访问内部系统的用户，以及潜在的AWS账户接管用户。截至目前，研究人员已上报该问题，官方已删除API密钥并修复该问题。

漏洞补丁 Chrome浏览器 远程执行近日，腾讯Blade安全团队公布了Google Chrome浏览器的五个新漏洞，攻击者可以利用这些漏洞来远程执行代码。据悉，此次发现的SQLite漏洞，其影响范围非常大，波及大量嵌入式物联网设备、桌面软件（Chrome浏览器）和Android/iOS应用。腾讯Blade团队将新一批五个漏洞命名为麦哲伦2.0（CVE代码CVE-2019-13734，CVE-2019-13750，CVE-2019-13751，CVE-2019-13752，CVE-2019-13753）。Blade团队表示他们可以通过这五个漏洞成功利用 Chrome 浏览器。

勒索软件 Ryuk 美国海岸警卫队近日，美国海岸警卫队 (USCG)发布了一个海上安全警报，确认遭受Ryuk勒索软件攻击，导致《海上运输安全法》(MTSA)监管的一处设施的整个IT网络瘫痪。尽管事件仍处于调查中，但海岸警卫队透露，网络钓鱼电子邮件的入口很可能是在MTSA设施网络内部。海岸警卫队指出：一旦员工点击了电子邮件中的恶意链接，攻击者就能够访问重要的企业信息技术网络文件并对其进行加密，从而阻止了该设施访问关键文件。这已经不是海岸警卫队第一次遭遇网络攻击事件，今年2月份海岸警卫队一艘深水船舶经历了一次网络事件，影响了该船的整个网络之后，美国海岸警卫队在7月发布了另一项安全警报，并提供了网络安全指导。

勒索病毒 Sodinokibi近期，亚信安全监测到多个勒索病毒异常活跃，这其中就包括知名的Sodinokibi勒索病毒，本次截获的Sodinokibi勒索病毒利用Windows安装程序制作工具NSIS（Nullsoft Scriptable Install System）进行打包，然后伪装成Adobe Flash安装包进行传播。NSIS是一个开源的 Windows系统下安装程序制作程序。它提供了安装、卸载、系统设置、文件解压缩等功能。

黑客攻击 任天堂近日，据外媒报道，Nintendo Switch Lite控制台发布后大约三个月就遭到黑客入侵，值得一提的是，早前原版的Nintendo Switch在发布后不到两个月的时间也遭到了黑客攻击。据报道，著名的视频游戏黑客组织Team-Xecuter在几天前发布了一段视频，其中显示了他们运行了Nintendo Switch Lite控制台的SX OS 3.0操作系统。尽管视频中没有显示更多的技术细节，但很明显，该黑客使用户可以在任意的控制台上安装应用程序。控制台被黑客入侵后，可以执行通过非法手段获得的代码，这对开发人员而言是巨大的损失。

数据泄露 小米摄像头 用户画面近日，一位名叫“Dio-V”的网友在Reddit上发布了个帖子。称自己在把小米相机加载到Google Home Hub时，竟然意外看到了别人家的画面。据悉，他使用的是小米Mijia 1080p智能IP安全摄像头。是从阿里巴巴旗下全球速卖通(AliExpress)上刚刚购买的，并且记录为运行固件版本3.5.100.66。随后，Reddit上传了8张捕捉到的画面用来证实事件的的真实性。事故后，谷歌Nest Hub全面禁止调用米家的产品。据悉，这款产品在国内售价129元，销量也很大，京东上相关评价累计82万+，天猫上月销量超过1.5万。不过目前为止，还没有用户反馈类似的隐私泄露问题。

数据泄露 智能家居 Wyze Labs近日，智能家居技术制造商Wyze Labs首席执行官宋东升发布公告证实，从12月4日至12 月26日，在超过三周的时间内，连接到Elasticsearch集群的生产数据库泄露了超过240万用户的用户数据。据悉，这个不安全的数据库确实包含客户电子邮件和摄像头名称、WiFi SSID、Wyze设备信息、与Alexa集成相关的大约24,000个令牌以及身体身高（包括身高，体重，性别和其他少量健康信息），还包括一些Beta产品测试员的信息。

相关阅读

一周安全头条(20191222-1228）