国内外简报industry briefing

国内外信息安全简报2018年第五十一周

恒安嘉新

本周共收集整理国内外安全信息10例,具体如下:

1.     华为路由器被曝信息泄露漏洞

Huawei HG中存在信息泄露漏洞,攻击者可利用该漏洞知道设备是否存在默认密码。不过研究人员已将该漏洞报给华为,华为已经发布了漏洞补丁,并联系合作的运营商修补该漏洞。(详情链接

2.     2018年加密货币恶意软件数量增加了逾4,000%

据美国网络安全公司在其2018年12月发布的报告中称,仅在2018年第三个季度就发生了近400万次新的挖掘恶意软件威胁,而在2016年与2017年该数量不到50万。(详情链接

3.     FBI 扫除了一批付费发起 DDoS 攻击的网站

在执法部门和多家科技企业的协助下,美国联邦调查局(FBI)已经扫除了 15 个臭名昭著的付费式 DDoS 攻击网站。加州联邦法官批准的多份扣押凭证,已于本周四生效。在扣押非法提供 DDoS 租用的网站后,其域名也将被有关部门收走。(详情链接

4.     NASA 服务器被黑客攻击 员工信息曝光

美国国家航空航天局(NASA)已确认旗下一台服务器在10月被黑客攻击,黑客从其中盗取了一些员工信息,包括社会安全号码等等。在12月18日发布的通知中,美国国家航空航天局表示,它目前正在通知那些可能因此受到损害的员工。(详情链接

5.     黑客利用漏洞从美国政府支付系统获利170万美元

Click2Gov是美国各地政府用以接收从公共事业账单、税收、罚款等费用的支付门户系统。它由Superion开发,该公司已于2018年7月与其他公司合并成立一家名为CentralSquare Technologies的新公司。根据Risk Based Security,大约600到6,000个Click2Gov的安装记录。(详情链接

6.     美国弹道导弹防御系统充满安全漏洞

据报道,美国弹道导弹防御系统技术信息所在设施的机密网络易受大量内部和外部网络攻击,其中安全问题包括多因素身份验证不统一、传输数据不总是加密、潜伏着上世纪的网络漏洞、缺乏对可移动存储媒介的机密数据监控、缺乏入侵检测和防病毒功能。(详情链接

7.     钓鱼攻击伪装为Office 365未送达电邮

网络钓鱼活动伪装为Office 365的未送达通知,可将用户引至另一页面以尝试窃取其登录凭证。ISC Handler Xavier Mertens发现的该新活动宣称“微软发现多个未送达消息”,并提示用户点击“再次发送”链接以尝试再次发送邮件,该邮件为钓鱼示例。(详情链接

8.     韩国试图利用AI避免语音网络钓鱼攻击

为防止语音网络钓鱼攻击,韩国金融监管机构(简称FSS)将与SK电讯合作开发人工智能技术。目前使用的过滤方法基于对特定关键词的使用来检测网络钓鱼攻击,网络钓鱼攻击既可通过语音也可通过电子邮件发起,现已成为危及全球的严重威胁。(详情链接

9.     微软紧急发布补丁,修复公网上的IE零日漏洞

微软发布带外安全更新以修复影响IE浏览器的关键零日漏洞。该漏洞可损坏内存,而攻击者可借此在当前用户的上下文中执行任意代码。” 远程攻击者还可引诱受害者浏览专门制作的HTML文档、Office文档、PDF文件或者任何支持嵌入式IE脚本引擎内容的其他文档。(详情链接

10.  信通院发布《车联网白皮书(2018)》

2018年12月19日,中国信息通信研究院连续第十一年在京召开 “ICT深度观察大型报告会暨白皮书发布会”,会上发布了《车联网白皮书(2018)》。这是中国信通院第二次发布《车联网白皮书》。本白皮书从技术、产业和政策措施三个维度对车联网国内外发展现状及趋势进行分析。技术部分包括单车智能化相关汽车电子技术和V2X无线通信、多接入边缘计算、车路协同平台等网联化相关技术,以及信息安全等共性关键技术;产业部分从专利布局、产业链协同重点剖析产业发展新趋势,探索新生态和新模式等;政策措施部分包括顶层设计规划、协同推进机制、法律法规等;最后总结全文,对车联网融合创新发展提出“1+3”举措建议,包括构建一个跨行业协调机制和技术创新、产业融合、安全管理三个发展体系。(详情链接