国内外简报industry briefing

2019年第1周国内外信息安全简报

恒安嘉新

本周共收集整理国内外安全信息10例,具体如下:

1.     Guardzilla家用摄像头设计缺陷导致云端数据开放

研究人员发现了一个新的物联网问题:Guardzilla家庭视频监控系统的设计缺陷允许用户观看其他房主的Guardzilla视频。Guardzilla多合一视频安全系统是一个提供室内视频监控的家庭安全平台。GZ501W型号摄像头包含一个共享的,硬编码的 Amazon S3凭证,用于在亚马逊云中存储已保存的视频数据,因此Guardzilla多功能一体化视频安全系统的所有用户都拥有相同的密码,可以互相访问保存家庭视频。而且,任何未经身份验证的用户只要知道存储细节,就可以通过internet从任何系统收集数据。(详情链接

2.     恶意软件假冒“个人所得税”App  

个税改革新政实施在即,一批仿冒国家税务总局“个人所得税”APP的恶意软件现身网络。同时,国家税务总局提醒,纳税人可通过国家税务总局官网、各省税务局官网及主要收集应用市场下载正版APP。“如发现可疑程序,请及时向税务机关反映,我们将第一时间快速处理。”(详情链接

3.     美多家报纸遭网络攻击 外媒将矛头指向"朝鲜黑客"   

日本NHK广播公司12月31日消息,美国主要报纸之一《洛杉矶时报》此前系统遭受网络攻击,造成报纸不能配送等故障。美国国土安全部对此启动了调查。当地媒体将矛头指向“朝鲜黑客组织”,称其“可能参与了网络攻击”。(详情链接

4.     贩卖12306网站60万条用户信息和410万条乘客信息的暗网用户已被抓

12月28日,对于网传有关12306网站发生用户信息泄露一事,中国铁路总公司通过官方微博回应表示,“网传信息不实,铁路12306网站未发生用户信息泄露。” 获此情况后,网安总队立刻会同西城分局成立专案组开展工作。经查,一网络用户“deepscorpions”在网上贩卖疑似12306铁路订票网站的用户数据,包含60余万条用户注册信息和410余万条铁路乘客信息。经专案组网上侦查、溯源追踪,成功锁定犯罪嫌疑人为我市西城区某科技有限公司员工陈某(男,25岁,河北省邢台市人),后于29日在该公司所在地将其抓获归案。(详情链接

5.     英国制定智能汽车网络安全准则 防止黑客攻击

据外媒报道,日前,英国多家汽车制造商联合科研机构与交通部,共同制定了一套自动驾驶和联网汽车的网络安全指南,以确保未来智能汽车不会被黑客与不法分子所操纵。(详情链接

6.     利用恶意JS代码让Chrome用户落入陷阱

据报道,攻击者利用JS代码创建循环,耗尽计算机CPU资源,导致Chrome崩溃,并重定向到一个Windows错误代码页面,欺骗用户拨打所给欺诈电话解决问题。且此页面的JS代码将导致浏览器重复跳转到#构造的页内锚点,前进后退网页不会重载,只停留在该页面。(详情链接

7.     中断互联网可重新激活WannaCry勒索软件

据报道,18个月前启动的WannaCry勒索软件感染了全球数十万台计算机,对计算机数据进行加密并要求受害者支付赎金。目前该臭名昭著的恶意软件仍潜伏在数千台计算机上。(详情链接

8.     2017年起,150余人因非法进入机场遭逮捕

自2017年起,德里多个安全性较高的机场发生了150起非法入侵事件。据德里警方称,这150起事件均已结案。调查局发现,被告曾尝试利用无效票进入机场。千禧邮报根据德里警方提供的数据发现,今年在12月15日前逮捕了114人,而2017年共逮捕了48人。(详情链接

9.     WibuKey云中存在漏洞,可执行代码

WibuKey数字版权管理(DRM)解决方案中存在漏洞,该漏洞可被用来在受感染系统上披露信息,提升权限,甚至执行代码。适用于多种接口与操作系统的WibuKey广泛应用于Straton、 Archicad,、GRAPHISOFT、V-Ray及大量其他解决方案中。不过,Wibu Systems建议新项目改用其公司的其他技术。(详情链接

10.  犯罪分子利用新型身份盗窃:窃取企业数据

身份盗窃对于大部分人来说可能并不陌生,即指有人冒用他人的身份购物、申请信用卡或者获取退税款。 然而,越来越多的犯罪分子从事身份盗窃,窃取企业数据。 据数据分析公司Dun &Bradstreet最新数据显示,2017年,商业用户账号盗窃发生率比2016年增长了46%。(详情链接