5th域安全微讯早报【20240617】145期

2024-06-17 星期一        Vol-2024-145

今日热点导读

1. 俄罗斯Roskomnadzor拟加强打击电话欺诈新措施

2. 法国法院命令科技巨头干扰DNS解析器以打击盗版体育网站

3. 欧盟或将对苹果施压，要求遵守应用商店规则

4. 国际奥委会采用人工智能应对2024巴黎奥运会期间网络欺凌

5. 西班牙警方逮捕22岁英国网络骗子，涉嫌对45家美国公司进行网络攻击

6. 全球短信诈骗与恶意软件攻击激增，多个国家遭遇严重威胁

7. 威胁行为者声称出售超过1万亿美元未经授权的访问权限

8. 美杜莎勒索软件团伙要求维多利亚赛马俱乐部支付70万美元赎金

9. 北约机密数据泄露，威胁者出售49000名成员敏感信息

10. 大华摄像机的0day在露论坛上出售

11. 安卓操作系统0day疑是在泄露论坛上出售

12. ASUS警告七款路由器存在严重远程身份验证绕过漏洞

13. 软银推出AI驱动愤怒过滤器，为呼叫中心员工提供平静与安宁

14. 现代AI挑战图灵测试：人机交互的未来

15. 人类与AI合作的新前沿：代尔夫特理工大学推出OpenChessRobot

资讯详情

政策法规

1. 俄罗斯Roskomnadzor拟加强打击电话欺诈新措施

俄罗斯通信监管机构Roskomnadzor正在制定新的措施来打击日益复杂的电话欺诈行为。负责人马克西姆·普利特金(Maxim Prytkin)宣布，其中一个提议是禁止通过即时通讯工具拨打电话，除非号码已通过电信运营商验证。专家认为，这将大大减少欺诈电话的数量，因为犯罪分子常通过即时通讯工具保持匿名实施诈骗。普利特金强调，欺诈行为日趋复杂，必须采取果断措施保护公民。Roskomnadzor正与电信运营商和即时通讯开发商合作，制定有效的反欺诈措施。Roskomnadzor正在推进反欺诈保护系统的现代化，包括考虑创建统一数据库以识别和阻止可疑号码。此外，该机构计划加强对虚拟号码的控制，推出新机制识别用户，以进一步打击欺诈行为。来源：https://www.securitylab.ru/news/549244.php
2. 法国法院命令科技巨头干扰DNS解析器以打击盗版体育网站法国法院裁定，Google、Cloudflare和Cisco必须干扰其DNS解析器，以防止绕过针对约117个盗版体育网站的封锁。这一裁决是电视公司Canal+打击盗版的又一步，旨在保护其体育赛事转播权。此前，Canal+已成功要求本地ISP实施DNS封锁，但用户通过第三方DNS解析器绕过了这些封锁。法院命令三大科技公司实施类似措施，防止其服务被用于访问这些盗版域名。尽管干扰公共DNS解析器被认为是越权行为，Canal+依然致力于使用合法手段维护其版权。谷歌已宣布将遵守法院裁决，此举标志着Canal+在打击盗版方面的又一重要胜利。来源：https://www.securitylab.ru/news/549237.php
3. 欧盟或将对苹果施压，要求遵守应用商店规则据报道，欧盟委员会正准备对苹果公司提起诉讼，指控其在应用商店内对第三方开发者实施的指导规则违反了《数字市场法案》（DMA）。该法案旨在通过促进竞争来约束大型科技公司的行为，苹果因其在iOS、iPadOS、Safari和App Store上的市场支配地位而受到特别关注。如果指控成立，苹果每日可能面临相当于其年营业额5%的罚款，达到约5000万美元。此前，苹果因将指导规则应用于音乐应用而遭遇20亿美元的罚款。尽管苹果已经在某些地区放宽了第三方支付的限制，但其在全球范围内的策略或将面临进一步审查和调整的压力。来源：https://www.theregister.com/2024/06/15/apple_european_commission/
4. 国际奥委会采用人工智能应对2024巴黎奥运会期间网络欺凌国际奥委会（IOC）宣布在2024年巴黎奥运会期间采用人工智能（AI）工具，以保护运动员免受网络欺凌。该工具将自动删除社交媒体上的攻击性评论，覆盖超过15000名运动员和官员。预计奥运期间社交媒体帖子将达5亿条，这种大规模的监控旨在维护运动员的身体、情感和心理健康。运动心理学专家支持这一举措，强调网络虐待的广泛负面影响。此外，人工智能还将用于监控人群，确保游客安全，并通过“道德黑客”测试保护系统免受网络攻击。然而，网络犯罪分子也在利用人工智能进行欺诈。巴黎奥运会后，残奥会将于8月28日至9月8日举行。来源：https://www.securitylab.ru/news/549251.php

安全事件

5. 西班牙警方逮捕22岁英国网络骗子，涉嫌对45家美国公司进行网络攻击西班牙国家警察在FBI的要求下，在帕尔马·德·马洛卡逮捕了一名22岁的英国国民，此人被指控领导一个有组织的网络犯罪团伙，针对45家美国公司实施网络攻击。据称，该青年通过网络钓鱼活动获取个人访问凭证，进而侵入公司工作系统，窃取敏感数据并出售于暗网，同时获取受害者的加密货币钱包，共计391个比特币，价值超过2700万美元。逮捕行动在嫌疑人准备乘坐包机离开西班牙前往那不勒斯时进行，警方查获了其携带的笔记本电脑和手机。此次行动由西班牙国家警察中央网络犯罪部门与FBI合作进行，调查始于5月底，当时FBI洛杉矶办公室请求获取有关嫌疑人的信息。美国加州中区联邦法院发出的国际逮捕令推动了此次逮捕。嫌疑人目前被法院下令临时拘留，FBI尚未确认是否将其引渡至美国接受审判。来源：https://thecyberexpress.com/young-cyber-scammer-arrested/
6. 全球短信诈骗与恶意软件攻击激增，多个国家遭遇严重威胁近期，巴基斯坦成为短信网络钓鱼攻击的新目标，首次扩展到欧盟、沙特阿拉伯、阿联酋和美国以外的地区。Resecurity报告指出，威胁行为者通过iMessage和短信冒充巴基斯坦邮政，向移动运营商客户发送恶意消息，窃取个人和财务信息。此外，巴西遭受多个恶意软件攻击，包括Grandoreiro银行木马和Astaroth信息窃取恶意软件。谷歌披露的PINEAPPLE威胁行为者利用合法云服务传播恶意软件，影响金融服务、医疗保健、零售和酒店业。另一个名为FLUXROOT的攻击者则通过钓鱼页面传播Grandoreiro银行木马。此外，Red Akodon威胁行为者自2024年4月以来，通过网络钓鱼邮件传播多种远程访问木马，针对哥伦比亚的政府和多个行业。全球范围内的网络安全威胁不断增加，各国需提高警惕，加强防范措施以保护敏感信息安全。来源：https://thehackernews.com/2024/06/grandoreiro-banking-trojan-hits-brazil.html
7. 威胁行为者声称出售超过1万亿美元未经授权的访问权限6月14日，一名威胁行为者在泄露论坛上声称通过入侵一家与400多家公司合作的承包公司，出售了超过1万亿美元的未经授权的访问权限。这一公告详细描述了所提供的广泛访问权限，涉及到诸如Jira、Bamboo、Bitbucket、GitHub、GitLab、SSH、SFTP、DA、Zabbix、AWS S3、AWS EC2、SVN和Terraform等关键工具和平台。威胁者要求用Monero（XMR）加密货币进行支付，并通过名为Aegis的用户管理托管服务处理交易。为了增加可信度，威胁者声称在多个论坛和Keybase上分享了访问截图，用以验证入侵的真实性。此次事件凸显了出售未经授权访问所可能带来的巨大经济影响和安全风险，强调了加强网络安全措施的紧迫性。来源：https://dailydarkweb.net/threat-actor-claims-to-sell-unauthorized-access-to-over-400-companies-with-combined-revenue-exceeding-1-trillion/
8. 美杜莎勒索软件团伙要求维多利亚赛马俱乐部支付70万美元赎金据6月15日的报道，美杜莎勒索软件团伙声称已将超过100GB的维多利亚赛马俱乐部（VRC）数据发布到暗网，并要求支付70万美元的赎金以删除这些数据。VRC首席执行官史蒂夫·罗西奇证实了俱乐部遭受到一次“网络事件”的攻击，尽管未透露具体细节，但表示俱乐部已启动了调查，并通知了澳大利亚网络安全中心。据美杜莎团伙称，他们拥有包括财务信息、会员数据、客户发票和个人信息在内的敏感数据，并提供了截止日期为六天后的赎金要求。此外，他们还提供了延期一天的选项，售卖这些数据的价格为70万美元。目前尚不清楚VRC是否打算支付赎金，而数据的泄露可能对俱乐部及其30,000多名会员造成严重影响。来源：https://www.cyberdaily.au/security/10705-exclusive-medusa-ransomware-gang-demands-us-700-000-payment-from-victoria-racing-club
9. 北约机密数据泄露，威胁者出售49000名成员敏感信息2024年6月16日，一名自称为丹尼斯·库欣的威胁者宣称正在出售包含北约49,000名成员和合作伙伴的数据库，涉及多个安全等级的文件和技术报告。该数据库包含敏感信息，如性别、姓名、国籍、电话号码、地址、雇主和职位等。威胁者要求10,000 XMR（门罗币）作为交换，并提出使用托管服务以确保交易安全。涉及的机构包括荷兰、土耳其、英国、美国、西班牙、意大利、格鲁吉亚、波兰、拉脱维亚、新加坡、墨西哥等国家的国防部或政府机构。此次数据泄露事件对北约成员国的国家安全构成严重威胁，同时也暴露了网络安全的脆弱性。来源：https://dailydarkweb.net/threat-actor-claims-to-sell-nato-database-and-confidential-documents/

漏洞预警

10. 大华摄像机的0day在露论坛上出售名为Horizon的泄露论坛用户于2024年6月15日（星期六）下午 7:20发帖，声称其掌握大华摄像机的某个RCE，拟以400000美元的价格出售。该泄露者只留下一个Telegram的联系方式，并没有展示该漏洞的任何详细信息。贴子称，他正在出售大华摄像机的独家0day漏洞，与该设备的所有版本兼容。此漏洞的价格定为400,000美元。此漏洞允许不受限制地访问摄像机的所有功能，包括完整的管理和控制功能。这是获得摄像机市场关键安全解决方案的难得机会。来源：https://breachforums.st/Thread-0day-dahua-camera-RCE
11. 安卓操作系统0day疑是在泄露论坛上出售名为Sp3ns3r的泄露论坛用户于2024年6月16日（星期日）止午 6：50发帖，声称其掌握安卓操作系统的某个RCE，该漏洞利用为零点击，威力无比，但该泄露者并没有对此漏洞的出售报价。跟帖者表示是不是需要500万美元。短短的贴文只透露了有限的信息，该漏洞可用于安卓11、12、13、14版本，是零点击利用，Paylaod仅仅是MMS，应该指就是一条条多媒体短信，效果是能够实现对安卓手机的完全控制。留下了联系方式来源。该Telegeam频道为CodeBreach实验室所有，看似一个0day漏洞研究和出售实体，目前仅有199个订阅者。据CodeBreach Lab自我介绍，他是Red Team的成员，他们开发了漏洞并将其出售给政府和机构。来源：https://breachforums.st/Thread-SELLING-0day-Android-RCE-Exploit-ZeroClick
12. ASUS警告七款路由器存在严重远程身份验证绕过漏洞ASUS近日发布固件更新，修复了影响七款路由器的严重远程身份验证绕过漏洞（CVE-2024-3080，CVSS v3.1评分：9.8“严重”）。此漏洞允许未经身份验证的远程攻击者控制设备。受影响的路由器型号包括ZenWiFi AX XT8、ZenWiFi AX XT8 V2、RT-AX88U、RT-AX58U、RT-AX57、RT-AC86U和RT-AC68U。ASUS建议用户立即更新固件，并确保账户和WiFi密码强度。无法立即更新固件的用户应禁用管理面板的互联网访问、WAN远程访问、端口转发、DDNS、VPN服务器、DMZ和端口触发。ASUS还修复了另一个高严重性缓冲区溢出漏洞（CVE-2024-3079），以及台湾CERT公布的另一个严重漏洞（CVE-2024-3912），该漏洞允许远程攻击者上传任意固件并执行系统命令。某些达到生命周期终止的型号将不会收到安全更新，建议更换设备。ASUS还更新了Download Master工具，修复了多个中高严重性问题，建议用户升级至最新版本3.1.0.114以确保最佳安全性。来源：https://www.bleepingcomputer.com/news/security/asus-warns-of-critical-remote-authentication-bypass-on-7-routers/

新兴技术

13. 软银推出AI驱动愤怒过滤器，为呼叫中心员工提供平静与安宁日本科技巨头软银公司开发了一种创新的AI驱动变声技术，旨在减轻呼叫中心员工面对愤怒客户时的压力。该系统被称为“情绪抑制”，通过识别并转换客户的愤怒语气，将其变为平静的对话语调。AI通过处理语音并分析言语特征来实现这一点，并利用中性声音的声学特性创造更自然的音调。该技术不会改变客户的言辞，但会显著改变语调，从而减少攻击性。目前系统仅适用于日语，但软银计划将其推广至其他语言以适应国际市场。此举是回应日本客户攻击行为日益严重的趋势，旨在保护员工的心理健康，并改善客户服务质量和品牌忠诚度。该系统预计将于明年四月投入使用。来源：https://www.securitylab.ru/news/549247.php
14. 现代AI挑战图灵测试：人机交互的未来如今，人工智能（AI）在在线互动中的角色愈发重要且隐形。电气和电子工程师协会 (IEEE) 的人工智能研究员通过一个实验测试了人类是否能够区分人工智能和人类。实验中，500名参与者分别与一名人类、1960年代的ELIZA程序、GPT-3.5和GPT-4进行五分钟对话，之后判断对方是否为人类。结果显示，GPT-4在54%的情况下被认为是人类，明显优于ELIZA的22%和GPT-3.5的50%。这表明现代AI在模仿人类智能方面取得了显著进展，但也引发了对其社会和经济影响的担忧。研究强调了重新评估机器智能的必要性，并呼吁制定新的标准来区分人类与AI。未来，人们在与AI互动时需更加谨慎，尤其在敏感问题上，以避免被误导和操纵。来源：https://www.securitylab.ru/news/549246.php
15. 人类与AI合作的新前沿：代尔夫特理工大学推出OpenChessRobot代尔夫特理工大学的研究人员开发了一种名为OpenChessRobot的开源机器人系统，该系统能够在现实环境中与人类下棋。这个机器人结合了先进的硬件和软件，包括Franka Emika Panda机械臂、3D打印夹具、立体摄像头、麦克风、扬声器以及NVIDIA Jetson Nano和PC等组件。软件部分则包括感知、分析和评估、运动规划和执行、以及交互模块，后者使用OpenAI的ChatGPT平台生成对话。研究人员通过一系列初步测试验证了该机器人的有效性，发现其能够准确规划和执行国际象棋动作。OpenChessRobot不仅在国际象棋领域展现出潜力，还可扩展到其他应用场景，如为人类提供日常身体帮助。这一平台为研究人机交互提供了新的实验机会，推动了AI机器人自然交互的发展。来源：https://www.securitylab.ru/news/549236.php

往期推荐