FreeBuf

其他

GitHub遭遇严重供应链“投毒”攻击

安全专业人员应定期监控和审核新代码项目,企业应定期对开发人员开展供应链攻击风险的教育和意识培训。除了此次“投毒”事件外,最近还出现了其他软件供应链安全问题,比如
3月26日 下午 6:54
其他

GitHub推出全新AI功能,可自动修复代码漏洞

功能很可能会建议仅部分解决安全漏洞的修复方法,或无法保留预期的代码功能。Tempel和Tooley补充道:代码扫描自动修复功能使开发人员在编写代码时更容易修复漏洞,从而帮助企业减缓这种
3月21日 下午 6:43
其他

微软:87% 的英国企业极易受到网络攻击,AI或成破局“解药”

近日,微软联合伦敦大学发布了一份有关英国企业网络攻击的报告。数据显示,英国仅有13%的企业能够抵御网络攻击,另外有48%的企业经常受到攻击,还有39%面临破坏性网络事故的高风险。微软敦促各企业增加对人工智能技术和解决方案的投资,以应对网络威胁行为者日益将人工智能武器化的问题。每年英国企业因网络攻击损失约
3月19日 下午 6:50
其他

麦当劳全球系统宕机,影响数千家门店

左右滑动查看更多快餐业巨头麦当劳指出,导致其全球数千家连锁店和加盟店系统宕机的原因,是第三方供应商在系统配置更改过程中的失误。上周五,在全球麦当劳员工和顾客通过社交媒体发布有关系统中断的消息数小时后,麦当劳在一份更新的声明中重申,系统中断不是由
3月18日 下午 6:54
其他

印度一金融公司泄露用户信息,数据量超过3TB

Finance的案例中,包括了各种政府签发的身份证明文件。该团队表示,MongoDB数据库在关闭前已经暴露了大约一周时间,在发布消息之前,他们尝试联系IKF
3月17日 上午 9:02
其他

摧毁最大电信运营商的系统,俄罗斯黑客持续攻击乌克兰

2023年12月,俄罗斯黑客攻破了乌克兰最大的电信服务提供商Kyivstar的系统,并清除了电信运营商核心网络上的所有系统。此次事件发生后,Kyivstar的移动和数据服务中断,导致其2500万移动和家庭互联网用户中的大多数失去了互联网连接。乌克兰安全局(SSU)网络安全部门负责人Illia
1月6日 上午 9:03
其他

工业和信息化部发布《工业领域数据安全标准体系建设指南(2023版)》

随着工业互联网、物联网和数字化转型的快速发展,工业系统中产生的大量数据被广泛应用于生产控制、设备监测、供应链管理等方面。然而,数据化运营在提高组织生产效率的同时,也为工业领域带来了一系列数据安全问题。工业系统的复杂性和连接性也增加了数据安全的威胁。现代工业系统通常由多个网络和设备组成,包括传感器、控制器、数据采集设备等,这些设备之间的互联和数据交换使得工业系统更容易遭受网络攻击(恶意软件、网络入侵和数据泄露)等。此外,工业系统与企业内部网络和云平台的连接也增加了数据安全的风险,一旦其中一个环节受到攻击,整个系统的安全性都可能受到威胁。如何应对工业领域的数据安全问题?需要标准化的操作、数据处理规范。为切实发挥标准对推动工业领域数据安全的技术引领和规范指导,工业和信息化部、国家标准化管理委员会依据《中华人民共和国数据安全法》《工业和信息化领域数据安全管理办法(试行)》等法律法规和政策文件要求,组织编制了《工业领域数据安全标准体系建设指南(2023版)》。《工业领域数据安全标准体系建设指南(2023版)》全文如下:文章来源:工业和信息化部【FreeBuf粉丝交流群招新啦!在这里,拓宽网安边界甲方安全建设干货;乙方最新技术理念;全球最新的网络安全资讯;群内不定期开启各种抽奖活动;FreeBuf盲盒、大象公仔......扫码添加小蜜蜂微信回复“加群”,申请加入群聊】
1月2日 下午 7:07
其他

年终总结(甲方版)请查收

assistant这种工具,就可以把数据放到本地,如果服务器搭建在不同国家,一般这种情况怎么说?数据库和终端不在一个国家,会不会牵扯到厂商的责任,有没有什么依据?A1:用户搭建的home
2023年12月29日
其他

iPhone史上最复杂的攻击链,卡巴斯基曝光苹果处理器“神秘后门”

设备的间谍软件活动,同时利用了四个零日漏洞。这些漏洞链接在一起,形成零点击攻击,允许攻击者提升权限并执行远程代码执行。构成高度复杂的漏洞利用链的四个漏洞适用于iOS
2023年12月28日
其他

2023年全球网安行业顶级并购交易 TOP 5

左右滑动查看更多网络安全是一个快速增长的市场,根据《财富商业洞察》的数据,其全球价值预计将从2022年的1536亿美元激增至2030年的4249亿美元。然而,这个行业并未能幸免于全球经济衰退的影响,导致过去一年安全团队预算削减和网络安全人员的裁员。但在全球经济衰退的影响下,过去一年网络安全行业也未能幸免,预算削减和裁员比比皆是。这种经济环境影响了该行业的并购(M&A)交易。KPMG
2023年12月27日
其他

FreeBuf 2024年度「活动与媒体服务」规划抢先看

企业安全俱乐部和网安人物面对面交流,又或者在漏洞马拉松中一骑绝尘,FreeBuf
2023年12月25日
其他

欧洲:数百家电商网站泄露了用户支付信息

个国家联合参与的执法行动已发现数百个电商平台存在恶意脚本攻击,其用户的信用卡或支付卡数据已遭到泄露。这项已进行两个月的执法行动由希腊牵头,欧洲刑警组织参与协调,并得到网络安全公司Group-IB和
2023年12月25日
其他

深度解读《网络游戏管理办法(草案征求意见稿)》

近日,国家新闻出版署发布关于公开征求《网络游戏管理办法(草案征求意见稿)》意见的通知,堪称网游界的关保。为什么不说是等保,因为等保级别还不够震撼。各公司的反应从股价上可以看得出来,如下:【腾讯】【网易】【大A游戏板块】概述那么,这个《网络游戏管理办法(草案征求意见稿)》(以下简称“办法草案”)都提了些什么呢,具体内容我大致整理了,咱们挑重点内容看。开头这里,做个简单概括:网游运营单位有的忙活了,整改需要巨大的投入;服务器和存储设备必须在境内,法人必须中国人;少于8位出版及相关专业技术职业资格的专职编辑出版人员(含3位中级人员),您就甭干网游运营了;网络出版服务许可证、网络游戏批准文号、出版物号只能自用,不得转借、出租、买卖、套用;网游禁止性内容包括了这些:破坏国家宗教政策,宣扬邪教、迷信的;宣扬淫秽、色情、赌博、暴力或者教唆犯罪的;危害社会公德或者中华优秀文化传统的;诱发未成年人模仿违反社会公德和违法犯罪行为的;强制对战取消了;每日登录、首次充值、连续充值取消了;虚拟道具交易取消了;游戏内道具卖钱禁止了;不删档测试取消了;私服、外挂、代练、刷钱禁止了;加强实名注册监管和验证;网游公司也有征信了;游戏币发放和交易不能是同一家网游运营单位;游戏用户先关记录保存不得少于2年,尤其是交易记录;游戏主播大赏赚钱的好日子到头了;史诗级加强防沉迷管理;处罚力度不可估量,没收违法所得,并处1-10倍罚款、5000万元以上或者上一年度营业额5%以下罚款。闲话详细看了2遍《办法草案》,个人感觉,目前属于征求意见阶段,后边会有一定的变化,争取意见的方向可以接地气一些,问问游戏运营团队基层干活群体人的意见、游戏公司合规管理人员的意见、多年网游老玩家代表的意见。从网安合规的历史来看,通常都是用GB/T来建议的,是推荐性标准,待到比较成熟的时候才转为强制性标准去落实,包括金融行业也事如此,管理办法的要求通常会宏观一些,有回旋余地。国标和办法是不一样的,后者监管和执行力度要更强。个人观点,规范行业是对的,但一开始就上这么多Buff,怕是双方都艰难,监管成效是问题,企业整改是难题。不积跬步,无以至千里;不积小流,无以成江海;欲速则不达。希望后边几稿可以适当做出一些修改吧。重点要求好的,下面列一下个人认为比较关键的条款。适用范围第二条
2023年12月25日
其他

1小时内上报对运营有哪些要求;应用插件安全怎么做 | FB甲方群话题讨论

如果企业中的生产环境的应用使用插件较多,是否会在管理上比较困难,甚至因过于臃肿影响安全能力的发挥?对此有什么优化或解决办法?
2023年12月15日
其他

WordPress 插件曝出关键漏洞,导致 5 万个网站遭受 RCE 攻击

的值,然后利用这些值来实现远程代码执行。这使得未经身份验证的威胁攻击者可以在服务器上轻松执行代码。通过提交特制的请求,威胁攻击者还可以利用
2023年12月12日
其他

难以置信!超过30% 的Log4J 使用存在漏洞的版本库

CVE-2021-44228,尽管两年多前就有了修补程序,但目前的严重程度仍达到了最高级别。Log4Shell
2023年12月11日
其他

公安部:黑客年龄逐年降低,发现有小学生使用黑客工具

11月30日,记者从公安部在京新闻发布会获悉,黑客案件破案数连续三年上涨,年均增幅达27.7%,黑客犯罪日益突出,目前具有五大趋势特点。公安部网络安全保卫局副局长石铀向记者介绍,黑客犯罪主要包括非法侵入计算机信息系统,非法获取计算机信息系统数据,非法控制计算机信息系统,提供侵入、非法控制计算机信息系统程序、工具,以及破坏计算机信息系统等行为。从公安机关近年侦办的案件来看,目前黑客犯罪有以下趋势特点:一是成为涉网犯罪的“技术引擎”。据公安部统计,黑客案件破案数连续三年上涨,年均增幅达27.7%,犯罪分子除直接入侵、破坏计算机信息系统外,还通过窃取数据、篡改网站、劫持流量等方式,为电信诈骗、网络赌博、网络色情、网络水军等违法犯罪活动提供技术支持、物料信息和推广引流服务。二是侵害领域从网上延伸到网下。随着网络信息技术在传统行业的普及应用,黑客犯罪的作案对象领域愈发广泛,犯罪分子逐渐将犯罪触手从网上伸向网下,例如遥控停车场升降杆、篡改加油机税控芯片、干扰环境监测设备等,交织形成贯穿虚拟和现实的犯罪网络。三是作案手法伴随技术发展越发多样。随着人工智能、区块链、物联网等新技术、新业态、新应用的发展变化,黑客犯罪分子的作案手法也在不断升级。如,使用人工智能技术伪造人像和语音、利用区块链智能合约漏洞大量增发“虚拟货币”套取他人财产等新情况层出不穷。四是技术门槛不断降低,低龄化特征显著。在互联网信息高度共享的条件下,网上流传的黑客工具已达上千种,大部分黑客工具教程详细、操作简便,犯罪分子无需精通专业技术即可利用这些工具实施漏洞扫描、植入木马、DDoS攻击等犯罪行为。黑客犯罪分子的平均年龄逐年降低,甚至发现有小学生熟练使用黑客工具。五是黑客犯罪的社会危害性日益严重。黑客犯罪正从“逞能炫技”向“侵财逐利”转变,从“单打独斗”向“团伙作案”转变,盗取网络资产,侵害公民财产权益;抢占公共资源,扰乱社会公平正义;干扰计价计量系统,破坏市场经济秩序;篡改生态监测数据,破坏生态文明建设;伪造职业资格证书,危害生产交通安全;提供多环节帮助,助推电信诈骗等恶性犯罪。伴随新技术、新业态、新应用的不断出现,黑客犯罪也将呈现新的规律特点。石铀表示,公安机关将紧跟犯罪形势,创新打击策略,坚决遏制黑客犯罪发展蔓延,保障网络空间安全有序。文章来源:北京日报【FreeBuf粉丝交流群招新啦!在这里,拓宽网安边界甲方安全建设干货;乙方最新技术理念;全球最新的网络安全资讯;群内不定期开启各种抽奖活动;FreeBuf盲盒、大象公仔......扫码添加小蜜蜂微信回复“加群”,申请加入群聊】
2023年12月10日
其他

国外知名占卜网站1300万条用户信息遭泄露

除了为用户提供占星术、精神健康和神秘主义等内容外,还有专门的在线商店,售卖天然宝石、脉轮、塔罗牌、手链和其他产品。该平台主要为讲巴西语、西班牙语、法语和英语的用户提供服务。据悉,WeMystic
2023年12月10日
其他

Black Hat 2023公开演示,黑客可通过图像和音频操纵大模型

随着大语言模型(LLM)开始整合多模态功能,攻击者可能会在图像和音频中隐藏恶意指令,利用这些指令操纵AI聊天机器人(例如ChatGPT)背后的LLM对用户提示的响应。在2023年欧洲黑帽大会上,研究人员指出,这样的攻击方式将很快成为现实。简单来说,攻击者可能会利用这些所谓的“间接提示注入”攻击,将用户重定向到恶意URL,从用户那里提取个人信息,传递有效载荷,以及采取其他恶意行动。随着LLM日益成为多模态或能够对结合文本、音频、图片乃至视频的上下文输入作出回应,此类攻击可能会成为一个重大问题。隐藏在图像和音频中的恶意指令在本周举办的2023年欧洲黑帽大会上,康奈尔大学的研究人员将展示他们开发的一种攻击,该攻击利用图像和声音向多模态LLM注入指令,导致模型输出攻击者指定的文本和指令。他们的概念验证攻击示例针对的是PandaGPT和LLaVa多模态LLM。研究人员在一篇题为“滥用图像和声音进行多模态LLM中的间接指令注入”的论文中写道:“攻击者的目标是引导用户与多模态聊天机器人之间的对话。”为此,攻击者将提示融入图像或音频片段,并操纵用户询问聊天机器人有关它的问题。”研究人员计划展示一旦聊天机器人处理了输入,它将输出隐藏在音频或图像文件中的攻击者注入的提示,或者遵循攻击者可能在提示中包含的任何指令。例如,研究人员将一条指令混合到在线可用的音频片段中,导致PandaGPT响应攻击者特定的字符串。如果用户将音频片段输入聊天机器人,并要求描述声音,模型的响应将指导用户访问一个恶意URL,表面上是为了了解更多关于制造声音的“非常罕见的鸟”。在另一个示例中,研究人员将指令混合到一幢建筑物的图像中,如果用户将图像输入聊天机器人并询问有关它的问题,那么LLaVa将会像哈利·波特一样聊天。康奈尔大学的研究员、报告的作者之一本·纳西(Ben
2023年12月6日
其他

降本增效下业务安全怎么做;员工信息应保留多久 | FB甲方群话题讨论

签订相应的安全协议,保密协议。甲方群最新动态上期话题回顾:如何高效选择抗DDoS产品或服务;如何定义明确清晰的网络边界活动回顾:网安人物齐聚,引领安全创新
2023年12月1日
其他

蓝牙曝底层安全漏洞,数十亿设备受影响

来自Eurecom的研究人员近期分享了六种新型攻击方式,统称为“BLUFFS”,这些攻击方式能够破坏蓝牙会话的保密性,使设备容易受到冒充和中间人攻击(MitM)。攻击发现者Daniele
2023年11月30日
其他

日本主要通讯应用Line遭攻击,数十万用户面临数据泄露风险

系统访问了其内部服务器,可能泄露了数十万条包含用户、员工和业务合作伙伴在内的数据。这一攻击事件发生在10月9日,当时攻击者通过恶意软件感染了附属公司一名员工的电脑。10
2023年11月28日
其他

滴滴崩了12小时,预计损失千万订单

图源:互联网对于计价混乱及其它事项,滴滴方面都在公告中做出了解释,因系统故障导致的费用支付异常、多扣费等问题,请大家不用担心,耐心等待,会在事故处理结束后统一结算补偿。滴滴方面回复虽然滴滴方面在
2023年11月28日
其他

开源软件又出大事件,ownCloud 曝出三个严重漏洞

是一款开源文件同步和共享解决方案,个人和组织均可通过这个自托管平台管理和共享文件。其用户包括企业、教育机构、政府机构和注重隐私的个人,他们希望数据自主可控,而不是将数据托管给第三方云存储提供商。据
2023年11月27日
其他

全球巨头疑被黑客入侵开发环境,泄露美国军事机密

作者:流苏排版:Zicheng美国通用电气公司正在调查一名攻击者在网络攻击中侵入公司的开发环境,并泄露所谓被盗数据的指控。通用电气(GE)是一家业务涵盖电力、可再生能源及航空工业的美国跨国企业。本月早些时候,自称为IntelBroker的攻击者在一个黑客论坛上,试图以500美元的价格出售进入通用电气“开发和软件管道”的通道。在未能出售所谓的访问权限之后,该威胁行为者再次发布消息称,他们现在出售网络访问权限和被盗数据。“我之前列出过对通用电气的访问权限,但实际上没有认真的买家对我做出回应或跟进。我现在在这里单独出售全部内容,包括访问权限(SSH、SVN等),”该攻击者在黑客论坛上发帖称,“数据包括大量与DARPA(美国国防高级研究计划局)相关的军事信息、文件、SQL文件、文档等内容。”作为侵犯行为的证据,该攻击者分享了他们声称是通用电气被盗数据的截图,包括一个看似包含军事项目信息的
2023年11月27日
其他

新的指纹传感器漏洞可绕过 Windows Hello 登录

的指纹传感器中发现了这些漏洞。利用指纹读取器漏洞的前提条件是目标笔记本电脑的用户已经设置了指纹验证。这三种指纹传感器都是一种称为
2023年11月23日
其他

看清新风险,解构新安全 | FCIS 2023网络安全创新大会精彩回顾

2023网络安全创新大会在这里也要和大家说再见啦。从2015年至2023年,网络安全创新大会在不断进化。时间飞逝,斗转星移。网安行业,方兴未艾,从
2023年11月23日
其他

网安人物齐聚,引领安全创新 | FCIS 2023网络安全创新大会首日隆重举行

2023大会为期两天,11月23日还设有人工智能安全与智能制造安全特色专场、攻击面管理与供应链安全高峰论坛、白帽星球大会。错过今天的小伙伴也别遗憾,FCIS
2023年11月22日
其他

如何高效选择抗DDoS产品或服务;如何定义明确清晰的网络边界 | FB甲方群话题讨论

面对DDoS攻击,目前很多都会采用高防服务器或高防IP进行防御,这其中哪一种效果更好?企业该如何选择?3.
2023年10月21日
其他

攻击者称手握300万条数据,D-Link:只有700条

的存档。被盗数据包括许多台湾政府官员以及该公司首席执行官和员工的信息。D-Link称公司于
2023年10月19日
其他

开源CasaOS云软件发现关键漏洞

实例上直接获得管理权限。Chauchefoin表示,在应用层识别IP地址是有风险的,不应该依赖于安全决策。许多不同的报头都可能传输诸如X-Forwarded-For,
2023年10月18日
其他

因收到100万美元“侮辱性”赎金,Lockbit泄露经销商巨头CDW内部数据

是全球最大的经销商企业之一,专为商业、政府和教育提供技术解决方案和服务。Lockbit在入侵CDW后索要8000万美元赎金,但该组织声称该对方只支付了
2023年10月17日
其他

最新情报,思科0-Day漏洞正在被黑客利用

基本上意味着可以完全访问所有命令,包括重载系统和更改配置的命令。一个未知的攻击者一直在利用这个漏洞,访问思科面向互联网的
2023年10月17日
其他

最新研究,利用AI可检测和拦截中间人(MitM)攻击

次历时模型训练,识别准确率也很高。不仅如此,这种新型保护系统的优化版本还可以应用于类似但要求更高的机器人应用,例如无人驾驶飞机。测试期间生成的性能表之一(来源:IEEE)最后,研究人员发布在
2023年10月16日
其他

选出你心中的第一名 | WitAwards 2023「大众投票」正式启动!

新一轮科技产业革命正在加速演进,数字经济应用场景日趋丰富与复杂,在催生新业态、新模式、新领域的同时,针对关键行业和新技术、新场景的网络安全威胁事件频发,网络安全成为企业竞争的重要差异化因素,企业持续投入资源来提升网络安全防护的能力。作为目前国内规模最大、影响力最高的安全行业颁奖盛典之一,历届
2023年10月13日
其他

千万别被钓鱼!虚假 CVE-2023-40477 PoC 传播远控木马

URL,并执行响应结果。http://checkblacklistwords[.]eu/check-u/robot?963421355?Ihead=true(向右滑动,查看更多)URL
2023年10月4日
其他

应用安全与数据安全的工作边界在哪;甲方如何管控对乙方的授权 | FB甲方群话题讨论

作为甲方,如何实现对乙方运维团队授权的各类高级权限(如服务器、数据库root权限、安全设备权限)管控、审计,以防范违规或未授权操作?
2023年9月22日
其他

T-Mobile 程序故障,用户竟能看到他人账户信息

Twitter上的用户反映,暴露的信息包括用户的姓名、电话号码、地址、账户余额以及信用卡详细信息,例如后四位数字和到期日期。有用户声称,这一情况从两周前开始就一直出现,在向
2023年9月21日
其他

嚣张!黑客袭击国际刑事法院

Computer,尚无法提供更多关于攻击事件的细节或信息,只透露其当下工作重点仍旧继续分析和减轻此次攻击事件造成的影响,以确保国际刑院的核心工作继续正常开展。2002
2023年9月20日
其他

国内超1400万部手机被植入木马

老年机原本只有接打电话等基础功能但四川攀枝花的张先生却发现家中的老年机无缘无故产生了不少小额增值收费业务警方调查后竟查出一起超千万部老年机被植入木马病毒通过“短信吸血”非法牟利上亿元的涉网络黑灰产特大案件9月15日,四川攀枝花市公安局召开“2023年网络安全宣传周”新闻通气会,公布了这起非法控制计算机信息系统案。目前,该案件仍在侦办中。涉案手机市民报警,老年机“自动订购”增值业务张先生为了方便联系家中老人,买了一部功能简单的老年机给老人使用,老人平时只用来接听电话,从不往外拨打。在给老人缴纳话费时,张先生发现,这部手机每个月的话费都在增加。一开始,张先生以为是老人拨打电话误触产生了费用,没有太在意。然而2022年6月以来,老人使用电话频率越来越少,而话费却越扣越多。张先生到营业厅查询才知,是用户订购了“手机报”“平安天气”“开机提醒”等小额增值收费业务。但张先生翻遍老人手机,也没看到任何有关开通业务的短信,加上老人也不可能自己进行订购,便怀疑手机中了病毒,赶紧拿着手机,到公安机关报案。警察正在调查取证手机被远程操控1400余万部手机被植入木马值业务接警后,攀枝花市公安局民警开始对手机“自动订购”增值业务的事情开展查证。去年9月29日,民警在开展“网络侦查”工作中突然发现,攀枝花市有89部手机存在2G网络流量消费,以及非机主本人订购额外增值业务消费的异常情况,与报警人张先生的遭遇极其相似,疑似手机被远程操控。民警通过对“疑似被远程操控的手机”进行线下走访调查核实,线上开展数据回溯来追踪溯源,发现不少老年机在“自动订购”增值业务,每月被扣除相关增值业务费用都为1元至10元不等。很多老人因为对手机操作不熟悉,常常认为是自己误触导致,因而长期蒙受损失。网安民警发现,这些手机网络数据都链接到同一个域名的服务器,经远程勘验,确定该服务器即为犯罪分子实施犯罪行为使用的木马服务器。通过数据追踪,发现全国竟有1400余万部手机被该木马服务器控制。4个犯罪团伙非法牟利上亿元民警通过多方调查取证,成功锁定租赁该服务器的犯罪嫌疑人孔某身份,并以孔某为突破口循线深挖,一个非法控制“老年机”的犯罪团伙逐渐浮出水面。经查明,犯罪团伙在与多家手机主板生产商合作过程中,将木马程序植入手机主板内。装有上述主板的手机出售后,犯罪团伙通过之前植入的木马程序,控制手机回传数据,获取用户手机号码、短信内容等信息,回传至陈某团伙后台数据库。之后,该团伙“运营专员”利用手机木马程序,向手机用户发送开通增值订购业务确认的短信,同时控制手机终端自动回复“Y”进行开通,一系列操作完成后再将此次收发的短信记录删除,做到让手机用户无从察觉。利用这样隐蔽的犯罪手法,该案4个犯罪团伙非法牟利上亿元。23人落网,“短信吸血”案实现全链条告破2023年1月,攀枝花警方专案组抽调精干警力,组成两个先遣小组分赴深圳、北京两地进行抵近侦查。2月1日,专案组抽调80余名警力,组成30余个抓捕小组,分别赶赴广东、北京、海南、湖南等4省10余地市开展集中抓捕行动,成功打掉以陈某、杨某、庞某、林某四人为首的4个犯罪团伙,抓获犯罪嫌疑人23名,冻结、扣押涉案资金6000余万元,扣押涉案车辆4台、房产1套。至此,“短信吸血”一案实现全链条告破。目前,该案已移送起诉12人,取保候审11人,案件仍在侦办中。文章来源:封面新闻【FreeBuf粉丝交流群招新啦!在这里,拓宽网安边界甲方安全建设干货;乙方最新技术理念;全球最新的网络安全资讯;群内不定期开启各种抽奖活动;FreeBuf盲盒、大象公仔......扫码添加小蜜蜂微信回复“加群”,申请加入群聊】
2023年9月20日
其他

FCIS 2023大会邀请 | 暗号1122,来一场酷炫的网安星际旅行

首发安全新势力星球、企业安全星球白帽大会星球、安全社区星球四大星球等待安全能量者的探索黑Club、星际迷航站、星际通讯站随时随地休憩、娱乐、放松观众报名请即刻扫描上方二维码,报名参加
2023年9月20日
其他

N-Able 的 Take Control Agent 漏洞使 Windows 系统面临权限提升

安装程序回滚功能的竞合条件攻击来确保高位命令提示符的安全,从而可能导致代码执行。Oliveau指出,任意文件删除漏洞不再局限于拒绝服务攻击,还可以作为一种手段来实现高级代码执行。这种漏洞可以与
2023年9月18日
其他

即将被零信任取代?企业VPN屡屡曝安全漏洞

你在日常工作生活中,是否曾使用过VPN?它或许曾帮助你轻松访问了一些突破地理限制的内容。但你知道吗?在使用的过程中,你很可能早已将自己的隐私暴露于“危险”之中。随着互联网的普及和信息安全的关注,VPN早已成为许多人保护在线隐私和安全的首选工具。然而,尽管VPN被广泛认可为一种安全性较高的上网方式,但其潜在的安全风险诸多,不可忽视。比如:传统VPN架构必须要对外暴露端口实现远程连接的功能,这很可能让所有互联网上的黑客或扫描器都能够轻而易举的攻击VPN站点。对于企业来说是一个严重的安全隐患,尤其体现在VPN爆出高危漏洞的时候。其次,VPN只针对用户进入身份做认证,缺少业务访问全周期的终端安全检测能力,使得访问过程存在巨大网络安全风险,病毒或攻击者很有可能通过VPN感染企业内部业务系统。不止如此,传统VPN还存在权限粗放风险大、安全漏洞频频爆雷等问题。随着现在企业上云趋势广泛应用,在多云、混合云环境下,VPN已经无能为力去保护非企业自建的云基础设施,甚至可以说为攻击者打开了大门。VPN不是通过线性访问来保护扁平网络,而是尝试保护外围网络。更大的问题是,VPN根本不够安全,无法抵御当今日益复杂的威胁。纵使调研机构Statista对2020年全球VPN市场规模的估计已达到了271亿美元,但技术变革的趋势,终究是不可阻挡的。时过境迁,彼时的“神器”VPN,此时已经面临着被全新“崛起”的零信任取代的“凉凉”命运。毕竟相比VPN接入后的“畅通无阻”,零信任的核心原则是“永不信任和始终验证”。相比传统vpn,很显然零信任的理念和架构才更符合当前的数字时代要求的网络安全范式。不过,让VPN走向今天这个“消亡”的结局,原因其实有很多。VPN弊端暴露,安全问题愈演愈烈先来谈谈VPN存在的最核心问题——安全漏洞。其实VPN安全漏洞已经是一个老生常谈的话题了。这些年来因VPN漏洞导致的数据泄露新闻屡见不鲜。早在2019年,就有大量VPN服务器就被曝出重大漏洞,加剧了VPN网络安全态势的风险。其中,2019年4月,卡内基梅隆大学CERT/CC称,至少四款企业VPN应用中存在安全缺陷,包括思科、F5
2023年9月18日
其他

企业如何破解数据合规压力;公有云边界设备能选择第三方厂商吗 | FB甲方群话题讨论

业务在公有云上,像防火墙WAF这种边界设备,能不用公有云厂商产品,而采购其他安全厂商的安全设备吗?架构上有可能吗?A1:可以,自己搞出口。但如果是SaaS业务,大概率不行。A2:公有云算PaaS服务
2023年9月15日
其他

划重点!CISA、FBI、NSA联合发布深度伪造威胁网络安全报告

近日,美国国家安全局(NSA)、联邦调查局(FBI)、网络安全和基础设施安全局(CISA)联合发布了一份网络安全信息表(CSI),以应对深度伪造所带来的新威胁。CSI的标题为“将Deepfake威胁情境化到组织”,旨在帮助组织识别,防御和应对deepfake威胁。它建议组织实施实时验证功能、被动检测技术以及针对高级人员及其通信的保护措施等技术,以检测和缓解深度伪造。深度伪造是指使用人工智能
2023年9月14日
其他

GitHub 曝出漏洞,或导致 4000 多个存储库遭受劫持攻击

hijacking)的简称,是一种威胁攻击者能够绕过一种流行的存储库命名空间退役的安全机制并最终控制存储库的技术。(该保护措施的作用是防止其他用户在重命名其用户帐户时创建与包含
2023年9月13日
其他

面临安全危机!AI聊天机器人领域兴起“越狱潮”

"涉及发布特定命令或叙述,可触发无限制模式,使AI能够不受约束地做出反应。网上一些讨论社区中已经有人在分享这些越狱的策略和战术。Critical
2023年9月13日
其他

谷歌应用商店中惊现Telegram间谍软件,下载量超数百万次!

Golovin表示,这种恶意软件不仅可以窃取用户的姓名、ID、联系人、电话号码和聊天信息,还能将这些信息传输至恶意行为者的服务器上。俄罗斯网络安全公司将这种活动命名为
2023年9月12日
其他

调查称全球多所顶尖高校网站存在网络攻击风险

漏洞,UTEL大学(墨西哥)、台湾大学、瓦尔登大学、西印度群岛大学(牙买加)、加州大学圣地亚哥分校泄露的信息可能导致网站被完全接管。加州大学圣地亚哥分校的网站留下了数据库凭据、Cloudflare
2023年9月11日
其他

酱香拿铁刷屏后,我们搞了一场“真香”的网安沙龙

最近,大家的朋友圈都被酱香拿铁刷了屏,如果你没能赶上这波瑞幸拿铁,那么9月6日的这场真香的网络安全行业大会千万别错过啦。大会现场座无虚席,演讲嘉宾金句频出,精彩的议题引发参会观众的共鸣,纷纷举起手机拍照。场外展区人群涌动,近距离了解厂商最新产品或理念,更有众多好玩的签到、集章、抽奖活动。话不多说,先上一波现场快剪视频和生图。(向右滑动,查看更多)本次「FreeBuf企业安全俱乐部·上海站」以“金融科技安全与数据安全”为主题,来自全国的网安行业人物、技术大拿、CSO等共聚上海中油阳光大酒店,聚焦金融科技安全、数据安全两大核心主题,共同探讨当下金融行业普遍面临的网络安全风险,畅聊那些曾经踩过的数据安全的坑。为了方便更多网安人参与,本次大会在FreeBuf和斗象科技两大视频号同步直播,在线观看人次近10万。一睹演讲嘉宾现场“硬核”风采此次大会共有十多位重磅嘉宾分享主题演讲,立足当下金融科技行业现状,结合自身多年甲方建设实战经验,展望未来数据安全发展态势,为网安人带来了一场干货十足、酣畅淋漓的思维碰撞体验。大会上午场由网商银行安全专家柳星、天威诚信资深技术专家陈大鹏、零跑汽车安全负责人陈昺润、火山引擎安全专家宋兵、海通证券股份有限公司安全攻防负责人徐文韬发表主题演讲,基于行业数据安全新痛点,给出新的实战经验和解决方案。网商银行安全专家柳星网商银行安全专家柳星以《数字银行数据威胁感知体系建设》为题发表了演讲。他指出,数字银行最关键的资产是数据,而数据泄露是客观且长期存在的风险。演讲中,他详细剖析了数据威胁成因、数据威胁路径等,分享个人实践经验。天威诚信资深技术专家陈大鹏天威诚信资深技术专家陈大鹏以《金融行业SSL/TLS应用及管理策略透视分享》为主题发表演讲。他表示,目前行业内SSL证书使用量正在逐日增加,但这些网安证书普遍存在数量多、周期分散、使用情况不清楚、缺乏标准管理规范等问题,如何快速高效的解决这些问题至关重要。零跑汽车安全负责人陈昺润零跑汽车安全负责人陈昺润现场分享了《金融领域数据安全治理总结》,他认为数据治理是数据安全的前提和基础。同时,数据治理不单单是一个技术项目,需要做到跨域协同,并在实践中注重数据合规、基础建设、体系融合等。火山引擎安全专家宋兵火山引擎安全专家宋兵以《基于云原生的大模型安全分析》发表主题演讲,他阐述了做云原生的具体原因,并分享了基于业务视角的云原生安全防护实践等内容。海通证券股份有限公司安全攻防负责人徐文韬海通证券安全攻防负责人徐文韬分享《打造网络安全数字能力底座:证券公司安全建设实践》。他认为可通过强化业务系统开发过程中的安全管理,将安全的流程、要素嵌入研发的全生命周期中,逐步实现安全的左移和前置,将安全风险尽量遏制在源头。上午场嘉宾演讲结束后,现场进行了一波惊喜抽奖,奖品包括象公仔、FreeBuf定制背包、100元京东卡等超值礼品。抽奖结束后,主持人为幸运观众现场颁奖并合影。获奖嘉宾及观众合影大会下午场由东方证券信息安全专家甄明达、Tenable中国区总经理赵阳、美团数据安全总监戴鹏飞、斗象科技安全专家杜南、中国移动上海产业研究院、网络与信息安全牵头人唐双林、平安银行应用安全专家向书影、千寻位置基础安全负责人王忠惠、数禾科技信息安全专家陈琳琪发表主题演讲,从高维度分析安全挑战,探索前沿技术方法论。东方证券信息安全专家甄明达东方证券信息安全专家甄明达分享了《从降本增效到数据安全-全栈信创数据安全沙箱实践》主题演讲,从传统办公安全痛点出发,提出全新解决方案并阐述了方案实践效果。Tenable中国区总经理赵阳Tenable中国区总经理赵阳讲述了《构建由外至内安全可视能力建设体系》。他表示过去十年中,攻击面发生了巨大变化,构成攻击面的资产之间的关联也比以往更紧密,因此一个领域中的风险暴露可能很快就会造成业务关键数据外泄。美团数据安全总监戴鹏飞美团数据安全总监戴鹏飞分享了《数据安全:先发制人》的主题演讲。传统数据安全只能解决一部分问题,不要过分迷信教科书,那不是全部。同时,他认为数据安全有更大的版图,是一个更为广泛的攻击和对抗活动,能“打仗”,“打胜仗”才是根本竞争力。斗象科技安全专家杜南斗象科技安全专家杜南以《知攻善防-基于行业专网的防控思路实践分享》为主题进行演讲,分享了业务专线安全防护、专网异常攻击行为防护两大实践场景并基于自适应技术,使用聚类、异常检测、关联挖掘等算法进行了总结。中国移动上海产业研究院、网络与信息安全牵头人唐双林中国移动上海产业研究院、网络与信息安全牵头人唐双林分享了《基于超级SIM卡的元信任安全创新方案保障车联网数据安全》。他提到,安全事件层出不穷,数据安全态势严峻,安全信任体系中的身份认证是数据安全防护的第一道关口,将成为车联网安全的基石。平安银行应用安全专家向书影平安银行应用安全专家向书影发表了《研发领域数据安全治理实践一则》主题演讲,从研发数据安全现状、治理实践、安全工作的价值等几个方面的内容入手,进行了深入的剖析。千寻位置基础安全负责人王忠惠千寻位置基础安全负责人王忠惠从企业数据流转的变化、数据要素的安全合规原则、数据渠道、数据流转实时监控、管控等几个方面阐述了《企业数据流转的现状与挑战》。数禾科技信息安全专家陈琳琪数禾科技信息安全专家陈琳琪分享了《数据安全从踩“坑”到落地的两三事》,他认为数据安全不是高大上的专业技术,而是业务的保险箱。而“人”始终是数据安全的核心,也是数据安全是否成功落地的精神承载。大会下午场结束后,主办方临时增加了一场抽奖活动,奖品包括FreeBuf定制洗漱包、小蜜蜂毛毯、100元京东卡等超值礼品。抽奖结束后,主持人为幸运观众现场颁奖并合影。随着精彩的嘉宾演讲和抽奖活动的结束,本次大会也进入了尾声。9月6日,未能来到线下参加活动的用户也无需遗憾,11月22日,张江科学大会堂,我们FCIS大会再相聚,感受不一样的网安大会。下一次大会,FreeBuf期待与您再会!
2023年9月6日