一周安全头条（20181230-20190105）

信息泄露  恶意代码

近日，近1,000名叛逃到韩国的原北朝鲜人的个人信息被泄露，该信息包括了他们的个人姓名以及地址，使得他们陷入潜在的人生危险中。这次泄露事件是通过一台个人电脑发生的，该电脑属于韩国一个帮助北朝鲜人叛逃的机构。有人无意中在该电脑上打开了一个带有恶意代码的网站，使得电脑遭到攻击。事后，该组织对其他机器进行了清查，并未发现更多泄露的问题。

信息泄露  Twitter

近期，Twitter出现了一条关于超过2亿份简历数据泄露的推文。据推文信息，可以看出这些简历全部来自中国，内容非常详细，包括姓名、电子邮箱、电话、性别、婚姻状况、政治面貌、工作技能、工作经历等。

信息泄露  政府官员

2019年未过24小时，全球就发生了第一起信息泄露事件。澳大利亚某政府雇员被钓鱼邮件攻击，造成未授权的第三方下载了大约30,000名澳大利亚官员的个人信息，包括工作邮件、电话号码和职位，但是没有财务信息被泄露。

信息泄露  AWS S3

在线隐私公司Abine近日表示，密码管理、匿名邮件公司Blur可能有240万用户的信息被暴露在网上，原因为AWS S3的不正当配置。泄露的信息包括邮件地址、接入Blur的IP地址、密码hash以及部分姓名和密码提示。Abine表示，没有证据表明有关键信息被泄露，或者财务信息被泄露，但是他们依然督促Blur的用户修改自己的密码。

信息泄露  911文档

最近，一支名为The Dark Overlord的黑客组织在网上兜售911相关文档。该文档原本属于英国一家名为Hiscox的保险公司，该保险公司已经确认文件包含相关信息。整个文件包括18,000文件，包括doc、pdf、ppt、xls、tif、msg以及“许多其他有趣的格式”。该组织表示愿意卖给任何人，他们的目的只是为了金钱，不带有任何政治目的。

信息泄露  游戏账户

基于浏览器的角色扮演游戏“女巫镇”被曝出信息泄露，造成760万玩家信息流出。安全公司DeHashed表示，受影响数据包括用户名、邮箱、密码、IP地址、游戏和论坛行为以及支付信息。而之后，女巫镇团队则表示，游戏本身不储存任何财政信息，资金交易由第三方支付系统进行，同时密码都通过hash而非明文储存，受影响的信息仅仅是用户名、加密后的密码、IP和邮件。

行业动态  工控安全  360企业安全

近期，360企业安全集团与北京安控科技股份有限公司（以下简称“安控科技”）正式签署战略合作协议，共同关注工业自动化和信息化融合发展过程中产生的非传统信息安全问题，利用双方技术优势及业务积累，针对工业互联网本质安全问题，围绕安全工控系统、工业互联网安全防护产品、工业生产运营安全服务等方向展开全面合作。

行业动态  安全实验室  绿盟

近期，绿盟科技将其多年的安全研究资源聚焦，发布由绿盟科技安全研究院孵化而出的五大安全实验室和对应的五大方向。希望通过体系化的研究，为其产品和方案，乃至交付后的安全运营，提供更有力的支撑，更好的解决客户实际遇到的安全问题。

行业动态  漏洞奖励  欧盟

据外媒报道，欧盟上周宣布自2019年1月起将陆续为14个开源项目的漏洞赏金计划支付赏金，赏金总额高达85万英镑。这14个项目可按字母顺序排列依次为：7-zip、Apache Kafka、Apache Tomcat、Digital Signature Services （DSS）、Drupal、Filezilla、FLUX TL、GNU CLibrary （glibc）、KeePass、midPoint、Notepad++、PuTTY、the Symfony PHP framework、VLC Media Player以及WSO2。

黑客攻击  页面篡改

爱尔兰首都都柏林的轨道系统网站Luas被黑客攻击，造成页面被修改。攻击者表示要五天内支付1比特币的赎金，否则将公布所有数据。在攻击者给出的消息中，他们表示自己曾联系过管理员自己发现的漏洞，然而管理员并未理睬。

黑客攻击  比特币

1月2日，黑客从 Electrum比特币钱包盗走价值逾75万美元的比特币。据悉，攻击者将恶意服务器添加至钱包的网络中，当用户尝试发起比特币交易时，恶意浏览器会弹出黑客预先设置的GitHub页面，误导用户下载安装实为恶意软件的安全更新。一旦用户完成安装，恶意代码便会引导用户输入双因素身份验证代码，最终导致攻击者获得接管钱包并窃取比特币通道。

黑客攻击  物联网安全

近期，白帽黑客HackerGiraffe和j3ws3r发起了一项名为CastHack的网络活动。他们演示了如何利用支持UPnP的路由器劫持智能电视，来播放YouTube视频来支持当红的视频博主PewDiePie。CastHack活动旨在提高人们对谷歌电视棒（Chromecast）驱动的智能电视的认识，这种电视可能会将设备和智能家庭的敏感信息泄露到公共互联网上，同时也呼吁供应商“重新思考他们的认证模式”。

漏洞补丁  0day  Windows

近日，国外安全研究员 SandboxEscaper又一次在推特上公布了新的Windows 0 day漏洞细节及PoC。此次披露的漏洞可造成任意文件读取。该漏洞可允许低权限用户或恶意程序读取目标Windows主机上任意文件的内容，但不可对文件进行写入操作。从放出的POC代码看，在微软官方补丁发布之前，所有windows用户都将受此漏洞影响。截至目前，微软官方并未发布补丁。

漏洞补丁 人机识别  CAPTCHA

谷歌的reCAPTCHA认证系统在升级后近日依然被同样升级以后的unCaptcha系统所破解。reCAPTCHA升级后将语音报数改成了语音报词组，而unCaptcha团队表示这实际上使得破解变得更为容易，unCaptcha对reCAPTCHA的演示网站进行爬虫下载了音频挑战，之后将音频交给语音文字转换工具，再对词组进行分割并提交答案。unCaptcha在这次升级后，准确性也获得了大幅度提升。

邮件安全  勒索病毒

近期，Criakl的一个新型变种——Ransom.Criakl问世。据悉，攻击者利用钓鱼邮件传播一个zip后缀的附件，该附件解压后实则为一个包含宏病毒的word文件，这其实是一个病毒下载器，一旦启用word宏的用户打开了此文件，在文件关闭时将自动下载恶意程序包并运行，对用户电脑内的所有文件进行加密，并以此对用户进行勒索。

政策法规  个人隐私

近期，巴西前总统米歇尔·特梅尔（Michel Temer）拟公布一项“临时措施”，提出成立“国家个人数据保护局”（简称ANPD），并延长此前基于欧盟GDPR制定的《巴西新数据隐私法》的生效日期，将其从18个月延长到24个月，这就意味着企业须在2020年8月16日前满足合规。据悉，此次“临时措施”明确了，ANPD的职责包括制定信息处理框架，指导组织机构遵守规则，以及负责监督并对违规组织机构进行处罚。