一周安全头条（20190311-0316）

基础设施安全  电网截至今日，委内瑞拉发生史上最大规模停电，该国23个州中，包括首都加拉斯加在内的22个州受影响。截至目前，委内瑞拉当局正努力修复系统，尚不清楚攻击者身份。委内瑞拉合法总统Nicolas Maduro在推特上声称，此次断电事故由美国一手策划并实施，对此，美国第一时间予以否认并发布声明称这是“Maduro政府腐败”所致。

调查报告  人工智能近日由Webroot发布的一份报告指出，73%的日本和美国的IT工作者表示今年将增加人工智能和机器学习在工作中的使用程度。报告中指出，84%的受访者相信攻击者已经开始在他们的攻击架构中使用这类技术；尽管有58%的人表示不确定一个安全工具使用机器学习或者人工智能究竟是什么意思，但是76%的人表示在这方面进行投资的确让公司变得更加安全了。

调查报告  漏洞补丁近日，安全公司 Risk Based Security (RBS)发布了一份2018年安全漏洞研究报告。调查结果显示，2018年共披露了22,022个安全漏洞，其中，Web相关漏洞占据了几乎半壁江山(47.9%) ，约27.5%是与访问身份验证有关的漏洞，3.5%属于SCADA漏洞——比2017年增长一倍。2018年披露的所有漏洞中，约33%的严重性评分高于7分。其中近1/3有公开的漏洞利用程序，约一半是可远程利用的。但严重性评分在9分到10分的高安全风险软件漏洞却连续第三年占比下降，为13.6%。

调查报告  威胁情报近日，赛门铁克（Symantec）近期发布了2018年度互联网安全威胁报告（ISTR24），总结性的披露其在2018年观测到全球范围的主要网络安全威胁和攻击方式，并对2019年的威胁趋势进行了预测。在ISTR24报告中，赛门铁克强调了企业需要着重关注以下八大威胁态势：表单劫持、挖矿劫持、勒索软件、无文件和供应链攻击、定向攻击、云安全挑战、物联网威胁、选举扰乱。除以上8点威胁态势分析外，ISTR24还给出了2018年赛门铁克从某些公开访问的黑市论坛、暗网站点等渠道，统计到的部分信息、软件和服务的公开报价。

融资并购  F5 Networks  NGINX据外媒报道，全球第三大Web开源服务商Nginx开发商NGINX宣布，已与F5 Networks签署协议，同意以6.7亿美元的价格被收购。截至目前，协议细节暂未披露，Nginx CEO在官方博客上表示，此次被F5 Networks收购能合作开启更大的目标市场，F5也承诺将保留Nginx品牌和开源技术。

融资并购  云安全云安全公司Cloudflare本周宣布获得E轮融资1.5亿美元，总融资额超过3.3亿美元。据称，Cloudflare准备在今年上半年上市，估值为35亿美元。

行业动态  数字证书近日，研究人员发现，由于操作失误，Google、Apple和GoDaddy错误地签发了120万张不符合行业标准的数字证书。这些公司用于生成证书的EJBCA软件包配置错误，导致它们实际上只使用63位序列号生成证书，这与最低64位的行业标准并不符合。该失误可能会在未来几周内导致大量站点崩溃。目前为止，Google已在5天内撤回了95%的不合格证书，Apple和GoDaddy也将在30天内完成此项任务。

行业动态  太空网络安全近期，NCC Group和萨里大学建立了“太空网络安全研究伙伴关系”，研究卫星面临的安全问题。除此之外，他们还将赞助一名PhD学者，来研究在卫星上使用商用现货（commercial off-the-shelf, COTS）组件的安全影响。

行业动态  漏洞悬赏漏洞研究公司Crowdfense发起了一个0day漏洞收购项目，并且承诺最高将支付300万美金给有完整链条、之前没被报告过的漏洞。去年，该公司实行了一个1,000万美元的漏洞悬赏项目，其中包括了高等级的技术训练课程。今年的悬赏计划主要针对于安卓平台上的Chrome浏览器以及iOS系统的Safari浏览器。

安全事件  FacebookFacebook，以及其旗下Instagram和WhatsApp全球宕机14小时，原因疑似因为欧洲的ISP发生了BGP泄露事件。这是Facebook有史以来最长的宕机时间。事后，Facebook澄清自己并未受到DDoS攻击。同时网络监测公司ThousandEyes指出，这次宕机事件应该是发生在Facebook的内部网络，而非外部连接上，因为他们并未监测到任何会影响到连接性的BGP变化；另一方面，Facebook使用他们自己的主干网络，因此很难想象外部的传输网路如何能影响到Facebook的内部网络。

恶意软件  谷歌Play近日，CheckPoint发布最新报告称，谷歌Play中206款应用均被恶意软件SimBad感染，这些应用累计下载次数近1.5亿次。据悉，这类恶意软件一旦安装便会在后台疯狂弹送广告，并通过色情广告的形式引导用户点击特定网站和应用商店链接，甚至下载更多App。此外，SimBad还包含隐藏图标代码，用户很难查找并清除该软件。截至目前，谷歌已下架这些应用，用户可查看CheckPoint报告附录列表确认是否安装。

恶意软件  移动安全  安卓一种名为SimBad的广告软件在Google Play的210个安卓应用上被发现，有大约1.5人已经下载使用了这些应用。一旦用户的手机被感染，该病毒的操纵者可以让手机播放被背景广告，甚至打开钓鱼网站等行为。谷歌已经将受影响应用下架。

恶意软件  勒索病毒

近日，深信服安全团队发现Globelmposter勒索病毒3.0变种再次席卷全国各地医院，受影响的系统，数据库文件被加密破坏，病毒将加密后的文件后缀改以*4444结尾，并要求用户通过邮件沟通赎金跟解密密钥等。目前GlobeImposter 3.0已在多个省份形成规模爆发趋势。

漏洞补丁  量子加密近日，上海交通大学的研究人员们发现QKD可以借由注入锁定 (injection locking) 的方式，将具有不同种子频率的光子注入激光腔(lasing cavity) 来改变激光频率的方法。如果频率差异很小，激光最终会与种子频率 (seed frequency) 共振，最终成功取得量子加密信息。相关研究人员表示该攻击信息盗取成功率可达到 60％。

漏洞补丁  工控安全研究者近日发布了Moxa工控产品的12个安全漏洞，分别都能产生不同程度的后果。数个漏洞存在于Moxa设备的web交互中，web控制的密码被以明文储存，同时由于认证次数不受限使得对交换机面临被暴力破解的危险。另外，部分交换机存在用不安全的“专用协议”传输敏感信息的问题，会造成中间人攻击等问题。值得注意的是IKS-G6824系列的交换机，自身就存在了7个独有的漏洞，包括数个跨站点脚本漏洞、缓冲错误、以及CRF错误。Moxa建议自己的客户尽快对产品进行最新的更新以修复这些漏洞。

漏洞补丁  微软微软周二发布了新的补丁，总共修复了64个安全漏洞，其中17个是严重，4个早已被公开，另外2个已经被广泛利用。另外值得注意的是，微软给Win10提供了一个新功能，能自动卸载因为不兼容或者会造成新问题的更新。

漏洞补丁  智能汽车英国安全公司Pen Test Partners近日表示一部分智能汽车警报器有严重的安全隐患，使得黑客可以窃取高端汽车。该团队检查了数个第三方智能汽车警报器，最终发现Pandora和Viper两家的产品最容易被攻击，造成300万汽车会被窃取。漏洞存在于产品的API中，使得任何人都可以修改系统参数、用户凭证，并且劫持账户。

个人隐私  抖音  罚款上个月底，美国联邦贸易委员会宣称，现以TikTok(抖音海外版)之名为人所知的Musical.ly同意支付570万美元和解金——该委员会在儿童隐私案件中获得的最大民事处罚罚金。另外，FTC敕令TikTok必须遵从《儿童在线隐私保护法》(COPPA)，并删除13岁以下用户上传的视频。随后，TikTok宣布将另外发布一个适合13岁以下儿童使用的版本，其中引入了额外的安全与隐私保护功能。

数据泄露  “密码喷涂”技术近期，软件制造商Citrix发布声明称遭到黑客攻击，存储在其企业网络中约6-10TB敏感数据被泄露，泄露文件主要与美国联邦调查局（FBI）、NASA、沙特阿拉伯国有石油公司有关，包含电子邮件通信内容、网络共享文件及用于项目管理和采购的其他服务。Citrix发言人表示，目前并未在其任何服务或产品中发现安全漏洞，黑客可能使用了“密码喷涂”技术获取有限的访问权限绕开安全系统。

数据泄露  邮件安全研究人员发现，电子邮件验证公司Verifications.io发生大规模数据泄露事件，超过8.08亿记录被曝光。据悉，此次共有4个MongoDB数据库在互联网曝光，这些数据库被托管在同一台服务器上，大小约150GB，泄露数据包括用户IP地址、出生日期、邮政编码、地址、性别、电话号码、电邮地址等隐私信息，财务数据、医疗记录及其他敏感信息不受影响。截至目前，该服务器已下线。

数据泄露  国家安全企业级软件以及网络和远程控制厂商Citrix确认自己内部网络遭到有政府支持的国际黑客攻击。Citrix为美国军方、企业以及政府部门提供可视化软件，超过40万业务使用Citrix的软件。安全公司Resecurity认为，攻击者是名为IRIDIUM的伊朗攻击组织。攻击者用了一系列的不同技术、工具和方式成功攻击了Citrix内部网络，而Citrix表示暂时不清楚具体哪些文件被窃取。

数据泄露  个人隐私最近，国外安全研究者在中国网络上发现了一个带有180万女性信息的不安全数据库。该数据库包含了年龄、地址、电话、婚姻状态，甚至有一个“适孕状态”的属性。这180万女性平均年龄32岁，年龄最大为95岁，最小为15岁；并且89%未婚，10%离异，1%丧偶，同时82%的人居住在北京。暂不清楚该数据库所属，现在已经被关闭。

数据泄露  敏感信息近日，Verification.io发生信息泄漏事件，总共20亿条记录，包含名字、物理地址、电话号码、邮箱地址、生日、性别、雇主、地理位置、IP和工作职位等敏感信息。但是泄露信息不包含密码。