一、业界动态
网信办发布《移动互联网应用程序信息服务管理规定（征求意见稿）》
1月5日，国家互联网信息办公室根据《中华人民共和国网络安全法》等法律规定，对2016年8月1日正式施行的《移动互联网应用程序信息服务管理规定》进行了修订，并向社会公开征求意见。规定要求应用程序提供者通过应用程序提供互联网新闻信息服务，应当取得互联网新闻信息服务许可，禁止未经许可或者超越许可范围开展互联网新闻信息服务活动；应用程序提供者发现其应用程序存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
http://www.cac.gov.cn/2022-01/05/c_1642983962594050.htm
国家网信办等13个部门修订发布《网络安全审查办法》
1月4日，国家互联网信息办公室等13个部门修订发布《网络安全审查办法》。该办法共23条，在2021年11月16日国家互联网信息办公室2021年第20次室务会议审议通过，自2022年2月15日起施行。该办法规定掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。负责人称，此举是为进一步保障网络安全和数据安全，维护国家安全。
http://www.cac.gov.cn/2022-01/04/c_1642894602182845.htm
Invezz称近10年中加密安全漏洞的数量已增加850%
Invezz发布的报告显示近10年中加密安全漏洞的数量已增加850%。据估计，2011年1月至2021年12月，被盗的加密货币金额达121亿美元。其中损失金额增幅最大的是2016年至2017年，增长180%；因加密攻击而导致的损失最高的是2021年，达42.5亿美元。利用加密交换安全系统中的漏洞是最常见的策略，最常遭到此类攻击的国家是日本、韩国、美国、英国和中国。
https://securityaffairs.co/wordpress/126216/cyber-crime/crypto-security-breaches-2011-2021.html
ESET公开2021年值得注意的网络安全统计数据列表
ESET在12月30日发布的统计报告列出2021年值得注意的网络安全统计数据。报告指出，2021年数据泄露造成的损失从386万美元上升到424万美元，达到近17年以来的峰值；今年年中，Kaseya被Sodinokibi勒索7000万美元，这是迄今为止最高的赎金金额；2021年12月，Log4Shell披露后不久ESET检测到数十万次攻击尝试，其中大部分位于美国和英国。
https://www.welivesecurity.com/2021/12/30/22-cybersecurity-statistics-know-2022/
二、关键基础设施
Amnpardaz在野发现针对HP iLO的新iLOBleed
伊朗安全公司Amnpardaz在野发现针对惠普Integrated Lights-Out(iLO)的新恶意软件iLOBleed。这是首个针对iLO固件的rootkit，它可以长时间地隐藏在iLO中并且不会在固件升级中被删除。iLOBleed自2020年以来一直被用于攻击，可篡改固件模块并删除被感染系统中的数据。目前该恶意软件背后攻击者的身份仍未确定，但Amnpardaz推测它与某个由国家支持的APT组织有关。
https://threats.amnpardaz.com/en/2021/12/28/implant-arm-ilobleed-a/
三、安全事件
FinalSite遭勒索攻击导致全球数千学校网站无法访问
据媒体1月6日报道，学校网站服务提供商FinalSite遭到勒索攻击，全球数千学校网站无法访问。FinalSite作为SaaS提供商，为全球115个国家的8000多所学校提供服务。本周二，使用该服务的学校发现其网站无法访问，当时FinalSite并未透露其遭到攻击，只称是性能问题影响了Composer内容管理系统。直到中断三天后，FinalSite在1月6日证实其遭到勒索攻击导致服务中断。目前尚不清楚攻击团伙的身份。
https://www.bleepingcomputer.com/news/security/finalsite-ransomware-attack-shuts-down-thousands-of-school-websites/
SEGA Europe的AWS存储桶配置错误，可访问密钥等信息
SEGA Europe的AWS存储桶配置错误导致信息泄漏。受影响的存储桶包含可用来访问SEGA Europe的多个云服务的AWS密钥，SNS通知队列，以及大量用户信息。研究人员表示，他们能够上传文件、执行脚本、更改现有网页并篡改SEGA域的配置，目前没有迹象表明攻击者已访问数据或利用上述漏洞。
https://vpnoverview.com/news/sega-europe-security-report/
AvosLocker在入侵美国警察局后向其提供解密器
AvosLocker已免费向美国警察局提供解密器。该团伙在上个月已入侵美国的警察局，攻击期间窃取该机构的数据并加密其设备。AvosLocker在得知对方是政府机构后立刻道歉，并免费提供解密器。该团伙的成员表示，他们没有具体的针对目标的政策，但通常会避免对政府机构和医院进行攻击。
https://www.bleepingcomputer.com/news/security/ransomware-gang-coughs-up-decryptor-after-realizing-they-hit-the-police/
葡萄牙最大媒体集团遭勒索软件攻击，网站瘫痪
葡萄牙最大的电视台和报纸媒体Impresa就遭到勒索软件攻击而瘫痪，这也是国家级媒体服务首次因勒索软件攻击而长时间中断。袭击背后的可疑勒索软件团伙名为Lapsus$。
https://mp.weixin.qq.com/s/_O0iDuALfX_Vjub1CujZHg
四、漏洞事件
Microsoft发布抵御、检测和查找漏洞Log4Shell的指南
Microsoft威胁情报中心 (MSTIC)发布关于漏洞Log4Shell的修订指南。Log4Shell是Apache基金会于12月10日公开的Log4j 2中的3个RCE（CVE-2021-44228、CVE-2021-45046和CVE-2021-44832）。Microsoft称，在12月的最后几周，利用此漏洞的尝试一直居高不下。为此，该指南对利用Log4Shell的攻击进行观察和分析，并提供了查找和修复易受攻击的服务和系统，以及检测、调查和响应攻击的建议。
https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
