六方云安全态势周刊六方云安全态势周刊丨第218期

01.

业界动态

1、VMware发布2022版的年度全球事件响应威胁分析报告

据媒体9月20日报道，VMware在近期发布了2022版的年度全球事件响应威胁分析报告。VMware在报告中提出了8个主要发现：横向运动是新的战场；Deepfake攻击猛增13%，66%的受访者在过去一年中目睹了此类攻击；65%的受访者称俄乌战争以来攻击活动有所增加；23%的攻击危及API安全性；62%的受访者在过去一年内遇到过零日漏洞，比去年增加11%；近60%的受访者在过去一年内遭到过勒索攻击；IT研究人员正在反击；IT倦怠率比去年略有下降，但仍然是一个关键问题。

https://www.vmware.com/content/dam/learn/en/amer/fy23/pdf/1553238_Global_Incident_Response_Threat_Report_Weathering_The_Storm.pdf

2、心怀不满的开发人员在Twitter公开Lockbit 3.0构建器

媒体9月21日报道称，勒索软件LockBit最新加密器的构建器已经泄露。研究人员3xp0rt称，新注册的Twitter用户Ali Qushji表示他们的团队入侵了LockBits服务器并找到了LockBit 3.0的构建器。之后，名为protonleaks也公开了该构建器的副本。LockBit的代表LockBitSupp声称他们没有被入侵，而是一个对Lockbit的领导层感到不满的开发人员泄露了构建器。该构建器可被任何人用来快速构建启动攻击所需的可执行文件，包括加密器、解密器和以特定方式启动解密器的专用工具。

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-builder-leaked-online-by-angry-developer-/

3、CISA和NSA发布开放无线电接入网络安全的注意事项

9月16日，CISA和NSA发布了开放无线电接入网络（Open RAN）安全的注意事项。Open RAN是传统RAN架构演变为开放互操作接口、虚拟化、大数据和支持人工智能的智能的行业术语，Open RAN架构打开了云和虚拟化的大门，同时通过创建多供应商生态系统来促进竞争加剧、供应商多样性和创新。该指南评估了与实施开放RAN架构相关的好处和安全注意事项，CISA鼓励用户、网络运营商、供应商和利益相关者查看这些注意事项。

https://www.cisa.gov/uscert/ncas/current-activity/2022/09/15/cisa-and-nsa-publish-open-radio-access-network-security

02.

关键基础设施

1、美国航空公司称其部分员工的电子邮件账户被入侵

媒体9月19日称，攻击者通过钓鱼攻击入侵了美国航空公司部分员工的电子邮件帐户，并获得了个人信息的访问权限。该公司在7月5日发现了这一问题，之后立刻保护了适用的邮件帐户，并聘请了第三方安全取证公司进行调查，以确定事件的性质和范围。该航空公司拒绝透露受影响客户和员工的数量，但表示这是一个非常小的数字，且没有数据被滥用，他们还将为受影响的客户提供两年免费的Experian IdentityWorks会员。

https://www.bleepingcomputer.com/news/security/american-airlines-discloses-data-breach-after-employee-email-compromise/

03.

安全事件

1、2K Games游戏平台遭到攻击并被用来分发RedLine

媒体9月20日称，美国视频游戏发行商2K Games遭到攻击，被用来分发恶意软件RedLine。本周二开始，许多2K客户收到来自Support系统的电子邮件，邮件包含一个名为2K Launcher.zip的附件，该文件托管在2ksupport.zendesk.com上，伪装成了一个新的游戏启动器。下载的存档包含107 MB的可执行文件2K Launcher.exe，VirusTotal和Any.Run表示，这是信息窃取恶意软件RedLine。目前，2K似乎已将其Support系统关闭，用户无法使用登录凭据访问其票证。

https://www.bleepingcomputer.com/news/security/2k-game-support-hacked-to-email-redline-info-stealing-malware/

2、Guacamaya公开智利等多个国家的军事机构约10GB数据

据9月19日报道，自称Guacamaya的黑客团伙发布了来自智利和墨西哥等多个国家的军事和警察机构约10GB的电子邮件等材料。该团伙主要针对中美洲地区的组织，这是其自2022年3月以来第四次公开数据，这些数据都被发布到了Enlace Hacktivista。据悉，此次事件主要涉及了智利武装部队参谋长联席会议、墨西哥国防部、萨尔瓦多国家民警和萨尔瓦多武装部队、哥伦比亚武装部队总司令部、秘鲁武装部队联合司令部和秘鲁军队。

https://www.cyberscoop.com/central-american-hacking-group-releases-emails/

3、伊朗黑客曾潜伏在阿尔巴尼亚政府系统超14个月

美国联邦调查局 (FBI) 和美国网络安全和基础设施安全局（CISA ）表示，7月份阿尔巴尼亚政府遭遇的网络破坏性攻击背后的威胁组织之一伊朗黑客在其系统内潜伏了大约长达14个月之久。获得了对受害者网络的初始访问权限，其中包括勒索软件式文件加密器和磁盘擦除恶意软件。

https://www.secrss.com/articles/47253

4、40多万封邮件遭泄密，智利军方高官辞职

据埃菲社智利圣地亚哥22日报道，智利武装部队参谋长联席会议主席吉列尔莫·派瓦将军在包括敏感的国家安全信息在内的大量电子邮件泄露后，于9月22日辞职。据调查，被泄露的文件包括网络安全、通信和边境监测数据，以及关于情报和卫星监测系统的敏感信息等。

https://mp.weixin.qq.com/s/EPlkbHRgeGIE6ngjYF_6sg

5、河南一高校学信网信息泄露

2022年8月28日，校学生会一名学生干部参加社会实践活动期间，应郑州泽梦企业管理咨询有限公司业务人员要求，协助该公司擅自组织学生参与网上《信师宿舍满意度调查问卷》活动，通过学生干部QQ交流群发布调查问卷，组织2020级和2021级学生参加问卷调查。经查，该调查问卷最后一题是要求学生登录学信网并填写学信码，涉事公司事前向该生隐瞒了学信码的真实用途，该生对问卷调查的真实目的缺乏了解。经与填写问卷学生核实，确实存在部分学生学信码被盗用情况，造成这些学生在三个月内不能享受购买苹果平板电脑、耳机等产品的优惠政策。

https://www.163.com/dy/article/HHQ25D0P05346936.html

04.

漏洞事件

1、Python中已存在15年的漏洞可影响超过35万开源存储库

Trellix研究人员在9月21日称，Python中已存在15年的漏洞可能会影响超过350000个开源项目。这是一个路径遍历漏洞（CVE-2007-4559，CVSS评分6.8），可被用来覆盖任意文件并导致代码执行，存在于Python tarfile包的使用未处理的tarfile.extract()函数或tarfile.extractall()的内置默认值的代码中。此外，Trellix还发布了一个名为Creosote的自定义应用，用于扫描易受CVE-2007-4559攻击的项目。

https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html

2、研究人员披露Oracle云基础设施中的漏洞AttachMe

研究人员在9月20日披露了Oracle云基础设施(OCI)中的一个新漏洞AttachMe。研究人员称，只要攻击者拥有其Oracle云标识符(OCID)，就可以对任何未附加的存储卷或允许多附件的附加存储卷进行读写，来窃取敏感数据或通过可执行文件发起更具破坏性的攻击。该漏洞可能导致权限提升和跨租户访问，也体现了云租户隔离在云基础设施中的重要性。在收到漏洞报告后的24小时内，Oracle为所有OCI用户修复了该漏洞，而无需用户采取任何措施。

https://www.wiz.io/blog/attachme-oracle-cloud-vulnerability-allows-unauthorized-cross-tenant-volume-access

05.

政策监管

1、印尼国会审议通过《个人数据保护法》

中新社雅加达9月20日电 (记者林永传)印尼国会全体会议20日审议通过了该国《个人数据保护法》，该法对个人数据的类型、数据主体的权利、数据的处理、数据处理者和控制者的义务、数据的传输，以及个人数据的使用、对违法者处罚等都做了明确规定。

http://www.chinanews.com.cn/gj/2022/09-20/9856947.shtml

2、上海人大发布《上海市促进人工智能产业发展条例》

为了促进人工智能产业高质量发展，强化新一代人工智能科技创新策源功能，推动人工智能与经济、生活、城市治理等领域深度融合，打造人工智能世界级产业集群，根据有关法律、行政法规，结合上海市实际，制定该条例，并于2022年9月22日上海市第十五届人民代表大会常务委员会第四十四次会议通过。

http://www.spcsc.sh.cn/n8347/n8467/u1ai248931.html

3、中国气象局印发《气象数据开放共享实施细则（试行）》

日前，中国气象局印发《气象数据开放共享实施细则（试行）》（以下简称《实施细则》），进一步规范气象数据开放共享工作，推进气象数据安全、合规、有序开放共享，提升气象数据资源价值和应用效益。

http://www.cma.gov.cn/2011xwzx/2011xqxxw/2011xqxyw/202209/t20220919_5092677.html