1、微软称黑客利用Boa服务器中的漏洞攻击能源行业组织
微软在11月22日发布报告，称发现攻击者利用Boa web服务器中的漏洞攻击能源行业组织。Recorded Future曾于2022年4月披露针对印度多个电网运营商的攻击活动，但没有详细说明攻击媒介。微软表示，攻击者利用了Boa网络服务器中的一个易受攻击的组件。Boa自2005年以来已正式停产，但物联网设备仍在使用该解决方案，微软一个星期内在全球发现了超过100万个暴露在互联网上的Boa服务器组件。Boa服务器存在多个漏洞，包括任意文件访问漏洞(CVE-2017-9833)和信息泄露漏洞(CVE-2021-33558)。
https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/
1、一团伙假装应聘潜入电商公司安装木马软件，盗取物流信息
浙江慈溪网警大队接到多家电商公司报警,客户刚在网店下单,随后就接到诈骗电话,引发许多客户不满。慈溪网警对受害网店的电脑进行勘查,发现部分连接打印机的电脑中被植入了不明木马软件。顺线循迹深挖,民警最终确定了犯罪嫌疑人。慈溪警方果断出击，抓获了一个专门入室安装木马软件盗取打印信息的团伙，而背后的利益链条令人咋舌。
https://wxb.xzdw.gov.cn/wlaq/yjtb/202211/t20221126_298420.html
2、超过50个伪造的MSI Afterburner官网分发挖矿软件
Cyble的研究人员发现了几个针对MSI Afterburner软件的钓鱼活动，旨在分发挖矿恶意软件。在过去三个月中，有超过50个冒充MSI Afterburner官网的钓鱼网站，会分发XMR(Monero)矿工与窃取信息的恶意软件。具体来说，当目标执行伪造的MSI Afterburner安装文件(MSIAfterburnerSetup.msi)时，除了会安装合法的Afterburner程序，还会悄悄地安装并运行恶意软件RedLine和XMR挖矿程序。不幸的是，该活动几乎所有的组件都没有被杀毒软件检测到。
https://blog.cyble.com/2022/11/23/fake-msi-afterburner-sites-delivering-coin-miner/
3、俄罗斯Roskomnadzor的内网被Cyber Partisans入侵
俄罗斯互联网和媒体监管机构Roskomnadzor遭到黑客攻击。Cyber Partisans于上周五声称从该机构窃取了数千份内部文件并加密了其系统。俄罗斯通用无线电频率中心(GRFC)表示，黑客上个月首次尝试使用以前未利用过的漏洞入侵该机构，目前网络攻击已得到控制，没有任何机密信息泄露。作为回应，Cyber Partisans在周六透露他们获得了员工的护照数据和医疗记录、内部邮件和该机构项目的报告。
https://therecord.media/belarusian-hacktivists-claim-to-breach-russias-internet-regulator/
4、印度坎努尔大学的官方网站泄露3万多学生的信息
科钦的一家安全机构发现，印度坎努尔大学2018年至2022年注册的3万多名学生的信息被发布在一个黑客论坛上。根据初步推测，此次泄露事件是由于大学官方网站的技术故障导致的。泄露数据涉及学生的姓名、Aadhaar号码、照片和电话号码等。目前，坎努尔大学已就此事采取行动，并决定从其数据库中删除2018年至2022年的所有数据。
https://english.mathrubhumi.com/news/kerala/personal-information-of-over-30-000-kannur-university-students-leaked-1.8066818
1、Google Chrome GPU堆溢出漏洞安全风险通告
Google官方发布Google Chrome GPU堆溢出漏洞(CVE-2022-4135)通告，Google Chrome GPU进程存在堆溢出漏洞，成功利用此漏洞可导致在应用程序上下文中执行任意代码。目前，Google已发现此漏洞被用于在野攻击。鉴于此漏洞影响较大，建议客户尽快做好自查及防护。
https://chromereleases.googleblog.com/2022/11/stable-channel-update-for-desktop_24.html
1、《北京市数字经济促进条例》发布
11月25日，北京市第十五届人大常委会第四十五次会议表决通过了《北京市数字经济促进条例》（以下简称《条例》）。《条例》共九章五十八条，立足北京数字经济资源禀赋、积极回应数字经济发展的客观需求，从优化数字基础设施建设、促进数据资源开发利用、做大做强数字经济产业、推进智慧城市建设，再到强化数字经济安全和保障措施。
《条例》指出，市、区人民政府及其有关部门和有关组织应当强化数字经济安全风险综合研判，推动关键产品多元化供给，提高产业链供应链韧性；引导社会资本投向原创性、引领性创新领域，支持可持续发展的业态和模式创新；规范数字金融有序创新，严防衍生业务风险。本市依法保护与数据有关的权益。任何单位和个人从事数据处理活动，应当遵守法律法规、公序良俗和科技伦理，不得危害国家安全、公共利益以及他人的合法权益。任何单位和个人不得非法处理他人个人信息。
http://www.beijing.gov.cn/ywdt/gzdt/202211/t20221126_2866485.html
2、市场监管总局、国家网信办发布《关于实施个人信息保护认证的公告》
为贯彻落实《中华人民共和国个人信息保护法》有关规定，规范个人信息处理活动，促进个人信息合理利用，根据《中华人民共和国认证认可条例》，国家市场监督管理总局、国家互联网信息办公室决定实施个人信息保护认证，鼓励个人信息处理者通过认证方式提升个人信息保护能力。从事个人信息保护认证工作的认证机构应当经批准后开展有关认证活动，并按照《个人信息保护认证实施规则》（见附件）实施认证。
http://www.cac.gov.cn/2022-11/18/c_1670399936658129.htm
1、深圳发布地方标准《公共安全数据要求》
为进一步激活公共数据的价值，推动高质量数据有序安全开放，深圳于近日发布了《公共数据安全要求》（下称《要求》），这也是深圳首个公共数据安全领域的地方标准。
《要求》全文共九章，全面覆盖数据安全管理、技术及数据处理活动各环节，适用于公共管理和服务机构数据安全能力的建设、评估与监管，也适用于处理大量个人信息的服务平台数据安全能力的建设与评估。
http://amr.sz.gov.cn/xxgk/qt/tzgg/content/post_10242930.html
2、证监会发布《证券期货业数据安全管理与保护指引》等7项金融行业标准
近日，证监会发布《证券期货业机构内部接口 证券交易》《证券业登记结算核心术语》《证券期货业数据安全管理与保护指引》《证券期货业信息技术服务连续性管理指南》《场外通用传输接口》《证券公司客户信息交换规范》《证券经营机构投资者适当性管理 投资者评估数据要求》7项金融行业标准，自公布之日起施行。
http://www.csrc.gov.cn/csrc/c101954/c6550642/content.shtml
3、工信部印发《石化行业智能制造标准体系建设指南（2022版）》
近日，工业和信息化部印发《石化行业智能制造标准体系建设指南（2022版）》，提出到2025年，建立较为完善的石化行业智能制造标准体系，累计制修订30项以上石化行业重点标准，基本覆盖基础共性、石化关键数据及模型技术、石化关键应用技术等标准；对于原油加工等石化细分行业，优先制定新一代信息技术在生产、管理、服务等特有场景应用的标准，推动智能制造标准在石化行业的广泛应用。
https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/art/2022/art_7fa07b40da00442196b542fbea4bf2c3.html
