全球动态

1. 工信部发布关于防范SafePay勒索病毒的风险提示

近日，工业和信息化部网络安全威胁和漏洞信息共享平台（CSTIS）监测到一种名为SafePay的新型勒索病毒，其通过数据窃取和文件加密双重勒索机制开展攻击，可能导致数据泄露、业务中断等安全风险。 【阅读原文】

2. 安全公司称去年欧盟排名前 100 公司中 98% 遭黑客攻击出现第三方数据泄露

安全公司 SecurityScorecard 发文，称第三方数据泄露已成为欧盟企业面临的最大网络安全威胁之一，该公司最新的研究分析了欧洲排名前 100 的公司，发现其中 98% 的公司在过去一年内遭到黑客攻击，出现第三方数据泄露情况。 【阅读原文】

3. 开发者质疑苹果 iOS 18增强视觉搜索功能：默认启用，泄露用户隐私

开发者 Jeff Johnson 于去年12 月 28 日发布博文，曝料称在苹果 iOS 18 和 macOS 15 Sequoia 系统中，会默认启用“增强视觉搜索”（Enhanced Visual Search），会将用户照片数据传输给苹果公司，担忧该功能会泄露用户隐私。 【阅读原文】

4. 美政府拟修订HIPAA法规，医疗行业将新增超2400亿元网络安全支出

美国卫生与公众服务部民权办公室发布《加强受保护电子健康信息（ePHI）网络安全的HIPAA安全规则》拟议规则，以修改HIPAA法案的网络安全要求；威胁态势恶化倒逼网安投入增加，据估算，新规在未来5年内将产生超2400亿元的网络安全合规支出。 【外刊-阅读原文】

5. 美财政部据报被黑客攻击，中使馆批美抹黑中国

美国财政部电脑安全护栏据报被中国政府支持的黑客攻击，中国驻美国大使馆回应时批评美国在毫无事实依据的情况下抹黑中国。 【外刊-阅读原文】

6. AI+OSINT：2025年最值得关注的新兴威胁

随着人工智能（AI）的快速发展，OSINT正从一种强大的防御工具演变成潜在的攻击利器，成为未来网络安全领域必须关注的重要威胁。 【阅读原文】

安全事件

1. TrueNAS CORE 漏洞让攻击者能够执行远程代码

来自 Computest Sector 7 的安全研究人员 Daan Keuper、Thijs Alkemade 和 Khaled Nassar 披露了 TrueNAS CORE 中的一个严重漏洞，TrueNAS CORE 是由 iXsystems 开发的广泛使用的开源存储操作系统。【外刊-阅读原文】

2. Azure Airflow 中配置错误的 Kubernetes RBAC 可能会使整个群集受到攻击

网络安全研究人员在 Microsoft 的 Azure 数据工厂 Apache Airflow 集成中发现了三个安全漏洞，如果成功利用这些漏洞，攻击者可能会获得执行各种隐蔽操作的能力，包括数据泄露和恶意软件部署。 【外刊-阅读原文】

3. 印度铁路网站再次崩溃，扰乱了印度各地的 Tatkal 订票

由于印度铁路餐饮和旅游公司 （IRCTC） 网站和移动应用程序宕机，印度各地的铁路旅客面临中断，并在关键的 Tatkal 售票窗口造成混乱。这次 IRCTC 中断标志着仅在 12 月的第二次重大中断，让成千上万的乘客无法在高峰时段订票。【外刊-阅读原文】

4. 黑客使用 LNK 文件将网站武器化，以提供武器化的 LZH 文件

Watering Hole 攻击利用受感染的网站来传播恶意软件。当用户访问受感染的站点时，系统会下载一个包含 LNK 文件的 LZH 存档，执行此 LNK 文件会触发恶意软件感染。 【外刊-阅读原文】

5. SquareX 研究人员在重大泄露事件发生前几天揭露了 Chrome 扩展程序上的 OAuth 攻击

2024 年 12 月 25 日，Cyberhaven 浏览器扩展程序的恶意版本在 Chrome 商店上发布，允许攻击者劫持经过身份验证的会话并泄露机密信息。在被 Cyberhaven 删除之前，该恶意扩展程序可供下载超过 30 小时。 然而，就在 Cyberhaven 泄露前一周，SquareX 的研究人员就曾通过一段视频展示了整个攻击路径。 【外刊-阅读原文】

6. 黑客在第三方入侵中窃取 ZAGG 客户的信用卡

ZAGG Inc. 通知客户，在黑客入侵了该公司的电子商务提供商 BigCommerce 提供的第三方应用程序后，他们的信用卡数据已暴露给未经授权的个人。 【外刊-阅读原文】

优质文章

1. 嵌套反序列化的危害：Magento XXE 漏洞分析（CVE-2024-34102）

为了深入了解此漏洞的危害性，本文将对其进行全面分析，并构建概念验证工具（PoC）来验证漏洞的实际可利用性。 【阅读原文】

2. 万字长文窥探信息收集真正的艺术

信息搜集真的就只是找找子域名，扫扫目录和端口这么简单吗？万字长文带你窥探信息收集真正的艺术！ 【阅读原文】

3. 欧盟密码市场分析：政策参考与启示

《密码产品与服务市场分析报告》基于欧盟《网络安全法》框架，全面分析了欧盟密码产品与服务市场动态，探讨其应用现状、发展趋势和威胁挑战。 【阅读原文】

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标明为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册免费账号后方可阅读。