教育网络安全动态

2021年8月第2期（2021.8.5-8.12）

一、政策要闻

1.中央解密《党委（党组）网络安全工作责任制实施办法》

2021年8月4日，《人民日报》头版发布《中国共产党党内法规体系》一文。与此同时，《中国共产党党内法规汇编》由法律出版社公开出版发行，该书正式解密公开了《党委(党组)网络安全工作责任制实施办法》(以下简称“《实施办法》”)。《实施办法》作为《中国共产党党内法规体系》唯一收录的网络安全领域的党内法规，它的公开发布将对厘清网络安全责任、落实保障措施、推动网信事业发展产生巨大影响。

随后国家互联网应急响应中心就《实施办法》作出解读：《《党委（党组）网络安全工作责任制实施办法》解读》。

（来源：关键基础设施安全应急响应中心 ）

2.网信办约谈14家视频监控APP厂商，推进摄像头偷窥等黑产集中治理

今年5月以来，中央网信办会同工业和信息化部、公安部、市场监管总局深入推进摄像头偷窥等黑产集中治理工作，对人民群众反应强烈的非法利用摄像头偷窥个人隐私画面、交易隐私视频、传授偷窥偷拍技术等侵害公民个人隐私行为进行集中治理。

中央网信办指导各地网信办督促各类平台清理相关违规有害信息2.2万余条，处置平台账号4000余个、群组132个，下架违规产品1600余件。其中，百度、腾讯、UC等重点网站平台，清理有害信息8000余条、处置违规账号134个;京东、淘宝、闲鱼等电商平台，下架违规宣传或违规售卖摄像设备1600余件、处置违规账号3700余个、清理违规信息1.2万余条。对存在隐私视频信息泄露隐患的14家视频监控APP厂商进行了约谈，并督促其完成整改。

（来源：网信中国）

3.“大数据杀熟”仍存，破除“隐蔽性”是难题

近期，监管利剑再次指向“大数据杀熟”。7月初，国家市场监督管理总局公布《价格违法行为行政处罚规定（修订征求意见稿）》，其中新增了“新业态中的价格违法行为”内容。《意见稿》提到，电子商务平台经营者有利用大数据分析、算法等技术手段，根据消费者或者其他经营者的偏好、交易习惯等特征，基于成本或正当营销策略之外的因素，对同一商品或服务在同等交易条件下设置不同价格的情形之一的，给予警告，可以并处上一年度销售总额1‰以上5‰以下的罚款，有违法所得的，没收违法所得；情节严重的，责令停业整顿，或者吊销营业执照；今年7月，深圳市公布《深圳经济特区数据条例》，明确提出对“大数据杀熟”给予重罚——情节严重的，可处5000万元以下或者上一年度营业额5%以下罚款。

多位受访专家表示，近年来，已有多部法律、法规、规章针对“大数据杀熟”进行规制，足以看出这一问题的重要性，通过提高违法成本防治“大数据杀熟”是非常必要且务实之举，这将对创造优良的法治环境和健康的数据生态起到重要作用。

（来源：经济参考报）

二、技术资讯

4.谷歌发布八月Android安全补丁，共计修复33个漏洞

本周一，Google发布了适用于 Android 系统的新一轮安全补丁，共计修复了33个漏洞。根据Google官方公告，最大的威胁来自于 Media Framework 漏洞，它可能允许本地恶意应用程序控制隔离的应用程序数据，完全绕过操作系统防御。受影响的设备不会因漏洞而无法使用，只是如果漏洞被利用，它们的完整性会受到损害。其中最严重的是媒体框架中的一个漏洞，该漏洞可能导致Android 8.1和9设备上的特权提升，或Android 10和11上的信息泄露。该漏洞被跟踪为 CVE-2021-0519。

（来源：今日头条）

5.亚马逊/谷歌DNS托管服务爆严重漏洞，可窃取企业内网敏感信息

在近期召开的美国黑帽安全大会（Black Hat USA 2021）上，云安全厂商Wiz公司两位安全研究员Shir Tamari与Ami Luttwak披露一项影响托管DNS服务商的新问题。利用这个bug，攻击者可以劫持平台节点、拦截部分传入的DNS流量并据此映射客户的内部网络。这项漏洞也让人们再次意识到，持续收集敏感信息的托管DNS平台，很可能成为恶意人士理想的网络间谍与情报数据收集目标。在本周的邮件采访中，亚马逊与谷歌发言人回应称，已经修复了Wiz发现的攻击薄弱点，现在企业客户已无法在后端上注册服务商自己的域名。

（来源：安全内参）

6.安卓恶意软件FlyTrap席卷超百个国家和地区

近日，一种名为FlyTrap的新型Android木马，攻击了一百多个国家/地区的10000多名受害者。根据安全公司Zimperium的报告，自3月以来，这个被命名为FlyTrap的木马已经通过社交媒体劫持、第三方应用程序商店进行广泛传播。Zimperium的zLabs移动威胁研究团队首先确定了该恶意软件，并发现该恶意软件通过感染Android设备来劫持Facebook等社交媒体帐户，允许攻击者从受害者那里收集信息，例如Facebook ID、位置、电子邮件地址和IP地址以及与用Facebook帐户相关联的cookie和令牌。

（来源：51CTO ）

7.微软8月漏洞补丁日针对44个漏洞发布安全补丁

近日，微软发布8月份安全补丁，共修复了44个针对微软产品的CVE漏洞。涉及Windows Update Medic Service、Windows LSA、Windows Print Spooler、Windows Services for NFS ONCRPC XDR Driver、Remote Desktop Client、Windows TCP / IP、scripting Engine等相关组件。其中7个严重漏洞，37个高危漏洞。3个漏洞被归类为0day，1个漏洞已发现在野利用；7个漏洞被标记为更容易被利用(Exploitation More Likely)。建议广大用户及时做好资产自查以及漏洞修复工作。微软官方已发布修复方案，可在对应CVE页面处查询：https://msrc.microsoft.com/update-guide/releaseNote/2021-Aug

（来源：Microsoft 安全响应中心）

三、国际视野

8.黑客攻击导致意大利拉齐奥地区的COVID-19接种预约系统被关闭

罗马周边的拉齐奥地区政府周日表示，黑客攻击了管理COVID-19疫苗接种预约的技术公司的IT系统，导致该系统被关闭。这让与疫苗预约接种相关的所有系统都被停用，包括该地区的卫生门户网站和疫苗接种网络的系统，接种计划可能会受到延误。

（来源：安世加）

9.安全研究人员曝光多款电动汽车充电器与充电网络存在的隐患

随着社会的发展，物联网（Internet of things)即将在人们的家庭与车辆中无处不在。英国网络安全公司Pen Test Partners刚刚曝光了在六个家用电动汽车充电品牌以及一个大型公共EV充电网络API中的几个安全漏洞。本次调查给出了物联网设备监管不力的最新实例，且涉及Project EV、Wallbox、EVBox、EO Charging的EO Hub / EO mini pro 2、Rolec、以及Hypervolt 这六个不同的EV充电品牌。安全研究人员Vangelis Stykas 指出，这些漏洞或允许黑客劫持用户账户、阻碍充电、甚至将其中一款充电器编程入侵用户家庭网络的“后门”。若公共充电网络遭到黑客攻击，还可能导致电费窃取、以及通过开启/关闭充电器而造成电网波动。

（来源：安世加）

10.Python软件库现恶意软件，能盗取用户信用卡信息

近日，安全研究团队JFrog在PyPI(Python Package Index)软件库中再次发现了一批恶意软件，这些软件存在盗取信用卡信息、远程注入代码等行为，而目前这些软件已经总共被下载了多达3万次。

（来源：安全圈）

11.技嘉遭勒索软件攻击，112GB数据存风险

外媒Bleeping Computer表示，发起攻击的是RansomEXX组织，该组织的受害人包括巴西政府、美国德州交通部、厄瓜多尔国立电讯公司等。黑客威胁称如果公司不支付赎金，将公开112GB的公司内部数据，其中包括技嘉和Intel、AMD 和American Megatrends的机密通信，以及保密协议。该组织威胁要公开所有内容，除非技嘉愿意支付赎金。

（来源：中关村在线）

12.间谍软件“飞马”监视超50个国家手机用户，苹果iOS系统也未能幸免

最近，一家以色列软件监控公司被曝向一些国家售卖一款名为“飞马”(Pegasus)的手机间谍软件，该软件能够攻破各类手机操作系统，就连号称“最安全”的苹果 iOS 系统，也未能幸免。据悉，目前有超过5万个号码在“飞马”监视的列表中，名单涵盖了50多个国家的手机用户。据华盛顿邮报披露，这 5万个手机名单中，有至少14位重量级人物，其中包括：法国总统马克龙、伊拉克总统萨利赫、南非总统拉马福萨、巴基斯坦总理伊姆兰汗、埃及总理马德布利、摩洛哥首相奥斯曼尼。据路透社报道，法国总统马克龙已经因此事，紧急更换了手机和电话号码。

（来源：IT之家）

以上内容不代表本部门观点，如有侵权请及时联系我们。