教育网络安全动态

2022年2月第3期（2022.2.18-2022.2.24）

一、政策要闻

1.正式启动！“东数西算”工程全面实施

国家发展改革委、中央网信办、工业和信息化部、国家能源局近日联合印发文件，同意在京津冀、长三角、粤港澳大湾区、成渝、内蒙古、贵州、甘肃、宁夏启动建设国家算力枢纽节点，并规划了张家口集群等10个国家数据中心集群。至此，全国一体化大数据中心体系完成总体布局设计，“东数西算”工程正式全面启动。“‘东数西算’中的‘数’，指的是数据，‘算’指的是算力，即对数据的处理能力。”国家发展改革委高技术司副司长介绍说，我国西部地区资源充裕，特别是可再生能源丰富，具备发展数据中心、承接东部算力需求的潜力。

（来源：新华社）

2.答题赢“冰墩墩”，350万人个人信息遭泄露

趁着冬奥会热潮，一场以“冬奥知识传播”线上答题活动为幌子的骗局在网上传播开来。很多大中专院校学生冲着活动主办方承诺的冬奥大使荣誉证书、“冰墩墩”手办参与答题，却因此泄露了姓名、身份证号、手机号等个人信息，目前涉案学生人数已达350余万名，骗取部分参与者缴纳证书工本费总计1000万余元。警方提醒，目前的网络答题和抽奖活动，参与者大都要填写一些基本的个人信息，活动主办方可借机营销、吸粉引流、收集个人信息等。面对各类网络活动，广大网友要仔细甄别，特别是涉及填写身份证号码、手机号码、联系地址等重要的个人信息时，一定要慎重。中奖后，主办方要求领奖前缴纳各类费用的更应提高警惕，谨防上当受骗。

（来源：隐私护卫队）

3.烟台市中院：企业利用软件监控员工办公电脑属于自我管理行为，不侵犯员工隐私权

山东省烟台市中级人民法院宣判一起员工诉企业安装超级眼电脑监控软件，对员工使用手机上面的微信、QQ等聊天信息自动进行数据下载、保存的行为违法，侵犯隐私权案件。法院二审认为：为了便于工作，企业在其所有的办公电脑上安装电脑监控属于企业的自我管理行为，其目的是正当的，并不具有窥探员工个人隐私的主观故意，在同员工的劳动仲裁过程中取证下载员工的聊天记录也未向公众公开，属于依法举证行为，因此不存在侵犯员工个人隐私的情况。

（来源：山东省烟台市中院）

二、技术资讯

4.攻防最前线：针对Microsoft SQL数据库安装Cobalt Strike

近日，Ahn Lab 的 ASEC团队发现，攻击者正在攻击暴露在互联网上的使用弱密码的MS-SQL 数据库。攻击者通过扫描开放TCP端口1433 的服务，然后使用暴力破解和字典攻击来破解密码。一旦攻击者获得对管理员帐户的访问权限并登录数据库，目前已知会投放Lemon Duck、KingMiner 和 Vollgar 等加密矿工，此外，攻击者还使用 Cobalt Strike 创建后门，以建立持久性并进行横向移动。据了解，Cobalt Strike是通过MS-SQL进程的cmd.exe和powerhell.exe下载的，并在正常程序 MSBuild.exe 中注入和执行来逃避检测。

（来源：互联网安全内参）

5.Google Chrome 资源管理错误漏洞（CNNVD-202202-1153）

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome 存在资源管理错误漏洞，该漏洞源于产品对系统资源（如内存、磁盘空间、文件等）的管理不当，导致攻击者可利用该漏洞在目标系统上执行任意代码。

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：

https://www.cybersecurity-help.cz/vdb/SB2022021430

（来源：CNNVD）

三、国际视野

6.OpenSea用户遇钓鱼，数百万NFT被窃取

近日，不可替代令牌 (NFT)市场OpenSea就网络钓鱼攻击展开调查追踪。据悉，OpenSea平台17名用户，因网络钓鱼攻击导致其损失了超过250个价值约200万美元的NFT。所谓的NFT，其实是存储在区块链上的数据，代表着数字文件的所有权。当前，OpenSea市值约133亿美元，是世界上最大的市场之一。作为点对点NFT市场，它还可以交易稀有数字文件和加密内容。在此次网络钓鱼攻击中，黑客利用需要用户采取行动的变化，对OpenSea平台的NFT实施盗窃。目前，OpenSea已采取相关措施。

（来源：汇能云安全）

7.Cryptbot借盗版软件疯狂传播

有安全研究人员披露称，近期发现一个新版本的CryptBot信息窃取程序正在通过多个网站分发，这些网站多以提供免费游戏下载和专业软件破解为主。据悉，CryptBot是一种Windows恶意软件，它会从受感染的设备中窃取信息，具体包括保存的浏览器凭据、cookie、浏览器历史记录、加密货币钱包、信用卡和文件等内容。此次分发的新版本CryptBot，删除了多项较为复杂的旧功能，并对功能进行优化，以便于更广泛高效地传播扩散。

（来源：汇能云安全）

8.美FBI组建新部门，打击涉及加密货币的滥用行为

作为美国联邦政府打击勒索软件及其他网络犯罪团伙整体规划的一部分，FBI正在着手组建一个新部门，专门负责调查涉及加密货币的滥用行为。同时，司法部也启动了一项国际虚拟货币倡议，希望与执行部门、检察官及加密货币平台开展合作，共同跟踪赎金去向、制定法规与反洗钱立法。这些新举措标志着美国政府打击勒索软件团伙行动的进一步升级，也是对去年以来不断加速的监管行动的延续。

（来源：汇能云安全）

9.打50万次机器人电话被罚4500万美元

近日，美国联邦通信委员会 (FCC)提议对违反电话消费者保护法的自动呼叫行为，处以有史以来最大的罚款。委员会称，因电商 Interstate Brokers在没有紧急目的或消费者事先明确同意的情况下，拨打了超过50万次非法机器人电话，希望对其进行4500万美元的 TCPA 罚款。据悉，该公司还会利用虚假的COVID-19声明，说服消费者购买健康保险产品等相关服务。而在非法机器人电话活动中，该公司会在收集的电话号码上预先录制语音消息。

（来源：安全客）

10.Cookie技术引发数据隐私问题，Meta将支付9000万美元和解诉讼

美国加州北区地方法院圣何塞分庭宣布，Facebook的母公司Meta同意支付 9000 万美元，以了结一项持续十年的数据隐私诉讼。原告称Facebook通过使用跟踪cookie技术，在用户退出账号后，依旧能识别用户在其他网站上“点赞”的操作，并将其添加到自身的数据库中。这些信息十分具体，可以识别用户的兴趣偏好，用于描绘用户画像。Facebook从用户那里收集到包括用户浏览历史在内的个人信息，具有巨大经济价值，存在市场交易的可能。Meta发言人表示，“在这个已有十多年历史的案件中达成和解符合我们社区和股东的最大利益，我们很高兴解决这个问题。”根据庭外和解协议，Meta除了同意支付9000万美元的索偿金额外，还将删除在用户不知情之下收集的所有数据。

（来源：南方财经）

11.欧盟主要立法者预计于2022年4月就遏制科技巨头权力达成协议

据路透社消息，欧盟主要立法者预计于2022年4月就遏制美国科技巨头权力的欧盟规则达成协议。欧盟《数字服务法》和《数字市场法》于2020年末推出，针对苹果、谷歌、Meta、亚马逊和微软等美国科技巨头，但仍需要欧盟立法者和欧盟国家的批准才能成为法律。

（来源：全球技术地图）

以上内容不代表本部门观点，如有侵权请及时联系我们。