恶意软件BadBox僵尸网络感染全球19万台安卓设备
CNCERT发现两起美对我国大型科技企业机构网络攻击事件
【国内动态】
本周信息安全漏洞威胁整体评价级别为中。国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞164个，其中高危漏洞106个、中危漏洞48个、低危漏洞10个。漏洞平均分值为6.89。本周收录的漏洞中，涉及0day漏洞81个（占49%），其中互联网上出现“Bento4内存泄露漏洞、 libming内存泄露漏洞（CNVD-2024-48760）”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数36345个，与上周（38375个）环比减少5%。
全国网安标委发布《网络安全标准实践指南——生成式人工智能服务安全应急响应指南（征求意见稿）》公开征求意见
2024年度数据安全管理能力认证（DSMC）结果公布
《数据安全技术 动力蓄电池数据分类分级指南》标准评审完成
第七期“促进数据要素流通 守好安全合规红线”主题沙龙线上举行
《数智时代的密码基石，号卡与网络身份安全》专题分享会线上召开
12月20日，根据Chainalysis的数据，2024年加密货币被盗金额达到22亿美元，与2023年相比增长了21.07%。攻击事件数量也从2023年的282起增加到2024年的303起。1月至7月，被盗金额为15.8亿美元，比2023年同期增长84.4%。在下半年，攻击的速度明显放缓，专家将此归因于可能的地缘政治变化。2024年，很大一部分攻击针对DMM Bitcoin（3.05亿美元）和WazirX（2.349亿美元）等中心化服务，而前几年的重点是去中心化的DeFi平台。2024年，43.8%的资金被盗是由于用户私钥泄露导致。一旦遭到入侵，攻击者就会通过去中心化交易所、混合器和桥梁使用洗钱技术，使其难以追踪。
恶意软件BadBox僵尸网络感染全球19万台安卓设备12月19日，美网安公司Bitsight发现了一个由超过19万台Android设备组成的BadBox僵尸网络，受影响设备主要是Yandex智能电视和海信智能手机，主要分布于位于俄罗斯、中国、印度、白俄罗斯、巴西和乌克兰。专家报告说，全球至少有7.4万部基于Android的手机、平板电脑和联网电视盒预装了该恶意软件。预装在安卓设备上的BadBox恶意软件会创建电子邮件和消息账户来传播虚假信息，通过在后台访问网站来进行广告欺诈，共享用户的互联网连接以进行犯罪活动，还可以下载额外的有效负载从而放大用户的风险。
12月16日，黑客IntelBroker在Breach Forums上泄露了2.9GB的思科数据。泄露的数据是4.5TB数据集的一部分，黑客声称这些数据是思科在没有任何密码保护或安全认证的情况下暴露的，这使得他们能够在2024年10月下载整个数据集。泄漏的2.9GB文件包含以下内容：身份服务引擎（Cisco ISE）、安全访问服务边缘（Cisco SASE）、Cisco Webex、Cisco Umbrella、Cisco IOS XE和XR、Cisco C9800-SW-iosxe-wlc.16.11.01。
CNCERT发现两起美对我国大型科技企业机构网络攻击事件近日，国家互联网应急中心发现处置两起美国对中国大型科技企业机构进行网络攻击窃取商业秘密事件。一件是从2024年8月起，我国某先进材料设计研究单位遭疑似美国情报机构网络攻击。经分析，攻击者利用我境内某电子文档安全管理系统漏洞，入侵该公司部署的软件升级管理服务器，通过软件升级服务向该公司的270余台主机投递控制木马，窃取该公司大量商业秘密信息和知识产权。另一件从2023年5月起，我国某智慧能源和数字信息大型高科技企业遭疑似美国情报机构网络攻击。经分析，攻击者使用多个境外跳板，利用微软Exchange漏洞，入侵控制该公司邮件服务器并植入后门程序，持续窃取邮件数据。同时，攻击者又以该邮件服务器为跳板，攻击控制该公司及其下属企业30余台设备，窃取该公司大量商业秘密信息。国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞164个，其中高危漏洞106个、中危漏洞48个、低危漏洞10个。漏洞平均分值为6.89。本周收录的漏洞中，涉及0day漏洞81个（占49%），其中互联网上出现“Bento4内存泄露漏洞、 libming内存泄露漏洞（CNVD-2024-48760）”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数36345个，与上周（38375个）环比减少5%。
本周，CNVD收录了164个漏洞。应用程序67个，WEB应用37个，网络设备（交换机、路由器等网络端设备）34个，操作系统25个，数据库1个。
全国网安标委发布《网络安全标准实践指南——生成式人工智能服务安全应急响应指南（征求意见稿）》公开征求意见近日，全国网络安全标准化技术委员会对《网络安全标准实践指南——生成式人工智能服务安全应急响应指南（征求意见稿）》面向社会公开征求意见。《指南》主要针对生成式人工智能服务的安全事件进行分类、分级及应急响应过程的管理，并为生成式人工智能服务提供者提供了安全应急响应的框架和技术方法。《指南》首先对生成式人工智能服务及其提供者进行了定义，明确了违法不良信息及生成式人工智能服务安全事件的概念。随后《指南》详细描述了生成式人工智能服务安全事件的分类方法，主要分为信息内容安全事件、数据安全事件、网络攻击事件等10类常见安全事件。特别是在信息内容方面，涵盖了虚假信息、违法信息、煽动教唆等生成内容的风险。针对这些安全事件，《指南》提出了应急响应过程，包括应急准备、监测预警、应急处置等阶段。在应急准备阶段，要求制定专门的应急策略，设立响应小组，并通过技术方法（如关键词库、测试题库）增强应急响应的即时性和针对性。在监测预警阶段，提出利用自动化工具和人工审查结合的方式，实时监控生成式人工智能服务的运行状态，及时发现潜在的安全威胁。应急处置阶段要求对事件进行评估、分类并采取相应的处理措施。
近日，中国软件评测中心与安恒信息等联合发布《Top开源大模型安全测评报告（2024）》。报告对国内外20款开源大模型从12个方面展开测评。报告构建了多维度的评估体系，涵盖国家安全、道德伦理等多个方面，采用API调用、规则匹配打分及大模型自动评分等方式检测模型安全风险。测评结果显示，开源大模型普遍存在安全风险，国内模型整体安全性优于国外，公共安全、道德伦理、不良信息及网络安全等风险较为突出，且防护能力较弱。具体而言，不同风险类型下，各开源大模型的表现有所不同，如国家安全风险中，aya:8b模型单项风险占比最高，历史文化风险中，llama3:8b模型和mistral:7b-instruct模型的单项风险占比最高。总结而言，国外开源大模型面临更高的安全风险，特别是在公共安全和抵御特殊指令攻击方面存在较大缺陷。报告建议行业加强自律，制定安全伦理准则，并加大AI厂商的安全研究投入，严格审核产业应用中的安全风险。
12月19日，“微信安全中心”微信公众号发布《针对传播木马病毒行为的打击公告》，称发现有不法分子利用社交平台大范围传播木马病毒，用户一旦点击相关程序文件，其电脑将面临被远程控制的风险。不法分子首先通过更换头像和昵称等手段伪装成企业职员或公司领导，然后发布被伪装成报税工具、办公软件、电子发票、涉税文件等的木马病毒，诱导相关人员点击查看。
2024年度数据安全管理能力认证（DSMC）结果公布近日，中国信息通信研究院发布了2024年度数据安全管理能力认证（DSMC）结果。中国信通院自2022年起面向行业发起了“数据安全管理能力认证（DSMC）”项目，截止目前已有超过130家企业参与该项认证。2024年度，来自互联网、汽车、交通、金融、医疗、能源30余家企业报名参与DSMC认证工作，经过中国信通院评估、认证机构进场认证等环节，共计19家企业通过2024年度数据安全管理能力认证。
《数据安全技术 动力蓄电池数据分类分级指南》标准评审完成12月18日，江苏国际数据港牵头的《数据安全技术 动力蓄电池数据分类分级指南》团体标准专家审查会顺利召开，标志着国内动力蓄电池行业在数据分类分级领域取得重要突破。该标准紧密结合动力蓄电池的本质属性、产品全生命周期的业务活动、产品贸易的实际需求以及国家的“双碳”和环保战略部署等多方面因素，参照《GB/T 43697—2024数据安全技术 数据分类分级规则》《工业领域重要数据识别指南》等国家标准，对欧盟电池产品数字护照所需的数据以及电池企业必须提供、可以提供、不能提供的数据进行了深入的对比分析。此次标准的发布填补了行业空白，并为国家推动数据跨境流动和数据基础制度建设提供了实践支持。
12月18日，清华大学智能法治研究院和南都数字经济治理研究中心联合举办了第八届啄木鸟数据治理论坛。会上，中国工程院院士吴世忠分享了人工智能（AI）安全与治理的现状及未来挑战。他指出，AI的快速发展带来了巨大机遇，但也伴随安全隐患，如深度伪造技术、AI赋能的勒索病毒和网络诈骗等问题。全球范围内对AI监管的需求日益迫切，许多国家正在加强政策和技术落地，推动AI治理进入关键阶段。吴世忠强调，智能时代面临的是智慧安全的多维挑战，涵盖AI自身安全、攻防安全和伦理道德问题。为应对这些挑战，安全研究应涵盖基础、技术、伦理和应用等多方面，而全球AI治理仍存在立法滞后和标准不统一的问题。吴世忠指出，中国在AI治理方面已取得积极进展，推出了二十多项政策，聚焦技术创新、标准建设和安全治理等方面，并积极提出国际治理倡议，推动全球AI治理合作。吴世忠呼吁，未来应加强跨学科综合研究，构建符合AI时代需求的伦理框架与法律体系，确保AI技术进步与人类价值观的协调发展。
近日，中央财经大学法学院教授、博士生导师黄震对人工智能金融应用的风险及法律治理这一话题展开了探讨。文章指出，人工智能在金融领域的应用带来了巨大的创新机遇，但也伴随着诸多风险，包括数据安全、算法偏见、隐私侵犯和系统脆弱性等。大模型的技术风险和金融业务深度融合形成的新型金融风险，尤其是第三方依赖和市场波动性风险，亟需引起重视。为了应对这些挑战，我国在人工智能治理方面已初步构建了多层次的规范体系，出台了一系列法律法规，如《网络安全法》和《个人信息保护法》，以及针对金融领域的《人工智能算法金融应用评价规范》等。针对法律治理完善路径，文章提出，未来人工智能的金融应用治理应实现动态平衡，既推动金融创新，又确保风险可控。监管机构需加强对技术应用场景的分类监管，并在算法治理、数据隐私保护等方面完善法律框架。此外，加强跨部门和跨领域的协同合作，推动人工智能金融监管与数据安全的共同发展，是确保金融稳定与技术可持续发展的关键。进一步完善金融行业标准、提炼最佳实践，将帮助行业实现更高效、更安全的人工智能应用。
第七期“促进数据要素流通 守好安全合规红线”主题沙龙线上举行近日，第七期“促进数据要素流通 守好安全合规红线”主题沙龙将于12月27日线上举行。会议由中国信息产业商会信息安全产业分会、中国网络安全产业联盟数据安全工作委员会等部门联合举办，围绕数据安全热点话题，分享前沿产品技术与解决方案，致力于成为以技术创新驱动产业发展，以行业实践夯实产业根基，聚焦技术成果和实践案例的分享交流平台。本期沙龙聚焦当下数据流通利用面临的安全合规问题，邀请相关领域专家围绕工业和信息化领域数据安全合规政策解读、数据流通合规思路、基于安全多方技术的可信数据流通保护方案、金融数据流通安全治理等方向分享最新政策、研究及实践成果，探索新型数据安全治理路径。
《数智时代的密码基石，号卡与网络身份安全》专题分享会线上召开12月18日，《数智时代的密码基石，号卡与网络身份安全》专题分享会顺利举行，由中移互联网有限公司与《信息安全研究》杂志社等联合主办。会议聚焦网络安全和数字经济发展，吸引了多位业内专家参与。中移互联网副总经理在致辞中强调，公司通过创新的号卡、消息、芯片等技术，推动了可信账号安全方案建设，助力实现政务服务“线上化、无纸化”。中国工程院院士沈昌祥指出，数字经济时代需要构建安全可信的网络生态，保障网络安全和数字经济发展。中国信息通信研究院互联网法律研究中心主任何波则介绍了我国数据安全管理的立法进展，强调要稳步推进智能时代的网络数据安全工作。会上，中移互联网展示了超级SIM安全产品，以“实名号”+“国密卡”为根基，创新打造“端、管、云”一体化安全体系，提供高安全、高效能的网络安全、密码安全产品方案。超级SIM安全网关、可信认证平台以及超级SIM量子国密资源池三款产品在政务 、医疗等行业得到广泛推广和应用。
深圳赛昇、广州赛昇是国家工信安全中心在华南地区设立的两大官方分支机构，依托深耕地方、服务政企的优势，围绕“数字经济、工信安全、科技创新、绿色低碳”等领域，着力建设高端智库核心、科技赋能中心、地方生态轴心，不断将国家级支撑能力、科研技术和生态资源下沉服务华南政企，加速华南新型工业化发展。
联系方式
深圳赛昇
姚震涛 15989864178
邮 箱：marketing@cic-szss.com
广州赛昇
陈秋任 19874057405
邮 箱：570494826@qq.com
免责声明：文章内容不代表本站立场，本站不对其内容的真实性、完整性、准确性给予任何担保、暗示和承诺，仅供读者参考，文章版权归原作者所有。如本文内容影响到您的合法权益（内容、图片等），请及时联系本站，我们会及时删除处理。
查看原文
