1、苹果邀请研究东谈主员苦求专为查找过错而遐想的特殊 iPhone 14 Pro匿名 文爱 app

2、超 2000 家好意思国公司凭据遭到泄露！NASA、特斯拉、FBI、五角大楼无一避免

3、8 家 AI 大模子居品当天起陆续上线，腾讯华为讯飞等后续开放

IT之家 8 月 31 日消息，苹果公司今天宣布，动手接受 2024 年 iPhone 安全研究开拓规划的苦求，该规划将向安全研究东谈主员提供专门的苹果开拓，以便更容易地发现 iOS 系统的症结过错。

苹果安全研究规划（SRDP）于 2019 年上线，研究东谈主员已通过该规划发现了 130 个高影响力的安全过错。苹果公司表示，研究东谈主员匡助他们实施了“新颖的修补措施”，以保护 iOS 开拓。

在往常的六个月里，规划参与者得到了 37 个 CVE 信用点，为 XNU 内核、内核扩展和 XPC 劳动的改进作念出了孝敬。

参与 SRDP 的研究东谈主员有履历得到苹果安全奖金。苹果公司依然奖励了来自 SRDP 研究东谈主员的 100 多份回报，并表示“多个奖项”达到了 50 万好意思元（IT之家备注：当前约 364.5 万元东谈主民币），中位数奖金接近 1.8 万好意思元（当前约 13.1 万元东谈主民币）。

苹果公司提供给参与者的 iPhone 14 Pro 研究开拓具有专为安全研究而遐想的特殊硬件和软件。研究东谈主员不错配置或禁用 iOS 安全保护，以便以程序 iPhone 无法兑现的方式驾御它们。SRD 适用于在 iPhone 和其他平台上都有安全研究教养的安全研究东谈主员，同期苹果公司也向想要将其动作诡计机科学学生素养用具的大学陶冶者提供开拓。

苹果公司每年选拔有限数目的参与者接纳研究开拓，苦求截止日历为 2023 年 10 月 31 日。遴选的参与者将在 2024 岁首收到奉告。

【阅读原文】

Hackernews 编译，转载请注明出处：

国度安全保障会议(NSC)泄露了近1万名会员的电子邮件和密码，包括政府机关和大企业在内的2000多家企业被曝光。

好意思国国度安全委员会(NSC)是一家提供责任时局和驾驶安全培训的非牟利组织。NSC的数字平台为不同企业、机构和陶冶机构的近55，000名成员提供在线资源。关联词，该组织网站在长达5个月的期间里都露馅在荟萃攻击的危急中。Cybernews研究小组发现，公开探问荟萃目次露馅了数千个凭据。

在泄露的一长串文凭清单中，约莫有2000家公司和政府机构的职工信息，包括:

这些公司可能在该平台上领有账户，以获取培训材料或参加国度安全委员会组织的行为。

该过错不仅对NSC系统组成了风险，而且对使用NSC劳动的公司也组成了风险。泄露的凭证可能被用于凭证填充攻击，这种攻击试图登录公司的互联网勾搭用具，如VPN流派、东谈主力资源管制平台或公司电子邮件。

此外，凭据可能被用来得到进入公司荟萃的驱动探问权限，以部署恐吓软件、窃取或苟且里面文献或探问用户数据。Cybernews计划了NSC，并飞速惩处了这个问题。

曝光的网页文献夹|来源:Cybernews

该过错于3月7日被发现。Cybernews研究小组发现了NSC网站的子域名，该域名可能用于开发主张。它向公众公开了其荟萃目次列表，使攻击者能够探问对荟萃劳动器运行至关重要的大多数文献。在可探问的文献中，研究东谈主员还发现了存储用户电子邮件和散列密码的数据库备份。这些数据被公开探问了5个月，因为IoT搜索引擎在2023年1月31日初次对泄漏进行了索引。

总的来说，备份存储了约莫9500个独一帐户过火凭证，触及到各个行业的近2000个不同的公司电子邮件域。

泄露的包含用户凭证的表|来源:Cybernews

一个对公众开放的开发环境显示出其开发实践有多倒霉。这样的环境应该与分娩环境的域分开托管，况兼必须避免托管推行的用户数据，更不应该是公开探问的。

用户表架构|来源:Cybernews

由于大量电子邮件被泄露，平台用户遇到垃圾邮件和荟萃垂钓邮件的情况可能会激增。建议用户从外部验证电子邮件中包含的信息，并严慎点击连络或怒放附件。

被露馅的密码使用SHA-512算法进行杂凑—该算法被认为对密码散列是安全的，另外还使用了一种额外的安全措施—salts。然则，salts与密码散列存储在一齐，况兼仅使用base64进行编码。这使得潜在的攻击者很容易检索到salts的明文版块，从而简化了密码破解过程。

破解数据库中发现的单个密码可能需要长达6小时的期间，这取决于密码的强度以及攻击者使用的先前泄露的密码或单词组合列表情状。

这并不虞味着泄露的数据库中的每个密码都不错被破解，关联词其中很大一部分不错被黑客获取。研究标明，80%的得胜破解此类密码的概率是相对常见的。

出于这个原因，咱们建议领有NSC帐户的用户在nsc.org网站和使用沟通密码的任何其他帐户上改造其密码。

【阅读原文】

IT之家 8 月 31 日消息，当天，百度、字节、商汤、中科院旗下紫东元始、百川智能、智谱华章等 8 家企业 / 机构的大模子居品依然首批通过《生成式东谈主工智能劳动管制暂行办法》备案，可慎重上线面向公众提供劳动。

图源 Pixabay

而据贝壳财经报谈，从多位寂然信源处获悉，国内将有 11 家大模子陆续通过《生成式东谈主工智能劳动管制暂行办法》备案，首批将在 8 月 31 日起将陆续向全社会公众开放劳动。其中北京 5 家，上海 3 家率先上线，广东省 2 家和其他省市 1 家也将陆续开放。据悉，广东地区获批公司永别为华为、腾讯，科大讯飞系其他地区获批居品。

IT之家附首批通过备案的大模子公司：

五家北京企业机构：百度（文心一言）、抖音（云雀大模子）、智谱 AI（GLM 大模子）、中科院（紫东元始大模子）、百川智能（百川大模子）

三家上海企业机构：商汤（日日新大模子）、MiniMax（ABAB 大模子）、上海东谈主工智能实验室（书生通用大模子）

值得一提的是，阿里通义千问、360 智脑不在首批获批名单中。

【阅读原文】

1、新研究诈骗东谈主工智能将大脑信号调治谚语音和动画表情

2、Windows更新导致大面积蓝屏死机，微软“甩锅”硬件厂商

3、杭州马拉松报名系统泄露个东谈主信息，官方暂停报名

新华社北京8月28日电 好意思国加利福尼亚大学旧金山分校近日发布公报说，该校参与的研究团队开发出一种脑机接口，通过熟识东谈主工智能算法，得胜将别称因脑干中风而严重瘫痪的女性的大脑信号调治谚语音和动画表情，使这名女性患者能够通过“数字化身”与东谈主交流。

加州大学旧金山分校和伯克利分校等机构研究东谈主员在这名瘫痪女性大脑理论植入一个由253个电极组成的薄如纸张的矩形开拓。这些电极覆盖了对语言功能至关重要的大脑区域。研究东谈主员用一根电缆插入固定在患者头部的接口上，将电极与一组诡计机勾搭起来。

构建这套系统后，研究团队在数周期间里对东谈主工智能算法进行系统熟识，以识别这名女性患者独特的大脑语音书号。这需要约束重叠不同的语句，触及1024个单词，直到诡计机能识别与患者声气关联的大脑行为模式。

研究东谈主员并莫得熟识东谈主工智能识别好意思满的单词，而是创建了一个系统可根据最小的语音单元音素来解码单词。就像字母组成书面单词一样，音素组成了白话单词。举例，英文单词“Hello”包含HH、AH、L和OW四个音素。诈骗这种方法，诡计机只须学习39个音素就能破译任何英文单词，这提高了系统的准确性和运算速率。

为了重现患者的声气，团队遐想了一种语音合成算法，诈骗患者在我方婚典上的讲话灌音将语音个性化，使之听起来像她受伤前的声气。

研究东谈主员还借助一款可模拟面部肌肉教导并制作动画的软件为患者制作动画头像。研究东谈主员创建了定制的机器学习过程，使这款软件能够识别这名女性试图话语时大脑发出的信号，并将这些信号调治成能够表示本旨、哀吊和讶异等心境的面部动画。

关联论文近日发表在英国《自然》杂志上。团队下一步规划创建该系统的无线版块，使患者无需与脑机接口进行物理勾搭。

【阅读原文】

近日，大量Windows用户在装置微软8月2日发布的Windows11和Windows10系统更新（KB5029351预览版）后遭逢蓝屏死机问题，演叨教唆为：“UNSUPPORTED_PROCESSOR”（不解救的处理器）：

微软上周三初次承认了更新存在弱势，称受影响的平台包括Windows11 22H2和Windows10 21H2/22H2。微软补充说，有弱势的可选更新“可能会自动卸载，以允许Windows按预期启动”，并申饬客户不要再行装置它，以避免出现进一步的问题。

但本周一微软立场转变，宣称最近困扰部分Windows用户的蓝屏死机问题并不是由2023年8月发布的可选更新中的问题引起的。相悖，微软默示其根柢原因是部分开拓固件的不兼容问题。

微软表示：“在观望这些回报后，咱们发现‘UNSUPPORTED_PROCESSOR’演叨不是由KB5029351中的问题引起的，况兼仅限于特定的处理器子集。”

微软建议用户：如果连接遇到（蓝屏死机）问题，应计划其开拓的处理器制造商（举例英特尔和AMD）。但酷爱的是，自然蓝屏演叨教唆为“不受解救的处理器”，但面前惟有中国台湾主板厂商微星公司（MSI）慎重证明其某些主板型号的用户可能会受到此已知问题的影响。

微星上周慎重证明使用其部分型号主板的Windows用户在装置8月的可选预览更新后蓝屏死机(BSOD)问题激增。微星建议已更新了系统并受到蓝屏影响的用户将主板BIOS收复到以前的版块并卸载可选的（8月）Windows更新。

微星上周五表示：“已收到多份回报，称用户在装置Windows11更新KB5029351预览版后，MSI600/700系列主板用户遇到蓝屏死机问题，演叨消息为‘UNSUPPORTED_PROCESSOR’。”

参考贵府：

https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#microsoft-received-reports-about-an--unsupported-processor--error

【阅读原文】

杭州马拉松官网报名页面崩溃，显示大量报名者的个东谈主信息，包括真实姓名、手机号码、身份证号等等。8月28日，杭州马拉松官网已病笃关闭报名进口，暂停报名。

截止29日早上7时，报名仍然莫得收复。

杭州马拉松官网公告暂停报名。图源：杭州马拉松官网

报名杭州马拉松的冯先生表示，他在官网登录我方的账号报名，却跳出来另一位参赛者刘先生的个东谈主信息，包括姓名、身份证号、性别、出身日历、服装尺码等等。

官网显示其他参赛者的个东谈主信息。图源：受访者供图

另有网友也在社交媒体表示，登录我方的账号查询是否得胜报名，却显示了他东谈主信息，包括姓名、身份证号、家庭住址、手机号等。

官网显示其他参赛者的个东谈主信息。图源：网友社交媒体

官网信息显示，杭州马拉松的前身是西湖桂花国际马拉松和国际友好西湖马拉松赛，始于1987年10月，是中国历史上第三悠久的马拉松赛事。

杭马的历史仅次于1981年9月创办的北京马拉松，和1987年5月创办的大连马拉松，是中国田协和国际马拉松及路跑协会（AIMS）备案的国际级马拉松赛事。

据九派新闻查询，杭州马拉松的运营劳动商有过屡次变更。2017年年末，浙江省体育局和阿里体育在杭州联合召开发布会，宣布签署计谋合作，在平台、场馆、赛事等多个领域伸开合作，包括用高技术互联网特质提高杭州马拉松的影响力等。

随后，浙江采购网上公布了《2018-2021年杭州马拉松赛事市集开发和赛事运行劳动合作方的中标候选东谈主公示》。

公示显示，阿里体育以超过1个亿的价钱，成为第一中标候选东谈主，智好意思赛事运营管制（浙江）公司为第二中标候选东谈主。

2022年，杭州马拉松与新的运营联合体，即浙江大丰体育文化发展有限公司、深圳赛格智好意思体育文化发展有限公司、浙江交通旅游传媒有限公司联袂。官网显示，2023年杭州马拉松的运营商亦然上述三家。

（来源：九派新闻）

【阅读原文】

1、须眉不念念改过，投放带木马连络致百万台电脑中

2、乌克兰寂然日遭俄罗斯黑客组织迫切，200多家加油站半夜瘫痪

3、必应弹窗告白惊扰游戏玩家，微软已暂停投放

近日，浙江杭州西湖网警在责任中发现，网上出现一些高仿即时办公通讯软件的“垂钓网站”，其中佩戴木马病毒。

短短数日，被木马病毒汉典违警限定的电脑已达一百多万台。

西湖网警立即开展观望，最终查明一个违警限定诡计机信息系统的坐法团伙。

案件追忆

经查，坐法嫌疑东谈主余某（假名），曾因传播带有木马病毒的连络被刑事处罚。

其时他的手法是通过“点对点”传播带有木马病毒的连络，先把连络分享给特定的东谈主员，对方点开连络后，电脑就会“中毒”，在对方莫得使用电脑时，余某就顺便驾御电脑，把对方微信或QQ通讯录里的好友拉入目生群聊，再将群聊管制权卖给境外乱来团伙，以此赢利。

出狱后，余某非但不念念改过，反而“变本加厉”。他以为以前“点对点”传播病毒的方式遵守不高，来钱慢。

“若把带有病毒的连络放在公众平台，是不是会有更多的东谈主点击呢？”余某心想。

想法虽好，但余某以为我方一个东谈主莫得那么多元气心灵，需要东谈主手赞理才能把“事迹”作念大，赚更多的钱。

于是，余某便计划他的3位发小，张某、王某和陈某，邀请他们加入合伙干。念及多年情感，3东谈主都阴寒地舆睬了。

其中，张某负责提供启动资金和办公时局，成立责任室。王某和陈某二东谈主负责将网上常用App的正版连络，植入木马病毒，制作成新的连络，再将制作完成的连络发出去，诱骗用户下载。

用户以为我方下载的是正版的App，但推行上是带有病毒的。

下载完成的电脑或手机，就会“得胜”中毒。余某故技重施，将机主的通讯录好友拉入目生群聊。

好友以为我方是被一又友拉入了群聊，自然不会起猜疑而退群。

中毒的电脑和手机越来越多，单一群成员、建成的群，数目都十分可不雅。就在余某等东谈主准备捞钱发家的时候，警方已盯上他们。

抓捕就逮

7月13 日，杭州市公安局网警分局会同西湖网警组织警力赴广东等地开展收网行动，抓获坐法嫌疑东谈主4名，均已照章刑事拘留，扣押手机、电脑、劳动器等电子开拓 24台。

面前案件正在进一步办理中。

网警提醒

如发现网页强行跳转，或电脑、出动开拓发现病毒、木马感染等情况，请立即杀毒处理，并向警方举报。

荟萃不是法外之地，每一位荟萃行为参与者，都应盲从法律、不逾红线，更不成诈骗荟萃手艺实施坐法。不然，必将受到法律的重办。

【阅读原文】

      KillNet黑客组织自重地宣称对乌克兰三大加油站荟萃的网站遭受的有针对性的荟萃攻击负责。据称其对200个加油站进行了荟萃攻击并导致了瘫痪。这些加油站荟萃攻击再次加重了俄罗斯和乌克兰之间无间的数字冲突，令安全人人和当局保持高度警惕。这些加油站荟萃攻击背后的动机仍然笼罩在难懂之中，因为这一与俄罗斯联系的组织尚未表示其行动的明确意图。这一事件加重了两国之间荟萃战方式的一系列在线冲突。

      跟着黑客的其他帖子浮出水面，尽管标的加油站的好意思满列表仍未表示，但黑客依然挑选出三名主要受害者来展示他们的才能并发送信息。

      奇怪的是，这次迫切恰逢乌克兰寂然日，具有标记风趣。黑客在他们的暗网频谈上发帖顾虑这一时刻，该帖子宣称：“动作咱们团队为顾虑乌克兰寂然日的礼物——对峙住！迫切乌克兰的 3 个大型加油站荟萃。”

      加油站荟萃攻击中列出的三名受害者是SOCAR Energy Ukraine，WOG和Amic Energy。

      SOCAR动力乌克兰是石油和自然气居品批发领域的隆起力量。它领有为乌克兰广博地区各样规模的企业提供各样居品的才能。

      WOG领有由400多个加油站组成的荟萃，是乌克兰加油站景不雅的基石。在自然气和石油工业的推动下，这条链条已成为该国基础设施的重要组成部分。

      Amic Energy来自奥地利，负责监督包括乌克兰在内的多个国度的470个出动和固定加油站以及20个电动汽车充电站的荟萃。该公司总部位于维也纳，业务广博多个国度。

      这些加油站荟萃攻击凸显了企业和国度每天应酬的荟萃挟制的危急方式。除了顺利影响之外，KillNet黑客组织的行动也散布了数字不和，在荟萃空间留住了不笃定性和脆弱性。

【阅读原文】

IT之家 8 月 29 日消息，近日，微软在 Windows 11（和 10）系统中加大了对必应搜索引擎和 Edge 浏览器的推广力度，最新的一个告白试图让用户在谷歌 Chrome 浏览器中默许使用必应而不是谷歌搜索。

据 Windows Latest 报谈，该弹出窗口出现在桌面的右下角，覆盖在扫数应用和游戏之上。该告白提醒用户使用必应的自制，如解救东谈主工智能聊天和得到微软奖励。

微软的一位发言东谈主在接受 Windows Latest 采访时证实，该公司依然坚强到这个弹窗会出现在游戏之上（绕过了奉告确立），并依然暂停了这个告白的投放，同期将观望这一情况。

上述弹窗针对的是装置了谷歌 Chrome 浏览器和使用谷歌搜索的开拓，其绕过了扫数的奉告和专注辅助确立，有用户称在玩游戏或者不雅看视频时也出现了这个弹窗。

这个弹窗与一个名为“BGAUpsell.EXE”的用具联系，该用具与微软必应劳动 2.0 联系，这是一个后台程度，旨在增强 Windows 11 和 10 上的必应功能。这个文献可能与集成了必应的各样功能有交互，包括 Windows 搜索。这个用具援用了“IsEdgeUsedInLast48Hours”，标明如果微软 Edge 在往常 48 小时内莫得被使用，那么弹窗可能会被触发。也有可能微软不错检测到谷歌或其他搜索引擎是否在谷歌浏览器中激活，这就解释了为什么弹窗只出现在部分开拓上。

IT之家珍视到，谷歌也作念过雷同的事情。当用户使用微软 Edge 怒放 YouTube、Gmail 等劳动时，通常会看到谷歌保举使用 Chrome 的告白。

【阅读原文】

1、华为、中国出动联合完成 5G 车联网手艺验证，平均时延最低小于 17ms

2、近九成企业遭受东谈主工智能增强垂钓邮件攻击

3、50 亿好意思元的诡秘大战！揭秘谷歌无痕浏览的现实

IT之家 8 月 28 日消息，“华为中国”官方公众号周六晚间宣布，近日在中国出动研究院组织下，华为协同重庆出动、江苏出动、上海出动在天下多地完成基于 5G 商用网（全 Uu 空口）的车联网摸底测试。

测试完毕显示，空口端到端通讯平均时延低于 17ms，完毕妥贴预期。这一测试完毕，也秀美着 5G 商用荟萃承载车联网业务成为可能。

报谈称，5G 荟萃可为自动驾驶、精确定位、高精度导航等智能网联汽车的典型应用场景赋能。其具有超大带宽、超低时延、超大规模勾搭才能，可为多行业、多维度数据交互提供全地方勾搭才能。

华为方面在笼统评估车联网市集需求、手艺老成度等要素的配景下，筛选了 23 个高优先级场景开展测查考据（IT之家注：包含 11 个自动驾驶场景和 12 个辅助驾驶场景）。测试完毕如下：

基于地市通用 UPF 架构，空口端到端通讯平均时延小于 20ms；

基于更动 UPF 下千里架构，空口端到端通讯平均时延小于 17ms。

官方表示，测试完毕灵验验证了 5G 荟萃支撑车联网典型业务的才能，秀美着 5G 商用荟萃承载车联网业务的更动手艺决议可行，为 5G 车联网商用提供了细密的数据支撑。

▲ 图源华为中国

【阅读原文】

根据Perception Point和Osterman Research的最新观望，越来越多的荟萃坐法分子在荟萃垂钓和BEC（生意电子邮件泄露）等电子邮件攻击中使用了（生成式）东谈主工智能手艺，九成受访企业表示依然遭受过东谈主工智能增强的电子邮件攻击。与此同期，越来越多的电子邮件安全惩处决议也动手使用东谈主工智能手艺来应酬此类攻击。

观望显示，91.1%的受访企业表示他们依然遇到过东谈主工智能增强的电子邮件攻击，84.3%的企业预计东谈主工智能将连接被用来绕过现存的邮件安全系统。因此，基于东谈主工智能手艺的电子邮件安全防护比以往任何时候都愈加重要。

东谈主工智能依然成为电子邮件安全的“刚需”

观望显示，近80%的受访企业认为电子邮件安全是荟萃安全的三大优先事项之一。但跟着期间的推移，传统电子邮件安全方法已被讲解效果较差。96.9%的受访者实施了东谈主工智能电子邮件安全决议，因为传统的邮件安全谨防措施无法灵验应酬病笃挟制。

在往常12个月中，认为东谈主工智能手艺对于电子邮件谨防“极其重要”的受访者比例加多了4倍多。简直扫数受访企业都认为东谈主工智能手艺将在电子邮件谨防体系中阐明中等或极其重要的作用。

东谈主工智能电子邮件安全的三大趋势如下：

东谈主工智能增强的荟萃安全手艺不单是适用于电子邮件：购买东谈主工智能增强邮件安全决议的企业还但愿东谈主工智能手艺能更好地保护其他通讯和协调应用范例，例微软的Teams、SharePoint、OneDrive，以及Zoom、Slack、Salesforce等应用。

莫得响应蔼然解功能的东谈主工智能检测是误导性的：通过东谈主工智能检测电子邮件中挟制的才能是至关重要的第一步，但不是全部。企业需要培训荟萃安全专科东谈主员和SOC团队，以充分诈骗东谈主工智能手艺对已识别的安全事件作念出快速灵验的响应。

企业正在诈骗新的东谈主工智能用具加强谨防：跟着电子邮件挟制环境的变化，企业正在实施新的谨防。九成受访企业依然在云电子邮件提供商提供的惩处决议之外实施了东谈主工智能电子邮件安全惩处决议。

【阅读原文】

Hackernews 编译，转载请注明出处：

你确凿隐身了吗? 深入谷歌私东谈主浏览，揭开荟萃隐身的传说和真相。

经久以来，谷歌的隐身模式一直是那些但愿对分享开拓和专诚追踪在线行为的公司的用户的首选守秘用具。它普通被称为私东谈主浏览，或色情模式。

与流行的不雅点相悖，诡秘功能不单是是为了荫藏网上的成东谈主内容。举例，大多数在线航班搜索引擎使用cookie来追踪搜索，在屡次搜索归并瞥程后，机票价钱会冉冉高涨，从而诱使用户提前预订。用户不错通过怒放单独的隐身浏览窗口来省俭潜在的宏大成本。

许多用户仍然莫得坚强到，隐身浏览窗口并莫得向老板、互联网劳动提供商或他们探问的一些网站荫藏他们的浏览历史。在私东谈主窗口登录Facebook、亚马逊或Gmail等任何网站时，大型科技公司仍然不错将你的在线行为与其他账户和个东谈主贵府计划起来。自然对许多东谈主来说，这是无庸赘述的，但其他东谈主仍带着伪善的安全感连接使用这个功能。

关联词，在手艺东谈主员空谷幽兰之前，即使你信赖你的在线行动被匿名所隐讳，看不见的力量可能仍然在起作用。即使莫得登录到一个平台，你的臆造踪影仍然很容易被追踪，这要归功于“指纹识别”。这种高等款式的追踪结合了您的IP地址、屏幕分辨率、装置的字体和浏览器版块等详备信息。指纹识别手艺创造了一个独特的轮廓—就像一个窥探从分散的思绪中强迫出一个难以捉摸的东谈主物的身份。

这个数字身份不错跨会话和开拓持久存在。它普通不受试图断根浏览器历史记录或使用隐身模式的影响。这对用户来说意味着，让你的开拓成为“你的”的那些方面—那些个东谈主定制和调治—也可能是泄露你在线匿名性的要素。是以，即使你在“隐身”的保护神下浏览网页，也要记取:你的数字身份影子可能仍然是可见的。

自从将“不违警”(Don’t be evil)的座右铭从公司行动准则中删除后，许多东谈主对信任这家科技巨头变得越来越严慎。从2020年起，谷歌将靠近一场50亿好意思元的巨额诉讼，这是一项创举性的法律行动，给其吹捧的“隐身模式”蒙上了暗影。原告强烈认为，尽管谷歌保证了诡秘，但其复杂的cookie荟萃、分析用具和基于应用范例的用具未能暂停追踪，即使用户认为他们在隐身保护神下受到了保护。

比拟之下，谷歌坚定地为我方辩说，强调其网站一贯有清晰的声明。他们指出，Chrome的隐身功能并不是一种隐形的面纱，而只是一种防护浏览数据被存储在腹地的功能。事实上，每次用户怒放私东谈主浏览会话时，都会出现申饬。问题是很少有东谈主读到这个申饬，这意味着这场诉讼的症结在于一个经典的论题:感知安全与推行安全。

这家科技巨头将法庭案件视为小艰苦。从局外东谈主的角度来看，潜在的罚金似乎只是他们宏大收入海洋中的微乎其微。对这类公司来说，处罚已成为他们在数据驱动的帝国中开展业务的另一项成本。但跟着一场50亿好意思元的诉讼越来越接近审判，这家科技巨头会受到的可能不单是是流个鼻血这样简略了。

从手艺角度来看，谷歌的隐身模式的主邀功能似乎一直是透明的:保护用户的浏览历史不被其他使用归并开拓的东谈主看到。如果你的开拓在多个开拓上同步，这个功能不错确保诡秘不被窥探。

醒目手艺的东谈主很明晰它的局限性。关联词，普通用户往往会被动接受冗长的条件和条件。这些文献偶然用密密匝匝的法律术语写成，似乎是为了饱读动用户盲目地同意。

对许多用户来说，“历史”一词可能包含了更平庸的深切。他们不错假设“莫得历史”意味着莫得任何思绪—在荟萃空间的沙滩上莫得留住脚印。这种感知到的诡秘和推行功能之间的各别可能会导致伪善叙述。如果这是故意贬抑以误导普通用户，那么问责制问题就出现了。

2018年，谷歌Chrome工程师的里面通讯揭示了他们对隐身模式的看法，这为这场酌量加多了另一层含义。谷歌职工开打趣说，使用“间谍”图标是分歧适的。另一个东谈主将其与《辛普森一家》中的一个搞笑脚色“Guy Incognito”计划起来，这个脚色以其好笑而无效的伪装而着名。这个打趣自然任意高兴，但可能意外中强调了一个事实:隐姓姓名对诡秘的承诺可能就像“Guy Incognito”的胡子伪装一样陋劣。自然理论上来看是幽默的，但这种里面打趣不错被视为淡化诡秘问题。

诡秘缓缓成为这个期间的浪掷，但结合VPN浏览器扩展不错在保护在线匿名性方面阐明症结作用。它提供了一个强健的障蔽，防护互联网劳动提供商追踪你的所作所为。这是阻挠告白商从你在网站上的浏览中获取利益一个障蔽。

自然隐身面纱看起来不透明，但信得过的在线隐身可能比你设想的更难以捉摸。读者不错时常内省：我的数字身份是否确凿荫藏起来了。

【阅读原文】

1、国度总统大选遭荟萃攻击冲击：在线投票劳动故障 选民无法探问

2、Akira恐吓团伙诈骗念念科VPN居品对各个行业发起攻击

3、怎样处理 Windows 上的坏心软件:“重组和铺路”往往是独一的方法

安全内参8月23日消息，南好意思洲国度厄瓜多尔在上周日举行天下大选，关联词国外住户汉典在线投票遇到困难。该国选举机构将这些事件归因于来自七个不同国度的荟萃攻击。

选举当天，汉典选民纷纷在社交媒体上表示，他们无法通过政府创建的在线投票系统投票，感到十分颓落。大选前，约有12万名生活在国外的厄瓜多尔东谈主注册投票。然则，其中好多东谈主在投票截止前无法探问投票系统。

厄瓜多尔国度选举委员会主席Diana Atamaint在上周日召开新闻发布会，将汉典投票的问题恼恨于荟萃攻击，然则并莫得详备说明攻击的性质。

她说：“咱们奉告厄瓜多尔东谈主民，根据初步回报，汉典投票平台遭受了荟萃攻击，投票系统探问流畅性受到影响。咱们还需要要点清醒，依然投下的选票莫得受到滋扰。”她连接表示，“已证明”这些攻击“来自七个国度：印度、孟加拉国、巴基斯坦、俄罗斯、乌克兰、印度尼西亚和中国。”

Diana Atamaint接受好意思国有线电视网西班牙语频谈采访时表示，旅居欧洲的厄瓜多尔选民受到的影响最为严重。

她说，“选举当局将在法律框架内分析应该采取哪些适当措施。”

然则，厄瓜多尔国度选举机构莫得对评述请求作念出回答。

截止周一下昼，计票责任依然完成80%。左翼候选东谈主Luisa Gonzalez暂时最初。然则，她需要在本年十月参加第二轮对决，面对首轮选举第二名Daniel Noboa的挑战。

本月早些时候，厄瓜多尔总统候选东谈主Fernando Villavicencio在都门基多举行竞选行为时遭到暗杀，反应该国民主情状堪忧。在地方层面，投票进展较为得手，但国外投票系统出现的问题在移民中激勉了大怒和质疑。

旅居西班牙马德里的厄瓜多尔东谈主在社交媒体上发布视频，显示他们在举行请愿，抗议无法投票。

参考贵府：https://therecord.media/ecuador-election-cyberattacks-absentee-voting

【阅读原文】

据外媒报谈，Akira恐吓软件团伙以念念科VPN居品为标的，以得到对企业荟萃的驱动探问权限并窃取其数据。Akira恐吓软件自2023年3月以来一直活跃，该坏心软件背后的挟制行动者宣称依然入侵了多个行业的多个组织，包括陶冶、金融和房地产。2023年6月底，Avast发布了针对 Akira 恐吓软件的免模糊密范例，但从那之后挟制者依然给加密范例打了补丁，Avast的用具只能匡助那些旧版块的受害者。

【阅读原文】

Hackernews 编译，转载请注明出处：

最近的Discord.io过错标明，游戏社区成为了越来越有眩惑力的标的，因为他们通常使用高性能的机器，况兼有资源不错窃取。DomainTools的研究东谈主员写谈，大多数坏心软件的标的是Windows系统，并通过Discord发送。可能需要格式化磁盘并再行装置操作系统才能惩处坏心攻击。

诈骗Discord.io过错，坏心行动者不错挖掘被入侵的账户和社区列表，以笃定可能的感染标的。

研究东谈主员申饬说:“只需点击一下，标的玩家的电脑就能被完全苟且。电脑普通被安上信息窃取范例，但汉典探问木马、加密矿工或其他坏心软件也可能被开释出来。”

如果发生这种情况，用户不应该浮滥期间试图用好的软件来断根无益的软件。

DomainTools研究和数据副总裁肖恩•麦克尼表示:“偶然候，惩处的独一阶梯即是重新动手再行格式化机器——再行拼装和铺路（nuke and pave）。”

“Nuke and pave”意味着透顶断根受感染开拓的硬盘驱动器，从而删除所特别据和软件，然后再行装置一个干净版块的Windows。但事情并不老是那么简略，因为荟萃骗子正在寻找荫藏他们恶浊代码的新方法。

坏心软件普通会深入到系统中，隐藏监控，还可能包括谨防防删改措施。

尽管你会奋力尝试使用杀毒软件来断根受感染的系统病毒，但你永远无法完全笃定你是否依然计帐干净。研究东谈主员申饬说:“事实上，你可能通常运行多个反病毒居品—每个居品都自大洋洋地向你回报‘莫得发现坏心软件’，完毕系统仍然阐扬出不可否定的严重的问题。”

如今，用户必须铭记，即使是再行格式化驱动器和再行装置系统也变得愈加复杂。

DomainTools的研究东谈主员写谈:“咱们知谈你会给你的系统消毒(尽管咱们都知谈这行欠亨)。”

在这种情况下，研究东谈主员建议用户了解不同类型的坏心软件之间的轻微诀别。它可能是机器东谈主范例、信得过的诡计机病毒、蠕虫、后门、特洛伊木马、rootkit、潜在的不需要的范例、告白软件、坐法软件、恐吓软件、间谍软件等，不同类型决定了清洁用具的不同。

你必须“为清洁责任选拔正确的用具并确保确立了扫数正确的选项，”研究东谈主员申饬说：“许多杀毒软件供应商只使用一个用具，并未提供一个全面的方法来发现和断根扫数类型的坏心软件。”

此外，用户应该扫描其系统上的所特别据卷（volumes）。但即便如斯，面前无论使用什么用具都无法得到保证。举例，即使杀毒居品宣称诡计机是干净的，最好的作念法亦然使用其他用具(如MalwareByte的ADWCleaner)查验系统中留住的与坏心软件关联的工件。

研究东谈主员珍视到:“在一台感染了Discord坏心软件的样本电脑上，ADW发现并标记了三个注册表项，但莫得删除。”

坏心软件作者以驾御注册表项而着名。注册表中有问题或贬抑的确立可能被深埋，难以确立。举例，搜索劫持坏心软件可能会将浏览器的默许搜索引擎改造为向劫持者支付再行路由流量的搜索引擎。

其他坏心软件可能荫藏在浏览器扩展中，这些扩展可能被防病毒软件扫描，也可能不被扫描，况兼可能在启动时通过主要通过msconfig可见的条目自动启动并在后台运行。坏心软件的创建者一直在寻找新的方法来在受感染的系统上兑现“持久性”。

攻击者依然进行了成本效益分析，而游戏玩家在他们的清单上名列三甲。

源头，游戏电脑普通比非游戏电脑更强健，而且往往领有一流的荟萃勾搭。如果攻击需要付出同等元气心灵，荟萃坐法分子将对准更快的系统来装置他们的加密矿工，限定中心或其他货币化选项。

游戏电脑普通不受保护，因为防病毒软件和其他措施可能会“放慢系统速率”。

Discord是一款面向游戏玩家的即时通讯劳动，免费且广受迎接，领有超过1.5亿活跃用户。该软件的通讯是加密的，因此流量对荟萃监控和攻击检测用具是荫藏的。Discord的用户领有不错被攻击者变现的财富。

Sophos将Discord描画为一个“狠毒的社区”和“坏心软件的垃圾场”。致使对于莫得托管在Discord上的坏心软件，Discord API亦然坏心命令和限定荟萃功能的沃土，这些功能荫藏在Discord的tls保护的荟萃流量中。

一种流行的攻击方式是“新游戏”，当队友或其他东谈主要求尝试新软件时，这推行上可能是坏心软件。

【阅读原文】

1、国标《信息安全手艺 数据安全风险评估方法》公开征求意见

2、谷歌惊现告白陷坑：正当亚马逊连络潜藏手艺骗局

3、日本谋求荟萃作战“出海”，对全球荟萃安全酿成严重挟制

8月21日，天下信安标委发布《信息安全手艺 数据安全风险评估方法》（征求意见稿），程序给出了数据安全风险评估的基本见识、要素关系、分析旨趣、实施经过、评估内容、分析与评价方法等，明确了数据安全风险评估各阶段的实施要点和责任方法。意见搜集截止10月20日。

【阅读原文】

      谷歌搜索完毕中一个看起来正当的亚马逊告白将探问者重定向到Microsoft Defender手艺解救骗局，该骗局会锁定他们的浏览器。

      谷歌搜索完毕中亚马逊灵验告白显示了亚马逊的正当URL，就像该公司的典型搜索完毕一样，如下所示。

      然则，点击Google告白会将此东谈主重定向到手艺解救骗局，伪装Microsoft Defender的警报，说明电脑感染了ads（exe）.finacetrack（2）.dll坏心软件。

      这些手艺解救骗局将自动进入全屏模式，因此很难在不间隔谷歌浏览器程度的情况下退出页面。然则，当Chrome以这种方式间隔时，在再行启动时，它会教唆用户收复以前关闭的页面，再行怒放手艺解救骗局。

      2022年6月，Malwarebytes发现了一个看起来正当的YouTube告白，该告白也使用了该平台的URL，导致了一样的手艺解救骗局。面前尚不明晰谷歌为什么允许告白商师法其他公司的URL来制造这些令东谈主信服的告白骗局。

      在往常的一年里，谷歌告白被黑客严重滥用，以传播坏心软件，这偶然会导致恐吓软件攻击。黑客会创建正当网站的副本，但交换下载连络以分发装置坏心软件的木马范例。皇家恐吓软件公司还制作谷歌告白，宣传装置Cobalt Strike信标的坏心网站。这些信标用于提供对公司荟萃的驱动探问，以进行恐吓软件攻击。

【阅读原文】

据日媒8月中旬报谈，日本政府将与印太地区关联国度联合搭建谍报荟萃，以便快速感知和分享荟萃攻击征兆和方式等信息。日本规划将包括自身在内的好意思澳等荟萃谨防“先进国”与印太地区其他国度荟萃谨防系统勾搭起来，构建区域荟萃作战预警体系，扩大荟萃感知空间和监视范围。

    拓展荟萃作战“出海”领域

    据报谈，日本外务省已在2024年度预算概算要求中列入在国外加强荟萃谨防的经费。其中，印太地区被视为要点区域，日本将通过政府开发援助，对东南亚和太平洋岛国提供该领域软硬件支援。除顺利提供关联开拓外，日本还将通过举办联合演习、给予定向资金赞成等方式，向关联国度传授教养。

    据悉，日本已将荟萃空间视为继陆、海、空和天际之后的“第五战场”，认为当前针对各国政府机构、电力基础设施等标的的荟萃攻击技能复杂各样，关联案例层见叠出，荟萃谨防和反制已成为各国靠近的重要课题。日本将深化与领有共同酬酢和安全诉求的所谓“友好国度”的合作，以印太地区国度为主，在荟萃领域兑现合作冲破。

    此前，日本已加入北约卓著荟萃谨防中心，自2021年动手常态参与北约“锁盾”系列荟萃安全演习。该演习虽冠名荟萃谨防演练，但参演成员分为红、蓝两队进行对抗，互相之间进行荟萃攻击和谨防课目演练，模拟的攻击对象既包括军事部门，也包括基础设施、群众和私营部门。本年4月，日本第3次参加该演习，除凝视省机构和各自保队荟萃关联军队外，内阁荟萃安全中心、总务省、探员厅以及重要基础设施运营商等均摊员参加。

    这次日本出资出力在印太地区打造所谓荟萃谨防预警谍报网，主张是通过基础设施援助、东谈主才培养培训等方式，将好意思国、日本等针对荟萃作战的程序、开拓和遐想，推广到东南亚国度和太平洋岛国，将其纳入好意思日等荟萃作战体系，致使打上排他性标签。面前，日本已动手在日好意思澳印四方安全对话机制中推动建立荟萃谨防“共同原则”，并以此为基准推广构建印太地区谍报荟萃，打造妥贴日本意图的谍报预警体系。同期，日本规划在2024年后引入“主动荟萃谨防”机制，将荟萃谨防扩展为包括监视预警、谨防和反制为一体的荟萃作战，面前正在入辖下手关联立法责任。

    强化“主动荟萃谨防”机制

    推行上，“主动荟萃谨防”并非新见识，日本在2022年12月新改造的《国度安全保障计谋》等安保政策文献明确指出，自保队将加速构建“主动荟萃谨防”机制。所谓“主动荟萃谨防”，指日本联系部门常态化巡视荟萃空间，提前发现可疑挟制，依据关联权限采取瘫痪攻击源数据等反制措施。这与日本当前虽理论称对峙“专守凝视”计谋，却追忆成体系发展所谓“反击才能”的念念路一致，其自己已超越谨防领域，是“先下手为强”作战念念路在荟萃空间的延续和体现。连年来，日本自保队采取多种措施，为构建“主动荟萃谨防”机制提供基础条件。

    在政策遐想上，新改造的《国度安全保障计谋》等安保政策文献，明确强调自保队要强化荟萃防护才能建设，构建与好意思欧同等以上水平的荟萃安全才能等，并将荟萃作战才能列入改日10年自保队七大支撑才能之一，赐与要点发展。

    在力量编制上，2022年3月，日本大幅扩编专门开展荟萃攻防任务的荟萃凝视队，预计2023年度由890东谈主引申至2230东谈主，2027年度前引申至4000东谈主傍边。本年7月1日，日本凝视省在大臣官房新设负责应酬荟萃攻击的参事官一职，在整备规划局新设“荟萃整备课”，健全力量和指挥机制。

    在东谈主才培养上，日本凝视省规划在2023年度将位于神奈川县横须贺市的陆上自保队通讯学校改编为“陆自系统通讯和荟萃学校”，并增设“荟萃陶冶系”，以加强荟萃凝视专科东谈主才培养和荟萃安全手艺开发。同期，凝视省还规划于2024年前建立更为纯确凿东谈主才机制，可顺利委用具备荟萃领域专科常识和关联教养的民间东谈主才，以快速形成作战才能。

    在手艺支撑上，日本本年6月发布的《凝视手艺指针2023》强调，日本凝视省将要点发展荟萃空间谨防才能，聚焦荟萃攻防手艺、未知攻击检测应酬手艺、自动阻断和应酬荟萃杀伤链手艺等。7月，日本在凝视装备厅新设用于强化装备供应商荟萃安全对策的“装备保全管制课”，对关联军工企业进行针对性赞成。

    笼统来看，日本约束翻新荟萃作战力量“出海”技俩，以“先进带后进”方式蔓延触角、编织荟萃作战预警谍报网的同期，以所谓“主动荟萃谨防”为幌子，约束发展荟萃空间“先下手为强”作战才能。这种作念法将对全球荟萃安全酿成严重挟制，值得和蔼和警惕。（子歌）

【背负裁剪:王金志 】

【阅读原文】

1、微软宣布 Designer 已集成到 Edge 浏览器：使用 AI 打造惊艳视觉遐想

2、计提5.5亿元成本！澳洲知名金融公司因荟萃攻击损失惨重

3、荟萃攻击迫使英国数百家零卖生意务瘫痪

IT之家 8 月 23 日消息，微软在 2022 年 10 月宣布了一款新的遐想用具，名为 Designer，其诈骗生成式 AI 手艺提供了强健的功能。2023 年 4 月 Designer 推出了公开预览版，今天微软宣布 Designer 依然成为 Edge 浏览器的一个完全集成的功能，面前仅在好意思国市集上线。

微软在博客著作中表示：

使用 Edge 中的 Designer，你不错在浏览器窗口中只需几次点击，就不错创建出令东谈主惊艳的视觉遐想。在 Edge 上，只需在侧边栏中使用 + 图标找到 Designer 即可动手使用。启用后，在搜索栏中输入你想要创建的内容，比如你的行为主题或标题，Designer 就会为你生成出色的视觉遐想选项供你选拔，致使包括使用 DALL-E 手艺生成的独特图片。之后你不错选拔保存或复制，并在你的社交媒体平台上使用。

IT之家珍视到，微软解救页面称，自然 Designer 面前处于公开预览阶段，免费使用，但当其慎重发布时，某些功能将需要额外付费才能使用。面前还没联系于 Designer 何时会在好意思国除外的 Edge 中上线的消息。

微软还宣布，其为 Edge 浏览器中的 Bing Chat AI 聊天机器东谈主加多了一些新功能。微软称：

举例，它不错通过组织许多怒放的标签页（举例“组织与新闻关联的标签页”）来匡助你专注于任务。你还不错使用 Bing Chat 中的撰写功能来匡助你安心而自信地给熟识写电子邮件。无论你身在何处，Bing Chat 都不错匡助你提高责任遵守。

Edge 浏览器最新的 116 剖析版块周发布，并加多了对 Edge for Business 的解救。

【阅读原文】

安全内参8月22日消息，澳大利亚企业在2023财年遭受了一系列荟萃攻击。从健康保障公司Medibank到电信运营商Optus，各家企业都靠近东谈主力短缺和应酬荟萃坐法才能不足的严峻现实。自然不错通过荟萃保障减轻损失，然则荟萃攻击会切实影响运营，导致企业无法和蔼中枢业务。

公司因为荟萃攻击计提7600万好意思元损失

澳大利亚数字支付和贷款劳动上市公司Latitude即是一家受到荟萃攻击严重影响的企业。

本年3月16日，Latitude回报称，在系统上发现了一些坏心行为，并表示“这些行为据信源自Latitude合作的一家主要供应商。”该事件导致800万客户的个东谈主信息被窃取，公司业务被动中断。

图：公司破耗了数月期间进行事件响应

Latitude为此付出了1180万好意思元的顺利成本，并额外筹集了6410万好意思元，主要用于抵偿客户。这还不包括潜在的监管罚金、集体诉讼、改日系统增强成本，也莫得推敲保障赔款。

事件发生六周以来，荟萃攻击对Latitude业务运营酿成了紧要影响。在此期间，Latitude无法开立新的客户账户，这对金融业务的业务量产生了影响。

事件对业务酿成了极大滋扰

据2023年上半年财报数据，Latitude的净利润下跌了479.5%，吃亏达到1.163亿好意思元。尽管岁首1月/2月的新业务量同比增长了12.5%，但上半年的总业务量仅有36亿好意思元，同比下跌3%。下跌原因是荟萃事件导致业务中断。

Latitude总裁兼首席实行官Bob Belan表示：“2023年前六个月，Latitude经历了历史上最具挑战性的时期。共事们展示出了超卓的收复力和应酬才能，我感到十分自大。现在，咱们动手看到的苍劲复苏，令东谈主欣喜。Latitude上半年的事迹说明，金融劳动行业经久靠近困难的大环境。这种窘境自然也包括2023年3月荟萃攻击酿成公司的运营中断。”

Latitude在澳大利亚和新西兰地区的销售金融业务（包括GO Mastercard和Gem Visa）的销售额达18亿好意思元，较2022年下半年下跌了14%。这反应了通货蔓延压力抵破钞者的影响、零卖销售额的下跌趋势，以及荟萃事件对信贷披发系统的滋扰。

公司积极改善事迹，造谣事件影响

从积极的方面来看，公司的28°万事达全球白金卡业务连接从世界旅游昂扬中受益。这一业务的销售额达到10亿好意思元，较上一年加多了29%。这些数据大有追逐疫情爆发前销售额的趋势（约为20亿好意思元）。

Latitude还和一些新商家签约，包括JB Hi-Fi新西兰和BSR 集团。此外，Latitude还有一个强健的潜在新商家项目。其与David Jones的计谋合作伙伴关系规划预计将于2024岁首启动。

谈到荟萃攻击事件和公司出路，Bob Belan表示，“咱们将连接奋力，对咱们的系统进行无间审查，增强系统安全性。更重要的是，咱们会加速更新计谋，专注于改善客户体验，提高支付和金融等中枢部门的财务事迹。”

“咱们不仅进一步整合了全新的Symple贷款平台，还完成了Hallmark保障出售责任，交出了亮眼的收获单。藉此，咱们开释了约9900万好意思元的成本，增强了财富欠债表。”

Latitude将连接与监管机构合作，对其信息处理实践进行审查，并与保障公司合作，研究是否能通过保障赔付减轻部分或全部成本。公司证明其全年现款净利润的指导范围为1500万至2500万好意思元，其市值将保持在10亿好意思元以上。

参考贵府：https://thesentiment.com.au/latitude-reels-in-losses-98-2-million-in-hy-losses-as-cyberattack-costs-big/

【阅读原文】

安全内参8月21日消息，英国IT软件公司Swan Retail在上周日遭受荟萃攻击，导致超过300家英国商户无法处理付款或完成订单。截止当前，该公司劳动器仍处于离线状态，尚无明确迹象标明该公司何时能再行提供劳动。

Swan Retail主要劳动于零卖和餐饮行业，提供处理在线订单、销售点（POS）来回、库存管制和管帐劳动的软件。该公司正在与与规则机构、英国国度讹诈和荟萃坐法回报中心（Action Fraud）以及英国国度荟萃安全中心（NCSC）合作，对这次攻击伸开观望。

攻击事件影响多达300名客户

Swan Retail发言东谈主表示，上周日，公司系统遭“未经授权的第三方”探问。

攻击发生后，公司已尽快奉告了里面团队和受影响的零卖商，面前正与规则部门以及外部照顾人团队（Action Fraud和NCSC等）保持计划，对这次数据泄露事件进行全面取证观望。

发言东谈主表示：“Swan Retail遭逢了一齐坐法荟萃攻击事件，严重苟且了咱们的劳动，影响了部分客户的业务。咱们正在全天候责任，奋力惩处这个问题，并与规则部门保持连络。”公司表示，观望“取得了精湛的进展”，但尚不成证明劳动何时能够收复正常。

这家IT劳动供应商尚未公开表示遭受的荟萃攻击类型，然则攻击酿成劳动中断，影响了百货商店和园艺中心等一系列寂然零卖商。

2020年11月，Swan Retail被手艺品牌集团ClearCourse收购，该集团提供笼统性软件惩处决议和笼统性支付平台。

第三方支付安全问题约束

Swan Retail平台整合了多项最初的在线支付劳动，其中不少劳动在连年来都遇到过荟萃安全问题。

最近几周，其中一项名为WooCommerce的劳动一直在应酬关联问题。7月14日，研究东谈主员在WordPress的WooCommerce支付插件中发现了过错。根据记录，尝试苟且该插件的行动依然超过一百万字。自曝光以来，过错在短短几天内就被用来对157000个站点发动了130万次攻击。

面前，该过错编号为CVE-2023-28121，严重程度评级为9.8（严重）。根据安全供应商Wordfence发布的新闻稿，该过错是WooCommerce支付身份验证绕过过错，“允许未经身份验证的攻击者冒充当意用户，以假身份实行一些操作，可能导致网站被接纳。”

参考贵府：https://techmonitor.ai/technology/cybersecurity/swan-retail-cyberattack

【阅读原文】

1、《纽约时报》屏蔽 OpenAI 的荟萃爬虫，圮绝将其内容用于 AI 熟识

2、苹果iOS16曝出新过错：飞行模式下依旧可勾搭荟萃

3、特斯拉公开影响超过7万名职工信息的数据泄露事件

IT之家 8 月 22 日消息，《纽约时报》依然屏蔽了 OpenAI 的荟萃爬虫，这意味着 OpenAI 不成使用该出书物的内容来熟识其东谈主工智能模子。

搜检《纽约时报》的 robots.txt 页面，就不错看到《纽约时报》封禁了 GPTBot，这是 OpenAI 本月早些时候推出的爬虫范例，据悉《纽约时报》早在 8 月 17 日就屏蔽了这个爬虫。

值得一提的是，《纽约时报》本月初更新了其劳动条件，该条件圮绝使用其内容来熟识东谈主工智能模子，《纽约时报》还在推敲对 OpenAI 拿起常识产权侵权的法律诉讼。

IT之家珍视到，此前演员 Sarah Silverman 和另外两位作者在 7 月份就 OpenAI 使用 Books3 熟识 ChatGPT 而告状该公司，Books3 是一个用于熟识 ChatGPT 的数据集，可能包含数千部受版权保护的作品，还有一位范例员兼讼师 Matthew Butterick 指控该公司的数据抓取行动组成软件盗版侵权。

【阅读原文】

近日，荟萃安全研究东谈主员发现iOS 16存在一种新的过错诈骗后持久化手艺，即使受害者的苹果开拓处于离线状态，也不错诈骗该手艺悄无声气地探问该开拓。研究东谈主员称，当用户怒放飞行模式时，荟萃接口 pdp_ip0（蜂窝数据）将不再显示 ipv4 ipv6 ip 地址。蜂窝荟萃断开就无法使用，自然底层改造由 CommCenter 实行，但用户界面（UI）的修改，如图标调治，则由 SpringBoard 负责。这一旨趣给用户酿成一种 "飞行模式 "已开启的假象，但同期又允许坏心行动者暗暗地为坏心应用范例连络蜂窝荟萃。

【阅读原文】

8月21日，特斯拉表示，此前发生的大规模数据泄露事件泄露了超过7.5万东谈主的个东谈主信息，这是“里面犯警行动”的完毕。特斯拉在发给职工的奉告中表示，被泄露的文献包含100GB的神秘数据，其中包括职工的姓名，以及地址、手机号码和电子邮件地址等计划信息，致使包含特斯拉CEO埃隆·马斯克的社保号码。泄露的数据还包括大量对于特斯拉一霎加速的客户投诉，以及对于刹车问题的投诉。此前，2名特斯拉前职工向德国《商报》泄露了这些信息，面前特斯拉已对这两名前职工拿起了诉讼。

【阅读原文】

1、黑掉卫星：初次得胜出动轨谈、劫持录像头偷拍

2、2023年各行业数据泄露平均成本为445万好意思元

3、最火爆的火器化东谈主工智能用具：FraudGPT

安全内参8月18日消息，好意思国拉斯维加斯，本年DEF CON黑客大会的主会场凯撒论坛会议中心，在一个挤满不雅众的房间里，来自世界各地的五支黑客团队正暴燥地恭候全球初次天际CTF竞赛的完毕，看哪只部队能够得到盛誉。

可贵有这样多东谈主鸠合起来庆祝安全研究东谈主员的责任，但这不是一场普通的黑客比赛。动作主办方好意思国空军多年筹谋和投资的恶果，这次比赛破天瘠土公开饱读动黑客，破解正以每小时17000英里的速率飞越地球的卫星。

本年DEF CON黑客大会在航空航天村举办Hack-A-Sat（黑掉卫星）比赛。参赛团队都有一样的标的：一颗由NASA和SpaceX于6月辐射的小方形卫星Moonlighter，上头确立了各样挑战和“Flags”。

现场一派火热

从上周五早上到周六晚上，五支团队鸠合在DEF CON黑客大赛的比赛区域。那是一个挤满开拓、汽车的宏大空间，到处是嘈杂逆耳的声气。几百名黑客在这里破罢黜何带有电线和电流的东西。

在黑掉卫星比赛区域，培植着一只宏大的赛博一又克作风记分牌，显示分数、Moonlighter的位置，以及下一次与卫星计划的倒计时。

比赛竞争强烈，眩惑了多支CTF团队。自然为夺旗赛组队并不鲜见，然则破解在轨卫星带来的挑战是一般夺旗赛参赛者从未见过的。有五支团队打败了数百支由千千万万名玩家组成的竞争敌手，一齐挺进在拉斯维加斯举办的决赛。

如果在决赛中独占鳌头，团队将得到首个天际CTF竞赛冠军的盛誉，并领取5万好意思元奖金。难怪宣布赛果的房间简直挤得水洩欠亨。

但前一晚，宣布会场也发生了戏剧性的事情。因为受到一只能疑的包裹，通盘凯撒论坛会议中心被动疏散（根据赶走式上的讲话，这可能是第五次疏散事件）。

好意思国空军上尉Kevin Bernert表示，其时，黑掉卫星竞赛组织者仍在收罗来自Moonlighter的数据。团队被动在病笃楼梯间鸠合，然后退到一间栈房房间，勾搭到Moonlighter收罗数据并笃定最终得分。Kevin Bernert 说，“行为必须连接。”

冠军及三强出炉

逆向工程软件Binary Ninja创始东谈主、黑掉卫星竞赛左右东谈主Jordan Wiens在现场宣布顺利者。他表示第二名将得到3万好意思元，第三名将得到2万好意思元。听到奖金的信息，东谈主群动手喧闹起来，有几个东谈主还吹起了口哨。

第三名是jmp fs：[rcx]团队，该团队是参加2020年首届黑掉卫星竞赛顺利者PFS与RTX联合组成的。据该团队成员先容，团队称号是一段灵验的汇编代码。

第二名是“波兰能进入天际”（Poland Can Into Space）团队，由CTF团队Dragon Sector和p4组合而成。这个名字玩了波兰球的梗，也师法了昨年黑掉卫星竞赛的顺利者称号。

终末，Jordan Wiens宣布第别称：“道喜mHACKeroni团队”，本旨声、掌声和一些尖叫声响起。mHACKeroni团队不仅赢得了荣誉，还赢得了奖金。根据他们的简介，这只团队由60名意大利学术界东谈主士组成。

Jordan Wiens连接说：“道喜扫数参与者。能够进入决赛，确凿令东谈主印象深刻。”

安全内参截图，参赛团队在十项测试项目中的阐扬（黄色为冠军团队）

测试项目难度高

这次比赛确立的挑战症结并圮绝易。一项名为“八月圣诞节”的挑战要求，让Moonlighter离开旧例轨谈飞近北极。怎样出动一个莫得鼓动系统的卫星？自然是通过脚本注入来欺骗GPS接纳器。

另一项挑战要求参赛者入侵卫星录像头，并从天际拍录像片。还有一项名为“铁银行”的加密挑战，惟有冠军团队mHACKeroni完成了这次挑战。

安全内参截图，mHACKeroni团队拍摄的地球像片

这次CTF竞赛是好意思国空军研究实验室、天际系统司令部、航空航天公司和Cromulence的合作项目。

参赛部队靠近一大挑战，Moonlighter并非一直可用。根据其在轨位置，卫星在比赛期间惟有几个期间窗口，可供下载或上传文献、遥测、实行脚本。由于挑战赛在真实世界的条件下运行，即使比赛运营者也无法保证，一定能在预定的计划期间窗口内和卫星建立勾搭。

为了将荟萃安全和天际人人鸠合在一齐，黑掉卫星被遐想为一场充满真义的比赛。然则，天际系统靠近的挟制是真实存在的。在拉斯维加斯举办的DEF CON黑客大赛和Black Hat荟萃安全大会上有多场商榷会，聚焦当前天际荟萃安全状态的危急性、俄乌干戈初期Viasat系统遭大规模入侵等议题。

Black Hat大会期间，一位Viasat高管和好意思国国度安全局官员表示，俄罗斯对卫星通讯的攻击技能相称各样化，不仅接纳了名为“酸雨”的坏心软件擦除器，还对Viasat特定劳动器发动了DDoS攻击，飞速压垮了他们的荟萃。

鉴于动力和农业等症结领域高度依赖天际系统，业界屡次敕令将天际列为症结基础设施。人人们指出，所谓的“新一代”天际公司和现成零部件正在激增，意味着天际系统靠近的风险在约束加多。

参考贵府：https://cyberscoop.com/mhackeroni-hackasat-space-def-con/

【阅读原文】

8月16日，IBM发布了2023年数据泄露成本的分析回报，分析了2022年3月至2023年3月收罗的数据。各行业数据泄露的平均成本为445万好意思元，而医疗行业的平均成本是最高的，为1093万好意思元。往常三年，医疗保健的成本加多了53.3%。与单一存储方法比拟，跨多个环境存储的数据泄露成本最高，检测和应酬的平均期间为291天。垂钓行为成为最常用的驱动攻击载体，占比16%，其次是凭证泄露和云配置演叨。医疗保健行业数据泄露往往会无间231天才被发现，而其它行业则为204天。

【阅读原文】

FraudGPT的“得胜“秀美着生成式东谈主工智能火器化和黑客攻击手艺民主化的危急期间依然到来。

FraudGPT是一种通过Telegram疯传的基于订阅的新式生成式东谈主工智能黑客用具，订阅用度为每月200好意思元或每年1700好意思元。2023年7月份被Netenrich的安全研究东谈主员发刻下，FraudGPT依然领有超过3000个订阅者。研究东谈主员推测FraudGPT基于开源大语言模子开发，并去除了模子中的一些谈德和安全限定。

FraudGPT之是以快速流行，是因为它将往常复杂的黑客攻击手艺通过生成式东谈主工智能用具变成了手艺小白也能任意使用的自动化劳动，举例编写坏心代码、创建无法检测的坏心软件、编写令东谈主信服的荟萃垂钓电子邮件等。

火器化东谈主工智能范例成为暗网最畅销黑客用具

包括CrowdStrike、IBM Security、Ivanti、Palo Alto Networks和Zscaler在内的最初荟萃安全供应商申饬称，致使早在2022年11月下旬ChatGPT发布之前，包括国度解救的荟萃黑客组织在内的攻击者就动手将生成式东谈主工智能火器化。

CrowdStrike首席科学家兼高等副总裁Sven Krasser指出，攻击者正在加速将大语言模子和生成东谈主工智能火器化，此类范例依然成为暗网最畅销黑客用具。荟萃坐法分子正纷纷接纳大语言模子手艺进行荟萃垂钓和坏心软件，但“自然这提高了敌手发起攻击的速率和数目，但它并莫得显贵改变攻击的质地。”

Krasser表示，面前的生成式东谈主工智能面前并莫得显贵提高攻击手艺，但它照实提高了平均水平，让手艺水平较低的敌手也能发起灵验攻击。

FraudGPT开启了一个危急的期间

FraudGPT的定位是荟萃攻击者的初学用具包，它诈骗一些经过验证的攻击用具，举例自界说黑客指南、过错挖掘和零日攻击。FraudGPT提供的任何用具都不需要其使用者具备高等黑客手艺常识。FraudGPT还为订阅者提供了低级攻击者必须具备的基线水平的间谍手艺，包括：

编写荟萃垂钓电子邮件和社会工程内容

创建过错诈骗、坏心软件和黑客用具

发现过错、泄露的凭证和存有信用卡信息的网站

提供联系黑客手艺和荟萃坐法的建议

FraudGPT秀美着一个危急的，民主化和火器化生成东谈主工智能用具期间的动手。自然FraudGPT当前的迭代版块还无法与朝鲜陆军精锐侦察总局荟萃战121军队等国度黑客组织的先进谍报手艺比好意思，但其快速提高初学级攻击者的才能有目共睹。

凭借订阅模式，FraudGPT的用户数在短短数月内就超过了起初进的国度荟萃战军队，举例朝鲜的121军队，据《纽约时报》报谈，仅该军队就领有约1700名黑客。

自然FraudGPT面前还不成像规模更大、更复杂的国度黑客军队那样组成近在面前的挟制，但它推动的生手攻击尝试正呈指数级增长，此类攻击普通从“最软”的标的动手，举例陶冶、医疗和制造业。

火器化东谈主工智能改变荟萃安全的五大方式

基于生成式东谈主工智能的荟萃攻击用具正在推动荟萃安全供应商过火企业客户加速门径，力争在这场东谈主工智能武备竞赛中保持竞争力。跟着FraudGPT的异军突起，荟萃攻击者数目快速加多，源头受到冲击的即是“身份”。

生成式东谈主工智能对基于身份的安全方法组成了信得过的挟制。事实讲解，前者不错灵验地诈骗深度作秀手艺冒充首席实行官，并悉心筹谋社会工程攻击，以获取特权探问凭证。FraudGPT正在通过以下五种方式颠覆荟萃安全攻防态势，为咱们勾画出火器化东谈主工智能的改日：

1.自动化社会工程和荟萃垂钓攻击

FraudGPT展示了生成式东谈主工智能生成“高质地”、令东谈主信服的社会工程和荟萃垂钓脚本（或场景）的才能，这些脚本和场景能够误导受害者，窃取他们的身份和公司荟萃探问权限。举例，攻击者要求ChatGPT编写联系得胜的社会工程或荟萃垂钓策略怎样运作的科幻故事，欺骗大语言模子提供攻击指导。

据VentureBeat报谈，荟萃坐法团伙和国度黑客组织通常用外语（非英语）查询ChatGPT和其他大语言模子，这样该模子就不会像英语查询那样灵验地断绝潜在攻击场景的高下文。暗网上还有一些专门从事教唆工程的团体，教攻击者怎样绕过大语言模子的护栏来生成社会工程攻击和解救电子邮件。

2.挖掘过错、生成坏心软件

FraudGPT已被讲解能够生成针对特定受害者的荟萃端点和更平庸的IT环境量身定制的坏心脚本和代码。生手攻击者也不错使用FraudGPT来快速了解最新的挟制手艺，以学习并部署攻击场景。这意味着企业必须加倍奋力确保其荟萃卫生和端点安全。

东谈主工智能生成的坏心软件不错绕过大多数传统荟萃安全系统，因为后者在遐想上并不成识别和阻挠这种新挟制。根据最新发布的CrowdStrike挟制指数，无坏心软件攻击占的扫数检测的攻击的71%，这标明攻击手艺在平庸接纳生成式东谈主工智能之前就依然动手变得日益复杂。通盘荟萃安全行业近期发布的新址品也标明了对抗坏心软件是荟萃安全行业当下的高优先级任务，包括AmazonWebServices、Bitdefender、Cisco、CrowdStrike、Google、IBM、Ivanti、Microsoft和PaloAltoNetworks等公司都发布了基于东谈主工智能的安全平台增强功能，以识别坏心软件攻击模式，减少误报。

3、荟萃坐法资源自动发现

比拟手动研究，生成式东谈主工智能将大大裁减过错挖掘、收罗受损凭证、学习新的黑客用具以及掌执复杂荟萃坐法技能所需的期间。各样技能水平的攻击者都将使用东谈主工智能用具来发现未受保护的端点，攻击未受保护的挟制面，并根据东谈主工智能用具的建议发起灵验荟萃攻击。

除了身份之外，端点也靠近更多攻击挟制。一些CISO选拔将自愈端点动作整合策略和提高荟萃弹性才能的中枢，尤其是在依赖物联网传感器的羼杂IT和运营手艺(OT)环境中。面前宣称领有自我确立端点手艺居品的供应商包括AbsoluteSoftware、Cisco、CrowdStrike、Cybereason、ESET、Ivanti、Malwarebytes、微软、Sophos和趋势科技等。

4.东谈主工智能驱动的谨防规避才刚刚动手

火器化的生成式东谈主工智能仍处于低级阶段，FraudGPT也才刚刚起步。但莫得东谈主怀疑，更先进、更致命的用具行将到来。不久的将来，攻击者将大量使用生成式东谈主工智能手艺来逃匿端点检测和响应系统，并开发不错绕过静态签名检测的坏心软件变体。（谨防者根据云表及时遥测数据识别额外行动以及监控每个端点将变得尤为症结）。

荟萃安全供应商必须优先推敲融合端点和身份，以保护端点攻击面。此外，使用东谈主工智能来保护身份和端点至关重要。许多CISO正戮力于将挫折驱动的计谋与手艺整合相结合，以得到对扫数挟制面愈加及时、融合的视图，同期提高手艺堆栈的遵守。96%的CISO规划整合其安全平台，其中63%表示XDR（扩展检测和响应)是他们惩处决议的首选。

5.检测和归因愈加困难

FraudGPT和改日的火器化生成式东谈主工智能用具将使检测和归因变得愈加困难。由于不触及硬编码，安全团队将很难根据取证工件或凭证将东谈主工智能驱动的攻击归因于特定的挟制组织或行为。更强匿名才能和更低的检测率意味着更长的攻击驻留期间，攻击者将能实行“低而慢”的攻击，这是针对高价值标的的高等无间挟制（APT）攻击的典型方法。火器化的生成式东谈主工智能用具最终将使每个攻击者都具备APT攻击才能。

【阅读原文】

1、游戏黑产账号量达8.1亿 同比增长26%

2、谷歌推出首个抗量子硬件密钥

3、俄乌冲突下APT29黑客组织再度活跃，西洋酬酢使团遭坏心迫切

最新发布的《2022上半年游戏安全知悉回报》显示，2023年上半年，检测到的黑产帐号量超过8.1亿次，同比上升26%。该数据由腾讯游戏安全统计所得，据称，游戏黑产账号主要通过一些违纪脚本在游戏进行各种违游记动，苟且游戏的均衡性。这份回报揭示了当前游戏行业靠近的复杂安全环境，亦然业务安全的游戏行业的隆起体现。

【阅读原文】

谷歌本周三宣布推出首个开源的抗量子（量枪弹性）FIDO2安全密钥，该居品是谷歌OpenSK安全密钥规划的一部分。

谷歌研究东谈主员Elie Bursztein和Fabian Kaczmarczyck表示：“该密钥的开源硬件优化兑现使用了一种新颖的ECC/Dilithium羼杂签名模式，该模式受益于ECC面对旧例攻击的安全性以及Dilithium起义量子攻击的弹性。”

OpenSK是用Rust编写的安全密钥的开源兑现，解救FIDO U2F和FIDO2程序。

不到一周前，谷歌表示规划在Chrome116中添加对抗量子加密算法的解救，以在TLS勾搭中确立对称密钥。

抗量子硬件密钥的问世是荟萃安全业界推广和普及抗量子加密算法的一次紧要冲破。

谷歌表示：“运道的是，跟着最近包括Dilithium算法在内的公钥量枪弹性加密手艺的程序化，咱们现在有了一条明确的阶梯来保护安全密钥免受量子攻击。”

与Chrome的羼杂机制（X25519和Kyber-768的组合）雷同，谷歌提议的FIDO2安全密钥兑现是椭圆弧线数字签名算法（ECDSA）和最近程序化的抗量子签名算法Dilithium的羼杂。

谷歌与苏黎世联邦理工学院合作开发的羼杂签名模式是一种基于Rust的内存优化兑现，仅需要20KB内存，相称允洽在安全密钥受限的硬件上运行。

谷歌表示：“但愿看到这种兑现（或其变体）能动作FIDO2密钥范例的一部分进行程序化，并得到主要荟萃浏览器的解救，以便保护用户的凭据免受量子攻击。”

参考连络：

https://security.googleblog.com/2023/08/toward-quantum-resilient-security-keys.html

【阅读原文】

      最新研究标明，黑客对北约国度政府机构进行间谍行为的最新尝试包括与俄罗斯关联的Duke坏心软件的变种。根据荷兰荟萃安全公司EclecticIQ的一份回报，最近的一次攻击行为诈骗两个坏心PDF文献针对北商定约政府的酬酢部。

      其中一份PDF 提供了Duke的一种变体，该坏心软件与俄罗斯国度资助的APT29荟萃间谍行为（也称为Nobelium、Cozy Bear和The Dukes）联系。另一个文献可能用于测试或侦察，因为它不包含灵验负载，但如果受害者怒放电子邮件附件，则会奉告黑客。

      研究东谈主员表示，这些PDF伪装成德国大使馆的酬酢邀请，似乎是针对全球酬酢使团的更平庸行为的一部分。该回报并未顺利将德国大使馆的钓饵归因于APT29，但照实指出了其他研究东谈主员在该组织的行为中发现的一些操作细节。

      坏心PDF中的电子邮件地址援用了真实的Web域bahamas.gov.bs。在7月中旬的一份回报中，荟萃安全公司Lab52珍视到，黑客诈骗归并域名冒充挪威大使馆，通过邀请钓饵攻击酬酢实体。EclecticIQ研究东谈主员“高度确信”冒充德国大使馆的PDF文献很可能是由归并挟制行动者制作的。

      自俄乌干戈爆发以来，莫斯科在欧洲的荟萃间谍行为约束升级。距离基辅最近的国度，如波兰、立陶宛和拉脱维亚，受到的影响最大。

      APT29以诈骗正当的荟萃劳动（如Microsoft OneDrive和Notion）进行坏心软件命令和限定（C2）而着名。据EclecticIQ报谈，在最近的这场战役中，攻击者使用了Zulip应用范例进行C2。

      Zulip是一款开源聊天应用范例，使用亚马逊荟萃劳动接纳和发送聊天消息。黑客诈骗其API功能规避并将其行为荫藏在正当的荟萃流量后头。

      APT29被认为是由俄罗斯对外谍报局指挥的，该局从其他国度收罗政事和经济信息。该黑客组织的主要标的是好意思国和欧洲的政府、政事组织、研究公司以及动力、医疗保健、陶冶、金融和手艺等症结行业。在俄乌干戈期间，APT29对乌克兰军方过火政党、酬酢机构、智库和非牟利组织进行了荟萃攻击。

【阅读原文】

1、南昌某高校发生数据泄露 因数目较大被罚金80万

2、房源数据劳动商遭恐吓软件攻击，好意思国房地产市集堕入杂沓词语

3、中国科学院自动化所得胜打造通用类脑 AI 引擎，登上《Patterns》期刊

8月16日，“南昌网警巡查规则”官方公号表示了一齐高校数据泄露事件。通报称，涉案高校在开展数据处理行为中，未建立全经过数据安全管制轨制，未采取手艺措施保障数据安全，未履行数据安全保护义务，导致学校3000余万条含各种信息的数据库被黑客违警入侵。事件处罚依据《数据安全法》第四十五条，触发“酿成大量数据泄露等严重后果”，为此，监管部门已对该校作出责令改正、申饬并处80万元东谈主民币罚金的处罚，对其主要背负东谈主作出东谈主民币5万元罚金的处罚。

【阅读原文】

安全内参8月16日消息，往常五天，好意思国加州一家房源挂牌劳动提供商遭逢荟萃攻击，导致天下各地房屋买家、卖家、房地产牙东谈主和房源网站业务受阻。该公司提供一项症结在线用具，匡助房地产专科东谈主士挂牌房源、搜检待售房源、追踪挂牌房源。

这次攻击始于上周三（8月9日），迫切对象是位于加州的软件和劳动提供商Rapottoni公司。该公司为加州乃至全好意思各地区房地产集团提供多重房源挂牌劳动（也叫MLS），房地产牙东谈主不错及时获取各种房屋的销售数据，包括行将入市的房屋、购房报价以及已入市房屋的销售信息。多重房源挂牌劳动在买家与卖家、牙东谈主和房源挂牌网站之间架起了重要桥梁。

公司遭受恐吓软件攻击，无间多天系统仍未收复

弗雷斯诺房地产经纪协会主席Brian Domingos在周一表示，Rapottoni公司在8月9日遭受黑客攻击，无间多天后劳动器仍然处于离线状态。

加州索诺玛县房地产牙东谈主Peg King在上周五向客户发出电子邮件，写谈：“如果你通常在房地产网站上刷新页面，你可能依然珍视到，往常几天里这些网站活跃度昭着造谣。上周三以来，天下范围内的房地产多重房源挂牌劳动系融合直无法使用，因为主要的多重房源挂牌劳动提供商Rapattoni公司遭受了一次大规模荟萃攻击。这意味着房地产市集无法挂出新址源、修改价钱、标记房源状态（待售/在售/已售），或列出可带看日历。”

据辛辛那提市WCPO电视台报谈，Rapattoni公司代表向各地区多重房源挂牌劳动提供商发送备忘录，写谈“正如咱们先前通报所说，Rapattoni的分娩荟萃受到了荟萃攻击。咱们正不分日夜，奋力采取措施，尽快收复系统。咱们也在积极观望事件的性质和范围。咱们高度疼爱所掌执信息的神秘性、诡秘性和安全性。咱们将扫数手艺资源都插足其中。面前，收复期间暂时还不成笃定。然则，咱们将连接发布最新宣布，让您了解咱们的应酬措施。”

Rapattoni公司在上周日表示：“咱们在连接观望这次荟萃攻击的性质和范围。这次攻击导致系统中断。咱们正在不懈奋力，全力收复系统。咱们扫数可用的手艺东谈主员都在周末加班责任，直到问题惩处为止。面前，收复期间暂时还不成笃定。然则，咱们将连接发布最新宣布，让您了解咱们的应酬措施。”

自然Rapattoni公司将此事称为荟萃攻击，但媒体普遍报谈这是一次恐吓软件攻击。比如房地产信息网站Inman报谈称，恐吓软件攻击是导致系统中断的原因。Inman征引Rapattoni向其客户发送的消息，称联邦当局正在伸开观望，其保障公司正在与“恐吓软件个体”进行协商。

好意思国数十万房产牙东谈主责任受影响

这次攻击影响了全好意思数十万名多重房源挂牌劳动会员牙东谈主。到面前为止，Rapattoni尚未公布关闭事件的具体类型或其他细节，也莫得说明个东谈主信息是否遭到了泄露。

这次系统中断明确提醒各人，一朝重要劳动被黑，多数依赖这项劳动的东谈主员或企业将靠近现实滋扰。

东谈主们纷纷采取各样措施以减少影响，房地产牙东谈主Peg King在一封电子邮件中写谈：“咱们被动多开面对面会议，在会上分享新挂牌房源、降价信息、买家需求等等。自然，针对个东谈主客户，咱们也会打电话谈这些事情。”

“根据Rapattoni官网，至少有34个来自12个州的其他房地产组织订阅了该公司的及时信息劳动。除了弗雷斯诺房地产经纪协会，这次攻击还影响了加州多重房源挂牌劳动系统，系统会员包括贝克斯菲尔德、湾区房地产信息劳动、旧金山房地产经纪协会等。弗雷斯诺房地产经纪协会以及许多其他受影响的多重房源挂牌劳动系统正在寻找惩处决议。Brian Domingos表示，“咱们正在手动将新址源和可带看日历提交给弗雷斯诺房地产牙东谈主协会东谈主员，他们会每小时更新信息，向员牙东谈主提供最新信息。”他还写谈。

BAREIS是一家牙东谈主领有的多重房源挂牌劳动商，专门为北加州房地产专科东谈主士提供劳动。BAREIS总裁兼首席实行官KB Holmgren表示，8月8日以来，他们提供的多重房源挂牌劳动数据莫得更新。她还莫得收到Rapattoni对于何时会更新数据的消息。

KB Holmgren写谈，“BAREIS依然采取了许多变通方法，让会员保持信息畅达。比如让会员探问包含其所在县多重房源挂牌数据的备选数据库。咱们依然建立了临时系统，用于发布新址源、可带看日历和牙东谈主参不雅行为。”

并不是扫数地区的房源挂牌劳动都受到影响，因为一些地区的数据供应商并不是Rapattoni。全好意思范围内特别百家多重房源挂牌劳动商。数据显示，Rapattoni提供了其中约5%的劳动。如果改日几天内无法收复劳动，这次系统中断可能会给牙东谈主、买家、佃农和卖家酿成更严重的影响。

参考贵府：https://arstechnica.com/security/2023/08/5-days-on-cyberattack-on-data-provider-stymies-realty-markets-throughout-the-us/

【阅读原文】

IT之家 8 月 17 日消息，据《科技日报》周二报谈，中国科学院自动化研究所的研究东谈主员得胜打造类脑领略智能引擎“智脉”，并全面开源、开放。

据报谈，“智脉”是一个基于类脑脉冲神经荟萃的 AI 与脑模拟诡计平台，以多范例生物可塑性旨趣为基础，解救全脉冲神经荟萃建模，具备脑启发的 AI 模子及脑功能和结构模拟才能。同期，该平台还将为探索面向通用 AI 的类脑智能研究提供基础支撑，并将助力探索自然智能的诡计本色和新一代 AI 的发展。

此外，“智脉”的关联研究恶果也依然以封面著作的款式在《Patterns》期刊上发表。（IT之家注：《Patterns》期刊是《细胞》（Cell）旗下主打生物学、化学和药学领域数据科学的子刊）

据论文通讯作者、中国科学院自动化研究所研究院曾毅表示，“智脉”旨在深入探究大自然的机灵怎样形成，并但愿通过其模拟乃至超越东谈主类的高等领略才能：如类东谈主见识学习、复杂决策、领略与情感共情以及谈德和利他等社会智能。

其称，该团队的永恒科学愿景，是通过诡计建模研究生物智能并研制结构与机制类脑、领略功能类东谈主的类脑 AI，最终兑现 AI 与东谈主和谐共生。

【阅读原文】

1、微信公众平台：开发者需同意小范例诡秘保护规则，才可调用诡秘接口

2、全球最大金矿和钼矿厂遭荟萃攻击：分娩受到部分影响

3、研究东谈主员表示macOS后台任务管制机制的过错

IT之家 8 月 14 日消息，微信公众平台运营中心宣布，自 2023 年 9 月 15 日起，对于触及处理用户个东谈主信息的小范例开发者，微信要求，仅当开发者主动向平台同步用户已阅读并同意了小范例的诡秘保护指引等信息处理规则后，方可调用微信提供的诡秘接口。

开发者源头需笃定小范例是否触及处理用户个东谈主信息，如触及，则需配置用户诡秘授权弹窗，且仅有在平台《小范例用户诡秘保护指引》中声明了所处理的用户个东谈主信息，才不错调用平台提供的对应接口或组件。

IT之家附诡秘合同确立举座经过：

一、确立《小范例用户诡秘保护指引》

开发者需在「小范例管制后台」确立《小范例用户诡秘保护指引》。

图源微信公众平台运营中心（下同）

二、填写《小范例用户诡秘保护指引》

惟有在指引中声明所处理的用户个东谈主信息，才不错调用平台提供的对应接口或组件。若未声明，对应接口或组件将无法调用得胜。

三、配置用户诡秘授权弹窗

微信提供了 wx.onNeedPrivacyAuthorization(function callback) 接口，意为用户触发了一个微信侧未记录过同意的诡秘接口调用，开发者可通过响应该事件选拔教唆用户的时机。

此外，微信还提供了 wx.requirePrivacyAuthorize(Object object) 接口，可用于模拟触发 onNeedPrivacyAuthorization 事件。小范例开发者可自行遐想教唆方式与触发时机。

四、如要进行代码提审，开发者需先自行声明是否有采集用户诡秘，如有，则需在提审页面-「用户诡秘保护确立」选拔“采集用户诡秘”

【阅读原文】

安全内参8月15日消息，好意思国矿业巨头解放港·麦克莫兰铜金公司（Freeport-McMoRan Inc. 简称FCX）在上周五宣布，正在观望一齐影响其信息系统的荟萃安全事件。公司表示，正在评估事件影响，积极采取惩处措施，并与“第三方人人和规则部门密切合作”。

解放港·麦克莫兰铜金公司总部位于好意思国亚利桑那州凤凰城的解放港·麦克莫兰中心，普通被称为解放港公司。

该公司在荟萃安全动态通报中称：“事件对分娩影响有限。”正在规划和实施过渡性惩处决议，以尽快保护信息系统的安全。公司将连接将安全和负背负的分娩实践放在首位。

据The Gila Herald报谈，一位匿名的解放港公司职工表示，攻击发生在上周四夜间，导致公司诡计机系统关闭。讥讽的是，这位工东谈主表示，公司荟萃自己就不剖析，反而有助于他们惩处荟萃攻击问题。公司几年前与微软合作，要求职工使用应用范例进行身份验证。然则，这个应用范例似乎的效果并不睬想。

动作世界上最大的钼分娩商、主要铜分娩商，解放港公司业务并不局限于南北好意思洲。他们还规划着全球最大金矿——位于印度尼西亚巴布亚省的格拉斯伯格矿。公司表示，如果事件酿成无间滋扰，改日运营会受到影响。

本年早些时候，加拿大铜山矿业公司发布运营动态通报，表示昨年12月份，铜山矿山和办公室的信息手艺系统收到恐吓软件攻击影响。该公司证明依然收复分娩；即便在停工期间，公司也永恒按照规划好的装运期间表，诈骗矿山库存向温哥华港输送铜精矿。

昨年6月，挟制谍报公司Mandiant证明并观望了一系列信息操作行动，将它们归因于席卷各大社交媒体的Dragonbridge行为。该行为针对的是澳大利亚稀土矿业公司莱纳斯稀土有限公司（Lynas Rare Earths Ltd.），主要品评该公司的环境阐扬，敕令东谈主们抗议该公司规划在好意思国德克萨斯州建设的稀土加工设施。

上周，微软荟萃物理系统团队研究东谈主员证明，CODESYS V3 SDK中存在多个高危过错。这是一款平庸用于编程和遐想可编程逻辑限定器（PLC）的软件开发环境。如果这些过错被诈骗，会影响版块号为3.5.19.0之前的扫数CODESYS V3软件，可能使OT基础设施靠近汉典代码实行和断绝劳动等攻击。

参考贵府：https://industrialcyber.co/mining-oil-gas/hackers-strike-mining-company-freeport-leading-to-limited-impact-on-production/

【阅读原文】

安全研究东谈主员发 Apple macOS后台任务管制机制存在过错，该机制可能被诈骗来绕过该公司最近添加的监控用具。Apple的后台任务管制用具专注于监视软件“持久性”。坏心软件不错遐想为顷然的，仅在开拓上顷然运行或直到诡计机再行启动为止。但它也不错被构建为更深入地建立自身并“对峙”标的，即使诡计机关闭并再行启动亦然如斯。当某些东西无间自行装置时，可能导致任何复杂的坏心软件都不错任意绕过监控。

【阅读原文】

1、攻击我国地震监测系统的好意思国黑手已被锁定

2、西洋联手澌灭防弹托管劳动提供商Lolek Hosted，数十万实体遭攻击

3、福特、林肯汽车信息文娱系统爆过错 官方表示不影响驾驶安全

聚中央政法委14日消息，针对7月26日武汉市济急管制局地震监测中心报警的荟萃攻击事件，国度诡计机病毒济急处理中心和360公司组成的联合观望组已取得新进展，发现了妥贴好意思国谍报机构特征的后门坏心软件。下一步联系机构将向外界公开表示好意思国政府一直处于高度守秘的某全球侦察系统，其对我国和世界各国国度安全和世界的和吉祥皆备组成严重安全挟制。

【阅读原文】

      欧洲和好意思国规则机构的联合行动澌灭了防弹托管劳动提供商Lolek Hosted。Lolek Hosted用于促进信息窃取坏心软件的分发，以及发起DDoS（漫衍式断绝劳动）攻击、管制臆造网店、管制僵尸荟萃劳动器和在全球范围内分发垃圾邮件。

     这场行动中波兰当局逮捕了五名行政东谈主员。嫌疑东谈主用“你不错在这里托管任何东西！”和“圮绝登录政策”等标语为该劳动作念告白，他们接受加密货币付款。

      欧洲刑警组织发布的公告中写谈：“本周，在卡托维兹地区检察官办公室的监督下，波兰中央荟萃坐法局对LolekHosted.net采取了行动，它的五名管制员被逮捕，扫数劳动器都被充公，LolekHosted.net不再可用。这是在欧洲刑警组织和好意思国联邦观望局（FBI）解救的一项复杂观望之后，在打击荟萃坐法方面取得的最新得胜。”

      据波兰警方称，Lolek Hosted劳动被用于针对数十万私东谈主实体和群众机构，他们遭受的损失高达数百万好意思元。

      应卡托维兹地区检察官办公室的请求，卡托维兹沃绍德地区法院对两名被拘留者采取了审前拘留三个月的谨防措施。其余3名被拘留东谈主采取了探员监督、财务担保和圮绝出境等谨防措施。

      该劳动的创始东谈主Artur Karol Grabowski（36岁）提供了“防弹”荟萃托管，通过允许客户使用伪善信息注册账户，不珍爱客户劳动器的互联网合同（IP）地址日记，为LolekHosted客户的坐法行为提供了便利，频繁改造客户端劳动器的IP地址，无视第三方对客户端的滥用投诉，并奉告客户端从规则部门收到的法律查询。域名“LolekHosted.net”于2014年注册，他允许客户托管“除儿童色情外的扫数内容”。

      据司法部称，NetWalker恐吓软件运营商也使用了该劳动。NetWalker恐吓软件的部署是针对约莫400个组织和企业的攻击，包括市政当局、病院、规则和济急劳动部门、学区、学院和大学，导致支付了5000多个比特币赎金（面前价值约1.46亿好意思元）。

      据估量，LolekHosted客户端使用这些服求实行了约莫50次NetWalker恐吓软件攻击。

      如果扫数罪名成立，格拉博夫斯基将靠近最高45年截留的处罚。告状书还奉告格拉博夫斯基，好意思国正在寻求充公2150万好意思元的坐法所得。面前，格拉博夫斯基仍然在逃。

【阅读原文】

福特申饬称，许多福特和林肯汽车所使用的YNC3信息文娱系统存在缓冲区溢露马脚，编号CVE-2023-29468，位于系统集成的WiFi子系统的WL18xx MCP驱动范例中，该过错允许WiFi范围内的攻击者使用特制的帧触发缓冲区溢出，但官方表示车辆驾驶安全不会受到影响。SYNC3是一款当代信息文娱系统，解救车载 WiFi 热门、电话勾搭、语音命令、第三方应用范例等。

【阅读原文】

1、开发下一代荟萃安全手艺！白宫发起东谈主工智能荟萃安全挑战赛

2、120，000封垂钓邮件窃取微软365账户，高管成主要标的

3、下一个 Netflix？迪士尼可能打击密码分享行动

本周四，在拉斯维加斯举行的BlackHat黑客大会上，拜登政府宣布启动为期两年的“东谈主工智能荟萃安全挑战赛”（AIxCC），探索怎样基于AI开发颠覆性的下一代荟萃安全惩处决议，用来保护好意思国最重要的软件，包括运行互联网和症结基础设施的诡计机代码。

用AI开发下一代荟萃安全手艺

“东谈主工智能荟萃安全挑战赛”由国防高等研究规划局(DARPA)牵头，Anthropic、谷歌、微软和OpenAI合作。两家公司将为参赛者提供业界最强健AI模子用于遐想全新的和颠覆性的荟萃安全决议，并为顺利者提供近2000万好意思元的高额奖金。为了确保平庸的参与和刚正的竞争环境，DARPA还将向想要参赛的小企业提供700万好意思元经费。

AIxCC的预选赛将于2024年春季举行，得分最高的部队（最多20支）将受邀参加DEFCON2024的半决赛。其中得分最高的部队（最多5支）将得到奖金并连接进入DEFCON2025举行的决赛阶段。决赛中得分前三名的选手将得到额外的奖金。

白宫表示，顶级参赛者将开发下一代荟萃安全惩处决议，为好意思国乃至全球荟萃安全市集带来风趣紧要的变革。

根据一份新闻稿，AIxCC挑战“将展示东谈主工智能的潜在上风，匡助保护通盘互联网和通盘社会使用的（症结基础设施）软件，从好意思国的电网到驱动日常生活的交通系统。”

用AI加强症结基础设施软件安全

白宫科技政策办公室主任阿拉蒂·普拉巴卡尔(AratiPrabhakar)在媒体吹风会上表示：“这项竞赛将吹响号召各种创意东谈主才积极参与加强好意思国企业和社会症结软件安全的军号。”

普拉巴卡尔指出，近二十年来，DARPA约束发起此类有奖挑战赛，以平庸眩惑“企业中有才华的东谈主参与竞争，惩处极其困难的问题。这是政府和私营企业共同奋力改变改日的发展方式之一，这亦然白宫要求DARPA和蔼荟萃安全东谈主工智能这一症结议题的原因。”

Linux基金会的一个项目开源安全基金会(OpenSSF)将担任挑战照顾人，这有助于确保顺利的软件代码立即得到使用，保护好意思国最重要的软件和好意思国东谈主民的安全。

从AI安全到安全AI

DARPA信息更动办公室项目司理PerriAdams表示，荟萃谨防者“的任务是保护令东谈主畏怯的手艺迷宫，而如今，他们莫得能够兑现大规模安全防护的用具。”尽管现在的IT手艺存在大量过错，但起初进的东谈主工智能手艺在保护代码方面依然展现出宏大后劲。”

新闻稿补充说，这一声明是“拜登-哈里斯政府更平庸承诺的一部分，旨在确保诈骗东谈主工智能的力量来应酬国度靠近的宏大挑战，并安全、负背负地开发东谈主工智能，以保护好意思国东谈主免受伤害和厌烦。”

上个月，拜登政府得到了七家最初东谈主工智能公司的自发承诺，以管制东谈主工智能模子的短期和经久风险。来自OpenAI、亚马逊、Anthropic、谷歌、Inflection、Meta和微软的代表在白宫签署了此项承诺。这些承诺包括确保居品在向公众推出之前是安全的——在发布之前对东谈主工智能系统进行里面和外部安全测试，以及管制东谈主工智能风险的信息分享。

本年早些时候，拜登政府宣布多家东谈主工智能公司承诺将在DEFCON2023上参与对大型语言模子(LLM)的寂然公开评估（妥贴负背负的表示原则）。这项行为将于本周晚些时候动手，这也将是荟萃安全行业初次对业界最顶尖的大语言模子进行公开评估，这成心于鼓动更安全、更透明的东谈主工智能开发。

此外，白宫表示正在制定一项行政命令，并将寻求两党立法，以匡助好意思国在全球负背负的东谈主工智能更动方面阐明引颈作用。

【阅读原文】

      据不雅察，EvilProxy向100多个组织发送了120000封垂钓电子邮件，以窃取微软365账户。Proofpoint珍视到，在往常五个月里，云账户泄露激增，令东谈主担忧。大多数迫切的标的是高等管制东谈主员。这场教导的标的是全球100多个组织，共影响150万职工。

      约莫39%的受害者是C级高管，其中17%是首席财务官，9%是总裁和首席实行官。Proofpoint发布的帖子中写谈：“黑客诈骗了EvilProxy，这是一种基于反向代理架构的荟萃垂钓用具，黑客不错窃取受MFA保护的凭据和会话cookie。”这种日益严重的挟制将复杂的中间敌手荟萃垂钓与先进的账户接纳方法相结合，以组织越来越多地接纳多要素身份验证。

      研究东谈主员不雅察到，在领有MFA保护的佃农中，账户接纳显贵加多，在往常一年中，至少35%的受损用户启用了MFA。大规模的黑客依赖于品牌师法、规避手艺和多才能感染链。

      ReSecurity研究东谈主员于2022年9月发现了EvilProxy，它与几位知名的地下行动者开发的荟萃垂钓用具包有一定计划，他们以前曾针对金融机构和电子商务部门。

      EvilProxy使用反向代理和Cookie注入方法绕过2FA身份验证——代理受害者的会话。此前，此类方法已在APT和荟萃间谍组织的有针对性的行为中出现，关联词，现在这些方法已在EvilProxy中得胜分娩，这隆起了针对在线劳动和MFA授权机制的攻击增长的重要性。

      该行为中使用的攻击链始于从伪造的电子邮件地址发送的荟萃垂钓电子邮件。黑客模拟已知的着实劳动，如Concur、DocuSign和Adobe。荟萃垂钓邮件包含指向坏心Microsoft 365荟萃垂钓网站的连络。点击镶嵌连络后，收件东谈主和会过YouTube或SlickDeals进行开放重定向，然后进行一系列重定向以避免被发现。

      最终，用户流量会被引导到EvilProxy荟萃垂钓框架。登录页起到反向代理的作用，师法收件东谈主品牌，并试图处理第三方身份提供商。如果需要，这些页面可能会请求MFA凭据，以便于代表受害者进行真实、得胜的身份验证，从而验证收罗到的凭据是否正当。

      研究东谈主员珍视到，迫切的流量取决于受害者的地舆位置。来自土耳其IP地址的用户流量被引导到正当网页，这种情况标明，这场教导背后的黑客总部似乎设在土耳其。

      回报终末总结谈：“黑客约束寻求新的方法来窃取用户的凭据并探问有价值的用户帐户。他们的方法和手艺约束适当新的安全居品和方法，如多要素身份验证。即使是MFA也不是应酬复杂挟制的灵丹仙丹，不错通过各样款式的电子邮件绕过MFA攻击。”

【阅读原文】

Hackernews 编译，转载请注明出处：

迪士尼可能成为第二家打击密码分享的公司。Netflix从本年齿首就动手这样作念了，而且至极得胜。

迪士尼首席实行官鲍勃·伊格尔在周三的财报电话会议上表示，该公司正在“积极探索惩处账户分享问题的方法”。

艾格表示，迪士尼“将在本年晚些时候动手用额外的条件和分享政策更新咱们的订阅合同”，并将在2024年“推出货币化的策略”。

业内人人表示，这只意味着迪士尼对流媒体平台Disney+和其他劳动上的密码分享进行打击。Netflix依然对用户向家庭除外的东谈主分享我方的账户行动收取额外用度。

令东谈主讶异的是，许多用户被Netflix挟制取消他们的会员履历，此举似乎奏效了。这家流媒体巨头在好意思国—其最大的市集，动手实施新规则后，新订阅量大幅加多。

在打击行动之前，Netflix估量全球有超过1亿户家庭存在分享账户行动。

艾格莫得表示有若干用户在迪士尼的频谈上作念一样的事情，但他补充说，这个数字很大。他还表示，该公司领有监控登录的“手艺才能”，并规划在2024年“惩处这个问题”。

迪士尼最近的订阅量大幅下跌，这粗略不错解释为什么该公司要从订阅者那里榨取更多的钱。

迪士尼+的全球订阅量从1.578亿下跌到第二季度的1.461亿，下跌了1170万，是上个季度记录降幅的两倍多。好意思国和加拿大用户减少了30万，用户数目降至4600万。

不外，大部分的订户损失来自印度。迪士尼+ Hotstar在印度的订户减少了24%，从5290万减少到4040万。

由于迪士尼失去了印度重要板球联赛—印度超等联赛(Indian Premier league)的转播权，这一降幅在想到之中。维亚康姆(Viacom)和印度信实工业(Reliance Industries)的合伙企业Viacom18以26亿好意思元的高价得到了这些权益。

【阅读原文】

1、DARPA启动为期两年的竞赛 以建立东谈主工智能驱动的荟萃谨防系统

2、航旅业地面震：常搭客积分系统曝严重过错

3、印度通过数据保护法案

好意思国国防部高等研究规划局（Defense Advanced Research Projects Agency，DARPA）规划发起一项为期两年的竞赛--东谈主工智能荟萃挑战赛（AI Cyber Challenge），动作白宫正在实施的提高软件安全性规划的一部分，该竞赛将要求参赛者诈骗东谈主工智能识别并确立软件过错。

东谈主工智能荟萃挑战赛将与东谈主工智能初创公司Anthropic和OpenAI以及微软和Google合作，让好意思国的参赛团队诈骗东谈主工智能来确保"重要软件"（特别是症结基础设施代码）的最好安全。Linux 基金会的开源安全基金会（OpenSSF）将担任挑战赛照顾人，1850 万好意思元的奖金将颁发给最优秀的参赛者。

DARPA 表示，它还将为最多七家但愿参赛的微型企业提供每东谈主 100 万好意思元的奖金。

"咱们但愿创建能够自动谨防任何类型软件攻击的系统，"DARPA 项目司理佩里-亚当斯（Perry Adams）在昨天的新闻发布会上对记者说，他是东谈主工智能荟萃挑战赛的构想者。"最近在东谈主工智能方面取得的恶果，如果以负背负的方式加以诈骗，我认为在保护咱们的代码安全方面具有超卓的后劲。"

亚当斯指出，症结软件中越来越多地使用开源代码。GitHub 最近的一项观望显示，高达 97% 的应用范例诈骗了开源代码，90% 的公司正在以某种方式应用或使用开源代码。

开放源代码的普及带来了更动的爆炸式增长。但同期也为苟且性的新过错和过错诈骗怒放了大门。Synopsys 公司 2023 年的一项分析发现，84% 的代码库至少包含一个已知的开源过错，91% 的代码库领有过时版块的开源组件。

Sonatype 的一项研究发现，2022 年，供应链攻击的数目同比增长了 633%。

昨年，拜登-哈里斯政府发布了一项行政命令，以提高软件供应链的安全性，并成立了一个荟萃安全安全审查委员会，负责分析荟萃攻击，并就改日的保护措施提议建议。2022 年 5 月，白宫联合开源安全基金会和 Linux 基金会，敕令在两年内提供 1.5 亿好意思元资金，以惩处隆起的开源安全问题。

但跟着东谈主工智能荟萃挑战赛的启动，拜登政府昭着认为东谈主工智能在荟萃谨防中不错阐明更大的作用。

亚当斯说："东谈主工智能荟萃挑战赛提供了一个契机，让咱们探索当荟萃安全和东谈主工智能领域的人人能够得到一套前所未有的跨公司笼统伙源时，会有哪些可能。如果咱们取得得胜，我但愿看到东谈主工智能荟萃挑战赛不仅能在这一领域产生下一代荟萃安全用具，还能展示怎样通过在这里捍卫东谈主工智能的症结基础来诈骗东谈主工智能改善社会。"

自然对于东谈主工智能协助荟萃攻击的后劲--举例通过生成坏心代码--的著作依然写了好多，但一些人人认为，东谈主工智能的向上不错使安全专科东谈主员更高效地实行安全任务，从而有助于加强组织的荟萃谨防。根据 Kroll 公司对全球生意首脑进行的一项观望，超过半数的生意首脑表示，他们正在最新的荟萃安全责任中使用东谈主工智能。

参加东谈主工智能荟萃挑战赛的团队将参加 2024 年春季的履历赛，得分最高的团队（最多 20 个）将受邀参加 2024 年年度 DEF CON 大会的半决赛。最多有 5 个团队将得到 200 万好意思元的奖金，并连接参加 2025 年 DEF CON 大会的决赛。终末一轮比赛的前三名将得到额外奖励，其中第别称将得到 400 万好意思元奖金。

扫数顺利者都会被要求开源他们的东谈主工智能系统--但不是必须。

东谈主工智能荟萃挑战赛以白宫之前在本年的 EF CON 上宣布的模子评估为基础，该评估旨在笃定雷同 OpenAI 的 ChatGPT 的大型语言模子可被坏心诈骗的方式，如果命运好的话，还能找到惩处这些过错的方法。此外，该评估还将斟酌这些模子怎样与拜登-哈里斯政府的"东谈主工智能权益法案"蓝图和好意思国国度程序与手艺研究院的东谈主工智能风险管制框架中最近概述的原则和实践保持一致。

【阅读原文】

Points.com是全球航空公司和栈房常搭客积分规划的主要数字基础设施提供商之一。近日，安全研究东谈主员发现Points.com的API中存在可诈骗过错，攻击者可诈骗这些过错泄漏客户数据、窃取客户的“真心货币”（举例里程），致使接纳Points全球管制帐户得到对通盘真心度规划的限定权。

知名航空公司和栈房普通有我方的常搭客或所谓真心度（积分）奖励规划，许多此类规划的数字基础设施（包括达好意思航空的“飞凡里程常客规划”、好意思联航的平坦大路(MileagePlus)、希尔顿的荣誉客会和万豪旅享家）都搭建在Points.com的平台上，后端系统和劳动套件包括API也都由Points.com提供。

黑客可授予任何用户无穷里程

研究东谈主员IanCarroll、ShubhamShah和SamCurry在本年3月至5月期间向Points回报了一系列严重过错，而后扫数过错均已得到确立。

其中一个过错允许研究东谈主员从PointsAPI基础设施的一个部分遍历到另一个里面系统，进而能够查询奖励规划客户订单。该系统包含2200万条订单记录，其中包含客户奖励帐号、地址、电话号码、电子邮件地址和部分信用卡号码等数据。Points.com对系融合次不错复返的响应数目进行了限定，这意味着攻击者无法立即转储通盘数据库。但研究东谈主员指出，跟着期间的推移，查找特定个东谈主或冉冉从系统中吸取数据是可能的。

研究东谈主员发现的另一个过错是API配置问题，攻击者可能仅凭姓名和会员编号即可为任何用户生成帐户授权令牌。这两条数据不错来自以前的数据泄漏事件，也不错通过诈骗第一个过错获取。有了这个令牌，攻击者就不错接纳客户帐户，并将里程或其他奖励积分逶迤给我方，从而“掏空”受害者的帐户。

研究东谈主员还发现另外两个雷同的过错，其中一个仅影响维珍航空的VirginRed常搭客规划，另一个仅影响好意思联航的平坦大路常搭客规划。（Points.com依然确立了这两个过错）

最重要的是，研究东谈主员在Points.com全球管制网站中还发现了一个过错，其等分派给每个用户的加密cookie使用了易于猜测的诡秘（“诡秘”一词自己，即secret）进行加密，这使得研究东谈主员不错任意解密Points.com的cookie，再行分派网站的全局管制员权限，再行加密cookie，并可开启“天主模式”探问任何积分奖励系统，致使授予帐户无穷里程或其他自制。

行业分享平台成黑客要点标的

“令我讶异的是，世界上简直每个大品牌都使用Points的真心度积分系统，”Shah说谈：“从这少许来看，我很明晰，发现Points系统中的过错将对每家使用其真心度后端的公司产生连锁效应。我信赖，一朝其他黑客坚强到以Points为标的意味着他们能在真心度系统上窃取无穷的积分，Points.com将成为热门攻击标的。”

Points发言东谈主CarrieMumford在一份声明中表示：“动作咱们正在进行的数据安全行为的一部分，Points最近与一群熟练的安全研究东谈主员合作，研究系统中潜在的荟萃安全过错。”“莫得凭证标明这些信息存在坏心或滥用行动，安全研究东谈主员探问的所特别据均已被殉国。与任何负背负的表示一样，Points在得知该过错后立即采取行动，惩处并确立所回报的问题。咱们的接济措施依然通过第三方荟萃安全人人的审查和验证。”

发现过错的研究东谈主员证实，Points的确立措施灵验，而且Points在惩处这些表示问题方面反应相称积极且协调。该小组之是以发掘Points的系统过错，部分原因是经久以来对真心奖励规划的里面运作感意思，其中一位安全研究东谈主员本东谈主致使规划着一个优化里程和销售机票的旅游网站。该事件也从侧面标明安全研究东谈主员动手将和蔼要点放在那些向繁密企业或机构提供分享基础设施的行业平台上。

与此同期，越来越多的犯警分子也动手将行业症结业务平台动作要点标的，进行供应链攻击并开展间谍行为，或发现平庸使用的软件和开拓中的过错并诈骗它们进行荟萃坐法攻击。

“咱们正在奋力寻找高影响力的系统和平台，因为这些平台一朝遭到攻击者入侵，可能会酿成紧要损失，”Curry说：“我认为好多公司掌执了超过预期的海量数据和系统，但他们不一定会谨慎评估我方的数据安全才能。”

参考连络：

https://samcurry.net/points-com/

【阅读原文】

印度议会周三通过了数据保护法案，政府称需要该法案来监管大型科技公司并保护公民，但维权组织称该法案赋予新德里方面过大的权力。法案规则公司在收罗用户的个东谈主数据之前需征得同意，并规则公司仅能将数据用于既定主张。该法案允许政府限定将数据传输到印度境外，并对违背规则的公司进行处罚。数字平台维权组织 Access Now 指出，该法案并未设立寂然的监管机构，而且让政府不消盲从该法案规则的义务。其中一项条件加多了政府闭塞荟萃信息的才能，另一项条件则在一定程度上减轻了让公民从群众机构获取信息的透明度法律。

【阅读原文】

1、黑帽大会焦点：风险投资减少、生成式AI炒作周期终结？

2、“每天100万克朗”挪威挟制重罚Meta

3、Google Messages应用现在将默许使用 RCS 并对群组聊天进行加密

【编者按】本年是Black Hat USA举办的第26个年头，Black Hat USA重返拉斯维加斯曼德勒湾会议中心，举办为期6天的行为。该行为将以为期四天的专门荟萃安全培训（当地期间8月5日至10日）拉开帷幕，课程涵盖扫数技能水平。为期两天的主题会议（8月9日至10日）将包括100多个精选演讲、数十个开源用具演示、丰富的商务、荟萃和社交行为等等。

以下内容摘编自SecurityWeek的特约裁剪Ryan Naraine。

荟萃安全行业本周将在经济紧缩、杂沓词语和新生的状态下赶赴拉斯维加斯参加黑帽大会。东谈主工智能的出路能否克服炒作周期，信得过惩处安全问题？黑帽大会也曾是无可争议的最具冲破性手艺安全研究的中心，但现在不再像老前辈眼中那样享有盛誉。关联词，尽管“黑客夏日营”失去了光彩并冉冉变成了荟萃安全企业居品的宣传与兜销，但它仍然是荟萃安全情状的重要晴雨表，因为联系裁人和风险投资资金减少的传言与零日过错、APT攻击和最新的黑客魔法。

2023年黑帽大佬将于本周在拉斯维加斯开幕，承诺将举行一系列主题演宣战手艺会议，反应最新的挫折和谨防趋势，但荟萃安全业务将成为焦点，因为堕入窘境的初创公司将通过闪亮的展位和后期手艺争夺珍见识。

总体而言，荟萃安全正处于战抖和杂沓词语的状态。该行业遭受了大规模裁人的打击，致使在念念科、微软和谷歌等现款充裕的公司亦然如斯。LinkedIn上，带有#OpenForWork徽章的个东谈主贵府像片昭着增多，而好意思国政府则连接哀叹荟萃安全技能短缺。

风险投资资金减少

在风险投资融资方面，投资大幅放缓，特别是对于中后期初创企业而言，而来回价值无间下跌。追踪风险投资行为的网站 Crunchbase的数据显示，本年第二季度对荟萃安全公司的投资降至略高于16亿好意思元，比昨年同期下跌了63%，其时初创公司的融资额为43亿好意思元。

Crunchbase表示：“这些数字只是最新的一次提醒，提醒咱们风险投资环境在短短24个月内发生了何等宏大的变化。”他指出，投资数字秀美着2019年第四季度以来的最低点，其时初创公司筹集了不到16亿好意思元。 

Crunchbase数据与Pinpoint Search Group的诡计完毕同步，显示荟萃安全初创公司的资金同比下跌了55%，DataTribe 的研究申饬称，收入盘算推算欠安、未盈利的初创公司“将需要寻找其他活命方式”。

尽管融资出路昏黑，但仍有风险投资公司对IAM、软件供应链和云安全细分领域进行了额外大的早期押注。与此同期，念念科动手收购安全初创公司，投资者表示，经济环境迫使企业家对估值预期“愈加现实”。  

这些经济现实将成为Black Hat的前沿和中心，因为预算削减迫使营销团队在共事被革职的情况下小心翼翼地隐藏超支的情况。在展会现场，展位预计会更小，况兼莫得腾贵的花哨的东西，而诸如CISO峰会等会外行为的议程则以荟萃安全经济学为特质。

生成式东谈主工智能炒作

尽管如斯，曼德勒湾不乏宣称依然建立了世界上最伟大的平台来惩处最大安全问题的供应商。从我收件箱中的公关宣传来看，安全供应商依然收拢了ChatGPT的炒作，推广“东谈主工智能驱动”的新集成、用具和功能。

自然东谈主工智能的炒作可能很难被接受，但安全携带者仍然看好东谈主工智能在荟萃安全领域创造跨越式手艺的出路。 

Jason Chan是一位资深安全主管，终末一次在Netflix负责IT和安全责任，他亦然这一不雅点的信徒之一。“我认为现在咱们看到了好多相称简略的遵守提高。“匡助我更好地写这个东西”，或者“望望这个东西，创建一些测试数据”，一些相称相称简略的用例，”陈在最近的一次采访中告诉我。

“如果我尝试设想，比如说，十年后，我想你会看到更多信得过智能的代码生成，你动手将诡计机视为软件工程师。诡计机将为你构建代码。”现担任风险投资机构Bessemer Venture Partners照顾人的Chan说谈。 

“我很欢乐看到BlackHat行将推出的居品，我认为您依然看到安全公司添加了ChatGPT集成，以使事情变得愈加得手，我期待看到一些相称酷爱的自动化和分类手艺来信得过加速事情的进展，”陈补充谈。

GitHub首席安全官兼工程高等副总裁Mike Hanley预计东谈主工智能将成为本年黑帽大会的一大主题。

“这将是黑帽大会的一个大主题，我认为这将是改日几年的一个大主题。如果你望望东谈主工智能在现实世界中的实施进展，我不错告诉你，Copilot在GitHub上的需乞降意思正在荣华发展，这相称棒。但当你设想其他用例时，我的风趣是，我确凿很新生这对演叨猎东谈主、其他分娩力需求、其他安全建议和功能意味着什么，”汉利宣称。

“这种体验不会因基于聊天的互动而罢手。我认为这是东谈主们不错与东谈主工智能互动并从中受益的一种方式。”GitHub安全主管补充谈。 

“能够提议诸如‘这段代码中有若干演叨？’之类的问题。或“告诉我这段代码的历史以及惩处弱势需要多经久间。” 我的风趣是，在改日几年内，通过不同的东谈主工智能体验，可能会得到一系列问题的谜底。”

【谈天不雅点】

组织行动、心理学和领略科学熟识理查德·博亚茨斯 (Richard Boyatzis) 博士认为：“你需要悔恨的和蔼才能活命，但积极的和蔼才能荣华发展。”这有助于解释大量对于生成式东谈主工智能（普通被深切为ChatGPT、Google Bard、Microsoft Bing Chat等）的好、坏与丑陋。不可否定，生成式东谈主工智能应用出路广阔，但仍处于早期阶段。现在念念考好、坏和丑陋是一个过程，它为咱们提供了“活命的悔恨焦点，以及荣华发展的积极焦点”。

【阅读原文】

挪威监管机构Datatilsynet7日表示，如果社交媒体脸书母公司Meta在8月14日前不成采取灵验措施，妥善惩处用户诡秘泄露问题，将对其处以每天100万挪威克朗（约合70万元东谈主民币）的罚金。

此前，Meta被控私行为用挪威用户位置定向投放告白。Datatilsynet随后要求Meta进行整改，并圮绝该公司诈骗旗下社交平台投放告白。Datatilsynet于7月17日宣布，Meta若无法得意该机构监管要求，惩处用户诡秘泄露问题，将被处以罚金。

报谈称，如果关联处罚措施成效，Datatilsynet不错将罚金决定提交给欧洲数据保护委员会，并推动其成为永久性罚金，这可能导致处罚范围扩大到欧洲其他地区。（李昊霖）▲

【阅读原文】

Google今天宣布，将通过改进 RCS（富通讯劳动）使其"Google信息"（Messages by Google）应用范例愈加安全。RCS 是一种旨在取代短信的合同，其功能更接近苹果 iMessage 的高等功能。该公司表示，现在将把 RCS 动作"信息"应用新用户和现存用户的默许确立。此外，群组聊天的端到端加密现在已全面推广到扫数 RCS 用户。

后者在本年经过早期测试后推出了开放测试版，但直到现在才全面推出。Google表示，通过这次更新，用户在信息中的扫数对话，无论是一双一照旧群聊，现在都将保持奥密。

自2019年向好意思国Android用户推出RCS以来，Google一直在奋力向苹果施压，但愿苹果在我方的信息劳动iMessage中接纳这项手艺。昨年，Google致使推出了一个网站，解释为什么 RCS 能让破钞者受益，并指出："这与气泡的表情无关。而是暗昧的视频、中断的群聊、丢失的已读收条和打字指令器、无法通过 Wi-Fi 发短信等等"。

Google接着申斥苹武断绝接纳当代短信程序，毁伤了我方客户的体验，但愿将破钞者拉入我方的构兵中。

关联词，苹果并不像Google所说的那样，只是在接纳当代手艺方面过时了。它知谈，iMessage 是生态系统锁定的最大来源之一。对于苹果用户，尤其是年青东谈主来说，绿色气泡并不受迎接。此外，正如该公司在法庭文献中表示的那样，它对制作 Android 版 iMessage 莫得意思，因为它认为这对公司的伤害大于匡助。

苹果公司首席实行官蒂姆-库克（Tim Cook）致使曾在一次会议上被问及，苹果公司是否会接纳 RCS，以便用户的母亲能更好地看到他发送给她的视频。对此，他回答说："给你姆妈买一部 iPhone吧。"

无论怎样，Google在鼓动 RCS 方面的奋力仍在连接。

Google表示，现在扫数用户都将默许启用该功能，除非他们之前在确立中关闭了 RCS。匡助文档显示，在今天推出之后，用户还不错通过在"确立"中关闭 RCS 来连接选拔退出。

启用 RCS 后，用户不错诈骗更高等的信息功能，如分享高清像片和视频；搜检打字教唆；获取已读回执；通过出动数据和 Wi-Fi 发送信息；重定名、裁剪和从群聊中删除我方；以及使用端到端加密--iMessage 用户多年来一直领有这些功能。

【阅读原文】

1、国度网信办就《东谈主脸识别手艺应用安全管制规则（试行）》公开征求意见

2、英国内阁：荟萃领域风险宏大，改日两年关基设施或发生紧要荟萃攻击

3、Facebook企业账号危机:Salesforce过错成黑客入侵新通谈

据“网信中国”微信公众号8月8日消息，为范例东谈主脸识别手艺应用，根据《中华东谈主民共和国荟萃安全法》《中华东谈主民共和国数据安全法》《中华东谈主民共和国个东谈主信息保护法》等法律法例，国度互联网信息办公室草拟了《东谈主脸识别手艺应用安全管制规则（试行）（征求意见稿）》，现向社会公开征求意见。《征求意见稿》共二十五条，要点针对群众时局使用东谈主脸识别手艺的场景进行了规则。

【阅读原文】

安全内参8月8日消息，英国政府在近期发布的《2023年国度风险登记回报》中发出申饬，严重荟萃攻击挟制正靠近国度症结基础设施。

这份笼统回报涵盖了坏心和非坏心风险，共列出了9大领域的89种风险，其中荟萃领域仅次于恐怖主义，位列第二。回报中，英国面对的潜在荟萃挟制出路令东谈主担忧。

该回报的主要依据是英国政府里面的国度安全风险评估。回报显示，改日两年内，症结基础设施有高达5-25%的概率遭逢紧要荟萃攻击。

回报强调，荟萃攻击风险日趋复杂化，可能会对多个经济领域酿成紧要毁伤。具体来说，回报笃定了一系列可能易受荟萃攻击挟制的标的。这包括自然气基础设施、电力基础设施、民用核设施、燃料供应基础设施、政府机构、卫生保健系统、交通运载系统和电信系统。

此外，回报还强调了国度行动者对英国金融基础设施（如零卖银行）的潜在荟萃挟制。

回报预测的大多数攻击，会驾御、窃取或殉国对症结系统运营至关重要的数据。如果攻击标的是政府，还存在苟且公众信任和滋扰选举的附加风险。

此外，回报还将东谈主工智能标记为“经久风险”，引入了这一全新和蔼维度。回报指出，东谈主工智能提议了无间挑战，可能会影响经济、社会和国度安全。

这也秀美着英国初次将东谈主工智能视作计谋风险。英国政府认为东谈主工智能具有深远的影响，可能会加重演叨信息传播并导致经济竞争力下跌。因此，英国政府规划召开全球峰会，惩处东谈主工智能安全问题。

尽管回报内容较为全面，但一些品评东谈主士表示，回报对东谈主工智能风险的评估的缺少细节。反对党议员Darren Jones品评称，该回报仅简要提到了东谈主工智能，申斥部长们未能制定应酬东谈主工智能危急的具体规划。Jones建议在国度安全委员会内设立一个东谈主工智能小组委员会，负责监测东谈主工智能关联风险。

英国副首相Oliver Dowden赞好意思这份回报是有史以来最全面的风险评估。他强调，评估回报提供的见解，有助于政府过火合作伙伴制定强有劲的规划和应酬措施，从而确保国度安全。

【阅读原文】

      近期黑客挟持企业的facebook帐号的攻击行动，有不少是通过脸书告白，打着提供生成式AI机器东谈主应用范例的理论，散布窃资软件来进行，但最近出现了更为复杂的手法。有东谈主透过云表CRM平台Salesforce的过错下手，并将垂钓网站架设于脸书脸书内嵌应用范例平台的域网域上，从而隐藏系统的侦测，并骗取受害组织的脸书帐号。

      云平台的系统管制用具有可能遭到滥用，因此成为黑客的“木马范例”， 研究东谈主员揭露诈骗AWS EC2系统管制用具System Manager的攻击手法，攻击者有可能透过这项用具管制其他组织的AWS EC2实体。

      已被用于攻击Citrix NetScaler系统存在的零时差过错CVE-2023-3519，有研究东谈主员揭露初顺次查完毕，他们找到640台劳动器已被部署了后门，并强调这可能仅是受害范围的冰山一角。

     Guardio揭露CRM平台Salesforce的过错PhishForce，黑客借此过错绕过该CRM平台的寄件东谈主验证措施，并滥用脸书内嵌应用范例平台，来大规模发送垂钓邮件。

      研究东谈主员指出，黑客滥用了Email-to-Case的功能，该功能主淌若让组织能将客户寄入的电子信件调治为Salesfoce系统传递的处理工单，但黑客将其用来确立新的责任经过，进而限定Salesforce产生的电子邮件信箱，并产生 salesforce.com 域的里面信箱，且将其确立为组织全局的电子邮件信箱，然后用于发送垂钓邮件， 而能绕过Salesforce的验证措施，以及组织确立的邮件安全系统。

      在其中一齐攻击行动里，黑客假借Meta的理论，宣称收信东谈主的脸书帐号出现额外，一朝依照指令点选信中连络，就会被带往架设在脸书内嵌应用范例平台（apps.facebook.com）的垂钓网页。

      对此，Salesforce获报后入辖下手修补过错，Meta移除垂钓网页，并入辖下手观望黑客怎样滥用该脸书内嵌应用范例平台。

【阅读原文】

1、攻击者使用动态代码加载来绕过Google Play商店的坏心软件检测

2、Facebook企业账号危机:Salesforce过错成黑客入侵新通谈

3、CBIZ公司被黑导致好意思国政府承包商Serco上万东谈主信息泄露

谷歌荟萃安全行动小组（GCAT）表示，发现存攻击者正在使用一种称为版块限定的手艺来逃匿坏心软件检测，该手艺旨在绕过Google Play商店的坏心代码检测功能。GCAT称，攻击者源头会在谷歌商店中上传无害的安卓应用范例，随后诈骗动态代码加载（DCL）手艺从攻击者限定的劳动器推送更新以在最终用户开拓上提供坏心代码来兑现的，从而灵验地将应用范例变成后门。谷歌建议Android用户仅从受信任的商店下载应用范例，并使开拓的软件保持最新状态。

【阅读原文】

近期黑客挟持企业的facebook帐号的攻击行动，有不少是通过脸书告白，打着提供生成式AI机器东谈主应用范例的理论，散布窃资软件来进行，但最近出现了更为复杂的手法。有东谈主透过云表CRM平台Salesforce的过错下手，并将垂钓网站架设于脸书脸书内嵌应用范例平台的域网域上，从而隐藏系统的侦测，并骗取受害组织的脸书帐号。

      云平台的系统管制用具有可能遭到滥用，因此成为黑客的“木马范例”， 研究东谈主员揭露诈骗AWS EC2系统管制用具System Manager的攻击手法，攻击者有可能透过这项用具管制其他组织的AWS EC2实体。

      已被用于攻击Citrix NetScaler系统存在的零时差过错CVE-2023-3519，有研究东谈主员揭露初顺次查完毕，他们找到640台劳动器已被部署了后门，并强调这可能仅是受害范围的冰山一角。

     Guardio揭露CRM平台Salesforce的过错PhishForce，黑客借此过错绕过该CRM平台的寄件东谈主验证措施，并滥用脸书内嵌应用范例平台，来大规模发送垂钓邮件。

      研究东谈主员指出，黑客滥用了Email-to-Case的功能，该功能主淌若让组织能将客户寄入的电子信件调治为Salesfoce系统传递的处理工单，但黑客将其用来确立新的责任经过，进而限定Salesforce产生的电子邮件信箱，并产生 salesforce.com 域的里面信箱，且将其确立为组织全局的电子邮件信箱，然后用于发送垂钓邮件， 而能绕过Salesforce的验证措施，以及组织确立的邮件安全系统。

      在其中一齐攻击行动里，黑客假借Meta的理论，宣称收信东谈主的脸书帐号出现额外，一朝依照指令点选信中连络，就会被带往架设在脸书内嵌应用范例平台（apps.facebook.com）的垂钓网页。

      对此，Salesforce获报后入辖下手修补过错，Meta移除垂钓网页，并入辖下手观望黑客怎样滥用该脸书内嵌应用范例平台。

【阅读原文】

据外媒日前报谈，好意思国政府软件经办商Serco Group公司的好意思洲分公司Serco Inc表示了一齐触及上万东谈主的数据泄露事件。Serco的客户包括好意思国国土安全部、司法部、国务院、好意思国谍报机构和多个武装军队。本次数据泄露源于其福利管制提供商CBIZ的 MoveIT托管文献传输(MFT)劳动器遭到攻击。攻击始于5月份，CBIZ在6月5日采取措施缓解该事件，Serco于6月30日获悉这次攻击和泄露事件。

【阅读原文】

1、半数东谈主工智能开源项目援用存在过错的软件包

2、新式数据盗窃坏心软件Rilide被曝光 针对Chrome浏览器

3、黑客诈骗电邮劳动过错向Facebook用户发起垂钓攻击

根据EndorLabs的数据，开源在AI手艺堆栈中阐明着越来越重要的作用，但大多数项目(52%)援用了存在已知过错的易受攻击的依赖项。

EndorLabs在最新的《软件依赖管制状态回报》宣称，在发布仅五个月后，ChatGPT的API就被超过900个npm和PyPI软件包调用，其中70%是全新的软件包。

关联词，EndorLabs申饬说，任何开源项目，都必须疼爱和管制与易受攻击的依赖项关联的安全风险。

OstermanResearch首席分析师MichaelSampson表示：“EndorLabs的这份回报讲解了气候无穷的东谈主工智能手艺的安全性并未跟上其发展门径。”

可怜的是，企业不仅低估了开源依赖项中东谈主工智能API的风险，而且还低估了安全敏锐API的风险。

回报称，超过一半(55%)的应用范例在其代码库中调用了安全敏锐API，如果包含依赖项，这一比例将上升至95%。

EndorLabs还申饬说，ChatGPT等大型语言模子(LLM)手艺在对可疑代码片断的坏心软件后劲进行评分方面阐扬欠安。完毕发现，OpenAIGPT3.5的准确率仅为3.4%，而VertexAItext-bison的阐扬也好不到那边去，为7.9%。

“这两种模子都会产生大量误报，这需要手动审查责任，并阻挠自动奉告相应的范例包存储库以触发范例包删除。也即是说，模子似乎照实正在改进，”回报指出。

“这些发现说明，面前将大语言模子用于安全敏锐用例的难度很大。大语言模子笃信不错匡助东谈主工审核东谈主员，但即使评估准确率不错提高到95%致使99%，也不足以兑现自主决策。”

回报指出，开发东谈主员可能会破耗大量期间确立代码中的过错，而这些（依赖项的）过错致使莫得在他们的应用范例中使用。

回报宣称，71%的典型Java应用范例代码来自开源组件，但应用范例仅使用了这些软件包中的12%的代码。

“未使用的代码中的过错很少可被诈骗；如果能了解通盘应用范例中哪些代码是可探问的，企业不错摈斥或调低高达60%的确立责任的优先级。”回报指出。

【阅读原文】

近日，安全研究东谈主员发现了一种名为Rilide的新式坏心软件，该坏心软件以基于Chromium的荟萃浏览器为标的，窃取敏锐数据并窃取加密货币。研究还发现，该坏心软件功能较为强健，不错禁用其他浏览器加载项、收罗浏览历史记录cookie、收罗登录凭据、截取屏幕截图以及注入坏心脚本以从各样加密货币来回所索取资金。

【阅读原文】

据外媒报谈，黑客组织正诈骗Salesforce电子邮件劳动和SMTP劳动器中的过错，针对一些特定的Facebook账户发起复杂的荟萃垂钓行为。此前，Guardio Labs的分析师发现该过错问题，随后向Salesforce回报并匡助进行了过错确立，关联词Facebook游戏平台上的过错问题仍悬而未决，Meta的工程师仍在奋力寻找现存缓解措施不成灵验阻挠攻击的原因。

【阅读原文】

1、亚马逊云新过错曝光 SSM代理成汉典探问木马

2、微软称俄黑客组织针对多国政府机构发起荟萃垂钓攻击

3、国际船舶制造巨头因荟萃攻击损失超6.1亿元

3日消息，Mitiga的安全研究东谈主员在亚马逊云平台（AWS）中发现了一种新的后渗入过错，能允许 AWS 系统管制器代理（SSM 代理）动作汉典探问木马在 Windows 和 Linux 环境中运行。Mitiga建议企业从防病毒惩处决议关联的允许列表中删除 SSM 二进制文献，以检测任何额外行为迹象，并确保 EC2 实例响应仅来自使用系统管制器臆造特有云 (VPC) 端点的原始 AWS 账户的命令。

【阅读原文】

近日，微软称有一个与俄罗斯对外谍报局联系的名为APT29的黑客组织，针对全球数十个组织包括政府机构等进行了荟萃垂钓攻击。黑客诈骗被入侵的 Microsoft 365 佃农创建了新的手艺解救主题域并发送手艺解救钓饵，试图诈骗社交工程策略欺骗标的组织的用户。根据面前观望显示，这次攻击行为影响了全球约40个组织。况兼这次攻击行为标明该黑客组织将政府、非政府组织(ngo)、IT劳动、手艺、闹翻制造业和媒体部门等确立成了特定间谍标的。

【阅读原文】

安全内参8月3日消息，好意思国船舶制造巨头宾士域集团（Brunswick Corporation）的首席实行官上周向投资者表示，公司因一次荟萃安全事件蒙受高达8500万好意思元（约合东谈主民币6.1亿元）的损失。

这家领特别十亿好意思元财富的船舶制造公司在2021年创造了近60亿好意思元的收入，业务广博24个国度，是海洋幽闲产业的全球携带者。

6月13日，宾士域集团宣布遭受了一次荟萃攻击，其系统和部分设施受到影响。官方并未证明这是一次恐吓软件攻击，但他们表示在人人和规则部门处理该事件期间，已被动罢手部分地区的运营。

在上周的财报电话会议上，首席实行官Dave Foulkes向投资者和董事会成员表示，这次攻击对公司第二季度的财务瞻望带来了烧毁性的影响。

2023年第二季度财报电话会议纪要

Foulkes解释谈，“信息手艺安全事件”导致“第二季度的财务完毕不足最初预期”。宣布攻击事件后，该公司破耗了九天期间收复正常运营。对宾士域这样规模的制造企业来说，这是宏大的期间损失。

Foulkes表示：“信息安全事件滋扰了咱们的业务，特别是鼓动和发动机零部件及配件业务。由于围聚季度末尾，咱们很难在归并季度内完全收复。”

“咱们有契机收复各项业务损失的部分产量和分销量，这将在一定程度上抵消第二季度的损失。关联词，高功率外航发动机的分娩损失将难以弥补，因为下半年的分娩规划依然排满。

Foulkes估量，这次攻击将使该公司全年损失6千万至7千万好意思元，其中第二季度的收入损失高达8500万好意思元。

首席财务官Ryan Gwillim表示，这次荟萃攻击对宾士域在2021年收购的Navico船舶电子公司酿成了紧要影响。

除鼓动和发动机零部件业务，其他部门的大部分财务损失来自Navico的停工。Gwillim估量，该部分损走嘴为1300万好意思元。

面前尚无黑客团体或恐吓软件团伙宣布对宾士域攻击事件负责。宾士域的最大客户之一是规则机构。该公司同期也向生意用户提供引擎和微型船只。

这次荟萃攻击反应了黑客和恐吓软件团伙攻击制造业公司的大趋势。

Dragos统计各行业工业限定系统（ICS）恐吓软件攻击数据

荟萃安全公司Dragos表示，在2023年第二季度追踪的253起恐吓软件事件中，有177起触及制造业公司。

【阅读原文】

1、Meta 发布开源 AI 用具 AudioCraft，用户可通过文本教唆创作音乐、音频

2、网信办：全面升级“青少年模式”为“未成年东谈主模式”

3、微软 Win11 Beta Build 22621.2129（KB5029359）更新，新增 Copilot 预览版

IT之家 8 月 3 日消息，好意思国东部期间 8 月 2 日，Meta 开源了一款生成式 AI 用具 AudioCraft，可匡助用户通过文本教唆创作音乐和音频。

根据 Meta 官方先容，AudioCraft 包含了三个中枢组件：

MusicGen：使用 Meta 领有 / 特别授权的音乐进行熟识，根据文本教唆生成音乐。

AudioGen：使用群众音效进行熟识生成音频或扩展现存音频，后续还可生成环境音效（如狗叫、汽车鸣笛、木地板上的脚步声）。

EnCodec（改进版）：基于神经荟萃的音频压缩解码器，可生成更高质地的音乐并减少东谈主工思绪，或对音频文献进行无损压缩。

该用具经过开源之后，关联研究东谈主员和从业东谈主员不错使用我方的数据集熟识模子。官方宣称 AudioCraft 系列模子能够经久剖析地生成高质地音频，而且易于使用，能够为音乐家和声气遐想师“提供灵感”，匡助他们快速集念念广益，并“以新的方式迭代他们的作品”。

另据IT之家此前报谈，本年 6 月份 Meta 开源了 AI 语言模子 MusicGen，该模子基于谷歌 2017 年推出的 Transformer 模子。如同模子称号所示，MusicGen 主要用于音乐生成，它不错将文本和已有的旋律升沉为好意思满乐曲。

【阅读原文】

2日消息，为进一步强化未成年东谈主荟萃保护，立足未成年东谈主荟萃保护新时局新要求，国度网信办研究草拟了《出动互联网未成年东谈主模式建设指南（征求意见稿）》，将全面升级“青少年模式”为“未成年东谈主模式”，推动模式覆盖范围由 App 扩大到出动智能末端、应用商店，兑现软硬件三方联动，粗拙用户一键进入模式，为未成年东谈主营造安全健康的荟萃环境。

【阅读原文】

IT之家 8 月 3 日消息，微软发布了最新的 Windows 11 预览版，为内测东谈主员带来了多项新功能和改进。

其中，Windows 11 Dev 23516 加多了 HDR 配景解救、语音探问扩展、更多自然语音的屏幕阅读器等功能。Windows 11 Beta 22631.2129（KB5029359）则包含了部分 Dev 版的新功能，同期还向部天职测东谈主员推出了 Windows Copilot 预览版。这是一款东谈主工智能助手，不错根据用户的需乞降风俗提供智能建议和劳动，这也意味着这项功能有望在本年晚些时候跟着 Windows 11 版块 23H2 一齐发布。

IT之家附 Windows 11 Beta 版 22631.2129 的主要变化：

Windows Copilot 预览版：这款新的东谈主工智能助手正在向部分 Beta 频谈的内测东谈主员推出。

Dev Drive：开发者不错使用这个功能创建一个存储卷（最小 50GB），以提高症结开发责任负载的性能。

语音探问中的纠错命令：内测东谈主员现在不错使用命令来纠正语音探问（Voice Access）误识别的单词。

Windows Hello for Business 无密码体验：IT 管制员不错使用一项新策略来荫藏某些 Windows 身份验证场景中的密码，强制用户使用 Windows Hello for Business 代替密码。

语音探问（Voice Access）扩展到锁屏界面：Voice Access 辅助功能现在可用于登录到电脑和锁屏的其他区域。这将允许用户使用带特别字标签的适配键盘口述其密码或 PIN。

屏幕投射的改进发现性：Windows 11 现在建议预览体验成员在其电脑上实行多任务处理行为时使用投射。“快速确立”中的“投射”浮出控件现在将提供启用该功能的分步说明。

在场感知的改进：新的自适当调光确立现在可在具有解救珍见识检测的在场感知传感器的电脑上使用。该功能将在用户移开视野时智能地调暗屏幕，并在回头时将其取消。

系统托盘中新增铃声图标：在系统托盘中，一个新的铃声图标会根据 PC 的要点颜色着色，以提醒用户有新奉告到达。

再行遐想的任务管制器确立页面：微软再行遐想了这个页面，现在遵守 Windows 11 的遐想语言。

【阅读原文】

1、动视暴雪否定《变形金刚》游戏源代码丢失，孩之宝为伪善言论谈歉

2、网信办通报上半年网上各种罪犯违游记动情况

3、佳能警惕丢弃喷墨打印机时珍视Wi-Fi安全风险

IT之家 8 月 2 日消息，近日，孩之宝公司的一位代表在接受采访时表示，动视暴雪公司依然丢失了一些之前开发的《变形金刚》系列游戏的源代码。这些游戏包括《变形金刚：赛博坦之陨》和《变形金刚：烧毁》等，都是在动视暴雪领有《变形金刚》游戏版权时制作的。

孩之宝公司的代表宣称，动视暴雪“不笃定这些源代码在他们大楼里的哪些硬盘上”，默示源代码是在动视暴雪与其他公司合并的过程中遗失的。这激勉了外界的猜测，认为如果微软得胜收购动视暴雪，那么这些“丢失”的游戏可能会被再行刊行，因为微软粗略能够找到这些游戏的源代码。孩之宝公司的代表还表示：“但愿现在微软和 Xbox 正在鼓动的来回能够得手进行，他们会搜索扫数的档案和每一个硬盘，找到扫数的源代码，因为这对于 Xbox Game Pass 来说是一个很好的升值。咱们但愿这些游戏能够再行上架，让玩家有契机体验。”

关联词，动视暴雪公司对此赐与了坚决否定，并表示这些游戏的源代码并莫得丢失。IT之家珍视到，动视暴雪公司首席内容官兼企业事求实行副总裁 Lulu Cheng Meservey 还在 X 上发表了声明，指出关联的报谈是演叨的，况兼源代码从未丢失过。她还进一步指出，“公司领有这些源代码，并莫得遗失。”

终末，孩之宝公司也谈歉并清醒，称之前的说法是演叨的。孩之宝公司在一份发给 VGC 的声明中说：“为了清醒，咱们之前所说的《变形金刚》游戏依然丢失是演叨的。咱们向动视暴雪谈歉，并对酿成的困惑表示歉意 —— 他们一直是咱们很棒的合作伙伴，咱们期待着改日有契机连接合作。”

尽管孩之宝公司依然谈歉并清醒了事实，但《变形金刚》游戏的改日究竟怎样，仍然不知所以。

告白声明：文内含有的对外跳转连络（包括不限于超连络、二维码、口令等款式），用于传递更多信息，省俭甄选期间，完毕仅供参考，IT之家扫数著作均包含本声明。

【阅读原文】

31日，国度网信办通报2023 年上半年天下网信系统照章查处网上各种罪犯违游记动的情况，累计约谈网站 5518 家、暂停功能或更新网站 188 家，下架出动应用范例 120 款，关停小范例 87 款，会同电信主管部门取消罪犯网站许可或备案、关闭罪犯网站 7704 家，督促关联网站平台照章依约关闭罪犯违纪账号 39100 个。

【阅读原文】

8月1日消息，佳能申饬家用、办公室和大幅面喷墨打印机的用户，在丢弃喷墨打印机时要珍视其存在一定的Wi-Fi安全风险。因为他们存储在开拓内存中的Wi-Fi勾搭确立不会被断根，而在驱动化过程中，这些确立应该被断根，从而允许其他东谈主探问数据。一朝维修手艺东谈主员、临时用户或开拓的改日买家索取打印机内存，得到用户的Wi-FI荟萃的勾搭细节，极可能给用户带来安全和诡秘风险。

【阅读原文】

1、以色列真金不怕火油厂遭逢黑客攻击

2、Android 坏心范例使用光学字符识别密码

3、俄乌冲突下的荟萃挟制：BlueBravo针对东欧酬酢机构攻击再升级

31日消息，伊朗黑客组织Cyber Avengers通过Check Point防火墙的过错入侵了BAZAN的荟萃，并泄露了BAZAN SCADA系统的截图，SCADA系统是用于监控和操作工业限定系统的软件应用范例。面前BAZAN Group全球各地的真金不怕火油厂网站均已无法探问。BAZAN发言东谈主称，BAZAN的荟萃安全措施是警惕的，面前集团正在与以色各国度荟萃管制局和其他合作伙伴密切合作，监控任何可疑行为，以确保行动的安全和好意思满性。

【阅读原文】

安全公司趋势科技的研究东谈主员发现了一种被称为 CherryBlos 的 Android 坏心范例，能使用光学字符识别窃取手机屏幕上显示的凭证。坏心范例主要通过第三方传播的 Android apps 传播。研究东谈主员发现坏心范例的开发者也在 Google Play 官方市集发布了沟通的应用，但并不含有坏心负荷。一朝装置，当用户怒放币安等正当加密货币应用，CherryBlos 的覆盖窗口会模拟这些应用，在支款时将受害者接受资金的钱包地址替换成攻击者限定的钱包地址。当正当应用显示密码口令时，坏心范例会截图然后使用光学字符识别将图像翻译成文本格式，然后攻击者不错窃取账号的资金。

【阅读原文】

与俄罗斯有计划的BlueBravo被发现通过GraphicalProton后门对准东欧的酬酢实体。据不雅察，该组织正在进行鱼叉式荟萃垂钓行为，最终标的是用一个名为GraphicalProton的新后门感染收件东谈主。

该行为是在2023年3月至5月期间不雅察到的，黑客诈骗正当互联网劳动（LIS）进行指挥限定，扩大了滥用的劳动范围。早在2023年1月，Insikt的研究东谈主员就不雅察到BlueBravo使用一种名为GraphicalNeutrino的主题钓饵来传递坏心软件。GraphicalProton是该组织火器库中的另一个坏心软件，与GraphicalNeutrino不同的是，它使用微软的OneDrive或Dropbox进行C2通讯。

Recorded Future表示：“该组织滥用LIS是一种无间的策略，因为他们使用了Trello、Firebase和Dropbox等各样在线劳动来逃匿检测。BlueBravo似乎优先进行针对欧洲政府部门的荟萃间谍行为，这可能是因为俄罗斯政府在乌克兰干戈期间对计谋数据感意思。”

GraphicalNeutrino和GraphicalProton都被用作加载范例，后者被放手在垂钓电子邮件传递的ISO或ZIP文献中。

2023年5月，Insikt Group初次为客户端描画了GraphicalProton坏心软件。Graphical质子充当加载范例，与之前描画的GraphicalNeutrino样本相称相似，它在ISO或ZIP文献中暂存，并依赖于新识别的受损域来传递到标的主机。与之前使用Notion进行C2的GraphicalNeutrino的一些分析样本不同，不雅察到  新笃定的GraphiicalProton样本使用了Microsoft OneDrive。

攻击中使用的ISO文献包含LNK文献，这些文献伪装成要出售的良马汽车的PNG图像。单击该文献后，它将启动GraphicalProton感染链。黑客将Microsoft OneDrive用作C2，并按时轮询存储劳动中的文献夹以获取额外的灵验载荷。

回报总结谈：“跟着乌克兰干戈的无间，简直不错笃信的是，在可预感的改日，BlueBravo将连接以政府和酬酢机构为高价值标的。BlueBravo以及依赖BlueBravo提供数据的俄罗斯谍报破钞者，很可能认为这些机构为与乌克兰结好的政府的决策过程提供了计谋知悉力。”

【阅读原文】

[招生]科锐逆向工程师培训(2024年11月15日实地匿名 文爱 app，汉典素养同期开班， 第51期)

• iPhone
• 安全
• 匿名 文爱 app
• Pro
• 31日