全球网络空间安全速览[第五期]
特斯拉二手车被曝隐私问题 黑客获得大量个人信息
据外媒报道，特斯拉的车载计算机系统，可能没有大家想象的那么安全。根据某一网络安全研究员的说法，即便在完全恢复出厂设置后，黑客依旧可以从旧的特斯拉面板系统中恢复大量个人信息。这位账号为“greentheonly”的研究员在研究了13块二手特斯拉媒体控制单元（MCU）后得出了上述结论，其中12块MCU是他从eBay上购买的，另一块从朋友手中购买。
尽管每一块控制单元都已经重置删除之前所有者的全部个人信息，但研究员还是能从系统中恢复大量数据，如密码，GPS定位信息等。黑客可以访问控制单元原主人的完整联系人列表，通话记录，日历信息以及在控制单元上运行过的第三方应用的账户ID和密码。每次车辆的启动的时候，车载媒体控制单元也会保存车辆位置的屏幕快照，并且系统户保留最近的50个位置屏幕快照，所有这些信息也可以访问。
根据2020年4月28日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2020年第8号），全国信息安全标准化技术委员会归口的GB/T 38628-2020《信息安全技术 汽车电子系统网络安全指南》等26项国家标准正式发布。
工信部：新增物联网终端不再使用2G/3G网络 NB-IoT普遍覆盖
工信部办公厅发布了《关于深入推进移动物联网全面发展的通知》（以下简称《通知》）。《通知》提出了移动物联网全面发展的主要目标和重要任务，鼓励各地设立专项扶持和创新资金，支持NB-IoT和Cat1专用芯片、模组、设备等产品研发工作，提高芯片研发和生产制造能力，满足规模出货需求。
时隔10个月委内瑞拉又断电？攻击致使全国大面积停电
委内瑞拉副总统罗德里格斯宣布：
5月5日委内瑞拉国家电网干线遭到攻击，造成全国大面积停电。委国家电力公司正组织人力全力抢修，部分地区已经恢复供电。事实上，这并不是委内瑞拉的第一次断电经历。
2019年3月7日，包括加拉加斯在内的委内瑞拉多地开始停电，开始了该国家自 2012 年以来时间最长、影响地区最广的“停电史”。
10个月前的断电波及了委内瑞拉全国23个州中的18个州，而停电原因是古里水电站遭反对派蓄意破坏（委电力供应超过六成来自水力发电，而古里水电站是主要提供电力提供点）。
这次，则是委内瑞拉国家电网的765干线遭到攻击，除首都加拉加斯外，全国11个州府均发生停电。
印度政府将运用移动通信系统调查追踪9亿人的健康状况
印度政府将召集全国近9亿人，检查他们是否表现出COVID-19病毒的症状。此举是作为通过Aarogya Setu应用程序进行的联络追踪工作的一部分，该应用程序将在所有即将推出的手机上预装，并将强制注册。政府正计划与Bharti Airtel，Jio，Vodafone-Idea合作，以确保用户参与此项目。
印度政府的定位程序存漏洞
9000万人隐私受威胁
一位化名为奥尔德森(Elliot Alderson)的法国黑客日前在Twitter上表示，其发现了印度政府“Aarogya Setu”新型冠状病毒追踪APP的安全问题，这可能会危及9000万印度人的隐私。
4400万巴基斯坦移动用户的详细信息在线泄漏
上个月，一名黑客试图以价值210万美元的比特币价格出售一个包含1.15亿巴基斯坦移动用户记录的软件包。目前，4400万条记录在线发布。
任天堂遭史上最大规模黑客攻击
Wii完整源码和设计泄露
过去几周内的黑客活动因疫情隔离的影响变得更加活跃，索尼顽皮狗《最后的生还者2》泄密也被认为是黑客所为。隔壁任天堂在此前NNID账户被盗之后近日又被不法者盯上，导致了Wii主机的完整源码/设计方案和N64技术演示流出，可以说已经成为任天堂史上最大规模的泄露案件。
黑客操纵一物联网僵尸网络8年，只为下载动漫视频
近8年来，一名黑客一直在悄无声息地将D-Link NVRs(网络录像机)和NAS(网络附加存储)设备劫持到一个僵尸网络中，其唯一目的是连接到在线网站并下载动漫视频。
APP隐私合规介绍和实施方案
目前，大量的移动app在使用过程中，涉及个人隐私信息和敏感信息。在个人信息处理、共享、转让、公开披露过程中，管理流程和技术手段不规范造成个人信息泄露的安全事件层出不穷。
Facebook iOS SDK
导致众多应用崩溃
开发者在 Facebook iOS SDK 的 Github 问题页面报告，多个版本的 SDK 导致了大量应用崩溃。Facebook SDK 被广泛用于身份验证和广告展示。开发者报告称，SDK 6.5.0、SDK 5.6.0、SDK CoreKit 6.0.0 等等都会导致应用崩溃。受影响的流行应用包括了 Spotify、TikTok、Pinterest、Winno 等等，还有中国开发者用中文爆粗口说 Facebook 的 SDK 应用导致了崩溃。暂时不清楚是什么导致了问题。
黑客声称窃取GitHub 500GB源代码，准备不出售直接泄露
我们已经成功入侵微软的GitHub私人储存库，并从中窃取了500GB的数据，本来打算再暗网上出售的，现在改变主意了，打算免费发布。
一名自称Shiny Hunters的黑客主动联系了一家国外媒体，声称其已经入侵微软GitHub账户，获取了这家软件巨头私人存储库的完全访问权。
DT下载器木马感染2万台电脑，中招后频繁弹广告、主页被锁
在例行高广风险文件排查时，发现一个名为DTCenSvc.exe的文件异常之高，已有超2万台电脑中招。经分析该文件运行后会在用户机器内安装一系列的广告弹窗程序、主页篡改程序。
思科修复了Firepower和ASA中的严重漏洞
思科已在其自适应安全设备软件和Firepower威胁防御软件中修复了12个高度严重的漏洞。未经身份验证的远程攻击者可以利用这些漏洞发起一系列攻击-从拒绝服务（DoS）到嗅探敏感数据。
火眼0day漏洞利用研究
网络威胁情报（CTI）在关键战略和战术中有着重要地位，CTI可跟踪，分析和确定软件漏洞等级，分析漏洞可能会对组织，员工和客户造成的威胁。FireEye Mandiant威胁情报强调了CTI在漏洞管理中的价值，并详细介绍了最新威胁，趋势和安全建议等研究数据。
黑吃黑?NEMTY勒索病毒RAAS服务私有化
勒索病毒已经被公认成为企业最大的安全威胁，通过近几个月时间的监控，2020年针对企业或个人的勒索病毒攻击已经变的越来越频繁，同时随着新冠疫情的影响，2020年勒索病毒黑客组织从未停止过运营，在不断更新自己的攻击手法、变种样本和运营模式，NEMTY勒索病毒最近宣布关闭公共RAAS服务平台操作，转变为勒索病毒服务私有化模式。
专家发布OpenSSL中的DoS漏洞CVE-2020-1967
最近，OpenSSL项目发布了针对OpenSSL的安全更新，该更新修补了一个高危漏洞，跟踪为CVE-2020-1967，攻击者可以利用该漏洞发起拒绝服务（DoS）攻击。
主理人：李 强 @Keellee
- 用户评论
