一周安全头条(20191130-1207)

近日，国家互联网信息办公室、文化和旅游部、国家广播电视总局联合印发了《网络音视频信息服务管理规定》，自2020年1月1日起施行。《规定》强调，网络音视频信息服务提供者和网络音视频信息服务使用者利用基于深度学习、虚拟现实等的新技术新应用制作、发布、传播非真实音视频信息的，应当以显著方式予以标识。

融资并购 信息防泄漏 Clearswift瑞士公司RUAG将自己旗下的安全公司Clearswift卖给美国公司HelpSystems，自身退出安全市场，专攻太空市场领域。被收购的Clearswift成立于1982年，对网络中与网络出入口的文件进行深度内容检查与适应性过滤，从而帮助系统识别并保障敏感信息无法离开内部网络。公司的产品在全球超过70个国家，1,700个组织当中被使用。同样成立于1982年的收购方HelpSystems表示，在这次收购后，希望能为自己的用户提供更为丰富的安全能力，确保数据安全以及对PCI、GDPR、HIPPA等标准和法律的合规。

融资并购 OT安全 Tenable  IndegyTenable周一宣布以7,800万美元的价格收购OT安全厂商Indegy。Indegy成立于2014年，之前总共融资3,600万美元。Indegy的平台可以对ICS网络进行可视化并发现可能是攻击迹象的变化，从而保障工控系统的安全。在今年6月，Indegy发布了一个工业领域的安全即服务能力，帮助组织通过云技术和实时威胁情报技术保护他们的OT环境。Tenable本次收购的意图，在于计划提供一个能让自身用户同时管理IT与OT环境的平台，促进IT与OT的安全融合。

报告调研 VPN  2019年近日，研究人员发布了一项2019年VPN调查报告。报告显示，4.8亿VPN移动应用全球下载量见证54%的年增长率。其中，安卓以3.583亿美元占据该市场75%的份额，苹果紧随其后，占据1.219亿美元市场。另一方面，按国家分，印度尼西亚7,550万下载拔得头筹，增长率高达111%。但仅从增长率本身来看，印度是最高的，因为该国频繁的互联网掉线和今年10月827家成人网站被禁，印度的VPN下载增长率达到了破纪录的405%。

报告调研 个人信息安全 App 隐私权限12月5日，南都个人信息保护研究中心发布《2019个人信息安全年度报告》。报告指出，为实际考察App在个人信息收集使用方面的情况，南都个人信息保护研究中心从隐私政策透明度、移动金融类App权限获取情况等3方面展开测评。结果显示，在移动金融类App测评中，设备识别码被严重频繁调取，“招联金融”一分钟内调用了6109次，而“拍拍贷借款”一分钟调用1468次定位权限。

勒索病毒 NextCry  Linux服务器 远程代码执行近日，研究人员发现NextCry Ransomware有新动作，其正在利用PHP-fpm远程代码执行漏洞（CVE-2019-11043）针对Linux服务器发起攻击尝试入侵。NextCry勒索是一种新型勒索软件，该勒索由Python编写并使用PyInstall打包成Linux ELF二进制文件，采用RSA-2048和AES-256-CBC算法加密指定目录下的文件，无法解密，从勒索名可以看出，作者试图致敬2017年的WannaCry勒索蠕虫。目前该勒索主要攻击安装有Nextcloud软件的服务器，不排除后面会扩大攻击范围。专家建议，网站管理员及时更新PHP软件包并更新Nginx配置文件。

恶意软件 CallerSpy 特洛伊木马 移动设备监听近日，研究人员发现了一种旨在监听电话、短信和其他通信的新型移动恶意软件正通过欺骗Android用户下载假的聊天应用程序进行攻击。这种被称为CallerSpy的特洛伊木马恶意软件可以作为网络间谍活动的前期准备。专家表示，对于以网络间谍为目标的攻击者来说，手机是一个特别有用的目标，因为这些设备不仅包含大量的信息，而且始终都是目标。

漏洞补丁 SSL协议 内存泄露近日，首都网警发布网络安全预警通报称，据国家网络与信息安全信息通报中心监测发现，互联网SSL协议实现组件OPENSSL部分版本存在重大安全隐患，可能导致信息泄露等风险。通报中提到，此次事件发现：一是众多RSA数字证书密钥存在被破解的可能性，二是部分低版本的OPENSSL组件存在内存泄露漏洞。攻击者可利用上述漏洞获取用户账号口令、业务系统数据、邮件内容等敏感信息。

漏洞补丁 StrandHogg 安卓 近日，安全公司Promon的研究员披露了一个正被利用的Android漏洞StrandHogg，恶意程序能利用该漏洞窃取用户的银行账号。漏洞存在于名为TaskAffinity的多任务功能中，它允许应用假定多任务环境中运行的其它应用或任务的身份。恶意程序可利用该功能设置它的一个活动去匹配信任第三方应用的包名字。组合其它欺骗方法恶意应用可以劫持目标任务，请求权限去执行敏感任务如记录音频、拍摄照片、阅读短信，或钓鱼登录凭证。

漏洞补丁 卡巴斯基 CVE-2019-15689安全研究公司SafeBreach在卡巴斯基安全连接软件中发现一个安全问题，它本身被捆绑到一系列其他卡巴斯基安全产品中，允许恶意攻击者在更复杂的攻击情况下获得签名代码执行，甚至规避防御。编号为CVE-2019-15689的安全公告详细介绍了该漏洞，该漏洞使黑客能够通过作为NT权限/系统启动的签名版本运行未签名的可执行文件，为在受攻击设备上进一步开展恶意活动打开了大门。

数据泄露 iPhone 11 Pro  GPS位置信息12月4日，据外媒报道，iPhone 11 Pro被曝偷偷收集用户定位信息，而且无法从手机设置中彻底关闭这一功能。相关人士表示，在搭载iOS 13.2.3的iPhone 11 Pro上，尽管手动禁用了iPhone设置中各个应用的GPS定位服务，但手机依然会为某些应用和系统服务收集GPS数据。

数据泄露 Palo Alto Networks 雇员信息近日， Palo Alto Networks被曝遭遇不寻常数据泄露，现雇员及前雇员个人信息均流出。据悉，遭泄数据库包含该公司员工姓名和生日，而且雇员独家个人信息只是该数据库中的一部分内容。随后，Palo Alto Networks 证实了遭遇数据泄露的消息，并表示该事件已向相关部门通报，且已经告知了受影响的个人。

数据泄露 美国通讯公司TrueDialog 用户数据近日，vpnMentor的研究小组发现了一个属于美国通讯公司TrueDialog的不安全的包含了大量敏感的数据库，据悉，除了数千万条短信，研究人员还发现了数以百万的帐户用户名和密码、TrueDialog用户及其客户的PII数据等等。据有关人士介绍，这个TrueDialog数据库由Microsoft Azure托管的，在美国的Oracle Marketing Cloud上运行。上一次查看数据库时，它包含604GB的数据，近10亿条包含敏感数据的记录。这些数据和TrueDialog业务模型的许多方面都相关联。该公司本身，它的客户群，以及客户的客户的数据都泄露了，这可能会引发潜在的钓鱼攻击。

数据泄露 Mixcloud  用户帐户近日，在线音乐流媒体服务Mixcloud被曝遭到黑客的攻击，用户数据在暗网上出售。此次攻击发生在11月初，超过2000万个用户帐户的数据遭到曝光。这些数据包括用户名，电子邮件地址，SHA-2哈希密码，帐户注册日期和国家/地区，最近一次登录日期，IP地址以及个人资料照片的链接。

数据泄露 俄罗斯 Device Lock 用户数据近日，某黑客论坛公开了jobinmoscow.ru门户网站的用户数据库。据Device Lock的创始人兼技术总监Ashot Hovhannisyan的说法，该数据库除了提供公开信息外，还为500,000个用户的登录名和密码，某些登录名和密码是相关的，如果输入其中一些，则可以访问门户网站用户页面。目前，该站点的拥有公司已承认该数据泄露事件。