文章提交注意事项：
请在发布文章时用HTML代码加上至少一条新闻来源的链接；原创性消息，可加入相关信息（如涉及公司的网址）的链接。有任何问题，邮件至：he.fang#zhiding.cn
注意：收到邮件乱码的用户请修改客户端的默认字体编码，从"简体中文（GB2312）"修改为"Unicode（UTF-8）"。
solidot新版网站常见问题，请点击这里查看。
去年底俄罗斯黑客组织对乌克兰最大电信公司发动网络攻击，导致数百万人数天内无法上网。现在乌克兰黑客组织发动了报复攻击行动。自称 Blackjack 的乌黑客组织入侵了莫斯科 ISP M9com，清空了大约 20TB 的数据，破坏了 M9com 的官网、邮件服务器和网络保护服务等服务。黑客从其邮件服务器和客户数据库下载了逾 10 GB 数据，并通过暗网公开。黑客表示这是另一次更大规模网络攻击前的“热身攻击”。该组织被认为与乌克兰安全局（SBU）有关联。
北京市司法局微信公众号“京司观澜”发文称，北京网神洞鉴司法鉴定所对手机“隔空投送”传播不当信息案件的司法鉴定突破了 AirDrop 匿名溯源的技术难题，提升了案件侦破的效率和准确性，防止了不当言论的进一步传播和潜在的恶劣影响。iPhone 的 AirDrop 能在苹果设备之间匿名共享文件，司法鉴定所的专家通过分析 iPhone 设备日志，发现发送者的设备名、邮箱和手机号相关字段，其中手机号与邮箱相关字段是以哈希值的形式记录，且哈希值部分字段被隐藏。技术团队制作了一张详尽的手机号与邮箱账号“彩虹表 ”，能够将密文转换成原始文本，快速锁定发送者的手机号与邮箱账号。
西班牙第二大移动运营商 Orange España 周三因黑客获取了弱密码“ripeadmin”登录了它用于管理全球路由表的账号而遭遇严重网络故障。Orange 在欧洲网络协议中心（RIPE Network Coordination Center）的账号用户名是 [email protected]，密码是 ripeadmin。安全公司 Hudson Rock 的调查发现，该账号凭证已被去年 9 月安装在 Orange 员工电脑上的信息窃取恶意程序窃取并在网上出售。化名为 Snow 的黑客在社交媒体上公布了 Orange 的管理账号截图。Snow 在登陆 Orange 的账号之后修改了其全球路由表，大部分修改对网络流量没有产生影响，因为这些路由地址都在 Orange 自己的自治系统 AS12479 内，但其中一个修改 149.74.0.0/16 引发了问题，它将最大前缀长度设为 16，导致了使用该地址范围的较小的路由无效，比如 149.74.100.0/23 被认为无效并被过滤掉。BGP 专家 Doug Madory 认为黑客只是在恶搞。黑客对全球路由表的纂改很快被 RPKI（Resource Public Key Infrastructure）阻止——其它骨干运营商拒绝了黑客发布的路由公告。
LastPass 开始通知客户，为提高账号安全性要求他们至少设定 12 个字符的复杂主密码。密码管理器 LastPass 从 2018 年起就要求客户将主密码设为 12 个字符，但客户仍然可以选择设定字符数较短的密码。从 2023 年 4 月起，LastPass 开始对新账号或密码重置强制执行 12 个字符的主密码要求，但旧账号可继续使用短密码。从本月起，LastPass 开始对所有帐户强制执行 12 个字符的主密码要求，并根据泄露的密码库进行检查，确保新设立密码不在泄露密码中。LastPass 2022 年底披露其用户密码库被泄露。
在本周三举行的 37C3 会议上，德国柏林工业大学的三名研究人员演示了对特斯拉汽车的电压故障注入攻击，使用价值约 600 美元的工具，对特斯拉辅助驾驶系统 Autopilot 使用的电路板诱导 2 秒的电压下降，获取系统的 Root 权限，允许研究人员从系统中提取任意代码和用户数据。研究人员甚至提取出一则已删除的视频，但因为还没有覆盖仍然能恢复。他们还解锁了强大的埃隆模式（Elon mode）。该模式允许特斯拉汽车在没有任何人类监督的情况下完全自动驾驶。特斯拉的 Autopilot 系统有不同的级别，提供不同的功能，其中 FSD（full self-driving）需要额外付费 1.2 万美元。对汽车的电压故障注入攻击允许研究人员免费解锁 Autopilot 的高级功能。研究人员对特斯拉汽车容易被攻击而感到吃惊。
今年上半年，俄罗斯安全公司卡巴斯基披露其数十名雇员遭遇网络攻击，该攻击利用 iOS 无点击漏洞在雇员的 iPhone 手机上植入恶意程序，收集麦克风录音、照片、地理位置等数据。卡巴斯基认为它不是攻击的主要目标。俄罗斯官员认为这次攻击是 NSA 发起的，有数千部外交人员的 iPhone 感染了恶意程序，尤其是位于北约、前苏联加盟国、以色列和中国等地的外交使团成员。卡巴斯基将这次行动命名为 Operation Triangulation。本周三举行的 37C3（37th Chaos Communication Congress）会议上，该公司的研究人员披露了 Operation Triangulation 的细节。该攻击利用了 4 个 0day 漏洞，适用于 iOS 16.2 以下版本。攻击者首先发送了恶意 iMessage 附件，应用在处理附件时不会向用户显示任何痕迹；恶意附件利用了无文件记录的 ADJUST TrueType 字体指令中的远程代码执行漏洞 CVE-2023-41990，该漏洞可追溯到 1990 年代。攻击者还利用了两个内核漏洞和一个浏览器漏洞。安全研究人员称，这是他们见过最复杂的攻击链。漏洞不简单，其中包括外界不知道的硬件功能。俄罗斯官员指控苹果在这次攻击行动中与 NSA 合作，从漏洞利用上看要么攻击者入侵了苹果获取了内部硬件文件，要么确实苹果与攻击者有合作。苹果否认了与 NSA 合作的指控。
美国网络安全官员警告称，主要关键基础设施提供商在防御网络安全上面做的相当马虎。来自伊朗和中国的黑客入侵了多个州的水务和能源公用事业公司。虽然对基础设施的攻击尚未引发服务中断等事故。官员表示加强网络访问有时候很简单，不要使用默认密码。举例来说，部分接入到开放网络的设备使用了默认密码 1111，很容易被黑客发现并入侵。官员表示，解决该问题不需要花任何钱。安全专家 Andy Thompson 指出，美国部分基础设施优先考虑的是易操作性而不是安全性，他认为不让关键基础设施能容易通过互联网访问应该成为标准做法。
法国游戏开发商育碧表示正在调查一起黑客入侵事件。它是在接到 VX-Underground 的警告之后开始调查的。VX-Underground 称有匿名黑客表示在 12 月 20 日入侵了育碧，计划从公司内部窃取大约 900 GB 的数据。黑客称他们获得了 Ubisoft SharePoint 服务器、Microsoft Teams、Confluence 和 MongoDB Atlas 面板的访问权限，并分享了相关服务的屏幕截图。黑客表示试图窃取《彩虹六号围攻》用户数据，但准备行动前被切断了访问。
Stanford Internet Observatory 的研究发现，被 Google 和 Stable Diffusion 等 AI 产品使用的机器学习数据库 LAION-5B 包含了 3,226 幅疑似儿童色情图像，其中 1,008 幅已被外部验证。LAION 组织已暂时将数据库下线，以在重新发布前确保它是安全的。Large-scale Artificial Intelligence Open Network（LAION）是一个为机器学习创建开源工具的非营利组织，它从开放网络中抓取了逾 50 亿幅图像，其中可能会混入儿童色情 （CSAM）材料。而在大部分国家，传播儿童色情材料都是非法的。LAION 组织也早就认识到数据库包含 CSAM 的可能性。他们承认无法保证所有儿童色情材料都被移除。
勒索组织 Rhysida 在其暗网网站泄露了索尼旗下知名工作室 Insomniac Games 的 1.67TB 内部文件，其中包括未发布游戏素材和剧情，未来游戏发布路线图，公司内部通信、员工个人数据如护照扫描和薪酬数据，等等。Rhysida 称选择 Insomniac 是因为它一家成功的工作室，它勒索价值 200 万美元的比特币赎金，但 Insomniac 拒绝支付。Rhysida 于是在其暗网网站泄露了这些数据。这是游戏史上规模最大的泄密事件之一。
提供硬件和软件钱包的 Ledger 公司遭遇了供应链攻击。它的一名前员工首先遭到了钓鱼攻击，黑客因此能访问到这名员工的 NPMJS 账号，然后发布了恶意版本的 Ledger Connect Kit——该库被其它公司和项目开发的 dApps（去中心化应用）用于连接 Ledger 的钱包服务。恶意版 Ledger Connect Kit 嵌入的恶意代码会将用户的加密货币转移到黑客控制的钱包。这次供应链攻击被 Ledger 很快监测到并迅速修复。恶意版本存活了大约 5 个小时。Ledger 发言人表示正在帮助受影响的用户。
乌克兰最大移动运营商 Kyivstar 遭遇开战至今最大规模的网络攻击，数百万人的移动和互联网服务中断，基辅部分地区的空袭警报系统下线。Kyivstar 有 2430 万移动用户，占到了乌克兰人口总数一半以上，此外还为逾 110 万家庭提供互联网服务。这次攻击被认为源自俄罗斯，Kyivstar CEO Oleksandr Komarov 表示该公司部分 IT 基础设施遭到破坏，他们无法在虚拟层阻止攻击，只能通过物理层限制攻击。他表示两个包含客户数据的数据库被破坏，但用户个人数据没有被入侵。与此同时乌克兰也在对俄罗斯发动网络战，俄罗斯国家税务机构的数千台服务器感染了恶意软件，数据库和备份都被破坏。
安全公司 Group-IB 的研究人员披露了专门针对泰国公司的 Linux 恶意程序 Krasue。Krasue 是远程访问木马，活跃时间始于 2020 年，主要针对泰国电信公司。它包含了多个 rootkit 支持不同 Linux 内核版本，它集成了三个开源的 rootkit 包：Diamorphine，Suterusu 和 Rooty，通过挂钩 kill() 系统调用等隐藏活动和逃避检测。研究人员猜测它是作为攻击链的后期阶段部署的，旨在维持对入侵主机的访问。他们相信 Krasue 与微软安全博客在 2022 年披露的 XorDdos Linux 木马是同一位作者或至少能访问其源代码。
现代 CPU 的 64 位指针寻址空间远多于需求，因此主要 CPU 供应商都提供了一种机制，将部分地址位用于储存其它数据：英特尔是线性地址掩码(LAM），AMD 是高位地址忽略，Arm 是顶部字节忽略。研究人员报告了被称为 SLAM 的新 Spectre 攻击，利用这些机制绕过指针有效性检查。对于 SLAM 攻击，英特尔计划未来发布相关软件指南，Linux 工程师开发了补丁在软件指南发布前默认禁用 LAM，ARM 发布了类似的声明，AMD 则表示现有的 Spectre v2 补丁能解决 SLAM 攻击。
Windows 10 将于 2025 年 10 月 14 日终止支持，此后微软将停止提供安全更新。Windows 10 仍然是目前最流行的操作系统，微软也为那些想要继续使用该操作系统的用户提供了额外三年的付费安全更新支持 Extended Security Updates(ESU)。ESU 通常是批量授权，主要提供给企业级客户，但这一次微软将向个人用户提供 ESU，只要用户负担得起。ESU 的付费是一年支付一次，定价将在晚些时候公布，价格可能会一年比一年高，此举旨在督促用户将操作系统升级到新版本。ESU 的价格是按计算机数量计费的，数量越多价格越贵。微软未来将通过 Windows 10 的支持页面提供相关信息。
卫报援引消息来源报道，英国 Sellafield 核设施曾遭与中俄有关联的黑客组织入侵。最早的入侵时间未知，英国当局是在 2015 年探测到 Sellafield 的计算机网络被植入了恶意程序。Sellafield 核设施主要进行核废料处理和储存，占地 6 平方公里，是欧洲最大的核设施，拥有全球最大的钚储存库，员工总数超过 1.1 万。报道称，Sellafield 最敏感的活动如转移放射性核废料、监测危险材料泄漏等可能已被黑客窃取。核设施不安全的服务器问题还被起了一个绰号叫伏地魔。
23andMe 证实黑客窃取了 690 万用户的家族遗传史数据。提供基因检测服务的 23andMe 是在 10 月初黑客在地下论坛兜售其客户数据之后证实遭到黑客入侵，当时表示攻击者利用的是撞库攻击，它的系统本身没有发现漏洞。23andMe 有约 1400 万客户，690 万意味着受影响用户规模接近半数。被盗取的数据包括了用户姓名、出生年份、关系标签、与亲属共享的 DNA 百分比、家族史报告和自我报告的位置。
Google Threat Analysis Group 研究人员报告了三个正被利用 0day，影响苹果所有系统和 Chrome。苹果周四释出了安全更新，修复了两个正被利用的漏洞 CVE-2023-42916 和 CVE-2023-42917，两个漏洞都位于苹果操作系统广泛使用的 WebKit 引擎中，其中之一是越界读取，允许黑客在使用 WebKit 的应用处理特制网络内容时窃取敏感信息；另一个是内存损坏 bug，允许存在漏洞的设备执行恶意代码。Google Chrome 本周二释出了更新修复了 7 个漏洞，其中之一是正被利用的 0day CVE-2023-6345，该漏洞为整数溢出，位于浏览器的 Skia 组件中。
身份认证管理服务商 Okta 上个月披露，黑客在获取到其客户支持管理系统的凭证之后访问了客户信息。本周 Okta 在给客户的邮件中披露，入侵规模比预期的更严重，黑客窃取了所有客户支持用户的数据。这可能增加客户遭到钓鱼攻击等的风险。Okta 表示美国政府或五角大楼的数据未受影响，称正与一家数字取证公司合作调查，完成之后会通知客户。为客户提供单点登陆服务的 Okta 在黑客眼中是一个瞩目的攻击目标，通过攻击 Okta 他们可以访问其它大量目标。
ownCloud 上周披露了一个严重程度 10/10 的高危漏洞 CVE-2023-49103，漏洞存在于 graphapi 的 v0.2.0 和 v0.3.0 中，它使用第三方库提供了一个 URL，访问该 URL 可显示基于 PHP 环境的配置信息，包括 webserver 的所有环境变量。在容器化部署中，环境变量可能会包含敏感数据如管理员密码、邮件服务器凭据和许可证密钥。安全公司 Greynoise 的研究人员报告，在漏洞披露之后他们在蜜罐服务器上观察到了对该漏洞的大规模利用。安全研究人员认为该漏洞虽然严重但不会构成重大威胁，因为默认情况下它无法利用，且是在 2 月的容器化部署中引入的，而 graphapi 的安装量很小。