要聞速覽

1、國家發(fā)展改革委、國家數(shù)據(jù)局等六部門聯(lián)合印發(fā)《關(guān)于完善數(shù)據(jù)流通安全治理 更好促進(jìn)數(shù)據(jù)要素市場化價值化的實施方案》

2、四部門發(fā)布《涉及國家安全事項的建設(shè)項目許可管理規(guī)定》

3、國家信息安全漏洞庫CNNVD：關(guān)于Fortinet FortiOS和FortiProxy安全漏洞的通報

4、安全公司曝光 FunkSec 勒索木馬，據(jù)稱由 AI 大模型生成

5、美日韓稱朝鮮黑客去年竊取了超過 6.59 億美元加密貨幣

6、非營利血液捐獻(xiàn)機構(gòu)OneBlood確認(rèn)遭遇勒索軟件攻擊

一周政策要聞

國家發(fā)展改革委、國家數(shù)據(jù)局等六部門聯(lián)合印發(fā)《關(guān)于完善數(shù)據(jù)流通安全治理 更好促進(jìn)數(shù)據(jù)要素市場化價值化的實施方案》

1月15日，國家發(fā)展改革委、國家數(shù)據(jù)局、中央網(wǎng)信辦、工業(yè)和信息化部、公安部、市場監(jiān)管總局六部門聯(lián)合印發(fā)了《關(guān)于完善數(shù)據(jù)流通安全治理 更好促進(jìn)數(shù)據(jù)要素市場化價值化的實施方案》（以下簡稱《實施方案》）。

《實施方案》圍繞明晰企業(yè)數(shù)據(jù)流通安全規(guī)則、加強公共數(shù)據(jù)流通安全管理、強化個人數(shù)據(jù)流通保障、完善數(shù)據(jù)流通安全責(zé)任界定機制、加強數(shù)據(jù)流通安全技術(shù)應(yīng)用、豐富數(shù)據(jù)流通安全服務(wù)供給、防范數(shù)據(jù)濫用風(fēng)險部署了7項主要任務(wù)。

到2027年底，規(guī)則明晰、產(chǎn)業(yè)繁榮、多方協(xié)同的數(shù)據(jù)流通安全治理體系基本構(gòu)建，數(shù)據(jù)合規(guī)高效流通機制更加完善，治理效能顯著提升，為繁榮數(shù)據(jù)市場、釋放數(shù)據(jù)價值提供堅強保障。

信息來源：國家發(fā)展和改革委員會https://www.ndrc.gov.cn/xxgk/jd/jd/202501/t20250115_1395713.html

四部門發(fā)布《涉及國家安全事項的建設(shè)項目許可管理規(guī)定》

 1月15日，國家安全部簽署第5號部令，公布《涉及國家安全事項的建設(shè)項目許可管理規(guī)定》（以下簡稱《規(guī)定》），自2025年3月1日起施行。

《規(guī)定》由國家安全部、國家發(fā)展和改革委員會、自然資源部、住房和城鄉(xiāng)建設(shè)部聯(lián)合制定。這是貫徹落實黨的二十大和二十屆三中全會精神的重要舉措，是細(xì)化完善《反間諜法》配套制度的重要成果，是嚴(yán)格規(guī)范建審許可工作的重要依據(jù)，對統(tǒng)籌高質(zhì)量發(fā)展和高水平安全、提升國家安全機關(guān)依法行政水平，具有重要意義。

《規(guī)定》共6章38條，包括總則、安全控制區(qū)域管理、涉及國家安全事項的建設(shè)項目許可、涉及國家安全事項的建設(shè)項目監(jiān)督管理、法律責(zé)任、附則等內(nèi)容。

消息來源：國家安全部 https://mp.weixin.qq.com/s/VRBi8PBEShjXdDJKs2Ormw

業(yè)內(nèi)新聞速覽

國家信息安全漏洞庫CNNVD：關(guān)于Fortinet FortiOS和FortiProxy安全漏洞的通報

近日，國家信息安全漏洞庫（CNNVD）收到關(guān)于Fortinet FortiOS和FortiProxy安全漏洞（CNNVD-202501-1747、CVE-2024-55591）情況的報送。

一、漏洞介紹：

Fortinet FortiOS和Fortinet FortiProxy都是美國飛塔（Fortinet）公司的產(chǎn)品。Fortinet FortiOS是一套專用于FortiGate網(wǎng)絡(luò)安全平臺上的安全操作系統(tǒng)。Fortinet FortiProxy是一種安全的網(wǎng)絡(luò)代理，通過結(jié)合多種檢測技術(shù)，如Web過濾、DNS過濾、DLP、反病毒、入侵防御等保護(hù)用戶免受網(wǎng)絡(luò)攻擊。

FortiOS和FortiProxy中存在一個身份認(rèn)證繞過漏洞。未經(jīng)身份驗證的遠(yuǎn)程攻擊者可以通過向Node.js websocket模塊發(fā)送特定請求利用該漏洞，進(jìn)而獲得超級管理員權(quán)限。

二、危害影響

FortiOS 7.0.0版本-7.0.16版本，F(xiàn)ortiProxy 7.2.0版本-7.2.12版本，F(xiàn)ortiProxy 7.0.0版本-7.0.19版本均受漏洞影響。

三、修復(fù)建議

目前，F(xiàn)ortinet官方已發(fā)布升級補丁修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補措施。官方參考鏈接如下：

https://fortiguard.fortinet.com/psirt/FG-IR-24-535。

消息來源：CNNVD安全動態(tài)https://mp.weixin.qq.com/s/9NPpBk6S_dZ48kkQfez6RA

安全公司曝光 FunkSec 勒索木馬，據(jù)稱由 AI 大模型生成

近日，安全公司 Check Point 發(fā)布報告，公布了一款名為 FunkSec 的勒索木馬。這款惡意木馬從去年年底開始出現(xiàn)，據(jù)稱有 85 家企業(yè)組織遭受攻擊。

研究人員對該勒索木馬進(jìn)行調(diào)查，發(fā)現(xiàn)其由 Rust 語言打造，有極高概率系 AI 大模型生成，例如相應(yīng)模型的腳本中實際上存在一系列語法非常流暢的英文注釋、相關(guān)木馬的攻擊模式較為原始落后等。

研究人員進(jìn)一步調(diào)查，發(fā)現(xiàn)有黑客“el_farado”將這一 FunkSec 木馬掛在地下論壇進(jìn)行租售，這意味著黑客可以利用 AI 模型大量生成各種木馬，并以此牟利。

此外，研究人員還發(fā)現(xiàn)相應(yīng)黑客實際技術(shù)能力不高，因為他們甚至近期在相應(yīng)論壇中直接發(fā)帖詢問如何“成為黑客”，同時相應(yīng)黑客公布的大量所謂竊取數(shù)據(jù)實際上來自其他犯罪組織的攻擊行動，意在夸大其自身影響力，這佐證了相應(yīng)木馬有高概率為 AI 模型生成。

消息來源：IT之家 https://www.ithome.com/0/824/425.htm

美日韓稱朝鮮黑客去年竊取了超過 6.59 億美元加密貨幣

2025年1月14日，美國、日本和韓國發(fā)布聯(lián)合聲明指出，朝鮮國家支持的黑客組織在2024年內(nèi)通過一系列網(wǎng)絡(luò)攻擊竊取了至少6.59億美元的加密貨幣。聲明強調(diào)此類活動依然活躍，持續(xù)對全球加密貨幣安全構(gòu)成威脅。聲明中提到，自2024年9月起，美國政府監(jiān)測到朝鮮黑客使用復(fù)雜的社會工程手段針對加密貨幣領(lǐng)域展開攻擊，并部署了包括TraderTraitor和AppleJeus在內(nèi)的多種惡意軟件。韓國和日本也報告了相似的攻擊模式。具體案例顯示，朝鮮黑客在2024年的攻擊行動中，成功從多個主要交易平臺盜取巨額資金，如從日本的DMM Bitcoin竊取3.08億美元、印度的WazirX交易所失竊2.35億美元、美國的Radiant平臺損失5000萬美元，以及韓國Upbit交易所同樣遭受5000萬美元的損失。此外，區(qū)塊鏈分析公司Chainalysis在2024年12月發(fā)布的報告中指出，朝鮮黑客在過去一年內(nèi)實施了至少47次攻擊，累計竊取的加密貨幣價值高達(dá)13.4億美元，超越了2022年的紀(jì)錄11億美元，再次刷新了年度盜竊金額的新高。

非營利血液捐獻(xiàn)機構(gòu)OneBlood確認(rèn)遭遇勒索軟件攻擊

美國非營利性血液捐獻(xiàn)機構(gòu)OneBlood近日證實，去年夏天遭受的一次勒索軟件攻擊導(dǎo)致獻(xiàn)血者的個人信息被盜。

OneBlood于2024年7月31日首次就此次攻擊向公眾發(fā)出通知，稱勒索軟件行為者加密了其虛擬機，導(dǎo)致該醫(yī)療機構(gòu)不得不采取人工操作流程。作為全美250多家醫(yī)院的血液供應(yīng)商，此次攻擊造成了血液采集、檢測和分發(fā)延遲，一些診所不得不啟動"血液嚴(yán)重短缺"應(yīng)急方案。

OneBlood于上周開始向受影響個人發(fā)送數(shù)據(jù)泄露通知，告知調(diào)查于2024年12月12日結(jié)束，確定泄露發(fā)生的確切日期為2024年7月14日。該威脅分子一直保持對OneBlood網(wǎng)絡(luò)的訪問權(quán)限，直至7月29日，即該機構(gòu)發(fā)現(xiàn)入侵的次日。盡管血液采集中心通常會收集電話號碼、電子郵件和物理地址、人口統(tǒng)計數(shù)據(jù)和病史等信息,但此次泄露的數(shù)據(jù)僅限于姓名和社會安全號碼。為降低此風(fēng)險，OneBlood在信函中附上了免費一年信用監(jiān)控服務(wù)的激活碼。

消息來源：安全牛 https://mp.weixin.qq.com/s/vwIqO50VKdwQQyOAOTv64Q

來源:本安全周報所推送內(nèi)容由網(wǎng)絡(luò)收集整理而來，僅用于分享，并不意味著贊同其觀點或證實其內(nèi)容的真實性，部分內(nèi)容推送時未能與原作者取得聯(lián)系，若涉及版權(quán)問題，煩請原作者聯(lián)系我們，我們會盡快刪除處理，謝謝！