杭州马拉松报名系统泄露个人信息，暂停报名；苹果邀请安全专家使用定制iPhone寻找漏洞

2023-09-01 10:35 作者:联想电脑管家 0人读过 | 我要投稿

▎国内安全情报

· 01 ·

杭州马拉松报名系统泄露个人信息，官方暂停报名

杭州马拉松官网报名页面崩溃，显示大量报名者的个人信息，包括真实姓名、手机号码、身份证号等等。8月28日，杭州马拉松官网已紧急关闭报名入口，暂停报名。

报名杭州马拉松的冯先生表示，他在官网登录自己的账号报名，却跳出来另一位参赛者刘先生的个人信息，包括姓名、身份证号、性别、出生日期、服装尺码等等。

▎全球安全情报

· 01 ·

苹果启动2024年SRDP计划：邀请安全专家使用定制iPhone寻找漏洞

8月31日苹果公司正式宣布开始接受2024 年iPhone安全研究设备计划的申请，iOS 安全研究人员可以在 10 月底之前申请安全研究设备 SRD。

SRD设备是专门向安全研究人员提供的iPhone14Pro，该设备具有专为安全研究而设计的特殊硬件和软件，以便更容易地发现 iOS 系统的关键漏洞。只要是使用SRD发现的漏洞，苹果方面都会考虑给予一定的安全漏洞赏金。

研究人员在拿到为期12个月（可续借）的SRD后，可以使用它进行以下操作：

安装和启动自定义内核缓存

使用任何权限运行任意代码，包括以平台和 root 身份在沙盒外运行

设置 NVRAM 变量

为 iOS 17 中新增的安全页面表监控器（SPTM）和可信执行监控器（TXM）安装和启动自定义固件

苹果方面补充称，通过 "安全研究设备计划 "提供的 iPhone 只能由授权人员使用，且不得离开安全研究机构的场所。

· 02 ·

美国国家安全委员会意外暴露近2000家企业组织凭证

Cybernews 研究团队发现，美国国家安全委员会 (NSC) 网站上存在的一个漏洞，暴露了大约 2000 家公司和政府机构员工的凭证。NSC 是美国的一个非营利组织，提供工作和驾驶安全方面的培训。在其数字平台上，NSC 为不同企业、机构近 5.5 万名会员提供在线资源，这些企业、机构可能在该平台上持有账户，以获取培训材料或参加国家安全委员会组织的活动。

该漏洞不仅对 NSC 系统造成风险，也对使用 NSC 服务的公司造成风险。暴露的凭据可能被用于撞库攻击，这种攻击试图登录公司的VPN 门户、人力资源管理平台或公司电子邮件。

此外，这些凭据还可以用于获得对公司网络的初始访问权限，以部署勒索软件、窃取或破坏内部文档，或者访问用户数据。

· 03 ·

FBI打击QakBot僵尸网络：20万僵尸木马经流量重定向自动卸载

当地时间8月29日，美国联邦调查局（FBI）和司法部（DOJ）宣布开展了一项跨国行动，以打击和摧毁名为Qakbot的恶意软件和僵尸网络。此次行动发生在美国、法国、德国、荷兰、罗马尼亚、拉脱维亚和英国，是美国主导的对僵尸网络基础设施的最大规模摧毁行动之一，网络犯罪分子利用该僵尸网络基础设施实施勒索软件、金融欺诈和其他网络犯罪活动。联邦调查局局长克里斯托弗·雷(Christopher Wray)表示：“联邦调查局消灭了这个影响深远的犯罪供应链，将其彻底切断。” “受害者包括东海岸的金融机构、中西部的关键基础设施政府承包商、西海岸的医疗设备制造商。”

据悉，全球执法机构在全球范围内识别并访问了超过70万台受Qakbot感染的计算机，其中包括超过20万台位于美国的计算机。此次行动还从Qakbot网络犯罪组织中查获了近900万美元的加密货币，这些资金现在将提供给受害者。