各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

1、马斯克血洗Twitter，网络安全部门集体被裁

根据Twitter新任首席信息安全官Lea Kissner发布的消息，原有的网络安全部门集体被裁撤。

2、头铁！医疗保险巨头拒绝向黑客支付赎金

澳大利亚最大的医疗保险公司 Medibank 明确表示，不会向对其发动网络攻击并窃取内部数据的犯罪分子支付赎金。

3、将机密藏在三明治中，美国夫妇因出售核潜艇机密被判入狱

一夫妇因试图窃取核潜艇设计机密并出售，曾将泄密的SD卡置于花生酱三明治中，期间FBI派出卧底与其进行对接。二人于11月9日正式被判刑入狱

4、美官方为软件供应商提出供应链安全指南

美国国家安全局（NSA）、网络安全及基础设施安全局（CISA）、国家情报总监办公室（ODNI）携手发布了保护软件供应链的实操指南。该指南内容总共有40页，主要提及了软件供应商在供应链中所需要承担的责任和改进方法

5、俄罗斯背景的LockBit勒索软件运营商在加拿大被捕

当地时间11月10日，欧洲刑警组织宣布在加拿大安大略省逮捕了一名LockBit勒索软件运营商，该勒索软件与俄罗斯相关，经常针对全球关键基础设施组织和知名公司。

1、新形式的钓鱼软件专门针对 Python 开发人员

最近，一种新形式的钓鱼软件专门攻击 Python 开发人员。攻击者通过伪造的 Python 包并使用常规的伪装技术，通过 W4SP Stealer 来感染开发人员的系统。

2、自称“正义之刃”的黑客组织瞄准沙特阿拉伯，可能与伊朗有关

自称“正义之刃”的攻击组织发布了 Smart Link BPO Solutions 泄露的数据。Smart Link BPO Solutions 是一家外包 IT 供应商，其合作的对象主要为沙特阿拉伯王国和海湾地区其他成员国的政府机构及企业。

3、一新型恶意扩展可以远程控制谷歌浏览器

Zimperium的研究人员发现了一个新的名为“Cloud9”的 Chrome 浏览器僵尸网络，它使用恶意扩展来窃取在线帐户、记录击键、注入广告和恶意 JS 代码，并让受害者的浏览器参与 DDoS 攻击。

4、VMware 修复了三个身份认证绕过漏洞

VMware 近期发布了安全更新，以解决 Workspace ONE Assist 解决方案中的三个严重漏洞，分别追踪为 CVE-2022-31685（认证绕过）、CVE-2022-31686 （认证方法失败）和 CVE-2022-31687 （认证控制失败）。

5、2.7万份文件泄露，乌克兰”IT军团“入侵俄罗斯中央银行

该组织公开了一个大小为2.6GB的文件包，TheRecord对部分内容进行审查发现，其中详细记录了银行业务、安全政策以及一些员工个人资料，甚至一些俄罗斯军人的个人资料、电话号码和银行账号。

1、卧底揭秘：印度雇佣黑客行业背后的英国大雇主

11月6日，《星期日泰晤士报》（The Sunday Times）和调查新闻局（Bureau of Investigative Journalism）的一项卧底调查，通过一个印度“雇佣黑客”团伙内部泄露的数据库，揭露了一些印度黑客替伦敦的企业情报公司入侵英国企业、记者和政界人士的电子邮件账户等攻击行为。这些卧底爆料在西方企业情报圈引起了恐慌，因为许多企业都曾使用过印度雇佣黑客，尤其是英国企业。卧底记者与若干印度黑客取得了联系，探寻雇佣黑客的行业生态及其地下产业对英国的影响。

2、黑掉卫星Hack-A-Sat太空信息安全挑战赛分析及启示

2020年9月4日,美国白宫发布了首份针对太空网络空间安全的指令——《航天政策第5号令》，其为美国首个关于卫星和相关系统网络安全的综合性政策，标志着美国对太空网络安全的重视程度达到新的高度。在此背景下，美国自2020年起，连续两年举办太空信息安全大赛“黑掉卫星（Hack-A-Sat）”，在《Hack-A-Sat太空信息安全挑战赛深度解析》一书中有详细介绍，本文在介绍了大赛的基本情况，对赛事数据进行了统计分析的基础上，给出了对我国太空信息安全的几点启示。

3、谈谈域渗透中常见的可滥用权限及其应用场景

本文描述了四种域中容易被滥用的权限及其应用场景和造成的危害，站在防御的视角上来讲，甲方的安全人员或者运维人员可以把Bloodhound工具在日常的运维和安全检查中用起来，通过Bloodhound的图形化界面和自动化的分析，以便于及时发现可能被滥用的权限以及攻击路径，以便于及时的排除潜在的安全风险。

1、EvilnoVNC：一款针对组织安全与安全意识培训的网络钓鱼平台

EvilnoVNC是一款针对组织安全与安全意识培训的网络钓鱼平台，该工具开箱即用，可以帮助各大企业组织对内部员工进行安全意识培训，而且也可以帮助广大研究人员测试和研究网络钓鱼防御技术。

2、ShoMon：一款针对TheHive的Shodan监控整合方案

ShoMon是一款针对TheHive的Shodan监控整合方案，该工具基于Golang开发，专为TheHive设计，而TheHive则是一个可扩展的四合一开源和免费的安全事件响应平台。这4个是TheHive, Cortex, TheHive4py (TheHive的python API)和MISP。TheHive的设计是为了让soc、csirt、cert和任何信息安全从业者在处理需要迅速调查和采取行动的安全事件时生活得更轻松。

3、如何使用bomber扫描软件物料清单（SBOM）以查找安全漏洞

bomber是一款针对软件物料清单（SBOM）的安全漏洞扫描工具，广大研究人员可以通过该工具扫描和检测软件物料清单（SBOM）。该工具可以读取任何基于JSON或XML的CycloneDX格式，或JSON SPDX或Syft格式的SBOM，然后立刻告诉广大研究人员目标SBOM中是否存在任何安全漏洞。