3月27日，星期一，您好！中科汇能与您分享信息安全快讯：

黑客一直在积极瞄准Adobe ColdFusion中的漏洞，以远程执行代码并破坏服务器，领先的专家敦促用户立即更新到修补的版本。安全公司Rapid7警告说，它已经确定了至少从1月初开始的攻击活动，该活动已经破坏了多个组织的 ColdFusion 安装。它无法最终将这些攻击与任何特定漏洞联系起来，这意味着尚不清楚零日漏洞是否起作用。

Adobe 建议所有用户安装 ColdFusion 2018 update 16或ColdFusion 2021 update 6来修复该漏洞。这些更新还修补了另外两个缺陷：一个严重漏洞——意味着它允许远程代码执行——通过反序列化不受信任的数据，指定为 CVE-2023-26359，以及一个路径遍历缺陷，指定为 CVE-2023-26361，评级为“重要”，这意味着它本身的风险较小，但可以与其他攻击联系在一起。

据外媒报道，美国医疗服务公司Independent Living Systems (ILS) 发生一起数据泄露事件，暴露超400万人的个人和医疗信息。目前，该公司正在通过信件通知受影响的个人。通知指出，受影响的信息类型因人而异，可能包括姓名、地址、出生日期、驾驶执照等信息。该公司表示，将为受影响的个人免费提供12个月的Experian（美国一征信机构）信用监测和恢复服务。

2023年度的世界黑客大赛（Pwn2Own）已于当地时间3月22日在温哥华开赛，目前，比赛正接近尾声。

在本届世界黑客大赛期间演示和披露零日漏洞，供应商须在比赛结束后 90 天内为所有报告的缺陷创建和发布安全修复程序，并由主办单位趋势科技的零日计划公开披露。在去年的比赛中，安全研究人员在入侵 Windows 116 次、Ubuntu Desktop 4 次并成功展示了三个 Microsoft Teams 零日漏洞后总计获得了115万美元奖金。

Security Affairs 网站披露，韩国美妆内容平台 PowderRoom 泄露了近 100 万用户的个人信息信息，安全研究人员声称泄露的数据库已经公开使用了一年多。据悉，此次泄露的信息主要包括用户姓名、电话号码、电子邮件、Instagram 用户名和家庭地址等。

此次数据泄漏事件或引发许多网络安全危机，攻击者可能利用这些数据发起网络钓鱼和设备劫持攻击，进行未经授权的购买，并跟踪用户。好消息是，目前韩国国家计算机应急小组表示数据已经得到了保护。

随着14名主要犯罪嫌疑人，被依法宣判，这起由辽宁鞍山警税联合侦破，全国首例，利用黑客技术手段，虚开增值税专用发票案，宣告终结！

经过深查发现，这个涉税犯罪团伙是一个职业化程度更高，作案手法更多样，犯罪危害性更大的犯罪组织。不仅利用“黑客”技术手段暴力虚开增值税专用发票非法获利。而且，通过200余个空壳公司移花接木，变更进口货物品名冲抵进项，向外虚开燃料油销项发票等更加复杂隐蔽的犯罪手段，极难发现和侦查。

该犯罪团伙不仅拥有技术能力，而且拥有“马仔”打手，多次采用非法拘禁的方式向购票企业人员索要赃款，所获赃款再由专门人员周转洗钱，是一个多种涉税犯罪手段相结合的职业化犯罪集团。

公安机关在全国范围内展开强大的收网攻势，先后抓获技术黑客、买票逃税企业经营者在内的22名犯罪嫌疑人，查获了作案用的黑客文件12份、银行卡500余张、电脑30余台、手机60余部、现金1500余万元。

近日，ChatGPT 遇到了大麻烦——被爆用户聊天记录泄露 ，逼得 OpenAI 首席执行官萨姆 · 奥尔特曼不得不亲自出面，在其社交媒体上发文解释 BUG 问题源于开源代码库中存在的一个错误，最终导致用户 ChatGPT 聊天历史泄露，目前开发团队已经发布修复程序，且已经完成验证，对此非常抱歉。

据悉，ChatGPT 用户历史聊条记录泄露事件早就已经出现，国外部分用户在社交媒体上反馈其聊天记录中显示了来自其他用户的 ChatGPT 聊天对话。

随后，OpenAI 向媒体承认 ChatGPT 出现了 Bug，并下线聊天历史功能。值得注意的是，OpenAI 一直强调发生泄漏的只有聊天历史标题，用户无法看到别人实际聊天内容。

在监控 REF2924 团伙时，研究人员发现攻击者将注意力从数据窃取转移到持久化。2023 年 1 月 20 日，攻击者使用类似于 Microsoft 分布式事务处理协调服务（msdtc.exe）的合法二进制文件的命名约定，创建并安装了一个新的可执行文件 wmdtc.exe 作为 Windows 服务。

Wmdtc.exe 是一个用 C# 编写的 HTTP 监听程序，被命名为 NAPLISTENER。与 SIESTAGRAPH 开发的其他恶意软件类似，NAPLISTENER 旨在逃避各种形式的网络检测。根据遥测分析，NAPLISTENER 主要活跃在南亚与东南亚地区。

波多黎各渡槽和下水道管理局（PRASA）正在调查上周袭击该机构的网络攻击。袭击发生后，该机构迅速启动了事件响应程序。

该机构指出，该机构在波多黎各管理的关键基础设施的运营没有受到影响。

目前，该机构尚未透露攻击背后的组织的名称，但Vice社会勒索软件团伙已将该机构添加到其Tor泄漏站点的受害者名单中。勒索软件团伙泄露了受影响个人的护照、驾驶执照和其他文件。

执行总统多里尔·帕甘（Doriel Pagán）只说，这次袭击是由 “已经在国家层面确定的犯罪组织” 实施的。

在设置小偷抓住小偷的案例中，英国国家犯罪局（NCA）透露，它已经创建了一个虚假的DDoS租用网站网络，以渗透地下的在线犯罪分子。

“到目前为止，所有NCA运营的网站都被大约数千人访问，这些网站看起来看起来提供了使网络犯罪分子能够执行这些攻击的工具和服务，”执法机构说。

DDoS-for-hire（又名“Booter”或“Stresser”）服务将受感染设备网络的访问权限出租给其他犯罪分子，这些犯罪分子试图对网站发起分布式拒绝服务（DDoS）攻击并迫使它们离线。

众议院能源和商业委员会主席凯茜·麦克莫里斯·罗杰斯（Cathy McMorris Rodgers）上周四领导了指控，拉开了广受期待的周作证的序幕。

立法者不仅询问了该应用程序的侵入性数据收集做法，还询问了该平台对青少年，儿童的影响及其与中国共产党（CCP）的关系。

听证会的标题是“TikTok：国会如何保护美国数据隐私并保护儿童免受在线伤害”，这是周首次在国会委员会面前露面。

经过五个小时的激烈质疑，这场戏剧似乎以立法者更加努力地反对视频共享平台而告终。

有人评论说，周是一个“善于言语的舞者”，并指责首席执行官避免对委员会提供的证据提出尖锐的问题。

另一位代表直截了当地问周，字节跳动是否曾经应北京的要求监视过美国人。

周的回答——一个响亮的“不”。