嘶吼

六年来，卡巴斯基全球研究与分析团队 GReAT 一直在分享有关高级持续性威胁 (APT) 的季度更新。

这些摘要基于我们的威胁情报研究，为我们在私人 APT 报告中发布和讨论更详细的内容提供了代表性概述。在最新一期中，将重点关注在 2024 年第二季度观察到的活动。

最新发现

3 月，人们在 XZ 中发现了一个后门，XZ 是一个集成在许多流行的 Linux 发行版中的压缩实用程序。OpenSSH 服务器进程 sshd 使用后门库 liblzma。OpenSSH 已修补以使用许多基于 systemd 的发行版（包括 Ubuntu、Debian 和 RedHat/Fedora Linux）上的 systemd 功能，因此依赖于此库（Arch Linux 和 Gentoo 不受影响）。

该代码是在 2024 年 2 月和 3 月插入的，主要由 Jia Cheong Tan（可能是虚构身份）插入。

攻击的可能目标是通过针对 XZ 构建过程将独占的远程代码执行功能引入 sshd 进程，然后将后门代码推送到主要的 Linux 发行版，作为大规模供应链攻击的一部分。攻击者使用社会工程学来获得对源代码/开发环境的长期访问权限，并通过伪造明显的人类交互来扩展该访问权限，以建立引入恶意代码的可信度。

liblzma 库中的后门是在两个层面引入的。生成最终软件包的构建基础架构的源代码经过了轻微调整（通过添加一个额外的文件 build-to-host.m4），以提取隐藏在测试用例文件 ( bad-3-corrupt_lzma2.xz ) 中的下一阶段脚本。

然后，该脚本从另一个测试用例文件 ( good-large_compressed.lzma ) 中提取了一个恶意二进制组件，该文件在编译过程中与合法库链接，并被发送到 Linux 存储库。

一些大型供应商最终在测试版和实验版中发布了恶意组件，却没有意识到这一点。XZ Utils 的入侵被赋予了标识符 CVE-2024-3094，最高严重性评分为 10。

攻击者的最初目标是成功挂钩与 RSA 密钥操作相关的函数之一。在对挂钩过程的分析中，我们重点关注了后门在 OpenSSH 中的行为，特别是 OpenSSH 便携版本 9.7p1（最新版本）。我们的分析揭示了有关后门功能的许多有趣细节。

·攻击者设置了防重放功能，以确保后门通信不会被捕获或劫持。

·作者使用自定义隐写技术将后门解密的公钥隐藏在 x86 代码中。

·后门挂钩日志记录功能，以隐藏其对 SSH 服务器的未经授权连接的日志。

·该后门钩住了密码认证功能，使得攻击者可以使用任意用户名/密码登录受感染的服务器，而无需进行任何进一步的检查。对于公钥认证，它也做同样的事情。

·该后门具有远程代码执行功能，这意味着攻击者可以在受感染的服务器上运行任何系统命令。

PcExter

在之前关于 ToddyCat 的报告中，我们描述了用于收集和泄露此 APT 威胁者感兴趣的文件的各种工具。其中一种工具是 PcExter，它最初仅用于泄露以前借助其他工具（例如 FileScan）收集的数据。然而，我们最近发现了一个新版本 PcExter 2.0，它已完全重新设计并用 .NET 重写，能够收集数据本身，并使用改进的文件搜索机制。我们发现了此工具的几个版本以及一组特殊的加载器。

2021 年，我们发布了一份私人报告，描述了 QSC 的技术细节，QSC 是一个在调查针对南亚电信行业的攻击时发现的框架。

虽然我们的研究没有揭示该框架是如何部署的，也没有揭示其背后的威胁组织，但我们继续监控我们的遥测数据，以进一步检测 QSC 框架。2023 年 10 月，我们在西亚地区多次检测到针对 ISP 的 QSC 框架文件。调查显示，目标机器自 2022 年以来就已感染了 Quarian 后门版本 3（又名 Turian），并且相同的攻击者从 2023 年 10 月 10 日开始使用此访问权限部署 QSC 框架。除了 QSC 框架之外，攻击者还部署了一个用 Golang 编写的新后门，我们将其命名为“GoClient”，且在 2023 年 10 月 17 日首次看到了此 GoClient 后门的部署。在分析了此活动中的所有工件后，我们中等程度地评估 CloudComputating 威胁分子是 QSC 框架和 GoClient 后门部署的幕后黑手。

2023 年初，当该威胁者使用受监控的恶意 IIS 模块 Owowa 的修改版本时，发现了 GOFFEE 的活动。从那时起，GOFFEE 停止使用 Owowa 以及 PowerShell RCE 植入物 VisualTaskel；然而，它继续利用威胁分子之前基于 HTA 的感染链 PowerTaskel 进行入侵，并在其武器库中添加了一个伪装成合法文档并通过电子邮件分发的新加载程序。

我们最近发现了一种新的远程访问工具 (RAT)，检测率较低，名为 SalmonQT。引起我们注意的是，该样本使用 GitHub 的 REST API 接受指令和上传数据，从而充当 C2（命令和控制）服务器。

乍一看，GitHub 存储库的路径似乎已被删除，但仔细检查后发现，存储库已设置为私有，并且只有使用正确的令牌才能访问 REST API。

中东

Gaza Cybergang 至少从 2012 年开始活跃，主要针对中东和北非。

当我们首次开始跟踪该组织时，其攻击性质相对简单，通常依赖于公开可用的恶意软件家族，例如 QuasarRAT。尽管如此，该组织仍展示了我们至今仍能看到的特定 TTP – 每次活动仅针对少数目标。

今年年初，我们发现了几起涉及 Gaza Cybergang 的案例，威胁者对其 TTP 进行了轻微调整。该组织不再使用 tabcal.exe 作为侧载其初始访问下载程序 IronWind 的工具，而是改用另一个合法的 Windows Media Utility 文件 setup_wm.exe。诱饵也更改为更通用的主题，而不是专注于特定的地缘政治局势。

东南亚及朝鲜半岛

2023 年，我们在调查使用一组恶意软件家族的攻击时发现了神秘大象，这些恶意软件家族之前与其他已知威胁者（如 SideWinder 和 Confucius）有关。

在分析基础设施时，我们意识到这些攻击实际上不是由任何先前已知的威胁者发起的，而是由我们称为神秘大象的新威胁者发起的。自那时以来，该威胁者一直很活跃，自我们首次报告以来已发动了多次攻击。

我们发现了神秘大象在最近的攻击中开发和使用的大量新恶意软件家族，以及最近创建的基础设施和更新的工具——主要是后门和加载程序，以最大限度地减少攻击早期阶段的检测。在我们的报告中，我们描述了该威胁者发起的最新攻击，并分析了新发现的恶意软件样本和相关基础设施。

黑客行动主义

随着 2022 年 2 月俄乌冲突的爆发，双方出现了数百个不同的黑客组织。其中一个组织是 -=Twelve=-。该组织在信息领域宣称自己已经入侵了俄罗斯联邦的各个政府和工业企业。其中一些目标已在该组织自己平台上的官方频道上发布，而其他目标则仍处于暗中。

虽然互联网上有来自各种 CTI（网络威胁情报）供应商的关于 Twelve 组织的多份报告，试图描述该组织的活动，但我们没有看到任何详细介绍攻击中使用的工具和技术的报告。我们关于 Twelve 的报告详细概述了该组织使用的 TTP 以及与其基础设施的连接。

今年 2 月，阿尔巴尼亚地理统计研究所 (INSTAT) 遭到攻击。这次攻击是国土正义组织所为，该组织自称是一个黑客行动主义组织，但被怀疑是受政府支持的组织。三年多来，该组织一直在无情地攻击阿尔巴尼亚目标，尤其是政府部门。攻击者能够获取超过 100TB 的数据，并破坏组织的官方网站和电子邮件服务，并清除数据库服务器和备份。

袭击的主要原因之一是阿尔巴尼亚境内有圣战者组织 (MEK) 难民营：国土正义组织认为该组织是恐怖组织，并认为阿尔巴尼亚政府的特定部门和某些公司为他们提供支持和资金。

威胁者持续进行网络行动，旨在传达其反 MEK 的政治信息。他们试图在阿尔巴尼亚人民中获得支持，让政府放弃 MEK——他们的行动属于所谓的心理战 (PsyOps) 活动。

我们分析了该组织的活动历史，该组织近三年来一直在进行网络攻击，旨在对阿尔巴尼亚政府和民众施加长期压力。在报告中，我们介绍了该组织的主要活动，包括与具有相同目标的盟友组织合作的复杂行动，以及机会性攻击。

还描述了该组织使用的主要技术，包括利用面向互联网的服务器进行初始访问、横向移动活动、扩大攻击面，以及在网络行动的最后破坏阶段使用自定义擦除恶意软件和勒索软件。此外，我们还研究了该组织的说服机制，例如通过社交网络和新闻媒体扩大消息范围、分享被盗数据以获得恶名并倡导变革，以及不断威胁未来发动攻击以使其目标保持永久警惕状态。

其他发现

安全研究人员在东非的一个系统上发现了一个新的模块化恶意软件框架，我们将其命名为“Aniseed Vodka”：该系统于 2018 年被感染。该框架由一个主模块、一个 JSON 格式的配置文件和一组插件组成。

该框架具有高度可配置性，允许其操作员指定插件的操作参数，并按特定间隔安排插件任务（例如屏幕捕获、网络摄像头捕获和数据泄露）。该框架采用反检测和反取证技术，使其能够隐蔽地运行。它使用非传统通信渠道来逃避网络检测，使用 Google Chat 作为 C2 渠道，使用 Gmail 发送警报，使用 Google Drive 作为泄露渠道。据我们所知，我们在报告中介绍的框架并不为公众所知。我们无法将此框架与现有的威胁者联系起来。

我们之前关于 DinodasRAT 的报告显示，Linux 后门版本与 Windows 版本在功能上存在大量重叠，并且还具有其他特定于 Linux 的功能，例如通过 systemd 或 SystemV 实现持久性。

近几个月来，我们收集了更多相关样本，从而对 Linux 变体有了更深入的了解。有迹象表明，早在 2021 年，它就已在攻击活动中使用。

此前，ESET 披露了一项正在进行的 APT 活动，该活动使用了该威胁的 Windows 版本，该活动名为“Operation Jacana”，该活动之前被识别为 XDealer。据 Trend Micro 描述，DinodasRAT 也被用于最近的 APT 活动，该活动包括 Windows 和 Linux 版本。在我们关于 DinodasRAT Linux 变体的最新报告中，重点关注了与 C2 的网络通信以及恶意软件在受感染机器上执行的操作，而不仅仅是建立持久性和等待 C2 命令。

2024 年 5 月，我们发现了一个针对俄罗斯政府实体的新 APT。CloudSorcerer 恶意软件是一种复杂的网络间谍工具，用于通过 Microsoft、Yandex 和 Dropbox 云基础设施进行隐身监控、数据收集和泄露。该恶意软件使用云资源作为其 C2 服务器，通过使用身份验证令牌的 API 访问它们。

此外，CloudSorcerer 使用 GitHub 作为其初始 C2 服务器。CloudSorcerer 的作案手法让人想起了我们在 2023 年报道过的 CloudWizard APT。然而，恶意软件代码完全不同。我们认为 CloudSorcerer 是一个新的威胁者，它采用了类似的方法与公共云服务进行交互。

4 月，我们发现了一项此前未知的活动，该活动使用 Telemos 后门针对俄罗斯的组织（包括政府部门）。该恶意软件以 ZIP 文件的形式通过鱼叉式网络钓鱼电子邮件发送，其中包含两种类型的植入程序之一 - 带有 .SCR 扩展名的 PE64 可执行文件或带有 .WSF 扩展名的 Windows 脚本文件。它们会植入并执行具有后门功能的基于 PowerShell 的脚本。我们发现了与这些攻击相关的几个恶意样本，并能够恢复原始源代码。

此威胁的主要目的是间谍活动——从浏览器中收集数据，例如登录凭据、cookie 和浏览历史记录，以及从受影响系统上的可用驱动器收集感兴趣的文件。目前无法将该操作与已知的威胁者联系起来。

写在最后

虽然一些威胁者的 TTP 保持不变，例如严重依赖社会工程学进入目标组织或入侵个人设备，但其他威胁者已更新其工具集并扩大其活动范围。我们定期的季度报告旨在重点介绍与 APT 团体相关的最重要发展。

以下是我们在 2024 年第二季度看到的主要趋势：

·本季度的重点亮点是集成到许多流行 Linux 发行版中的 XZ 压缩实用程序的后门 - 特别是使用社会工程学来获取对开发环境的持续访问权限。

·本季度，我们发现 APT 活动集中在欧洲、美洲、亚洲、中东和非洲，针对的是政府、军事、电信和司法系统等多个领域。

·大多数 APT 活动的目的是进行网络间谍活动，尽管有些活动是为了获取经济利益。

·黑客攻击也是本季度威胁形势的一个特点。并非所有这些攻击都集中在公开冲突地区，正如国土正义组织对阿尔巴尼亚实体的攻击所示。

需要强调的是，报告是我们对威胁形势的洞察的产物。然而，重要的是要记住，虽然我们在不断改进，但总有可能存在其他可能被忽视的复杂攻击。

值得一提的是，当提到 APT 组织使用俄语、或其他语言时，我们指的是这些组织使用的各种工具（例如恶意软件调试字符串、脚本中的注释等）中包含这些语言的单词，这些工具是基于我们直接获得的信息或以其他方式公开和广泛报道的信息。使用某些语言并不一定表示特定的地理关系，而是指向这些 APT 工具背后的开发人员使用的语言。

近日，中关村网络安全与信息化产业联盟（以下简称“联盟”）秘书长邹冬携国家信息技术安全研究中心原科研部长石峰、北京市科技项目评审专家/中国国防工业企业协会自主可控工作专家委员/中国国防工业关键技术军事观察站观察员郭守祥、中国智能终端操作系统产业联盟秘书长曹冬等专家到访梆梆安全。

梆梆安全高级副总裁方宁、安全服务中心总监黄潇、营销中心市场营销总监句雅楠作为公司代表出席本次活动，并对联盟专家团到访表示热烈欢迎。

联盟秘书长邹冬

会议伊始，联盟秘书长邹冬表示此次走访目的旨在提升联盟服务内容和能级，加强与会员企业的有效沟通，全面掌握会员企业发展状况，倾听会员企业的困难及诉求，促进会员之间的合作与共赢，充分发挥社会组织和行业平台应有的职能与作用。

梆梆安全高级副总裁方宁

梆梆安全高级副总裁方宁对联盟到访表示欢迎和感谢，随后对公司业务范围、核心竞争力、技术创新、市场布局、现有产品及业务能力体系等情况进行详细介绍。梆梆安全开创、繁荣了移动应用安全蓝海市场，建立了全面的移动应用安全防护生态体系，并在业务上形成了以移动安全为主体，联动安全服务和物联网安全的“一体两翼”业务体系，以及由技术、产品、解决方案和咨询服务构成的“四位一体”产研体系。勇担“保护您的软件”使命，始终以客户为中心，通过专业的安全产品和服务为政府、企业、开发者和消费者打造安全稳固可信的网络空间生态环境。

安全服务中心总监黄潇

安全服务中心总监黄潇就专家团产生极大兴趣的梆梆全栈自研纯血鸿蒙安全产品以及车联网相关产品服务与专家团交流探讨。在鸿蒙业务方向，作为华为生态合作伙伴，梆梆安全以安全标准为参考依据，以安全引擎为技术核心，构建了完整的泛应用安全保护体系。基于自身多年的泛应用安全保护技术、漏洞风险测评技术、攻击风险安全监测技术和隐私合规检测技术，建立了一体化的纯血鸿蒙系统“系统-设备-应用-运行环境”的闭环验证流程，确保从应用开发到用户使用的全生命周期安全。目前，全栈自研纯血鸿蒙安全产品已实现HarmonyOS Next的完全适配，可持续为鸿蒙原生应用生态打造安全基座。在车联网方向，梆梆安全作为全球最早一批开展车联网信息安全研究及服务的企业，于2016年成立安全研究院，深度钻研信息安全管理对汽车产业的重要价值，致力于车联网行业领域的前沿探索与实践研究，专注智能网联车辆的网络安全和数据安全能力的研究与实践应用，广泛参与国内外车联网信息安全相关的标准法规的制定和解读。2021年，联合国欧洲经济委员会（UNECE ）R155法规、R156法规等法规生效，梆梆安全已成功为多家汽车和零部件供应商提供基于合规的车联网安全测试服务。2023年，梆梆安全正式成立“泰防实验室”，专业的车联网技术研究团队，围绕汽车安全检测、渗透测试、创新技术攻关等，为智能网联汽车产业提供强有力的全业务支撑。

营销中心市场营销总监句雅楠

随后，营销中心市场营销总监句雅楠对未来与联盟的合作方向表示，一方面，希望联盟能够组织网络安全领域的政策宣讲学习活动，有利于企业了解国家对网络安全行业的发展指引；另一方面，也希望能够通过联盟促进专业人才的培养和输送，合作开展网络安全领域的专业培训等活动。

莅临到访的专家团在认真听取梆梆安全的业务发展与市场方向后，纷纷就各自感兴趣的内容展开深入探讨，并提出建设性意见，为梆梆安全未来的业务拓展提供支持。最后，联盟秘书长邹冬在总结讲话中表示，走访活动的开展是深入企业一线，倾听企业声音，了解企业实际需求，积极为企业提供政策指导、技术支持和市场对接等服务。梆梆安全也期冀通过与联盟探索合作方式的更多可能，助力企业取得更大的业务突破和发展。

2024年9月7日至12日，一年一度的国家网络安全宣传周（广州主会场）拉开帷幕。本次网安周以“网络安全为人民，网络安全靠人民”为主题，举办开幕式、网络安全技术高峰论坛主论坛暨粤港澳大湾区网络安全大会、网络安全博览会，集中发布一系列网络安全领域重要成果。同时举行校园日、电信日、法治日、金融日、青少年日、个人信息保护日等系列主题日活动。

作为移动应用安全的引领者，梆梆安全（3B06展位）展出了包括全栈自研移动应用加固产品、移动应用合规平台以及端到端&全渠道移动安全解决方案在内的多项拳头产品，获得各界嘉宾广泛关注。

梆梆安全以安全标准为参考依据，以安全引擎为技术核心，构建了完整的泛应用安全保护体系。此次广州网安周期间，特别展出了适用于华为HarmonyOS操作系统的纯血鸿蒙安全产品。目前，全栈自研纯血鸿蒙安全产品已实现HarmonyOS Next的完全适配，可持续为鸿蒙原生应用生态打造安全基座。

随着数字经济时代下API爆发式增长，API接口管理不当造成的数据安全风险、业务安全风险和连续性风险，给企业的安全能力带来了新的挑战。

梆梆安全基于“端到端的全渠道风险防护”技术理念，结合业务终端安全接入具体需求，推出“动静结合、横向端到端联动+实时防御、纵向全渠道联动”的移动应用安全解决方案，帮助企业实时感知客户端风险，实现端到端的安全协同，开展多样化的全业务渠道实时防御，各渠道联防联控，全方位构建移动终端的数据保护安全能力，打造“安全合规、架构稳定、产品易用”的移动终端安全环境。

与此同时，梆梆安全不仅在广州主会场精彩亮相，还在河南、西安、广西、安徽等多个省份同步参与了网安周的相关活动。

梆梆安全诚挚邀请各位莅临参观交流，共同探讨移动安全领域的最新趋势和技术发展。我们期待着与您一起，在保障国家数字安全的道路上携手前行。

一种名为“PIXHELL”的新型声学攻击可以通过连接到的 LCD 显示器，无需扬声器而泄露物理隔离和音频隔离系统中的机密。

在 PIXHELL 攻击中，恶意软件会调制 LCD 屏幕上的像素模式，以在 0-22 kHz 的频率范围内产生噪声，并在这些声波中携带编码信号，这些信号可以被附近的设备（例如智能手机）捕获。

PIXHELL 攻击设置

研究人员的测试表明，数据泄露的最大距离为 2 米，数据速率达到 20 比特每秒。

虽然这对于实现大文件传输来说太慢，但实时键盘记录和窃取可能包含密码或其他信息的小文本文件仍然是可能的。

隐蔽音频通道

PIXHELL 由 Mordechai Guri 博士开发，他因对从隔离环境中泄露数据的方法进行广泛研究而闻名。就在上周，这位研究人员发表了另一篇关于一种新型侧信道攻击的论文，这种攻击被称为“RAMBO”，用于攻击的隔离内存总线辐射，它可以通过从设备的 RAM 组件产生电子辐射来窃取隔离环境中的数据。

PIXHELL 攻击方法利用了 LCD 屏幕因线圈噪音、电容器噪声或设备无法物理消除的固有振动而产生的意外声发射。

使用特制的恶意软件，攻击者可以使用以下调制方案将加密密钥或击键等敏感数据编码为声音信号：

·开关键控 (OOK)：通过打开和关闭声音对数据进行编码。 

·频移键控 (FSK)：通过在不同频率之间切换对数据进行编码。

·幅移键控 (ASK)：通过改变声音的幅度（音量）对数据进行编码。

调制不同频率的声音信号

接下来，通过改变液晶屏上的像素图案，调制后的数据会通过液晶屏传输，从而改变设备组件发出的声音。

笔记本电脑或智能手机等恶意或受感染设备附近的麦克风可以拾取声音信号，随后可能将其传输给攻击者进行解调。

附近麦克风接收到的声学信号的频谱图

值得注意的是，PIXHELL 可以在涉及多个信号源和单个接收者的环境中执行，因此如果这些系统被恶意软件感染，则可以同时从多个隔离系统中捕获秘密。

PIXHELL 恶意软件发出的声音频率通常在 0 - 22 kHz 频率范围内，人类几乎听不到。相比之下，人类通常能听到 20Hz 至 20kHz 频率范围内的声音，而普通成年人的上限通常在 15-17kHz 左右。

同时，攻击中使用的像素图案对用户来说是低亮度的或不可见的，这使得攻击特别隐蔽。

应对策略

可以实施多种防御措施来抵御 PIXHELL 和其他类型的声学侧信道攻击。在高度关键的环境中，出于谨慎考虑，应完全禁止在某些区域使用携带麦克风的设备。干扰或噪声生成也是一种解决方案，即引入背景噪声来干扰声学信号并增加信噪比 (SNR)，使攻击变得不可行。

安全研究人员还建议使用摄像头监控屏幕缓冲区，以检测与系统正常运行不匹配的异常像素模式。

2024年9月11日，北京丈八网络安全科技有限公司（以下简称“丈八网安”）宣布正式完成人民币5000万元的B轮融资。本轮融资由广州白云金融控股集团有限公司（简称白云金控）和泓沣北京私募基金管理有限公司（简称泓沣资本）共同投资。白云金控作为本轮新增的直接投资股东，高度认可丈八网安过往发展取得的骄人成绩，并继续看好公司广阔的发展前景。泓沣资本作为公司首轮融资的独家投资人持续加码，不但用实际行动体现老股东对公司的支持和鼓励，更极大地提振了市场对丈八网安业务和技术创新的信心。此次融资所得资金，丈八网安将继续用于加强技术人才的吸纳和网络仿真技术的研发，旨在进一步拓宽产品方向、丰富应用场景，有效推动网络仿真的普适化发展进程。

丈八网安成立于2021年，专注尖端网络仿真技术创新及产品研发，基于网络仿真技术推出了一系列创新产品，围绕特种、工控、金融、教育、电力等关基重点领域，在仿真网络攻防训练、竞赛、演习、应急响应预演、测试评估、策略验证、沙盘推演等多种场景中发挥重要作用。

丈八网络靶场平台——国内首个基于“网络仿真操作系统”的解耦式弹性平台

网络靶场是丈八网安推出的首款产品，区别于市面上传统网络靶场，丈八网安选择自主研发纯国产化的、仿真专用底层，开创性的采用了虚拟化技术（VMs & SDN）+数字建模仿真技术（Meta Computing）双栈引擎，来支撑其实现强大的网络仿真功能。

为了确保网络靶场可用、易用、实用，丈八网安对产品的整体架构进行革新，将承载仿真能力的底层进行独立开发，推出国内首个“网络仿真操作系统”（ZBOS），将网络靶场的典型功能场景：授课教学、考试评测、攻防演练、实战演练、测试床、CTF、AWD等以“应用”的形式开发并组合插装在系统上，实现快速部署、即插即用，在自有知识库的海量资源支撑下，形成多元化解决方案的交付。此外，平台内置的“应用中心”同时面向第三方开发者开放，使之成为行业内唯一可以进行网络仿真生态建设的靶场产品，推动了网络仿真技术在更多行业和场景落地应用。

丈八沙盘推演系统——国内唯一网络攻防专用沙盘推演产品

沙盘推演系统是丈八网安依托ZBOS推出的网络攻防专用沙盘推演产品。与网络靶场平台侧重个人开展技能训练和技术研究不同，丈八沙盘推演系统主要面向决策者或高层管理者，通过对大规模连续网络安全事件的模拟仿真，开展网络攻防技术推演、安全架构效能评估。

丈八沙盘推演系统的最大技术亮点在于其充分运用了数字建模仿真技术（Meta Computing），实现了以低资源占用模拟宏大且复杂的网络环境，对网络空间攻防所涉及的全域要素进行了精准建模。此外，该系统还借助AIGC智能体技术辅助和替代决策，实现了“人在环内”与“人在环外”的双模式推演。

目前，凭借产品及技术的创新性与稀缺性，丈八网络靶场平台在仿真能力、产品架构、用户体验等维度上形成了跨越式的领先优势，迅速跻身垂直行业市场的前列；同时，丈八沙盘推演系统有效填补了网络沙盘推演领域存在的巨大市场空白，成为极具发展潜力和想象空间的新业务增长点。凭借以上优势，丈八网安在今年资本市场普遍趋于谨慎的大背景下，仍然能够持续获得资本青睐，充分展现了其卓越的市场竞争力和深厚的投资价值。

投资方白云金控是广州白云区政府成立的区属国有产业金融平台，白云金控董事长湛珊表示：“新一代信息技术属于白云金控重点投资方向，网络安全作为新一代信息技术细分领域，丈八网安在其深耕的专业领域内，凭借卓越的技术实力和产业化落地能力，坚定地守护着国家的网络空间安全。我们看到了该公司所蕴含的高科技价值、巨大的发展潜力以及广阔的市场前景。我们期待丈八网安落地白云区，希望丈八网安能够继续发挥其核心竞争力，不断创新突破，为我国网络安全事业的发展贡献重要力量，为国家构建更加安全、稳定、繁荣的数字未来。”

投资方泓沣资本专注于新兴科技、智能安防、军民融合等行业的深度产业投资和布局，重点关注具有长期增长潜力和核心竞争力的企业。泓沣资本CEO吕俊峰表示：“丈八网安在网络仿真领域展现出的卓越创新与突破能力，每一次产品的更新都体现了团队严谨的逻辑思维和对细节的精益求精。这种对技术的执着追求和对产品的极致打磨，以及超预期的业绩表现，让我们深信丈八网安具备成长为一家伟大企业的潜力。因此，我们愿意与丈八网安携手并进，共同完成使命，共创辉煌未来。”

丈八网安CEO王珩表示：“公司将以此次融资为契机，坚定不移地走技术创新引领发展的国产化道路，在网络建模仿真技术、网络攻防大模型技术、SaaS化产品方向上持续加大研发投入。丈八网安所专注的网络靶场与沙盘推演产品，虽身处网络安全行业的特定细分领域，却是保障国家网络安全、强化安全防御机制、培育网络安全专业人才、推动网络安全技术创新与发展的重要基石。我们目前已经是这一领域的新生代佼佼者，正在以技术为刃，勇破陈规，引领着行业变革。我坚信，在不久的将来，丈八网安必将在更广阔的网络安全市场中占据举足轻重的地位，为国家网络安全事业书写全新篇章。”

据悉，随着公司产品的不断创新迭代，业务的不断发展，团队的快速成长和壮大，本轮融资的顺利完成使公司资本化之路快速迈入新的阶段。

2024年9月8日，由中央网信办指导，中国网络安全产业联盟、教育部高等学校网络空间安全专业教学指导委员会、广州市委网信办主办的2024年中国网络安全创新创业大赛总决赛及颁奖典礼在广州南沙成功举办。

“2024年中国网络安全创新创业大赛”是2024年国家网络安全宣传周的重要活动之一，目的是贯彻落实习近平总书记对国家网络安全宣传周作出的关于国家网络安全工作“四个坚持”的重要指示精神，以打造网络安全人才、技术、产业良性发展生态为核心目标，整合“政产学研用”多方优势资源，鼓励网络安全技术创新和优秀人才创业，加速创新成果产业化应用，提升产业综合竞争力，推动产业进入高质量发展的“快车道”。

大赛充分整合2024年网络安全优秀创新成果大赛、第十七届全国大学生信息安全竞赛两大赛事。梆梆安全作为网络安全优秀企业参与“2024年网络安全优秀创新成果大赛”，自5月启动申报，历时4个月，与150余家企业申报的近300项解决方案和创新产品共同角逐。

经过相关行业部门、高校、研究机构以及网络安全投资机构的资深专家评委与观众评委评审，最终梆梆安全汽车信息安全测试平台获得大赛解决方案二等奖。

梆梆安全汽车信息安全测试平台

梆梆安全汽车信息安全测试平台是专为汽车整车及零部件信息安全开发测试而设计的综合安全评估系统。平台基于梆梆安全泰防实验室多年的专业经验和技术积累，集成先进的测试方法和工具，对汽车电子控制单元（ECU）、通信协议、以及整车网络进行全面的安全性分析。利用系统能够检测到潜在的系统漏洞和安全隐患，确保汽车在运行中具备足够的抗攻击能力。

梆梆安全作为全球最早一批开展车联网信息安全研究及服务的企业，于2016年成立安全研究院，深度钻研信息安全管理对汽车产业的重要价值，致力于车联网行业领域的前沿探索与实践研究，专注智能网联车辆的网络安全和数据安全能力的研究与实践应用，广泛参与国内外车联网信息安全相关的标准法规的制定和解读。2021年，联合国欧洲经济委员会（UNECE ）R155法规、R156法规等法规生效，梆梆安全已成功为多家汽车和零部件供应商提供基于合规的车联网安全测试服务。2023年，梆梆安全正式成立“泰防实验室”，专业的车联网技术研究团队，围绕汽车安全检测、渗透测试、创新技术攻关等，为智能网联汽车产业提供强有力的全业务支撑。

多年来持续深耕，现已形成以全面适配监管规范要求、稳定承载关键测试项目、有效覆盖业务需求场景为优势的车联网安全防护体系。在智能网联车辆的安全咨询、安全开发、安全防护、渗透测试、安全合规评估等方向推出了“面向智能网联汽车的完整安全能力产品体系”，为智能网联汽车产业提供强有力的全业务支撑；同时与主机厂、监管机构、高校及科研院所等生态链合作伙伴进行深度合作，共同探索车联网安全前沿领域，切实筑牢汽车企业网络安全屏障。截至目前，已服务头部车企、Tier1零部件供应商等大量专业物联网客户及智能网联汽车项目，致力于保障车辆全生命周期的网络安全，为推动车联网生态圈高质量发展深度赋能。

2024年，梆梆安全“泰防实验室”经中国合格评定国家认可委员会（CNAS）的评审，满足GB/T 40856-2021、GB/T 40857-2021两项国家标准的全部检测要求，具备实施汽车网关和车载信息系统的检测工作能力，正式被授予“实验室认可证书”。这标志着梆梆安全泰防实验室在智能网联汽车信息安全领域的环境硬件设施、检测技术能力、质量管理水平均达到国际认可标准，出具的安全检测报告具有国际权威性与公信力，可依据ILAC框架在全球153个国家和地区实现互认。

近日，海淀区委网信办在国家网络安全教育技术产业融合发展试验区（北京海淀）网络安全公共服务平台暨网络安全融合发展联盟入驻企业座谈会上正式公布15家首批网络安全公共服务平台-综合服务中心支撑服务商及20家网络安全融合发展联盟成员名单，梆梆安全荣耀在列。

北京市海淀区作为首批国家网络安全教育技术产业融合发展试验区，由中共中央网信办、中国教育部、中国科技部、中国工业和信息化部共同组织实施。通过推动试验区建设的目的是探索网络安全教育技术产业融合发展的新机制新模式，形成一系列鼓励和支持融合发展的制度和政策，培育一批支撑融合发展的创新载体，推动在全国范围内形成网络安全人才培养、技术创新、产业发展的良好生态。

海淀区委网信办作为地市级网信办应急指挥中心规范化建设全国示范单位，已实现中央、市、区三级网信上下贯通的一体化网络应急指挥体系，提高网络安全应急保障能力和防护水平。已建成网络安全公共服务平台，旨在推动构建“技术赋能监管，监管激发需求，平台供给服务”的网络安全生态良性循环机制。以区域“网络安全渠道商”为发展目标，为入驻企业提供应用场景、项目机会。

梆梆安全移动应用安全加固服务平台、移动应用安全测评平台、移动应用合规平台、移动应用安全监测平台、APP及业务系统渗透测试服务、个人信息隐私合规评估服务、电子政务移动应用安全解决方案等已正式申报入驻该平台，同时也积极配合平台的正式上线工作，为推动国家网络安全教育技术产业融合发展试验区（北京海淀）建设，进一步提升网络安全公共服务水平贡献力量。

安全是发展的前提，发展是安全的保障。为全面展示我国网络安全的高质量发展和自主创新实力，9月6日，中国网络安全产业联盟（CCIA）正式发布“2024年度中国网络安全产业竞争力50强”榜单，梆梆安全作为移动安全的先行者，凭借深厚的技术积累、过硬的产品实力和卓越的市场表现再次入选50强榜单，持续彰显市场竞争优势。

此次调研评选工作由中国网络安全产业联盟（CCIA）组织开展，旨在深入了解我国网络安全产业发展情况，推动网络安全产业高质量发展，从资源力和竞争力两个维度对具备网络安全产品、服务和解决方案销售收入的调研企业进行评估分析，最终形成“2024年度中国网络安全产业竞争力50强”。

再度登榜，是业界内外对梆梆安全在网络安全能力、行业应用实践、客户品牌口碑等方面的高度认可，充分彰显梆梆安全在网络安全市场步履不停的竞争优势。

梆梆安全深耕移动安全领域十四载，始终以客户为中心，以持续的研发投入和产品创新，从技术、服务两个层面建立全面的移动应用安全防护生态体系，构建了应用设计开发、应用测试、应用发布、应用运维在内的 APP 全生命周期安全解决方案，形成从“保护、加固、检测”到“监管、测评、响应”的全栈产品和服务能力，聚焦各行各业新质生产力的安全态势，深入治理 APP、小程序、快应用等应用程序乱象，为客户的网络安全体系建设提供防护能力，持续不断对客户的安全负责。

金融、能源、电力、通信、交通等领域的关键信息基础设施，是经济社会运行的神经中枢，直接关系国家安全与国计民生，是网络安全工作的重中之重。随着数字化转型的加速，关基设施的移动应用保护对象存在涉及领域广、数量规模大、应用类型多、地域分布广等特征，因此安全形势严峻复杂。

网络无边，安全有界。梆梆安全作为移动安全的排头兵，深知护航国家信息安全建设任重道远。未来，梆梆安全将持续以技术创新作为锤炼立身之本，不断完善产品安全能力，提升用户体验，为筑牢国家网络安全屏障、形成网络安全新质生产力贡献力量。

9月9日，在2024年国家网络安全宣传周主论坛上，全国网络安全标准化技术委员会（以下简称“网安标委”）发布《人工智能安全治理框架》1.0版。

贯彻落实《全球人工智能治理倡议》，网安标委研究制定了《人工智能安全治理框架》（以下简称《框架》）。

《框架》以鼓励人工智能创新发展为第一要务，以有效防范化解人工智能安全风险为出发点和落脚点，提出了包容审慎、确保安全，风险导向、敏捷治理，技管结合、协同应对，开放合作、共治共享等人工智能安全治理的原则。《框架》按照风险管理的理念，紧密结合人工智能技术特性，分析人工智能风险来源和表现形式，针对模型算法安全、数据安全和系统安全等内生安全风险和网络域、现实域、认知域、伦理域等应用安全风险，提出相应技术应对和综合防治措施，以及人工智能安全开发应用指引。

网安标委秘书处主要负责人表示，《框架》1.0版的发布，对推动社会各方积极参与、协同推进人工智能安全治理具有重要促进作用，为培育安全、可靠、公平、透明的人工智能技术研发和应用生态，促进人工智能的健康发展和规范应用，提供了基础性、框架性技术指南。同时，也有助于在全球范围推动人工智能安全治理国际合作，推动形成具有广泛共识的全球人工智能治理体系，确保人工智能技术造福于人类。

点击阅读原文即可查看《人工智能安全治理框架》

文章来源：网信中国

一种被称为“RAMBO”（用于进攻的隔离内存总线辐射）的新型侧信道攻击会从设备的 RAM 产生电磁辐射，以从隔离的计算机发送数据。

隔离系统通常用于对安全性要求极高的任务关键型环境，例如政府、武器系统和核电站，这些系统与公共互联网和其他网络隔离，以防止恶意软件感染和数据盗窃。

尽管这些系统没有连接到更广泛的网络，但它们仍然可能受到通过物理介质如USB 驱动器，引入恶意软件感染或发起复杂供应链攻击。

该恶意软件可以秘密操作，以调制隔离系统的 RAM 组件，从而允许将机密从计算机传输到附近的接收者。属于此类攻击的最新方法来自以色列大学的研究人员，由 Mordechai Guri 领导，他是隐蔽攻击渠道方面经验丰富的专家，曾开发出使用网卡 LED、USB 驱动器 RF 信号、SATA 电缆和电源泄漏数据的方法。

RAMBO 攻击如何运作

为了实施 Rambo 攻击，攻击者会在隔离的计算机上植入恶意软件，以收集敏感数据并准备传输。它通过操纵内存访问模式（内存总线上的读/写操作）从设备的 RAM 产生受控的电磁辐射来传输数据。

这些发射本质上是恶意软件在 RAM 内快速切换电信号（开关键控“OOK”）的副产品，该过程不会受到安全产品的主动监控，也无法被标记或停止。

执行 OOK 调制的代码

发射的数据被编码为“1”和“0”，在无线电信号中表示为“开”和“关”。研究人员选择使用曼彻斯特编码来增强错误检测并确保信号同步，从而减少接收端出现错误解释的可能性。

攻击者可能会使用带有天线的相对便宜的软件定义无线电 (SDR) 来拦截调制的电磁辐射并将其转换回二进制信息。

单词“DATA”的EM信号

性能和限制

RAMBO 攻击的数据传输速率高达 1,000 比特每秒 (bps)，相当于每秒 128 字节，或 0.125 KB/s。

按照这个速率，窃取 1 兆字节数据大约需要 2.2 小时，因此 RAMBO 更适合窃取少量数据，如文本、按键和小文件。

研究人员发现，在测试攻击时可以实时进行键盘记录。但是，窃取密码需要 0.1 到 1.28 秒，窃取 4096 位 RSA 密钥需要 4 到 42 秒，窃取小图像需要 25 到 250 秒，具体取决于传输速度。

数据传输速度

快速传输的最大范围限制为 300 厘米，误码率为 2-4%。中速传输可将距离增加到 450 厘米，同时误码率相同。最后，误码率几乎为零的慢速传输可以在长达 7 米的距离内可靠地工作。

研究人员还尝试了高达 10,000 bps 的传输，但发现任何超过 5,000 bps 的速度都会导致信噪比非常低，从而无法进行有效的数据传输。

阻止 RAMBO

Arxiv 上发表的技术论文提供了几项缓解建议来减轻 RAMBO 攻击和类似的基于电磁的隐蔽通道攻击，但它们都引入了各种花费开销。

建议实施严格的区域限制以增强物理防御、RAM 干扰以破坏源头的隐蔽通道、外部 EM 干扰以破坏无线电信号，以及法拉第外壳以阻止气隙系统向外发出 EM 辐射。

研究人员针对虚拟机内运行的敏感进程测试了 RAMBO，发现它仍然有效。然而，由于主机内存容易与主机操作系统和其他虚拟机发生各种交互，攻击可能会很快被阻止。

一、客户背景

广东格兰仕集团有限公司（以下简称“格兰仕”），成立于1978年，是中国家电行业的领军企业之一。作为全球最大的微波炉生产基地，格兰仕拥有多项国际领先的家电制造技术，连续多年位列中国家电出口前列。格兰仕不仅注重业务的全球拓展，更重视业务流程的高效与顺畅，以确保在国际舞台上的竞争力。

二、需求痛点

随着格兰仕全球化战略的深入实施，其海外业务快速增长，电子邮件成为了关键的沟通工具。然而，邮件系统的稳定性和安全性成为了格兰仕亟需解决的问题。

由于国际网络环境的复杂性，邮件延迟、丢件、退信等问题严重影响了业务效率和客户满意度。此外，随着网络安全威胁的日益增加，如何有效防范垃圾邮件、钓鱼邮件和病毒邮件，保护企业信息安全，成为格兰仕亟待解决的问题。

三、解决方案

为了解决海外邮件收发的难题，格兰仕选择了与其现有Coremail邮件系统原厂产品CACTER安全海外中继。

01、海量优质中继服务器

CACTER安全海外中继以拥有海量优质的中继服务器为核心，确保跨境邮件高效投递。安全海外中继在世界各大主要城市比如纽约、伦敦、法兰克福、东京、新加坡，香港等均设有海外代理节点。

02、SDN服务保障投递效率

CACTER安全海外中继具备智能DNS和海量优质中继服务器，通过多通道轮询机制智能选择最佳通道进行邮件投递，从而显著提升投递成功率。

此外，Coremail的私有协议进一步为海外邮件提供加速和加密，确保通信的低延迟、低丢件率和高成功率。

03、境外恶意邮件攻击防护

CACTER安全海外中继除了提供高效的海外通邮服务外，内置的云网关具备反垃圾、反钓鱼、防病毒功能，能够为客户过滤来自海外的恶意邮件，保障海外通邮的安全性。

四、客户评价

CACTER安全海外中继的引入极大提升了格兰仕海外邮件的收发效率和安全性，使用户能够更专注于业务发展，无需担心邮件通信的障碍。

在对安全海外中继产品的评分中，格兰仕IT部系统管理的吴老师给出了满分10分的高度评价，这充分反映了格兰仕对CACTER安全海外中继的满意度和认可。

“给安全海外中继这款产品打分的话，可以给到10分（1-10分），目前产品运行还是比较稳定的。”

——格兰仕IT部系统管理吴老师

CACTER期待与格兰仕继续保持紧密的合作关系，共同面对未来的挑战，确保其全球通信的畅通无阻，助力格兰仕在全球市场中稳健前行，畅邮无阻。

CACTER安全海外中继的未来展望建立在持续创新和客户至上的理念之上。我们致力于通过提供高效、智能的邮件通信解决方案，帮助企业克服跨境通信的挑战，保护企业免受网络安全威胁的影响。

往期回顾：

2024.8.26—2024.8.31安全动态周回顾

2024.8.19—2024.8.25安全动态周回顾

2024.8.12—2024.8.18安全动态周回顾

2024.8.5—2024.8.11安全动态周回顾

2024.7.29—2024.8.4安全动态周回顾

2024.7.22—2024.7.28安全动态周回顾

2024.7.15—2024.7.21安全动态周回顾

一项新的恶意软件活动正在向全球传播一种之前未曾记录的后门“Voldemort”，主要冒充美国、欧洲和亚洲的税务机构。根据 Proofpoint 的报告，该活动于 2024 年 8 月 5 日开始，已向 70 多个目标组织传播了 20,000 多封电子邮件，在其活动高峰期一天内就达到了 6,000 封。

超过一半的目标组织属于保险、航空航天、交通运输和教育行业。此次攻击活动的幕后威胁者尚不清楚，但 Proofpoint 认为最有可能的目的是进行网络间谍活动。

此次攻击与 Proofpoint 在本月初描述的攻击类似，但最后阶段涉及了不同的恶意软件。

冒充税务机关

Proofpoint 的最新报告称，攻击者正在根据公开信息制作网络钓鱼电子邮件以匹配目标组织的位置。

网络钓鱼电子邮件冒充该组织所在国家的税务机关，声称有更新的税务信息并包含相关文件的链接。

攻击活动中使用的恶意电子邮件样本

点击该链接会将收件人带到托管在 InfinityFree 上的登录页面，该页面使用 Google AMP Cache URL 将受害者重定向到带有“单击查看文档”按钮的页面。

单击按钮后，页面将检查浏览器的用户代理，如果适用于 Windows，则将目标重定向到指向 TryCloudflare 隧道 URI 的 search-ms URI（Windows 搜索协议）。非 Windows 用户将被重定向到一个空的 Google Drive URL，该 URL 不提供任何恶意内容。

如果受害者与 search-ms 文件交互，Windows 资源管理器就会被触发，显示伪装成 PDF 的 LNK 或 ZIP 文件。

search-ms: URI 的使用最近在网络钓鱼活动中变得很流行，因为即使此文件托管在外部 WebDAV/SMB 共享上，它也会看起来好像位于本地的下载文件夹中，以诱骗受害者打开它。

使文件看起来好像位于受害者的计算机上

这样做会从另一个 WebDAV 共享中执行 Python 脚本，而无需将其下载到主机上，该脚本会执行系统信息收集以分析受害者。同时，会显示诱饵 PDF 以掩盖恶意活动。

转移受害者注意力的诱饵 PDF

该脚本还下载合法的 Cisco WebEx 可执行文件（CiscoCollabHost.exe）和恶意 DLL（CiscoSparkLauncher.dll），以使用 DLL 侧加载来加载 Voldemort。

滥用 Google 表格

Voldemort 是一个基于 C 的后门，支持各种命令和文件管理操作，包括渗透、将新的有效载荷引入系统以及文件删除。

支持的命令列表如下：

·Ping – 测试恶意软件与 C2 服务器之间的连接。

·Dir – 从受感染系统检索目录列表。 

·Download – 从受感染系统下载文件到 C2 服务器。 

·Upload – 从 C2 服务器上传文件到受感染系统。 

·Exec – 在受感染系统上执行指定的命令或程序。 

·Copy – 在受感染系统内复制文件或目录。 

·Move – 在受感染系统内移动文件或目录。 

·Sleep – 使恶意软件在指定的时间内进入睡眠模式，在此期间恶意软件不会执行任何活动。 

·Exit – 终止恶意软件在受感染系统上的运行。

Voldemort 的一个显著特点是，它使用 Google Sheets 作为命令和控制服务器 (C2)，对其进行 ping 以获取在受感染设备上执行的新命令，并将其作为被盗数据的存储库。

每台受感染的机器都会将其数据写入 Google Sheet 中的特定单元，这些单元可以通过 UUID 等唯一标识符指定，从而确保隔离并更清晰地管理受感染的系统。

请求从 Google 接收访问令牌

Voldemort 使用嵌入了客户端 ID、密钥和刷新令牌的 Google API 与 Google Sheets 进行交互，这些都存储在其加密配置中。

这种方法为恶意软件提供了可靠且高度可用的 C2 通道，同时还降低了网络通信被安全工具标记的可能性。

由于 Google Sheets 在企业中广泛使用，因此阻止该服务也不切实际。

2023 年，黑客组织 APT41 曾被发现通过使用红队 GC2 工具包将 Google Sheets 用作命令和控制服务器。为了防御此活动，Proofpoint 建议将对外部文件共享服务的访问限制在受信任的服务器上，在不需要时阻止与 TryCloudflare 的连接，并监控可疑的 PowerShell 执行。

9月4日，第二届“天网杯”网络安全大赛线下决赛圆满落幕。在决赛的对决中，来自全国的网络安全精英战队都充分展现出了自身强硬的安全实力。历经连续两天的比拼博弈，最终共有3支战队荣膺大赛一等奖，6支战队勇夺大赛二等奖，10支战队获得大赛三等奖。

本次大赛由天津市人民政府主办，国家计算机病毒应急处理中心、公安部第一研究所、天津市公安局、天津市委网信办、天津市工业和信息化局、天津市数据局、天津市滨海新区人民政府共同承办，360数字安全集团、先进计算与关键软件（信创）海河实验室、中汽数据有限公司、大数据协同安全技术国家工程研究中心、ISC平台、南京赛宁信息技术有限公司共同支持。

第二届“天网杯”网络安全大赛致力于选拔重要人才，集聚产业生态，推动数字化转型的高质量发展，共设置安全漏洞挖掘挑战赛、人工智能大模型安全挑战赛和智能网联汽车安全挑战赛三大赛道。

其中，安全漏洞挖掘挑战赛聚焦在操作系统、中间件、数据库、网络安全产品和外设产品五大类28款主流产品的安全风险以及漏洞挖掘上；人工智能大模型安全挑战赛则聚焦大模型工具的深伪识别，为识别欺诈、虚假信息活动以及有害深度伪造内容提供参考借鉴；智能网联汽车安全挑战赛则围绕硬件安全、操作系统安全、外部连接安全、通信安全、应用及业务安全等方面，对不同类型智能网联汽车安全能力进行检验。

在社会各界的高度关注与通力支持下，大赛一经开启，成功召集到230余支战队的千余名选手踊跃参赛；历经层层选拔，共有近百支战队的380名选手通过审核，获得线上初赛参赛资格。经专家裁判组对线上赛比赛成绩的评审，最终36支战队成功进入线下决赛。

决赛之中，各个战队的表现堪称实力非凡，充分展现了良好的竞技状态和高超的技术水平。

当前，数字化浪潮奔涌，以大模型技术为代表的AI技术和应用在蓬勃发展的同时，也带来了多重安全挑战，看见安全风险、筑牢安全屏障，成为保障数字经济发展的基座。未来，“天网杯”网络安全大赛将集聚政产学研各方力量，进一步总结提升大赛经验，做好成果转化和人才培养，推动天津市成为网络空间安全的重要人才中心和创新产业高地，保障经济连续运转稳定，为新质生产力的高质量发展保驾护航。

随着互联网的深度普及，勒索攻击等网络犯罪手段日益升级，高危端口、高危漏洞和弱口令已成为网络攻击的主要突破口。为有效遏制这一趋势，减轻网络攻击带来的危害，公安部等相关部门针对“两高一弱”问题持续开展专项整治行动。通过加强监管、提升检测与响应能力，力求从根本上解决网络安全中的关键挑战和薄弱环节。

“两高一弱”问题的重要性与紧迫性

2023年11月30日，公安部召开新闻发布会指出，企业作为网络安全的责任主体，必须严格落实主体责任，加强网站备案登记和等级保护测评，落实与业务重要程度相匹配的安全防护措施。特别是针对“两高一弱”问题，即高危漏洞、高危端口和弱口令，必须给予高度重视。

近期，监管单位再次强调了网络安全的重要性，特别是针对“两高一弱”问题整改的专项行动正在全面展开，成为当下各单位网络安全的重点工作之一。在此背景下，盛邦安全以全新的业务管理视角和纵深安全检测能力，为用户提供“两高一弱”安全专项解决方案，补齐企事业单位在“两高一弱”问题的检测、预警、统一管理和快速响应方面的短板与不足。

破解‘两高一弱’难题，盛邦安全“新五步法”方案发布

盛邦安全“两高一弱”专项解决方案，以网络资产为核心，通过“摸清家底、备案管理、威胁感知、监测运营、应急指挥”五个步骤，构建闭环式的网络资产安全与运营治理体系，提升网络资产的安全感知、主动预警和应急响应能力。

01

摸清家底

方案首先以资产梳理为安全基石，结合主动探测与被动监听的方式，对网络资产进行全面的摸底和梳理。通过分析历史业务流量、主动探测目标，以及开放数据入口的手动录入，形成详细、准确的资产信息库。这不仅有助于建立清晰的资产台账，还能及时发现并应对潜在的安全隐患，针对性的进行“两高一弱”安全风险检测，确保不留安全死角。

02

备案管理

在备案管理模块中，安全部门可以发布资产认领通知，关停处置无人确认的资产或存在高危漏洞、高危端口、弱口令的系统。此外，业务部门可以在系统上线前提交申请，由安全部门审核安全状态并批准上线，确保资产归属信息完整，责任责权到人，实现安全闭环；同时提供可靠的管控流程，保证资产上线、整改、变更和退运都有平台支撑，方便跟踪管理。

03

威胁感知

方案深度融合漏洞发现检测与数据情报分析技术，依托详尽的资产属性信息，对全局范围内的资产进行精细画像，精确掌握各类目标资产的属性特征及其分类情况。此过程涵盖了安全设备、网络设备、物联网设备、工控设备等多样化资产，详尽分析其分布状况及版本类型等关键信息。进而，对网络环境中开放的高危漏洞、高危端口、弱口令以及服务应用实施周期性深度探测与评估，确保对潜在风险的全面掌握与及时响应。

04

监测运营

通过全天候的健康巡检机制，方案能够自动化触发预警流程，并根据用户需求，生成涵盖资产视角、风险视角及管理视角等多维度的数据报表，并支持集中审计和综合研判。针对资产中的高危漏洞、高危端口及弱口令等关键风险点，方案提供了从漏洞检查、在线验证到修复跟踪、对比统计的完整整改流程，大幅提升资产安全管理的规范性和效率。

05

应急指挥

应急指挥模块确保在应对高危漏洞、高危端口和弱口令问题时，能够迅速实施封禁和处置措施，遏制问题的进一步扩散。根据资产的不同属性，结合战时紧急与日常运维保障所需的不同强度要求，精准执行相应级别的处置行动，以实现精准高效的风险处置和应急响应管理。

方案优势

存活探测优化：采用轻量级主动探测技术，结合多种防护绕过方案，确保资产信息的准确性。

丰富的资源库支撑：方案积累多年资产发现和治理经验，构建全面资源库，涵盖20多类、超17万条漏洞以及23万+指纹信息，确保时效性和全面性。

多维精准口令检测：基于高速存活探测和指纹匹配技术，形成清晰资产画像，动态匹配专属口令库，从应用、服务、协议等多维度进行精准口令猜解，提升针对性和准确性。

动态口令横向爆破：针对统一检测场景，将成功爆破的用户名密码整合进动态口令字典库，实现横向爆破，扩大检测范围，全方位发现弱口令风险。

动态口令库生成：优化核心字典库，适用于多种协议、数据库、中间件等检测；动态生成针对性强、体量轻、覆盖面广的专属字典库，提升口令猜解效率。

全面漏洞检测能力：兼容国内外权威漏洞标准，具备针对多种设备、系统、数据库的全面漏洞检测能力；漏洞库定期更新，确保识别的全面性和时效性。

风险闭环管理：通过“新五步法”构建闭环式的网络资产安全体系，提升安全感知与应急响应能力。

面对日益严峻的网络安全威胁，特别是勒索攻击和数据窃取等事件频发，"两高一弱"问题已成为企业不容忽视的主要安全风险。盛邦安全“两高一弱”安全专项解决方案，不仅解决高危漏洞、高危端口及弱口令等关键问题，还紧跟前沿技术发展，实现了对新兴威胁的快速响应，为企业提供全面、精准的安全防护，共筑坚实的数字安全防线。

原文链接

8月27日，2024走进南京福特工程研究中心-汽车创新技术展示交流会在南京圆满召开。会议由福特汽车工程研究（南京）有限公司主办，AUTO TECH 展组委会联合承办，邀请汽车信息化企业和行业专家代表，聚焦“软件定义汽车、智能座舱、智能驾驶、汽车测试”等相关技术，共同探讨智能化、网联化、电动化、软件化趋势下的车联网新技术和新产品发展之道。

梆梆安全车联网安全专家袁森受邀出席，并发表《规范流程，提升能力：汽车信息安全测试整体解决方案》主题演讲，聚焦国内外政策、法规、标准下的车辆信息安全要求和合规监管要求，以智能网联汽车信息安全测试为核心，与参会嘉宾分享梆梆安全多年来在车联网安全领域的实践经验，共话智能网联汽车高质量发展，共守车联网信息安全基线。

随着汽车产业的快速发展，网联化、智能化的迅速普及，随之而来的信息安全问题也受到监管机构的高度重视，与智能网联汽车信息安全相关的政策、法规、标准陆续发布，针对汽车整车及关键核心零部件的信息安全要求及其测试方法也日趋完善，R155法规、《汽车整车信息安全技术要求》均提出要求车企将车辆网络安全测试管理纳入信息安全管理体系中，并对车型开展测试。

与此同时，汽车网联化带来的业务系统漏洞、数据泄露等安全风险事件也被频繁披露。Upstream根据受影响的移动资产(包括车辆、用户、移动设备等)的潜在规模，对2021至2023年间公开披露的汽车网络安全事件进行分析发现，高危、超危漏洞占比近乎50%，这意味着车企需要通过信息安全测试来验证车辆的安全防护能力。

作为国内早期投身于车联网安全研究领域的企业，梆梆安全结合自身多年来在汽车网络安全检测和渗透领域形成的丰富技术、工具和经验积累，在汽车信息安全测试、车联网应用安全、信息安全能力建设等方向构建车联网安全安全防护体系，为客户提供一体化的车联网安全能力。

汽车信息安全测试系统

梆梆安全汽车信息安全测试系统是专为汽车整车及零部件信息安全开发测试而设计的综合安全评估系统。系统基于梆梆安全泰防实验室多年的专业经验和技术积累，集成先进的测试方法和工具，对汽车电子控制单元（ECU）、通信协议、以及整车网络进行全面的安全性分析。利用系统能够检测到潜在的系统漏洞和安全隐患，确保汽车在运行中具备足够的抗攻击能力。

该系统由管理平台、测试工具箱两部分组合而成：

·管理平台提供车型、零部件管理、测试项目管理、报告管理、测试工具箱管理等涵盖车辆测试全生命周期关键活动，内置整车、零部件、通信、应用、云服务等方面常用的测试用例和测试工具库。

·工具箱集成软件无线电、蓝牙、Wi-Fi、芯片安全、NFC、车载以太网、CAN总线等各种软、硬件检测工具。企业可以“开箱即用”的方式开始其信息安全测试工作。

泰防实验室专注于车联网和物联网的安全检测和攻防技术的研究，并在2024年7月获得CNAS认可，检测范围涵盖GB/T 40856、GB/T 40857等汽车常见零部件信息安全标准的检测。

梆梆安全展位现场吸引众多车联网行业用户和专家前来参观交流

随着5G、人工智能、物联网等新型基础设施的迅速发展，智能网联汽车已成为新兴技术与汽车产业融合创新的重要组成部分，其安全问题也已成为行业关注的重点。

未来，梆梆安全将紧跟智能网联汽车行业的信息安全发展趋势，基于行业和客户的网络安全、数据安全需求，持续技术创新和产品研发，协助主机厂、零部件厂商、车联网服务运营商等企业客户建立安全防护运营能力，支撑政府、监管机构等行业客户构建车联网安全监测与联控体系。

在全球化的今天，企业通信的无障碍至关重要。然而，随着企业业务的不断拓展，海外通信的挑战也随之增加。跨国邮件传输的延迟、丢件、甚至安全问题，都可能成为企业国际化道路上的绊脚石。如何确保邮件在全球范围内的高效、安全传输，成为了企业亟待解决的问题。

在这样的背景下，CACTER携手广东格兰仕集团有限公司，将于9月11日（周三）15:00-16:00，举办一场主题为“畅联海外，高效通邮——解锁海外通邮新路径”的直播活动。我们诚邀您参与这场直播，共同探讨如何通过创新技术，提升企业在国际舞台上的通信效率和安全性。

9月11日（周三）15：00-16：00

畅联海外，高效通邮——解锁海外通邮新路径

安全海外中继产品解析与痛点解决策略

CACTER邮件安全大数据产品经理伍伟彬，他将深入解析安全海外中继的功能与优势，以及针对企业在海外通邮过程中遇到的常见问题，提供切实可行的解决方案，帮助企业在复杂的国际网络环境中，找到高效通邮的钥匙。

企业海外通邮案例分享——格兰仕

直播嘉宾：广东格兰仕集团有限公司IT部系统管理吴俊杰。吴老师将分享格兰仕在海外通邮方面的成功案例，展示如何通过创新技术，确保海外通信的顺畅与安全。

不要错过这次机会，立即报名

与我们一起畅联海外，解锁无限可能！

安全研究人员发现了 FlyCASS 中的漏洞，FlyCASS 是一项第三方网络服务，一些航空公司使用它来管理已知机组人员 (KCM) 计划和驾驶舱进入安全系统 (CASS)。

KCM 是一项运输安全管理局 (TSA) 计划，允许飞行员和乘务员跳过安全检查，而 CASS 允许授权飞行员在旅行时使用驾驶舱中的折叠座椅。

KCM 系统通过在线平台验证航空公司员工的证件。该过程包括扫描 KCM 条形码或输入员工编号，然后与航空公司的数据库进行交叉核对以授予访问权限，而无需进行安全检查。同样，CASS 系统在飞行员需要通勤或旅行时验证他们是否有权进入驾驶舱折叠座椅。

研究人员发现 FlyCASS 的登录系统容易受到 SQL 注入攻击，这种漏洞可让攻击者插入 SQL 语句进行恶意数据库查询。通过利用此漏洞，他们可以以参与的航空公司 Air Transport International 的管理员身份登录，并在系统内操纵员工数据。

他们添加了一个虚构的员工“Test TestOnly”，并授予该帐户访问 KCM 和 CASS 的权限，这实际上使他们能够“跳过安全检查，然后进入商用客机的驾驶舱”。

据了解，目前任何具备 SQL 注入基本知识的人都可以登录该网站，并将任何人添加到 KCM 和 CASS，这样他们既可以跳过安全检查，又可以进入商用客机的驾驶舱。

意识到问题的严重性后，研究人员立即开始了披露流程，并于 2024 年 4 月联系了相关机构。他们承认了漏洞的严重性，并确认 FlyCASS 已于 2024 年 5 月 7 日与 KCM/CASS 系统断开连接，作为预防措施。

不久之后，FyCASS 上的漏洞得到了修复。然而，在进一步协调安全披露漏洞时却遭到了抵制。

TSA 新闻办公室还向研究人员发送了一份声明，否认该漏洞的影响，声称该系统的审查过程将防止未经授权的访问。在得到研究人员的通知后，TSA 还悄悄地从其网站上删除了与其声明相矛盾的信息。

该漏洞可能会导致更广泛的安全漏洞，例如更改现有的 KCM 成员资料以绕过对新成员的任何审查程序。

研究人员的报告发布后，另一位研究人员发现，FlyCASS 似乎在 2024 年 2 月遭受了 MedusaLocker 勒索软件攻击，Joe Sandbox 分析显示了加密文件和勒索信。

今年 4 月，TSA 获悉一份报告称，第三方数据库中存在一个漏洞，其中包含航空公司机组人员信息，通过对该漏洞的测试，一个未经验证的姓名被添加到了数据库的机组人员名单中。目前，政府数据或系统没有受到损害，这些活动也没有对交通安全造成影响。

截止到发稿前，TSA 已制定程序来验证机组人员的身份，只有经过验证的机组人员才被允许进入机场的安全区域。