1、美光公司在华销售的产品未通过网络安全审查

https://www.freebuf.com/news/367157.html

日前，网络安全审查办公室依法对美光公司在华销售产品进行了网络安全审查。审查发现，美光公司产品存在较严重网络安全问题隐患，对我国关键信息基础设施供应链造成重大安全风险，影响我国国家安全。为此，网络安全审查办公室依法作出不予通过网络安全审查的结论。按照《网络安全法》等法律法规，我国内关键信息基础设施的运营者应停止采购美光公司产品。

2、Google宣布：将删除闲置时长超过2年的账户

https://www.freebuf.com/news/367167.html

谷歌近日更新了其平台个人账户的使用政策，如果用户注册的账号超过两年未使用，其账号内包含的所有内容、设置、首选项和用户保存的数据将会被删除。当然，也包括存储在Gmail、Docs、Drive、Meet、Calendar、Google Photos和YouTube等服务上的所有数据。不过，这项新政策不针对学校、企业等组织的谷歌账户。

3、由于遭持续的攻击，PyPI 存储库暂停用户注册和包上传

https://securityaffairs.com/146488/cyber-crime/pypi-repository-suspends-sign-ups-package-uploads.html

由于遭持续的攻击，Python 编程语言的官方第三方软件存储库 Python Package Index (PyPI) 的维护者已暂时禁用用户注册和上传新包的功能，直至另行通知。

4、LemonGroup在近900万台安卓设备上预装了"Guerilla" 恶意软件

https://securityaffairs.com/146418/cyber-crime/lemon-group-infects-millions-phone.html

据报道，Lemon Group 网络犯罪团伙在近 900 万台 Android 设备上预装了名为 Guerilla 的恶意软件。受感染的设备被用于多种恶意活动，包括通过移动代理进行流量重定向、信息窃取、点击欺诈、社交媒体和在线消息账户以及通过广告获利。威胁者感染了至少 890 万台受感染的 Android 设备，其中大部分是廉价手机。美国、墨西哥、印度尼西亚、泰国、俄罗斯、南非、印度、安哥拉、菲律宾和阿根廷的受感染设备数量最多。

https://securityaffairs.com/146418/cyber-crime/lemon-group-infects-millions-phone.html

5、隐私沙盒计划：谷歌将从 2024 年开始逐步淘汰第三方Cookie

https://thehackernews.com/2023/05/privacy-sandbox-initiative-google-to.html

谷歌已宣布计划正式关闭其两次延迟的隐私沙盒计划，因为它正在慢慢努力以弃用 Chrome 浏览器中对第三方 cookie 的支持。为此，这家搜索和广告巨头表示，它打算在 2024 年第一季度为全球 1% 的 Chrome 用户逐步淘汰第三方 cookie。

6、Pimcore 平台缺陷可能导致执行任意代码

https://www.securityweek.com/pimcore-platform-flaws-exposed-users-to-code-execution/

安全研究人员警告说，在开源 Pimcore 平台中修补的漏洞可能会导致在单击链接时执行任意代码。作为数字体验平台，Pimcore 为全球超过 100,000 家组织提供数据和用户体验管理功能。

7、Apple WebKit 紧急修复 3 个 0-day 漏洞

https://thehackernews.com/2023/05/webkit-under-attack-apple-issues.html

苹果公司上周四推出了iOS、iPadOS、macOS、tvOS、watchOS 和 Safari 网络浏览器的安全更新，以解决数十个漏洞，包括三个新的零日漏洞，据称它们正在被广泛利用。

8、BatLoader冒充ChatGPT和Midjourney进行恶意活动

https://securityaffairs.com/146496/malware/batloader-campaign-impersonates-chatgpt-midjourney.html

研究人员发现了一项正在进行的BatLoader活动，该活动使用Google搜索广告投放冒充ChatGPT和Midjourney的网页，诱导用户下载并安装恶意软件。BatLoader使用MSIX Windows应用安装程序文件来感染设备，并安装Redline Stealer。安装过程涉及运行一个可执行文件和一个PowerShell脚本，这些脚本与之前的案例相同，但使用了不同的命令和控制(C2)服务器。BatLoader使用的技术突出了它能够滥用合法的打包应用程序进行恶意目的的能力。此外，在2023年2月也报告了另一场针对搜索AI的用户的BatLoader活动。

9、Android手机面临指纹暴力破解攻击的风险

https://www.bleepingcomputer.com/news/security/android-phones-are-vulnerable-to-fingerprint-brute-force-attacks/

腾讯实验室和浙江大学的研究人员提出了一种新的攻击方法，称为“BrutePrint”，它可以对现代智能手机上的指纹进行暴力破解，绕过用户身份验证并控制设备。BrutePrint利用了两个零日漏洞，即Cancel-After-Match-Fail(CAMF)和Match-After-Lock(MAL)，来克服智能手机上存在的防止暴力破解攻击的保护机制，如尝试次数限制和活体检测。研究人员还发现，指纹传感器的串行外设接口(SPI)上的生物特征数据保护不足，允许中间人攻击劫持指纹图像。BrutePrint和SPI MITM攻击针对十种流行的智能手机型号进行了测试，结果显示，在所有Android和HarmonyOS(华为)设备上都可以实现无限次尝试，在iOS设备上可以实现额外的十次尝试。CAMF在指纹数据中注入校验和错误，以在一个预先确定的点停止认证过程。这使得攻击者可以在目标设备上尝试指纹，而其保护系统不会记录失败的尝试，从而给予他们无限次尝试。

10、欧盟因Meta将欧洲用户数据传输到美国对其处以 13 亿美元罚款

https://www.securityweek.com/facebook-parent-meta-hit-with-record-fine-for-transferring-european-user-data-to-us/

欧盟周一对Meta处以创纪录的 13 亿美元隐私罚款，并命令其停止跨大西洋传输用户数据。爱尔兰数据保护委员会 (DPC) 在声称该公司违反 GDPR（通用数据保护条例）第 46(1) 条。更具体地说，发现 Facebook 将该平台的欧盟用户的数据转移到了美国，美国的数据保护法规因州而异，并且被认为不足以保护欧盟数据主体的权利。GDPR 第 46(1) 条禁止将个人数据传输到缺乏保证安全和法律补救机制的保障措施的国家或国际组织。由于侵权行为，DPC 对 Facebook 的母公司 Meta Ireland 处以创纪录的 12 亿欧元（13 亿美元）罚款，并要求在做出决定后五个月内暂停所有违反 GDPR 的数据传输。此外，Meta 将被要求在DPA 宣布后的六个月内停止处理或持有从欧盟非法传输到美国的任何数据 。

免责声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。