1、Bumblebee恶意软件在最近的执法行动后卷土重来

https://www.netskope.com/blog/new-bumblebee-loader-infection-chain-signals-possible-resurgence

Bumblebee恶意软件在遭受欧洲刑警组织“终局行动”打击四个月后再次出现在网络攻击中。Bumblebee由TrickBot开发者创建，2022年作为BazarLoader后门的替代品出现，为勒索软件攻击者提供访问网络的入口。最新攻击链通过钓鱼邮件诱导受害者下载伪装成NVIDIA驱动或Midjourney安装程序的恶意ZIP文件，并利用PowerShell执行恶意软件。尽管攻击规模尚不明确，但Bumblebee的重新出现引发了对其可能复苏的担忧，提示企业加强防护以应对新一轮威胁。

2、CISA紧急添加ScienceLogic SL1漏洞至已被利用漏洞目录

https://thehackernews.com/2024/10/cisa-adds-sciencelogic-sl1.html

美国网络安全与基础设施安全局（CISA）于10月22日将ScienceLogic SL1平台的一个严重漏洞（CVE-2024-9537）添加至已被利用漏洞目录。此漏洞为零日攻击的目标，CVSS评分为9.3，涉及一个第三方组件的安全缺陷，可能导致远程代码执行。目前，该问题已在多个版本中修复。此前，云托管服务提供商Rackspace也因该漏洞导致其内部监控服务器遭到未授权访问。Rackspace确认，该漏洞已影响其性能报告系统，并通知受影响的客户。根据联邦规定，FCEB（联邦民用行政部门）机构需在11月11日前应用修复措施，以防范潜在威胁。

3、信息窃取软件泛滥致网络犯罪频发

https://securelist.com/kral-amos-vidar-acr-stealers/114237/

据研究人员的报告，2023年近千万台设备受信息窃取软件攻击，实际数字可能更高。这些窃取软件通过钓鱼邮件、恶意广告等方式传播，目标包括加密货币钱包和浏览器数据。Kral、AMOS等多种窃取软件被广泛使用，前者通过虚假广告诱导用户下载恶意文件，后者则通过伪装成合法软件侵入macOS系统。此外，Vidar与ACR这类窃取工具通过复杂的分阶段攻击获取用户数据，并以此进行进一步的网络犯罪活动。专家建议启用双因素认证，谨慎下载软件以应对此类攻击。

4、多款云存储平台存在安全漏洞，影响超2200万用户

https://www.freebuf.com/news/413364.html

据苏黎世联邦理工学院研究人员Jonas Hofmann和Kien Tuong Turong的发现，端到端加密（E2EE）云存储平台存在一系列安全问题，可能会使用户数据暴露给恶意行为者。在通过密码学分析后，研究人员揭示了Sync、pCloud、Icedrive、Seafile和Tresorit服务的问题，这些服务共同被超过2200万人使用。

5、Fortinet 发布未公开的 FortiManager 严重漏洞补丁

https://www.anquanke.com/post/id/301126

尽管建议的缓解措施可能表明问题存在于 “Fortigate to FortiManager”（fgfm）连接/通信/管理功能中，但该公司尚未公开披露与此漏洞相关的详细信息或 CVE。

6、ESET合作公司遭入侵，向以色列发送数据擦除程序

https://www.bleepingcomputer.com/news/security/eset-partner-breached-to-send-data-wipers-to-israeli-orgs/

据观察，这一钓鱼活动从10月8日开始，这些邮件带有ESET 徽标且从合法的 eset.co.il 域发送，表明以色列分部的电子邮件服务器在攻击中遭到破坏，ESET 告诉 BleepingComputer，他们位于以色列的分销商由Comsecure 运营。

7、涉案金额达 1 亿元，四川公安打掉刷单控评“网络水军”团伙

https://www.ithome.com/0/803/385.htm

今年 3 月，内江市中区公安网警在工作中发现一款名为“某某战队”的微信小程序，打着“99 看播”“躺赚”等噱头，招募全国各地人员充当“网络水军”从事网络虚假刷单行为。

8、美国保险巨头遭数据勒索攻击，影响大量客户个人信息

https://www.secrss.com/articles/71364

尽管此次事件未对公司的运营造成重大影响，Globe Life仍对可能被窃取的数据表示担忧，因为这一事件有可能波及数百万人。

9、新加坡网络安全局发布《AI系统安全指南》

https://www.secrss.com/articles/71410

继新加坡在2024年5月30日发布的《生成式人工智能的治理框架》，2024年9月 23日新加坡最高人民法院发布《关于法院用户使用生成式人工智能工具指南》之后，新加坡又双叒叕发布和AI安全有关的指南。

10、马斯克：允许第三方使用X平台用户数据训练AI

https://www.freebuf.com/news/413349.html

社交媒体平台X（原Twitter）于2024年10月16日更新其隐私政策，宣布将允许第三方合作伙伴使用X平台上的用户数据来训练人工智能模型，除非用户选择退出。这一政策变动表明，X正在效仿Reddit和其他媒体机构，寻求通过向AI公司授权数据来获取新的收入来源。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。