今年 2 月遭勒索软件攻击的美国医疗公司 Change Healthcare 的母公司 UnitedHealth 披露，此次攻击至今造成的损失为 8.72 亿美元。UnitedHealth 在截至 3 月 31 日的第一季度财报中表示，攻击对公司的影响为每股 0.74 美元，预计到年底会增加到每股 1.15-1.35 美元。与此次攻击相关的补救工作还在进行之中，因此随着时间推移，与业务中断和修复相关的总费用可能会超过 10 亿美元，其中包括可能向勒索软件组织 ALPHV/BlackCat 支付 2200 万美元的赎金。Change Healthcare 拒绝证实是否支付了赎金，而 ALPHV/BlackCat 在获得赎金之后宣布停止运作，它没有向其加盟成员支付佣金。但这些加盟成员仍然控制着窃取自 Change Healthcare 的数据，没有获得佣金的组织开始威胁泄露窃取的数据。

OpenJS 基金会发出警告，称 XZ 后门事件可能不是一起孤立事件。在 XZ 事件中，攻击者 Jia Tan（化名）潜伏长达两年多时间，最终获得信任成为项目的共同维护者。OpenJS 基金会称，他们观察到了类似的行动，他们收到了一系列邮件，要求基金会采取行动更换其管理的流行 JavaScript 项目的维护者，以解决高危漏洞。邮件使用了 GitHub 关联邮箱。这和 XZ 项目维护者 Lasse Collin 收到的施压邮件十分相似。类似事件凸显了快速发展的开源生态系统所面临的安全风险，尤其是今天软件的依赖关系错综复杂。

PuTTY 客户端的一个高危漏洞 CVE-2024-31497 允许攻击者在获得约 60 个有效签名和公钥之后推断出私钥然后伪造签名。漏洞影响版本 v0.68-0.80，已在 v0.81 中修复。漏洞只影响密钥类型 521 位 ECDSA。问题与 ECDSA 随机数有关，前 9 个随机数被发现都是零，因此攻击者在获取约 60 个相同密钥下生成的有效 ECDSA 签名后可以恢复密钥。

密码管理器 LastPass 披露黑客对其员工发动了语音钓鱼攻击，使用了深度伪造的音频冒充其 CEO Karim Toubba。根据调查，全球四分之一的人遭遇过或知道有人遭遇过此类骗局。LastPass 称其员工没有上当，因为攻击者使用的是 WhatsApp，这不是常见的商业沟通方法。攻击者在交流中被发现具有很多常见的社会工程特征，比如要求尽快行动，因此引起了 LastPass 员工的怀疑，将此事报告给了安全团队。

因供应链混乱，英特尔和联想过去几年销售的硬件都包含可远程利用且永远无法修复的漏洞。安全公司 Binarly 披露，漏洞影响英特尔、联想和超微（Supermicro）交付的服务器硬件，任何包含 AMI 或 AETN 制造的基板管理控制器(BMC)的硬件都受到影响。BMC 是服务器主板上的微型计算机，用于简化服务器集群的远程管理。它允许系统管理员远程重新安装操作系统、安装和卸载应用，控制系统的所有其它方面。包括 AMI 和 AETN 在内的 BMC 制造商采用了开源 Web 服务器 lighttpd 的存在漏洞的版本，利用漏洞攻击者能挫败名为地址空间布局随机化的内存地址保护。AMI 的 MegaRAC BMC 被认为最容易受到攻击的 BMC 之一，英特尔的 M70KLP 采用了该 BMC。

安全公司 Bitdefender 披露了 LG 电视机的四个漏洞，这些漏洞允许黑客绕过授权机制控制电视机，LG 已经释出了安全更新。受影响的型号为 LG43UM7000PLA 运行版本 webOS 4.9.7 - 5.30.40，OLED55CXPUA webOS 5.5.0 - 04.50.51，OLED48C1PUB webOS 6.3.3-442 (kisscurl-kinglake) - 03.36.50，OLED55A23LA webOS 7.3.1-43 (mullet-mebin) - 03.33.85，数量超过 8.8 万台，绝大多数位于韩国，其次是香港、美国、瑞典和芬兰。Bitdefender 称，黑客可利用漏洞获得设备的 root 权限，注入在操作系统层运行的命令。

2018 年 3 月 23 日周五上午 9 点，苹果工程师 Walter Huang 驾驶特斯拉 Model X 汽车在加州 101 公路和 85 公路岔口发生致命车祸，撞上了分隔岛，车祸发生时汽车启用了自动驾驶（或辅助驾驶）功能。本周 Huang 家人提起的过失致死诉讼进入了审讯阶段。诉讼称，Huang 有理由相信特斯拉汽车的自动驾驶系统比人类驾驶更安全，特斯拉及其 CEO 马斯克（Elon Musk）曾反复谈论该系统的强大之处，虽然事实上特斯拉的自动驾驶和其它汽车配备的辅助驾驶功能基本无区别。美国国家运输安全委员会的调查显示，在发生致命车祸前，Huang 曾多次经历相同的故障，自动驾驶多次突然转向分隔岛，但每次 Huang 都及时恢复对汽车的控制。他曾用中文和朋友谈论了其遭遇。但 3 月 23 日他没能及时控制汽车。特斯拉声称他当时正在 iPhone 手机上玩世嘉的策略游戏《全战三国》。该手机有用于故障排除的增强日志功能。苹果帮助恢复了手机上的部分日志，证实他经常在通勤期间玩《全战三国》，事故发生当天游戏也激活了，但最后 17 分钟没有与《三国》相关的日志记录。诉讼指控特斯拉造成了过失死亡，并对销售有缺陷的产品负有责任。特斯拉则声称 Huang 误用了汽车的自动驾驶功能。

2023 年 5 月 和 6 月，黑客组织 Storm-0558 使用微软 2016 年密钥签名的身份令牌入侵了全球 22 个组织逾 500 人的 Microsoft Exchange Online 邮箱，访问了多名美国政府官员的电邮账号，其中包括商务部长 Gina Raimondo，驻华大使 R. Nicholas Burns 和国会议员 Don Bacon。美国网络安全审查委员会公布的调查报告认为，这次入侵是微软的错误导致的，是完全可以避免的，本不应该发生。委员会认为，微软在安全上做出不够充分，需要进行一次彻底改革。

Google Chrome 使用的 V8 JS 引擎宣布其内存沙盒不再视为实验性。开发者通过官方博客解释了其沙盒的工作原理：内存安全仍然是一个相关问题，过去三年所有发现的 Chrome 利用都始于一个渲染进程的内存损坏漏洞。其中六成的漏洞位于 V8 引擎中。但问题是 V8 的漏洞很少是经典的内存损坏错误如释放后使用和越界访问，因此现有的内存安全解决方案大部分不适用于 V8，比如切换到内存安全语言 Rust。V8 沙盒旨在隔离其堆内存，因此内存损坏错误不会传播到进程内存的其它部分。

XZ 后门事件后，开源项目出于谨慎考虑开始重新评估对 XZ 的依赖。最新采取行动的是 Fwupd Linux 固件项目，它用 Zstd 压缩取代了 XZ。Fwupd 此前使用 XZ 压缩 XML 负荷加速网络下载节省 CDN 资源。出于对 XZ 项目的担忧，它现在改用了 Zstd。结果显示，Zstd 不仅更值得信任，而且其产生的压缩元数据比 XZ 小 3%，解压缩数据还更快。

Shawn the R0ck 写道：2024年3月29日，一份关于在自由软件社区备受争议的开源项目 xz 软件包被上游源代码中的后门所污染的报告在 oss-security 邮件列表中曝光。这个后门影响到了 liblzma 库，它是 xz 软件包的一部分，在第一份报告发布后有多了很多跟进的研究，内容主要如下，1） 这个后门完整地存在于发布的 xz 源码包中(5.6.0 和 5.6.1 版本)，但上游 git 仓库中存在伪装为测试数据，但并未插入 liblzma 中的载荷，而打包前单独加入源码包中的唤醒代码（它们不存在于 git 仓库中，因此从 git 仓库，或由 github 生成的源码包编译的 liblzma 中不会有后门）会将载荷注入到构建过程中。2） 注入的代码修改 Makefile 以包含恶意文件，这些文件在构建过程中被执行,导致进一步的有效载荷注入。3） 这个有效载荷针对的是使用 gcc 和 GNU 链接器的 x86-64 GNU/Linux 系统,并且是 Debian 或 RPM 软件包构建的一部分。4） 恶意代码针对 OpenSSH 服务器进行劫持以实现远程代码执行，但显著降低了登录速度。它通过劫持和修改 liblzma 库中的某些函数来实现这一点，其载荷是间接加载到 sshd 中的。sshd 实现了对 systemd-notify 的支持，liblzma 被加载是因为它是 libsystemd 的其他部分所依赖的，systemd 的复杂度再次成为了实际上的安全隐患。5） 建议立即升级任何可能受影响的系统，因为这些被污染的版本还未广泛被 GNU/Linux 发行版集成。6） 提供了一个脚本来检测系统是否可能受到影响。7）后门投毒者关闭了 LANDLOCK 沙箱，这个已经被主要维护者修复。开源社区诸多用户都对于 systemd 饱受争议的复杂性以及其生态渗透到 GNU/Linux 系统之深本有意见，借愚人节之机满足读者的阴谋论叙事的诉求：幕后黑手其实是 M$，意在摧毁 GNU/Linux 生态，首先，他们秘密收买了 Lennart Poettering，让他开发了 systemd。Lennart 在 M$ 的授意下,将 systemd 逐步渗透到 GNU/Linux 发行版中,为后续行动铺路，2022年3月，M$ 认为可以执行下一步计划了就排出了 Jia Tan 团队跟 xz-utils 社区进行交涉，Lennart Poettering 的任务也宣告结束，2022年6月，M$ 公开召回（雇佣）Lennart，此后 M$ 筹划了 2023 年开始支持 openssh 的 systemd 生态进而让 Jia TAN 去掌控整个 GNU/Linux 生态，只是没想到被一个执着于性能且追求计算美学的工程师破坏了原本完美的计划，M$立马命令Github关闭了相关的帐号以毁灭证据，幸运的是这个蔚蓝色的星球的赛博网络里有时空穿梭机，这让github的重要信息得以保留。

xz 后门作者 JiaT75 (Jia Tan) 使用了拼音名字，但并不意味着他或他们就是华裔，可能不过是一个伪装。在长达三年时间内，Jia Tan 不可能一直不露出任何马脚。他的英文邮件和母语英语者一样出色，Git 时间戳是可以修改的，但他或他们可能会在某个时间忘记修改，导致时间戳出现可疑的变动，比如工作时间从 UTC+08 切换到 UTC+02 和 UTC+03。对其 Git 时间戳的分析显示，Jia Tan 可能生活在东欧。他或他们被发现在中国官方假期如中秋、清明、农历新年期间都工作，但在东欧的假期比如圣诞节和新年期间则从不工作。

xz 后门事件凸显了维护者在维护一个基本上不会得到多少外界帮助的开源项目时所面临的挑战，当别有用心的人热情提供帮助，你真的难以分辨对方是真心还是假意。对于 xz 项目原唯一维护者 Lasse Collin 邮件列表交流的分析显示，这位维护者早就筋疲力尽了，他承认如果有 bug 会去修，但开发新功能基本上不可能了。这种情况在 JiaT75(Jia Tan)积极提供帮助后发生了变化，Jia Tan 是少数或者可能是唯一一位愿意“帮助”而不是抱怨开发停滞的人。Lasse Collin 表示考虑让 Jia Tan 扮演更重要的角色，甚至让其接手维护。对于不断抱怨和提出要求的用户，他强调这是一个无薪水的业余项目。在“用户”不断的要求之下，Jia Tan 成为了项目的共同维护者。

Linux 上广泛使用的无损压缩软件包 xz-utils 被该项目的一位维护者秘密植入了后门，后门旨在绕过签名验证未经授权访问开放 SSH 端口的系统。存在后门的版本是 v5.6.0 和 v5.6.1，后门版本尚未进入 Linux 发行版的生产版本，因此影响范围有限，主要影响的是测试版本的 Debian 和 Red Hat 发行版，以及 Arch 和 openSUSE 等。攻击者被认为处心积虑，潜伏长达三年时间。使用中文拼音的攻击者 JiaT75 (Jia Tan) 于 2021 年创建了 GitHub 账号，之后积极参与了 xz-utils 的开发，获取信任之后成为了该项目的维护者之一。过去几个月，JiaT75 开始非常巧妙的悄悄加入恶意代码，“分阶段通过添加测试用例数据为掩盖放入了恶意代码，并在发布时在m4脚本的目录中添加了一些精妙的把恶意代码重新组装、解压缩的脚本，在库中添加了劫持某 OpenSSL 函数的功能，添加了一个 SSH 后门。”创建后门版本之后 JiaT75 还积极联络主要 Linux 发行版维护者，以该版本包含“很棒新特性”为由督促他们使用后门版本。但后门代码存在 bug，会导致崩溃等，此人随后与 Linux 开发者们频繁联络通信，试图修复问题，并建议他们发现问题后不要公开。目前 JiaT75 的账号以及 xz-utils 库都已被 GitHub 关闭。

Google Play 官方应用商店有逾 15 款免费 VPN 应用被发现使用恶意 SDK 将 Android 设备变成住宅代理服务器，可被用于隐藏恶意活动。用户可选择自愿注册住宅代理获取收入等回报，但有部分 Android 设备是在不知情下被秘密安装了住宅代理。安全公司 HUMAN 的 Satori 团队发布报告，列出了 Google Play 上 28 个秘密将 Android 设备变成代理服务器的应用。28 个应用有 17 个冒充为免费 VPN，其中包括 Lite VPN、Byte Blade VPN、Fast Fly VPN、Fast Fox VPN、Fast Line VPN、Oko VPN、Swift Shield VPN、Turbo Track VPN、VPN Ultra 等等。

安全公司 Lumen Labs 披露，约 4 万个家用和办公室路由器被纳入 TheMoon 僵尸网络，在用户不知情下被用于注册 Faceless 代理服务，该服务旨在匿名化网络罪犯的非法在线活动，因此主要在网络犯罪论坛上出售。TheMoon 的历史可追溯到 2014 年，早期只感染 Linksys E1000 系列路由器，最近扩大到华硕 WRT, Vivotek Network Cameras 和 D-Link。安全研究人员报告，TheMoon 本月初在 72 小时内增加了 6 千台华硕路由器，显示了它的活跃度和强大。

研究人员披露了针对 AMD Zen 2 和 Zen 3 平台的 RowHammer 比特翻转攻击 ZenHammer。RowHammer 攻击指的是应用反复访问 DDR 内存芯片的特定区域导致比特翻转。比特翻转（Bitflips）是指储存在电子设备上的个别比特发生翻转的事件，比如从 0 变为 1 或反之亦然。研究人员表示，尽管部署了缓解措施，他们仍然能针对 Zen 2 和 Zen 3 系统上的 DDR4 触发 Rowhammer 比特翻转。研究人员还使用 ZenHammer 攻击首次演示了对 DDR5 的 RowHammer 比特翻转。研究人员认为 Error Correction Codes(ECC)内存无法提供对 RowHammer 攻击的完整防御，只是增加了利用难度。研究人员在 2024 年 2 月 26 日通知了 AMD，应其要求到 2024 年 3 月 25 日才公开披露该漏洞。

Google 旗下的安全公司 Mandiant 发表报告认为，黑客组织 UNC5174 是 F5 BIG-IP Traffic Management User Interface 远程代码执行漏洞 CVE-2023-46747 和 ConnectWise ScreenConnect 路径遍历漏洞 CVE-2024-1709 的幕后黑手，这两个漏洞的危险评分分别高达 9.8/10 和 10/10。攻击者在获得受害者组织的初步网络访问权限之后，会选择高价值的目标出售。最奇怪的事情是，在被感染的系统中创建后门之后他们会给被利用的漏洞打上补丁。此举可能是防止其他黑客组织利用相同的漏洞入侵系统。

科罗拉多州立大学研究人员发现，美国商用卡车使用的 Electronic Logging Devices(ELDs)存在安全漏洞，可被用于控制卡车，甚至在卡车之间传播蠕虫。他们的论文发表在 2024 Network and Distributed System Security Symposium 研讨会上。研究人员没有披露受影响的 ELD 品牌或型号，表示只有几十种不同的 ELD 型号在商用卡车上使用。美国联邦政府要求重型卡车配备 ELD，跟踪驾驶时间，记录发动机运行、车辆运动和行驶距离等数据，但没有要求内置经过测试的安全控制装置。研究人员称，攻击者可通过蓝牙或 Wi-Fi 连接访问 ELD 去控制卡车，比如强迫卡车靠边停车。其中最令人担忧的情景是对卡车 ELD 的蠕虫攻击：蠕虫通过被感染设备的 Wi-Fi 功能搜索附近其它容易受攻击的 ELD。找到匹配的 ELD 后，蠕虫使用默认凭据建立连接，将恶意代码传播到新 ELD，覆盖现有固件，然后重复这一过程。美国目前有逾 1400 万辆中型和重型卡车。

2022 年，一群安全研究人员被邀请入侵拉斯维加斯的酒店客房。时隔一年半之后，研究人员公布了他们的工作成果：入侵者可以在数秒内打开全球 300 万间酒店客房中的任意一间。他们的酒店钥匙卡入侵技术被称为 Unsaflok，针对的是瑞士锁具制造商 Dormakaba 销售的基于 RFID 的 Saflok 钥匙卡锁。Saflok 系统被安装在全球 131 个国家的 300 万房门上。安全研究人员首先从目标酒店获取钥匙卡——如预订房间——然后用 300 美元的 RFID 读写设备读取卡上的特定代码，最后写入两张自己的钥匙卡。此后只需在锁上轻敲两张卡，第一张卡会重写锁的特定数据，第二张卡会打开它。Dormakaba 公司表示过去一年和世界各地的酒店合作修正或更换容易受攻击的门锁。目前只有 36% 的 Saflok 锁已经更新，完全修正或更换可能需要数年时间。