上周五，全世界大部分地区都在应对至今 IT 史上最严重的安全事故，但有一个国家基本未受到影响：中国。原因十分简单，Crowdstrike 的安全软件在中国基本无人用。很少有中国机构会购买美国的安全软件，中国对微软的依赖程度也没有其它地区高，阿里巴巴、腾讯和华为是主要的云服务商。因此遭遇 Crowdstrike 蓝屏死机事件的主要是在华外企或组织，根据社交媒体上的信息，中国用户报告无法入住喜来登、万豪和凯悦等国际连锁酒店。网络安全专家 Josh Kennedy White 称，微软通过其本地合作伙伴世纪互联在中国开展业务，世纪互联的基础设施独立于微软在全球的基础设施。这种设置使得中国的基本服务如银行和航空免受全球干扰。

FBI 本周早些时候宣布它成功破解了特朗普集会枪手 Thomas Matthew Crooks 的手机。彭博社最新报道披露了更多相关细节。枪手使用的三星的一款较新型的 Android 手机，FBI 首先尝试利用以色列数据情报公司 Cellebrite 的软件去绕过或识别手机密码，但未能成功。FBI 随后直接联络 Cellebrite 寻求帮助。Cellebrite 之后提供了该公司仍然在开发中的新软件。FBI 利用新的软件在 40 分钟内解锁了手机。根据媒体的最新报道，Crooks 的手机上还有拜登等人的照片，他选择特朗普作为目标可能是因为这次集会距离他最近。

网友通过社交媒体报告了大规模 Windows 蓝屏死机（BSOD）事故，而所有受影响的机器都安装了 Crowdstrike Falcon。澳大利亚和新西兰可能是第一个遭遇该问题的地区，它导致了网站下线服务中断，受影响的机构包括澳大利亚国家广播公司 ABC、四大银行、Foxtel、Telstra 和 NBN 等等。Crowdstrike 是一家网络安全公司，为世界各地的客户提供端点安全、情报威胁和网络攻击的安全服务。它的 Falcon 平台帮助客户实时搜寻和收集数据。这次事故被认为是 Crowdstrike Falcon 最新更新导致的。如果遇到该问题，权宜之计是在安全模式下重命名文件夹 c:\windows\system32\drivers\crowstrike。

安全公司 Red Threat 的研究员 Andrew Lemon 周四发表两篇博文，披露了交通灯控制器漏洞。他在 Q-Free 公司的 Intelight X-1 控制器中发现了一个漏洞，允许任何人完全控制交通灯，该漏洞是因为它暴露在互联网上的 Web 界面无身份验证。他发现可以改变灯和计时，制造出某种交通堵塞，但名叫 Malfunction Management Unit 的设备阻止他将所有交通灯改为同一种颜色。他的团队发现了 30 台暴露在网上的控制器。他联络了 Q-Free，结果是收到了律师函，指控他们的研究涉嫌违反反黑客法律《Computer Fraud and Abuse Act》。

印度加密货币交易所 WazirX 证实周四有价值 2.3 亿美元的加密货币被可疑的转出该平台。它的一个多重签名钱包被入侵，它暂停了所有提款。根据第三方区块链跟踪服务 Lookchain 的报告，逾 200 种加密货币，其中包括 54.3 亿 SHIB 代币、逾 15,200 以太币代币、2050 万 Matic 代币、6400 亿 Pepe 代币、579 万 USDT 和 1.35 亿个 Gala 代币被从该平台盗走。WazirX 上个月报告它的加密货币资产价值约 5 亿美元。

CDN 和安全服务商 Cloudflare 发表了 2024 年度的《State of Application Security Report》报告，称 6.8% 的互联网流量是恶意的，比去年上升了 1 个百分点。Cloudflare 认为恶意流量的上升与战争和选举有关。多数攻击者是来自俄罗斯的组织如 REvil、KillNet 和 Anonymous Sudan。DDoS 攻击仍然是网络罪犯首选的武器，占到了 37%。DDoS 攻击的复杂度也在提高，去年 8 月的 HTTP/2 Rapid Reset DDoS 攻击峰值流量达到每秒 2.01 亿个请求(RPS)，是此前观察到最高记录的三倍。报告还突出了 API 安全的重要性，六成的动态 Web 流量与 API 相关，它们是攻击者的主要目标。Cloudflare 处理的 HTTP 请求约有 38% 被归为自动机器人流量，它认为可能多达 93% 的机器人是恶意的。

自称 NullBulge 的黑客组织以抗议 AI 生成作品的名义入侵了迪士尼的内部 Slack 消息档案库，上周四公开了其窃取了 1.1 TB 数据。窃取的数据来自上万个频道，包括未发布项目、代码、图像、登录凭据以及内部网站和 API 的链接。黑客组织声称获得了迪士尼内部人士的帮助，但目前还无法确认。迪士尼表示正对此事展开调查。窃取的数据一开始发布在 BreachForums 上，之后被移除，目前镜像网站还保留了备份。NullBulge 自称是一个黑客行动主义组织，旨在保护艺术家的权利并确保其作品获得公平报酬。

新加坡金融管理局要求主要零售银行在三个月内淘汰一次性密码。此举旨在保护消费者免遭钓鱼攻击和其它欺骗活动。金融管理局指出，一次性密码是在本世纪初引入的，随着科技发展和更复杂社会工程策略的出现，一次性密码已经无法保护客户。如果一次性密码是基于短信，那么攻击者能利用 SIM swapping 攻击去拦截短信。新加坡银行客户将用数字令牌替代一次性密码。新加坡银行协会称，该国三大银行星展银行、华侨银行和大华银行的 六成至九成客户已激活数字令牌。

AT&T 今年五月向窃取了其数千万客户通话记录的黑客组织成员支付了价值 37 万美元的比特币赎金。黑客组织 ShinyHunters 今年早些时候从云存储公司 Snowflake 窃取了逾 150 家公司的数据，其中包括了 AT&T。 区块链记录显示，AT&T 于 5 月 17 日向黑客的钱包地址转移了 5.7 比特币，黑客还向 AT&T 提供了视频，演示了他从其计算机中删除窃取数据的证据。黑客最初索要 100 万美元的赎金，最后同意将赎金金额减少到原来的三分之一。

Linksys 的两款路由器被发现以明文形式向 Amazon (AWS)服务器传输 Wi-Fi 登录信息，这意味着中间人容易拦截到密码等敏感信息。涉及的产品型号为 Linksys Velop Pro 6E 和 Velop Pro 7 Mesh 路由器。比利时消协 Testaankoop 在调查时发现路由器以明文形式向 AWS 服务器传输了 SSID 名称和密码，网络标识令牌，以及用户会话的访问令牌。明文传输为中间人攻击敞开了大门。Linksys 在去年 11 月就收到了警告，而 Linksys 也释出了新固件，但问题看起来并没有解决。Testaankoop 怀疑安全问题与 Linksys 固件使用的第三方软件有关，它认为这并不能成为不安全的借口。Linksys 为 Belkin 旗下品牌，2018 年被鸿海旗下公司收购。

AT&T 周五证实几乎所有客户的电话记录被盗，表示将向其 1.1 亿客户发送数据泄露通知。AT&T 表示，被盗数据包含移动和固话客户的电话号码，以及在 2022 年 5 月 1 日到 2022 年 10 月 31 日六个月内的通话和短信记录——通话对象或短信联络对象。被盗数据还包括依赖 AT&T 网络的其它移动运营商的客户通话记录。被盗数据“不包含通话或短信内容”，被盗的信息主要是元数据如通话和短信总数以及通话时长。AT&T 表示，被盗数据不包括通话或短信的时间或日期。AT&T 已经上线了一个发布相关信息的网站。

微软周二释出了七月例行更新，修复了 142 个漏洞，其中包括了 2 个正被活跃利用的和 2 个公开披露的 0day。这次更新共修复了 5 个能被远程代码执行的高危漏洞。两个活跃利用的漏洞是 Windows Hyper-V 提权漏洞 CVE-2024-38080 和 Windows MSHTML 欺骗漏洞 CVE-2024-38112；另外两个 0day 是 .NET 和 Visual Studio 远程代码执行漏洞 CVE-2024-35264 和 ARM CPU 预取器旁路攻击漏洞 FetchBench。

Ghostscript 是 Postscript 和 Adob​​e PDF 解释器，允许 Unix、Windows、MacOS、嵌入式操作系统和平台的用户查看、打印，以及转换 PDF 和图像文件。它被很多发行版默认安装，被很多软件包间接用于支持打印或转换操作。Ghostscript 团队在今年 3 月收到了编号为 CVE-2024-29510 的漏洞报告，4 月释出了补丁缓解了该漏洞的影响。该漏洞的危险等级评分是 5.5/10，也就是中等程度。但随着对该漏洞的远程代码执行 POC 的发布，安全社区认为其危险等级被严重低估。Ghostscript 在 Web 上被广泛使用，被云存储和聊天程序用于图像预览和渲染。

自麒麟（Qilin）勒索软件上个月初对英国病理服务提供商 Synnovis 攻击以来，英国伦敦的大型医院取消了大约 1500 个医疗程序，它迫使乳腺癌患者 Hanna 接受简单的乳房切除而不是更复杂的乳房重建手术。勒索软件攻击发生在 6 月 3 日，Hanna 的手术定在 6 月 7 日，但因为 Synnovis 下线医生认为乳房重建手术风险太高，建议她接受更简单的乳房切除手术。攻击已经过去了近五周，英国 NHS 称服务正在逐渐恢复正常。报告称，因勒索软件攻击，上个月有 4,913 次门诊预约推迟，1,391 个选择性手术推迟。

OnlyFans 付费墙让警方难以发现平台上的儿童色情材料（CSAM），尤其是新出现的 CSAM 材料。每一位 OnlyFans 内容创作者都是在自己的付费墙后面发布内容，因此除非订阅所有 OnlyFans 账号，否则不太可能独立核实发布了多少 CSAM。OnlyFans 声称其平台上的 CSAM 数量非常少，它在 2023 年只删除了 347 条被怀疑是 CSAM 的帖子。OnlyFans 表示，如果一个账号被怀疑从事创作或传播 CSAM，警方能获得该账号的完整访问权限。

在 Mozilla 公布 Entrust CA 过去几个月的一系列证书问题之后，Google 决定终止对其的信任。从 11 月 1 日起，Chrome 默认将不再信任 Entrust 或 AffirmTrust roots 验证的证书。这一变化适用于签名证书时间戳日期在 2024 年 10 月 31 日之后的证书，该日期前签发的证书仍然有效，能正常工作。Google 称， Entrust 的一系列事件削弱了对 Entrust] 作为信任 CA 所有者的能力、可靠性和诚信的信心。Entrus 对 Google 的这一决定表示了失望。

日本媒体巨头株式会社角川多玩国本月初披露旗下多个服务因遭网络攻击而下线。它的视频共享网站 Niconico动画至今还没有恢复。现在勒索软件组织 Black Suit 宣布对这一网络攻击负责，声称在此期间下载了 1.5 TB 数据，如果角川不支付赎金，它将于 7 月 1 日公布窃取的数据。该勒索软件组织使用的是典型的双重勒索策略，它窃取的数据包括 DocuSign 平台签名的文档，员工数据，商业计划，项目数据如代码——角川是著名游戏开发商 FromSoftware 的母公司，以及财务数据。

安全公司报告，APT 组织 ChamelGang 通过勒索软件隐藏活动。ChamelGang 在数十起网络攻击中部署了勒索软件，包括在 2022 年使用勒索软件 CatB 攻击了印度医疗机构 AIIMS 和巴西总统办公室。安全研究人员认为这代表了一种令人不安的趋势：黑客将勒索软件作为其网络间谍行动的最后阶段，旨在获取经济利益、破坏、分散注意力、错误归因或删除证据。

polyfill.js 是广泛使用的用于支持旧浏览器的开源库，有逾 10 万网站通过 cdn.polyfill.io 域名嵌入了该脚本。今年二月，一家中国公司收购了该域名和相关 Github 账号，然后通过 cdn.polyfill.io 向移动设备植入恶意程序。新拥有者还迅速删除了 Github 上的相关讨论。Polyfill 原作者建议移除该脚本，因为现代浏览器不再需要它，但如果必须使用，可以用 CDN 服务商 Fastly 和 Cloudflare 的替代。安全研究人员发现，植入的恶意程序使用假的 Google 分析域名 www.googie-anaiytics.com 将移动设备用户重定向到博彩网站。代码针对逆向工程有特定保护代码，而且只在特定时间对特定移动设备激活。它在检测到管理员后不会激活。当检测到网络分析服务时它会延迟执行。研究人员给恶意程序起名为“跳转（tiaozhuan）”——恶意代码使用的一个函数名叫 check_tiaozhuan。

向企业提供远程访问工具的 TeamViewer 周五披露其企业网络被俄罗斯间谍入侵。该公司表示，为俄罗斯情报机构工作的黑客组织 APT29 aka Midnight Blizzard 是利用了被盗的员工账号凭证入侵了其企业网络。TeamViewer 表示，网络攻击被限制在其企业网络内，它的企业内部网络是与客户系统分开的，没有证据表明攻击者获取了产品环境或客户数据的访问权限。