安全快报 | 马来西亚黑客组织针对印度政府的 IT 基础设施进行攻击

根据 2021 年 5 月发布的网络安全行政命令的要求， OMB要求各机构在 3 月遵守美国国家标准与技术研究院的安全软件开发框架(SSDF)。软件供应商最终将被期望证明其遵守 SSDF ，他们更喜欢自我证明而不是第三方验证——这破坏了五角大楼首次尝试网络安全成熟度模型认证(CMMC)。Fortinet首席信息安全官(CISO)告诉 FedScoop：“我真的希望他们走前一条路线，因为我们正在为行政命令的不同部分，在这个问题背后建立足够的动力。如果他们决定我们将不得不支持整个第三方评估机构，那么我们在几年后就可以解决这个问题。”

第三方评估需要需要时间来建立基础设施，而供应商——尤其是那些获得联邦风险和授权管理计划(FedRAMP) 授权的供应商——习惯于简单地与机构共享其软件开发生命周期，以便在采购期间进行审查。

https://www.fedscoop.com/omb-guidance-software-bill-of-materials/

华盛顿——官员们表示，随着五角大楼将其重点从平叛转移到为未来与精通技术的对手的战斗做准备，美国陆军将在本世纪末将其现役网络部队的规模扩大一倍。陆军发言人 6 月 13 日表示，网络任务部队团队、电子战连和排的增长将使网络部队的兵力从大约 3,000 人增加到“略多于”6,000 人。网络分支包括现役、预备役和国民警卫队将从 5,000 人扩大到 7,000 多人。6 月 9 日，G-6 副参谋长、陆军中将约翰·莫里森 (John Morrison) 在与记者的讨论中说：“随着网络电磁活动和能力的扩散，你将继续看到我们网络部门的发展。想想网络战和电子战，整合在一起，贯穿我们所有的战术编队。”

https://www.c4isrnet.com/cyber/2022/06/13/us-army-to-double-cyber-corps-strength-as-focus-shifts-from-counterinsurgency/?&web_view=true

在RSA Conference 2022的小组会议上，专家小组讨论了美国国防部 网络安全成熟度模型认证 (CMMC) 计划的影响和机遇。

FCW and Defense System 高级编辑 Lauren Williams 解释说，如果一个组织想要与美国国防部开展业务，最终必须遵守网络安全成熟度模型认证计划。 过去几年，美国国防部一直在 谈论 CMMC ，作为一种为国防承包商带来统一安全标准的方法。现在在 2022 年，正在努力定义规范的 2.0 版本。

美国国防部首席副首席信息官 Kelly Fletcher 表示，CMMC 2.0 目前处于规则制定阶段。该计划是计划在 2023 年 3 月向美国管理和预算办公室 (OMB) 征求公众意见。目前的预期是 CMMC 将在 2023 年夏天影响美国政府的合同。

https://www.infosecurity-magazine.com/news/rsac-cmmc-is-coming/?&web_view=true

据印度媒体报道，印度人民党发言人努普尔·夏尔马（Nupur Sharma），最近因发表有关先知穆罕默德的言论，在被停职的后，马来西亚黑客组织“DragonForce”对印度政府发动了一系列网络攻击。

出于宗教和政治动机的活动，如OpsPatuk，可能会导致一些包含个人身份信息（PII）、军事行动和其他政府机密的敏感政府网站被入侵，这些信息如果落入不法分子之手，就可能对国家及其公民发起针对性攻击。网络专家预测，针对印度实体的这类攻击的强度和数量只会增加，政府和企业应该确保足够的安全措施来保护其的数字财产。

https://www.163.com/dy/article/H9TAN90T0534MHMX.html

上周，Tenafly 公立学校发现勒索软件对学区网络中的一些计算机上的数据进行了加密，导致考试和课程被取消，重新使用纸、铅笔和投影仪。官员们表示，卑尔根县学区试图在网络安全顾问的帮助下恢复系统上线，该学区所有高中生的期末考试也被取消。地区通讯经理克里斯汀·科利斯 (Christine Corliss) 说，Tenafly 公立学区管理人员周四首先发现了这起安全事件。它涉及通过勒索软件对学区网络中某些计算机上的数据进行加密。

https://www.govtech.com/education/k-12/new-jersey-district-cancels-finals-after-ransomware-attack?&web_view=true

据外媒报道，华盛顿州多达7万名 Kaiser Permanente 患者的医疗保健和个人信息可能已被泄露。，包括姓名、病历编号、服务日期以及健康计划提供者的实验室检测结果信息。目前，没有证据表明身份盗用或信息滥用，但 Kaiser Permanente 仍建议受影响的各方注意潜在的网络攻击。

https://portswigger.net/daily-swig/kaiser-permanente-data-breach-exposed-healthcare-records-of-70-000-patients?&web_view=true

除了个人和财务记录外，这些数据还包括纯文本登录凭据，包括使用乌干达证券交易所 Easy Portal 的客户和企业的用户名和密码。乌干达证券交易所（USE）又名乌干达主要证券交易所被发现泄露了其全球客户和商业实体的高度敏感的财务和敏感数据。这是由著名的 IT 安全研究员Anurag Sen向 Hackread.com 透露的，他以识别暴露的服务器并在为时已晚之前向相关当局发出警报而闻名。Anurag 是本月早些时候发现澳大利亚交易巨头ACY Securities 暴露60GB 数据的同一位研究人员。

https://www.hackread.com/scoop-uganda-security-exchange-leaking-sensitive-records/?web_view=true

研究人员阐述了他们所谓的“第一次针对电容式触摸屏的主动非接触式攻击”。一组来自浙江大学和达姆施塔特工业大学的学者在一篇新发表的研究论文中提出：GhostTouch，一种新型的攻击。在无需物理接触的情况下，使用电磁干扰（EMI）将假的触摸指令注入到触摸屏。其核心理念是利用电磁信息来执行基本的触摸操作，例如在触摸屏的目标位置进行点击和滑动，其目的是进行远程操作并控制底层设备。这种攻击的攻击范围可达40毫米，它是基于电容式触摸屏对EMI很敏感这一特征，将电磁信号注入到触摸屏内置的的透明电极中，从而记录为触摸事件。

https://portswigger.net/daily-swig/ghosttouch-hackers-can-reach-your-phones-touchscreen-without-even-touching-it