【安全帮】华大基因澄清：“14万中国人基因大数据”研究全部在境内完成

多款 NAS 设备被指存在远程命令执行漏洞 WizCase在近日发表的一篇博文中指出，他们日前邀请安全专家 Paulos Yibelo和Daniel Eshetu一起对一些受欢迎的NAS设备进行了安全测试，从中发现了两个可能允许攻击者任意读取文件、添加/删除用户、添加/修改现有数据，以及在设备上远程执行具有最高权限命令的关键漏洞（CVE-2018-18471和CVE-2018-18472）。他们一共对四款NAS设备进行了测试，这包括WD My Book、SeaGate Home、NetGear Stora和Medion LifeCloud NAS。其中，SeaGate Home、NetGear Stora和Medion LifeCloud NAS均受到CVE-2018-18471的影响，而WD My Book则受到CVE-2018-18472的影响。

参考来源：

https://www.hackeye.net/threatintelligence/16944.aspx

UWP API 被爆安全漏洞：可在用户不知情下窃取任意数据 相关证据表明Windows 10 系统中的UWP API 存在严重的安全漏洞，允许恶意开发人员远程自由遍历你的磁盘信息，并窃取你的任意数据。 UWP应用由于使用沙盒机制，并且限定在自身路径和特殊文件夹内，因此具备较高的安全系数。不过近期外媒发现broadFileSystemAccess API允许 开发 者访问整个硬盘，而该API存在的BUG可以不向用户发出咨询的情况下获得访问磁盘的权限，并且默认授予完整的文件系统访问权限。在 Windows 10 October 2018更新中 微软 已经修复了这个问题。

参考来源：

https://www.cnbeta.com/articles/tech/781361.htm

  大多数安全专家对 AI 攻击表示担心 国外统计机构Neustar发布了最新的国际网络基准指数，该指数突显了专业人士对安全漏洞逐年增加之势表现出的担忧，其中就包括人工智能（AI）对公司安全防御的影响。根据该报告显示，安全研究人员认识到人工智能在网络安全方面的潜力，约87％的受访者同意这将对他们公司的网络防御产生影响。但是，约82％的受访者担心攻击者也可以利用AI发起攻击，导致数据被盗（50％）、客户信任度下降（19％）、业务性能不稳定（16％）等结果。

参考来源：

http://www.freebuf.com/

库克表达对用户数据滥用的担忧 呼吁制定联邦隐私法 苹果首席执行官蒂姆库克（Tim Cook）周三表示，客户数据正在被各个公司以“军事化的效率”增加利润，并呼吁在美国制定联邦隐私法。但Facebook首席执行官马克扎克伯格（Mark Zuckerberg）为其公司基于广告的商业模式辩护说，用户意识到了要为免费服务作出一定的让步的。库克在国际数据保护和隐私委员会会议上发表讲话称， 苹果将支持美国隐私法，并且还宣称苹果公司保护用户数据和隐私的承诺。 苹果公司过去设计了许多保护用户的产品，这样的做法不像今年的谷歌和Facebook，很大程度上使其避免了陷入的用户数据隐私丑闻。

参考来源：

http://hackernews.cc/archives/24332

2018 网购欺诈洞察报告出炉：钓鱼网站数量增加 297% 电子商务防欺诈公司Riskified和网络情报公司IntSights本周三发布的联合报告中指出，伪装成电商网站来收集客户信息的冒牌网站数量正在不断增加。在对过去一年（去年三季度至今年三季度）的数据进行分析后，两家公司发现网购钓鱼网站数量增加了297%。此外在报告中还指出现在这些钓鱼网站制作的越来越精细，看起来和正规购物网站几乎没有区别。为了避免钓鱼攻击，两家公司强烈推荐用户在点击链接之前需要先检查是否为可信任以及熟悉的站点。

参考来源：

https://www.cnbeta.com/articles/tech/781321.htm

华大基因澄清： “14 万中国人基因大数据 ” 研究全部在境内完成 10月24日，科技部官网更新6条处罚信息，复旦大学附属华山医院、华大基因、昆皓睿诚、厦门艾德生物、阿斯利康等6家单位涉及其中。10月26日，有自媒体发布了相关文章。随后，华大基因发布《澄清声明》表示，该自媒体将2015年的“科技部国科罚”与华大研究团队在2018年10月发布的一项“14万中国人基因大数据”研究联系在一起，系张冠李戴，刻意关联，制造恐慌。关于数据安全性问题，华大基因称，“14万中国人基因大数据”研究全部在境内完成，样本及数据全部保留在深圳国家基因库，不存在任何遗传资源数据出境的情况，这也得到了世界著名学术期刊《Cell》的认同。

参考来源：

https://www.thepaper.cn/newsDetail_forward_2568202

MageCart 窃取英国航空公司数据事件另有 7.7 万受害顾客 据英国航空公司网站发布的更新，“调查显示，黑客可能窃取了更多用户的个人信息。我们正通知之前未通知的这7.7万信用卡卡主，其姓名、账单地址、电子邮箱地址、以及信用卡支付信息包括卡号、有效期、安全码（CVV）可能已遭黑客窃取，同时还通知了另外10.8万无安全码的信用卡卡主。可能遭信息泄露的用户仅为在2018年4月21日至七月28日期间使用信用卡进行奖励预定的客户”。 该声明进一步表明，该公司尚无确凿证据证明用户数据遭利用，其正联系可能受影响的客户。如客户在格林尼治标准时间（GMT）10月26日17：00前未收到该公司通知，则其无需担心。

此次英航数据泄露事件是由攻击者向名为“Modernizr”的第三方JavaScript库添加恶意MageCart脚本引起的。由于英国航空公司网站使用了Modernizr，恶意脚本得以收集提交的信用卡详情以及支付信息，并将其发送至攻击者控制的远程服务器。

参考来源：

https://www.easyaq.com/news/54897376.shtml

关于安全帮

安全帮，是中国电信北京研究院旗下安全团队，致力于成为“SaaS安全服务领导者”。目前拥有“1+4”产品体系：一个SaaS电商(www.anquanbang.vip) 、四个平台（SDS软件定义安全平台、安全能力开放平台、安全大数据平台、安全态势感知平台）。