国家网信办近日发布《数字中国发展报告（2021年）》，对数字安全保障能力总结指出：我国网络安全标准体系日益完善，制定发布300余项国家标准，主导和参与发布10余项国际标准。网络安全产业规模快速增长。国家网络安全人才与创新基地投入运行，全国200余所高校设立网络安全本科专业，每年网络安全专业毕业生超过2万人。

网络安全公司Buguard向媒体透露，已经有黑客已经接管了数字支付巨头 Wiseasy 公司的控制面板，该面板可用于远程管理和控制数千台 Wiseasy 的信用卡支付终端。Wiseasy 是一个基于 Android 的支付终端制造商，Buguard在一个暗网市场中发现了可用于访问 Wiseasy 云控制面板的员工密码，其中还包括一个管理员账户。据攻击者展示，利用该管理员账户可远程访问Wiseasy支付终端，包括锁定设备和远程安装和删除应用程序的能力，控制面板还允许查看Wiseasy控制面板用户的姓名、电话号码等隐私信息。

谷歌周一发布安全公告，修复了 Android 操作系统的最新一轮补丁，其中包含一个可被用于通过蓝牙远程执行代码的关键问题。由于该漏洞被判定为严重级别，谷歌并未公布关于该漏洞的详细信息，仅对外公布称，该漏洞会影响系统组件，攻击者不需要额外的执行权限即可通过蓝牙攻击远程执行任意代码。

据外媒报道，德国半导体制造商Semikron近日遭到LV勒索软件攻击，犯罪者声称从Semikron的系统中窃取了2TB的文件数据，对Semikron的IT系统和部分文件进行了加密，Semikron集团在回应中并未承认数据被盗这一说法，称集团正在对整个网络进行调整和调查取证，努力恢复工作能力，以尽量减少这一攻击事件对员工、客户和合同伙伴的干扰。

外媒报道，安全研究员Derek Abdine发布公告指出muhttpd Web服务器中存在漏洞。该Web服务器存在于Arris固件中，可以在多个路由器型号中找到。公开披露的计算机安全漏洞列在常见漏洞和披露 （CVE） 数据库中。其目标是更轻松地跨单独的漏洞功能（工具、数据库和服务）共享数据。目前还没有这些漏洞在野外使用的报告，但这些漏洞是已知的，并且概念证明代码可用，因此进行攻击可能只是时间问题。

SANS技术研究所的研究人员发现，浏览器的书签同步功能正在成为黑客窃取数据的一个便捷攻击路径。研究人员表示，如果攻击者已经渗透进系统环境中，他们可以从受害用户那里窃取浏览器的同步凭证，或自行创建浏览器配置文件，将敏感文件存储为书签的形式绕过基于主机和网络的检测工具，并在另一设备系统中访问这些书签以实现窃取数据。此外，攻击者可以使用同样的技术将恶意的有效载荷和攻击工具偷偷带入一个系统环境。

网络安全公司 CloudSEK的研究人员称，近日发现了近3200个异常的移动应用程序，这些应用程序向民众公开了 Twitter API 密钥。据称，造成这一现象的主要原因是开发者在整合移动应用与 Twitter 时，会得到一个特殊的认证密钥，允许其移动应用与 Twitter  API 交互。当用户使其 Twitter账户与移动应用联系起来时，这些密钥允许其他人代表用户行事，例如通过 Twitter 登录，创建推文，发送 DM 等。因此，研究人员建议不要将密钥直接存储在移动应用中，以避免被攻击者滥用。

近日，美国众议院通过了《报告来自被选为监督和监控网络攻击和勒索软件的国家的攻击法案》（也称为《勒索软件法案》），联邦贸易委员会(FTC) 将每两年向众议院能源和商业委员会以及参议院商业、科学和运输委员会提交一份报告，该报告将概述 FTC 收到的跨境投诉，并按被指控的攻击者进行细分，包括涉及勒索软件的投诉数量，以及FTC 已采取或未采取行动的投诉清单。据悉这将使美国更容易应对来自外国对手的勒索软件攻击。

据美国安全研究员发现，暴露在网上 100 个俄罗斯数据库，其中 92 个遭到了松散黑客组织匿名者的破坏。黑客使用了类似 MeowBot 的脚本，将文件夹重命名，并删除文件的内容。黑客声称入侵了逾 2500 个俄罗斯和白俄网站，泄露了大量数据，黑客组织还为乌克兰提供渗透测试服务，在俄罗斯利用前发现漏洞。

勒索组织BlackCat声称对上周中欧国家天然气管道和电力网络运营商Creos Luxembourg SA的攻击负责。Creos在卢森堡拥有并管理电力网络和天然气管道，是5个欧盟国家的能源供应商。其母公司Encevo透露，他们在7月22日至23日遭到攻击，导致其客户门户无法访问，但服务并未中断。BlackCat于上周六将Creos添加到其数据泄露网站，并威胁要公开180000个盗取的文件，总大小为150GB，涉及合同、协议、护照、账单和电子邮件等内容。

据外媒报道，美国会议员披露，对美国司法系统的网络攻击已经破坏了公共文件管理系统。三名黑客违反了公众访问法院电子记录和案件管理 电子案件文件（PACER）系统，该系统提供了对美国法院系统文件的访问权限，使文件系统遭受了“系统安全故障”。由于这些发现的漏洞，CM ECF系统的机密性明显受到损害。美国法院行政办公室承诺敏感的法院文件现在将存储在“安全的独立计算机系统”中，而不是上传到公共文件管理系统。

据外媒报道，Google Cloud，DevSite和Google Play中的两个漏洞可能允许攻击者实现跨站点脚本（XSS）攻击，从而实现帐户劫持。其中一个漏洞可以让黑客绕过同源策略读取和修改相关内容，另一个Google Play上基于DOM的XSS漏洞使攻击者能够执行恶意JavaScript，从而劫持其他用户的帐户。

CompleteFTP由澳大利亚的EnterpriseDT开发，是Windows的专有FTP和SFTP服务器。研究人员发现 CompleteFTP 中存在一个安全漏洞，使得未经身份验证的攻击者能够删除EnterpriseDT CompleteFTP 服务器安装上的任意文件。该漏洞编号为CVE-2022-2560，并在 CompleteFTP 版本 22.1.1 中得到修复。

据外媒报道，研究人员发现了3，207个应用程序的列表，其中一些可用于未经授权访问Twitter帐户。由于合法的消费者密钥和消费者机密信息泄露，部分应用程序泄漏了所有四个身份验证凭据，可完全接管其Twitter帐户，并可以执行任何关键 敏感操作。为了缓解此类攻击，建议查看代码中是否有直接硬编码的 API 密钥，同时定期轮换密钥，以帮助降低泄漏可能带来的风险。

据Bleeping Computer 网站披露，网络安全公司 Group-IB的研究人员发现了一个由 1.1万多个域名组成的巨大网络，正在向欧洲用户推广虚假投资计划。这些虚假投资平台通过捏造致富证据和伪造名人代言，树立合法的形象，试图引诱更多受害者，以此获得高额回报。

据外媒报道，美国CISA将最近披露的Confluence漏洞（CVE-2022-26138）添加到其在野外滥用的错误列表中，命令联邦机构在 8 月 19 日之前解决该漏洞。该漏洞可以在成功利用后为远程攻击者提供硬编码凭据。

据外媒报道，微软的安全团队上周公布了证据，将 Raspberry Robin 恶意软件与网络犯罪集团 Evil Corp. 联系在一起。微软威胁情报中心在5月份勒索软件即服务行业报告中曾表示，一些现有的 Raspberry Robin 感染被用于部署 FakeUpdates，这是一种涉嫌与 Evil Corp 相关的恶意软件下载程序。而在7月26日证实 FakeUpdates 恶意软件是通过现有的 Raspberry Robin 感染传播的。

据Techspot报道，一名澳大利亚男子因涉嫌创建并向全球数以万计的网络犯罪分子销售黑客工具而被捕。这名24岁的黑客被指控创建并销售一种远程访问木马，旨在窃取个人信息并监视毫无戒心的目标。通过销售该工具共赚取了30多万美元，其中大部分似乎从其15岁起就被用在了外卖和快递项目上。

据外媒报道，网络安全公司 Trustwave SpiderLabs 表示，在过去三个月中，至少3,000 封包含 IPFS 网络钓鱼 URL 的电子邮件被作为攻击媒介。 IPFS是一种点对点 (P2P) 网络，研究人员表示“删除存储在 IPFS 上的网络钓鱼内容可能很困难，因为即使它在一个节点中被删除，它仍可能在其他节点上可用。通过利用 IPFS 的分散式云服务概念，网络钓鱼技术取得了飞跃。”

据外媒报道，关于大华ONVIF 标准实施中的安全漏洞（CVE-2022-30563）的详细信息已被公布。Nozomi Networks在周四的报告中指表示，“攻击者可能会通过嗅探先前未加密的 ONVIF 交互并在对摄像头的新请求中重放凭据来破坏网络摄像头”。研究人员表示，摄像头系统由于部署在关键基础设施中，可以帮助黑客收集有关目标公司设备或生产过程的情报，从而带来各种潜在风险。