要闻速览

1、国家发展改革委、国家数据局等六部门联合印发《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》

2、四部门发布《涉及国家安全事项的建设项目许可管理规定》

3、国家信息安全漏洞库CNNVD：关于Fortinet FortiOS和FortiProxy安全漏洞的通报

4、安全公司曝光 FunkSec 勒索木马，据称由 AI 大模型生成

5、美日韩称朝鲜黑客去年窃取了超过 6.59 亿美元加密货币

6、非营利血液捐献机构OneBlood确认遭遇勒索软件攻击

一周政策要闻

国家发展改革委、国家数据局等六部门联合印发《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》

1月15日，国家发展改革委、国家数据局、中央网信办、工业和信息化部、公安部、市场监管总局六部门联合印发了《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》（以下简称《实施方案》）。

《实施方案》围绕明晰企业数据流通安全规则、加强公共数据流通安全管理、强化个人数据流通保障、完善数据流通安全责任界定机制、加强数据流通安全技术应用、丰富数据流通安全服务供给、防范数据滥用风险部署了7项主要任务。

到2027年底，规则明晰、产业繁荣、多方协同的数据流通安全治理体系基本构建，数据合规高效流通机制更加完善，治理效能显著提升，为繁荣数据市场、释放数据价值提供坚强保障。

信息来源：国家发展和改革委员会https://www.ndrc.gov.cn/xxgk/jd/jd/202501/t20250115_1395713.html

四部门发布《涉及国家安全事项的建设项目许可管理规定》

 1月15日，国家安全部签署第5号部令，公布《涉及国家安全事项的建设项目许可管理规定》（以下简称《规定》），自2025年3月1日起施行。

《规定》由国家安全部、国家发展和改革委员会、自然资源部、住房和城乡建设部联合制定。这是贯彻落实党的二十大和二十届三中全会精神的重要举措，是细化完善《反间谍法》配套制度的重要成果，是严格规范建审许可工作的重要依据，对统筹高质量发展和高水平安全、提升国家安全机关依法行政水平，具有重要意义。

《规定》共6章38条，包括总则、安全控制区域管理、涉及国家安全事项的建设项目许可、涉及国家安全事项的建设项目监督管理、法律责任、附则等内容。

消息来源：国家安全部 https://mp.weixin.qq.com/s/VRBi8PBEShjXdDJKs2Ormw

业内新闻速览

国家信息安全漏洞库CNNVD：关于Fortinet FortiOS和FortiProxy安全漏洞的通报

近日，国家信息安全漏洞库（CNNVD）收到关于Fortinet FortiOS和FortiProxy安全漏洞（CNNVD-202501-1747、CVE-2024-55591）情况的报送。

一、漏洞介绍：

Fortinet FortiOS和Fortinet FortiProxy都是美国飞塔（Fortinet）公司的产品。Fortinet FortiOS是一套专用于FortiGate网络安全平台上的安全操作系统。Fortinet FortiProxy是一种安全的网络代理，通过结合多种检测技术，如Web过滤、DNS过滤、DLP、反病毒、入侵防御等保护用户免受网络攻击。

FortiOS和FortiProxy中存在一个身份认证绕过漏洞。未经身份验证的远程攻击者可以通过向Node.js websocket模块发送特定请求利用该漏洞，进而获得超级管理员权限。

二、危害影响

FortiOS 7.0.0版本-7.0.16版本，FortiProxy 7.2.0版本-7.2.12版本，FortiProxy 7.0.0版本-7.0.19版本均受漏洞影响。

三、修复建议

目前，Fortinet官方已发布升级补丁修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。官方参考链接如下：

https://fortiguard.fortinet.com/psirt/FG-IR-24-535。

消息来源：CNNVD安全动态https://mp.weixin.qq.com/s/9NPpBk6S_dZ48kkQfez6RA

安全公司曝光 FunkSec 勒索木马，据称由 AI 大模型生成

近日，安全公司 Check Point 发布报告，公布了一款名为 FunkSec 的勒索木马。这款恶意木马从去年年底开始出现，据称有 85 家企业组织遭受攻击。

研究人员对该勒索木马进行调查，发现其由 Rust 语言打造，有极高概率系 AI 大模型生成，例如相应模型的脚本中实际上存在一系列语法非常流畅的英文注释、相关木马的攻击模式较为原始落后等。

研究人员进一步调查，发现有黑客“el_farado”将这一 FunkSec 木马挂在地下论坛进行租售，这意味着黑客可以利用 AI 模型大量生成各种木马，并以此牟利。

此外，研究人员还发现相应黑客实际技术能力不高，因为他们甚至近期在相应论坛中直接发帖询问如何“成为黑客”，同时相应黑客公布的大量所谓窃取数据实际上来自其他犯罪组织的攻击行动，意在夸大其自身影响力，这佐证了相应木马有高概率为 AI 模型生成。

消息来源：IT之家 https://www.ithome.com/0/824/425.htm

美日韩称朝鲜黑客去年窃取了超过 6.59 亿美元加密货币

2025年1月14日，美国、日本和韩国发布联合声明指出，朝鲜国家支持的黑客组织在2024年内通过一系列网络攻击窃取了至少6.59亿美元的加密货币。声明强调此类活动依然活跃，持续对全球加密货币安全构成威胁。声明中提到，自2024年9月起，美国政府监测到朝鲜黑客使用复杂的社会工程手段针对加密货币领域展开攻击，并部署了包括TraderTraitor和AppleJeus在内的多种恶意软件。韩国和日本也报告了相似的攻击模式。具体案例显示，朝鲜黑客在2024年的攻击行动中，成功从多个主要交易平台盗取巨额资金，如从日本的DMM Bitcoin窃取3.08亿美元、印度的WazirX交易所失窃2.35亿美元、美国的Radiant平台损失5000万美元，以及韩国Upbit交易所同样遭受5000万美元的损失。此外，区块链分析公司Chainalysis在2024年12月发布的报告中指出，朝鲜黑客在过去一年内实施了至少47次攻击，累计窃取的加密货币价值高达13.4亿美元，超越了2022年的纪录11亿美元，再次刷新了年度盗窃金额的新高。

非营利血液捐献机构OneBlood确认遭遇勒索软件攻击

美国非营利性血液捐献机构OneBlood近日证实，去年夏天遭受的一次勒索软件攻击导致献血者的个人信息被盗。

OneBlood于2024年7月31日首次就此次攻击向公众发出通知，称勒索软件行为者加密了其虚拟机，导致该医疗机构不得不采取人工操作流程。作为全美250多家医院的血液供应商，此次攻击造成了血液采集、检测和分发延迟，一些诊所不得不启动"血液严重短缺"应急方案。

OneBlood于上周开始向受影响个人发送数据泄露通知，告知调查于2024年12月12日结束，确定泄露发生的确切日期为2024年7月14日。该威胁分子一直保持对OneBlood网络的访问权限，直至7月29日，即该机构发现入侵的次日。尽管血液采集中心通常会收集电话号码、电子邮件和物理地址、人口统计数据和病史等信息,但此次泄露的数据仅限于姓名和社会安全号码。为降低此风险，OneBlood在信函中附上了免费一年信用监控服务的激活码。

消息来源：安全牛 https://mp.weixin.qq.com/s/vwIqO50VKdwQQyOAOTv64Q

来源:本安全周报所推送内容由网络收集整理而来，仅用于分享，并不意味着赞同其观点或证实其内容的真实性，部分内容推送时未能与原作者取得联系，若涉及版权问题，烦请原作者联系我们，我们会尽快删除处理，谢谢！