ESET研究员马丁·斯莫拉尔(Martin Smolár)追踪到三个影响深远的统一可扩展固件接口(UEFI)安全漏洞，这些漏洞影响了各种联想笔记本电脑型号，使恶意攻击者能够在受影响的设备上部署和执行固件植入操作，成功利用这些漏洞可能允许攻击者禁用 SPI 闪存保护或安全启动，从而有效地授予攻击者安装持久性恶意软件的能力，使得这些恶意软件可以在系统重新启动后仍然存在。

加拿大多伦多大学下属“公民实验室”（Citizen Lab）的研究人员当地时间本周一发文称，在2020年和2021年，他们观察到并通知了英国政府在英国官方网络中出现的多起疑似“飞马”（Pegasus）间谍软件攻击事件。其中包括：英国首相府（唐宁街10号），英国外交和联邦事务部（FCO）(现为英国外交、联邦及发展事务部， FCDO）。英国目前正在进行几项立法和司法工作，涉及围绕网络政策的监管问题，以及对间谍软件受害者的补救措施。

4月18日，据日经亚洲报道，因为越来越复杂的“假货”威胁着公众的言论，一个横跨软件、芯片、相机和社交媒体的“内容来源和真实性联盟”(C2PA)旨在制定相关标准以确保网上分享的图像和视频是真实的。报道称， Adobe、微软、英特尔和Twitter，以及日本相机制造商索尼和尼康、英国广播公司(BBC)和软银集团旗下的芯片设计公司ARM都参与其中。该联盟将接触YouTube等更多社交媒体平台，使尽可能多的机构加入该联盟。

以色列网络安全厂商Check Point发布报告称，全球最大的不可替代代币（NFT）市场之一的Rarible曝出安全漏洞，可能允许恶意黑客在交易过程中窃取用户的NFT与加密货币。研究人员表示，网络犯罪分子发现一种创建恶意NFT的方法。只要点击恶意NFT链接，攻击者就能完全控制受害者的加密货币钱包并窃取钱包中的资金。Rarible平台对此未做回复。据Check Point透露，该平台已经在4月5日的披露说明中承认存在此问题，“相信Rarible将在接下来的版本中部署修复程序。”

近日，中共中央办公厅、国务院办公厅印发了《关于加强打击治理电信网络诈骗违法犯罪工作的意见》（以下简称《意见》），对加强打击治理电信网络诈骗违法犯罪工作作出安排部署。《意见》要求，要依法严厉打击电信网络诈骗违法犯罪。要构建严密防范体系。要加强行业监管源头治理。各级党委和政府要加强对打击治理电信网络诈骗违法犯罪工作的组织领导，统筹力量资源，建立职责清晰、协同联动、衔接紧密、运转高效的打击治理体系。

据悉，Industrial Spy 暗网市场不是单纯敲诈被盗数据的公司或用 GDPR 协议罚款来恐吓受害者，而是把自身宣传成一个数据交易市场。Industrial Spy 表示，公司可以购买其竞争对手的数据，以获得商业秘密、制造图、会计报告和客户数据库。然而，该市场也有被用于勒索的可能性，部分受害者可能为了防止数据被卖给其他攻击者而进行购买。目前，根据媒体披露的信息来看，Industrial Spy 还没有被大规模使用，但是各公司和安全研究人员应该密切关注该网站以及在售数据。

近日，印度医学会的推特账号被黑。黑客将账号改名为“Elon Musk”，并不断回复来自Elon Musk甚至特斯拉官方推特账号的推文。黑客发布的大部分推文都在宣传加密货币。黑客不仅更改了 IMA 官方 Twitter 帐户的名称，还更改了头像。几周前，印度总理纳伦德拉·莫迪 (Narendra Modi) 的官方推特账户遭到黑客入侵。这两起黑客事件的一个共同点是，在被黑客入侵后，这些账户会发出各种宣传加密货币的推文。

4月13日，ICT基础设施及行业解决方案提供商锐捷网络以“先见先行，乐享其成”为主题举办发布会，正式发布锐捷乐享智能运维管理平台，该平台可通过“为执行赋能”、“为管理赋知”、“为决策赋见”，致力于让IT运维管理变得更加轻松。其四大核心价值为，全域资源监控，健康检查，业务监控，工作中心。

日前，2022北京网络安全大会（简称“BCS2022”）组委会正式面向全球网络安全技术专家公开征集大会议题，议题方向涵盖关键基础设施安全、安全规划与建设、数据安全、特权访问安全、数据跨境、数据生命周期安全、5G安全、云安全、供应链安全、开源安全等众多领域，优质议题提供者有机会公开发表技术研究成果、与全球网安大咖同台交流，征集截止时间为2022年5月10日。

Salt Security的Salt Labs团队在大型的金融技术（Fintech）平台的API中发现的一个服务器端请求伪造（SSRF）漏洞，该功能允许客户将其平台上的账户中的钱转移到他们的银行账户内。研究人员称，这是一个非常致命的漏洞，它完全侵害了每个银行用户的权益。如果攻击者发现了这个漏洞，他们可能会对该组织和其用户造成严重的损害。

PrivateBin是流行的ZeroBin的一个分支，是一个用于存储信息的在线工具，在浏览器中使用256位AES加密 解密，这意味着服务器“对粘贴的数据一无所知”。安全公司Nethemba的Ian Budd发现了这个缺陷，它允许恶意JavaScript代码嵌入到SVG图像文件中，然后可以附加到粘贴中。PrivateBin表示，它已经在预览版中缓解了该漏洞，并鼓励服务器管理员升级到带有修复程序的版本，或者确保其实例的CSP设置正确。它还扩展了它的目录列表工具，增加了一个检查机制。

近日，基于以太坊的稳定币协议Beanstalk Farms被利用，总损失飙升至超过1.8亿美元。结果原生加密货币(BEAN)分钟暴跌80%以上。Beanstalk Farms也成为了DeFi安全漏洞的最新受害者。该团队表示，已经开始调查这个问题。

Lakeview Loan Servicing披露了去年秋天一个多月未被发现的大规模数据泄露，泄露了超过200万客户的个人信息。该公司自称是美国第四大贷款服务提供商，在公告中表示，此次违规行为在2021年10月27日至2021年12月7日期间影响了2537261名借款人，并于12月初被发现。根据公告，一名未经授权的人获得了该公司的服务器和信息，包括姓名、地址、贷款信息和社会保障号码。

此前，据AT&T Alien Labs称，BotenaGo 恶意软件已部署了 30 多种利用功能，使数百万物联网设备面临潜在网络攻击的风险。近期Nozomi Networks Labs发现了BotenaGo恶意软件的新变种 “Lillin scanner ”，其专门针对Lilin 安全摄像机DVR设备。BotenaGo恶意软件的源代码于2021年10月泄露，这导致了基于原始版本的新变种的产生。

Symantec 发现Lazarus Group针对韩国化工行业进行网络攻击。网络犯罪分子使用虚假的工作机会来欺骗求职者点击链接或打开恶意附件，这使得网络犯罪分子能够在受害者的计算机上安装间谍软件。此外，瞄准化工行业的原因似乎为了是获得知识产权，因此专家建议相关组织保持警惕，并采取足够的安全措施。

Check Point 发布安全报告称，Emotet 仍是第一大恶意软件，影响了全球 10% 的机构（比 2 月份翻一番）。Emotet 是一种能够自我传播的高级模块化木马，使用多种方法和规避技术来确保持久性和逃避检测。自去年 11 月卷土重来，Emotet 持续占据了最猖獗恶意软件的榜首地位。卡巴斯基近日也发布相关研究指出，Emotet至回归以来，今年3月攻击相比2月增长了三倍。同时研究指出，中国也是该恶意软件的攻击目标。

据网信中国报道指出，2022年3月，全国各级网络举报部门受理举报1258.6万件，环比增长2.1%、同比增长16.5%。其中，中央网信办（国家互联网信息办公室）违法和不良信息举报中心受理举报37.2万件，环比增长17.2%、同比增长116.7%；各地网信办举报部门受理举报84.3万件，环比增长11.0%、同比下降20.5%；全国主要网站受理举报1137.1万件，环比增长1.0%、同比增长18.8%。

据外媒报道，2017年被 Thoma Bravo 以16亿美元完成收购的梭子鱼将被转手，KKR将计划从Thoma Bravo手中收购梭子鱼，报道称收购价值约40亿美元，交易预计将于 2022 年底完成。梭子鱼成立于 2003 年，总部位于美国硅谷，是网络安全解决方案的开发商，包括电子邮件保护、应用程序和云防御、数据管理和网络安全。产品包括安全访问服务边缘 (SASE) 产品、威胁检测和响应以及数据检查。该公司为全球约 200,000 名客户提供服务，并专注于中小型企业。

美国网络安全和基础设施安全局（CISA）与美国能源部（DOE）、国家安全局（NSA）和联邦调查局（FBI）发布了一份联合报告，称黑客的恶意软件可能会影响全球能效管理领域领导者施耐德电气和知名自动化控制及电子设备制造厂商欧姆龙生产的可编程逻辑控制器（PLC）。在警告中，政府机构敦促关键基础设施组织，“尤其是能源部门的组织”，实施一系列措施来检测和阻止名为“Pipedream”的网络武器。

微软本周早些时候提醒客户，Microsoft Office 2013 将于明年停止支持，建议他们切换到更新版本以减少他们面临的安全风险。在 Office 2013 支持结束后，微软将不再提供任何新的安全更新，并且在 2023 年 4 月之后继续使用 Office 2013 可能会增加您的组织面临的安全风险或影响您履行合规义务的能力。