热点速报

1、AI赋能，智控领航，新质跃升——2025工业操作系统大会在苏州隆重开幕！

12月12日上午，2025工业操作系统大会在吴中隆重开幕。本届大会由中国电子信息产业发展研究院、苏州市人民政府共同主办，以“AI赋能、智控领航、新质跃升”为主题，汇聚产学研用各界力量，搭建了思想碰撞、技术交流、合作共赢的高端平台，为我国工业操作系统产业高质量发展凝聚共识、汇聚合力。

来源：https://mp.weixin.qq.com/s/fHpnNu01EM9e2yWkO8FoTg

2、我国加速布局未来产业抢占发展先机

“十五五”规划建议提出，要前瞻布局量子科技、生物制造、氢能和核聚变能等六大未来产业。今年以来，国家多部门密集出台配套政策，各地立足自身优势，在技术攻关、场景落地、产业集聚上多点发力，推动未来产业从实验室走向现实应用。从技术攻关到场景落地，从单点突破到产业集聚，我国未来产业正迈入高质量发展的关键阶段。2025年，具身智能市场规模预计将突破50亿元，脑机接口市场规模将突破38亿元，生物制造产业总规模接近1万亿元。下一步，我国将持续强化政策支持，聚焦六大未来产业核心赛道，打造一批未来产业发展集聚区，培育专精特新企业与产业集群，培育形成万亿元级产业新赛道。

来源：央视新闻

3、CERNET第三十一届学术年会在哈尔滨胜利闭幕

12月18日下午，为期4天的中国教育和科研计算机网CERNET第三十一届学术年会在哈尔滨胜利闭幕。本届学术年会以“AI赋能互联网技术创新发展”为主题，由CERNET管理委员会指导，CERNET网络中心主办，哈尔滨工业大学承办，CERNET专家委员会协办。来自各级政府教育主管部门的领导、全国高校专家、CERNET会员单位代表、企业代表等1200多人参与了本次大会。会议期间，举办了“‘十五五’信息化”规划、中国高校CIO、网络空间安全、数据治理与资源共享、智慧教育与智慧校园、未来互联网试验设施FITI运行及试验技术、无线和网络运行管理、云计算超算与智算、IPv6创新技术与应用等专题论坛。据悉，CERNET第三十二届学术年会将在海南举行。

来源：https://mp.weixin.qq.com/s/-TnEzp01iWJUA_v2KG9Qvg

4、第十五届VARA大会｜网络漏洞治理生态分论坛成功举办

2025年12月10日下午，由国家信息安全漏洞库（CNNVD）主办的第十五届网络安全漏洞分析与风险评估大会——网络漏洞治理生态分论坛在中国天津成功举办。本次网络安全漏洞分析与风险评估大会——网络漏洞治理生态分论坛，聚焦于智能化时代下的漏洞分析与研究，推动国家网络安全漏洞治理体系发展。未来国家漏洞库将充分发挥在汇聚资源、凝聚人才中的桥梁纽带作用，与社会各界更加紧密协作，为护航网络强国建设作出新的贡献！

来源：CNNVD

5、净网—2025｜警方破获为无人机“黑飞”提供破解服务案件！

打着提供无人机电池维修服务的幌子开设网店，实则暗藏破解电池管理系统和飞行限高的非法勾当。10月中旬，虹口公安分局网安部门工作发现，某网购平台一家主营无人机配件及维修的网店疑似存在破解无人机原装电池管理系统的违法行为。警方核查发现，网店经营者胡某最初只是在平台上售卖非原装无人机电池，并承接无人机电池维修业务。但为吸引更多客源、提升盈利空间，他开始为客户提供破解无人机原装电池管理系统的服务，即通过篡改电池底层数据，解除原厂对电池充放电的安全限制。此举虽能在短期内提升电池续航表现，却会直接破坏电池的过充、过放保护机制，极易引发电池鼓包、自燃甚至爆炸，给无人机飞行埋下严重安全隐患。

来源：https://mp.weixin.qq.com/s/6E9qUlgd8lXsOsEx2aFnnQ

6、聚焦｜ISC.AI 2025创新百强颁奖典礼圆满举办，百余校企收揽年度荣耀

12月17日，ISC.AI 2025第六届创新百强（简称“创新百强”）颁奖典礼在京圆满落幕。本届评选由ISC.AI平台、大模型产业联盟主办。当日，政府代表、高校学者、企业负责人、投融资机构代表及媒体人士齐聚现场，围绕“数字安全、人工智能、智能体等前沿领域的核心技术突破方向”，“科技成果向产业应用转化的有效路径探索”，以及“科教融汇培养复合型人才的实践范式”等方向议题，展开多轮深度对话与经验分享，并共同见证了新一届创新百强荣耀榜单，以及多项具有领先创新成果的发布。

来源：https://mp.weixin.qq.com/s/g6MSkUSvUz8QcQSlv3HLAQ

7、2025工业操作系统大会·电力装备行业工业操作系统供需对接会成功举办

12月12日下午，2025工业操作系统大会论坛——电力装备行业工业操作系统供需对接会，在苏州太湖国际会议中心成功举办。对接会以“场景落地与价值转化”为议题，汇聚电力装备行业工业操作系统产业链上下游企业代表，共商电力行业典型场景下的工业操作系统创新应用与探索实践，共筑我国电力装备行业工业操作系统新生态。

来源：https://mp.weixin.qq.com/s/Jortxm4ZfF8C-K4Yj3mySw

8、内核筑基，AI赋能——2025工业操作系统技术创新论坛成功举办

12月12日下午，以“内核突破与AI融合”为主题的工业操作系统技术创新论坛在苏州太湖国际会议中心成功举办。该论坛汇聚政府主管部门、科研院校、产业链企业及投资机构代表，围绕工业操作系统核心技术突破、AI融合应用及生态共建等关键议题深入探讨，为行业高质量发展凝聚共识。

来源：https://mp.weixin.qq.com/s/W8LNvvo07FJu4pdwWysevw

政策法规

1、发布丨《数据安全技术 电子产品信息清除技术要求》强制性国家标准获批发布（附全文）

2025年12月2日，中央网信办提出并归口的《数据安全技术 电子产品信息清除技术要求》强制性国家标准由国家市场监督管理总局、国家标准化管理委员会批准发布，将于2027年1月1日起正式实施。随着数字经济快速发展，手机、电脑等电子产品更新换代频率加快，二手电子产品流通体量日益庞大，然而在流通环节中，由于信息清除不彻底导致的数据泄露风险日益凸显，直接影响社会公共利益和个人信息安全。为落实国务院印发的《推动大规模设备更新和消费品以旧换新行动方案》中关于“出台手机、平板电脑等电子产品二手交易中信息清除方法国家标准”的相关要求，中央网信办提出并委托全国网络安全标准化技术委员会组织制定本标准，旨在规范电子产品信息清除技术方法，引导回收经营者建立健全信息清除管理和技术措施，防范二手流通中的数据泄露风险，促进二手电子产品交易行业健康有序发展。

来源：中国网信网

2、GBT 46796-2025 数据安全技术 数据接口安全风险监测方法

本文件描述了数据接口安全风险监测的要素关系、监测方式,给出了数据接口安全风险监测流程各阶段的说明。本文件适用于指导数据处理者、第三方机构开展数据接口安全风险监测工作,主管(监管)部门实施数据接口安全风险监督管理时参考使用。

来源：https://mp.weixin.qq.com/s/_maFLiWBWNBnBFa87h8jaA

3、网安标委就《网络安全标准实践指南——网络数据标签标识技术规范（征求意见稿）》公开征求意见

为落实《网络数据安全管理条例》，帮助数据处理者使用网络数据标签标识技术提高网络数据安全管理水平，秘书处组织编制了《网络安全标准实践指南——网络数据标签标识技术规范（征求意见稿）》。根据《全国网络安全标准化技术委员会

来源：全国网安标委

4、国家标准丨《网络安全技术 物联网感知终端应用安全技术要求》征求意见稿

本文件规定了应用感知终端过程中的安全技术要求，覆盖物联网规划设计、建设、运维管理和废弃退出各阶段。本文件适用于物联网建设运维单位对感知终端的选取、部署、使用维护、废弃等活动，也可以为感知终端产品设计和制造提供指导，为第三方测评机构实施测试和评价提供参考。下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件仅该日期对应的版本适用于本文件:不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

来源：全国网安标委

5、国家标准丨《网络安全技术 区块链共识机制安全要求》征求意见稿

区块链共识机制旨在保证共识节点在区块链网络中对一系列有序交易序列达成一致，是保障区块链安全的核心技术之一。共识机制确保了即使在存在网络威胁和节点故障的实际部署环境下,区块链网络中的诚实节点仍能就交易数据的一致性达成共识，并保证链上数据的可信性和抗篡改性。共识机制根据区块链网络状态设定的不同和容错性质的差异具有不同的适用范围，

来源：全国网安标委

6、国家标准丨《网络安全技术 密码设备应用接口规范》征求意见稿

本文件按照GB/T1.1-2020《标准化工作导则第1部分:标准化文件的结构和起草规则》的规定起草。本文件代替GB/T36322-2018《信息安全技术密码设备应用接口规范》，与GB/T36322-2018相比，除结构调整和编辑性改动外，主要技术变化如下: a)增加了CCM、GCM和XTS的缩略语(见4)；b)增加了ECC密钥对保护结构(见5.9)；c)删除了基于RSA算法的数字信封转换和基于ECC算法的数字信封转换两个接口函数(见2018年版的6.3.8、6.3.18)；d）增加了多包对称加解密、多包MAC计算和单包可鉴别加解密、多包可鉴别加解密、单包可调分组加密、多包可调分组加密相关的25个接口函数(见6.5和2018年版的6.5)；e)增加了带密钥的杂凑运算相关的4个接口函数和单包杂凑运算函数(见6.6)；

来源：全国网安标委

7、天津市大数据协会关于《供热行业数据资源价值化资产化实施指引（征求意见稿）》征求意见的通知

为深入贯彻国家数据基础制度建设决策部署，落实天津市政府关于数据要素价值释放的工作要求，破解供热行业发展瓶颈、加速行业数字化转型，在天津市数据局、天津市城市管理委员会的指导下，市大数据协会联合市供热协会，组织数据服务机构、专业服务机构、金融机构、高校等多方力量，共同编制完成《供热行业数据资源价值化资产化实施指引（征求意见稿）》，为供热企业搭建起覆盖全流程的方法论与操作指南，提供系统、明晰的数据资产化实施路径。

来源：https://mp.weixin.qq.com/s/b3K65LnxZ7ye6KwupuimoQ

8、河南省政府印发《郑州市要素市场化配置综合改革试点工作方案》

为深入落实《国务院关于全国部分地区要素市场化配置综合改革试点实施方案的批复》（国函〔2025〕86号）精神，高质量、高标准推进郑州市要素市场化配置综合改革试点工作，着力破除阻碍要素自由流动和高效配置的体制机制障碍，推动要素质量逐步提高、生产要素畅通流动、各类资源高效配置、市场潜力充分释放，探索形成一批可复制可推广的制度性创新成果，制定本工作方案。

来源：https://www.henan.gov.cn/2025/12-13/3273828.html

安全漏洞

1、谷歌Chrome紧急更新：修复WebGPU与V8引擎高危内存破坏漏洞

谷歌已向稳定版桌面渠道推送重要安全更新，修复了两个可能导致内存破坏攻击的高危漏洞。此次更新Window和Mac用户浏览器版本提升至143.0.7499.146/.147，Linux用户版本提升至143.0.7499.146。鉴于漏洞存在于浏览器图形和JavaScript引擎中，安全专家建议管理员和用户立即强制更新以降低风险。本次更新修复了由外部研究人员提交的两个"高危"漏洞：WebGPU释放后使用漏洞：CVE-2025-14765；V8内存破坏漏洞：CVE-2025-14766。

资料来源：https://mp.weixin.qq.com/s/xzLe2Vie-UC1BsC2JudubQ

2、Windows惊现“连环漏洞”：未修补的RasMan缺陷可被任意用户触发崩溃，直通系统最高权限

近日，安全厂商0patch的研究人员在分析一个已修复的Windows漏洞时，意外发现了另一个更为严重的未修补安全缺陷。该漏洞存在于Windows远程访问连接管理器（RasMan）服务中，允许任何未经授权的普通用户随意触发服务崩溃，进而为攻击者提升至系统最高权限（SYSTEM）铺平道路。整个事件始于微软在2025年10月修补的权限提升漏洞CVE-2025-59230。0patch团队在分析该漏洞的利用代码时发现，攻击者可以利用RasMan服务启动时注册的一个RPC端点的竞争条件，通过抢注恶意端点来欺骗其他高权限服务。“因此，一个有效的漏洞利用必须能够（同时）停止RasMan服务，以释放该RPC端点。”0patch的报告指出。正是这个需求，引导研究人员发现了隐藏在利用代码中的“秘密武器”——一个**尚未被微软官方修补**的第二个漏洞。

资料来源：https://mp.weixin.qq.com/s/GICCJKgbegMxQAYe-ZMtRQ

3、苹果iOS26.2修复25个漏洞

日前，苹果发布iOS 26.2、iPadOS 26.2及macOS Tahoe 26.2系统，此次更新共计修复了25个安全漏洞，苹果推荐所有用户立即进行升级。据了解，在本次苹果系统修复的漏洞中，有两个WebKit漏洞尤为值得关注，它们的编号分别为CVE-2025-43529和CVE-2025-14174，这两个漏洞是由谷歌威胁分析小组（Google Threat Analysis Group）发现的。苹果官方已证实，现有证据显示，有黑客利用这两个漏洞，能够对旧版iOS用户发起极为复杂的定向攻击。在App Store方面，苹果公司针对一个权限问题采取了额外限制措施。该权限问题曾致使应用程序能够访问敏感的支付令牌，此漏洞编号为CVE-2025-46288，目前已被成功修复。

资料来源：https://mp.weixin.qq.com/s/8AKnOVJLO0POxPkbqRC3nA

4、NVIDIA Merlin框架存在反序列化漏洞，可致AI管道遭RCE攻击

NVIDIA已针对其Merlin框架发布重要安全更新，修复了可能允许攻击者在AI推荐系统管道中执行恶意代码或篡改敏感数据的高危漏洞。此次补丁主要修复运行在Linux系统上的两个关键组件——NVTabular与Transformers4Rec——存在的安全缺陷。这些漏洞的CVSS基础评分为8.8（高危），源于不安全的反序列化操作，攻击者常利用此类常见弱点诱使应用程序将不可信数据作为代码执行。首个漏洞（CVE-2025-33214）影响NVTabular——一个专为处理TB级数据集设计的特征工程库。该漏洞具体存在于软件的Workflow组件中。另一个同类漏洞（CVE-2025-33213）出现在Transformers4Rec中，该库用于训练推荐系统的Transformer架构。此漏洞位于Trainer组件内。

资料来源：https://mp.weixin.qq.com/s/Iux5rUE90J7xjb2thbc0Sg

5、Fortinet防火墙遭大规模攻击，黑客可“一键登录”管理员账户

近日，Fortinet旗下多款网络安全设备正遭到活跃攻击，攻击者利用两个新发现的单点登录（SSO）身份验证绕过漏洞，无需密码即可获得设备最高管理权限。此次漏洞影响广泛，涉及FortiOS、FortiProxy、FortiWeb及FortiSwitchManager 等多个核心产品线。Fortinet于2025年12月9日通过PSIRT公告披露了这两个编号为 CVE-2025-59718 和 CVE-2025-59719 的严重漏洞。随后，安全公司Arctic Wolf发布紧急通告，呼吁所有用户立即采取行动。

资料来源：https://mp.weixin.qq.com/s/5S-22P_G5QaBDCmaRykOhw

6、苹果0Day漏洞遭利用，针对特定iPhone用户发起复杂攻击

苹果公司修复了两个WebKit 0Day漏洞，这些漏洞已被用于针对运行iOS 26之前版本的特定iPhone用户发起复杂攻击。2025年12月12日发布的iOS 26.2和iPadOS 26.2更新修复了WebKit中的CVE-2025-43529和CVE-2025-14174漏洞。CVE-2025-43529是一个释放后使用漏洞，攻击者可通过恶意网页内容实现任意代码执行，该漏洞由谷歌威胁分析小组发现。CVE-2025-14174则是相关的内存损坏问题，苹果和谷歌TAG确认这两个漏洞与针对性间谍软件活动有关。这些漏洞影响iPhone 11及后续机型，以及特定型号的iPad Pro、iPad Air和iPad mini。

资料链接：https://mp.weixin.qq.com/s/QCPKWMHZx-avldrG00q76g

7、React再曝新高危漏洞，可致拒绝服务攻击与源代码泄露

在修复关键远程代码执行（RCE）漏洞不到一周后，React团队又披露了影响React Server Components（RSC）的三个新增安全缺陷。安全研究人员在尝试绕过此前"React2Shell"漏洞缓解措施时发现了这些新问题。虽然原始 RCE 补丁仍然有效，但新发现的漏洞引入了拒绝服务（DoS）和服务器端源代码未授权暴露的风险。React 团队强调，此前发布的更新（19.0.2、19.1.3和19.2.2版本）包含不完整修复，需要立即进行第二次升级。其中最严重的高危漏洞涉及拒绝服务攻击向量。研究人员发现，向Server Functions端点发送恶意HTTP请求可触发React反序列化过程中的无限循环，导致服务器进程挂起并耗尽可用CPU资源，最终使应用程序下线。

资料来源：https://mp.weixin.qq.com/s/H2ypjX-4wKgvyYM-Q96sxw

8、FortiGate设备SSO高危漏洞遭野外利用，攻击者可获取管理员权限

攻击者正在利用Fortinet FortiGate设备及其相关产品中的关键身份验证绕过漏洞（CVE-2025-59718和CVE-2025-59719）发起入侵。通过构造恶意SAML消息，攻击者能够实现未经验证的单点登录（SSO），从而获取系统管理员权限。Fortinet于2025年12月9日通过PSIRT安全公告披露了这些漏洞，随后Arctic Wolf发布安全警报，敦促用户立即安装补丁。当启用FortiCloud SSO功能时，以下产品线均受影响：FortiOS；FortiWeb；FortiProxy；FortiSwitchManager。

资源来源：https://mp.weixin.qq.com/s/u3SiFJuJKH5xq5bvZEyfoQ

9、严重的Plesk漏洞允许用户获取Root级别访问权限

Plesk for Linux中发现了一个严重的安全漏洞，可能允许用户在受影响的服务器上获取root访问权限。该漏洞编号为CVE-2025-66430，存在于Plesk的”密码保护目录”功能中，允许攻击者将任意数据注入Apache配置文件。该漏洞源于”密码保护目录”功能对用户输入的处理不当。通过利用此漏洞，攻击者可以将恶意数据注入Apache配置，随后以root权限执行命令。这代表一个关键的本地权限提升漏洞，对依赖Plesk进行服务器管理的组织构成了重大风险。任何有权访问”密码保护目录”功能的Plesk用户都可以利用此漏洞获取未经授权的root级别访问权限。

资料来源：https://mp.weixin.qq.com/s/vNrBNUqyemIOmx-NWtZfmw

安全事件

1、电商巨头3370万用户数据遭窃，股价暴跌，CEO引咎辞职

韩国最大电商平台Coupang（酷澎）近日爆发规模空前的数据泄露事故，约3370万用户个人信息遭未经授权访问，相当于韩国总人口的近七成，引发当地舆论强烈反响，并直接导致公司股价大幅下跌，CEO引咎辞职。Coupang官方发布声明表示，将加强对内部安全监控、权限管理与日志审计体系的建设；针对本次事故已启动内部复盘，并将进一步完善事件通报机制，提升对潜在威胁的及时检测能力。公司强调将依法履行对受影响用户的通知义务，并探索合理的补偿方案。Coupang本次数据泄露事故影响范围和社会反响均极为严重，既重创企业运营，也暴露出大型互联网平台在个人信息保护体系中的短板，同时再次凸显一个现实：在数字经济时代，数据安全不仅是技术问题，更是企业治理能力与社会责任的核心考验。

资料来源：https://mp.weixin.qq.com/s/Caz52Iu3OjXIOOD9Ghqwyw

2、最新手机间谍软件ResidentBat曝光

2025年12月18日，无国界记者组织（ReportersWithout Borders，RSF）披露，其数字安全实验室在一名白俄罗斯记者的安卓手机中发现了一种此前未被公开记录的间谍软件工具。该工具被命名为ResidentBat。取证分析显示，这并非一次临时或实验性使用，而是一套至少2021年起即已投入实际运行的监控工具，其技术设计与部署方式，与近年来广泛讨论的“高端零点击攻击”形成鲜明对照。ResidentBat的重要性，并不体现在技术炫目程度上，而在于它清晰展示了一种被长期忽视、却在现实中高度可行的监控路径：在获得设备物理接触权限的前提下，通过接触式方式完成恶意软件植入，并在之后长期隐蔽运行。这一发现，重新将注意力拉回到一个看似“低技术”、却极具现实威力的安全盲区。这类工具的存在提醒人们，手机安全并不仅仅是软件和漏洞的问题，更是现实使用环境的问题。ResidentBat并不罕见，它只是被看见了。

资料来源：https://mp.weixin.qq.com/s/DEaspNFKEv6UUUwiJTLx-g

3、获官方推荐的Chrome扩展暗中窃取数百万用户AI聊天记录

一款获得Google Chrome"精选"徽章、拥有六百万用户的扩展程序被发现正在静默收集用户向各类 AI 聊天机器人输入的所有提示词，包括OpenAI ChatGPT、Anthropic Claude、Microsoft Copilot、DeepSeek、Google Gemini、xAI Grok、Meta AI和Perplexity。涉事扩展在Chrome应用商店评分为4.7分，宣传为"最佳安全免费，可访问任何网站并解除内容封锁"。其开发商是位于特拉华州的Urban Cyber Security Inc.公司，该扩展在Microsoft Edge插件市场也有130万安装量。尽管该扩展声称能让用户"保护在线身份、保持安全并隐藏IP"，但其在2025年7月9日更新的5.5.0版本中，默认启用了通过硬编码设置实现的AI数据收集功能。

资料来源：https://mp.weixin.qq.com/s/L2QK-r5AuTKFcqFz1-fetQ

4、知名成人网站PornHub被曝用户数据泄露

此次事件并非PornHub自身系统遭到入侵，而是其曾使用的数据分析服务商Mixpanel发生安全事件，导致大量客户数据被黑客窃取。据披露，发动此次攻击的是勒索软件团伙ShinyHunters。Mixpanel为多家科技公司提供数据分析服务，受影响的客户不仅包括PornHub，还涉及OpenAI以及大量使用Salesforce CRM系统的企业。PornHub在回应中表示，该公司已于2021年停止与Mixpanel的合作，因此推测被窃取的数据均为2021年或更早的历史分析数据。PornHub同时强调，Premium高级会员的密码、支付信息及财务数据并未泄露。

资料来源：https://mp.weixin.qq.com/s/BETJ_F1UJ7IGBoC6FVYgBA

风险预警

1、17款下载量超5万的Firefox VPN扩展程序中发现GhostPoster恶意软件

一场名为GhostPoster的新活动被发现利用17款Mozilla Firefox浏览器扩展程序的标志文件，嵌入旨在劫持联盟链接、注入追踪代码以及实施点击和广告欺诈的恶意JavaScript代码。据发现此次活动的Koi Security称，这些扩展程序已被累计下载超过5万次。目前相关插件已不可用。这些浏览器程序被宣传为VPN、截图工具、广告拦截器以及非官方版本的谷歌翻译等。其中最早上架的扩展程序Dark Mode发布于2024年10月25日，声称能为所有网站启用深色主题。

资料来源：https://mp.weixin.qq.com/s/7dibnfSv7G7xKf8tFIym9A

2、AI勒索新剧本曝光：2500万美元蒸发，我们离“数字绑架”还有多远？

一场源自“上级领导”的视频会议，2500万美元转瞬蒸发。这并非好莱坞式的虚构惊悚桥段，而是2024年真实上演于跨国工程咨询巨头Arup的网络安全事件。攻击者借助深度伪造技术，精准复刻公司首席财务官的音容举止，令香港办事处财务人员深信不疑，最终在毫无察觉中完成了15笔大额转账。欢迎步入AI驱动的勒索软件战场。在此全新战域中，代码与算法已不再是冰冷的技术工具，而演化为一把精准切入人性弱点的精密手术刀。那些语法错漏百出、破绽频现的传统钓鱼邮件早已成为历史遗迹；取而代之的，是一整套由人工智能精心编排、针对人类认知漏洞量身定制的“完美犯罪”方法论。

资料来源：https://mp.weixin.qq.com/s/EQR3jjwfR_NZYBE55h02ig

3、智能机秒变监视器！新型安卓恶意软件“DroidLock”可远程锁屏并偷拍

移动安全公司Zimperium旗下zLabs实验室近日发现一款名为“DroidLock”的新型安卓恶意软件，该软件正通过伪造的钓鱼网站针对西班牙用户发起攻击。研究人员警告，这一高度组织化的恶意程序不仅能完全劫持用户设备、窃取敏感信息，甚至可实时监控屏幕并远程启动前置摄像头偷拍，对企业数据安全构成严重威胁。据Zimperium安全研究员Vishnu Pratapagiri分析，DroidLock运作模式类似勒索软件，但其核心目标并非加密文件，而是实现对受害设备的“全面接管”。黑客通过钓鱼网站诱导用户安装恶意应用后，软件会利用伪造的系统更新界面等欺骗性手段，在全屏显示警告信息，胁迫受害者主动联系攻击者。该恶意程序通过15种不同指令与命令控制中心通信，并滥用设备的“设备管理员权限”实施犯罪。借助此权限，攻击者可远程执行恢复出厂设置、修改锁屏密码等操作，永久将机主拒之门外。

资料来源：https://mp.weixin.qq.com/s/HeVFbuQwewXXdeP5q5009g

4、新型01flip勒索软件袭击亚太关键基础设施

网络安全领域出现了一个手法老练的新型勒索软件组织，该组织使用专门构建的跨平台攻击武器，将亚太地区关键基础设施作为攻击目标。这款完全采用Rust编程语言编写的"01flip"勒索软件家族，能够以同等破坏力同时攻击Windows和Linux系统。Palo Alto Networks旗下Unit 42研究团队以CL-CRI-1036为集群标识追踪该攻击活动。虽然攻击行动尚处初期阶段，但威胁行为体已宣称在菲律宾和中国台湾地区得手，这标志着以经济利益为驱动的网络犯罪出现了危险的新动向。

资料来源：https://mp.weixin.qq.com/s/EfCtQsqJQN6aHRGNVQjz2A

5、SHADOW-VOID-042组织冒充趋势科技发起钓鱼攻击，意图渗透关键基础设施

一个复杂威胁组织利用网络安全巨头的声誉发起定向鱼叉式钓鱼攻击，通过冒充趋势科技（Trend Micro）入侵国防、能源和化工领域的关键机构。趋势科技最新报告显示，2025年11月，被追踪为SHADOW-VOID-042的组织不仅瞄准关键基础设施，还试图利用该厂商的品牌标识作为诱饵，渗透趋势科技及其子公司。攻击者采用经典但有效的欺骗手段：紧急安全通告。目标用户收到主题为"重要通知：TM安全通告及系统防护措施"的邮件，敦促其处理一个根本不存在的漏洞。钓鱼邮件声称："我们发现趋势科技Apex One Web信誉服务模块某些版本存在安全漏洞，该模块可能正安装在您的计算机上"。受害者被引导至模仿趋势科技企业风格的仿冒网站，该网站以"TDMSEC"为伪装标识运营。

资料来源：https://mp.weixin.qq.com/s/5pO1uQ9-H9niu_uS2LZIUg

6、新型ClickFix攻击：macOS信息窃取木马利用ChatGPT官网传播

网络安全研究人员发现一种针对macOS用户的新型攻击活动，攻击者通过ChatGPT官方网站传播恶意软件。该攻击采用名为ClickFix的技术，在合法域名chatgpt.com上发布虚假安装指南来传播AMOS信息窃取木马。攻击者利用ChatGPT的对话分享功能实施攻击。该功能允许用户创建公开对话，并通过看似来自OpenAI官网的链接进行分享。攻击首先通过Google付费搜索广告展开——当用户搜索"chatgpt atlas"时，会看到伪装成官方ChatGPT域名的赞助链接。广告显示"ChatGPT™ Atlas for macOS - Download ChatGPT Atlas for Mac"的标题，使其看起来完全合法。点击广告的用户会被引导至一个共享的ChatGPT对话，其中包含虚构的Atlas浏览器安

资料来源：https://mp.weixin.qq.com/s/b2hNvnw1YLq4kH9ZRUbwwQ

7、军用级ValleyRAT失控：内核Rootkit构建工具泄露引发全球攻击激增

一款曾用于定向间谍活动的高级网络武器现已失控——其构建工具公开泄露后，该恶意软件正在全球威胁环境中迅速扩散。Check Point Research（CPR）最新报告显示，被称为Winos的模块化后门程序ValleyRAT已不再是特定组织的专属工具，而演变为全球网络犯罪分子的危险武器。过去半年间，恶意软件格局发生剧变。CPR指出，当ValleyRAT的构建工具（用于生成恶意软件的软件）在网络上泄露后，该武器的专属性就此终结。影响立竿见影且规模惊人。"ValleyRAT插件在野外的检测统计数据显示，最近六个月检测到的样本约占总量85%，这与构建工具公开泄露的时间完全吻合。"这实质上意味着军用级网络武器现已流入黑市，研究人员称之为"野外活跃度加速攀升"的现象。

资料来源：https://mp.weixin.qq.com/s/fc4VHFuB13rAR58FcVdahg

8、紧急预警！银狐木马升级“远控+勒索”混合攻击

“您好，有人举报您公司网站存在违规内容，请联系投诉人协商，否则将立案处罚！”近期，全国多地企业遭遇这类官方口吻的诈骗电话。受害者因担心被立案，纷纷按要求添加“投诉人”微信，随后便收到标注“撤销举报需核验”的钓鱼邮件。邮件里明确诱导“暂时关闭360等安全软件，否则无法解压案件资料，不少企业员工急于处理，未加核实便运行了附件。一旦点击，银狐木马立即启动攻击。更危险的是，银狐木马随后又继续下载并执行了LockBit 5.0勒索软件，加密电脑中的重要数据并索要赎金，给受害者造成巨大损失。

资料来源：https://mp.weixin.qq.com/s/UMy_QbbgUtw2mgpyk7vUvw

技术前沿

1、前沿丨探索技术发展与隐私信息保护的平衡

尽管生成式人工智能处于早期阶段，但其更新迭代的速度与影响已超出预期。其中，生成式人工智能对隐私信息保护的冲击尤为突出。隐私信息保护议题的形成、发展与信息传播技术息息相关，历次重大信息技术变革的冲击，不时触发隐私信息的边界与结构，积累着隐私信息贬损的风险与权益保护的风险迭代，导致隐私信息泄露事件屡有发生。在生成式人工智能重塑信息生态的今天，隐私信息素养已从“可选技能”变为“生存刚需”。在新一轮人工智能技术向纵深发展的过程中，要坚守隐私信息安全，探索技术发展与权利保护的平衡，构建既能够享受AI红利，又不牺牲隐私尊严的可持续未来。

来源：中国社会科学网

2、专家解读丨王志成：加快实施电子产品信息清除标准 以高水平数据安全保障高质量发展

《中共中央关于制定国民经济和社会发展第十五个五年规划的建议》明确要求“加强个人信息保护”。这是党中央面对新形势，对个人信息保护工作的再动员再部署。近日，由中央网信办提出并归口的《数据安全技术 电子产品信息清除技术要求》（以下简称《技术要求》）强制性国家标准经国家市场监督管理总局、国家标准化管理委员会批准发布，补齐了电子产品信息清除的标准短板，对于落实党的二十届四中全会关于加强个人信息保护的重要精神具有意义，也对数据行业的高质量发展具有显著推动作用。总之，《技术要求》的出台是我国个人信息保护工作的重要里程碑，既是推动安全发展和绿色发展相融合的规则典范，也是推动改革发展稳定相协同的实践创新。

资料来源：中国网信网

3、量子密钥分发技术重塑信息安全

随着信息技术的迅猛进步，信息安全领域正面临前所未有的严峻挑战。传统信息安全技术在应对日益复杂多变的网络攻击时，逐渐显现出局限性。而量子密钥分发（QKD）技术的诞生，为信息安全领域带来了一种全新的、基于量子力学理论的解决方案。它独特的安全机制预示着在未来网络安全架构中将发挥巨大的作用，不仅能有效应对多种传统信息安全威胁，还能在网络架构的各个层级和多样化的应用场景中扮演核心角色。同时，量子密钥分发技术的标准化与协议设计也成为推动其广泛应用的关键一环，对于构建更加坚固可靠的通信体系具有深远的意义。

资料来源：https://mp.weixin.qq.com/s/fIz5ZYkZj_6JbNzf9FEUIQ

4、实现一个基于LLIL的x86/x64的静态分析框架

这篇文章将会浅尝辄止的为各位构建出一个Windows平台下x86/x64 CPU环境下的一个静态分析框架，并且会与IDA的基础功能进行比较，该框架仅仅是静态分析的基础如果想要在此基础上进行更多的探索则需要各位自己去完成，这个框架能干的事情非常多，譬如空闲寄存器分析，基本块分析，CFG分析，代码混淆，甚至是污点分析。这篇文章首先带领大家研究3个核心的主题：1.指令流构建 (buildInstFlow)；2.基本块构建 (buildBasicBlock)；3.控制流图构建 (buildCFG)；4.静态分析等等操作(此操作本文暂不涉及)。

资料来源：https://mp.weixin.qq.com/s/YXyzff5ncEB6QlYh28nUJw

5、解读：数据安全与网络安全保护的异同及其在能源领域的相互关系

在我国法律框架下，两者既相互独立又紧密嵌套：《网络安全法》 是基础，确立了网络运行安全和网络信息安全的基本制度，为数据在网络空间的安全提供了基础环境保障。《数据安全法》 是专门法，将“数据”作为独立的保护对象，建立了以数据分类分级为核心，覆盖数据全生命周期的安全管理体系。它标志着数据安全治理从属于网络安全的附属地位，上升为与网络安全并列的国家安全维度。《能源行业数据安全管理办法（试行）》 作为行业配套规章，是《数据安全法》在能源领域的深化和落地。它继承了数据分类分级（一般、重要、核心数据）的核心制度，并针对能源行业特点（如涉及国家安全和公共利益的数据高度集中）提出了更具体、更严格的要求。

资料来源：https://mp.weixin.qq.com/s/BAGKtzOAL7BFjjoSY2Go6A

6、解读：能源行业数据安全风险评估基本要求

根据国家能源局于2025年12月8日印发的《《能源行业数据安全管理办法（试行）》（以下简称《办法》），数据安全风险评估是能源数据处理者，特别是重要数据和核心数据处理者必须履行的核心义务之一。该办法对风险评估提出了系统、明确且具有强制性的要求，旨在通过定期评估，主动发现并管控数据安全风险。根据《办法》第十四条规定，能源行业重要数据的处理者是其数据处理活动风险评估的法定责任主体。这意味着，一旦企业被认定为重要数据的处理者，就必须承担起组织风险评估的责任。在评估频率上，《办法》设定了每年至少开展一次的底线要求。这是一项强制性的定期检查制度，旨在确保数据安全状态得到持续监控和周期性审视。对于能源行业核心数据，《办法》第二十五条进一步建议，处理者可以优先使用第三方评估机构开展风险评估，这体现了对最高级别数据更为审慎和独立的外部监督原则。

资料来源：https://mp.weixin.qq.com/s/olf45qKfE4z9eb38RQPxfw

7、强网杯2025决赛复现

资料来源：https://mp.weixin.qq.com/s/3x4_uut3jvF4x6JeK6z22Q

8、构建网络空间命运共同体，破解全球治理困局

总书记在主持中共中央政治局第二十三次集体学习时指出，要健全网络生态治理长效机制，着力提升治理的前瞻性、精准性、系统性、协同性，持续营造风清气正的网络空间。总书记强调，网络生态治理是世界各国面临的共同课题。要积极参与国际规则制定，携手各国打击网络违法犯罪，推动构建网络空间命运共同体。

资料来源：环球网