FreeBuf早报 | 《工业领域云安全实践指南》正式发布；Red Art游戏遭遇重大网络攻击
内容提要
1. Stargazer Goblin 使用虚假的 GitHub 账户进行恶意软件分发服务。2. 巴勒斯坦的支持者对阿联酋银行发起了网络攻击。3. 工业云安全实践指南为工业企业提供云安全指导。4. TracFone 因数据泄露被罚款 1600 万美元。5. 中国警告新的电信诈骗类型。6. 电子邮件网关安全漏洞允许绕过静态扫描。7. 超过 70% 的智利公民数据在暗网上泄露。8. 最大的数字盗版泄露暴露了 976 万用户的信息。9. 由于网络攻击，城市供暖系统被关闭。10. 安全公司 KnowBe4 被欺骗并雇佣了一名朝鲜黑客。11. Docker Engine 的关键漏洞绕过了授权插件。12. Red Art Games 遭遇重大网络攻击。13. 深入分析揭示了复杂的跨站点漏洞链。14. JAW 是一个用于客户端 JavaScript 的图形安全分析框架。15. 渗透测试发现了学习平台中的漏洞。
延伸解读
工业云安全指南的实践意义
《工业领域云安全实践指南》针对工业企业上云趋势，提出五维模型，旨在应对云环境下的风险挑战。该指南为面临类似安全风险的企业提供建设实践指引，并展望未来发展。其发布反映了工业领域对云安全问题的重视，有助于企业系统化构建防护体系。
网络攻击的多样化与影响
近期安全事件显示攻击目标广泛：阿联酋银行遭持续DDoS，智利公民数据大规模泄露，城市供暖系统被恶意软件关闭，游戏公司Red Art Games受攻击导致服务暂停。这些案例表明，关键基础设施、金融、民生和娱乐行业均面临威胁，攻击可能造成业务中断和数据损失。
内部威胁与供应链风险
KnowBe4误聘朝鲜黑客事件揭示攻击者利用窃取身份和AI生成照片渗透企业。同时，Stargazer Goblin通过虚假GitHub账户分发恶意软件，Docker Engine漏洞可绕过授权插件。这些情况强调企业需加强员工背景审查、第三方组件安全管理和访问控制。
漏洞挖掘与防御技术
文章介绍了跨域漏洞链的深度解析，涉及postMessage、CSRF、WAF绕过等技术，以及JAW图形化安全分析框架和渗透测试案例。这些内容为安全人员提供了漏洞挖掘思路和工具，有助于提升对复杂攻击链的识别和防御能力。
Q&A
Stargazer Goblin 是什么？
Stargazer Goblin 是一个利用虚假 GitHub 账户进行恶意软件分发的威胁行为者。
《工业领域云安全实践指南》主要内容是什么？
该指南为工业企业提供云安全指导，提出了工业领域云安全五维模型，以应对上云后的风险挑战。
TracFone 为什么被罚款？
TracFone 因未能保护消费者数据而导致三次数据泄露，被美国联邦通信委员会罚款1600万美元。
智利公民数据泄露的情况如何？
超过70%的智利公民数据在暗网上泄露，相关数据库以500美元的价格出售。
Red Art Games 遭遇了什么样的网络攻击？
Red Art Games 遭遇重大网络攻击，导致用户数据泄露，公司网站已关闭并暂停订单处理。
电子邮件网关安全漏洞的影响是什么？
电子邮件网关安全漏洞允许攻击者绕过静态扫描，可能导致恶意软件成功攻击目标。
