宏观新闻
近日，T-Mobile表示，年该公司通过免费的ScamShield机器人电话/诈骗防护服务，帮助客户拦截了亿通诈骗、垃圾营销、以及机器人呼叫。平均每个月识别/拦截数量也高达18亿。根据截至年12月上旬的数据，该运营商发现诈骗电话的全时流量都冲上了历史最高水平。与年相比，今年的增长超过了%，达到了每周大约4.25亿通。T-Mobile还在《欺诈与骚扰电话报告》中，披露了新的数据：年初至12月初，ScamShield识别/拦截了超过亿通打给T-Mobile和Metro客户的此类电话；年1月份的诈骗电话流量最低，有11亿通呼叫被打上了疑似诈骗来电的标签；年11月份的流量呈指数级增长，较年初翻了一倍多，至25亿通。在这亿通电话中，一半以上与虚假的车辆保修诈骗有关，其余常见套路包括假装社保办公室(10%)、无线运营商(9%)、车险企业(6%)、以及快递服务(4%)。从地域来看，全年最被诈骗者青睐的目标，主要来自德克萨斯、佛罗里达、亚利桑那、以及佐治亚州，尤其是达拉斯/沃斯堡区号的受害者。
Lumen和卡巴斯基实验室最新发布的第三季度DDoS报告，都显示本季度DDoS攻击暴增，Lumen发现本季度比上一季度多35%。安全专家警告说，且攻击技术也越来越复杂。Lumen研究人员分析发现DDoS攻击开始越来越多地针对VoIP语音等新服务。卡巴斯基实验室研究人员也同时发现第三季度DDoS攻击出现了一个明显的趋势，即网络电话提供商受到大量攻击，主要影响了英国、加拿大和美国的公司。由于功能强大而复杂，它们给客户带来了语音和短信问题。同时，近年来，越来越多的攻击者开始使用DDoS攻击向受害者勒索赎金，这些攻击者自称来自勒索软件组织REvil，要求支付巨额赎金来才能停止攻击。但是，目前还无法确认该组织的真实身份是REvil还是其他。无论如何，对VoIP提供商的勒索攻击仅限于DDoS，而REvil主要进行数据加密。卡巴斯基实验室研究人员也同时发现，第三季度发现的最大攻击带宽为Gbps，比第二季度增长了49%;基于数据包速率统计的最大攻击规模为Mbps，较第二季度增加了91%;对客户的最长攻击持续了两周，突显了DDoS可能对组织产生较严重影响;在受攻击次数达次的行业中，受攻击最频繁的行业是电信和软件/技术，其次是零售;28%的多重缓解措施首次面对四种不同攻击类型的复杂组合，分别是DNS、TCPRST、TCPSYN-ACK和UDP放大。
区块链数据平台Chainalysis表示，今年全球加密货币诈骗使投资者损失了77亿美元，较年飙升81%，其中最突出的是一种被称为“拉地毯”(rugpull)的新骗局。Chainalysis表示，作为基于加密货币的最大形式的犯罪，一种专门针对新用户的犯罪，诈骗对加密货币的持续采用构成了最大的威胁之一。今年的损失激增在一定程度上是由于“拉地毯”骗局的出现，让很多加密货币项目的投资者血本无归。Chainalysis表示，这已经成为去中心化金融(DeFi)生态系统中的“首选”骗局。在这种骗局中，加密货币项目(通常是一个新的代币)的开发者中途毫无征兆地放弃项目，卷走投资者的资金，这是该领域一个典型的退出骗局。“拉地毯”骗局造成的损失达到28亿美元，占了今年加密货币骗局损失总额的37%，而年这一比例仅为1%。不过，今年最大的“拉地毯”骗局并非始于DeFi项目。土耳其加密货币交易所Thodex的首席执行官在该交易所暂停用户提款后不久就失踪了，用户损失了超过20亿美元的加密货币。第二大“拉地毯”骗局是AnubisDAO，价值超过万美元的加密货币被盗。
安全动态
据Securityaffairs网站消息，谷歌开源团队扫描了MavenCentralJava软件包库，发现个软件包使用的ApacheLog4j库版本易受Log4Shell漏洞和CVE--RCE攻击。据了解，受影响的Java包数量占Maven中央存储库(最重要的Java包存储库)的8%.。谷歌发布报告表示，介于log4j漏洞近来对软件行业产生了广泛影响，8%的比例对整个行业生态的影响依然巨大。谷歌专家使用了OpenSourceInsights(一个用于确定开源依赖项的项目)来评估Maven中央存储库中所有的所有软件版本。专家指出，受影响的直接依赖项软件包大约有个，大多数受影响的为间接依赖项。漏洞在依赖关系链中的位置越深，修复它需要的步骤就越多。自Log4j漏洞披露以来，所有受其影响的软件包中已有13%被修复，那要在整个软件生态系统中修复此漏洞需要多长时间?专家认为，尽管最近几天行业内急于修复log4j，但整个过程可能需要数年时间。
比利时*府官员公开承认遭到近期曝光的ApacheLog4j漏洞网络攻击。本次攻击导致比利时国防部的部分计算机网络自周四以来一直处于关闭状态。发言人OlivierSéverin告诉新闻出版物VRT：“整个周末我们的团队都被动员起来控制问题，继续我们的活动并警告我们的合作伙伴。优先事项是保持网络运行。我们将继续监测这一情况”。Log4j是一个广泛使用的记录软件，存在于数以亿计的设备中。据微软和Mandiant研究人员称，与伊朗、朝鲜和土耳其*府有关的黑客都争相利用这一漏洞。勒索软件集团也试图利用这一漏洞。比利时国防部是第一个报告的该漏洞的高调*府受害者，但鉴于Log4j在公共和私营部门流行的许多企业软件中无处不在，它不可能是最后一个。Séverin说，在发现攻击后，比利时网络的受影响部分被分割开来。截至周一上午，包括电子邮件在内的系统似乎仍然处于瘫痪状态。比利时*府没有将这次攻击归咎于任何团体或民族国家。
12月22日bleeping