摘要：工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，Google Chrome存在沙箱逃逸高危漏洞，可被恶意利用导致信息泄露、代码执行等危害。Google Chrome是谷歌公司开发的网页浏览器，用于快速浏览、搜索互联网内容。由于其沙箱机制在与W
国内动态
工信部：关于防范Google Chrome沙箱逃逸高危漏洞的风险提示
工信部等七部门联合印发《医药工业数智化转型实施方案 (2025—2030年)》
工信部印发《智能制造典型场景参考指引 (2025年版)》
市场监管总局《商业秘密保护规定》公开征求意见
IDC：2025年中国可信数据空间市场规模为30.4亿元
国外动态
BPFDoor后门新控制器曝光，威胁多行业网络安全
AWS遭大规模勒索软件攻击，超200个密钥被盗用
美国陆军发布网络安全服务供应商协调指南
印度推进网络空间和太空建设
美国国防情报局寻求人工智能决策技术
Billbug间谍组织在东南亚部署新工具
澳大利亚推出太空量子安全通信网络
MITRE推出D3FEND CAD工具，革新网络安全建模
Lazarus黑客组织攻击韩国六家公司
芬兰发布国家量子战略
国内动态
1. 工信部：关于防范Google Chrome沙箱逃逸高危漏洞的风险提示
4月25日消息，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，Google Chrome存在沙箱逃逸高危漏洞，可被恶意利用导致信息泄露、代码执行等危害。Google Chrome是谷歌公司开发的网页浏览器，用于快速浏览、搜索互联网内容。由于其沙箱机制在与Windows操作系统内核交互时存在逻辑错误，攻击者可利用该漏洞绕过沙箱隔离机制，窃取敏感信息，甚至远程执行恶意代码等。受影响版本为Google Chrome（Windows）
2. 工信部等七部门联合印发《医药工业数智化转型实施方案 (2025—2030年)》
4月24日消息，工业和信息化部、商务部、国家卫生健康委、国家医保局、国家数据局、国家中医药局、国家药监局等七部门近日联合印发《医药工业数智化转型实施方案（2025—2030年）》。方案提出了两个阶段的发展目标：到2027年，医药工业数智化转型取得重要进展，以数智技术驱动的医药全产业链竞争力和全生命周期质量管理水平显著提升，重点围绕数智化发展基础建设、数智化转型推广、支撑服务体系建设三个维度，确定了未来三年应实现的包括标准制定、设备研发、场景打造、企业培育、园区建设、平台建设、服务商培育等在内的十类具体目标。到2030年，规上医药工业企业基本实现数智化转型全覆盖，数智技术融合创新能力大幅提升，医药工业全链条数据体系进一步完善，医药工业数智化转型生态体系进一步健全。
3. 工信部印发《智能制造典型场景参考指引 (2025年版)》
4月26日消息，工信部印发《智能制造典型场景参考指引 (2025年版)》。文件基于制造企业探索实践，结合技术创新与融合应用发展趋势，从工厂建设、产品研发、生产管理、生产作业等8个重点环节，凝练出40个典型场景，并围绕场景业务活动、核心问题、实施路径与应用成效等方面进行了详细描述。相比2024年版，新版《参考指引》优化了重点环节布局，新增了数字基础设施建设、制造工程优化、智能经营决策等典型场景，突出了人工智能新技术在典型场景中的融合应用，加强对企业智能化升级的引领。
4. 市场监管总局《商业秘密保护规定》公开征求意见
4月25日消息，市场监管总局就《商业秘密保护规定（征求意见稿）》面向社会公开征求意见。该征求意见稿对商业秘密保护体系建设提出了多项新要求。一是明确了经营者在保护自身商业秘密方面的主体责任，推动商业秘密保护关口由事后维权向事前预防转移。二是对市场监管部门采取行政保护措施帮助经营者提升商业秘密保护意识和能力作出规定。三是对市场监管部门与相关部门间加强商业秘密协同保护和有效衔接作出规定。四是对行业组织加强自律引导、各地区加强组织领导以及鼓励社会监督等内容作出规定。
5. IDC：2025年中国可信数据空间市场规模为30.4亿元
4月24日消息，国际数据公司（IDC）发布了《中国数据空间市场分析，2025》。IDC预测，2025年中国可信数据空间市场规模为30.4亿元人民币，其中城市数据空间占比超过56%，但随着数据要素的深化应用，行业数据空间和企业数据空间的增长预期将远超城市市场空间。IDC中国助理研究总监指出，数据空间前景广阔，随着国家数据局促进数据资源整合、共享、开发和利用，预计2025年城市数据空间市场会快速增长；但随着数据要素的深化应用，行业数据空间和企业数据空间的增长预期将超过城市市场空间，市场存在极大的想象空间。
国外动态
1. BPFDoor后门新控制器曝光，威胁多行业网络安全
近日，研究人员发现与BPFDoor后门相关联的新型控制器，该控制器可打开反向外壳，帮助攻击者深入受感染网络。BPFDoor是一种用于网络间谍活动的国家级后门，以隐蔽的防御规避技术著称，已针对电信、金融和零售等行业发动攻击，影响范围覆盖韩国、香港等多地。该控制器由高级持续威胁组织Red Menshen（Earth Bluecrow）操控，不仅能让攻击者在网络内横向移动，还可通过多种协议控制感染机器，并具备密码验证、连接加密等功能。由于BPFDoor恶意软件源代码曾泄露，当前难以确定Earth Bluecrow的其他活动。
2. AWS遭大规模勒索软件攻击，超200个密钥被盗用
近日，研究人员披露了一起针对AWS（亚马逊云服务）的大规模勒索软件攻击事件。攻击者利用被盗的密钥访问AWS，对S3存储桶文件加密并索要赎金。研究还发现在存储AWS密钥记录的数据库中，有229个登录凭证被用于攻击。攻击者通过AWS S3的服务器端加密功能，使用AES-256加密数据，整个过程无明显警告且存储桶结构不变，部分受害者甚至未察觉数据已加密。此次攻击手法特殊，依赖被盗密钥而非复杂黑客技术，安全研究员称其史无前例。密钥泄露可能源于代码存储不当、工具弱点、配置错误等原因。
3. 美国陆军发布网络安全服务供应商协调指南
近日，美国陆军首席信息官发布《网络安全服务供应商协调指南》。该指南旨在为系统所有者（SO）提供战略指导，并要求在陆军的统一网络中使用经授权和认证的网络安全服务供应商（CSSP）。该指南指出，陆军网络司令部（ARCYBER）和陆军指挥、控制、通信、计算机、网络、情报、监视和侦察中心（C5ISR）是仅有的两个获得认证授权的CSSP，其中ARCYBER负责提供一般性的CSSP服务，C5ISR负责为商业和私有云环境中的系统和网络提供CSSP服务。此外，该指南还要求SO在机构任务保障支持服务期间记录CSSP的合规情况，遵守CSSP规定的网络安全上报要求，并共享系统安全信息。
4. 印度推进网络空间和太空建设
近期，印度陆军正利用各项自主研发技术，来保护其网络空间和太空资产。在网络空间方面，印度陆军人工智能卓越中心积极利用智能手机应用程序MShield 2.0和态势感知模块SAMA等工具，并结合量子计算、区块链、人工智能等先进技术，构建了强大的网络防御系统；在太空方面，印度启动“天基监视III”计划，以便在2030年前向低地球轨道和地球静止轨道发射52颗搭载人工智能的卫星，以执行情报侦查与安全通信等任务。
5. 美国国防情报局寻求人工智能决策技术
近日，美国国防情报局（DIA）发布招标书（编号HHM402-23-SC-0002-0001），以向企业界寻求基于人工智能和机器学习技术的决策支持技术。该招标书主要关注以下三个技术领域：机构多模型大语言模型应用、多源数据检索和预处理和支持人工智能的文档生成和评估。该招标书要求投标方必须满足以下要求：拥有直观的用户界面，且能选择不同的大型语言模型；配备用于快速优化的输出缓存；允许用户将文档上传到临时内存；具备输出显示功能；适用于超过2000个并发用户的大型分布式用户群，并具备用户身份验证和网络安全功能；能轻松集成检索增强生成（RAG）、媒体生成和智能体功能；能够从不同的来源检索数据，对检索到的数据进行预处理，并具备数据存储管理功能；能将快速收集的大量数据集成到现有和新兴的工作流程中；必须包含网络安全功能，并可存储不同密级的数据；支持细粒度的数据权利管理，能与在不同密级间移动数据的跨域解决方案相集成，并为大型语言模型构建矢量数据库。
6. Billbug间谍组织在东南亚部署新工具
近日，美国网络安全公司赛门铁克的研究显示，在2024年8月至2025年2月期间，网络间谍组织Billbug持续入侵东南亚某国的多家组织，其攻击目标包括一个政府部门、一个空中交通管制机构、一家电信运营商和一家建筑公司，这凸显出该组织对国家机构和关键基础设施的浓厚兴趣。Billbug在这些攻击中使用了多种新工具，包括加载器、凭证窃取程序和反向SSH工具等。举例来说，Billbug使用了Trend Micro公司和Bitdefender公司的合法软件来加载恶意程序，并使用了名为“DLL侧载”的技术以及Sagerunex后门的新变种（由Billbug自行开发的恶意工具）。其中有两种新的恶意工具能够窃取Chrome网络浏览器的凭证。
7. 澳大利亚推出太空量子安全通信网络
近日，澳大利亚国防部已经启动了一个量子研究项目，以加强澳大利亚武装部队在太空中的安全定时和通信。该项目由国防科技集团（DSTG）领导，旨在创建和提供一个量子安全的定时网络，构建从地面到卫星的光量子链路。该网络将不可能被欺骗、干扰或检测，允许在没有全球导航卫星系统的竞争环境中运行。此外，它将提供更精确的定位数据和定时精度（比GPS提高了1000倍），并允许在战斗中同步国防资产。
8. MITRE推出D3FEND CAD工具，革新网络安全建模
近日，MITRE正式推出了备受期待的D3FEND CAD工具，该工具是D3FEND 1.0版本的重要组成部分。这个新的网络攻击-防御（CAD）工具旨在通过提供一种结构化的、基于知识的网络安全场景创建方法，改变安全专业人员建模、分析和响应网络安全威胁的方式。该工具利用D3 FEND本体，可以绘制出各种网络安全对策之间的关系。它是网络攻击-防御的一个关键功能，是一个详细且结构化的网络安全知识库，不仅可以帮助安全从业人员了解单个威胁，还可以帮助他们了解更广泛的攻击和防御互动。该工具由MITRE、美国国家安全局（NSA）和其他国防机构合作开发，为网络安全操作提供了一个标准化框架。
9. Lazarus黑客组织攻击韩国六家公司
近日，朝鲜黑客组织Lazarus Group针对韩国六家公司发起攻击，涉及软件、IT、金融、半导体制造和电信行业。攻击活动名为“Operation SyncHole”。该攻击利用韩国软件Cross EX和Innorix Agent的漏洞，通过水坑攻击和恶意软件ThreatNeedle等入侵系统。卡巴斯基报告显示，攻击者通过复杂的攻击链获取敏感信息，利用Cross EX中的安全漏洞和Innorix Agent中的零日漏洞进行横向移动。研究人员指出，Lazarus Group组织针对韩国供应链的攻击预计将继续，攻击者通过开发新的恶意软件或增强现有恶意软件来逃避检测。
10. 芬兰发布国家量子战略
近日，芬兰发布《2025年芬兰量子战略》。该战略概述了8项措施，以提升芬兰在量子计算、量子传感和量子通信领域的竞争力。该战略强调对教育、基础设施和行业量子系统进行针对性的投资，但也认为芬兰的量子技术研发不能单纯依靠国家援助。该战略的主要建议包括建立国家量子能力中心，扩大量子-经典-人工智能混合平台的使用范围，以及推广符合欧盟的量子标准和法规等。
来源：信息安全与通信保密
