HackerNews

HackerNews 编译，转载请注明出处： 网络安全公司CTM360最新报告揭露，一场利用虚假新闻网站（BNS）实施跨国投资诈骗的犯罪行动已蔓延至50个国家。这些伪装成CNN、BBC、CNBC或地区媒体的BNS网页发布虚假报道，杜撰公众人物、央行或金融品牌支持新型被动收入项目的消息，旨在快速建立信任并将读者引向Trap10、Solara Vynex等专业级诈骗平台。 诈骗者通过谷歌、Meta及博客网络的赞助广告引流，使用“知名人物最新爆料”等标题党文案搭配官方照片/国旗增强可信度。用户点击后将跳转至假新闻页，最终导向虚假交易平台。多数骗局采用双阶段结构：第一阶段通过广告和假文章诱骗受害者；第二阶段在受害者上钩后启动，所谓“投资顾问”会致电索取身份证件，要求加密货币存款，并以持续“账户验证”拖延提款。这种分层机制帮助诈骗团伙建立虚假信任、延缓怀疑，直至榨干受害者资产。 当前CTM360的Webhunt平台已追踪到17,000余个此类网站。它们普遍托管于.xyz/.click/.shop等廉价顶级域，部分攻击者甚至入侵真实网站的子目录托管BNS内容以增加关停难度。诈骗网页往往根据目标地区定制化呈现——使用当地语言、篡改媒体Logo、结合区域意见领袖及银行信息提升欺骗性。 多数受害者在搜索在线投资或被动收入方法时遭遇骗局，易被模仿正规财经建议的赞助广告诱导。假内容精准匹配高意向搜索词，如“自动化加密货币交易”、“名人背书投资”等定制化诱饵。当受害者进入诈骗平台注册后，“投资经理”会通过专业话术敦促其存入约240美元激活账户。虚假利润仪表盘随即开始模拟盈利，而越深入参与就越被胁迫追加投资。 此类骗局不仅滥用信任，更收集敏感数据用于钓鱼攻击、身份盗窃及二次诈骗，使诱饵新闻网站成为三位一体的跨界威胁：兼具投资欺诈、品牌冒充与数据收割功能。这种模式正日益出现在杀猪盘、虚假KYC平台及联盟欺诈网络中，其生态演变值得重点追踪。 基于MITRE框架开发的CTM360欺诈导航工具完整绘制了骗局全流程：从资源架设、广告投放、受害者交互到数据窃取与资金变现。BNS在传播阶段扮演关键角色，成为庞大欺诈链条的入口节点。目前CTM360持续监控相关活动，并向受影响国家/机构提供关停支持、威胁情报及风险防护服务。 （注：CTM360是集成外部攻击面管理、数字风险防护、网络威胁情报、品牌保护与反钓鱼等功能的统一安全平台，提供覆盖明网/深网/暗网的无缝监测及无限关停服务。该方案无需用户配置安装，所有数据预填充且定向匹配机构需求，全程由CTM360托管运营。）         消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 澳洲航空（Qantas）确认遭遇网络攻击后，威胁行为体已开始实施勒索。该公司在更新声明中表示：“潜在网络犯罪分子已与我们联系，目前正在核实其身份。鉴于此事涉及刑事案件，我们已联络澳大利亚联邦警察（AFP），后续将不再透露具体接触细节。” 该航空公司在7月1日披露，其于前一日发现某呼叫中心使用的第三方系统存在异常活动。此次入侵导致客户姓名、电子邮箱、电话号码、出生日期及飞行常客号码泄露。但澳航强调，信用卡及财务信息、护照详情、密码、PIN码与登录凭证均未遭泄露。 澳航警告客户警惕利用被盗数据实施诈骗及钓鱼邮件的风险，声明所有官方邮件均来自qantas.com域名。公司同时承诺绝不会通过电话、短信或邮件索要密码、机票确认码等敏感信息。 此次事件是黑客组织Scattered Spider针对航空业系列攻击的一部分。该组织擅长社会工程攻击，常通过诱骗帮助台及支持供应商重置员工密码和多因素认证（MFA）侵入企业网络。其攻击目标从4月的零售业（玛莎百货、Co-op超市）转向保险业，近期又聚焦航空运输业，西捷航空与夏威夷航空此前已遭类似攻击。 澳航正协同网络安全专家、澳大利亚网络安全中心（ACSC）、澳大利亚信息专员办公室（OAIC）及澳大利亚联邦警察（AFP）展开联合调查。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 社交媒体公司TikTok正在就英国数据监管机构开出的1270万英镑罚款提起上诉之际，宣布将聘用该监管机构一名高级官员，此举可能引发利益冲突担忧。 信息专员办公室（ICO）监管监督副局长斯蒂芬·邦纳（Stephen Bonner）——这位被资深同事称为“ICO工作核心人物”的官员——将于今年晚些时候加入TikTok，担任其欧洲数据保护部门负责人。 该人事变动发生在ICO于2023年对TikTok处以1270万英镑（约1725万美元）罚款之后，处罚理由是该公司滥用儿童数据；2025年3月，ICO又针对该社交媒体平台持续收集儿童数据的行为启动了“重大调查”。据Politico率先披露，邦纳的职位变动被批评为“旋转门”现象（指监管者离职后加入被监管企业的现象）的典型代表。此类行为可能引发政治学家所称的“监管俘获”风险，即监管机构过度偏袒其本应监管的行业利益。 数字权利组织“开放权利集团”法律政策官员马里亚诺·德利桑蒂指出：“邦纳的跳槽是ICO未能维护公共生活标准的又一例证。公务员应致力于公共利益而非个人职业目标”。ICO副首席执行官保罗·阿诺德则为邦纳辩护称：“邦纳过去四年是我们成功的关键成员，我们祝愿他重返私营领域顺利”，并强调所有前ICO员工均受法定保密义务约束。 ICO特别说明：邦纳未参与2023年罚款决定的制定，也未参与针对TikTok儿童数据推荐系统的调查。尽管他接触过当前调查，但已主动回避以避免利益冲突嫌疑。阿诺德补充称：“ICO有诸多前雇员利用其经验提升数据保护标准，我们为此传统自豪。” 德利桑蒂进一步披露：“在野时，惠特彻奇女男爵琼斯曾在《数据法案》中提议修正案，禁止ICO职员加入遭监管执法的企业。”该修正案旨在阻断监管者任职期间“进入其监管行业就职的通道”。但工党执政后“废除了该提案”，这与其竞选时“恢复英国公共生活廉洁性”的承诺相悖。现任科学、创新与技术部（DSIT）初级部长的琼斯未回应置评请求。DSIT发言人仅表示：“ICO独立于政府运作，其现任及前任员工均受法定保密义务约束。” TikTok未立即回应置评请求。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 自2025年3月起，针对俄罗斯组织的定向钓鱼攻击使用虚假合同主题电子邮件传播Batavia间谍软件，这是一种旨在窃取内部文件的新型恶意软件。该攻击自2024年7月以来持续进行，始于伪装成合同或附件的恶意.vbe文件链接。该恶意软件包含一个VBA脚本和两个可执行文件，卡巴斯基已将其检测为Trojan.Batavia变种。 卡巴斯基发布的报告指出：“自2025年3月初以来，我们的系统记录到俄罗斯各机构员工检测到的类似文件（例如договор-2025-5.vbe、приложение.vbe和dogovor.vbe，中文译注：合同、附件）数量有所增加。定向攻击始于以签订合同为借口发送包含恶意链接的诱饵邮件。” 点击钓鱼邮件中的链接会下载VBE脚本，该脚本收集系统信息并从攻击者的域名检索恶意软件文件(WebView.exe)。该脚本检查操作系统版本以决定如何执行有效载荷，并将数据发送到命令与控制(C2)服务器。攻击使用针对每封电子邮件定制的参数来管理感染阶段并规避检测。 在攻击链的第二阶段，WebView.exe恶意软件（用Delphi编写）下载并显示虚假合同，然后开始监视受感染的系统。它收集系统日志、办公文档，并定期截取屏幕截图发送到新的C2服务器。为避免重复上传，它会对每个文件进行哈希处理。同时下载新的恶意软件阶段(javav.exe)并设置启动快捷方式，以便在系统重启时继续感染过程。 在攻击链的最后阶段，恶意软件javav.exe（用C++编写）扩展攻击范围，针对更多文件类型（如图像、电子邮件、演示文稿、存档），使用更新的感染ID(2hc1-…)将其传输到C2服务器。它现在可以更改C2地址，并通过computerdefaults.exe实现UAC绕过来下载/执行新有效载荷(windowsmsg.exe)。与C2的通信采用加密传输，并通过文件哈希避免重复上传。据卡巴斯基称，此阶段引入灵活性和持久性以促进进一步恶意活动。 研究人员注意到Batavia间谍软件活动的受害者是俄罗斯工业企业。卡巴斯基遥测数据显示，数十家机构的超过100名用户收到了钓鱼邮件。 报告总结道：“值得注意的是，此次攻击的初始感染媒介是诱饵邮件。这凸显了常态化员工培训和提高企业网络安全实践意识的重要性。”        消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 自称“Rey”的黑客宣称从西班牙电信巨头Telefónica窃取106GB数据，但该公司回应称这仅是敲诈企图。 在埃隆·马斯克旗下社交平台X的声明中，Rey指出Telefónica否认其内部网络遭数据窃取，因此将先行公开5GB数据作为证据。黑客威胁称：“我将很快公布完整文件目录树；若未来数周内Telefónica仍不妥协，全部数据档案将被公开 。” 据技术媒体BleepingComputer核实，Rey已发布超2万份文件佐证入侵真实性。黑客透露攻击发生于2025年5月30日，在Telefónica IT人员察觉前已持续窃密12小时。据称窃取总量达385,311份文件（106.3GB），涵盖五类核心数据： 内部通信记录（服务工单与邮件） 采购订单及商业伙伴发票 系统操作日志 客户档案 员工信息 Telefónica官方至今未承认事件，但有员工指称这是利用过时信息的敲诈行为。值得关注的是，Rey隶属勒索组织HellCat，该组织2025年1月就曾通过Jira开发服务器入侵Telefónica窃取客户信息。不同于传统勒索模式，HellCat采用“不认账即全泄露”的胁迫策略，此次事件再次印证其战术特征。 Telefónica作为全球顶级电信运营商，拥有逾10万员工，2024年营收达405亿美元（约合人民币2920亿元），毛利近205亿美元（约合人民币1476亿元）。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员监测到针对员工登录凭证的身份驱动型网络攻击激增。eSentire威胁响应部门（TRU）最新报告显示：2024年至2025年一季度期间，该机构处理的1.9万起身份相关安全事件同比激增156%，此类威胁在其服务的2000余家企业中占比高达59%。 钓鱼即服务（PhaaS）推动凭证窃取 Tycoon 2FA平台成为主要推手：该钓鱼即服务平台通过提供中间人攻击（AitM）能力绕过双因素认证（2FA），已超越EvilProxy等竞品成为2025年1-5月最活跃攻击工具。攻击者以月租200-300美元（约合人民币1450-2170元）获取以下服务： 伪装成可信来源的邮件模板 突破MFA防护的中间人攻击模块 反调试与规避检测工具 内置凭证窃取功能 客户支持及定期更新 攻击者利用该平台实施商业邮件欺诈（BEC）：主要针对应收账款部门员工，窃取其凭证后篡改支付路径，将企业资金转入攻击者控制账户。 信息窃取器提供低成本替代方案 攻击者通过Lumma窃密程序等工具批量获取凭证：地下市场中单份窃密日志仅售10美元（约合人民币72元），每份日志可能包含数十项高价值数据： 邮箱/银行服务登录凭据 密码管理器数据库 加密钱包及浏览器扩展数据 VPN/FTP客户端及本地文件 该窃密程序自2022年活跃至今，其内置自动化过滤机制可快速识别高价值数据，大幅缩短凭证利用周期，并通过”Russian Market”等黑市加速销赃。 凭证窃取呈现高回报特性 据FBI统计：2013年至今全球累计发生超30万起商业邮件欺诈案件，造成550亿美元（约合人民币3980亿元）损失。2025年第一季度，信息窃取器占eSentire阻断恶意软件的35%，身份攻击的经济回报率已超越传统漏洞利用。 防御建议 eSentire TRU预测此类威胁将持续蔓延，呼吁企业采取三项核心措施：部署钓鱼攻击免疫的身份验证技术、实施零信任架构、建立实时访问监控机制。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露与伊朗存在关联的威胁组织“BladedFeline”正长期针对伊拉克政府及库尔德地区政府（KRG）实施网络间谍活动。 ESET研究证实，该组织自2017年首次入侵库尔德政府系统以来，持续升级其攻击工具库，展现出显著的技术演进。最新攻击活动中，攻击者部署了专为隐蔽驻留设计的恶意软件套件，其中包含通过受损微软Exchange邮箱账户收发指令的“Whisper”后门——该后门将操作命令隐藏于邮件附件，规避传统安全检测机制。同时发现的恶意IIS模块“PrimeCache”以前所未有的被动潜伏模式运行：监控所有传入HTTP请求，仅在检测到预设Cookie结构时激活攻击功能，其余时间完全隐匿于正常服务器进程。 攻击工具链还包括两款反向隧道工具Laret与Pinar，以及多阶段渗透工具集。 该套件使攻击者具备四项核心能力： ① 长期维持高价值目标系统访问权限 ② 通过加密通信躲避安全监测 ③ 利用合法Webmail账户远程执行指令 ④ 将恶意活动嵌入可信服务器进程实现深度隐匿 技术溯源显示，BladedFeline与伊朗国家级黑客组织OilRig存在强关联性：恶意软件功能设计与OilRig标志性后门RDAT高度相似，攻击基础设施存在重叠，战术目标均聚焦中东地缘政治情报收集。据此评估，BladedFeline极可能为OilRig组织的战术子单元。 该组织活动呈现持续进化态势： ① 时间跨度：最早攻击痕迹可追溯至2017年对库尔德外交系统的渗透 ② 目标扩展：从库尔德政府延伸至伊拉克中央机构及乌兹别克斯坦电信服务商 ③ 技术迭代：从基础后门发展为模块化、高隐蔽性攻击框架 ④ 最新动态：2024年初仍检测到新版恶意工具活跃 ESET警告称：“从简单后门到模块化潜伏工具的技术转型，印证该组织意图长期掌控政治敏感领域访问权限。我们预判BladedFeline将持续开发新型植入程序，以维持并扩大其网络间谍行动范围。”这进一步揭示伊朗背景攻击者正通过技术升级，在区域情报收集中构建更隐蔽的作战能力。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一场利用搜索引擎优化（SEO）投毒技术传播恶意软件加载器Oyster（亦称Broomstick或CleanUpLoader）的攻击活动。据Arctic Wolf分析，该恶意广告活动通过伪造托管合法工具（如PuTTY和WinSCP）木马化版本的网站，诱骗搜索这些程序的技术人员下载安装。报告指出：“程序执行后会植入Oyster/Broomstick后门。攻击者创建每三分钟运行一次的计划任务实现持久化，通过rundll32.exe调用恶意DLL文件（twain_96.dll）的DllRegisterServer导出函数，表明其采用DLL注册机制维持控制。” 已发现的欺诈网站包括： updaterputty[.]com zephyrhype[.]com putty[.]run putty[.]bet puttyy[.]org 攻击者可能还针对其他IT工具传播恶意软件，用户必须严格依赖可信渠道和官方供应商站点下载软件。 当前黑帽SEO投毒技术正被用来操纵人工智能（AI）相关关键词的搜索结果，散布Vidar、Lumma和Legion加载器。这些网站嵌入了检测广告拦截器的JavaScript代码，在收集受害者浏览器信息后启动重定向链，最终导向包含ZIP压缩包的钓鱼页面。“最终下载页面提供受密码保护的ZIP压缩包（内含Vidar/Lumma窃密程序），密码直接显示在下载页面上，”Zscaler ThreatLabz分析称，“解压后出现800MB的NSIS安装包，攻击者刻意设置超大体积以绕过文件大小检测机制。”该安装包通过AutoIt脚本激活窃密载荷。而Legion加载器则采用MSI安装包配合批处理脚本进行部署。 同类SEO投毒活动还通过伪造热门网络应用的搜索结果，将用户导向虚假Cloudflare验证页面，运用臭名昭著的“点击修复”（ClickFix）策略，借助Hijack加载器传播RedLine窃密程序。卡巴斯基数据显示，2025年1至4月期间，约8500家中小企业遭遇伪装成ChatGPT、DeepSeek、Cisco AnyConnect等AI/协作工具的恶意攻击。Zoom仿冒文件占比达41%，Outlook与PowerPoint各占16%，ChatGPT恶意文件数量同比激增115%。 尽管滥用虚假搜索列表是常见手段，但近期攻击出现新变种：劫持苹果、美国银行、微软等品牌技术支持页面的赞助搜索结果。用户会被导向品牌官网帮助中心，但页面显示的电话号码已被替换为攻击者控制的号码。该技术通过“搜索参数注入”实现——在网址栏注入伪造号码使其看似官方结果，而实际参数在搜索结果中不可见，极具迷惑性。 攻击者还在Facebook平台投放虚假广告：以“Pi Network桌面版更新”为诱饵传播窃密程序，盗取凭证与加密钱包密钥；通过4000余个仿冒电商网站（GhostVendors网络）投放短期广告实施金融欺诈。安全公司Bitdefender指出这可能是同一攻击者为最大化收益开展的并行欺诈计划。 同时，针对macOS系统的Poseidon窃密程序及Windows平台的PayDay加载器（最终投递Lumma窃密程序）活动被命名为“黑暗伙伴”（Dark Partners）。PayDay加载器利用Google日历事件隐藏C2服务器地址，其使用的邮箱echeverridelfin@gmail[.]com亦关联到恶意npm包“os-info-checker-es6”，表明攻击者持续测试不同传播方式。该加载器通过Node.js模块配合ADM-ZIP库，定位加密钱包数据并外传到硬编码C2服务器。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一家与巴基斯坦无关的黑客组织被发现使用名为DRAT的远程访问木门程序的修改变种攻击印度政府机构。 Recorded Future旗下Insikt研究小组将此活动归因于追踪编号为TAG-140的威胁组织。该组织与SideCopy存在重合——后者被评估为透明部落（Transparent Tribe）的攻击子集群（该组织亦称为APT-C-56、APT36、Datebug、Earth Karkaddan、Mythic Leopard、Operation C-Major及ProjectM）。隶属于万事达卡的研究机构在上月发布的分析报告中指出：“TAG-140持续展现出恶意软件库与攻击手段的迭代升级与多样化能力。本次以克隆国防部新闻门户为诱饵的攻击行动，标志着其在恶意软件架构与C2功能方面均实现显著转变。” 新版DRAT被命名为DRAT V2，成为SideCopy武器库的最新成员。该组织还拥有Action RAT、AllaKore RAT、Ares RAT、CurlBack RAT、ReverseRAT、Spark RAT和Xeno RAT等工具，可同时针对Windows和Linux系统实施攻击。攻击活动展现出攻击者不断进化的战术：通过打造”可替换套件式”的多样化木马程序，在窃取敏感数据时干扰溯源、检测和监控工作。 该威胁组织的攻击范围已从政府、国防、海事和学术领域，扩展到铁路系统、石油天然气及外交部相关机构。据悉该组织自2019年起持续活跃。 Recorded Future记录的攻击链采用点击修复式攻击手法：克隆印度国防部新闻发布门户，传播新版.NET架构DRAT（现变异为Delphi编译版本）。假冒网站仅保留单一有效链接，点击后将秘密复制恶意命令至剪贴板，诱骗受害者通过命令终端执行。此举导致设备从外部服务器（trade4wealth[.]in）获取HTA文件，由mshta.exe加载名为BroaderAspect的加载器。该加载器负责下载诱饵PDF、通过注册表实现驻留、并从同一服务器获取并运行DRAT V2。 DRAT V2新增任意命令执行功能增强灵活性，其C2地址采用Base64编码混淆，并升级为支持ASCII/Unicode双模式的专属TCP协议（服务器仅响应ASCII，而原始DRAT需全程使用Unicode）。报告指出：“相较前代版本，DRAT V2减少了字符串混淆处理，多数命令头保留明文——可能更注重运行稳定性而非隐蔽性。由于缺乏高级反分析技术并采用基础驻留方式，该木马可通过静态和行为分析检测。” 其他已知功能包括：在被控主机执行侦察任务、上传额外载荷、实施数据窃取。研究人员表示：“这些功能使TAG-140能持久灵活控制系统，无需额外工具即可展开自动化或交互式攻击。DRAT V2更倾向于模块化补充而非彻底升级，这印证了TAG-140将持续轮换木马程序以隐藏特征、维持攻击灵活性的预判。” APT36攻击行动散布Ares木马与DISGOMOJI 2025年5月印巴冲突期间，巴基斯坦背景的国家级黑客组织与协同黑客行动异常活跃。APT36借机散布Ares木马，针对国防、政府、IT、医疗、教育和电信领域发动攻击。Seqrite实验室五月警告称：“Ares木马使攻击者获得系统完全控制权，可能导致监控活动、数据窃取及关键服务破坏。” 近期监测显示，APT36通过伪造国家信息中心采购订单的钓鱼邮件，向印度防务人员投递恶意PDF附件。诱导点击文档内嵌按钮后，设备将下载伪装成PDF图标的双重扩展名文件（*.pdf.exe）。该程序内置反调试和反虚拟机功能，可于内存加载具备文件枚举、键盘记录、剪贴板捕获、浏览器凭证窃取及C2通信能力的载荷。 CYFIRMA分析指出：“APT36对印度国防系统构成持续重大威胁。其钓鱼策略与凭证窃取技术印证了现代网络间谍手段的进化。”该组织还专门针对印度政府广泛使用的BOSS Linux系统，通过伪装成安全通告的钓鱼消息投放恶意ELF程序。研究机构强调：“Linux专属恶意软件的出现标志着APT36能力升级，政府与国防关键基础设施风险加剧。这种多阶段攻击可规避传统安防措施，使攻击者长期潜伏于敏感系统。” 360威胁情报中心另披露：攻击者通过钓鱼邮件散布含DISGOMOJI新变种的陷阱压缩包。该安全公司表示，这款基于Golang的ELF程序改用谷歌云服务进行C2通信，区别于此前依赖Discord的方案。“除浏览器插件窃取外，攻击者还将下载远程控制工具实施后续窃密。DISGOMOJI功能与前代载荷相似，但C2基础设施完成迁移。” Confucius组织投放WooperStealer与Anondoor 与此同时，网络间谍组织Confucius被指发起新攻击行动，散布信息窃取程序WooperStealer及新型模块化后门Anondoor。该组织据信自2013年起活跃，目标锁定南亚和东亚的政府军事单位，其攻击目标与印度密切相关。 据Seebug旗下404团队分析，攻击以Windows快捷方式文件（LNK）为起点，通过DLL劫持技术投放Anondoor后门。该后门具备完整攻击能力：可执行系统命令、屏幕截图、文件下载、Chrome密码提取及目录遍历。在收集系统信息后，恶意程序会从远程服务器获取WooperStealer。 研究报告指出：“该组织已从单一线程木马进化为模块化后门，技术迭代能力显著提升。其后门组件封装于C#动态库，通过反射机制规避沙箱检测。”         消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： IT巨头英迈科技（Ingram Micro）正经历全球性系统中断，其网站和内部系统均受影响。由于该公司对故障原因保持沉默，客户担忧这可能是网络攻击所致。 英迈科技是全球最大的企业对企业（B2B）技术分销商和服务提供商之一，向全球范围内的经销商和托管服务提供商提供硬件、软件、云服务、物流和培训解决方案。 该公司拥有约24,000名员工，2024年营收约为480亿美元。 系统中断始于上周四上午，网站下线，客户无法下单。BleepingComputer网站获悉，部分英迈科技的内部系统员工也无法访问。 目前访问 ingrammicro.com 网站，会显示其使用的网络服务商Akamai的通用访问受限提示，或如下图所示维护信息。 英迈客户在 Reddit 上表示，该公司对中断原因三缄其口，员工同样被蒙在鼓里。部分人称被告知中断背后可能是网络攻击（潜在勒索软件），但BleepingComputer网站尚未能证实这些说法的真实性。 然而，长时间中断及关闭内部系统通常是某种入侵的常见迹象。 BleepingComputer网站已就中断事件联系英迈科技，若收到回复将更新报道。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软表示已暂停了3,000个Outlook和Hotmail电子邮件账户，该公司认为这些账户是由朝鲜IT工作者创建的，这是其为帮助企业应对这一高成本计划所做努力的一部分。 微软称，多年来其一直监控朝鲜让其公民受雇于美国公司IT职位的活动，并最近观察到该活动的运作方式发生了变化。朝鲜IT工作者现在大量使用人工智能（AI）技术来“替换窃取的就业和身份证明文件中的图像，并增强朝鲜IT工作者的照片，使其看起来更专业”。 “我们还观察到他们一直在使用变声软件，”微软在一篇博客文章中解释道，该文章发布的同时，美国司法部公布了两份起诉书，指控数名朝鲜人和至少两名美国公民参与了此项IT工作者计划。 去年10月，微软的威胁情报部门发现了一个公共存储库，其中包含疑似朝鲜IT工作者的真实照片和经过AI增强处理的照片。该存储库还包含这些人员的简历、使用的电子邮件账户、关于如何使用VPN账户开展工作的指南、实施身份盗用的操作手册、关于如何在自由职业网站上获取工作的指导手册，以及向协助者付款的信息。 “根据我们对该存储库的审查，朝鲜IT工作者似乎会先进行身份盗用，然后使用像Faceswap这样的人工智能工具将他们的照片移植到窃取的就业和身份证明文件上，”微软研究人员表示。“攻击者还使用这些AI工具拍摄工作者的照片，并将其移植到看起来更专业的背景环境中。然后，这些工作者在申请工作时，将使用这些AI生成的照片制作一份或多份简历或资料。” 该活动的幕后人员正在大量试验变声软件和其他AI技术——这印证了其他几家监控此类计划的网络安全公司所做的评估。微软警告说，虽然尚未发现这些IT工作者使用AI语音和视频产品，但这种手段“可能允许朝鲜IT工作者直接进行面试，不再依赖协助者代替他们面试或向他们出售账户访问权限”。 美国司法部于本周早些时候公布的起诉书进一步揭露了朝鲜计划的巨大规模。联邦调查局（FBI）在16个州执行了搜查行动，目标是29个“笔记本电脑农场”——即由美国居民接收公司笔记本电脑并安装软件，从而让朝鲜人能够远程访问这些设备的地点。 法庭文件中已确认有多名美国公民共谋者参与其中，包括一名持有安全许可的现役美军士兵。 为了说明朝鲜通过该计划所获经济利益的规模，知名加密货币调查员Zachary Wolk（又名ZachXBT）表示，近期一项调查发现，自1月1日以来，向已知朝鲜IT工作者控制的账户发送的加密货币付款已超过1,650万美元，平均每月近300万美元（约合人民币2,190万元）。“为便于理解，每月付款范围在3,000至8,000美元之间，这意味着他们已渗透进入了至少345个（按最高薪酬计算）至多920个（按最低薪酬计算）工作岗位。”他在社交媒体帖子中写道。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 随着亚马逊Prime Day临近，各种优惠承诺令人期待，网络犯罪分子也如秃鹫般盘旋伺机而动。 今年的亚马逊Prime Day定于7月8日，当购物者们为折扣和优惠摩拳擦掌时，黑客们正忙于炮制虚假网站、钓鱼邮件和域名陷阱。大型购物节日往往潜藏着混乱的可能，而犯罪分子深知混乱有利可图。 仅在六月的头几周，Check Point的安全研究人员就发现了超过1,230个试图冒充亚马逊的新域名。其中约87%的域名充其量可疑，往坏了说则完全是恶意的。近1/81的这些域名包含了“Amazon Prime”字眼，旨在诱骗用户点击并泄露其登录凭证。 研究人员警告，骗子们正在发送看似亚马逊客服的钓鱼邮件，主题行涉及“退款错误”或“账户问题”。这些邮件经过精心设计，意在触发受害者的紧迫感。一旦点击链接，用户会被带到一个几可乱真的虚假亚马逊登录页面。结果不是更新了所需信息，而是将亚马逊凭证拱手送给了威胁行为者。 在此活动中观察到的一些欺诈网站示例： Amazon02atonline51[.]online amazon-2025[.]top 此类攻击一旦成功，可能导致未经授权的购物、身份盗用或礼品卡滥用。在黑色星期五、网络星期一或情人节前夕，也曾观察到类似的诈骗威胁激增，专家警告购物者需保持高度警惕。 如何在亚马逊Prime Day期间保证安全？ 警惕可疑网址：如果你要点击一个以 .top 或 .online 结尾、或者带有连字符和额外数字的链接，请停手。计划好购物，直接访问亚马逊官网或应用。如果使用浏览器，务必手动输入 amazon.com。 避免点击邮件链接：如果收到关于账户问题的紧急邮件，请新开标签页手动访问亚马逊。不要跟随骗子设下的数字陷阱。 检查锁标，但仍需验证：HTTPS 和挂锁图标有帮助，但虚假网站也能伪造这些。真正的关键点在于域名本身。如果它看起来可疑，那很可能就是钓鱼。 启用双重认证并使用强密码：在亚马逊上设置双重认证。同时，使用密码管理器，因为重复使用密码会大大增加被入侵的风险。 紧急=诈骗套路：如果信息尖叫着要你立即行动，请先深呼吸。骗子总是利用紧迫感设局。如果是真的，十分钟后它依然还在。 难以置信的优惠？那很可能就是骗局：如果某款iPhone在一个非亚马逊的随机网站上打85折，那是个陷阱。你唯一可能拆箱的只有后悔。 使用安全支付方式：虚拟卡、支付应用等任何提供额外保护的方式，都是在线购物的好选择。避免电汇或直接银行转账。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 人人都信任PDF——而这正是网络犯罪分子如此痴迷于它们的原因。 便携式文档格式（Portable Document Format），更常被称为PDF，每天被分发数百万次。从税务文件、简历到发票、数字手册或任何其他信息，都通过电子邮件以PDF附件的形式发送。 PDF简单、跨平台且普遍受信任。它们可以包含图像、可点击链接和看似官方的标识。这使它们成为攻击者想要混入其中的完美载体，也正是黑客们当前痴迷于它们的原因。 过去几个月，网络安全分析师观察到通过PDF文件发起的钓鱼攻击急剧增加。这些PDF被设计成模仿科技巨头和服务提供商的合法通信，以诱骗受害者泄露凭证或下载恶意软件。 根据思科Talos的洞察，在2025年5月5日至6月5日期间，使用PDF附件进行品牌冒充的行为激增。被冒充最多的品牌是微软（Microsoft）和DocuSign。而NortonLifeLock、PayPal和Geek Squad则属于包含PDF附件的电话导向攻击（TOAD）邮件中最常被冒充的品牌之列。 这些钓鱼活动是全球性的，许多源自美国和欧洲的IP地址。 攻击者如何利用PDF？ 最近的一次攻击冒充了微软，使用了诸如“薪资调整”之类的诱饵主题行，时间点特意选在各组织可能发生晋升或绩效变动的时期。 该PDF看起来像一份标准的人力资源文件，足以让受害者相信并扫描其中的二维码，该二维码会将他们重定向到一个窃取凭证的网站。Dropbox也常被用作分发恶意PDF的平台。 然后是电话导向攻击（TOAD）。这些钓鱼PDF的目的不是让受害者简单地点击链接——而是通过电话对他们进行钓鱼。骗子通常会发送关于账单错误、可疑活动或订阅续费的信息，并包含一个“客服”电话号码。 这些邮件诈骗中使用的大多数电话号码是网络电话（VoIP）号码，追踪到真实个人或物理位置的难度远高于普通固话。 骗子还滥用Adobe电子签名服务等合法平台。2025年4月至5月期间，Talos发现了通过Adobe系统发送的PDF，冒充PayPal等品牌。 PDF也是二维码钓鱼的绝佳载体，而二维码钓鱼当下正大行其道。这些二维码通常冒充微软或Adobe等公司。 此外，还有一种危险策略是滥用PDF文件中的注释功能。PDF可以在评论、便签或表单域等地方隐藏链接。所有这些区域都会被许多扫描器忽略。 攻击者还会在文件中填充无关文本来混淆检测引擎。在某些情况下，他们会嵌入两个URL：一个看起来是干净的（用于建立信任），另一个隐藏的URL则会将你带到真正的钓鱼页面。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： BMW金融服务公司（BMW Financial Services）被卷入一起影响少量人群的第三方数据泄露事件，但具体细节仍不明确。 BMW金融服务公司因第三方公司AIS遭受入侵而间接受影响。总部位于得克萨斯州的金融科技公司AIS在事件发生时，正为BMW金融服务公司及其账户持有人提供监控处理服务及法律监控服务。 该第三方公司在其网络内发现可疑活动后，在取证专家的协助下启动了调查。调查显示，恶意行为者入侵了AIS的系统并窃取了少量数据。 从AIS（进而间接涉及BMW金融服务公司）窃取的数据内容尚不清晰，违规通知函中仅提及姓名这一数据要素，未提及其他信息。不过已知该事件影响人数有限，仅超过1,950人，其中仅有两名缅因州居民受影响。 黑客可能在AIS系统内潜伏了两天，因入侵发生于2025年2月16日，而发现时间为2月18日。该金融科技公司明确表示，此次泄露未波及BMW金融服务公司自身的系统和数据库。 AIS将为受影响个人提供为期12个月的Equifax信用监控及身份盗窃预防服务。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客正在利用一个危险的漏洞针对“氛围开发者”（vibe coders）。Cursor、Windsurf 和其他 AI 驱动的代码编辑器无法访问 VS Code Marketplace（Visual Studio 市场），转而依赖风险更高的第三方平台，这些平台上恶意扩展和关键漏洞盛行。 安全公司 Secure Annex 的研究员 John Tuckner 发现了一个已被开发者下载 20 万次的恶意扩展。该扩展针对 Solidity 开发者，他们使用这种编程语言在以太坊和其他区块链上实现智能合约。 该扩展没有任何实用功能，反而运行 PowerShell 脚本，使攻击者能够远程访问受感染的计算机。“它甚至没有为用户做任何有意义的事情，只是安装了远程访问工具，”该研究员在一篇博客文章中说。 Tuckner 警告氛围开发者，他们目前使用的平台缺乏基本的安全扫描和审核机制。“分析这个扩展并不需要什么高深技术。这些扩展本应被最基本的安全扫描拦截，根本不该出现在市场中。如果连这些都没被拦住，对于那些稍微复杂一点的恶意扩展还能有什么希望？”该研究员质问道。 该恶意软件是在 Open VSX 注册表上发现的，这是一个第三方市场，随着 AI 代码编辑器的兴起而大幅流行。“我们最喜欢的大多数氛围编辑器都在使用 Open VSX，”该研究员指出。Open VSX 拥有超过 800 万开发者用户，为氛围开发者提供了他们原本无法获取的扩展。 氛围开发者无法为 Cursor 使用微软的 Visual Studio Marketplace 由于法律条款的细微差别，基于开源 VS Code 项目构建的替代代码编辑器被禁止访问官方的微软 Visual Studio Marketplace，而后者是 VS Code 开发者的首选来源。该市场仅限微软自家产品使用。“这意味着像 Cursor、Windsurf 和其他 VS Code 分支版编辑器因此默认转向其他市场，”Tuckner 解释道。这些限制使替代编辑器在为用户提供扩展时面临艰难选择。 Open VSX 应运而生，成为一个没有微软限制的替代市场，为氛围开发者提供了生命线。在这里，任何人都可以不受限制地发布或下载扩展。但不可避免地，黑客试图利用这一点。该研究员警告说，开放性带来了微软更严格管理的市场所没有的风险。“虽然微软的市场也有自身的问题，但它受益于企业监督、自动化扫描和审核流程，这些有助于在恶意扩展到达用户之前将其拦截。” 然而，Open VSX 对披露反应迅速：在三个小时内，它移除了被报告的恶意扩展（solidityai.solidity 和 soliditysupport.solid），并采取了额外措施停用了其发布者账号。 重大 Open VSX 漏洞曝光 2025年6月26日，一个影响 Open VSX 自动发布系统的关键漏洞被发现。Koi Security 披露，潜在攻击者可能滥用该漏洞来完全控制市场，并向任何扩展发布有害更新。这可能会危及数百万氛围开发者。“一个简单的漏洞就将数百万开发者置于前所未有的巨大风险之中，”Koi Security 研究人员在一份报告中表示。 存在缺陷的自动发布机制暴露了特权凭证，“包括一个属于 @open-vsx 服务账户的秘密令牌，该令牌拥有在市场中发布（或覆盖）任何扩展的权限。”“此令牌是 Open VSX 注册表的超级管理员凭证——它可以发布新扩展，更新或覆盖现有扩展。从攻击者的角度来看，那就是控制了一个完整生态系统的供应链。” 提供的时间线显示，修复该问题用了六轮修复和超过三个月的时间。维护该市场的 Eclipse 基金会虽未发现实际入侵证据，但作为预防措施主动停用了 81 个扩展。 Koi Security 敦促开发者默认将从市场、应用商店或注册表下载的任何软件视为不可信。“我们的研究团队每天都在 Open VSX、微软自家的 VSCode Marketplace，甚至私有企业市场中，发现存在漏洞和真实世界中的恶意扩展。问题具有普遍性：只要是代码，并且在你的环境中运行，它就是你的攻击面的一部分。”研究人员表示。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 欧盟推出了一项量子战略，重点在于开发覆盖整个区域的量子安全通信和数据共享基础设施。 该战略旨在使欧盟在2030年前成为全球量子领域的领导者，释放创新和经济价值。战略部分内容着眼于应对未来量子计算发展带来的网络安全风险。 超过1万个量子比特的量子计算机将能破解现有加密协议，使组织使用的所有数据、连接和组件面临风险。预计这一情景将在未来7到15年内发生。 欧盟的新战略包含多项举措，旨在开发覆盖全欧洲的量子安全解决方案。 战略的一个方面是欧洲量子通信基础设施（EuroQCI）倡议，旨在开发覆盖整个欧盟（包括其海外领土）的安全量子通信基础设施。 目前，26个欧盟成员国正在部署国家地面量子通信网络。这些网络将用于测试一颗计划于2026年发射的安全通信量子密钥分发（QKD）卫星。 这些地面量子通信网络正被用于在实际环境中实施和测试QKD。试点项目包括医院间医疗数据的安全传输以及政府机构间的加密通信。 欧盟表示，它正在利用完全欧洲本土的量子组件、设备和系统供应链来支持这一部署。到2030年，将建成一个完全互联的欧盟实验性地面和空间安全通信网络。 量子互联网倡议将作为EuroQCI的补充，开发用于分布式量子计算和传感以及超安全数据共享的架构。该倡议将建立在已启动的用例框架基础上，并依托量子互联网联盟（QIA）技术论坛的启动，这是首个致力于量子互联网的全球开放论坛。 2026年，该倡议将支持启动一个欧洲量子互联网试点设施，用于测试关键的量子安全组件和早期用例，包括安全量子云服务、分布式计算以及连接研究与部署的先进验证环境，为全面运营做准备。目标是在2030年部署一个完全可运行的量子安全通信网络，作为迈向联邦式量子互联网的第一步。 欧盟此次宣布之际，正值各方日益关注在“Q日”（量子计算机强大到足以破解RSA和AES等常见加密协议之时）到来前应对量子安全风险。 2024年8月，美国国家标准与技术研究院（NIST）正式确立了全球首个后量子密码学标准。这包含三种后量子加密算法，为不同类型的系统和用例提供抗量子解决方案，包括用于身份认证的数字签名和用于在公共通道上建立共享密钥的密钥封装机制。这些标准为组织提供了一个框架，以保护其系统和数据免受未来量子威胁。NIST敦促组织开始准备使用这些算法将其系统过渡到量子安全解决方案。 2025年3月，英国国家网络安全中心（NCSC）发布了一份路线图，指导组织在2035年前将其系统、服务和产品完全迁移到后量子密码学（PQC）。 尽管有这些政府举措，研究表明，组织在实施量子安全过渡计划方面迄今进展缓慢。 2025年4月，ISACA报告称，仅有5%的组织制定了明确的战略来防御量子威胁。只有3%的IT专业人士认为这是其组织在近期内的首要业务重点。 2025年5月，DigiCert对网络安全经理进行的一项调查发现，在美国、英国和澳大利亚，迄今为止仅有5%的企业部署了后量子密码学（PQC）。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国加利福尼亚州的一家法院已下令谷歌支付3.14亿美元，原因是其被指控在安卓设备用户手机空闲时滥用其蜂窝数据，被动地向该公司发送信息。这一判决标志着最初于2019年8月提起的法律集体诉讼告一段落。 原告在其诉讼中辩称，谷歌的安卓操作系统利用用户的蜂窝数据，在未经用户许可的情况下传输“各种信息给谷歌”，即使他们的设备处于空闲状态也不例外。 原告表示：“尽管谷歌可以设计成仅在手机连接Wi-Fi时进行这些传输，但它却将这些传输设计为也可以在蜂窝网络上进行。” “谷歌未经授权使用他们的蜂窝数据违反了加州法律，并要求谷歌就其未经许可、为自身利益而使用的蜂窝数据价值向原告作出补偿。” 原告辩称，这些传输发生在谷歌产品在后台打开并运行时，即使用户已关闭所有谷歌应用程序且设备处于休眠状态也不例外，从而滥用了用户的数据流量配额。 在一个实例中，原告发现，一台采用默认设置、装有标准预装应用程序并连接了新谷歌账户的三星Galaxy S7设备，每天发送和接收8.88 MB的蜂窝数据，其中94%的通信发生在谷歌与设备之间。 这种信息交换在24小时内大约发生了389次。传输的信息主要包括包含操作系统指标、网络状态和已打开应用列表的日志文件。 根据法庭文件：“日志文件通常不是时间敏感的，其传输可以轻易延迟至有Wi-Fi时再进行，谷歌也可以对安卓进行编程，允许用户仅在连接Wi-Fi时启用被动传输，但显然它选择不这样做。相反，谷歌选择直接利用原告的数据流量配额。” 这还不是全部。该法庭诉讼还引用了2018年的另一项实验，该实验发现，一部“外表处于休眠且静止不动”但打开了Chrome网络浏览器应用程序并将其置于后台的安卓设备，在24小时内导致了约900次被动传输。 相比之下，一部同样静止未动、Safari浏览器在后台打开的iPhone则发送了“明显少得多的信息”，并且指出苹果的操作系统在被动信息传输方面给予用户更大的控制权。 在2025年6月2日开始的审判之后，陪审团支持了原告，称这家科技巨头应对进行这些被动数据传输并导致用户承担其所称的“强制且不可避免的负担[…]以利于谷歌的便利和利益”负责。 谷歌在给路透社的一份声明中表示将对裁决提出上诉，并辩称这些数据传输与“对安卓设备的安全性、性能和可靠性至关重要的服务”有关。该公司还指出，其在用户使用条款协议中披露了这些传输行为并获得了用户的同意。 该陪审团裁决是在谷歌同意支付近14亿美元以和解德克萨斯州两起诉讼近两个月后作出的，这两起诉讼指控谷歌在未经同意的情况下追踪用户的个人位置信息并保存其人脸识别数据。 这一进展也紧随Meta之后，该公司表示正在对欧盟委员会2025年4月的一项决定提出上诉，该决定认为其“付费或同意”模式违反了该地区的《数字市场法案》(DMA)，并处以2亿欧元（2.27亿美元）的罚款。 “该决定强制要求Meta必须免费提供个性化程度较低的广告服务，而忽略了成本、影响或有效性，并强加了一种可能不可行的商业模式，”该公司表示。 “这忽视了市场经济中的商业现实，即Meta理应为其用户选择使用的有价值且创新的服务获得公平补偿——这一原则对于维持创新和经济增长至关重要。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 全球数百万台Linux系统（包括运行关键服务的系统）现存在一个易于利用的新型sudo漏洞，可能允许未经授权的用户在Ubuntu、Fedora等服务器上以root权限执行命令。 sudo是Linux系统中允许用户以root或超级用户身份运行命令的实用程序。Stratascale网络安全研究单元（CRU）团队发现了两个影响sudo的关键漏洞。 安全研究人员警告称，任何用户都能快速获取无限制的系统访问权限。攻击者可利用此漏洞以root身份执行任意命令，完全接管系统。 该漏洞首次出现在2023年6月发布的1.9.14版本中，已在2025年6月30日发布的最新sudo版本1.9.17p1中修复。漏洞利用已在Ubuntu和Fedora服务器上验证成功，但可能影响更多系统。 报告指出：“这些漏洞可能导致受影响系统的权限提升至root级别。” 研究人员敦促管理员尽快安装最新sudo软件包，因为目前没有其他解决方案。 “默认sudo配置存在漏洞，”Stratascale网络安全研究单元的Rich Mirch解释道。 研究人员已公开概念验证代码，其他团队也成功复现了该漏洞。 漏洞涉及sudo的chroot功能 关键漏洞存在于sudo中较少使用的chroot选项中。该选项用于修改特定进程的根工作目录，限制其对文件系统的访问。 虽然本意是将用户限制在其主目录内，但漏洞允许用户突破限制并提升权限。利用此漏洞不需要为用户定义任何sudo规则。 研究人员表示：“因此，如果安装了易受攻击的版本，任何本地非特权用户都可能将权限提升至root。” 要利用此漏洞，攻击者需要在用户指定的根目录下创建文件，并欺骗sudo加载任意共享库。该文件定义了系统如何解析用户账户、组、主机名、服务等。 sudo维护者已确认该问题，并在1.9.17p1版本中弃用了chroot选项。 他们在公告中表示：“攻击者可利用sudo的chroot选项以root身份运行任意命令，即使他们未被列入sudoers文件。” Mirch的脚本演示了非特权攻击者如何创建临时目录、添加授予root权限的函数文件、编译恶意共享库，然后通过chroot选项欺骗sudo以提升的权限执行它。这样，攻击者就能完全控制系统。 由于chroot选项会降低环境安全性，建议管理员避免使用该功能。 数百万系统可能受此漏洞影响。德国媒体heise.de甚至发现，德国某大型云托管提供商新安装的Ubuntu虚拟机仍然存在漏洞，尽管补丁已经发布。 消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 思科公司已发布安全更新，修复其统一通信管理器（Unified Communications Manager，简称Unified CM）和统一通信管理器会话管理版（Unified CM SME）中的一个最高严重级别安全漏洞。该漏洞可能允许攻击者以root用户身份登录受影响的设备，从而获得权限提升。 该漏洞编号为CVE-2025-20309，CVSS评分为10.0。 思科在周三发布的公告中表示：“此漏洞源于为开发阶段预留的root账户静态用户凭证。攻击者可能利用该账户登录受影响系统。成功利用漏洞后，攻击者能够以root用户身份登录系统并执行任意命令。” 此类硬编码凭证通常源自开发阶段的测试或临时修复，但绝不应出现在生产环境中。对于处理企业语音通话和通信的Unified CM等工具而言，root权限可能使攻击者进一步渗透网络、窃听通话或篡改用户登录方式。 这家网络设备巨头表示，目前尚未发现该漏洞在野外被利用的证据，且漏洞是在内部安全测试期间发现的。 CVE-2025-20309影响Unified CM和Unified CM SME的15.0.1.13010-1至15.0.1.13017-1版本，与设备配置无关。 此次漏洞修复距思科修复身份服务引擎（ISE）和ISE被动身份连接器中的两个安全漏洞（CVE-2025-20281和CVE-2025-20282）仅数日。后两个漏洞可能允许未经身份验证的攻击者以root用户身份执行任意命令。   消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 朝鲜黑客正通过伪造Zoom软件更新，诱使Web3和加密货币相关组织的员工安装Nim编译的macOS恶意软件——SentinelOne报告。 观察到的攻击遵循了近期归因于平壤APT组织BlueNoroff的感染链：黑客冒充受害者的可信联系人，通过Telegram邀请受害者使用流行的Calendly日程安排平台安排会议。 受害者随后会收到一封包含Zoom会议链接的电子邮件，并被指示运行一个伪装成Zoom SDK更新的恶意脚本。脚本的执行会触发一个多阶段感染链，最终导致SentinelOne统称为NimDoor的恶意二进制文件的部署。 对攻击的分析揭示了该黑客组织使用的新技术，例如： – 使用Nim编程语言构建macOS二进制文件 – 滥用wss进行进程注入和远程通信 – 依赖特定的信号处理程序实现持久化 Nim是一种静态类型的编译型系统编程语言，融合了Python、Ada和Modula等语言的概念。 “Nim阶段包含一些独特功能，包括加密配置处理、围绕Nim原生运行时构建的异步执行，以及一种在macOS恶意软件中前所未见的基于信号的持久化机制，” SentinelOne在技术报告中指出。 AppleScript在整个感染链中被广泛使用，既用于初始访问，也用于入侵后的操作，如信标通信和系统后门植入。Bash脚本被部署用于Keychain、浏览器和Telegram数据的外泄。 根据SentinelOne的说法，攻击者使用了两个Mach-O二进制文件来触发两个独立的执行链： 其中一个用C++编写，会导致执行用于数据外泄的bash脚本；另一个从Nim源代码编译，用于设置持久化并投放两个Nim编译的二进制文件，分别是’GoogIe LLC’（使用拼写错误欺骗，用小写字母”l”替换大写字母”I”）和’CoreKitAgent’。 GoogIe LLC用于设置配置文件并执行CoreKitAgent，这是一个复杂的Nim二进制文件，”作为使用macOS kqueue机制的事件驱动应用程序运行”，SentinelOne表示。 这两个载荷共同建立了持久访问和恢复机制，依靠信号处理程序拦截来自SIGINT和SIGTERM的终止信号，并重新部署核心组件。 “Nim相当独特的在编译时执行函数的能力，使攻击者能够将复杂行为融入二进制文件中，且控制流不那么明显，导致编译后的二进制文件中开发者代码和Nim运行时代码甚至在函数级别都相互交织，” SentinelOne指出。     消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文