HackerNews

HackerNews 编译，转载请注明出处： 意大利罗马大学（La Sapienza）近日成为网络攻击目标，其IT系统遭受影响，导致该教育机构内部运营大面积瘫痪。 校方于本周早些时候首次通过社交媒体披露了此次事件，称其IT基础设施“已成为网络攻击的目标”。作为预防性措施并确保数据完整与安全，学校已下令立即关闭所有网络系统。 罗马大学是欧洲在校学生规模最大的高校，在册学生超 11.25 万名；目前已就该事件报备有关部门，并成立技术专项小组，启动漏洞修复与系统恢复工作 截至撰稿时，该校官方网站仍无法访问。其Instagram官方账号持续更新状态，显示恢复工作仍在进行中。根据昨日发布的公告，校方已设立临时“信息服务点”，为学生们提供因当前数字系统与数据库无法访问而难以获取的各类信息。 尽管校方未透露攻击具体类型及实施者详情，但意大利《晚邮报》援引内部消息称，此次事件系名为Femwar02的亲俄黑客组织发起的勒索软件攻击，已造成数据被加密。 该媒体依据恶意软件特征与攻击模式分析指出，此次攻击与Bablock/Rorschach勒索软件高度相似。该勒索软件变种于2023年首次出现，以加密速度快、定制化程度高为特点。网络安全公司Check Point分析认为，该勒索软件整合了Babuk、LockBit v2.0、DarkSide三款勒索软件的泄露源代码开发而成。 据《晚邮报》消息源透露，攻击者已索要赎金，但校方工作人员未打开赎金通知，以避免触发 72 小时倒计时机制，因此赎金金额尚未明确。目前，该校技术人员正联合意大利计算机安全事件响应小组（CSIRT）、国家网络安全局（ACN）及邮政警察部门专家开展工作，通过未受影响的备份数据推进系统恢复。 需注意的是，尽管Rorschach勒索软件未在暗网设立专门的勒索数据泄露站点，但被窃数据仍可能被传播或转售给其他数据勒索集团，因此数据泄露至公网的风险仍极高。 基于当前情况，罗马大学全体师生需高度警惕钓鱼攻击，切勿点击陌生信息中的链接，并持续监控个人账户是否存在可疑活动。 消息来源:bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 罗马尼亚国家输油管道运营商 Conpet 披露，本周二遭遇网络攻击，其业务系统受干扰，公司官网也已无法访问。 Conpet 运营着近 4000 公里输油管网，负责向罗马尼亚全国炼油厂输送国产及进口原油，以及汽油、液态乙烷等石油衍生品。 该公司在周三发布的新闻稿中表示，此次事件仅影响企业 IT 基础设施，未干扰核心运营，也未影响合同履约能力。Conpet 补充称，官网因攻击下线，目前正联合国家网络安全部门开展事件调查，推进受影响系统恢复工作。 该输油管道运营商已通报罗马尼亚有组织犯罪与恐怖主义调查局（DIICOT），并就此次事件提起刑事诉讼。Conpet 表示：“需说明的是，运营技术系统（监控与数据采集系统及通信系统）未受影响，因此公司核心业务 —— 通过国家石油运输系统输送原油与汽油 —— 运行正常，未出现任何中断。”而受此次事件影响，公司官网 www.conpet.ro 目前无法访问。 尽管 Conpet 尚未披露攻击类型，但 Qilin 勒索软件团伙已宣称对此次攻击负责，并于今日早些时候将 Conpet 列入其暗网数据泄露平台。该威胁团伙还声称，已从 Conpet遭攻陷的系统中窃取近 1TB 文件，并泄露十余张内部文件照片（含财务信息及护照扫描件），以此证实数据泄露属实。 Conpet 在Qilin的泄露网站上（From:BleepingComputer） Qilin 团伙于 2022 年 8 月以“Agenda”为名开始作为勒索软件即服务（RaaS）运营。过去四年间，其宣称攻击了近 400 个目标，包括日产汽车、日本朝日啤酒、出版业巨头李企业集团、病理服务商 Synnovis 以及澳大利亚维多利亚州法院服务局等知名机构。 BleepingComputer 已就此事联系 Conpet 寻求置评，但截至发稿未获回复。科技媒体 BleepingComputer 就此次事件联系 Conpet 求证，但暂未获得回应。 此前在去年 12 月，罗马尼亚水务局（全国水务管理机构）、奥尔特尼亚能源集团（该国最大煤电能源生产商）也曾遭遇勒索软件攻击。2024 年 12 月，罗马尼亚大型电力供应与分销商电力集团（Electrica Group）遭 Lynx 索软件攻击；2024 年 2 月，超 100 家罗马尼亚医院因遭遇 Backmydata 勒索软件攻击，医疗管理系统瘫痪，陷入全面停摆。 消息来源:bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 数字出版平台 Substack 发生数据泄露事件，一名黑客泄露了据称取自该公司系统的用户记录，目前平台已正式披露此事。 Substack 是一款热门订阅制出版平台，支持作家、播客主及创作者向订阅者直接推送时事通讯，同时实现作品商业化变现。最新数据显示，该平台拥有约 3500 万订阅用户。 该公司已开始向用户推送通知，告知其发生一起安全事件，导致用户电子邮箱、电话号码及内部元数据遭泄露。 Substack 表示，该事件发生于 2025 年 10 月，但直至 2 月 3 日才被发现，当日公司发现 “系统存在漏洞，导致未授权第三方得以非法访问部分用户数据”。 由 Substack 首席执行官Chris Best签署的用户通知中明确，用户密码、银行卡号及其他金融信息未发生泄露。 尽管公司表示暂无证据表明泄露信息已被滥用，但仍敦促用户警惕可疑电子邮件与短信。就在此次通知发出数日前，一名黑客泄露了其宣称是 Substack 用户数据的相关信息。 该黑客在论坛帖子中声称，窃取的数据包括姓名、邮箱、电话号码、个人资料照片、用户 ID 及个人简介等信息。 该威胁行为者称，通过数据爬取手段获取了近 70 万条用户记录，并表示此次攻击 “动静较大”，致使平台迅速采取了缓解措施。 消息来源:securityweek.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 今年 1 月，自动化投资平台 Betterment 系统遭黑客攻陷，140 万用户账户的电子邮箱地址及其他个人信息被窃取。 Betterment 主营自动化投资工具与金融咨询服务，是美国 “机器人投顾” 领域的先驱企业。这家金融科技公司共为超 100 万客户管理着 650 亿美元资产。 尽管 Betterment 未披露受影响总人数，但数据泄露查询平台 Have I Been Pwned 分析被盗数据后表示，此次泄露波及 1435174 个账户，涉及信息包括电子邮箱、姓名及地理位置数据。 遭泄露的信息还包括出生日期、通讯地址、电话号码、设备信息、雇主地理位置及职位名称。 Betterment 于 1 月 10 日披露，威胁行为者通过社会工程学攻击侵入部分系统后，还发送伪装成公司促销活动的欺诈邮件，试图诱导目标客户落入奖励骗局 —— 该骗局宣称，向攻击者控制的比特币、以太坊钱包转入加密货币，可获得三倍金额返还。 Betterment 警示用户：“此活动并非官方福利，切勿理会；即便点击了活动通知，也不会影响你的 Betterment 账户安全。目前非授权访问已被阻断，且暂无证据表明非授权人员获取过 Betterment 客户账户的访问权限。” 1 月 13 日科技媒体 BleepingComputer 报道称，Betterment 遭分布式拒绝服务（DDoS）攻击且被勒索，此后该公司确认，官网及移动应用的间歇性宕机系 DDoS 攻击所致，但尚未披露任何与勒索相关的细节。 本周早些时候，Betterment 再发声明称，联合网络安全厂商 CrowdStrike 开展后续溯源调查后确认，此次泄露未导致客户账户被攻陷。 该公司表示：“在 CrowdStrike 支持下，我们完成溯源调查，确认 1 月 9 日的事件未造成客户账户、密码及登录信息泄露。”“分析结果进一步确认，此次隐私影响主要集中在部分客户联系信息（含姓名、邮箱）；部分案例中，联系信息还关联了通讯地址、电话号码、出生日期等其他客户信息。” 截至发稿，Betterment发言人在BleepingComputer就此事联系问询后尚未作出回复。 消息来源:bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 意大利外交部长 Tajani 表示，该国已挫败一系列针对外交部办公机构及冬奥会官网、相关酒店的俄关联网络攻击。据他透露，意大利已挫败一系列俄关联网络攻击，攻击目标包括外交部驻外办公机构（含华盛顿办事处）、冬奥会官方网站及科尔蒂纳丹佩佐地区的冬奥相关酒店。 兼任副总理的Tajani 强调：“我们挫败了一系列针对外交部办公机构（首当其冲是华盛顿办事处）及部分冬奥场所（含科尔蒂纳地区酒店）的网络攻击。”他明确指出“这些行动由俄罗斯主导”。据意大利安莎通讯社报道，Tajani 是在华盛顿出访期间向记者披露此事的。 亲俄黑客组织 Noname057(16) 宣称实施了这些分布式拒绝服务（DDoS）攻击。近期该组织已通过自身渠道公布目标清单，涵盖科尔蒂纳地区多家酒店及外交部等政府网站。 该组织声称，发起攻击是对意大利亲乌立场的报复，同时列出其他攻击目标，包括意大利驻华盛顿大使馆及驻悉尼、多伦多、巴黎领事馆。得益于意大利有关部门及国家网络安全局的应对处置，此次攻击造成的影响目前较为有限。 目前监测到的攻击强度尚未达到极高水平，但各方已明确，当前威胁态势中存在可发起大规模分布式拒绝服务攻击的僵尸网络，这类攻击需通过复杂方案才能缓解。例如近期 AISURU 僵尸网络发起的攻击就具备这样的规模，但该僵尸网络似乎并不属于Noname057(16)这类亲俄激进黑客组织的攻击武器库。 意大利内政部长 Piantedosi 宣布，意方将在米兰至多洛米蒂赛区的各个场馆部署6000名安全人员，其中包括拆弹小组、狙击手及反恐部队。 消息来源: securityaffairs.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软警示，信息窃取类攻击正从 Windows 系统 “快速扩张” 至苹果 macOS 环境，攻击者借助 Python 等跨平台语言开发恶意程序，并滥用可信平台实现大规模分发。 微软 Defender 防御安全研究团队表示，自 2025 年末起，观测到针对 macOS 的信息窃取攻击活动，攻击者采用 ClickFix 等社会工程学手法，分发磁盘镜像（DMG）安装包，投放 Atomic macOS Stealer（AMOS）、MacSync、DigitStealer 等多个信息窃取恶意软件家族。 研究发现，此类攻击活动采用无文件执行、macOS 原生工具调用、 AppleScript 自动化等技术，助力数据窃取行为实施，窃取的数据包括浏览器登录凭证与会话数据、iCloud 钥匙串信息及开发者密钥等敏感内容。 此类攻击的起点通常是恶意广告（多通过谷歌广告投放），搜索 DynamicLake 工具、人工智能工具的用户会被重定向至搭载 ClickFix 诱导手段的虚假网站，进而被骗安装恶意软件，导致设备感染。 微软表示：“攻击者借助 Python 编写的信息窃取软件，可快速适配攻击场景、复用代码，以极低成本针对异构环境发起攻击，这类恶意软件通常通过钓鱼邮件分发，窃取目标包括登录凭证、会话 Cookie、认证令牌、信用卡信息及加密货币钱包数据。” PXA 窃取器就是典型代表，该软件与越南语区威胁行为者相关联，可窃取登录凭证、金融信息及浏览器数据。微软指出，其已识别出两起 PXA 窃取器攻击活动，分别发生在 2025 年 10 月和 12 月，均以钓鱼邮件作为初始入侵途径。 攻击链条涉及使用注册表启动项或计划任务实现持久化，并利用 Telegram 进行命令与控制通信及数据外传。 此外，观测显示，恶意行为者还将 WhatsApp 等主流即时通讯应用武器化，用于分发 Eternidade Stealer 等恶意软件，进而非法访问受害者金融及加密货币账户。该攻击活动的相关细节已于 2025 年 11 月由 LevelBlue / Trustwave 团队公开披露。 其他窃取程序相关攻击则围绕 Crystal PDF 等虚假 PDF 编辑器展开，通过恶意广告及谷歌广告的搜索引擎优化（SEO）投毒进行分发，进而部署针对 Windows 的窃取程序，可隐蔽收集 Mozilla Firefox 与 Chrome 浏览器的 Cookie、会话数据及凭证缓存。 为应对信息窃取软件带来的威胁，微软建议企业开展用户安全教育，普及恶意广告重定向链路、虚假安装包、ClickFix 式复制粘贴诱导等社会工程学攻击的识别方法。同时建议监测可疑终端活动及 iCloud 钥匙串访问行为，核查网络出站流量中发往新注册或可疑域名的 POST 请求。 微软强调：“设备遭信息窃取软件攻陷后，可能引发数据泄露、内网非法访问、企业邮箱入侵、供应链攻击及勒索软件攻击等一系列严重后果。” 消息来源:thehackernews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： GreyNoise 发现一起针对 Citrix Gateway 的双模式侦察活动，攻击者利用超过 6.3 万个住宅代理及亚马逊云科技（AWS）基础设施，搜寻登录面板并枚举系统版本。 2026年1月28日至2月2日期间，GreyNoise 追踪到一起协同进行的侦察活动，目标直指 Citrix ADC 和 NetScaler 网关。攻击者先通过超 6.3 万个住宅代理探测登录面板，随后切换至 AWS 基础设施，在 11.1 万余次会话中集中枚举暴露在外的系统版本。 该活动共记录来自超 6.3 万个 IP 的 111834 次会话，其中 79% 的流量直指 Citrix 网关蜜罐，可见攻击者是针对性开展基础设施测绘，而非随机爬取。GreyNoise 发布的报告指出：“数据足以说明问题 ——111834 次会话、超 6.3 万个独立源 IP，且对 Citrix 网关蜜罐的针对性攻击率达 79%，这一比例至关重要，远高于基准扫描噪声水平，表明攻击者是刻意开展基础设施测绘，而非投机性爬取。” 就在 2026 年 2 月 1 日前夕，发生了两起针对 Citrix 基础设施的相关活动。其一活动通过全网扫描探测登录面板，另一场则快速核查软件版本，可见这是一场协同化的侦察行动。 登录面板探测环节高度依赖住宅代理。攻击者将大量流量集中在一个大型 Azure IP 上，剩余流量则来自全球数千个合法民用 IP。每个 IP 均配有唯一浏览器指纹，助力攻击者绕过地理围栏及信誉过滤机制。 版本核查环节由 10 个 AWS IP 发起，持续超 6 小时，且均使用同一老旧 Chrome 浏览器指纹。这种快速且精准的活动态势表明，攻击者在锁定潜在目标后迅速开展行动。 基于 Azure 的扫描器通过 VPN 及隧道转发流量，且采用略低于标准的最大分段大小（MSS），可见攻击者具备严谨的操作安全意识。住宅代理源自 Windows 设备，但会经 Linux 代理转发，以此混入民用流量规避检测。AWS 版本扫描器则使用了只有在数据中心环境下才可能配置的巨帧设置，这证实了攻击者依赖的是专用基础设施，而非普通的消费级网络。 TCP 协议分析显示，尽管基础设施配置不同，但三者共用同一框架：Azure 流量走 VPN 隧道、住宅代理扫描经 Linux 代理转发、AWS 扫描则依赖数据中心级网络配置。三者共享相同 TCP 特征，表明三场攻击活动依托同一底层工具集。 报告补充道：“尽管基础设施类型不同，但所有指纹的 TCP 选项顺序完全一致，这表明即便操作层面相互隔离，底层仍共用同一工具或框架”。 此次侦察活动大概率是攻击前的基础设施测绘，攻击者重点瞄准 EPA 安装文件，或为后续针对性漏洞利用做准备。企业应重点监测异常用户代理、快速登录枚举行为、老旧浏览器指纹及针对敏感路径的外部访问请求。防护措施包括限制基础设施暴露面、强化身份认证机制、隐藏系统版本信息、标记可疑地区流量。 该报告（内含入侵指标）总结道：“此次侦察活动大概率是漏洞利用前的基础设施测绘，对 EPA 安装文件路径的精准瞄准，表明攻击者有意针对已知 Citrix ADC 漏洞开发版本专属利用程序，或开展漏洞验证”。 消息来源:securityaffairs.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司 Tenable 的研究人员发现两款漏洞，攻击者可利用其完全攻陷 Google Looker 商业智能平台实例。 Google Looker 可助力企业将分散数据集整合至统一数据层，进而构建实时可视化报表、交互式仪表盘及数据驱动型应用。 企业可选择 Google Cloud 完全托管的软件即服务（SaaS）版本，也可将 Looker 实例部署在自有基础设施上（自托管模式）。 Tenable 研究人员发现，影响该平台的两个漏洞一旦被利用，可能导致远程代码执行与敏感数据遭窃。这两个漏洞被统称为“LookOut”，攻击者只需拥有目标 Looker 实例的开发者权限即可利用。 据 Tenable 介绍，其中远程代码执行漏洞可让攻击者获取底层基础设施的完整管理员权限，攻击者可借此窃取密钥信息、篡改数据，或进一步向内网渗透。 Tenable 解释道：“在云托管实例场景下，该漏洞或引发跨租户访问风险。” 至于第二款漏洞，该安全厂商将其定义为 “权限绕过漏洞 —— 攻击者可借助该漏洞接入 Looker 内部数据库连接，通过基于错误的 SQL 注入窃取完整的内部 MySQL 数据库数据。” 谷歌已于 2025 年 9 月下旬修复了这些漏洞。谷歌已为旗下云托管实例完成补丁部署，但自托管实例用户需自行确认已升级至修复版本。 谷歌表示，目前未发现该漏洞存在在野利用的相关证据。 消息来源:securityweek.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 流行的开源工作流自动化平台n8n曝出多个关键安全漏洞，攻击者利用这些漏洞可突破沙箱限制，最终完全控制其所在的宿主服务器。 这些漏洞被统一追踪为CVE-2026-25049。任何能在该平台上创建或编辑工作流的认证用户，均可利用其在n8n服务器上执行不受限制的远程代码。 多家网络安全公司的研究人员报告了这些问题。漏洞根源在于n8l的输入净化机制存在缺陷，并成功绕过了此前针对另一个关键漏洞CVE-2025-68613（已于去年12月20日修复）所发布的补丁。 据Pillar Security介绍，利用CVE-2026-25049可完全攻陷n8n实例，进而在服务器上执行任意系统命令、窃取所有存储的凭据与密钥（如API密钥、OAuth令牌）以及敏感配置文件。 研究人员演示称，利用该漏洞还能访问文件系统与内部服务，横向渗透至相关联的云账户，甚至劫持AI工作流（例如拦截提示词、篡改响应内容、重定向流量）。由于n8n是多租户环境，攻击者一旦触及内部集群服务，便可能进一步窃取其他租户的数据。 “此攻击门槛极低。只要能创建工作流，就能掌控整个服务器。”Pillar Security在今日发布的报告中如是说。 报告将漏洞根源归结为基于抽象语法树（AST）的沙箱机制不完善，具体而言，是n8n对工作流中用户编写的服务器端JavaScript表达式沙箱隔离不足。2025年12月21日，研究人员向n8n团队演示了一种链式绕过方法，可成功逃逸沙箱并访问Node.js全局对象，从而实现远程代码执行（RCE）。 尽管n8n团队在两天后发布了修复补丁，但Pillar经分析发现修复并不彻底，攻击者仍可通过另一套使用等效操作的机制实现二次绕过。n8n开发者在12月30日确认了该绕过问题，最终于2026年1月12日发布了彻底修复漏洞的2.4.0版本。 Endor Labs的研究人员同样发现了净化绕过方法，并提供了一个简单的概念验证（PoC）利用代码来演示CVE-2026-25049如何导致远程代码执行。Endor Labs的Cristian Staicu指出：“在2.5.2和1.123.17之前的所有版本中，净化函数默认攻击者可控代码中的属性访问键为字符串。”然而，这项检查仅体现在TypeScript类型定义中，并未在运行时强制执行，从而引发了类型混淆漏洞，最终导致“净化控制被完全绕过，使得任意代码执行攻击成为可能。” 与此同时，SecureLayer7的研究人员今日发布了技术报告，详细说明了他们如何通过“使用Function构造函数”实现“服务器端JavaScript执行”。他们是在分析CVE-2025-68613及其补丁时发现了CVE-2026-25049，并经过超过150次尝试才最终完善了成功的绕过方法。该报告同样提供了PoC利用代码，以及从初始设置到创建恶意工作流以完全控制服务器的详细步骤。 修复与缓解建议 n8n用户应立即将平台升级至最新版本（当前为1.123.17和2.5.2）。Pillar Security还建议轮换N8N_ENCRYPTION_KEY及服务器上存储的所有凭据，并审查现有工作流中是否存在可疑表达式。 若无法立即升级，n8n团队提供了临时缓解方案，但该方案无法彻底消除风险： 仅向完全可信用户开放工作流创建与编辑权限。 在加固环境中部署 n8n，限制其操作系统权限与网络访问范围，降低漏洞被利用后的影响。 目前，尚未有公开报告显示CVE-2026-25049在野被利用。然而，n8n日益增长的影响力已吸引攻击者关注，此前曝出的Ni8mare漏洞（CVE-2026-21858）便是例证。 GreyNoise本周报告称，监测到针对暴露的、易受Ni8mare攻击的n8n端点的潜在恶意活动，在1月27日至2月3日期间记录至少33,000次相关请求。尽管部分探测可能源于安全研究，但对/proc文件系统的扫描行为表明，攻击者对其后续利用潜力表现出了兴趣。 消息来源:bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 勒索软件团伙目前正利用 VMware ESXi 漏洞 CVE-2025-22225，该漏洞已于 2025 年 3 月由Broadcom公司修复。美国网络安全与基础设施安全局（CISA）证实，勒索软件团伙正利用 VMware ESXi 沙箱逃逸漏洞 CVE-2025-22225 实施攻击。 该漏洞是 VMware ESXi 中存在的任意写入问题，拥有 VMX 进程权限的攻击者可触发内核任意写入操作，进而实现沙箱逃逸。彼时，这家虚拟化巨头证实，已有相关信息表明该漏洞存在在野攻击利用行为。安全公告中指出：“拥有 VMX 进程权限的恶意攻击者可触发内核任意写入操作，进而实现沙箱逃逸。” VMware 在 2025 年 3 月发布的安全公告 VMSA-2025-0004 中，修复了三个已遭在野积极利用的零日漏洞，这些漏洞均可实现 ESXi 虚拟机逃逸与代码执行，具体包括： ·  CVE-2025-22226（CVSS 7.1）：HGFS 文件系统存在越界读取漏洞，可导致 VMX 进程内存泄露。 ·  CVE-2025-22224（CVSS 9.3）：VMCI 接口存在时间检查与使用不一致（TOCTOU）漏洞，可引发越界写入，攻击者可借此以 VMX 进程权限执行代码。 ·  CVE-2025-22225（CVSS 8.2）：ESXi 存在任意写入漏洞，可实现从 VMX 沙箱逃逸至内核层。 今年 1 月，Huntress 研究人员通报称，发现汉语区攻击者滥用遭入侵的 SonicWall VPN，投递针对 VMware ESXi 的攻击工具包。 该攻击链包含一套成熟的虚拟机逃逸方案，且其开发时间似乎比相关 VMware 漏洞公开披露时间早一年以上。对 2025 年 12 月观测到的攻击事件分析显示，该团伙提前掌握了 2025 年 3 月才披露的三款 ESXi 零日漏洞，可见其对未知漏洞存在长期隐秘利用行为。 2025 年 12 月，Huntress 研究人员检测到一起入侵事件，攻击者最终部署了 VMware ESXi 漏洞利用工具包，其初始入侵途径为遭攻陷的SonicWall VPN。工具包中存在简体中文字符及相关编译路径等证据，表明该工具包大概率在 VMware 公开漏洞前一年多就以零日漏洞利用工具的形式开发完成，可见幕后是一支资源充足的汉语区攻击团伙。 攻击者利用域管理员凭证开展横向渗透，实施侦察活动，修改防火墙规则以阻断外部访问、同时保留内网移动权限，并对拟窃取数据进行预处理。该工具包可针对多达 155 个 ESXi 版本发起攻击，通过禁用 VMCI 驱动、加载未签名内核驱动实现虚拟机逃逸，或为后续勒索软件部署铺路。该攻击最终在造成实质损失前被成功阻断。 该威胁团伙依靠一款名为 MAESTRO 的协调工具，管控完整的 VMware ESXi 虚拟机逃逸流程。该工具会禁用 VMCI 驱动，通过自带驱动（BYOD）技术加载未签名漏洞利用驱动，并统筹漏洞利用全流程。该驱动会泄露 VMX 进程内存以绕过地址空间布局随机化（ASLR）防护，滥用 HGFS 与 VMCI 接口漏洞，向 VMX 进程写入壳代码，最终逃逸至 ESXi 内核层。随后会部署一款基于 VSOCK 协议的隐蔽后门VSOCKpuppet，可从客户机虚拟机对虚拟机管理程序实现持久化远程控制，同时规避传统网络监控，并恢复相关驱动以降低被检测概率。 Huntress 研究人员发现证据表明，该攻击链至少自 2024 年 2 月起就已被使用。报告指出：“漏洞利用二进制文件中包含程序数据库（PDB）路径，可据此窥探其开发环境。” CISA 已更新已知被利用漏洞（KEV）目录中 CVE-2025-22225 的相关条目，确认该漏洞正被用于勒索软件攻击行动。   消息来源: cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： TP-Link 已针对旗下 Archer BE230 Wi-Fi 7 路由器发布紧急固件更新，修复多款高危安全漏洞. 这些漏洞可使经过身份验证的攻击者执行任意操作系统（OS）命令，从而完全掌控设备管理权。 受影响的设备为 Archer BE230 v1.2 型号，其固件版本早于 1.2.4 Build 20251218 rel.70420。漏洞涉及 VPN 模块、云通信服务及配置备份功能等多个系统组件。 TP-Link OS命令注入漏洞分析 所有相关CVE漏洞的核心均为操作系统命令注入问题。该类漏洞的成因在于，应用程序将未经安全处理的用户输入数据（如表单数据、Cookie 或 HTTP 头）直接传递至系统 shell 执行。 具体而言，已获取高权限（即通过认证）的攻击者能够注入恶意命令，并由路由器以 root 权限执行。尽管攻击复杂度被评定为较低（AC:L），但其利用前提是攻击者需具备高权限（PR:H）。 然而，若攻击者已通过弱密码或会话劫持等方式获得初步管理员权限，便可利用这些漏洞实现权限升级，从基础管理访问跃升至对设备底层操作系统的完全控制。 尽管这些漏洞造成的最终影响相似，但它们源自不同的代码路径（具体CVE编号如下表所示）。成功利用后，攻击者能够篡改路由器配置、拦截网络流量、中断服务，甚至将受控设备作为跳板，攻击网络内的其他设备。 为应对威胁，TP-Link 已发布修复固件。网络管理员及用户务必立即更新设备固件。 用户可访问对应区域（美国、国际英文或新加坡）的 TP-Link 官方支持页面下载最新固件。如未能及时安装更新，网络基础设施将面临被攻陷的风险。 消息来源:cybersecuritynews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 知名老牌恶意软件家族 SystemBC 的相关攻击活动，已波及全球超 1 万个受感染 IP 地址，其中包括敏感政府基础设施关联设备。 据 Silent Push 发布的最新研究显示，该发现进一步印证了业界担忧 ——SystemBC 持续被用作入侵行动的早期渗透工具，且其出现往往预示着后续勒索软件的投放。 SystemBC（亦被称为Coroxy或DroxiDat）于 2019 年首次被公开披露，是一款多平台代理恶意软件，可将受感染设备改造为 SOCKS5 代理中继。这些代理中继可让威胁行为者通过受害者设备转发恶意流量，既隐藏自身基础设施，又能持续维持对内网的访问权限。 观测显示，部分 SystemBC 感染事件中还会附带投放其他恶意软件，进一步扩大攻击影响范围。Silent Push 分析师表示，因多次观测到 SystemBC 在勒索软件攻击事件前出现，团队于 2025 年开始对其活动进行系统化追踪。 为了更有效地监测，研究团队开发了专门的SystemBC追踪指纹，得以大规模识别受感染主机及其背后的支持设施。通过这种方法，他们发现了超过1万个独特的受感染IP地址，相关活动痕迹最早可追溯到2019年。 全球传播态势与持续威胁 受感染设备呈全球分布态势，美国感染数量最多，德国、法国、新加坡、印度紧随其后。多数受感染设备部署于数据中心环境而非家用网络，这也是其感染状态往往能持续数周甚至数月的原因之一。 最值得关注的发现之一是一款此前未被记录的 SystemBC 变种，该变种基于 Perl 语言开发。该变种专门针对 Linux 系统，分析当时在 62 款杀毒引擎中均未被检出。 研究还显示，SystemBC 的命令与控制（C2）基础设施常依托抗滥用高防托管服务商搭建，包括 BTHoster 及自治系统 213790（又称 BTCloud）关联的托管环境。仅在一个托管集群中，分析师就识别出超 10340 个受害者 IP 地址，平均感染时长 38 天，部分甚至超过 100 天。 该数据集包含布基纳法索、越南两国政府官方网站的托管 IP 地址，且这些 IP 已遭攻陷。这些政府关联设备不仅是攻击受害者，还被纳入代理网络供攻击者使用，大幅提升了此次攻击的潜在危害。 为防范同类威胁，Silent Push 建议开展主动监测，并警示：SystemBC 的活动往往出现在入侵链路早期，且通常先于勒索软件投放发生。 消息来源:infosecurity-magazine： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 超过40,000个使用Quiz and Survey Master插件的WordPress站点受到一个SQL注入漏洞的影响，该漏洞允许经过身份验证的用户干扰数据库查询。 该漏洞存在于10.3.1及更早的版本中，可以被任何具有“订阅者”（Subscriber）级别或更高权限的登录用户利用，从而增加了未经授权访问数据的风险。 Quiz and Survey Master（也称为QSM）被广泛用于创建测验、调查和表单。其功能集包括多媒体支持和拖放式测验构建器，这促成了其庞大的安装基数。 该漏洞无需管理员权限即可利用，意味着大量普通用户账号均可能被滥用，进而触发漏洞风险。 漏洞如何暴露站点数据库 该漏洞位于一个负责检索测验题目数据的REST API函数中。一个名为is_linking的请求参数被假定为数字标识符，并在没有经过适当验证的情况下被插入到数据库查询中。该参数值在与其他题目 ID 拼接、作为 SQL 语句执行前，未经过任何数据净化处理。 这种处理方式使得恶意用户可提交特制输入内容，其中包含额外 SQL 命令。由于查询语句未采用预处理语句构建，数据库会将注入的恶意内容当作查询语句的一部分执行，进而导致数据窃取或其他恶意操作风险。 该漏洞已被分配编号 CVE-2025-67987。虽然没有迹象表明该漏洞曾被积极利用，但其存在凸显了信任请求数据的风险，即使这些数据本意并非由用户直接控制。 负贵披露后发布补丁 Patchstack在上周发布的一份公告中表示，该漏洞已在Quiz and Survey Master版本10.3.2中修复。 该更新通过 intval 函数强制将 is_linking 参数转换为整数，确保数据库查询仅处理数字类型值，以此实现漏洞缓解。 该漏洞由Patchstack Alliance社区成员Doan Dinh Van发现并报告。 Patchstack于2025年11月21日收到报告并通知了插件供应商。修复版本于2025年12月4日发布，相关公告于2026年1月下旬公开。 此事件再次凸显了在WordPress插件中处理数据库查询时，进行输入验证和使用预编译语句的重要性。 消息来源: infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露 Docker 旗下 Ask Gordon 人工智能助手存在一项高危安全漏洞，该漏洞揭示了未经验证的元数据可被转化为可执行指令的攻击路径。 这个问题被Noma Labs命名为DockerDash，它暴露了从模型解释到工具执行的完整AI执行链中的弱点，并突显了随着AI代理更深地嵌入开发工作流而出现的新兴风险。 研究表明，Docker 镜像中仅需一个恶意元数据标签，即可通过三阶段攻击流程攻陷 Docker 环境。 Ask Gordon 会读取该元数据，将解析后的指令转发至模型上下文协议（MCP）网关，网关随即通过 MCP 工具执行该指令。该元数据全程未经过任何验证环节。这种信任机制缺陷使得攻击者无需利用传统软件漏洞，即可绕过安全边界实施攻击。 单一漏洞触发两条攻击路径 Noma Labs发现该漏洞存在统一攻击载体，攻击后果会随 Docker 部署环境的不同而存在差异。 在云端及命令行（CLI）环境中，该漏洞可导致高危级远程代码执行（RCE）。在 Docker 桌面端环境中，Ask Gordon 仅具备只读权限，但通过相同攻击手法，攻击者可实现大规模数据窃取与网络侦察。 DockerDash的核心是Noma Labs所称的元上下文注入。MCP网关旨在将上下文信息传递给大型语言模型，但它无法区分描述性元数据和预先授权内部指令。 攻击者将命令嵌入看似无害的 Docker LABEL 字段中，即可操控 AI 的推理逻辑，将上下文信息转化为具体执行动作。 数据窃取风险与缓解策略 不同环境下攻击影响存在差异，但均具备严重危害性，具体包括： 云端或本地命令行环境下，可通过 Docker 命令行指令实现远程代码执行 容器配置、环境变量及网络配置信息泄露 枚举已安装的 MCP 工具、镜像及系统配置数据 在 Docker 桌面端，攻击者还可指令 Ask Gordon 将窃取的数据嵌入出站请求中实现外泄，以此绕过针对命令执行、而非未授权读取的安全管控。 Noma Labs于2025年9月17日向Docker报告了此问题。Docker于10月13日确认了该漏洞，并在2025年11月6日发布的Docker Desktop版本4.50.0中进行了修复。漏洞详情于近日对外公开。 Docker实施了两项关键的缓解措施。一是 Ask Gordon 不再解析用户提供的镜像 URL，阻断了一条数据外泄路径。二是调用任意 MCP 工具前均需用户明确确认，新增了人机协同防护机制。 官方强烈建议用户升级至 Docker 桌面端 4.50.0 及后续版本，降低遭受此类新型 AI 驱动供应链攻击的风险。 消息来源: infosecurity-magazine： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究人员发现了一个新的勒索软件即服务（RaaS）组织，该团伙已攻陷巴西及南非多家机构。 据勒索软件专业公司Halcyon称，该团伙被命名为 “Vect”，于 2025 年 12 月启动招募计划后，目前正持续吸纳加盟攻击者。 该组织声称其恶意软件是使用C++独立开发的，而不是像多数同类团伙那样，重新利用Lockbit 3.0或Conti等知名勒索软件的泄露源代码。 该勒索软件采用 ChaCha20-Poly1305 认证加密算法，据称在无硬件加速的系统上，其加密速度是 AES-256-GCM 算法的 2.5 倍。其采用间歇加密技术部署，为提升加密速度，仅对部分数据块进行加密混淆。 Halcyon声称：“尽管该团伙成立时间较短，但展现出超乎寻常的成熟度，其宣称可提供跨平台勒索软件，覆盖 Windows、Linux 及 VMware ESXi 系统；支持安全模式执行以压制安全工具；还配备高速间歇加密功能，兼顾攻击速度与破坏性。” “Vect 目前似乎处于早期验证阶段，已宣称攻陷巴西、南非各一家机构，大概率在大规模扩张前测试自身攻击能力。” 加盟者的收入分成模式显然是“慷慨”的，入门费为 250 美元，且独立国家联合体（CIS）区域申请者可免缴该费用 —— 这一规则暗示了该团伙的藏身区域。 该行动的成熟度表明它是由一些有经验的RaaS参与者运营的，Red Piranha的另一项分析声称。 Red Piranha在一份研究报告中解释道：“该组织的操作安全措施引人注目，使用门罗币进行支付以保持财务匿名性，通过 TOX 协议实现加盟攻击者间的加密点对点通信；基础设施完全依托 TOR 隐藏服务搭建，未在公网留下任何痕迹。” “自主研发恶意软件、采用新型加密算法、具备跨平台攻击能力、搭配完善操作安全措施，这些特征共同表明，Vect 的操控者是资深威胁行为者，可能是老牌勒索软件加盟者的品牌转型或全新布局。” 该机构补充说，初始访问很可能是通过暴露的RDP/VPN、窃取的凭据、网络钓鱼或漏洞利用实现初始入侵。 Vect 采用经典双重勒索模式，目前已攻陷的两家机构均被列在其公开数据泄露平台上。 建议采取的防护措施 Halcyon建议网络防御者关注以下方面，以降低Vect带来的风险： 加固边界设备防范初始入侵：需重点防护飞塔（Fortinet）账号及管理界面（Vect 曾在俄语论坛求购被盗飞塔账号）；及时安装更新补丁，限制管理员权限暴露范围，对所有远程访问及特权访问强制要求高强度身份认证。 跨 Windows、Linux、VMware ESXi 系统开展威胁遏制：对管理网络进行分段隔离，限制虚拟机管理程序管理平面的访问权限，通过管控管理协议与文件共享，阻断攻击者横向渗透路径。 重点监测安全模式与间歇加密行为：加强对可疑安全模式启动、快速选择性文件加密（间歇加密典型特征）的监控；集中收集并核查相关日志与遥测数据，实现快速范围界定与威胁遏制。 部署反勒索软件防护方案：采用可在恶意二进制文件运行前阻断执行、能检测并阻止勒索软件运行时行为与数据窃取尝试、可拦截篡改操作及网络入侵的防护工具。 消息来源: infosecurity-magazine： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 研究人员警告，一场多阶段的网络钓鱼活动正在使用一种隐蔽的技术来规避安全工具的检测，并窃取知名云存储服务的公司凭证。 Forcepoint X-Labs于2月2日针对该持续开展的攻击活动发布预警，其通过组合多类手段窃取 Dropbox 账号登录凭证：伪造紧急公务相关钓鱼邮件、附带 PDF 附件、植入隐藏恶意链接、搭建伪造登录页面。 该攻击活动以钓鱼邮件为起点，邮件伪装成与采购需求或商务采购相关的内容。 邮件内容简短，但伪装得极具专业可信度，通常会定制成目标用户熟悉的机构或联系人发来的样式，并要求用户打开 PDF 附件了解详情。 Forcepoint指出，邮件的简洁特性使其可绕过 SPF、DKIM、DMARC 等邮件身份认证检测，同时邮件中隐含的紧急诉求，目的是诱导收件人按指令操作。 若用户打开该 PDF 文件，会被引导点击内嵌链接以配合相关需求。该链接基于 Acro 表单编写，大幅降低安全软件对其的扫描检测能力。 研究人员表示，该链接会将目标用户导向一个名为 “可信云存储” 的平台，随后该平台会跳转至伪造但极具迷惑性的 Dropbox 登录页面。 “攻击者借助合法云基础设施降低警惕性，在这一过程中绕过了许多基于信誉评级和已知恶意指标的自动化安全检测，” Forcepoint 高级安全研究员 Hassan Faizan 表示。 如果用户输入其登录凭证，该用户名和密码将被发送到攻击者运营的Telegram频道。攻击者获取合法登录凭证后，可登录目标账号，还可能将该初始访问权限作为起点，发起后续更多攻击。 “这些被盗凭证会被窃取至攻击者控制的命令与控制基础设施，进而被进一步滥用，包括账号劫持、内网渗透及后续更多欺诈行为。” Faizan 说。 2025 年期间，凭证窃取及身份仿冒类攻击呈激增态势，网络犯罪分子试图通过隐蔽方式获取企业账号及网络访问权限。有时，攻击者的最终目标仅仅是窃取数据。但这类入侵也可能是更具破坏性攻击活动的开端，其中就包括勒索软件攻击。 消息来源: infosecurity-magazine： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Step Finance 发布公告称，因公司高管团队设备遭黑客入侵，平台损失价值 4000 万美元的数字资产。 该平台于1月31日检测到此次入侵，并联系了网络安全研究人员，后者帮助其追回了部分被盗资产。 Step Finance是一个构建于Solana区块链上的去中心化金融（DeFi）平台和分析工具，允许用户可视化展示、跟踪、分析并管理自身加密资产及持仓情况。 该平台被视为最活跃且使用最广泛的Solana仪表板之一，还可通过自身界面支持交易执行、代币兑换、质押及其他去中心化金融操作。平台同时发行自有代币 $STEP，该代币交易量相对有限。 1 月 31 日，Step Finance 发布公告称，平台多个金库钱包遭入侵，威胁行为者利用了某一 “已知攻击载体” 实施攻击。 Step Finance 在初始声明中表示：“今日早些时候（亚太时段），我方多个金库钱包遭一名技术老练的攻击者入侵。” 该平台已向有关部门报备，并与网络安全专业团队紧密协作，快速制定漏洞修复及风险补救措施。 区块链分析机构 CertiK 当时通报，被盗资产折合 261854 枚 SOL 代币，价值约 2890 万美元，但 Step Finance 经调查确认，本次损失总额约为 4000 万美元。 得益于Token22保护机制和合作伙伴的协调，目前已追回价值约 370 万美元的 Remora 相关资产及 100 万美元的其他持仓。 受此次事件影响，平台已暂停部分业务，全力推进安全防护加固工作。Step Finance 指出，其旗下子平台 Remora Markets 未受此次事件波及，且所有 rToken 代币仍保持 1:1 全额储备。 平台建议用户在调查结束前，暂停所有 $STEP 代币相关操作。平台将对漏洞攻击前的系统状态进行快照留存，针对 $STEP 代币持有者的解决方案目前正在推进中。 Step Finance 未披露攻击细节及攻击者身份，这引发了外界对该事件可能是 “卷款跑路” 或 “内鬼作案” 的猜测，相关质疑目前尚未得到妥善回应。 该平台 4000 万美元的损失数额虽触目惊心，但仅占 1 月全球加密资产失窃总金额的约十分之一。CertiK 本周早些时候发布的数据显示，今年 1 月全球加密资产失窃总金额达 3.98 亿美元，其中仅约 436.6 万美元被追回。 2025 年全年共发生 147 起已确认的加密领域黑客攻击事件，总损失近 28.7 亿美元；而历史损失最高年份仍为 2022 年，当年 179 起成功攻击造成的损失达 37.1 亿美元。 消息来源:bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国国家安全局（NSA）近日发布了一套新版《零信任实施指南》（ZIGs），该指南详细说明各类组织如何推进零信任建设，直至达到目标成熟度等级。 该指南包含了ZIGs的第一与第二阶段，其设计初衷是支持美国战争部（DoW，即原国防部）的零信任架构及更广泛的美国政府网络安全战略落地。 此次发布的两个阶段内容，目的是推动组织从零信任探索阶段逐步过渡至目标级落地实施阶段。指南明确了各阶段必备行动、依赖条件及预期成果，同时保留灵活性，允许企业结合自身业务需求与约束条件定制落地方案。 第一阶段聚焦搭建安全基准防线，该阶段明确了 36 项核心行动，支撑 30 项零信任核心能力落地，助力组织在深度集成前搭建或完善基础安全管控体系。第二阶段在第一阶段基础上推进，包含 41 项行动，可新增落地 34 项零信任能力，核心任务是实现核心零信任方案在各组件环境中的跨域集成。 这种分阶段的推进方式体现了一种模块化设计理念，而非僵化的固定路线。 AppOmni公司首席技术官兼联合创始人布莱恩·索比指出，这种结构强化了零信任并非一次性部署项目的观念。他强调：“（零信任）是一种运营模式，而非单纯的产品。”，同时强调，随着环境变化，相关策略决策必须持续评估并严格执行。 从边界防护转向持续评估 该指南进一步推动了安全理念的转变，即从依赖网络边界防护，转向对用户、设备及应用程序进行持续的身份验证与授权。零信任遵循 “永不信任、始终验证” 及 “默认已遭入侵” 的核心原则，随着网络威胁不断演变，该理念愈发被认为是安全防护的必要方案。 索比认为，该指南的一大亮点在于其重点关注身份验证之后的活动。“持续动态评估必须在用户登录后开展，而非仅在登录环节执行。”他表示。索比指出，当前许多成功的网络攻击均发生在身份认证之后，若无法对应用内部行为实现可视管控，仅靠基础身份核验与设备状态评估，能提供的防护能力十分有限。 该指南借鉴了美国第 14028 号行政令下出台的多项成熟框架，包括美国国家标准与技术研究院特别出版物 800-207、美国网络安全与基础设施安全局零信任成熟度模型 2.0 版本及美国战争部零信任参考架构。美国国家安全局与美国战争部首席信息官紧密协作制定该指南，将 152 项零信任相关行动梳理整合为结构化的实施阶段。 然而，索比也警告称，但索比警示，当前许多组织对零信任仍存在误用，仅过度聚焦网络访问管控这单一维度，若将零信任网络访问等同于完整的零信任解决方案，会忽略应用自身的访问决策制定与执行逻辑。 他表示：“任何零信任架构，若将应用策略决策点的可视性与管控能力排除在外，不仅实施成本高昂，防护效果也会严重不足。” 美国国家安全局表示，当前版本指南旨在帮助专业技术人员推动组织达成目标级零信任成熟度，未来或还将推出更多高级阶段的实施内容。     消息来源:infosecurity-magazine： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究人员在 OpenClaw（曾用名 Clawdbot 和 Moltbot）中发现一个高危安全漏洞，攻击者可通过特制恶意链接实现远程代码执行（RCE）。 该漏洞编号为 CVE-2026-25253（CVSS 评分：8.8），已于 2026 年 1 月 30 日发布的 2026.1.29 版本中修复。该漏洞被定义为令牌窃取漏洞，可导致网关被完全攻陷。 OpenClaw 创建者兼维护者 Peter Steinberger 在安全公告中表示：“控制界面会信任查询字符串中的 gatewayUrl 参数且不做验证，加载时自动建立连接，并在 WebSocket 连接载荷中发送存储的网关令牌。” “点击特制恶意链接或访问恶意网站，会将该令牌发送至攻击者控制的服务器。攻击者随后可连接受害者本地网关，修改配置（沙箱、工具策略），调用特权操作，最终实现一键远程代码执行。” OpenClaw 是一款开源自主人工智能个人助手，可在用户设备本地运行，且能与多款即时通讯平台集成。该工具虽于 2025 年 11 月首次发布，但近几周热度快速攀升，截至本文撰写时，其 GitHub 代码仓库星标数已突破 14.9 万。 Steinberger 介绍称：“OpenClaw 是一款开源智能体平台，可部署在你的设备上，且能通过你日常使用的聊天应用运行。与数据存储在他人服务器的软件即服务（SaaS）类助手不同，OpenClaw 可部署在你指定的设备上 —— 笔记本电脑、家庭实验室服务器或虚拟专用服务器，你的基础设施、你的密钥、你的数据，全程由你掌控。” 此漏洞的发现者、depthfirst 创始安全研究员 Mav Levin 指出，攻击者可借此构造一键 RCE 利用链，受害者仅需访问一次恶意网页，攻击过程即可在数毫秒内完成。 核心问题在于，OpenClaw 服务器未验证 WebSocket 来源请求头，点击恶意网页链接即可触发跨站 WebSocket 劫持攻击。这导致服务器会接受任意网站的请求，直接绕过本地环路网络限制。 恶意网页可利用该漏洞，在受害者浏览器中执行客户端 JavaScript 脚本，获取身份验证令牌、与服务器建立 WebSocket 连接，再通过窃取的令牌绕过身份验证，登录受害者的 OpenClaw 实例。 更严重的是，攻击者可利用令牌拥有的 operator.admin 和 operator.approvals 特权权限，通过 API 将 “exec.approvals.set” 设为 “off” 关闭用户确认机制，同时将 “tools.exec.host” 设为 “gateway”，突破运行 shell 工具的容器隔离。 Levin 解释道：“这会强制智能体直接在宿主设备上执行命令，而非在 Docker 容器内运行。最终，攻击者通过 JavaScript 执行 node.invoke 请求，实现任意命令执行。” 当被问及 OpenClaw 通过 API 管理安全功能是否存在架构缺陷时，Levin 在邮件中表示：“这些防护机制（沙箱、安全防护壁垒）的设计初衷，是抵御大语言模型因提示注入等问题产生的恶意行为。用户可能以为这些机制能保护其免受此漏洞影响（或限制危害范围），但实际并非如此。” Steinberger 在安全公告中指出：“即便 OpenClaw 实例配置为仅监听本地环路，该漏洞仍可被利用，因为出站连接由受害者的浏览器发起。” “任何用户已通过控制界面完成认证的 Moltbot 部署均会受到影响。攻击者将获得网关 API 的操作员级访问权限，从而能够任意修改配置并在网关主机上执行代码。即使网关绑定于环回地址，攻击依然有效，因为受害者的浏览器充当了中间桥梁。” 消息来源: thehackernews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个此前未知、名为Punishing Owl的黑客组织近期浮出水面，正对俄罗斯政府安全机构发起技术复杂的网络攻击。 该组织于 2025 年 12 月 12 日首次公开活动，当日宣布已成功入侵俄罗斯某政府安全机构的网络。 攻击者将窃取的内部文件发布至数据泄露平台，并在 Mega.nz 存储仓库中备份相关文件，以此实现网络入侵事件曝光度最大化的目的。 该组织采用多种攻击手段，扩大此次行动的影响力。在取得受害者 DNS 配置的控制权后，Punishing Owl 创建了一个子域名并修改了 DNS 记录，将相关流量劫持至一台位于巴西的服务器。 该服务器不仅托管了窃取的文件，还附带了一份阐述其攻击动机的政治声明。 攻击者特意选择周五晚 6 点 37 分宣布入侵事件，该时间点经精心测算，可拖延受害者响应进度，同时让自身攻击行动获得最大曝光度。 在完成初步入侵后，该组织进一步对受害机构的合作伙伴与承包商发起了商业电子邮件欺诈（BEC）攻击。 据 Habr 分析师调查发现，Punishing Owl 利用位于巴西的服务器，并使用在受害者邮件域名下伪造的发件地址发送了钓鱼邮件。 这些钓鱼邮件谎称是对网络入侵事件的核实通知，并附带紧急要求，催促收件人查看附件文档。 尽管是新近出现的组织，但其攻击基础设施展现出相当的技术水准。Punishing Owl 配置了伪造的 TLS 证书，搭建了用于邮件收发的 IMAP 和 SMTP 服务，并部署了名为 ZipWhisper 的 PowerShell 窃密木马，用以从受感染系统中盗取浏览器凭证。 恶意邮件中包含带密码保护的 ZIP 压缩包，包内藏有伪装的 LNK 快捷方式文件，该文件会执行 PowerShell 命令，从 bloggoversikten [.] com 域名下的命令与控制服务器下载窃取器。 感染机制与凭证窃取过程 ZipWhisper 窃取器通过多阶段感染流程运作，核心目标是从受入侵主机中提取敏感浏览器数据。 当受害者打开伪装的 LNK 文件时，它会静默执行 PowerShell 命令，从攻击者架设的服务器下载窃密木马的有效载荷。 随后该恶意软件会收集存储浏览器凭证、Cookie 及保存密码的相关文件，将其打包为 ZIP 压缩包，压缩包命名遵循特定规则，包含受害者用户名及文件分块编号。 这些压缩包会先临时存储在系统 AppData/Local/Temp 目录下，再通过自定义端点结构上传至命令与控制服务器。 对窃取器代码的分析显示，代码注释表明其部分恶意脚本可能由 AI 工具生成，这意味着该组织或在借助现代开发技术，加速针对俄罗斯关键基础设施目标的攻击行动推进。     消息来源:cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文