Aggregator

A vulnerability, which was classified as critical, was found in Achat Chat Server 0.150. Affected is an unknown function of the component Message Handler. The manipulation leads to stack-based buffer overflow. This vulnerability is traded as CVE-2025-34127. It is possible to launch the attack remotely. Furthermore, there is an exploit available.

A vulnerability, which was classified as critical, has been found in Merit Lilin DVR. This issue affects some unknown processing of the file /z/zbin/dvr_box of the component NTPUpdate Configuration. The manipulation leads to os command injection. The identification of this vulnerability is CVE-2025-34132. The attack may be initiated remotely. There is no exploit available. It is recommended to upgrade the affected component.

A vulnerability classified as critical was found in Merit Lilin DVR. This vulnerability affects unknown code of the file /z/zbin/net_html.cgi. The manipulation leads to missing authentication. This vulnerability was named CVE-2025-34130. The attack can be initiated remotely. There is no exploit available. It is recommended to upgrade the affected component.

A vulnerability classified as critical has been found in LimeSurvey up to 2.06. This affects an unknown part of the file index.php/admin/update/sa/backup of the component Admin Backup endpoint. The manipulation leads to path traversal. This vulnerability is uniquely identified as CVE-2025-34120. It is possible to initiate the attack remotely. There is no exploit available.

作者：知道创宇404实验室 时间：2025年7月16日 2025年6月17日，Citrix 官方公开修复了两个 CVE 漏洞：CVE-2025-5349和CVE-2025-5777。其中，CVE-2025-5349漏洞的CVSS v4.0 评分为8.7，CVE-2025-5777漏洞的 CVSS v4.0 评分为9.3。 本篇文章将对CVE-2025-5777漏洞的成因进行分析。 简述 官方...

A vulnerability was found in D-Link DSP-W110A1 1.05B01. It has been rated as critical. Affected by this issue is some unknown functionality of the component Cookie Handler. The manipulation leads to os command injection. This vulnerability is handled as CVE-2025-34125. The attack may be launched remotely. Furthermore, there is an exploit available.

A vulnerability was found in RIPS Scanner 0.54. It has been declared as critical. Affected by this vulnerability is an unknown functionality of the file windows/code.php. The manipulation of the argument File leads to path traversal. This vulnerability is known as CVE-2025-34126. The attack can be launched remotely. Furthermore, there is an exploit available.

A vulnerability was found in Merit Lilin DVR. It has been classified as critical. Affected is an unknown function of the component Configuration Interface. The manipulation leads to os command injection. This vulnerability is traded as CVE-2025-34129. It is possible to launch the attack remotely. There is no exploit available. It is recommended to upgrade the affected component.

A vulnerability was found in Idera Up.Time Monitoring Station up to 7.2 and classified as critical. This issue affects some unknown processing of the file wizards/post2file.php. The manipulation leads to unrestricted upload. The identification of this vulnerability is CVE-2025-34121. The attack may be initiated remotely. Furthermore, there is an exploit available.

HackerNews 编译，转载请注明出处： Fitify公开可访问的谷歌云存储桶暴露了数十万个文件。其中部分文件是用户上传的进度照片，用于追踪身体随时间的变化。在Cybernews联系该公司后，未受保护的实例被关闭。 5月初，Cybernews研究团队发现了一个Fitify拥有且公开可访问的谷歌云存储桶。虽然该未受保护实例中暴露的大部分文件是锻炼计划和指导视频，但研究人员也注意到用户与应用的“AI教练”分享的照片以及他们的身体扫描图。 该应用的目标用户是希望减肥、塑形或以其他方式改善体态的人群。身体扫描允许用户根据健身计划锻炼或节食后追踪身体随时间的变化。Fitify在Google应用商店的描述中明确声明“数据在传输中加密”，向用户保证他们的私人照片不会被泄露。 然而，Cybernews团队或任何其他人，无需任何密码或安全密钥即可访问该云存储。 “值得注意的是，‘进度照片’和‘身体扫描’通常穿着较少的衣物拍摄，以便更好地展示减肥和增肌的进展。因此，大多数泄露的图像可能是用户通常希望保持私密、不与互联网上任何人分享的类型。”研究团队表示。 Fitify Workouts（该应用背后的公司）在收到Cybernews研究人员的联系后作出回应，关闭了暴露的实例，将其从公开访问中移除。 Fitify数据泄露的范围有多大？ 现已关闭的谷歌云存储桶总共包含37.3万个文件。其中20.6万是用户个人资料照片，另有13.8万被标记为进度照片。1.3万个文件是通过应用AI教练消息附件共享的，还有6000个被标记为“身体扫描”数据，包括图片和AI元数据。 身体扫描功能允许用户进行身体的3D扫描，应用会提供其瘦体重、体脂、姿势及其他他们可能希望改善或追踪方面的详细分析。 “此次泄露表明，应用实施的数据访问控制不足以保护用户数据，而该数据无需任何密码或密钥即可被访问的事实，证明用户数据在静态时未加密。”研究团队解释道。 在发现暴露的实例后，研究人员交叉核对了Fitify的名称是否包含在他们用来调查苹果应用商店应用实际安全性的随机选取数据集中。 Cybernews研究人员下载了15.6万个iOS应用（约占苹果应用商店所有应用的8%），发现开发者经常在应用代码中留下任何人都可访问的明文凭证。 调查结果显示，71%的被分析应用至少泄露一个机密凭证，平均每个应用代码暴露5.2个机密凭证。事实证明，Fitify也不例外。 “在调查了暴露的凭证后，我们发现了可能用于访问更多客户数据和应用后端基础设施的凭证。”该团队解释道。 “这也表明，配置错误的云存储桶访问控制并非应用开发者的唯一失误，因为许多API密钥和敏感端点位置也被硬编码在应用前端中。” Fitify应用暴露了哪些硬编码机密凭证？ 开发者硬编码机密凭证有多种原因。虽然有时是应用正常运行所必需的，但某些凭证和密钥不应保持可访问状态，因为它们会让攻击者深入应用内部，并可能访问私人用户数据。 研究团队注意到开发环境和生产环境之间存在不同类型的机密凭证。Fitify的开发环境暴露了以下硬编码凭证： 安卓客户端ID (Android Client ID) 谷歌客户端ID (Google Client ID) 谷歌API密钥 (Google API Key) Firebase URL 谷歌应用ID (Google App ID) 项目ID (Project ID) 存储桶 (Storage Bucket) 攻击者可以利用ID和密钥访问谷歌和Firebase基础设施组件，收集信息，然后深入挖掘应用，可能获取敏感用户数据。 例如，暴露谷歌客户端ID和安卓客户端ID可能使恶意行为者能够冒充合法的应用实例，从而可能获得用户账户的访问权限。同时，存储桶可能使攻击者能够注入恶意文件或修改现有内容。 与此同时，Fitify的生产环境暴露了以下硬编码凭证： 安卓客户端ID (Android Client ID) 谷歌客户端ID (Google Client ID) 谷歌API密钥 (Google API Key) Firebase URL 谷歌应用ID (Google App ID) 项目ID (Project ID) 存储桶 (Storage Bucket) Facebook应用ID (Facebook App ID) Facebook客户端令牌 (Facebook Client Token) Firebase动态自定义域名 (Firebase Dynamic Custom Domains) Algolia API密钥 (Algolia API Key) 结合先前泄露的信息，硬编码的凭证可能使攻击者能够通过Fitify访问用户的社交媒体数据。与谷歌凭证结合使用，这为影响健身数据和社交媒体档案的多种攻击场景创造了多个攻击途径。 该团队声称，虽然Fitify在解释他们使用的第三方供应商及其用途方面比大多数应用做得更好，但其隐私政策并未提及使用Algolia。 “Algolia仅以软件即服务（SaaS）模式提供，没有自托管选项，这意味着数据库中的数据由Algolia或其第三方供应商托管。”研究人员表示。 如何修复易泄露的应用？ 我们的研究人员认为，要有效缓解此问题，最好分别处理暴露的实例和硬编码的凭证。为了解决云存储桶相关问题，团队建议： 配置云存储桶内置的身份验证功能，将访问权限限制在仅限应访问存储数据的员工和系统。 同时，为防止应用机密凭证落入错误的人手中，团队建议采取以下措施： 泄露的凭证需要撤销，新凭证应在公司控制的服务器内安全地生成和存储，需要对暴露端点的访问控制设置进行审查，并建议执行审计以确定这些漏洞和错误配置是否已被恶意行为者利用。应用需要更新以兼容新的、更安全的基础设施。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 由欧洲刑警组织和欧洲司法组织协调的一项国际行动，打击了名为 “NoName057(16)” 的亲俄网络犯罪团伙。这项名为 “Eastwood” 的行动，捣毁了由全球 100 多个计算机系统组成的攻击基础设施，该团伙的主要服务器基础设施也被下线。 行动于 2025 年 7 月 14 日至 17 日期间开展。此次行动的成果还包括在法国和西班牙实施逮捕，签发 7 份逮捕令，进行 24 次住宅搜查，讯问 13 人。另有 5 人被列入欧盟 “头号通缉犯” 名单。 其中两名居住在俄罗斯联邦的人员被指控为 “NoName057(16)” 活动的主要煽动者。德国当局已对这两人及另外四人签发逮捕令。 行动期间，欧洲刑警组织在其总部设立了协调中心，有法国、德国、西班牙、荷兰和欧洲司法组织的代表参与，并启用虚拟指挥站，将其他参与国与协调中心相连。 欧洲司法组织则协助有关部门协调司法活动，并在行动日期间规划各自的措施。 “NoName057(16)” 的参与者主要是讲俄语的支持者，他们使用自动化工具实施分布式拒绝服务（DDoS）攻击。 欧洲刑警组织称，该团伙没有正式的领导架构，技术水平也不高，其行动动机源于意识形态和报酬。该团伙与多起 DDoS 攻击有关联，还构建了自己的僵尸网络，由数百台服务器组成，能够增强攻击强度。 欧洲刑警组织表示，该团伙估计有 4000 名支持者，这些人通过亲俄渠道、论坛以及社交媒体和即时通讯应用上的小众聊天群组招募而来。 该团伙还通过这些渠道分享行动信息、教程和最新动态。像 “DDoSia” 这样的平台被用来简化技术流程并提供指导，让新成员能快速投入行动。 “NoName057(16)” 的攻击者以加密货币获取报酬，志愿者还会收到类似游戏的参与通知，比如排行榜、定期点名和徽章等。 欧洲刑警组织称，这种游戏化的操控手段常针对年轻违法者，其背后的叙事 —— 如保卫俄罗斯或报复政治事件 —— 进一步强化了这种情感驱动。 该网络犯罪团伙最初主要以乌克兰为攻击目标。但欧洲刑警组织指出，他们后来也开始攻击那些在俄乌冲突中支持乌克兰的国家。 2023 年至 2024 年，该犯罪团伙参与了对瑞典当局和银行网站的攻击。 自 2023 年 11 月欧洲刑警组织启动调查以来，德国遭遇了 14 波攻击，波及 250 多家企业和机构。 2023 年 6 月，乌克兰向瑞士联合议会发表视频讲话期间，以及 2024 年 6 月在比尔根山举行乌克兰和平峰会期间，瑞士都遭到了多起来自该团伙的攻击。 荷兰当局也证实，2025 年 6 月在荷兰举行的北约峰会期间，发生了一起与该网络有关的攻击。这些攻击均被成功化解，未造成重大中断。 2025 年 7 月的这次行动，有捷克、法国、德国、意大利、立陶宛、波兰、西班牙、瑞典、瑞士、荷兰和美国的执法及司法部门参与。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 安全研究人员近日发现针对香港金融机构的新型恶意软件攻击浪潮，其核心是名为 SquidLoader 的加载器。该隐蔽加载器会部署 Cobalt Strike Beacon，并拥有先进的抗分析策略。 Trellix 的安全研究人员在周一发布的最新报告中指出，该恶意软件被发现能规避几乎所有检测手段，对目标受害者构成极大威胁。 高度规避的多阶段攻击链 SquidLoader 攻击活动始于鱼叉式钓鱼邮件。这些用普通话编写的邮件冒充金融机构，内含伪装成发票的带密码保护的 RAR 压缩包。 用户打开压缩包后，会发现一个伪装成 Microsoft Word 文档的恶意 PE 二进制文件。该文件在视觉上具有欺骗性，同时模仿合法的 “AMDRSServ.exe” 程序以增强社会工程效果。 一旦被执行，SquidLoader 便会嵌入系统并启动多阶段感染过程： 自我解包以解密其内部负载 通过混淆代码动态解析关键的 Windows API 初始化一个基于堆栈的自定义结构来存储操作数据 执行各种规避例程，旨在绕过沙箱、调试器和防病毒工具 联系远程命令控制 (C2) 服务器并下载 Cobalt Strike Beacon 广泛的抗分析与规避特性 SquidLoader 的一个显著特点是其广泛的抗分析策略。它利用环境检查、字符串混淆、控制流混淆和未公开的 Windows 系统调用来隐藏自身。如果检测到任何已知的分析工具或防病毒进程（包括 “windbg.exe”、“ida64.exe” 和 “MsMpEng.exe”），该恶意软件会自行终止。 为了绕过模拟器和自动化沙箱，SquidLoader 启动具有长时间睡眠的线程，并采用异步过程调用来监控异常行为。如果任何检查失败或系统显示调试迹象，恶意软件将退出。 另一种策略是显示一条中文假错误信息：“文件损坏无法打开”，这需要用户交互，进一步阻碍自动化分析。 通过这些检查后，SquidLoader 会使用模仿 Kubernetes 服务路径的 URL 联系 C2 服务器，可能是为了混入正常的企业流量中。随后，它会收集并传输主机数据，包括用户名、IP 地址、操作系统版本和管理员状态。 最后，它从一个次级 IP 地址下载 Cobalt Strike Beacon，为攻击者提供持久的远程访问权限。 该攻击活动在地域上集中于香港的机构。然而，类似样本表明相关攻击可能也在新加坡和澳大利亚进行。 为防御诸如 SquidLoader 等威胁，组织应考虑加强电子邮件过滤、端点监控和行为分析能力。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员近日发出警告，一种名为Matanbuchus的知名恶意软件加载器出现新变种，其新增多项功能显著增强隐蔽性以规避检测。 Matanbuchus是一种恶意软件即服务（MaaS），可作为传递后续攻击载荷的渠道，包括Cobalt Strike信标和勒索软件。该恶意软件自2021年2月起在俄语网络犯罪论坛以2500美元租用价格公开推广，曾被用于类似ClickFix的诱导攻击——通过诱骗用户访问遭入侵的合法网站触发恶意行为。 该加载器的独特之处在于其传播方式：通常不通过垃圾邮件或路过式下载扩散，而是采用直接交互式社会工程学手段，由攻击者直接欺骗用户执行。某些情况下，它被初始访问经纪人用于向勒索团伙出售企业网络入口，这种针对性部署使其比普通商业化加载器更具威胁。 据Morphisec分析，新版加载器（追踪为Matanbuchus 3.0）具备多项新特性： 改进的通信协议技术 内存操作能力增强 混淆技术升级 支持CMD与PowerShell反向Shell 可运行DLL、EXE及Shellcode等后续载荷 本月初观察到一起攻击案例：某企业员工收到伪装成IT服务台的微软Teams外部通话，攻击者诱骗其启动Quick Assist获取远程访问权限，最终通过PowerShell脚本部署Matanbuchus。值得注意的是，类似社工手段曾被Black Basta勒索组织使用。 “受害者被精准定位并诱骗执行脚本，该脚本触发下载含恶意载荷的压缩包”Morphisec首席技术官Michael Gorelik解释，“压缩包内包含重命名的Notepad++更新程序(GUP)、篡改的XML配置文件及用于侧加载的Matanbuchus恶意DLL”。 Matanbuchus 3.0当前公开租用价格为：HTTPS版本每月1万美元，DNS版本每月1.5万美元。恶意软件启动后执行以下操作： 收集系统信息并扫描运行进程以识别安全工具 检测进程权限状态（是否以管理员身份运行） 将信息发送至C2服务器获取MSI安装包或可执行文件等后续载荷 通过创建计划任务实现持久化驻留 “开发者采用高阶技术实现任务调度：通过COM组件交互注入Shellcode”Gorelik进一步说明，“该Shellcode实现了基础的API解析（字符串比对）及操纵ITaskService的复杂COM执行流程”。 C2服务器还可远程触发加载器功能以： 收集所有运行中的进程和服务列表 获取已安装应用程序清单 “Matanbuchus 3.0已进化为高度复杂的威胁”Gorelik总结道，“新版具备先进的通信协议、内存隐身技术、强化混淆能力，并支持WQL查询及CMD/PowerShell反向Shell。其通过regsvr32、rundll32、msiexec或进程镂空执行命令的多功能特性，大幅提升被入侵系统的风险等级”。 随着恶意软件即服务模式的演进，Matanbuchus 3.0体现了当前加载器的发展趋势：优先采用无文件攻击（LOLBins）、COM对象劫持和PowerShell分阶段加载等隐身技术规避检测。威胁研究人员正加紧将这些加载器纳入攻击面管理策略，并追踪其通过Microsoft Teams、Zoom等企业协作工具实施的滥用行为。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

一个开放的黑客社区，帮助新手成长为资深地下技能专家，提供问答和学习资源，并通过Discord进行交流。

文章介绍了一种在支持柴油和汽油的加油泵上省钱的技巧：使用预付卡或礼品卡支付后，在加油时快速交替按柴油和汽油按钮，导致泵计费混乱，最终只需支付少量费用即可加满油。该技巧适用于多种品牌加油站，并被部分司机广泛使用。

A vulnerability was found in IP Encapsulation within IP and classified as critical. Affected by this issue is some unknown functionality. The manipulation leads to authentication bypass by spoofing. This vulnerability is handled as CVE-2020-10136. The attack may be launched remotely. There is no exploit available.

A vulnerability classified as critical was found in IETF IPv6. This vulnerability affects unknown code of the component Pv4-in-IPv6 Tunneling/IPv6-in-IPv6 Tunneling. The manipulation leads to improper verification of source of a communication channel. This vulnerability was named CVE-2025-23018. The attack can be initiated remotely. There is no exploit available. This vulnerability has a historic impact due to its background and reception.