Aggregator

错误代码521通常由Cloudflare触发，表示服务器在预设时间内未响应请求。常见原因包括服务器配置问题、网络延迟或过载。解决方法包括检查服务器设置、优化应用程序性能、重启服务或联系Hosting提供商排查网络问题。

HackerNews 编译，转载请注明出处： Meta旗下社交网络平台Facebook正要求用户上传手机相册照片，通过人工智能（AI）技术生成拼贴画、内容回顾及其他创意建议，包括用户从未直接上传至服务的照片。据TechCrunch首发报道，用户尝试在Facebook创建新故事（Story）时，会收到弹出消息请求授权“允许云端处理”。 弹窗声明称：“为提供创意建议，我们将根据时间、地点或主题等信息，持续从您的相册选择媒体内容上传至云端。仅您本人可见建议内容，您的媒体文件不会用于广告定位。我们将基于安全性与完整性原则进行审核。”若用户同意照片云端处理，即视为接受Meta的AI条款——该条款允许公司分析用户媒体文件及面部特征。 Meta在帮助页面说明“该功能尚未全面开放”，目前仅限美加用户使用，并向TechCrunch强调该AI功能为选择性加入，用户可随时关闭。这再次印证科技公司在产品中竞相整合AI功能时，常以用户隐私为代价。 Meta称新AI功能不会用于定向广告，但专家仍存疑虑：用户即使同意上传私人照片视频，其数据存储时限与访问权限仍不明确。云端处理过程存在风险，尤其涉及面部识别及时间地点等隐藏信息。此类数据即便不用于广告，仍可能进入训练数据集或用于构建用户画像——如同将相册交给算法，使其持续学习用户习惯、偏好与行为模式。 上月，Meta在获得爱尔兰数据保护委员会（DPC）批准后，开始使用欧盟境内成年用户公开数据训练AI模型。2024年7月，该公司因巴西政府隐私担忧暂停生成式AI工具运营。该社交巨头还在WhatsApp新增AI功能，最新推出的是通过“隐私优先处理”（Private Processing）技术汇总未读消息。 这属于生成式AI大趋势的一部分：科技公司将便利性与追踪技术捆绑。自动拼贴或智能故事建议看似实用，实则依赖监控设备使用行为的AI系统（不限于应用内）。因此隐私设置、明确授权及数据收集限制比以往更为关键。         消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

错误代码521表示客户端连接超时或被重置，通常由网络问题或服务器配置导致。常见原因包括本地网络故障、防火墙设置不当或ISP限制。建议检查网络连接、重启路由器或联系ISP以解决问题。

HackerNews 编译，转载请注明出处： 美国联邦调查局（FBI）披露，臭名昭著的网络犯罪组织Scattered Spider已将其攻击范围扩大至航空业。为此，该机构正积极联合航空业及行业合作伙伴共同打击此类活动并协助受害者。 FBI在社交媒体平台X上发布声明称：“该组织依赖社会工程学技术，通常冒充员工或承包商欺骗IT服务台以获取访问权限。这些技术常涉及绕过多因素认证（MFA）的方法，例如诱使服务台人员在受感染账户中添加未经授权的MFA设备。” Scattered Spider的攻击还以第三方IT供应商为目标获取大型机构访问权限，使得可信供应商和承包商面临潜在攻击风险。此类攻击通常为数据窃取、勒索和勒索软件攻击铺平道路。 Palo Alto Networks旗下Unit 42的研究员Sam Rubin在LinkedIn确认该威胁组织针对航空业的攻击，敦促各机构对高级社会工程学尝试和可疑的MFA重置请求保持“高度警惕”。 谷歌旗下Mandiant公司近期曾警告Scattered Spider瞄准美国保险业，此次也呼应了该警报，表示已察觉多起手法与该黑客组织作案模式相似的航空运输业安全事件。Mandiant的Charles Carmakal建议：“行业应立即采取措施，在向员工/承包商账户添加新电话号码（可能被威胁分子用于自助密码重置）、重置密码、向MFA解决方案添加设备或提供员工信息（如员工ID）前，严格加强服务台身份验证流程。” Scattered Spider持续得逞的关键在于其对人类工作流程的深度理解。即使存在MFA等技术防御措施，该组织仍专注于系统背后的人员——他们深知服务台员工也可能被精心编造的故事蒙蔽。这并非暴力破解，而是通过短暂建立信任实施渗透。在时间紧迫或压力较大时，伪造的员工请求极易蒙混过关。因此各机构需超越传统端点安全策略，重新评估实时身份验证机制。 该组织活动与Muddled Libra、Octo Tempest、Oktapus、Scatter Swine、Star Fraud及UNC3944等威胁集群存在重叠。该组织最初以SIM卡交换攻击闻名，其初始入侵手段涵盖社会工程学、服务台钓鱼和内部访问等技术，专门渗透混合环境。安全公司Halcyon指出：“Scattered Spider代表着勒索软件风险的重大演变，融合了深层社会工程学、多层次技术复杂性和快速双重勒索能力。该组织能在数小时内突破防御、建立持久访问、窃取敏感数据、禁用恢复机制，并在本地和云环境中引爆勒索软件。” 真正使其具备高度危险性的是其“耐心策划与突然发难”的组合策略。Scattered Spider不仅依赖窃取凭证，更投入大量时间收集目标情报，常结合社交媒体研究和公开泄露数据实施精准身份冒充。此类混合威胁融合商业邮件入侵（BEC）技术与云基础设施破坏手段，具有极强的隐蔽性。 该组织隶属于名为“The Com”（又名Comm）的无定型集体，其中亦包含LAPSUS$等组织。据评估其至少自2021年便开始活跃。Unit 42分析称：“该组织在Discord和Telegram通信平台中发展壮大，吸纳了不同背景和需求的成员。其松散的流动性结构导致破坏行动存在固有难度。” ReliaQuest上周五发布的报告详细披露了Scattered Spider上月末针对某未具名机构的攻击：通过锁定首席财务官（CFO），冒充其致电IT服务台，诱骗工作人员重置与该账户绑定的MFA设备和凭证。攻击者还利用侦察阶段获取的CFO出生日期和社会安全号码后四位，在公司公共登录门户完成身份验证，最终确认员工ID有效性。报告强调：“Scattered Spider偏爱高管账户的两大主因在于：此类账户通常权限过高，且相关IT服务台请求常被紧急处理——这大幅提高了社会工程的成功率。获取这些账户意味着通向核心系统的捷径，使侦察成为其定制化攻击计划的基石。” 掌握CFO账户权限后，攻击者展示了其快速适应和升级攻击的能力： 执行Entra ID枚举，扫描特权账户、特权组和服务主体以提升权限 搜索SharePoint敏感文件及协作资源，深度解析目标机构工作流程与IT/云架构 利用窃取的CFO凭证渗透Horizon虚拟桌面设施（VDI），通过社会工程学控制两个新增账户 入侵机构VPN基础设施以确保对内部资源的持续访问 重新启用已停用虚拟机（VM）并创建新VM，借此关闭虚拟化生产域控制器，提取NTDS.dit数据库文件 利用提升的权限破解CyberArk密码库，获取超1400项机密信息 通过特权账户推进入侵（包括向受控账户分配管理员角色） 使用ngrok等合法工具在控制虚拟机中建立持久访问 在行踪暴露后启动”焦土策略”：蓄意删除Azure防火墙策略规则集合以破坏正常业务运营 这反映出社会工程学攻击已演变为成熟的“身份威胁战役”——攻击者凭借详尽的战术手册突破层层防御。从SIM卡交换、语音钓鱼到权限提升，Scattered Spider展示了攻击路径畅通时的极速行动力。对多数企业而言，首要措施并非采购新工具，而是收紧内部流程（特别是服务台审批和账户恢复机制）。安全研究员Alexa Feminella与James Xiang指出：“Scattered Spider的初始入侵手段暴露了众多机构的关键弱点：过度依赖以人为中心的身份验证流程。该组织通过武器化信任绕过了强大的技术防御，证明攻击者可轻易操纵既定流程达成目标。这一漏洞凸显企业亟需重新评估并强化身份验证协议，降低人为失误成为攻击入口的风险。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

微软声称 Windows 11 比 Windows 10 快 2.3 倍，但实际测试使用了搭载不同代处理器的设备进行对比，并非在同一台电脑上测试。这种做法导致结果存在争议。

部分机场开始对移动电源进行3C认证检查并贴标。通过检查的移动电源将被贴上绿色贴纸允许登机,未通过的则被贴上红色贴纸禁止登机。这些贴纸难以撕掉且撕后留有残胶。此外,由于行业问题导致部分移动电源存在安全隐患,大量设备在机场被丢弃。

Chinese Surveillance Firm Faces Canada National Security Ban
Chinese video surveillance manufacturer Hikvision must close operations in Canada, a government official said Friday, citing national security concerns. The ban is the latest in a string of Western prohibitions against equipment made by partially state-owned Hangzhou Hikvision Digital Technology.

民航局新规仅针对充电宝，相机锂电池安检要求不变；微软计划移除Windows内核第三方杀毒软件；苹果调整欧盟App Store规则；任天堂就Switch 2供货不足致歉；美国作家联名抵制AI出版物；OpenAI回应Meta高薪挖人。

最近在做渗透测试，遇到了五花八门的数据包加密情况，很影响测试进度（主要是不会JS）。目前AI的能力越来越强，

当前环境出现异常状态，用户需完成验证流程后方可继续访问。

当前环境出现异常，需完成验证后方可继续访问。

当前环境异常，需完成验证后继续访问。

当前环境异常，请完成验证后继续访问。

安克创新在国际市场第二次召回五款存在过热风险的移动电源，原因系电芯供应商擅自变更绝缘材料。用户可选择更换新设备或获礼品卡，需自行妥善处理旧品。

jxscout is a tool designed to help security researchers analyze and find vulnerabilities in JavaScript code. It works with your favorite proxy (Burp or Caido), capturing requests and saving optimized versions locally for easy analysis...

The post Jxscout: Unleash JavaScript’s Hidden Vulnerabilities with This Powerful Analysis Tool appeared first on Penetration Testing Tools.

马斯克公布脑机接口最新进展，受试者有望用意念操控人形机器人； 任天堂就 Switch 2 游戏机供货不足道歉，称公司未能充分预估机型首发需求； 古尔曼确认苹果 iOS 26 隐藏功能：AirPods 实时翻译等

当前环境异常，需完成验证后方可继续访问。