In this Help Net Security video, Carol Lee Hobson, CISO at PayNearMe, explores the realities behind the so-called cybersecurity “talent gap.” She explains why the issue is as much about hiring practices as it is about skills shortages, and offers practical strategies for closing both gaps, including aligning compensation, creating entry-level pathways, and retaining talent through better development, flexibility, and support. Hobson also shares her optimism about the growing diversity in cybersecurity and the importance … More →
The post Why cybersecurity hiring feels so hard right now appeared first on Help Net Security.
A new tool called DefenderWrite exploits whitelisted Windows programs to bypass protections and write arbitrary files into antivirus executable folders, potentially enabling malware persistence and evasion. Developed by cybersecurity expert Two Seven One Three, the tool demonstrates a novel technique for penetration testers and red teams to drop payloads in highly protected locations without needing […]
The post New DefenderWrite Tool Let Attackers Inject Malicious DLLs into AV Executable Folders appeared first on Cyber Security News.
OpenAI’s Sora 2 is here — and it’s not just another AI toy. This episode explores how Sora 2 works, how users can insert almost anything into generated content, and why that’s raising alarms about privacy, identity, and copyright. We walk you through the initial opt-out copyright controversy, the backlash from studios and creators, and […]
The post Is Sora 2 the Future of Video? AI, Copyright, and Privacy Issues appeared first on Shared Security Podcast.
The post Is Sora 2 the Future of Video? AI, Copyright, and Privacy Issues appeared first on Security Boulevard.
Most MSPs agree that Microsoft 365 is now the backbone of business operations, but a Syncro survey shows that complexity, incomplete backups, and reactive security continue to slow their progress in managing it. About 60% of MSPs said Microsoft 365 powers more than 80% of their client base. This concentration has made Microsoft’s ecosystem central to service delivery, but it also exposes gaps in how MSPs manage data, identity, and security across multiple tenants. Operational … More →
The post Inside the messy reality of Microsoft 365 management appeared first on Help Net Security.
一款名为“Pixnapping”的新型侧信道攻击近期频繁出现，恶意安卓应用无需获取任何权限，即可通过窃取其他应用或网页显示的像素、重构像素内容来提取敏感数据。
这些数据可能包括各类高敏感私人信息，例如加密通信应用Signal的聊天记录、Gmail邮件内容，以及谷歌身份验证器生成的双因素认证验证码。
一、攻击核心特点：适配全补丁安卓设备，30秒可窃取2FA码
该攻击由7名美国大学研究人员设计并验证，即便在安装了所有安全补丁的现代安卓设备上仍能生效，且窃取2FA验证码的时间可缩短至30秒以内。
谷歌曾试图在9月的安卓系统更新中修复该漏洞（漏洞编号CVE-2025-48561），但研究人员成功绕过了这一防护措施。目前，有效的修复方案预计将在2025年12月的安卓安全更新中推出。
二、Pixnapping攻击原理：借SurfaceFlinger机制与GPU漏洞提取像素
1. 攻击执行流程
攻击始于恶意应用滥用安卓的“意图（intents）系统”，启动目标应用或网页——此时目标窗口会被提交至系统的“合成进程”，该进程的作用是将多个同时显示的窗口合并渲染。
下一步，恶意应用会定位目标像素（例如构成2FA验证码数字的像素），并通过多次图形操作判断这些像素是“白色”还是“非白色”。
研究人员通过启动“遮罩活动”实现单个像素隔离：该遮罩活动处于前台，遮挡目标应用，同时将遮罩窗口设置为“除攻击者选定位置的像素为透明外，其余均为不透明白色”，从而单独暴露目标像素。
在攻击过程中，恶意应用会放大隔离后的像素——这一操作利用了SurfaceFlinger实现模糊效果时的“特性缺陷”，该缺陷会产生类似“拉伸”的效果，便于像素识别。
模糊的 1x1 子区域拉伸成更大的彩色斑块
当所有目标像素都被提取后，研究人员会采用类似光学字符识别（OCR）的技术，区分出每个字符或数字。研究人员解释道：“从原理上看，这相当于恶意应用在截取本不应被其访问的屏幕内容。”
2. 关键技术支撑：GPU.zip侧信道攻击
为窃取像素数据，研究人员采用了“GPU.zip侧信道攻击”——该攻击利用现代GPU的图形数据压缩机制，泄露视觉信息。
尽管数据泄露速率相对较低（每秒0.6至2.1个像素），但研究人员通过优化手段证明，仍可在30秒内提取2FA验证码或其他敏感数据。
三、攻击影响范围：覆盖主流安卓设备与系统版本
研究人员在多款设备上验证了Pixnapping攻击的有效性，包括谷歌Pixel 6/7/8/9系列、三星Galaxy S25，涉及的安卓系统版本从13到16，所有测试设备均存在漏洞。
由于Pixnapping依赖的底层机制在旧版安卓系统中同样存在，因此绝大多数安卓设备及旧版系统大概率也面临风险。
研究人员还分析了近10万个谷歌应用商店应用，发现通过安卓意图系统可调用数十万种操作，这表明该攻击的适用范围极为广泛。
四、典型数据窃取场景示例
研究人员在技术论文中列出了以下数据窃取案例（均为未优化状态下的耗时）：
·谷歌地图：时间轴条目约占54264至60060个像素，提取一条条目需20至27小时；
·Venmo：通过隐式意图可打开个人资料、余额、交易记录、账单等页面，账户余额区域约占7473至11352个像素，提取需3至5小时；
·谷歌短信：通过显式/隐式意图可打开对话窗口，目标区域约占35500至44574个像素，提取需11至20小时；攻击可通过检测“蓝色vs非蓝色”或“灰色vs非灰色”像素，区分发送与接收的短信；
·Signal：通过隐式意图可打开对话窗口，目标区域约占95760至100320个像素，提取需25至42小时；即便开启Signal的“屏幕安全”功能，攻击仍能成功。
当前，谷歌与三星均已承诺在年底前修复相关漏洞，但目前尚无GPU芯片厂商宣布针对“GPU.zip侧信道攻击”的补丁计划。
尽管9月的安卓更新已缓解了最初的漏洞利用方式，但谷歌后续收到了研究人员提交的“绕过原修复方案”的更新攻击方法。目前谷歌已开发出更彻底的补丁，将随12月的安卓安全更新一同发布。
谷歌表示，利用该数据泄露技术需获取目标设备的特定信息——正如研究人员所指出的，这导致攻击成功率较低。此外，当前核查显示，谷歌应用商店中暂无利用Pixnapping漏洞的恶意应用。