Aggregator

HackerNews 编译，转载请注明出处： 与俄罗斯有关联的威胁组织 Gamaredon（又名 Shuckworm）被指对乌克兰境内的一个外国军事任务发动了网络攻击，目的是投放一种名为 GammaSteel 的已知恶意软件的更新版本。 据赛门铁克威胁猎手团队称，该组织针对一个西方国家的军事任务，首次检测到恶意活动的迹象是在 2025 年 2 月 26 日。 赛门铁克在其报告中表示：“攻击者使用的初始感染向量似乎是一个被感染的可移动驱动器。” 攻击从在 Windows 注册表的 UserAssist 键下创建一个值开始，随后通过 “explorer.exe” 启动 “mshta.exe”，以启动一个多阶段感染链并运行两个文件。 第一个文件名为 “NTUSER.DAT.TMContainer00000000000000000001.regtrans-ms”，用于与命令与控制（C2）服务器建立通信。该服务器通过访问与合法服务（如 Teletype、Telegram 和 Telegraph 等）相关的特定 URL 来获取。 第二个文件名为 “NTUSER.DAT.TMContainer00000000000000000002.regtrans-ms”，设计用于通过创建每个文件夹的快捷方式文件来感染任何可移动驱动器和网络驱动器，以执行恶意的 “mshta.exe” 命令并隐藏它。 随后在 2025 年 3 月 1 日，脚本被执行以联系 C2 服务器，窃取系统元数据，并接收一个 Base64 编码的负载，该负载随后用于运行一个设计用于下载混淆后的新版本脚本的 PowerShell 命令。 该脚本连接到一个硬编码的 C2 服务器以获取另外两个 PowerShell 脚本。第一个脚本是一个侦察工具，能够截取屏幕截图、运行 systeminfo 命令、获取主机上运行的安全软件的详细信息、枚举桌面中的文件和文件夹，并列出正在运行的进程。 第二个 PowerShell 脚本是 GammaSteel 的改进版本，这是一种已知的信息窃取工具，能够根据桌面和文档文件夹中的扩展名白名单从受害者的设备中窃取文件。 “这次攻击标志着 Shuckworm 在复杂性上有所提升，尽管它看起来比其他俄罗斯组织的技术能力稍逊一筹，但它通过不懈地专注于乌克兰的目标来弥补这一点，”赛门铁克表示。 “尽管该组织似乎没有像一些其他俄罗斯组织那样的技术能力，但 Shuckworm 现在似乎正在通过不断对其使用的代码进行小幅度修改、添加混淆以及利用合法的网络服务来尝试降低被发现的风险。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁行为者继续向npm注册表上传恶意包，以篡改已安装的合法库的本地版本并执行恶意代码，这被视为一种更隐蔽的软件供应链攻击手段。 最新发现的名为pdf-to-office的包伪装成一个将PDF文件转换为Microsoft Word文档的工具。但实际上，它包含可以向与Atomic Wallet和Exodus相关的加密货币钱包软件注入恶意代码的功能。 “实际上，受害者试图将加密货币发送到另一个加密货币钱包时，原本的钱包目标地址会被替换为恶意行为者拥有的地址，”ReversingLabs研究员Lucija Valentić在与The Hacker News分享的一份报告中表示。 该npm包于2025年3月24日首次发布，此后已更新三次，但之前的版本可能已被作者自己删除。最新版本1.1.2于4月8日上传，目前仍可供下载。该包迄今已被下载334次。 这一披露仅在软件供应链安全公司发现两个名为ethers-provider2和ethers-providerz的npm包几周后。这些包被设计为感染本地安装的包，并通过SSH连接到威胁行为者的服务器建立反向shell。 这种攻击方式对威胁行为者来说是一个有吸引力的选择，因为它允许恶意软件在恶意包被移除后仍然存在于开发者的系统中。 对pdf-to-office的分析显示，嵌入在包中的恶意代码会检查Windows计算机的“AppData/Local/Programs”文件夹中是否存在“atomic/resources/app.asar”存档，以确定是否安装了Atomic Wallet。如果是，则引入剪贴板功能。 “如果该存档存在，恶意代码会用一个新的特洛伊木马版本覆盖其中一个文件，该文件与合法文件具有相同的功能，但将发送资金的外部加密货币地址替换为威胁行为者拥有的Base64编码的Web3钱包地址，”Valentić表示。 同样地，该有效载荷还设计为特洛伊木马化与Exodus钱包相关的文件“src/app/ui/index.js”。 但有趣的是，这些攻击针对的是Atomic Wallet（2.91.5和2.90.6）和Exodus（25.13.3和25.9.2）的两个特定版本，以确保覆盖正确的JavaScript文件。 “如果pdf-to-office包碰巧从计算机中移除，Web3钱包的软件仍会保持受损状态，并继续将加密货币资金转移到攻击者的钱包，”Valentić表示。“要完全从Web3钱包的软件中移除恶意特洛伊木马文件，唯一的方法是从计算机中完全移除它们并重新安装。” 这一披露正值ExtensionTotal详细描述了10个恶意Visual Studio Code扩展，这些扩展会偷偷下载一个禁用Windows安全的PowerShell脚本，通过计划任务建立持久性，并安装一个XMRig加密货币矿工。 这些扩展在被移除之前总共被安装了超过一百万次。以下是扩展的名称： Prettier — VSCode的代码（由prettier提供） VS Code的Discord Rich Presence（由Mark H提供） Rojo — Roblox Studio同步（由evaera提供） Solidity编译器（由VSCode Developer提供） Claude AI（由Mark H提供） Golang编译器（由Mark H提供） VSCode的ChatGPT代理（由Mark H提供） HTML混淆器（由Mark H提供） VSCode的Python混淆器（由Mark H提供） VSCode的Rust编译器（由Mark H提供） “攻击者创建了一个复杂的多阶段攻击，甚至安装了他们模仿的合法扩展，以避免在后台挖掘加密货币时引起怀疑，”ExtensionTotal表示。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员详细描述了NVIDIA容器工具包中一个之前已修复的安全漏洞的不完整修复情况。如果该漏洞被成功利用，可能会使敏感数据面临风险。 原始漏洞CVE-2024-0132（CVSS评分：9.0）是一个时间检查到时间使用（TOCTOU）漏洞，可能导致容器逃逸攻击，并允许未经授权访问底层主机。 虽然NVIDIA在2024年9月解决了这一漏洞，但Trend Micro的新分析显示，修复并不完整，并且还存在一个相关的性能问题，影响Linux上的Docker，可能导致拒绝服务（DoS）状态。 网络安全 “这些问题可能使攻击者能够突破容器隔离，访问敏感的主机资源，并造成严重的运营中断，”Trend Micro研究人员Abdelrahman Esmail在今天发布的一份新报告中表示。 TOCTOU漏洞的持续存在意味着一个精心设计的容器可能被滥用以访问主机文件系统，并以root权限执行任意命令。该漏洞影响版本1.17.4，前提是明确启用了功能allow-cuda-compat-libs-from-container。 “具体漏洞存在于mount_files函数中，”Trend Micro表示。“该问题源于在对对象执行操作时缺乏适当的锁定。攻击者可以利用此漏洞提升权限，并在主机上下文中执行任意代码。” 然而，要使这种权限提升生效，攻击者必须已经获得了在容器内执行代码的能力。 该缺陷已被分配CVE标识符CVE-2025-23359（CVSS评分：9.0），此前云安全公司Wiz在2025年2月将其标记为CVE-2024-0132的绕过漏洞。该问题已在版本1.17.4中得到修复。 网络安全公司表示，在分析CVE-2024-0132时，还发现了一个性能问题，可能在主机上导致拒绝服务（DoS）漏洞。该问题影响Linux系统上的Docker实例。 “当使用(bind-propagation=shared)配置多个挂载创建新容器时，会建立多个父/子路径。然而，在容器终止后，Linux挂载表中相关的条目并未被移除，”Esmail表示。 “这导致挂载表快速增长且无法控制，耗尽可用文件描述符（fd）。最终，Docker因fd耗尽而无法创建新容器。这种过大的挂载表还会导致严重的性能问题，阻止用户连接到主机（例如通过SSH）。” 为缓解此问题，建议监控Linux挂载表的异常增长，限制Docker API访问仅限授权人员，实施严格的访问控制策略，并定期审计容器到主机文件系统绑定、卷挂载和套接字连接。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

APT-Q-12 利用 Foxmail 邮件客户端高危漏洞瞄准国内企业用户；Patchwork 向985高校发送钓鱼邮件；SideCopy 组织更新策略并扩大攻击目标范围；Scattered Spider 持续发起网络攻击

近期奇安信威胁情报中心发现Kimsuky新版后门，该后门为了增加攻击的隐蔽性，只在具有特定主机名的机器上才执行核心恶意代码，体现了本次攻击高度的定向性，前期应该有其他的信息操作以筛选目标。

APT-Q-12 利用 Foxmail 邮件客户端高危漏洞瞄准国内企业用户；Patchwork 向985高校发送钓鱼邮件；SideCopy 组织更新策略并扩大攻击目标范围；Scattered Spider 持续发起网络攻击

近期奇安信威胁情报中心发现Kimsuky新版后门，该后门为了增加攻击的隐蔽性，只在具有特定主机名的机器上才执行核心恶意代码，体现了本次攻击高度的定向性，前期应该有其他的信息操作以筛选目标。

侵入以 Mr. Robot 为主题的 Windows 计算机。

Currently trending CVE - Hype Score: 1 - In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix potential out-of-bound accesses for Extigy and Mbox devices A bogus device can provide a bNumConfigurations value that exceeds the initial value used in usb_get_configuration for ...

APT组织Lazarus 在Rootkit（获取内核权限）攻击中使用了微软的0day漏洞;APT组织Kimsuky利用软件公司产品安装程序进行伪装展开攻击;NoName057(16)组织DDoSia项目持续更新;

APT组织Lazarus 在Rootkit（获取内核权限）攻击中使用了微软的0day漏洞;APT组织Kimsuky利用软件公司产品安装程序进行伪装展开攻击;NoName057(16)组织DDoSia项目持续更新;

Ассистент на ИИ теперь пишет тексты, рисует и собирает приложения.

现在，AI 能记住、并参考你们所有的对话了。

抖音严打违规微短剧，476 部作品下架，内容涵盖婆媳矛盾、穷富对立等； 李飞飞最新报告：中美顶级模型性能差距缩至 0.3％； 小米汽车：支持 Apple Watch 手势控车

Imagine that all of us—all of society—have landed on some alien planet and need to form a government: clean slate. We do not have any legacy systems from the United States or any other country. We do not have any special or unique interests to perturb our thinking. How would we govern ourselves? It is unlikely that we would use the systems we have today. Modern representative democracy was the best form of government that eighteenth-century technology could invent. The twenty-first century is very different: scientifically, technically, and philosophically. For example, eighteenth-century democracy was designed under the assumption that travel and communications were both hard...

The post Reimagining Democracy appeared first on Security Boulevard.

利用钉钉安装程序加载的银狐样本分析

新闻速览 •6项网络安全国家标准获批发布 •微软Exchange管理中心遭遇全球性服务中断 •Hellcat […]

01.NET内网安全攻防报刊小报童电子报刊【.NET内网安全攻防】也正式上线了，引入小报童也是为了弥补知识星球