HackerNews

HackerNews 编译，转载请注明出处： 网络安全研究人员警告称，一种新型大规模攻击活动正在利用AVTECH IP摄像头和华为HG532路由器的安全漏洞，将这些设备纳入一个名为Murdoc Botnet的Mirai僵尸网络变种。Qualys安全研究员Shilpesh Trivedi在分析中指出：“此次持续的攻击活动展现了增强的能力，通过利用漏洞来入侵设备并建立广泛的僵尸网络。”该活动自2024年7月开始，至今已感染超过1,370个系统。大多数感染事件发生在马来西亚、墨西哥、泰国、印尼和越南。 证据表明，该僵尸网络利用已知的安全漏洞（如CVE-2017-17215和CVE-2024-7029）来获取对物联网（IoT）设备的初始访问权限，并通过shell脚本下载下一阶段的恶意负载。该脚本会根据设备的CPU架构，获取并执行僵尸网络恶意软件。这些攻击的最终目标是利用僵尸网络发动分布式拒绝服务（DDoS）攻击。 几周前，一个名为“gayfemboy”的Mirai僵尸网络变种被发现，自2024年11月初以来，它一直在利用最近披露的Four-Faith工业路由器的安全漏洞。2024年年中，Akamai还透露，CVE-2024-7029被恶意行为者利用，将AVTECH设备纳入僵尸网络。 上周，有关另一场大规模DDoS攻击活动的细节浮出水面，该活动自2024年底以来一直针对日本的主要公司和银行，通过利用漏洞和弱凭据来组建一个物联网僵尸网络。 此次DDoS攻击活动主要针对电信、技术、托管、云计算、银行、游戏和金融服务行业。超过55%的受感染设备位于印度，其次是南非、巴西、孟加拉国和肯尼亚。 Trend Micro表示：“该僵尸网络包含源自Mirai和BASHLITE的恶意软件变种。其命令包括可以采用多种DDoS攻击方法、更新恶意软件以及启用代理服务的指令。”这些攻击涉及入侵物联网设备，部署一个加载器恶意软件，该恶意软件会获取实际负载，然后连接到命令与控制（C2）服务器，等待进一步的DDoS攻击和其他用途的指令。为了防范此类攻击，建议监控由任何不受信任的二进制文件/脚本执行所产生的可疑进程、事件和网络流量。同时，建议应用固件更新并更改默认用户名和密码。     消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 全球一些知名酒店连锁的客户个人信息在一次针对行业软件供应商的攻击中遭到泄露。 该攻击者似乎未经授权访问了酒店管理软件供应商Otelier的系统。Otelier提供的基于云的酒店管理软件帮助酒店优化运营，声称支持全球10,000多家酒店品牌、业主和运营商。 根据数据泄露通知网站HaveIBeenPwned（HIBP）的消息，攻击者在2024年访问了Otelier系统，窃取了包括万豪、希尔顿和凯悦等品牌的客户数据。 HIBP在周末将该泄露事件中的近50万个独立账户加入了其数据库。 “泄露的数据包括437,000个客户电子邮件地址（另外868,000个来自booking.com和Expedia平台生成的电子邮件地址未加载到HIBP中）、姓名、住址、电话号码、与旅行计划相关的预订信息、平台记录的购买信息，以及少数情况下的部分信用卡数据，”HIBP的记录中写道。 “数据由一位请求将其归因于[email protected]的来源提供给HIBP。” 更多酒店行业数据泄露事件：洲际酒店确认网络攻击，导致两天宕机。 暗网监控公司WhiteIntel的威胁研究人员在社交媒体上透露了更多关于此次事件的细节，称其可能源于信息窃取恶意软件。 “我们发现了几个由信息窃取者驱动的凭证泄露事件，这些泄露似乎导致了未经授权访问Otelier的GitHub和Atlassian实例，”该公司在X（前Twitter）上的一篇帖子中表示。“与信息窃取者相关的泄露风险每天都在增加。” 2024年10月，DarkWebInformer的威胁情报研究人员警告称，名为“worry”的攻击者在BreachForums上出售了从Otelier（前身为MyDigitalOffice，MDO）窃取的数据库。 此次事件凸显了组织在管理广泛数字供应链风险时所面临的挑战。根据非营利组织身份盗窃资源中心（ITRC）的数据，2024年第一季度受到供应链泄露威胁影响的公司数量相比2023年同期增长了三倍多。 酒店行业由于存储大量客户个人和财务数据，成为了一个特别具吸引力的攻击目标。 2024年，万豪酒店同意支付5200万美元的和解费，解决涉及超过1.31亿美国客户的大规模多年的数据泄露事件。   消息来源：Infosecurity Magazine, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

  HackerNews 编译，转载请注明出处： 卡巴斯基日前披露了梅赛德斯-奔驰MBUX车载信息娱乐系统中发现的十多个漏洞，虽然这些漏洞已经被修复，且不易被利用，但梅赛德斯-奔驰仍向用户保证，漏洞已得到修复。 卡巴斯基对梅赛德斯-奔驰MBUX系统的研究基于2021年由中国团队发布的研究成果。卡巴斯基在其博客中发布了相关发现，并开始发布针对每个漏洞的安全建议。此次研究聚焦于第一代MBUX系统。 其中，部分漏洞可被利用发起拒绝服务（DoS）攻击，另一些则可用于获取数据、命令注入和提升权限。 卡巴斯基表示，已经演示了物理访问目标车辆的攻击者如何利用其中一些漏洞禁用车载系统的防盗保护、对车辆进行调校，并解锁付费服务。这些攻击通过USB或定制的UPC连接实施。 这些漏洞已被分配了2023年和2024年的CVE标识符，但梅赛德斯-奔驰向《SecurityWeek》表示，自2022年以来，公司就已知悉卡巴斯基的发现。 梅赛德斯-奔驰发言人在一份电子邮件声明中表示：“2022年8月，一组外部安全研究人员联系了我们，针对第一代MBUX（梅赛德斯-奔驰用户体验）提出了相关问题。” “研究人员提到的问题需要对车辆进行现场物理访问，并进入车辆内部，此外，还需拆卸并打开车载系统。新版本的车载信息娱乐系统不受影响，”发言人补充道。 梅赛德斯-奔驰表示，产品和服务的安全性“高度优先”，并呼吁研究人员通过公司的漏洞披露计划报告发现的问题。 此前，研究人员披露过可被利用的漏洞，声称这些漏洞可被用于远程黑客攻击梅赛德斯-奔驰汽车。 其他与梅赛德斯-奔驰相关的网络安全问题还涉及公司IT基础设施。去年，研究人员报告称，一名梅赛德斯-奔驰员工泄露的GitHub令牌使得外界能够访问公司GitHub Enterprise服务器上存储的所有源代码。   消息来源：Security Week, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 社交媒体安全初创公司Spikerz上周宣布，成功完成700万美元的种子轮融资。 本轮融资由Disruptive AI领投，Horizon Capital、Wix Ventures、Storytime Capital和BDMI等老股东参与。 Spikerz表示，此轮融资将帮助公司加速平台开发、拓展全球市场并加强团队建设。 Spikerz开发了一种解决方案，社交媒体团队和网络红人可以利用该平台跟踪并中和钓鱼攻击、诈骗及其他可能威胁账户安全的风险。 该平台还具备检测和移除虚假账户及恶意机器人功能，并提供工具帮助识别并解决限制账户可见性（如影藏封禁）的问题。 Spikerz首席执行官Naveh Ben Dror表示：“社交媒体平台已成为全球企业、中小型企业和品牌的重要来源。然而，恶意行为者，尤其是利用生成型人工智能（GenAI）的攻击者，日益复杂的手段对这些生计构成了重大威胁。” 他补充道：“在Spikerz，我们致力于通过AI驱动的工具和网络安全专业技术，保持账户的安全。这笔融资体现了问题的紧迫性以及投资者对我们解决这一问题的信任。” 消息来源：Security Week, 编译：zhongx； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一名华盛顿男子在法庭上承认，参与了多起诈骗案件，导致超过60万美元的损失。 28岁的马尔科·拉昆·霍内斯特（Marco Raquan Honesty）承认，在2021年至2022年期间，他参与了包括新冠救济诈骗、短信钓鱼、银行账户接管、伪造汇票和其他诈骗活动。 霍内斯特通过短信钓鱼（smishing）实施诈骗，向受害者发送短信，告知其资金被未经授权转账，并引导受害者访问伪装成正规银行网站的钓鱼网站，盗取受害者的登录凭据。 法庭上出示的文件还指控霍内斯特运营了一个Telegram频道，广告中出售被盗数据，如信用卡、支票、银行凭证和其他与诈骗相关的赃物。 他还通过Zelle和银行内转账等方式，访问受害者账户，将资金转移到自己及共谋者的账户中。 根据法庭文件，霍内斯特使用一名短信钓鱼受害者的信息，与德克萨斯州机动车辆管理局（Texas Department of Motor Vehicles）完成了一笔交易，作为针对汽车经销商的诈骗活动的一部分。他还制作假身份证，卖给其他人，以便他们实施类似的诈骗计划。 2021年4月至10月期间，霍内斯特与共谋者一起，向薪资保护计划（PPP）提交虚假贷款申请，并伪造税表来支持这些申请。此骗局导致小企业管理局（SBA）损失超过50万美元，霍内斯特为一些贷款提供便利，收取了回扣或费用，在某些情况下，每笔贷款获得1万美元。 美国司法部表示：“霍内斯特通过这一计划为自己、父亲、两个姐妹、祖母、表亲、孩子的母亲以及其他朋友和亲戚获取了PPP贷款。” 2021年12月至2022年1月期间，霍内斯特还参与了一项涉及虚假西联汇款汇票的计划，造成超过7.9万美元的预期损失。 2023年9月，调查人员在搜查霍内斯特住所时，扣押了24部手机、3台笔记本电脑、空白的IRS 1099表格、空白社保卡模板、SIM卡、信用卡压印机、空白卡片和信用卡读卡器等物品。 霍内斯特参与的诈骗案件共造成大约62.2万美元的损失，但当局认为，预期损失金额超过85万美元。 霍内斯特面临最高20年的电信诈骗刑罚，以及强制执行的2年加重身份盗窃刑期。他将在5月23日接受宣判。   消息来源：Security Week, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 惠与科技（HPE）正在调查一起新的安全事件，黑客声称从该公司开发环境中窃取了文档。 HPE向BleepingComputer表示，目前尚未发现任何安全漏洞的证据，但公司正在调查黑客的声称。 HPE发言人Clare Loxley告诉BleepingComputer：“HPE在1月16日得知一个名为IntelBroker的黑客组织声称持有属于HPE的信息。” 她补充道：“HPE立即启动了网络响应程序，禁用了相关凭证，并展开调查以评估这些声称的真实性。目前，我们的业务未受影响，且没有证据表明客户信息受到牵连。” IntelBroker宣布将出售据称从HPE网络中窃取的信息，声称他们至少有两天时间可以访问HPE的API、WePay以及（公开和私密的）GitHub代码库，并窃取了证书（私钥和公钥）、Zerto和iLO源代码、Docker构建文件以及用于交付的旧版用户个人信息。 IntelBroker还上传了另外一个数据档案（包括凭证和访问令牌），这些数据据称是从HPE系统中窃取的，时间是在2024年2月1日。该公司当时也表示正在调查黑客的声称，但没有发现任何安全漏洞的证据。 IntelBroker因入侵DC Health Link而声名狼藉，该组织负责管理美国国会众议院成员的医保计划，此次事件导致170,000名受影响者的个人数据泄露，并引发了国会听证会。 与IntelBroker相关的其他事件还包括入侵诺基亚、思科、欧洲刑警组织、家得宝、Acuity等，以及涉嫌入侵AMD、美国国务院、Zscaler、福特汽车和通用电气航空等。 HPE曾在2018年遭到APT10中国黑客组织的入侵，黑客通过该次入侵获得了对HPE部分系统的访问权限，并利用该权限攻击客户设备。 更近期的是，HPE在2021年披露，其Aruba Central网络监控平台的数据仓库也遭到入侵，攻击者得以访问受监控设备的数据及其位置信息。 HPE还透露，去年其Microsoft Office 365电子邮件环境在2023年5月遭到入侵，攻击者被认为是与俄罗斯对外情报局（SVR）相关的APT29黑客组织。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Cyfirma发现，名为Tanzeem（乌尔都语意为“组织”）和Tanzeem Update的安卓恶意软件与DoNot团队的高度针对性网络攻击有关。该恶意软件在2024年10月和12月被首次发现。经分析，这些应用功能几乎相同，仅在用户界面上有少量修改。 Cyfirma在周五的分析中指出：“尽管该应用被设计为聊天应用，但一旦安装后无法正常运行，安装并授予必要权限后即关闭。应用名称表明它的目标可能是特定的国内外个人或群体。” DoNot团队，亦称APT-C-35、Origami Elephant、SECTOR02和Viceroy Tiger，是一个被认为起源于印度的黑客组织，历史上曾通过鱼叉式网络钓鱼邮件和安卓恶意软件家族收集感兴趣的信息。 2023年10月，该组织与一个名为Firebird的基于.NET的后门恶意软件有关，该恶意软件针对巴基斯坦和阿富汗的少数受害者。 目前尚不清楚这次恶意软件的具体目标是谁，但推测其可能用于针对特定个人，以便对内部威胁进行情报收集。 这个恶意安卓应用的一个显著特点是使用了OneSignal平台，OneSignal是一个流行的客户互动平台，组织可通过该平台发送推送通知、应用内消息、电子邮件和短信。Cyfirma推测，恶意软件可能滥用此平台，通过推送通知发送包含钓鱼链接的消息，从而实现恶意软件的部署。 无论使用何种分发机制，安装后该应用会显示一个虚假的聊天界面，并促使受害者点击名为“开始聊天”的按钮。点击后，应用会触发一条消息，要求用户授予辅助服务API的权限，从而执行各种恶意操作。 该应用还请求访问若干敏感权限，包括获取通话记录、联系人、短信、精确位置、账户信息及外部存储中的文件等。有些其他功能还包括录制屏幕和与指挥控制（C2）服务器建立连接。 Cyfirma表示：“收集的样本揭示了一种新策略，利用推送通知鼓励用户安装其他安卓恶意软件，从而确保恶意软件在设备上的持久性。” “这一策略增强了恶意软件在目标设备上持续活动的能力，表明该威胁组织正在不断发展其情报收集的意图，继续为国家利益服务。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

  HackerNews 编译，转载请注明出处： 最新研究发现，多种隧道协议存在安全漏洞，可能让攻击者实施一系列攻击。 Top10VPN与KU Leuven教授Mathy Vanhoef合作的研究表明，“接收隧道数据包但未验证发送方身份的互联网主机，可能会被劫持，进行匿名攻击并提供网络访问权限。” 研究表明，多达420万个主机面临攻击风险，其中包括VPN服务器、ISP家用路由器、核心互联网路由器、移动网络网关以及内容分发网络（CDN）节点。中国、法国、日本、美国和巴西是受影响最严重的国家。 成功利用这些漏洞，攻击者可将易受攻击的系统用作单向代理，还能进行拒绝服务（DoS）攻击。 网络安全专家表示：“攻击者可以利用这些安全漏洞创建单向代理并伪造源IPv4/6地址。”CERT协调中心（CERT/CC）在公告中指出，“易受攻击的系统可能允许访问组织的私人网络，甚至被滥用来执行DDoS攻击。” 这些漏洞的根源在于，隧道协议如IP6IP6、GRE6、4in6和6in4主要用于促进两个断开网络之间的数据传输，但缺乏认证和加密，未采用足够的安全协议如IPSec。 缺乏额外的安全防护使得攻击者可以将恶意流量注入隧道，这是一种变种，早在2020年就已标识为漏洞（CVE-2020-10136）。 相关协议已被赋予以下CVE标识符： CVE-2024-7595（GRE和GRE6） CVE-2024-7596（通用UDP封装） CVE-2025-23018（IPv4-in-IPv6和IPv6-in-IPv6） CVE-2025-23019（IPv6-in-IPv4） Top10VPN的Simon Migliano解释道：“攻击者只需发送一个使用受影响协议封装的数据包，并带有两个IP头。” “外部头包含攻击者的源IP，目标主机的IP作为目的地址。内部头的源IP则是目标主机的IP，而不是攻击者的IP。目的IP是匿名攻击的目标。” 因此，当易受攻击的主机接收到恶意数据包时，它会自动剥离外部IP头，将内部数据包转发到目标。由于内部数据包的源IP是受信任的目标主机IP，它能够通过网络过滤器。 为了加强防御，建议使用IPSec或WireGuard提供认证和加密，并仅接受来自受信任来源的隧道数据包。在网络层，建议对路由器和中间设备进行流量过滤，执行深度数据包检测（DPI），并阻止所有未加密的隧道数据包。 Migliano补充道：“这些DoS攻击对受害者的影响可能包括网络拥堵、由于流量超载而导致的服务中断，甚至使网络设备崩溃。它还为进一步的攻击打开了机会，例如中间人攻击和数据拦截。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 自周五起，欧盟金融机构及其第三方供应商需向本国监管机构报告重大信息技术事件，标志着欧盟《数字运营弹性法案》（DORA）正式生效。 该法案旨在推动金融行业及其供应链的最佳实践，既包括保护企业免受网络攻击，也包括防范其他形式的业务中断，如去年CrowdStrike的错误更新事件。报告要求同样适用于国际上的第三方供应商。“数字运营弹性”即指金融实体通过直接或间接使用ICT第三方服务商提供的服务来确保其所需的全部ICT相关能力，并借助这些能力来解决所使用网络和信息系统的安全问题，以及持续提供高质量的金融服务(包括在ICT中断期间)。 对于不遵守规定的行为，法案将处以严厉处罚，最显著的是对受监管“金融机构”失职管理层成员可能追究刑事责任——该术语涵盖范围广泛，包括银行、支付服务提供商、投资公司以及从事加密资产业务的企业。 法案要求这些机构的管理层定期接收高级信息技术人员的报告，以支持组织的弹性建设。 如未能提供此类信息，欧盟成员国已接到指示，需为失职的个别董事会成员建立民事责任制度，同时保留在法规中追究刑事责任的可能性。 网络弹性公司Rubrik的企业首席技术官詹姆斯·休斯表示：“任何法规中的个人问责制往往能使人更加专注。”他还补充说，该公司对金融服务公司的调查显示，近一半的公司为准备这项法规花费了超过100万美元。 违反义务的金融机构可能被处以全球年度营业额2%或1000万欧元（1030万美元）的罚款，以较高者为准。不遵守规定的第三方信息技术供应商可能每天被处以全球平均日营业额1%的罚款，“直至合规为止，且罚款期限不超过六个月”。   消息来源：The Record, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

一、事件概述 近期，网络安全领域接连曝出针对研究人员的假PoC（概念验证）攻击事件，引发业界高度关注。2024年12月，微软在当月的补丁星期二更新中修复了两个关键的LDAP漏洞，分别是CVE-2024-49112和CVE-2024-49113。其中，CVE-2024-49113是一个拒绝服务（DoS）漏洞。然而，就在漏洞修复后不久，Trend Micro发现了一个名为“LDAPNightmare”的恶意利用，它伪装成CVE-2024-49113的PoC，通过一个恶意代码仓库，诱骗安全研究人员下载并执行信息窃取型恶意软件。该恶意软件会从受感染机器上收集敏感数据，包括计算机信息、运行进程、网络详情和已安装更新等，并将其传输到攻击者控制的远程服务器。 无独有偶，2023年，Palo Alto Networks的研究人员也发现了一个新的恶意软件活动，该活动针对WinRAR的CVE-2023-40477漏洞。攻击者使用一个基于GeoServer漏洞CVE-2023-25157公开PoC代码修改而来的假PoC脚本，诱骗研究人员下载并执行VenomRAT有效载荷。一旦执行，该恶意软件会在系统中创建计划任务，每隔三分钟运行一次，以持续运行恶意软件，进而控制受害者系统、执行命令并窃取数据。 包含 “poc.exe” 的存储库 二、技术分析过程 （1）LDAPNightmare攻击技术分析 攻击者精心构建了一个看似合法的恶意代码仓库，其中的Python文件被替换为恶意可执行文件。当研究人员下载并执行该文件后，会释放并执行一个PowerShell脚本。该脚本随后建立计划任务，从Pastebin下载并执行另一个恶意脚本，最终收集受害者的公网IP地址，并将窃取的数据传输到外部FTP服务器。 SafeBreach Labs对CVE-2024-49113进行了深入研究，并开发出了一个PoC利用工具（概念验证漏洞），这个工具能够致使任何未打补丁的Windows服务器（不仅仅是域控制器）崩溃，来证明此漏洞的严重危害程度。根据Microsoft的分析发现，还可以进一步利用此漏洞导致远程代码执行。其次，研究人员确实验证了Microsoft的补丁修复了越界漏洞，并且该漏洞无法使修补的服务器崩溃。具体其攻击流程如下： 攻击者向受害服务器发送DCE/RPC请求。 受害服务器被触发，向攻击者的DNS服务器发送关于SafeBreachLabs.pro的DNS SRV查询。 攻击者的DNS服务器回复攻击者的主机名和LDAP端口。 受害服务器发送NBNS请求，以查找收到的主机名（攻击者的）的IP地址。 攻击者发送带有其IP地址的NBNS响应。 受害服务器成为LDAP客户端，向攻击者的机器发送CLDAP请求。 攻击者发送带有特定值的CLDAP转介响应包，导致LSASS崩溃并强制重启受害服务器。 LDAPNightmare攻击流程 （2）VenomRAT恶意软件活动技术分析 Palo Alto Networks的安全研究人员发现了一个针对WinRAR中 CVE-2023-40477 漏洞的新恶意软件活动。该活动使用虚假的概念验证（PoC） 脚本来诱骗研究人员下载并执行VenomRAT有效载荷。虚假的PoC脚本基于跟踪的GeoServer中漏洞CVE-2023-25157公开可用的PoC代码。该代码已经过修改，以删除有关CVE-2023-25157漏洞详细信息的注释，并添加了下载和执行带有“检查依赖关系”注释的批处理脚本的其他代码。该脚本在%TEMP%/bat.bat创建批处理文件，连接到特定URL并运行响应内容，进而下载可执行文件并保存到%APPDATA%\Drivers\Windows.Gaming.Preview.exe，同时创建计划任务，每三分钟运行一次该可执行文件，以实现持久化运行。Windows.Gaming.Preview.exe 可执行文件是VenomRAT的变体，VenomRAT是一种远程访问木马（RAT）。VenomRAT可用于窃取数据、在受害者系统上执行命令以及远程控制系统。 Palo Alto Networks研究人员认为，该攻击活动背后的攻击者是以网络安全研究人员为目标的，以便控制与访问他们的系统并窃取他们的数据。研究人员还认为，攻击者还可能正在使用受感染的系统对其他组织发起进一步的攻击活动。 三、结论与建议 这些假PoC攻击事件凸显了网络安全领域面临的严峻挑战。攻击者利用研究人员对安全漏洞的关注和研究热情，通过伪装成PoC的恶意软件，成功渗透并窃取了研究人员的敏感信息，甚至可能进一步利用这些系统对其他组织发动攻击。因此，安全研究人员在下载和执行来自在线仓库的代码时必须保持高度警惕，优先选择官方来源，仔细审查仓库内容，验证仓库所有者或组织的真实性，并关注社区反馈，寻找可能的安全风险警示。同时，用户应确保及时更新软件至最新版本，避免点击不明链接，并使用有效的安全解决方案来检测和阻止恶意软件。   转自FreeBuf，原文链接：https://www.freebuf.com/news/420252.html 封面来源于网络，如有侵权请联系删除

HackerNews 编译，转载请注明出处： Planet Technology的WGS-804HPT工业交换机存在严重漏洞，攻击者可通过串联这些漏洞，在其工业设备上实现远程代码执行。 WGS-804HPT工业交换机常用于楼宇和智能家居自动化网络中，用于连接物联网（IoT）设备、IP监控摄像头和无线局域网（WLAN）网络应用。该系列交换机配备了Web服务和简单网络管理协议（SNMP）管理接口。 Claroty研究人员披露了WGS-804HPT工业交换机中的三个漏洞，这些漏洞可串联利用，在易受攻击的设备上实现预认证远程代码执行。 Claroty发布的安全公告指出：“这些漏洞包括独立的缓冲区溢出漏洞、整数溢出漏洞和操作系统命令注入漏洞；我们成功开发了一个利用这些漏洞的漏洞利用程序，可在设备上远程运行代码。能够远程控制这些设备的攻击者可以利用它们进一步攻击内部网络中的其他设备，并进行横向移动。” 专家对固件的分析发现，WGS-804HPT交换机Web服务的dispatcher.cgi接口存在漏洞。以下是Claroty发现的漏洞： CVE-2024-48871（CVSS评分：9.8）——基于栈的缓冲区溢出漏洞使未经身份验证的攻击者能够通过恶意HTTP请求执行远程代码。 CVE-2024-52320（CVSS评分：9.8）——操作系统命令注入漏洞允许未经身份验证的攻击者通过恶意HTTP请求执行远程代码。 CVE-2024-52558（CVSS评分：5.3）——整数下溢漏洞使未经身份验证的攻击者能够通过格式错误的HTTP请求导致系统崩溃。 攻击者可利用这些漏洞劫持执行流程，并通过HTTP请求中的shellcode运行操作系统命令。 成功利用这些漏洞后，攻击者可通过在HTTP请求中嵌入shellcode来劫持执行流程，并获得执行操作系统命令的能力。 Planet Technology已发布固件版本1.305b241111以解决这些问题。 研究人员指出，QEMU使他们能够模拟关键组件，有助于发现漏洞、开发概念验证（PoC）和评估设备的潜在影响。 “我们已私下向总部位于台湾的Planet Technology披露了这些漏洞，该公司已解决这些安全问题，并建议用户将设备固件升级到版本1.305b241111。”报告总结道。 消息来源：Security Affairs, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯当局已将一家加拿大IT公司列为“不受欢迎”组织，使其成为第二个被列入该名单的西方网络安全公司。 俄罗斯总检察院周四在一份声明中表示，OpenText公司“与美国执法部门紧密合作，并为西方的反俄宣传努力做出贡献”。 莫斯科还声称，该公司为美国国防部提供服务，向五角大楼供应软件，其中包括一款有助于识别互联网用户的软件。 俄罗斯当局表示，OpenText于2023年收购的英国公司Micro Focus“向乌克兰执法机构提供了收集数据所需的网络安全软件和服务，以便打击俄罗斯军队和基础设施”。 截至北美东部时间周五上午10点45分，OpenText尚未回复Recorded Future News关于这些指控的置评请求。 这家位于加拿大安大略省滑铁卢的公司专门从事企业信息管理（EIM）软件，帮助组织管理机构文档、记录和其他内容。该公司还提供网络安全解决方案。 在俄罗斯，“不受欢迎”的地位适用于那些活动被认为对该国利益或安全有害的组织或个人。一旦被指定为“不受欢迎”，这些组织将被禁止在俄罗斯境内运营——其资产可能会被没收，活动也会受到限制。俄罗斯公民和法人实体也被禁止与这些组织合作，如果不遵守规定，还可能面临刑事指控。 去年12月，俄罗斯以类似的指控将美国网络安全公司Recorded Future列入“不受欢迎”组织名单。当时，Recorded Future的首席执行官克里斯托弗·阿尔伯格表示，该公司与任何情报机构没有特定联系，但许多政府机构都是其客户。The Record是Recorded Future旗下一个编辑独立的单位。 在俄乌战争后，OpenText和Micro Focus于2022年暂停了在俄罗斯的业务，并表示只有“战争结束且制裁解除”后才会恢复在该国的运营。OpenText此前曾捐款支持乌克兰的人道主义工作。 2023年，OpenText还透露，在2015年BlackEnergy网络攻击导致乌克兰全国大范围停电后，该公司向乌克兰电力公司Ukrenergo提供服务，以帮助保护其基础设施免受未来威胁。 2024年，俄罗斯外交部对五名Micro Focus员工实施个人制裁，指责他们向乌克兰执法机构提供软件和网络安全服务，以收集数据来打击俄罗斯军队和基础设施。 “这些IT公司是新纳粹的盟友，它们的活动导致人员伤亡，并可能被用来对付任何与盎格鲁-撒克逊人利益不一致的国家政府。”俄罗斯当局在当时的一份声明中表示。   消息来源：The Record, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 联邦贸易委员会（FTC）周五发布的初步报告中指出，企业根据从消费者数据和行为中收集的信息对商品进行加价，这些信息包括地理位置、人口统计特征、购物习惯，甚至个人在网页上移动鼠标的方式。 该报告基于六家公司——万事达卡、埃森哲、PROS、Bloomreach、Revionics和麦肯锡公司——提供的材料。FTC于7月要求这些公司提供有关其所谓“监控定价”产品的信息。 这六家被调查公司出售的工具使企业能够不断调整价格，让零售商能够基于各种个人特征，通过算法调整并确定向消费者收取的费用。 该报告由FTC即将离任的民主党多数派要求编制，目前仍处于“工作人员观点”阶段，尚未最终确定。即将上任的FTC主席安德鲁·弗格森和共和党成员梅利萨·霍利约克反对发布该报告，称在机构调查结束前不应发布。 根据FTC的新闻稿，由于该委员会要求不得泄露机密商业秘密，因此报告仅提供了假设性示例。 报告也未明确这六家公司各自对消费者进行画像的广泛程度。 新闻稿称，其中一些公司表示，它们能够“根据细致的消费者数据（如化妆品公司针对特定肤质和肤色的促销活动）来确定个性化和差异化的定价及折扣”。 FTC基于这六家公司提供的文件提出的一个假设案例是，一位被标记为新父母的消费者在购买婴儿产品时看到了更高的价格。 FTC表示，这六家研究公司服务的客户多达250家，涵盖从杂货店到服装连锁店的各类企业。 即将离任的主席莉娜·可汗在一份声明中表示：“FTC应继续调查监控定价行为，因为美国人有权了解自己的个人数据是如何被用来设定他们支付的价格的，以及企业是否为同一商品或服务向不同的人收取不同价格。” 该委员会呼吁消费者和企业发表公开评论，详细说明监控定价对他们造成的影响。 六家公司中只有两家回应了置评请求。 旗下拥有Recorded Future News的万事达卡的一位发言人表示，公司正在审查刚刚发布的报告。 该发言人说：“我们不提供监控定价服务。我们的服务和平台帮助我们的客户更好地了解与其业务相关的趋势和见解。” Revionics的一位发言人说，该公司没有开发“针对特定个人推荐定价的软件。Revionics在任何情况下都不会使用个人消费者数据。” 该发言人说：“Revionics的人工智能价格优化软件在向零售商推荐最优价格时，会考虑众多市场层面的因素。通过使用人工智能，Revionics帮助零售商确定一个对消费者和零售商都有利的价格。” FTC指出，这六家公司中的一些“反对将其提供的工具描述为旨在或用于为消费者设定个性化价格或实现监控定价”。   消息来源：The Record, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌周四宣布推出OSV-SCALIBR（软件成分分析库），这是一款用于软件成分分析的开源库。 该工具以开源Go库的形式发布，是一款可扩展的文件系统扫描器，旨在提取软件库存信息并识别漏洞。 OSV-SCALIBR既可以作为独立的二进制文件（库的外围包装）使用，也可以作为库导入到Go项目中。 该工具支持对包、二进制文件和源代码进行软件成分分析（SCA）。它可用于扫描Linux、Windows和macOS上的操作系统包，并支持多种编程语言的工件和锁定文件扫描。 此外，它还提供了漏洞扫描功能，并可用于生成SPDX和CycloneDX格式的软件物料清单（SBOM）。 “OSV-SCALIBR现在是谷歌用于实时主机、代码仓库和容器的主要SCA引擎。它已在许多不同的产品和内部工具中进行了广泛使用和测试，以帮助生成SBOM、发现漏洞，并以谷歌的规模保护用户数据，”这家互联网巨头表示。 该工具的功能已被分组为软件提取和漏洞检测插件，当执行独立的二进制文件时，一组推荐的内部插件将默认运行。 OSV-SCALIBR在其定义文件中存储了内置插件模块。当该工具作为库使用时，可以通过导入这些插件并将它们添加到扫描配置中来启用它们。当SCALIBR作为库使用时，也可以运行自定义插件。 OSV-SCALIBR目前主要作为开源Go库提供，但谷歌正在努力将其更深入地集成到2022年发布的开源依赖项漏洞扫描器OSV-Scanner中。 OSV-SCANNER中的一些功能已经具备了OSV-SCALIBR的部分能力，未来几个月内将集成更多功能，包括已安装包的提取、SBOM生成和弱凭据扫描。 “请注意，OSV-Scanner V2即将发布，将具备许多这些新功能。OSV-Scanner将成为需要CLI界面的用户使用OSV-SCALIBR库的主要前端。OSV-Scanner的现有用户可以继续以相同的方式使用该工具，同时保持对所有现有用例的向后兼容性，”谷歌表示。   消息来源：Security Week, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个名为“pycord-self”的恶意软件包出现在Python包索引（PyPI）上，该软件包的目标用户为Discord开发者，旨在窃取认证令牌并在系统中植入后门以实现远程控制。 该软件包模仿了广受欢迎的“discord.py-self”软件包，后者下载量已近2800万次，并且甚至提供了正版项目的功能。 正版软件包是一个Python库，允许与Discord的用户API通信，并允许开发者以编程方式控制账户。 它通常用于消息传递和自动化交互、创建Discord机器人、编写自动化管理脚本、通知或响应，以及在不使用机器人账户的情况下运行命令或从Discord检索数据。 据代码安全公司Socket称，该恶意软件包去年6月被添加到PyPi上，截至目前已被下载885次。 截至发稿时，该软件包仍可通过一个已通过平台验证其详细信息的发布者从PyPI获取。 PyPI上的恶意软件包（图片来源：BleepingComputer） Socket研究人员分析了该恶意软件包，发现pycord-self包含执行两项主要操作的代码。一是从受害者处窃取Discord认证令牌并将其发送到外部URL。 攻击者可以使用窃取的令牌，在无需访问凭据的情况下劫持开发者的Discord账户，即使启用了双重身份验证保护也不例外。 该恶意软件包的第二个功能是，通过端口6969与远程服务器建立持久连接，从而设置一个隐蔽的后门机制。 Socket在报告中解释道：“根据操作系统的不同，它会启动一个shell（Linux上的“bash”或Windows上的“cmd”），使攻击者能够持续访问受害者的系统。” “后门在单独的线程中运行，这使得在软件包继续看似正常运行的同时难以检测到它。” 在机器上设置后门（图片来源：Socket） 建议软件开发人员避免在不确认代码来自官方作者的情况下安装软件包，尤其是热门软件包。验证软件包名称也可以降低遭遇拼写劫持攻击的风险。 在使用开源库时，如果可能的话，建议审查代码以查找可疑功能，并避免使用任何看似混淆的代码。此外，扫描工具可能有助于检测和阻止恶意软件包。 消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯黑客组织Star Blizzard已被关联到一起新的钓鱼攻击活动，该活动瞄准受害者的WhatsApp账户，这标志着其可能为了逃避检测而改变了长期以来的作案手法。 微软威胁情报团队在与The Hacker News分享的一份报告中称：Star Blizzard的目标通常与政府或外交部门（包括现任和前任官员）、国防政策或涉及俄罗斯的国际关系研究人员，以及与俄乌战争相关的对乌克兰援助方有关。 Star Blizzard（原名SEABORGIUM）是一个与俄罗斯有关联的威胁活动集群，以凭证收集活动而闻名。该组织自2012年至少就已开始活跃，还曾被追踪为Blue Callisto、BlueCharlie（或TAG-53）、Calisto（或Callisto的另一种拼写）、COLDRIVER、Dancing Salome、Gossamer Bear、Iron Frontier、TA446和UNC4057等别名。 此前观察到的攻击链涉及向感兴趣的目标发送钓鱼邮件，通常来自Proton账户，邮件附件中包含恶意链接，这些链接会重定向到由Evilginx支持的页面，该页面能够通过中间人（AiTM）攻击收集凭证和二次验证（2FA）代码。 Star Blizzard还被关联到使用HubSpot和MailerLite等电子邮件营销平台来隐藏真实的电子邮件发件人地址，并避免在电子邮件消息中包含由黑客控制的域名基础设施。 去年年底，微软和美国司法部（DoJ）宣布查封了180多个域名，这些域名被该威胁组织用于在2023年1月至2024年8月期间瞄准记者、智库和非政府组织（NGO）。 这家科技巨头评估认为，对其活动的公开披露可能促使黑客团队通过攻击WhatsApp账户来改变策略。也就是说，该活动似乎规模有限，并在2024年11月底结束。 微软威胁情报战略总监Sherrod DeGrippo告诉The Hacker News：“目标主要属于政府和外交部门，包括现任和前任官员。” “此外，目标还包括涉及国防政策的人员、专注于俄罗斯的国际关系研究人员以及与俄乌战争相关的对乌克兰援助方。” 这一切始于一封自称来自美国政府官员的钓鱼邮件，以赋予其合法性，并增加受害者与其互动的可能性。 邮件中包含一个快速响应（QR）码，敦促收件人加入一个所谓的WhatsApp群组，讨论“最新的非政府组织支持乌克兰NGO的倡议”。然而，该代码是故意损坏的，以触发受害者的回复。 如果邮件收件人回复，Star Blizzard会发送第二条消息，要求他们点击一个t[.]ly缩短的链接加入WhatsApp群组，并为此带来的不便表示歉意。 微软解释道：“点击此链接后，目标会被重定向到一个网页，要求他们扫描二维码加入群组。然而，这个二维码实际上被WhatsApp用于将账户连接到链接的设备或WhatsApp网页版。” 如果目标按照网站（“aerofluidthermo[.]org”）上的指示操作，这种方法将允许威胁组织未经授权地访问其WhatsApp消息，甚至通过浏览器插件将数据外泄。 建议属于Star Blizzard目标行业的个人在处理包含外部链接的邮件时保持警惕。 该活动“标志着Star Blizzard长期以来的TTP（战术、技术和程序）的一次中断，并凸显出该威胁组织在持续进行钓鱼攻击以获取敏感信息方面的坚韧不拔，即使其行动多次遭到破坏也是如此”。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：   网络安全研究人员揭露了一项新活动，该活动针对运行基于PHP应用的Web服务器，以在印度尼西亚推广赌博平台。 Imperva公司研究员Daniel Johnston在分析中指出：“过去两个月，我们观察到大量来自基于Python的机器人的攻击，这表明有一股势力在协同利用成千上万的Web应用。这些攻击似乎与赌博相关网站的泛滥有关，可能是对政府加强审查的回应。” 这家隶属于泰雷兹集团的公司表示，他们检测到数百万条来自Python客户端的请求，该客户端包含安装GSocket（又称Global Socket）的命令，这是一种开源工具，可用于在两个机器之间建立通信通道，不受网络边界的限制。 值得注意的是，近几个月来，GSocket已被用于多起加密货币劫持活动，甚至还被利用来插入恶意JavaScript代码，以窃取网站上的支付信息。 攻击链特别涉及利用已遭入侵服务器上预先存在的Web shell来部署GSocket。大多数攻击都瞄准了运行着一种名为Moodle的流行学习管理系统（LMS）的服务器。 攻击的一个显著特点是，在bashrc和crontab系统文件中添加了内容，以确保即使删除了Web shell，GSocket也能持续运行。 经确认，GSocket为这些目标服务器提供的访问权限被用作武器，以交付包含指向在线赌博服务（特别是针对印度尼西亚用户）的HTML内容的PHP文件。 Johnston说：“每个PHP文件的顶部都有PHP代码，只允许搜索机器人访问页面，而普通访问者则会被重定向到另一个域名。其背后的目的是瞄准搜索已知赌博服务的用户，然后将他们重定向到另一个域名。” Imperva表示，这些重定向指向了已知的印度尼西亚赌博网站“pktoto[.]cc”。 与此同时，c/side披露了一项广泛的恶意软件活动，该活动已针对全球超过5000个网站，创建未经授权的管理员账户，从远程服务器安装恶意插件，并将凭据数据回传至该服务器。 目前尚不清楚这些网站上部署JavaScript恶意软件的确切初始访问向量。该恶意软件被命名为WP3.XYZ，以与其用于获取插件和泄露数据的服务器域名（“wp3[.]xyz”）相关联。 为防范此类攻击，建议WordPress网站所有者保持插件更新，使用防火墙阻止恶意域名，扫描并删除可疑的管理员账户或插件。 消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了Planet Technology公司的WGS-804HPT工业交换机存在的三项安全漏洞，攻击者可利用这些漏洞在易受攻击的设备上实现未经认证的远程代码执行。 Claroty公司的Tomer Goldschmidt在周四的报告中表示：“这些交换机广泛用于建筑和家居自动化系统中的各种网络应用。攻击者如果能够远程控制这些设备中的任意一个，就可以利用它们进一步攻击内部网络中的其他设备，并进行横向移动。” 这家运营技术安全公司对使用QEMU框架的交换机固件进行了深入分析，发现漏洞源于提供网络服务的dispatcher.cgi接口。漏洞列表如下： CVE-2024-52558（CVSS评分：5.3）——整数下溢漏洞，允许未经认证的攻击者发送格式错误的HTTP请求，导致设备崩溃。 CVE-2024-52320（CVSS评分：9.8）——操作系统命令注入漏洞，允许未经认证的攻击者通过恶意HTTP请求发送命令，实现远程代码执行。 CVE-2024-48871（CVSS评分：9.8）——基于栈的缓冲区溢出漏洞，允许未经认证的攻击者发送恶意HTTP请求，实现远程代码执行。 成功利用这些漏洞后，攻击者可以通过在HTTP请求中嵌入shellcode来劫持执行流程，并获得执行操作系统命令的能力。 在负责披露漏洞后，这家中国台湾公司已于2024年11月15日发布了版本1.305b241111的补丁，以修复这些漏洞。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

名为 Star Blizzard 的俄罗斯威胁组织被发现参与了一项针对受害者 WhatsApp 账户的鱼叉式网络钓鱼活动，这表明其可能背离了长期以来的攻击手法，试图逃避侦查。 微软威胁情报团队在一份报告中表示：“Star Blizzard 的目标最常见的是与政府或外交（现任和前任职位持有者）、国防政策或国际关系研究人员有关，他们的工作涉及俄罗斯，以及与俄罗斯战争有关的对乌克兰的援助来源。 ” Star Blizzard（原名 SEABORGIUM）是一个与俄罗斯有关的威胁活动集群，以其凭证收集活动而闻名。该组织至少从 2012 年开始活跃，还以 Blue Callisto、BlueCharlie（或 TAG-53）、Calisto（也拼写为 Callisto）、COLDRIVER、Dancing Salome、Gossamer Bear、Iron Frontier、TA446 和 UNC4057 等绰号进行追踪。 之前观察到的攻击链涉及向感兴趣的目标发送鱼叉式网络钓鱼电子邮件（通常来自 Proton 帐户），附加嵌入恶意链接的文档，这些链接重定向到由 Evilginx 驱动的页面，该页面能够通过中间人 (AiTM) 攻击获取凭据和双因素身份验证 (2FA) 代码。 Star Blizzard 还涉嫌使用 HubSpot 和 MailerLite 等电子邮件营销平台来隐藏真正的电子邮件发件人地址，从而避免在电子邮件中包含参与者控制的域基础设施。 去年年底，微软和美国司法部 (DoJ)宣布查获了 180 多个域名，这些域名被威胁组织在 2023 年 1 月至 2024 年 8 月期间用来攻击记者、智库和非政府组织 (NGO)。 微软评估称，公开披露其活动可能促使黑客团队通过入侵 WhatsApp 账户来改变策略。尽管如此，该活动似乎受到了限制，并于 2024 年 11 月底结束。 微软威胁情报战略总监 Sherrod DeGrippo表示：“目标主要属于政府和外交部门，包括现任和前任官员。” “此外，目标还包括参与国防政策的个人、专注于俄罗斯的国际关系研究人员以及在与俄罗斯的战争中向乌克兰提供援助的个人。” 一切都始于一封声称来自美国政府官员的鱼叉式网络钓鱼电子邮件，以赋予其合法性的外表并增加受害者与其互动的可能性。 该信息包含一个二维码，敦促收件人加入一个所谓的 WhatsApp 群组，讨论“旨在支持乌克兰非政府组织的最新非政府举措”。然而，该代码被故意损坏，以触发受害者的回应。 如果电子邮件收件人回复，Star Blizzard 会发送第二条消息，要求他们点击短网址加入 WhatsApp 群组，同时对造成的不便表示歉意。 微软解释道：“点击此链接后，目标将被重定向到一个网页，要求他们扫描二维码加入群组。然而，WhatsApp 实际上使用此二维码将帐户连接到链接设备和/或 WhatsApp Web 门户。” 使用 WhatsApp 链接二维码进行恶意 Star Blizzard 网络钓鱼尝试 如果目标按照网站（“aerofluidthermo[.]org”）上的说明进行操作，该方法将允许攻击者未经授权访问他们的 WhatsApp 消息，甚至通过浏览器插件窃取数据。 安全专家建议属于 Star Blizzard 所针对的行业的个人在处理包含外部来源链接的电子邮件时务必小心谨慎。 此次活动“标志着星际暴雪长期以来的 TTP 的突破，凸显了威胁行为者即使在运营不断恶化的情况下，仍坚持通过鱼叉式网络钓鱼活动获取敏感信息的韧性。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/zixeFRSAqj0NpD4Maja5ig 封面来源于网络，如有侵权请联系删除

HackerNews 编译，转载请注明出处： 美国联邦贸易委员会（FTC）要求网络托管巨头GoDaddy实施基本的安全保护措施，包括HTTPS API和强制多因素身份验证（MFA），以解决自2018年以来其托管服务未能抵御攻击的问题。 FTC表示，这家总部位于亚利桑那州的公司声称采取了合理的安全措施，但实际上却误导了数百万网络托管客户，因为GoDaddy未能实施标准的安全工具和实践，导致其“对托管环境中的漏洞和威胁视而不见”。 FTC消费者保护局局长塞缪尔·莱文表示：“数百万家公司，特别是小型企业，依赖GoDaddy等网络托管提供商来保护他们和客户所依赖的网站。” “FTC今天采取行动，确保像GoDaddy这样的公司加强其安全系统，以保护全球消费者。” 根据FTC的投诉，GoDaddy不合理的安全措施包括未使用多因素身份验证（MFA）、未管理软件更新、未记录安全相关事件、未对网络进行分段、未监测安全威胁（包括未使用可从其众多日志中主动检测威胁的软件），以及未使用文件完整性监测。 该公司还未能盘点和管理资产、评估其网站托管服务的风险，并确保访问消费者数据的服务的连接安全。 安全漏洞频发导致多次数据泄露 FTC表示，在2019年至2022年期间，这些数据安全漏洞导致了多次重大安全事件，使得威胁者能够访问客户的网站和数据。 例如，2023年2月，这家托管巨头披露称，未知攻击者在多年来的攻击中突破了其cPanel共享托管环境，窃取源代码并在受感染的服务器上安装恶意软件。 该公司表示，直到2022年12月初收到客户投诉称他们的网站被重定向到未知域名后，才发现这一漏洞。 GoDaddy当时还透露，2021年11月和2020年3月披露的安全漏洞也与这次攻击活动有关。 2021年11月的漏洞影响了120万Managed WordPress客户。攻击者使用被盗密码侵入GoDaddy的托管环境，从一些客户那里获得了电子邮件地址、WordPress管理员密码、sFTP和数据库凭据以及SSL私钥。 在2020年3月的漏洞事件后，GoDaddy通知了2.8万名客户，称攻击者在2019年10月使用他们的网络托管凭据通过SSH进行了连接。 根据拟议的和解令，FTC将要求GoDaddy建立强大的信息安全计划，并禁止该公司误导客户关于其安全保护的说法。该命令还要求GoDaddy聘请独立的第三方评估人员每两年对其信息安全计划进行一次审查。 该公司还被要求为所有客户、员工和承包商员工“在任何支持托管服务的工具或资产上，包括连接到任何数据库时”添加强制性的MFA，并“至少提供一种不需要客户提供电话号码的方法，例如通过集成身份验证应用程序或允许使用安全密钥。” 去年12月，FTC还命令万豪国际和喜达屋酒店实施强大的数据安全计划，以应对2014年和2018年导致超过3.4亿宾客记录泄露的失败事件。 万豪在2014年10月与FTC达成和解，并同意向49个州支付5200万美元，以解决与这些数据泄露相关的索赔。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文