嘶吼

1 month 3 weeks ago

一款名为 SpyLend 的 Android 恶意软件应用程序已在 Google Play 上被下载超过 10 万次。该应用伪装成一款金融工具，但实际上是一个针对印度用户的掠夺性贷款应用程序。

该应用程序属于名为 SpyLoan 的恶意 Android 应用程序组，这些应用伪装成合法的金融工具或贷款服务，实际上却窃取设备数据用于掠夺性贷款。这些应用通常承诺提供快速简便的贷款，只需很少的文档，并提供诱人的条款，以此吸引用户。然而，在安装时，它们会请求过多的权限，从而窃取用户的个人数据，包括联系人、通话记录、短信、照片和设备位置等信息。

这些收集到的数据随后被用来骚扰、敲诈和勒索用户，尤其是当用户未能满足应用程序的还款条款时。

贷款诈骗和敲诈勒索

网络安全公司 CYFIRMA 发现了一款名为 Finance Simplified 的 Android 应用，该应用自称是一款财务管理工具，在 Google Play 上的下载量已达 10 万次。然而，CYFIRMA 表示，该应用在某些国家（如印度）表现出更多的恶意行为，会窃取用户设备的数据用于掠夺性贷款。研究人员还发现了其他恶意 APK，这些 APK 似乎是同一恶意软件活动的变种，包括 KreditApple、PokketMe 和 StashFur。

尽管该应用现已被从 Google Play 中移除，但它可能仍在后台运行，继续从受感染的设备中收集敏感信息。

Google Play 上 Finance Simplified 的多条用户评论显示，该应用提供的贷款服务会向未支付高额利息的借款人进行勒索。一位用户评论称：“这款应用程序非常糟糕，他们提供的贷款金额很低，然后勒索要求高额还款，否则就会把照片编辑成裸照进行威胁。”

这些应用程序还声称自己是注册的非银行金融公司（NBFC），但 CYFIRMA 表示这并不属实。

为了逃避 Google Play 的检测，Finance Simplified 加载了一个 WebView，将用户重定向到外部网站，然后从该网站下载托管在 Amazon EC2 服务器上的贷款应用 APK。

CYFIRMA 解释道：“Finance Simplified 应用程序似乎专门针对印度用户，它通过显示和推荐贷款申请、加载显示贷款服务的 WebView 来重定向到外部网站，然后在该网站下载单独的贷款 APK 文件。”

研究人员发现，只有当用户位于印度时，该应用程序才会加载欺骗性界面，这表明该活动具有特定的目标。

应用程序窃取敏感数据

该恶意软件活动更令人担忧的方面是其数据收集行为，其中包括存储在用户设备上的敏感个人信息。以下是该恶意软件窃取的数据摘要：

· 联系人、通话记录、短信和设备详细信息。
· 来自内部和外部存储的照片、视频和文档。
· 实时位置跟踪（每 3 秒更新一次）、历史位置数据和 IP 地址。
· 最后 20 个复制到剪贴板的文本条目。
· 贷款历史和银行短信交易信息。

虽然这些数据主要用于敲诈那些错误申请贷款的受害者，但也可能被用于金融欺诈或转售给网络犯罪分子以牟利。

应对措施

如果您怀疑您的设备被任何上述应用程序或类似应用程序感染，请立即删除它们，重置权限，更改银行账户密码，并执行设备扫描。

山卡拉

GitVenom 活动滥用数千个 GitHub 存储库来感染用户

1 month 3 weeks ago

GitVenom 活动是一种复杂的网络威胁，利用 GitHub 存储库传播恶意软件并窃取加密货币。该活动通过创建数百个看似合法但包含恶意代码的虚假 GitHub 存储库来实施攻击，旨在诱骗开发人员下载和执行恶意代码，从而导致严重的财务损失。

恶意代码部署

GitVenom 背后的攻击者使用多种编程语言（如 Python、JavaScript、C、C++ 和 C#）制作虚假项目。这些项目通常声称提供社交媒体或加密货币管理的自动化工具等功能，但实际上隐藏了恶意代码，执行恶意操作。

恶意存储库的示例结构

Python 项目：攻击者使用一种技术，在一长行制表符后隐藏解密并执行恶意 Python 脚本的代码。
JavaScript 项目：嵌入了恶意函数，用于解码并执行 Base64 编码的脚本。
C、C++ 和 C# 项目：恶意批处理脚本被隐藏在 Visual Studio 项目文件中，以便在构建过程中执行。

这些虚假项目部署的恶意负载会从攻击者控制的 GitHub 存储库下载其他恶意组件。这些组件包括一个 Node.js 窃取程序，用于收集凭证和加密货币钱包数据等敏感信息，并通过 Telegram 将其上传给攻击者。此外，攻击者还使用了开源工具如 AsyncRAT 和 Quasar 后门。

根据 SecureList 的报告，攻击者还使用了剪贴板劫持程序，将加密货币钱包地址替换为攻击者控制的地址，从而导致严重的财务盗窃。值得注意的是，一个攻击者控制的比特币钱包在 2024 年 11 月收到了约 5 BTC（当时价值约 485,000 美元）。

影响与缓解

GitVenom 活动已经活跃多年，全球范围内都有感染尝试的报告，尤其是在俄罗斯、巴西和土耳其。这一活动凸显了盲目运行 GitHub 或其他开源平台代码所带来的风险。

为了降低风险，开发人员在执行或集成第三方代码之前必须彻底检查代码。这包括检查可疑的代码模式，并确保代码功能与描述一致。随着开源代码的广泛使用，类似攻击活动的可能性也在增加，这进一步强调了在处理第三方代码时保持警惕的必要性。

山卡拉

直播预告：EDLP-邮件多场景管控，为企业审批减负

1 month 3 weeks ago

2月26日15:00直播，扫码预约，看直播抽大奖，转发直播间邀请赢大礼

直播主题：EDLP-邮件多场景管控，为企业审批减负

直播亮点抢先看：
✔数据防护：多场景邮件的全面管控
✔精准检测：EDLP附件检测能力提升
✔DeepSeek：邮件数据防泄露领域的机遇

Coremail邮件安全

全球首个AI安全“中国方案”落地！360护航大模型安全发展

1 month 3 weeks ago

当前，以DeepSeek为代表的国产大模型发展势头迅猛，正重塑全球人工智能技术格局。然而，其背后潜藏的系统漏洞、内容风险、数据安全等隐患也频频敲响警钟，不仅对大模型自身的安全性提出了更高的要求，也对整个行业的规范发展和治理构成严峻的考验。安全不再是附加标签，而是大模型引领数智时代的原生属性。基于此，360集团正式推出DS大模型安全解决方案，覆盖模型训练、推理、运营等大模型落地应用全过程，满血守护DeepSeek发展，促进国产大模型企业向安全、向善、可信、可控的方向发展，为全球人工智能技术治理提供了可借鉴的“中国方案”。

DeepSeek发展面临五大安全挑战

DeepSeek以其强大的数据处理能力、精准的算法模型以及深度的用户洞察，重塑了AI领域的游戏规则。然而，以DeepSeek为代表的大模型作为新质生产力推动者的同时，也面临传统网络安全与新型安全风险交织的双重挑战。具体而言：

系统安全：此前DeepSeek遭遇网络攻击导致新用户注册受阻的事件就暴露了其在大模型系统安全方面的脆弱性。DeepSeek运行所依赖的硬件设施、软件框架、操作系统等基础层以及提示工程、缓存、向量库等训练和推理过程中使用的生态链工具共同构成庞大复杂的系统，系统中每个环节的缺陷都可能被恶意利用，加之开发运维过程中存在的不当使用和滥用等行为，技术脆弱性与人为风险因素相互叠加，使得大模型面临严峻的系统安全风险。

数据安全：数据在大模型各阶段流动创造价值，也带来数据泄漏、篡改、滥用等各类隐私及合规风险。在数据收集训练阶段，可能使用未经授权版本数据训练，导致侵权；在部署能力及开发阶段，使用不同供应商的服务时，可能存在黑盒以提取大模型记忆隐私数据；在对外提供服务时，可能存在API滥用隐患问题；在推理使用阶段，用户交互数据可能会泄漏或者滥用，违反隐私合规风险。

内容安全：由于DeepSeek依赖大量公开数据进行训练，模型可能在无意中学习到不当的行为，输出的内容可能会存在政治敏感、暴力违禁、色情低俗等不良内容，造成信息污染和伦理风险。例如2024年，Google大模型Gemini被指无法正确生成白人历史图像，引发人们对人工智能存在种族歧视问题的担忧，google不得不停用人物图像功能。此外，不法分子通过数据投毒、对抗样本、Prompt注入等手段，直接模型的“认知逻辑”予以扭曲，进而引发信息泄露、危害公共安全等严重后果。此前，用户以伪装成开发者的指令，让ChatGPT生成可被用于网络犯罪的电脑病毒等危险内容，便引发公众对大模型内容安全的担忧。

幻觉问题：大模型在运行过程中，其自身的幻觉问题往往会导致生成错误信息，不仅造成虚假内容的传播，还极大降低了模型的可用性。2023年，美国一位资深律师因在诉讼中引用了ChatGPT提供的6个完全不存在的判例，而被罚款5000美元。除了司法领域，在金融、医疗、安全等垂直行业应用中，大模型的幻觉问题也可能存在误导性建议、未经验证的治疗方法、错误的防御策略等特定隐患，进而误导用户判断和决策。

行为失控：大模型发展过程中，Agent自主性不断增强，嵌入到业务工作流中，可能带来新的安全隐患。Agent在复杂交互中因逻辑缺陷、环境误判等原因，可能导致出现指令劫持、任务偏离、资源滥用等非预期行为，即执行一些未经授权的操作，或者导致系统资源的过度消耗，甚至引发系统崩溃等严重后果。

对症下药，首个DS版大模型安全解决方案上线

作为兼具数字安全和AI双重能力的科技企业，360很早开始关注大模型安全风险，提出“以模制模”理念，利用安全大模型来检测和防范大模型可能出现的安全风险。针对以DeepSeek为代表的国产大模型厂商面临的安全挑战，360推出DS大模型安全解决方案，锚定系统安全、内容安全、幻觉问题、Agent失控、数据安全五大挑战，对症下药，守护DeepSeek大模型训练、推理和运营全流程，为全球人工智能技术治理提供“中国方案”。

安全体检员360智鉴：全天候扫描系统安全

针对大模型系统安全问题，360智鉴以全链路、精细化和动态进化的检测能力为核心，融合红蓝对抗思路和大模型自身技术优势，为企业提供一套全面、智能、高效的大模型系统安全检测方案，帮助企业在大模型上线前进行全方位的安全评估，保障大模型系统的可靠性与业务稳定性。

360智鉴覆盖了从数据清洗、模型训练、模型推理、部署上线的整个生命周期中的系统安全检测，支持近百个组件的400+公开漏洞检测，覆盖RAG、Agent、prompt等场景的安全性分析，同时，能够快速集成新的安全检测技术和方法，适应不断变化的安全威胁形势。

数据仓管员360智数：守护模型数据使用安全

针对DeepSeek面临的数据安全挑战，360基于智能化数据安全管理平台围绕大模型资产梳理分级、模型边界审查、模型数据风险监测三大维度构建闭环解决方案360智数，全方位护航大模型数据全生命周期，守护大模型数据流动安全，具体而言：

全链路数据资产梳理，通过AI动态资产识别技术，构建大模型数据地图。对大模型元数据分析，实现训练数据合规追溯、知识库重要数据识别、模型数据隐私内容检测三重治理；动态数据分级分类，对大模型智能体数据知识库、向量库、开放服务、记忆等位置进行动态分类分级，定期检查合规性和区域合法性，保证用户及企业使用安全；智能风险监测，通过大模型对数据开放及调用行为进行监测，识别异常调用、算法漏洞、知识库偏差，通过趋势分析及预测实现异常发现-风险研判-流程处置，以模制模，全面防控隐私数据、重要数据泄漏及模型行为失控风险。

信息净化器360智盾：全流程审核内容安全

为保障大模型内容安全，360智盾打造了全流程、多种类、多模态、场景化的内容安全体系，通过精准的风险检测、高效的内容拦截与替代机制，帮助企业确保生成内容的合法性、合规性与伦理可靠性，同时提升用户体验和模型输出的可信度。

360智盾支持100多类风险内容的识别过滤，涵盖超200种对抗内容防御机制，支持文本、音频、图片、视频等多种模态的风险防护，并通过平台定制化场景风控策略，满足不同场景的风控需求，检测识别正确率超90%。

安全领航员360智搜：把模型拉出幻觉泥潭

为避免大模型陷入幻觉泥潭，360智搜通过精确的知识整合，减少虚假或不准确信息，提升大模型的可信度与可靠性，有效减少大模型生成幻觉内容的可能性。同时，360智搜支持基于企业私域数据的知识提炼与总结，为企业提供更安全、更高效的业务支持。

360智搜整合多领域精品知识库，实现全网与私域知识的无缝对接，提升信息获取效率。实际应用中，在幻觉检测agent加持下，大模型通用场景下幻觉比例下降50%以上。

调度指挥官360智控：Agent流程可控可管

为确保Agent在执行任务时严格遵循既定流程，避免失控行为的发生，360智控通过原生安全的AI Agent可控框架对大模型场景进行统一编排调用，原生设置安全措施、监督任务规划全程、监控工具调用过程，把大模型能力关在笼子中，解决大模型不可控的问题。

360 DS大模型安全解决方案支持多种部署及交付方式，满足以DeepSeek为代表的通用大模型企业对便捷、成本、安全等多种因素个性化需求。此外，360大模型安全解决方案已在政务、税务、医疗等垂直行业落地应用，守护千行百业智能化转型。未来，360将继续护航大模型安全，为全球人工智能技术治理提供了可借鉴的“中国方案”。

企业资讯

激战正酣：中国威胁情报市场的争夺与创新突围

1 month 3 weeks ago

一、市场规模短期小幅回调，寡头竞逐与腰部混战并存

近日，2024年中国威胁情报市场的规模与份额交出答卷。根据艾瑞咨询发布的《2024年中国威胁情报行业发展研究报告》，针对2024年威胁情报API、威胁情报门户账号订阅、威胁情报管理平台TIP为主的纯情报市场，及融入其他安全产品的威胁情报服务规模进行统计，2024年中国威胁情报市场规模达到16.1亿元，同比微跌0.9%。

相比2024年全球威胁情报市场价值被加速验证，市场延续两位数高增长态势，中国威胁情报市场则由于2022到2024年，网安行业重在“清库存”短期内限制了威胁情报行业的进一步增长，市场出现小幅回调。

当前中国整体威胁情报市场，属于低集中寡占型市场（CR4=43.0%、CR7=49.7%），由少数几家厂商占据大部分份额。其中，微步在线、腾讯安全、奇安信位列2024年中国威胁情报市场份额前三，竞争激烈。

从市场格局来看，最早一批进入中国威胁情报市场的“元老级”厂商微步在线凭借在威胁情报领域的深耕，以纯威胁情报及多产品赋能持续稳居威胁情报市场第一，而具备大厂优势及数据积累的腾讯安全、及产线覆盖广，安全产品赋能多的综合安全厂商奇安信排在第二阵营。绿盟、安恒信息、360安全、深信服等厂商则以垂直场景或技术差异化争夺细分市场。

这也反映出中国威胁情报市场，历经十年发展已日趋成熟。从2015年首批专业威胁情报厂商成立，到2018年中国第一个威胁情报标准正式发布，2019年等保2.0首次对威胁情报提出要求，再到攻防演练倒逼情报技术实战化，市场已从“技术拓荒期”迈入“生态竞合期”。而2022年到2024年，客户预算收缩导致的“清库存”周期，进一步加速了市场的洗牌。

二、商业模式扩展：从数据平台到融合方案

根据报告，当前中国威胁情报落地商业模式，主要分为纯情报产品交付与情报赋能产品交付两大类。

其中，纯情报产品交付聚焦“数据价值深挖”，解决威胁数据的“快捷、易用、全面”的需求。纯情报产品交付专注提供高质量的情报数据和服务，通常以标准化API接口、TIP平台或是通过威胁情报门户账号订阅方式交付。其中，API及威胁情报门户账号订阅侧重情报数据交换的便捷与及时性，TIP情报管理平台更侧重对情报数据的查询、分析、生产、共享及狩猎等全方位情报管理与流程化操作。

情报赋能产品交付，则强调情报能力无缝衔接。从商业模式看，情报信息主要以三种方式向其他产品赋能。依照彼此融合赋能方式的差异，可分为厂商内部的安全情报赋能产品，对外部厂商提供情报技术支持下的融合安全产品，以及与外部厂商共同构建的综合安全解决方案。

值得关注的是，与国际威胁情报市场商业模式以“情报订阅”为主不同，中国企业客户群体对于威胁情报能力的需求各有侧重，商业模式从单纯情报产品交付逐渐扩展到通过赋能其他安全产品交付，使得中国不同安全厂商之间的竞争边界也逐渐发生变化。

三、威胁情报未来三大破局点：出海、AI与漏洞防御升维

破局点一：出海业务标准攻坚

随着中国企业海外发展，威胁情报厂商迎来新战场，主要需跨越两大门槛。一个是数据合规鸿沟。数据作为威胁情报的重要基础资源，各个国家及地区对于本地数据的保护要求也纷繁复杂，欧盟GDPR、美国CLOUD法案等要求倒逼情报数据脱敏技术升级。一些厂商已探索出设立海外实体、处理敏感信息及建立共享协议等海外数据合法合规使用方式。

另一个是威胁情报标准适配。我国于2018年推出《信息安全技术网络安全威胁信息格式规范》，以推动技术发展与产业化应用。该规范虽然以国际标准为重要参考依据，但从STIX/TAXII格式兼容到MITRE ATT&CK框架本地化改造，厂商技术中台面临重构压力。

破局点二：大模型赋能情报生产力

根据报告，针对威胁情报行业，大模型在人员生产威胁情报效率、降低威胁情报应用门槛、赋能更多岗位人员等威胁情报生产与运营等多个环节均可进行赋能，但目前，多数大模型赋能威胁情报的应用场景还在概念验证的阶段。未来，安全厂商可在如大模型行业适配、大模型落地效率、性能优化、合规应用等多个角度着力，实现大模型在新应用场景的快速落地，提升自身竞争力。

破局点三：漏洞情报强化主动防御

随着0day漏洞利用的常态化，漏洞情报的价值显著提升。当前漏洞情报与企业资产结合紧密度不断上升。企业面临越来越多的资产存在漏洞，需具备的漏洞管理能力要求也越来越高，通过漏洞情报全面及时掌握最新漏洞信息，打通内部资产平台第一时间发现漏洞，并建立科学漏洞评估模型优先处置真正的高危漏洞，对于企业进一步增强主动防御能力，尤为重要。

从长期来看，威胁情报行业将经历从“功能堆砌”到“价值交付”的转型，厂商需要回答的核心问题如今已真正变成了“如何证明威胁情报的ROI”。可以预见，未来3-5年，中国威胁情报市场将在技术迭代与生态博弈中更加成熟，而真正的赢家将是那些能够将情报能力转化为客户业务风险管控支撑的企业。

企业资讯

「深蓝洞察」2024年度最隐蔽的黑手

1 month 3 weeks ago

7、往期回顾：「深蓝洞察」2024年度最难以阻挡的攻防趋势

8、往期回顾：「深蓝洞察」2024年度最“安全”的防线

9、往期回顾：「深蓝洞察」2024年度最憋屈的漏洞披露

在移动互联网时代，用户流量代表着厂商的命脉。在这场流量争夺战中，手机厂商掌握着最具压倒性的优势——操作系统的终极权限。通过对安卓AOSP进行深度定制，厂商不仅可能有权精准掌控用户和应用的一举一动，甚至还能够操控、干预用户的选择。

通常，极少有企业会选择违法违规、滥用特权来侵害消费者。

然而2024年，国产某知名手机品牌突破商业伦理底线，利用非安全技术手段暗中操纵自产手机系统，让数百万用户沦为他们的牟利工具。

以下为本期《深蓝洞察 | 2024 年度安全报告》的第十·完结篇。

对于安卓游戏爱好者来说，或许遇到过这样的困扰：当你想从游戏官网下载安装一款游戏时，系统却不遗余力地推送内置应用市场的下载入口，显得格外“贴心”。

但如果你坚持从官网安装，流程却变得复杂繁琐冗长：不仅需要拒绝系统三番五次插入的应用市场推荐，还需要无视重重风险警告、等待系统完成额外的安全扫描等。

为什么选择官网需要繁琐的操作，而选择应用市场就能一键快捷安装？

背后的原因直指手机厂商的现实利益：如果成功引导用户使用应用市场安装游戏，手机厂商作为渠道方就可以从游戏流水中抽取2~3成的分成，甚至有时分成比例高达五五开。但对于从游戏官网完成的安装，所有流水收入全由游戏开发商所有。

于是，厂商通过优化自家渠道的体验，巧妙提高了其他下载途径的难度，默默地引导用户流量，完成利益的最大化。

然而，这种流量引导还算明面上的商业竞争范畴，但某些厂商却暗地将系统权限用在了更隐蔽、更恶劣的领域，彻底突破了商业伦理的边界。

GEEKCON 2024 上海站颁发年度捍卫者奖与年度鲱鱼奖

在GEEKCON 2024 上海站，两位选手为大家带来了特别披露议题【买手机送木马？】，披露了某国产手机厂商的恶行：该厂商利用系统权限，在用户不知情的情况下向多个第三方应用植入广告。数百万用户正常体验被破坏的同时，手机厂商却从应用方赚取了数千万的推广费用。

在该品牌的手机上，部分应用表现得极为异常：

用户从桌面点击图标启动应用，在等待开屏界面加载后，打开的并非应用首页，而是直接进入了一个“包含广告的页面”。用户需要额外点击返回键才能回到首页正常使用，体验打了折扣。

看似是应用投放了不会自动关闭的开屏广告，但真相是该手机厂商在暗中作祟，劫持了用户的点击操作！

被劫持的那些应用有一个共同特点：它们的商业模式包含推广返佣机制，即它们愿意为外界的推广行为付费。在常规合作中，外部推广者会在各类平台投放带追踪参数的推广链接。当用户点击这些链接时，会跳转到应用内与推广内容相关的落地页面。此时应用也能通过解析推广链接中的渠道代码，精准识别流量来源，并向推广者支付单笔报酬、或后续购买行为的酬金。

应用自动打开的“包含广告的页面”，实际上正是它们的推广页面。这意味着该厂商把用户自主打开应用的行为替换成推广访问行为，从而通过应用的返佣机制牟利！

淘宝与京东的推广页示例，与应用首页有显著区别

按照安卓系统规范，当我们在桌面上点击应用图标时，启动的应该是应用在AndroidManifest.xml中注册有android.intent.action.MAIN和android.intent.category.LAUNCHER标志的Activity，推广页显然不符合条件。

仔细观察例图页面的顶端，在标题的两侧可以发现几个类似浏览器功能的按钮。推广页的本质其实是在应用内置浏览器中加载的网页，使用Deep Link启动应用可以很容易地做到这一点。

Deep Link（深链接）是指一种特殊的URL，是实现应用间快速导航、内容分享以及推广转化的重要工具。使用Deep Link能够直接跳转到安卓应用内的特定页面或功能，而不是简单地打开应用的主界面。

那么该厂商是如何修改系统逻辑进行劫持的？通过对其桌面应用进行分析，可以得出结论：

该厂商的桌面应用基于AOSP源码定制，但向处理点击事件的ItemClickHandler.onClick插入了额外的处理逻辑。它根据正常应该启动的Activity名称去寻找劫持配置，如果存在匹配，就直接通过配置中的Deep Link启动应用、直达推广页；否则才继续进行正常的应用启动流程。

为了避免劫持反复触发，桌面还会移除已使用过的配置。仅第一次打开应用时触发，这样的劫持行为也更容易被用户误解为应用的开屏广告，让用户的矛头错指应用方。

这些行为破坏了公平竞争，还严重侵犯了用户与相关应用方的权益，可能违反相关法律法规。

《反不正当竞争法》第十二条明确规定：经营者不得利用技术手段，通过影响用户选择或者其他方式，实施下列妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为：（一）未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转……

和「深蓝洞察」曾披露过的另一家违规巨头类似，本案例中的厂商，也采用了一系列的技术手段来掩盖他们的违规行为：

含有Deep Link的配置并未事先存储在设备中，而是由厂商的服务器根据特定规则动态下发。GEEKCON选手指出，并非所有该品牌的设备都会接收到这些恶意劫持配置。这表明，厂商可能依据用户的画像、手机的地理位置等因素来决定是否下发这些配置，从而将受影响的用户群体锁定为技术知识相对薄弱的二三线城市的中老年人群体。

此外，该厂商再次滥用特权，下发的恶意配置文件被保存在桌面应用的私有数据目录中，由于安卓系统的应用沙箱隔离机制，每个应用的数据存储区域都受到严格保护，以此阻止第三方提取证据。动态下发的机制也赋予厂商远程销毁证据的能力，使得追踪与固证更加困难。

我们以为自己在自由地使用手机，实际上，每一步都可能是被精心设计的陷阱。

京东集团高级总监兼首席安全研究员、GEEKCON组委 flanker：

内存破坏漏洞，凭借先进的技术手段，尚可不断予以消灭和预防；然而，业务模式所衍生出的安全与隐私风险，却犹如顽固的沉疴，最难根除。

正如古人云：“破山中贼易，破心中贼难”。科技本身，纯净无瑕，不过是供人驱使的工具，其本质无善恶之分；然而人心的幽深复杂，恰似深不可测的万丈深渊，潜藏着难以分辨的善恶欲念。

深蓝洞察

数字技术的使命应是为人们带来便利与福祉，进而实现用户和厂商的共赢。而当技术被滥用甚至恶意使用成为谋取私利的工具时，受损的不仅是用户的权益，更是整个技术生态的信任基础。

iOS缘何成为人们心中安全与隐私的代名词，这不仅得益于其软硬结合、缜密完备的安全防御体系，更在于其生态环境中对隐私保护的高度重视，以及在商业化进程中所秉持的克制态度。诚然，苹果较高的硬件利润率或许是其能坚守隐私保护的因素之一，但换个角度看，这种克制又何尝不是铸就了人们对其品牌的高度认可，以及甘愿为之付出溢价的消费意愿？

如今，以HarmonyOS NEXT为代表的新一代操作系统正蓬勃崛起，在这充满挑战与机遇的进程中，它能否承受住各方压力，避免重蹈覆辙，切实守护用户的安全与隐私？各大厂商能否躬身自省，与iOS见贤思齐？这无疑是消费者与行业共同关注的焦点。

* 本期深蓝洞察年度报告共十篇已发布完结，感谢您的支持、期待您的宝贵建议。

企业资讯

盛邦安全入选国家工业信息安全漏洞库（CICSVD）成员单位，助力工控安全漏洞治理

1 month 3 weeks ago

近日，国家工业信息安全发展研究中心公示了国家工业信息安全漏洞库（CICSVD）成员单位名单，盛邦安全凭借在在工业信息安全领域多年的技术积累和专业能力成功入选CICSVD技术组成员单位。

国家工业信息安全漏洞库（简称CICSVD）由工业和信息化部指导，是工业控制产品领域的国家级专业库，旨在建立工业控制产品安全漏洞收集、分析、研判、通报、预警和处置工作体系。本次入选CICSVD成员单位，是对盛邦安全在工控安全漏洞领域专业技术能力的高度认可。

作为国家级网络安全应急服务支撑单位、国家漏洞库建设运维与技术支持单位，盛邦安全积极参与漏洞发现、风险预警及应急响应等工作，曾获得CNVD原创漏洞挖掘能力满星评价、年度原创漏洞发现突出贡献奖、CNNVD重大预警报送专项奖、CSTIS漏洞报送最具贡献单位等多项认可，为关键信息基础设施安全保护、区域及行业漏洞治理及重大活动安全保障提供有力支撑。

作为CICSVD技术组成员单位，盛邦安全将依托在漏洞挖掘与安全防护等领域的技术优势，积极参与国家工业信息安全漏洞库建设，助力优化工业控制产品的安全漏洞管理生态，推动工业信息安全技术的创新与应用，为工业互联网和智能制造等领域的高质量发展提供坚实保障。

原文链接

盛邦安全

苹果修复了“极端复杂”攻击中被利用的零日漏洞

1 month 3 weeks ago

苹果发布了紧急安全更新，以修补该公司所说的零日漏洞，该漏洞是在针对性和“极为复杂”的攻击中所利用的。

该公司在一份针对iPhone和iPad用户的建议中透露：“物理攻击可能会使锁定设备上的USB限制模式失效。”

苹果注意到有报道称，这个问题可能被利用在针对特定目标个人的极其复杂的攻击中。

USB受限模式是一项安全功能（大约七年前在iOS 11.4.1中引入），如果设备被锁定超过一小时，它将阻止USB附件创建数据连接。该功能旨在阻止像Graykey和Cellebrite（执法部门常用）这样的取证软件从锁定的iOS设备中提取数据。

去年11月，苹果推出了另一项安全功能（被称为“非活动重启”），该功能可以在长时间闲置后自动重启iphone，重新加密数据，使取证软件更难提取数据。

针对目前苹果修补的零日漏洞（追踪为CVE-2025-24200），这是一个授权问题，在iOS 18.3.1、iPadOS 18.3.1和iPadOS 17.7.5中得到了解决，并改进了状态管理。

此零日漏洞影响的设备列表包括：

·iPhone XS和之后的产品

·iPad Pro 13英寸、iPad Pro 12.9英寸第三代及以上、iPad Pro 11英寸第一代及以上、iPad Air第三代及以上、iPad 7代及以上、iPad mini第五代及以上

·iPad Pro 12.9英寸第二代，iPad Pro 10.5英寸，iPad 6代

尽管此漏洞仅在有针对性的攻击中被利用，但强烈建议用户立即安装安全更新以阻止潜在的持续攻击尝试。虽然苹果还没有提供更多关于野外利用的信息，但安全研究人员经常披露针对高风险人群（如记者、反对派政客和持不同政见者）的针对性间谍软件攻击中使用的零日漏洞。

此外，安全研究员还披露了另外两个零日漏洞（CVE-2023-41061和CVE-2023-41064），苹果公司在2023年9月的紧急安全更新中修复了这两个漏洞，并将其作为零点击漏洞链（称为BLASTPASS）的一部分，利用NSO集团的Pegasus商业间谍软件感染已打过补丁的iphone。

上个月，苹果修复了今年第一个零日漏洞（CVE-2025-24085），该漏洞被标记为针对iPhone用户的攻击。据统计，在2024年，该公司修补了六个活跃的零日漏洞：第一个在1月，两个在3月，第四个在5月，还有两个在11月。2023年，苹果修补了20个在野外被利用的零日漏洞，包括：

·11月的两个零日漏洞（CVE-2023-42916和CVE-2023-42917）

·10月的两个零日漏洞（CVE-2023-42824和CVE-2023-5217）

·9月份的5个零日漏洞（CVE-2023-41061、CVE-2023-41064、CVE-2023-41991、CVE-2023-41992和CVE-2023-41993）

·7月份的两个零日漏洞（CVE-2023-37450和CVE-2023-38606）

·6月份的三个零日漏洞（CVE-2023-32434、CVE-2023-32435和CVE-2023-32439）

·5月份又有三个零日漏洞（CVE-2023-32409、CVE-2023-28204和CVE-2023-32373）

·4月的两个零日漏洞（CVE-2023-28206和CVE-2023-28205）

·2月份又出现了一个WebKit零日漏洞（CVE-2023-23529）

胡金鱼

「深蓝洞察」2024年度最憋屈的漏洞披露

2 months ago

7、往期回顾：「深蓝洞察」2024年度最难以阻挡的攻防趋势

8、往期回顾：「深蓝洞察」2024年度最“安全”的防线

在网络安全领域，漏洞披露一直被视为保护用户的重要环节，但在现实中，这一过程却充满了争议和矛盾。究竟什么才算得上“负责任的披露”？当厂商在信息公开和补丁发布上占据主导地位，而安全研究者则需要耗费大量精力进行沟通与博弈，这一模式是否还能真正实现保护用户安全的初衷？在技术快速演进、网络威胁不断升级的今天，传统的漏洞披露机制是否已跟不上时代的步伐？

本报告将以近期引发广泛讨论的漏洞披露事件为切入点，探讨当前责任披露过程中存在的问题，试图寻找一种更为公平、高效且能平衡各方利益的解决路径。

以下为本期《深蓝洞察 | 2024 年度安全报告》的第九篇。

对于一个严重的安全漏洞来说，通常只有在厂商率先发布漏洞的修复并将其推送给用户一段时间之后，漏洞发现者才会开始披露漏洞的细节，公开漏洞的PoC或者Exp，这也就是在计算机安全研究中所谓的CVD（coordinated vulnerability disclosure，协调漏洞披露）漏洞披露模型，也被称为负责任的漏洞披露。

24年9月末，在安全研究界发生了一件怪事，一个“足以影响所有Linux系统”的远程代码执行漏洞详细披露与各大Linux发行版厂商的安全声明在同一天内相继发布。而在这之前，漏洞的发现者还在社交媒体上抱怨Redhat等厂商已经给漏洞打了9.9分的评分，但是相关组件的开发人员毫不重视他所提交的漏洞。他在推文的最后抱怨道："responsible disclosure: no more"。

Simon称其发现了影响所有Linux的远程代码执行漏洞

漏洞披露风波

这个故事的主人公是著名的安全研究员Simone Margaritelli，他在24年9月初开始研究Linux系统中的CUPS组件，并于9月5日将他发现的漏洞披露给了相关的厂商以及OpenPrinting开发人员，Redhat给予这个漏洞了9.9的评分，但是OpenPrinting的开发者并不理解evilsocket所进行的研究，Simone与OpenPrinting进行了长达22天的交流，直到3周之后，OpenPrinting方才承认evilsocket研究的正确性。

在这期间，9月23日，Simone在社交媒体上发表了那篇引起轩然大波的推文。Simone在推文中并没有指明漏洞所在的具体组件，令人啼笑皆非的是，仅仅在1天之后的9月24日，BreachForums黑客论坛就出现了Simone提交给CERT's VINCE的原始漏洞报告以及漏洞利用。

BreachForums论坛上泄漏的漏洞报告及利用

9月26日，OpenPrinting下的libppd、libcupsfilters、cups-browsed推送了漏洞的修复版本以及临时的漏洞修复方案，Ubuntu、Redhat等Linux发行厂商也开始推送漏洞公告以及漏洞修复方案。同一天，Simone在自己的博客上公开披露了漏洞细节与利用。最终这些漏洞被给予了最高9.0的CVSS漏洞评分。

OpenPrinting发布漏洞公告

漏洞披露：理想与现实

在安全研究漏洞披露的过程中，安全研究者一般会遵循CVD模型，即负责任的漏洞披露的准则，这一准则旨在为相关的组织或者机构留出足够的时间指定漏洞修复或者缓解方案，尽可能快的减少漏洞造成的影响，同时用户有权利对自己使用的产品中的漏洞知情。

但是，这种模型在现实实践中展现出了一定的局限性：厂商在漏洞披露过程中占据主导权，安全研究者需要花费大量的时间与精力与厂商沟通漏洞的细节。就本次事件而言，第三方安全研究人员即Simone与开发者OpenPrinting之间的沟通过程并不是那么顺利。在Simone的博客中提到双方的沟通记录内容多达50页，时间跨度长达3周，消耗了双方大量的时间与精力，最终Simone违反了“负责任的披露”的准则，提前进行了漏洞披露。

漏洞评价标准的缺失是厂商在漏洞披露过程中占据主导权的原因之一，目前常用的CVSS漏洞评价体系对于漏洞评价的指标过于单一，无法准确评估漏洞的攻击难度与影响范围，安全研究员与厂商很难通过这套体系达成一致。

安全研究员、GEEKCON评委古河对现行CVSS的评价

对于这种困境，P0、ZDI、CERT等组织在CVD模型的基础上加入了Deadline机制，以Google Project Zero为例，其提出了90天漏洞披露机制，即安全研究员第一时间将漏洞细节通报给厂商，并且在90天之后或者漏洞安全补丁发布之后，向公众公布漏洞细节以及缓解方案。

Deadline机制作为CVD模型的现实补充，有效的提高了漏洞修复的效率以及最终用户的安全性。但是Deadline机制终究只是一种被动的警告机制，并没有对漏洞披露过程中厂商的权力进行有效的限制，厂商仍然占据着绝对的主导权。事实上，即使一些安全研究员声明将在漏洞报告90天之后披露漏洞细节，部分厂商仍然没有积极推进漏洞修复的流程，从而导致在野漏洞流出，在P0的报告中不乏这样的例子。

P0对其提交给三星的漏洞逾期后发布的漏洞公告

现有漏洞披露模型下，厂商在漏洞披露过程中的主导地位、评价标准的单一性、以及信息共享的滞后，往往导致漏洞修复的效率低下，甚至影响用户的安全保障。虽然Deadline机制和其他补充措施在一定程度上提升了漏洞修复的速度，但漏洞披露体系仍然存在显著的改进空间。在这个快速发展的数字世界里，建立一个更加高效、公正的漏洞披露机制，依旧是各方共同的目标。

深蓝洞察

在这个高度信息化的时代，在野的高危漏洞利用所造成的影响正在越来越广泛与复杂，安全研究者对于漏洞的披露、厂商的及时响应与推送、用户尽早的知悉与更新，才能共同缩小漏洞所带来的危害。

负责任的披露在这种背景下显得有些理想化，由于漏洞评价机制CVSS缺陷等原因，厂商/开发者占据了漏洞披露过程中的主导权，第三方安全研究者以及用户对漏洞修复的作用十分有限。安全研究员需要花大量的时间与精力与厂商就漏洞的评价达成一致。

Deadline机制的加入，有效的提高了漏洞修复的效率以及最终用户的安全性。但是这套机制对厂商仍然无法起到足够的约束作用，一套更加完善的漏洞披露制度仍然需要三方的共同努力。

参考：

[1] https://x.com/evilsocket/status/1838169889330135132

[2] https://www.akamai.com/blog/security-research/guidance-on-critical-cups-rce

[3] https://www.evilsocket.net/2024/09/26/Attacking-UNIX-systems-via-CUPS-Part-I

[4] https://googleprojectzero.blogspot.com/2015/02/feedback-and-data-driven-updates-to.html

[5] https://github.com/OpenPrinting/cups-browsed/security/advisories/GHSA-rj88-6mr5-rcw8

[6] https://github.com/OpenPrinting/cups-filters/security/advisories/GHSA-p9rh-jxmq-gq47

[7] https://project-zero.issues.chromium.org/issues/368695689

[8] https://x.com/guhe120/status/1856844617846817004

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第十篇。

企业资讯

超过12000个KerioControl防火墙暴露于被利用的RCE漏洞

2 months ago

KerioControl是一款面向中小企业的网络安全套件，主要用于vpn、带宽管理、报表监控、流量过滤、反病毒防护、入侵防御等。安全研究员发现，超过12000个GFI KerioControl防火墙实例暴露于一个关键的远程代码执行漏洞，跟踪为CVE-2024-52875。

这个漏洞是由安全研究员Egidio Romano （EgiX）在12月中旬发现的，他向人们展示了一键式RCE攻击的潜在危险。

GFI软件公司于2024年12月19日发布了9.4.5版本补丁1的安全更新，但三周后，根据Censys的说法，超过23800个实例仍然容易受到攻击。

上个月初，Greynoise透露，它已经检测到利用Romano的概念验证（PoC）漏洞的活跃利用尝试，旨在窃取管理CSRF令牌。

尽管有关于主动利用的警告，威胁监控服务Shadowserver表示，有12229台KerioControl防火墙暴露在利用CVE-2024-52875的攻击中。

这些实例大多数位于伊朗、美国、意大利、德国、俄罗斯、哈萨克斯坦、乌兹别克斯坦、法国、巴西和印度。

由于CVE-2024-52875的公共PoC的存在，利用的要求很低，即使是不熟练的黑客也可以加入恶意活动。

Egidio Romano解释说：“在302 HTTP响应中用于生成“Location”HTTP头之前，通过“dest”GET参数传递到这些页面的用户输入没有得到正确的处理。”

具体来说，应用程序不能正确过滤/删除换行（LF）字符。这可以用来执行HTTP响应分裂攻击，这反过来可能允许执行反射跨站脚本（XSS）和其他可能的攻击。”

反射XSS向量可能被滥用来执行一键式远程代码执行（RCE）攻击。如果用户还没有进行安全更新，强烈建议安装2025年1月31日发布的KerioControl版本9.4.5 Patch 2，其中包含额外的安全增强功能。

胡金鱼

国家计算机病毒应急处理中心监测发现14款违规移动应用

2 months ago

依据《网络安全法》《个人信息保护法》《App违法违规收集使用个人信息行为认定方法》等法律法规及相关国家标准要求，近期国家计算机病毒应急处理中心通过互联网监测，发现14款移动应用存在隐私不合规行为。

一、个人信息处理者在处理个人信息前，未以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名、联系方式、个人信息的保存期限等。涉及6款移动应用如下：

1、《艾乐游》（版本1.3.3，百度手机助手）

2、《江子为民》（版本1.1.54，应用宝）

3、《元气桌面壁纸》（版本3.52.4324，vivo应用商店）

4、《易念》（版本3.0.2，应用宝）

5、《同城酒库》（版本3.2.9，vivo应用商店）

6、《乐山商业银行》（版本3.31.6，应用宝）

二、隐私政策未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等。涉及10款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《艾乐游》（版本1.3.3，百度手机助手）

3、《鲸鱼爱学》（版本3.1.0，应用宝）

4、《华龙智信恒生版》（版本7.1.3.0，应用宝）

5、《江子为民》（版本1.1.54，应用宝）

6、《元气桌面壁纸》（版本3.52.4324，vivo应用商店

7、《易念》（版本3.0.2，应用宝）

8、《乐山商业银行》（版本3.31.6，应用宝）

9、《普益基金》（版本7.0.3，应用宝）

10、《i音乐》（版本10.5.2.0，vivo应用商店）

三、个人信息处理者向其他个人信息处理者提供其处理的个人信息的，未向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。涉及4款移动应用如下：

1、《鲸鱼爱学》（版本3.1.0，应用宝）、

2、《江子为民》（版本1.1.54，应用宝）

3、《乐山商业银行》（版本3.31.6，应用宝）

4、《i音乐》（版本10.5.2.0，vivo应用商店）

四、未提供有效的注销用户账号功能。涉及1款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

五、未向用户提供撤回同意收集个人信息的途径、方式；基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者未提供便捷的撤回同意的方式。涉及7款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《天利测亩仪》（版本2.0.23，vivo应用商店）

3、《艾乐游》（版本1.3.3，百度手机助手）

4、《易念》（版本3.0.2，应用宝）

5、《同城酒库》（版本3.2.9，vivo应用商店）

6、《乐山商业银行》（版本3.31.6，应用宝）

7、《i音乐》（版本10.5.2.0，vivo应用商店）

六、处理敏感个人信息未取得个人的单独同意。涉及3款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《乐山商业银行》（版本3.31.6，应用宝）

3、《i音乐》（版本10.5.2.0，vivo应用商店）

七、个人信息处理者处理不满十四周岁未成年人个人信息的，未制定专门的个人信息处理规则；收集未成年人信息未取得监护人单独同意。涉及3款移动应用如下：

1、《元气桌面壁纸》（版本3.52.4324，vivo应用商店）

2、《同城酒库》（版本3.2.9，vivo应用商店）

3、《i音乐》（版本10.5.2.0，vivo应用商店）

八、个人信息处理者未根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取相应的加密、去标识化等安全技术措施。涉及2款移动应用如下：

1、《贝壳找房 | 二手房新房租房装修》（版本9.91.2，微信小程序）

2、《微医健康平台》（版本1.04，微信小程序）

针对上述情况，国家计算机病毒应急处理中心提醒广大手机用户首先谨慎下载使用以上违规移动应用，同时要注意认真阅读其用户协议和隐私政策说明，不随意开放和同意不必要的隐私权限，不随意输入个人隐私信息，定期维护和清理相关数据，避免个人隐私信息被泄露。

文中所列移动应用检测时间为2024年12月18日至2025年2月8日。

文章来源自：国家计算机病毒应急处理中心

胡金鱼

Fortinet重磅发布全新下一代防火墙，助力分布式企业实现安全性和高效网络性能

2 months ago

专注推动网络与安全融合的全球性综合网络安全解决方案供应商 Fortinet®（NASDAQ：FTNT）今日宣布，全新推出 G 系列下一代防火墙（NGFW）FortiGate 70G、FortiGate 50G 和 FortiGate 30G，旨在满足当今分布式企业不断演进的技术和业务需求。FortiGate G 系列搭载 Fortinet 专研 ASIC 芯片技术，并由 Fortinet 统一操作系统 FortiOS 提供强劲支撑，为用户提供行业领先的安全性和无与伦比的性能。凭借与高级组网技术支持和 FortiGuard AI 驱动安全服务的深度融合，FortiGate G 系列助力用户打造面向未来的 IT 基础设施，大幅降低网络威胁入侵风险。同时，帮助用户大幅削减运营成本，减少对环境的消极影响。

Fortinet 产品和解决方案高级副总裁 Nirav Shah 表示： “近二十五年来，我们始终致力于为广大企业筑牢网络安全防线树立标杆。此次，凭借全新 ASIC 自研芯片和统一操作系统 FortiOS 的创新功能和服务，我们成功推出全新 FortiGate G 系列，专为分布式企业量身打造尖端工具，包括 AI 驱动的安全服务，以及专为网络和安全运营中心设计的生成式人工智能（GenAI）助手，确保卓越性能并满足可持续性需求的同时，为用户交付出色的防护效能。展望未来，Fortinet 将持续引领技术创新，以卓越的安全效能、更出色的能源效率以及无与伦比的性能表现，矢志成为业内下一代防火墙标准的革新者，而这一切，离不开全球用户长久以来给予的深厚信赖与坚定支持！”

FortiGate G 系列：行业领先的性能和 AI 驱动的安全性

当今商业环境充满挑战，企业不断面临多方面考验，包括扩展运营、保护日益扩大的攻击面以及管理日益复杂的各类网络威胁，同时还需竭力降低成本并保持高效运营。FortiGate G 系列重点聚焦此类核心需求，致力于为您提供：在产品增长方面，Fortinet同样表现出色。年度账单金额和盈利能力持续强劲增长，复合年增长率高达23%。此外，公司的各项业务增长速度均高于市场增速。三大战略核心领域“安全组网”“统一SASE”“AI赋能安全组网”过去三年同比平均增长了14.6%、21.7%、22.3%，远超行业同期的9%、19%、14%的增长率。

• 卓越的安全性和无与伦比的能效：FortiGate G 系列可确保出色性能的同时，提供卓越的安全防护。例如，全新 FortiGate 70G 表现亮眼，与业内平均水平相比，IPsec VPN 吞吐量高 11 倍，防火墙吞吐量高 7 倍，同时，在能耗方面，每 Gbps IPsec VPN 吞吐量能耗降低 62 倍，每 Gbps 防火墙吞吐量能耗降低 42 倍。

• 加速识别、遏制和缓解威胁：搭载 FortiGuard AI 驱动的安全服务，提供实时、自动化威胁检测和响应，高效抵御各类高级勒索软件、恶意软件和零日漏洞攻击。

• 借助 FortiAI 优化网络安全运营：Fortinet 生成式 AI 助手 FortiAI，可自动执行安全任务、提供可操作威胁洞察并优化威胁检测流程。部署 FortiGate 的用户可借助 FortiAI 快速进行事件分析、威胁修复和剧本（Playbook）创建，有效简化威胁响应流程，增强网络安全态势。

下一代防火墙助您构建高效智能的网络安全平台

自创立以来，Fortinet 始终秉持创新理念，专注于将网络与安全融合至统一网络安全平台，并基于一套操作系统运行。Fortinet Security Fabric 安全平台，是 Fortinet 二十多年来打造统一安全平台愿景以及产品有机开发和创新不懈努力的成果，旨在为全球用户提供端到端可视化、统一管理和自动化威胁情报共享服务。FortiGate G 系列等所有 FortiGate NGFW，均可无缝集成至 Fortinet Security Fabric 安全平台，助力用户奠定稳固的安全基石，通过引入安全访问服务边缘（SASE）解决方案全面推动安全防护措施的升级，并结合 FortiAI 人工智能助手提升防御能力和应急响应效率。Fortinet 赋能组织加速网络安全战略演进，确保每一个演进阶段都能获得全面保护和持续高效运营。

企业资讯

「深蓝洞察」2024年度最“安全”的防线

2 months ago

7、往期回顾：「深蓝洞察」2024年度最难以阻挡的攻防趋势

在攻防对抗日益激烈的2024年，安全软件一直被视为企业安全防线的重要基石。然而，这些安全软件本身也可能存在漏洞，甚至被攻击者利用作为入侵的跳板来对用户造成危害。多年来，因为安全软件而导致的事故不禁让人产生一个疑问——安全软件真的可信吗？

以下为本期《深蓝洞察 | 2024 年度安全报告》的第八篇。

安全软件被滥用为攻击工具

在当前APT（高级持续性威胁）组织频繁活动的环境下，EDR/XDR已成为企业安全防御体系的核心组件，负责监控数百万端点和服务器。然而，权力越大，责任也越大。这些承担重任的安全软件一旦存在安全漏洞，便可能成为攻击者手中的利器，用于部署勒索软件、窃取敏感信息，并且难以被察觉或移除。

近日，SCRT的安全研究人员通过逆向工程与动态分析，发现Palo Alto Networks Cortex XDR产品中存在一个权限提升漏洞（CVE-2024-5907）。用户用受Cortex XDR保护的设备请求Cortex服务（cyserver.exe）生成日志，管理员可以使用这些日志来排除代理的潜在问题。

漏洞触发版本

CVE-2024-5907漏洞的核心在于利用Cortex XDR的日志生成机制实现权限提升。攻击者通过非特权用户身份请求生成日志，触发以SYSTEM权限运行的cyserver.exe服务。该服务在处理日志生成时，会在C:\Windows\Temp目录下创建临时文件夹，其名称遵循可预测的tmp<进程pid>

创建临时文件夹

由于这些临时文件夹继承了C:\Windows\Temp的宽松访问控制列表，所有用户均拥有写入权限，攻击者便可预先在预测路径下创建恶意的NTFS Junction软链接，将该目录重定向至高权限敏感位置，例如C:\Config.msi。具体攻击过程如下：

首先，当cyserver.exe服务执行临时文件清理操作时，会对临时目录进行递归删除，但其在处理Junction链接时，并未进行充分的路径合法性校验，直接以SYSTEM权限对Junction链接指向的目标目录执行删除操作，从而错误地删除了系统关键目录C:\Config.msi下的文件。
其次，攻击者进一步利用Windows Installer服务在处理C:\Config.msi文件夹时存在的竞争条件漏洞，通过反复触发日志生成与目录删除操作，干扰系统对Config.msi资源的锁定机制。
最终，在服务尝试重建该目录时，劫持文件写入流程，从而以SYSTEM权限执行操作，达成本地权限提升的目的。

此漏洞的成功利用高度依赖于多个竞争条件，如临时目录名称预测的准确性、软链接植入时机与文件删除操作时序的精确同步，虽然漏洞利用过程可能需要多次尝试，但这个漏洞依然危害严重。这意味着，在用户权限受限的情况下，攻击者也能如入无人之境，绕过XDR的层层保护，直接威胁到企业内网的敏感数据和关键基础设施，使安全软件的防护形同虚设。

一次全球性的防护软件灾难

2024年7月19日，美国知名网络安全公司CrowdStrike因分发异常更新，导致全球数百万台计算机崩溃，严重影响航空、银行和媒体等行业的运作，预计在全球范围内造成数十亿美元的损失。

CrowdStrike提供一系列安全防护软件帮助客户保护计算机抵御网络攻击，旗下的Falcon Sensor（猎鹰传感器）产品在个人电脑Windows操作系统的内核层面安装传感器，用来检测和预防网络攻击，而这种高级别的防护恰恰成为造成本次事件的重要原因。当安全软件拥有内核权限之后它的防护能力大大提升，但同时风险也随之提高——一旦出现问题，对用户造成的影响异常严重。

尽管CrowdStrike官方宣称此事件并非安全漏洞，而是驱动程序错误，但这次事件无疑给用户敲响了警钟：纵然是顶尖的安全软件，也可能因其自身的缺陷引发难以预料的灾难。

纽约拉瓜地亚机场行李输送带软件更新错误，导致蓝屏死机事件

防线上的“后门”

2024年Fortinet公司旗下的FortiManager（用于集中管理FortiGate设备的工具）产品中又出现了严重的CVSS 9.8漏洞（"FortiJump" CVE-2024-47575）该漏洞是 FortiManager和FortiManager Cloud中的FortiGate到FortiManager (FGFM) 守护进程 (fgfmsd) 中缺少的身份验证漏洞。

利用FortiJump漏洞，未经身份验证的远程攻击者可以使用有效的FortiGate证书在 FortiManager中注册未授权的设备，攻击者可通过特制请求执行任意代码或命令。

Fortinet官方公告中也承认：“FortiManager fgfmd守护进程存在一个严重的功能认证缺失漏洞，可能允许远程未认证的攻击者通过特制请求执行任意代码或命令。”根据 Mandiant的一份最新报告显示，FortiJump漏洞自2024年6月以来，已在0Day攻击中被广泛利用，涉及不同行业的 50 多台可能被入侵的FortiManager设备。

这并不是Fortinet公司的产品第一次出现漏洞，在此之前Fortinet FortiOS目录遍历漏洞(CVE-2018-13379)、Fortinet防火墙身份认证绕过漏洞（CVE-2022-40684）、Fortinet FortiGate SSL VPN存在格式化字符串漏洞（CVE-2024-23113）等漏洞。这次的FortiJump漏洞再次让人思考，安全软件真的安全吗？

安全软件的脆弱性

安全软件的漏洞屡见不鲜，这不仅是技术层面的偶发问题，更是一种持久存在的安全挑战。在攻防技术螺旋上升的趋势下，厂商虽致力于对安全产品进行更新与优化，但攻击者的漏洞挖掘也从未停止。以下这些漏洞不仅体现了安全产品在技术复杂性上的脆弱性，也反映出攻防对抗的长期性和动态性的现实：

2015年，有史以来唯一获得100次VB100的产品ESET NOD32中的存档支持模块中的基于堆的缓冲区溢出允许远程攻击者通过大量语言在类型为SIS_FILE_MULTILANG的EPOC安装文件中执行任意代码。（CVE-2015-8841）
2017年，俄罗斯的一家拥有25年以上安全行业经验的公司——Kaspersky，其用于保护嵌入式系统安全的产品Kaspersky Embedded Systems Security(KESS)被发现了一个内存破坏类型的缺陷，攻击者可以利用其中一个驱动程序实现本地权限提升。（CVE-2017-12823）
2021年，McAfee Agent for Windows的maconfig中存在权限管理不当漏洞，允许本地用户访问敏感信息。该程序可由低权限用户在文件系统上的任何位置运行。（CVE-2021-31836）
2025年初，Ivanti公司的Connect Secure产品存在堆栈缓冲区溢出问题，允许远程未经身份验证的攻击者实现远程代码执行。（CVE-2025-0282）

历史上曾经出现过漏洞的部分安全软件厂商

安全防护软件为实现更好的防护效果深入操作系统底层，拥有系统权限。然而，这种高权限的安全软件一旦被攻破，攻击者即可利用其权限执行任意操作。

这些安全事件并非孤立个案，而是引出了一个深层次的问题：为何作为防御核心的安全软件，反而频频成为攻击者的突破口？

随着技术的不断发展，安全防护逐渐从单点防御转向多层次、多维度的综合体系，但这也必然导致安全软件复杂度的增加。安全软件作为防御体系的重要一环，其本身的安全性直接关系着整个系统的安全性，未来安全软件的发展需要在功能性与安全性之间实现更好的平衡。

深蓝洞察

作为安全防护的工具，这些安全软件原本是为抵御威胁而设计，但在复杂多变的网络环境中，它们却可能反过来成为攻击者的突破口。从历史漏洞到新挖掘的漏洞利用，无不反映出攻防对抗螺旋上升的动态现实。

这一现象不仅揭示了安全软件在特定情况下的脆弱性，也表明这绝非一时之患，而是一个贯穿整个行业的持久挑战，提醒我们必须以更全面、更深入的视角重新审视网络安全的防御策略。

参考：

[1] https://blog.scrt.ch/2024/12/05/attacking-cortex-xdr-from-an-unprivileged-user-perspective/

[2] https://zh.wikipedia.org/wiki/2024年CrowdStrike大规模蓝屏事件

[3] https://www.anquanke.com/post/id/301285

[4] https://security.paloaltonetworks.com/CVE-2024-5907

[5] https://www.fortiguard.com/psirt/FG-IR-24-423

[6] https://www.tenable.com/blog/cve-2024-47575-faq-about-fortijump-zero-day-in-fortimanager-fortimanager-cloud

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第九篇。

企业资讯

Steam下架带恶意软件的免费游戏——PirateFi 游戏安装窃取密码的恶意软件

2 months ago

最新发现，Steam商店中一款名为PirateFi的免费游戏一直在向用户传播Vidar信息窃取恶意软件。

在2月6日至2月12日期间，这款游戏在Steam目录中出现了近一周的时间，并被多达1500名用户下载。分发服务正在向可能受到影响的用户发送通知，建议他们重新安装Windows。

Steam上的恶意软件

上周，Seaworth Interactive在Steam上发布了《PirateFi》，并获得了积极评价。它被描述为一款以低多边形世界为背景的生存游戏，涉及基地建设、武器制作和食物收集。

PirateFi的Steam页面

本周，Steam发现这款游戏含有恶意软件，但并未指明具体类型。通知中写道：“这款游戏开发者的Steam账户上传了包含可疑恶意软件的构建。”

用户在Steam上玩PirateFi（3476470）时，这些构建是活跃的，所以这些恶意文件很可能在用户的计算机上启动。Steam建议用户使用最新的防病毒软件运行完整的系统扫描，检查他们不认识的新安装的软件，并考虑操作系统格式。

Steam对受影响用户的通知

受影响的用户还在游戏的Steam社区页面上发布了安全提醒，通知其他人不要启动该游戏，因为他们的杀毒软件将其识别为恶意软件。

SECUINFRA Falcon Team的Marius Genheimer获得了通过PirateFi传播的恶意软件样本，并将其识别为Vidar伪造软件的一个版本。

SECUINFRA建议：“如果你是下载这个“游戏”的玩家之一：考虑保存在浏览器、电子邮件客户端、加密货币钱包等中的凭据、会话cookie和秘密被泄露。”建议用户更改所有可能受影响帐户的密码，并在可能的情况下激活多因素身份验证保护。

基于动态分析和YARA签名匹配，该恶意软件被识别为Vidar，隐藏在一个名为Pirate.exe的文件中，作为有效载荷（Howard.exe），与InnoSetup安装程序打包在一起。

攻击者多次修改游戏文件，使用各种混淆技术，并更改命令和控制服务器以获取凭据。研究人员认为，PirateFi名称中提到的web3/ b区块链/加密货币是有意为之，目的是吸引特定的玩家群体。

Steam并没有公布有多少用户受到了PirateFi恶意软件的影响，但游戏页面上的统计数据显示，可能有多达1500人受到了影响。

恶意软件渗透Steam商店并不常见，但也不是没有先例。在2023年2月，Steam用户受到了恶意Dota 2游戏模式的攻击，该模式利用Chrome n-day漏洞在玩家的计算机上执行远程代码执行。

2023年12月，当时很受欢迎的独立策略游戏《Slay the Spire》的一个mod被黑客入侵，黑客将“Epsilon”信息传输器注入其中。

目前Steam已经引入了其他措施，如开启短信验证等，以保护玩家免受未经授权的恶意更新，但PirateFi的案例表明，目前这些措施还远远不够。

胡金鱼

DeepSeek崛起引发安全挑战，企业如何应对邮件数据风险？

2 months ago

2025年1月，国产AI大模型DeepSeek横空出世，以媲美同性能模型的性能和不足其1/10的训练成本，一举打破国际技术垄断。然而，这场技术狂欢的背后暗流涌动——DeepSeek的崛起迅速成为全球黑客的“靶心”，从DDoS攻击到数据窃取，网络威胁持续升级这一事件不仅揭示了AI技术的双刃剑效应，也折射出数字化浪潮下企业安全的严峻挑战：数据防泄露。

作为企业日常沟通的核心载体，邮件系统既是高效协同的纽带，也是数据泄露的“重灾区”。针对企业邮件数据安全泄露问题，Coremail旗下的CACTER邮件数据防泄露系统（以下简称“EDLP”）基于深度内容识别技术，根据不同安全级别采用不同算法和策略，支持多种响应规则，对敏感数据通过邮件系统外发的行为，提供事后审计和提醒，以及事中审批和拦截，预防并阻止有意或无意的邮件数据泄露行为，保障企业数据安全。

邮件数据安全危机暗涌，数据保护急不可待

Verizon公司发布的《2024年数据泄露调查报告》显示，68%的数据泄露事件与人为因素直接相关，而邮件因其开放性成为内部误操作、外部攻击的首选载体。从高精尖制造业的机密图纸外流，到金融机构的客户隐私泄露，每一起事件都可能让企业付出数亿损失与信任崩塌的代价。

传统的邮件数据防泄露技术虽能通过规则引擎、内容检测等手段拦截风险，却在AI驱动的攻击面前力不从心。例如，ChatGPT生成的钓鱼邮件可精准模仿高管话术绕过过滤，而员工误发含敏感数据的附件等无意识泄露行为，更让风险防不胜防。当攻击手段智能化，防御体系必须同步进化——企业亟需一套既能精准识别风险，又能动态适配业务场景的解决方案。

CACTER EDLP通过加密协议技术、数据深度分析、智能学习模型、邮件附件拆解与识别等，对企业内部用户，通过邮件系统外发的邮件进行解析和内容提取，识别敏感数据，依据预定义的策略，实时响应，进而达到对邮件数据防泄露的目的。

CACTER邮件数据防泄露系统的智能防御

面对AI驱动的攻击，CACTER EDLP基于深度内容识别技术，根据不同安全级别采用不同算法和策略，支持多种响应规则，对敏感数据通过邮件系统外发的行为，提供事后审计和提醒，以及事中审批和拦截的防护体系，预防并阻止有意或无意的邮件数据泄露行为，为企业筑起邮件安全防线，保障企业数据安全。

CACTER EDLP的分区管控功能通过“用户标签”对不同区域员工的邮件进行精准管理，满足企业对不同敏感级别邮件的管理需求。系统支持多级审批，灵活配置审批层级和审批人，确保敏感邮件发送前经过严格审核。智能审批流程通过邮件交互完成审批操作，提高效率并保持透明。自动抄送与密送功能确保敏感邮件自动抄送或密送指定人员，提升邮件通信的安全性和合规性。

CACTER EDLP在邮件精准检测方面表现也十分出色。CACTER EDLP支持对邮件的收发件人、附件、关键字等进行全面检测，确保敏感信息无处遁形。系统内置智能模型和相似度查重能力，精准识别和管控敏感信息，如通讯录泄露、手机号码泄露等，提高检测准确性。CACTER EDLP还支持全检模式和效率模式，灵活选择以确保检测效率和准确性。详细的事件留痕功能记录敏感事件，为企业信息安全提供有力保障。

在数字化时代，人工智能技术的快速发展为网络安全带来了新的解决方案，企业既要抓住机遇，也要警惕数据安全风险，如何应对邮件数据泄露风险，筑牢邮件数据安全防线？答案将在“2月26日15:00，EDLP：邮件多场景管控，为企业审批减负”的直播中揭晓！

2月26日15:00-16:00

EDLP：邮件多场景管控，为企业审批减负

Deepseek：邮件数据防泄露领域的新机遇

数据防护：多场景邮件的全面管控

精准检测：EDLP邮件检测能力提升

立马扫码预约直播

抽取惊喜豪礼

Coremail邮件安全

官方机构提示仿冒DeepSeek手机木马病毒肆虐！梆梆安全为您的移动应用保驾护航！

2 months ago

近段时间，国产AI DeepSeek无疑是市场上最火的话题之一。随着DeepSeek的现象级爆火，网上涌现出大量仿冒DeepSeek的病毒木马App。国家计算机病毒协同分析平台近日在我国境内捕获发现仿冒DeepSeek官方App的安卓平台手机木马病毒。

图片来源：央视新闻

仿冒APP名称、图标与正版应用几乎没有差别，普通用户很难分辨真假。当用户点击运行仿冒App时，该App会提示用户“需要应用程序更新”，并诱导用户点击“更新”按钮。用户点击后，会提示安装所谓的“新版”DeepSeek应用程序，实际上是包含恶意代码的子安装包，并会诱导用户授予其后台运行和使用无障碍服务的权限。

图片来源：央视新闻

同时，该恶意App还包含拦截用户短信、窃取通讯录、窃取手机应用程序列表等侵犯公民个人隐私信息的恶意功能和阻止用户卸载等恶意行为。

经分析，该恶意App为金融盗窃类手机木马病毒的新变种。网络犯罪分子很可能将该恶意App用于电信网络诈骗活动，诱使用户从非官方渠道安装仿冒DeepSeek的手机木马，从而对用户的个人隐私和经济利益构成较大威胁。

梆梆安全关于防范攻击的安全建议

企业应做好针对类似木马风险的排查工作

·排查App是否具备对开启无障碍功能的监测与提示能力，例如监测到无障碍功能被打开，可以提示“您手机无障碍功能已开启，如非本人开启，请关闭无障碍功能后再进行App操作"；

·排查App是否在关键信息录入页面具备截屏、录屏、屏幕共享的检测和响应能力；

·排查App是否使用了安全的密码键盘，是否具备按键随机化、输入内容隐匿等能力，避免被木马应用窃取密码信息；

·排查App是否具备远程操控的检测和响应能力。

企业应做好对相关安全风险的持续监测

企业应当对APP在运行期间的特定行为进行重点监测，梆梆安全移动应用安全监测平台可针对移动应用上线运行后的动态运行安全问题及运行稳定性问题进行持续监测，通过在移动应用中植入安全监测探针，利用应用运行过程中设备、系统、应用、行为四个维度数据，结合后端大数据分析平台的各种模型规则，实时监测移动应用中各种运行时攻击。同时在服务端提供威胁数据查询、推送接口，可与用户企业系统对接，帮助用户快速建立事前、事中、事后的移动应用安全态势感知体系，及时发现各种危险行为。

企业还可以针对APP应用进行加固处理，防止关键页面被截屏/录屏，防止关键信息外泄。同时，企业还可以通过梆梆安全键盘对数据进行加密处理，实现按键随机、按键内容隐匿，充分保护用户隐私数据安全。

梆梆安全

仿冒DeepSeek的手机木马病毒被捕获！

2 months ago

近日，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台在我国境内捕获发现仿冒DeepSeek官方App的安卓平台手机木马病毒。

微软：黑客在设备代码钓鱼攻击中窃取电子邮件

2 months ago

据安全研究员观察发现，一个可能与俄罗斯有关联的威胁者发起的活跃攻击活动，正利用设备代码钓鱼手段针对个人微软 365 账户进行攻击。

这些攻击目标涉及欧洲、北美、非洲和中东地区的政府、非政府组织、信息技术服务和科技、国防、电信、医疗以及能源/石油和天然气行业。

微软威胁情报中心将此次设备代码钓鱼活动背后的威胁者追踪为“风暴-237”。基于受害者特征和作案手法，研究人员认为，该活动与符合俄罗斯利益的国家行为有关。

设备代码钓鱼攻击

输入受限设备——那些缺少键盘或浏览器支持的设备，比如智能电视和某些物联网设备，依靠代码认证流程让用户通过在另一台设备（如智能手机或电脑）上输入授权码来登录应用程序。

微软研究人员发现，自去年 8 月以来，Storm-2372 通过诱骗用户在合法的登录页面输入攻击者生成的设备代码，滥用这种身份验证流程。

这些特工人员首先通过在 WhatsApp、Signal 和 Microsoft Teams 等消息平台上“冒充与目标有关的知名人士”与目标建立联系，然后才发起攻击。

Storm-2372发送到目标的消息

威胁者会在通过电子邮件或短信发送虚假的在线会议邀请之前，与受害者逐渐建立起一种融洽的关系。根据研究人员的说法，受害者收到一个团队会议邀请，其中包括攻击者生成的设备代码。

微软表示：“这些邀请会引诱用户完成设备代码认证请求，模拟消息传递服务，这为Storm-2372提供了对受害者账户的初始访问权限，并启用了Graph API数据收集活动，如电子邮件收集。”

只要被盗的令牌有效，黑客就可以在不需要密码的情况下访问受害者的微软服务（电子邮件、云存储）。

设备代码网络钓鱼攻击概述

然而，微软表示，攻击者现在正在设备代码登录流中使用Microsoft Authentication Broker的特定客户端ID，这允许他们生成新的令牌。

这开启了新的攻击和持久化可能性，因为攻击者可以使用客户端ID将设备注册到微软基于云的身份和访问管理解决方案Entra ID。

使用相同的刷新令牌和新的设备标识，Storm-2372能够获得主刷新令牌（PRT）并访问其资源。目前已经观察到Storm-2372使用连接的设备收集电子邮件。

防御风暴2372

为了对抗Storm-2372使用的设备代码钓鱼攻击，微软建议在可能的情况下阻止设备代码流，并在微软Entra ID中执行条件访问策略，以限制其对可信设备或网络的使用。

如果怀疑设备代码网络钓鱼，立即使用‘revokeSignInSessions’撤销用户的刷新令牌，并设置条件访问策略来强制受影响的用户重新认证。

最后，使用Microsoft Entra ID的登录日志来监视并快速识别短时间内大量的身份验证尝试、来自无法识别的ip的设备代码登录，以及发送给多个用户的设备代码身份验证的意外提示。

胡金鱼

「深蓝洞察」2024年度最难以阻挡的攻防趋势

2 months ago