Aggregator

Мастер-класс по лоббизму в кибербезопасности.

HackerNews 编译，转载请注明出处： 加拿大组织已成为一个名为STAC6565的威胁活动集群策划的针对性网络攻击行动的焦点。 网络安全公司Sophos表示，其在2024年2月至2025年8月期间调查了与该威胁行为者相关的近40起入侵事件。该攻击行动被高度确信与一个名为Gold Blade的黑客组织存在重叠，该组织也被追踪为Earth Kapre、RedCurl和Red Wolf。 这个出于经济动机的威胁行为者据信自2018年底开始活跃，最初针对俄罗斯的实体，随后将其目标扩展到加拿大、德国、挪威、俄罗斯、斯洛文尼亚、乌克兰、英国和美国的实体。该组织有使用网络钓鱼邮件进行商业间谍活动的历史。 然而，最近的攻击浪潮发现RedCurl参与了使用一种名为QWCrypt的定制恶意软件家族进行的勒索软件攻击。该威胁行为者武器库中的一个显著工具是RedLoader，它将被感染主机的信息发送到命令与控制服务器，并执行PowerShell脚本来收集与受攻击的Active Directory环境相关的详细信息。 Sophos研究员Morgan Demboski表示：“这次攻击行动反映了该组织异常狭窄的地理关注点，近80%的攻击针对加拿大组织。曾经主要专注于网络间谍活动的Gold Blade，已将其活动演变为混合操作，通过一个名为QWCrypt的自定义加密程序，将数据盗窃与有选择的勒索软件部署结合起来。” 其他主要目标包括美国、澳大利亚和英国，在此期间，服务、制造、零售、技术、非政府组织和交通行业受到的影响最为严重。 据悉，该组织以“黑客雇佣兵”模式运作，代表客户进行定制化入侵，同时附带部署勒索软件以从入侵中获利。尽管Group-IB在2020年的一份报告提出了该组织可能是俄语组织的可能性，但目前没有迹象可以证实或否认这一评估。 Sophos将RedCurl描述为一个“专业化的行动”，称该威胁行为者因其完善和发展其攻击手法以及发起隐蔽勒索攻击的能力而与其他网络犯罪集团不同。也就是说，没有证据表明它是国家资助或有政治动机的。 该网络安全公司还指出，其行动节奏以一段时间的无活动为标志，随后是使用改进战术的突然攻击激增，这表明该黑客组织可能正在利用停工期来更新其工具集。 STAC6565始于针对人力资源人员的鱼叉式网络钓鱼电子邮件，诱骗他们打开伪装成简历或求职信的恶意文档。至少从2024年11月起，该活动就利用Indeed、JazzHR和ADP WorkforceNow等合法求职平台上传武器化的简历，作为求职申请过程的一部分。 Demboski解释说：“由于招聘平台使人力资源人员能够查看所有收到的简历，将有效载荷托管在这些平台上并通过一次性电子邮件域发送，不仅增加了文档被打开的可能性，而且还逃避了基于电子邮件的保护措施的检测。” 在一个事件中，发现上传到Indeed的一份虚假简历会将用户重定向到一个设有陷阱的URL，最终通过RedLoader链导致部署QWCrypt勒索软件。在2024年9月、2025年3月/4月和2025年7月，至少观察到了三种不同的RedLoader投递序列。投递链的某些方面此前已由Huntress、eSentire和Bitdefender详细描述过。 2025年7月观察到的主要变化涉及使用由虚假简历投放的ZIP存档。存档中存在一个冒充PDF的Windows快捷方式文件。该LNK文件使用“rundll32.exe”从托管在Cloudflare Workers域名后的WebDAV服务器获取重命名版本的“ADNotificationManager.exe”。 然后，攻击启动合法的Adobe可执行文件，从同一WebDAV路径侧加载RedLoader DLL。该DLL继续连接到外部服务器以下载并执行第二阶段有效载荷，这是一个独立的二进制文件，负责连接到不同的服务器，并检索第三阶段独立可执行文件以及一个恶意的DAT文件和一个重命名的7-Zip文件。 两个阶段都依赖微软的程序兼容性助手来执行有效载荷，这种方法在以前的攻击活动中也出现过。唯一的区别是，有效载荷的格式在2025年4月转变为EXE文件，而不是DLL文件。 Sophos表示：“该有效载荷解析恶意的.dat文件并检查互联网连接。然后它连接到另一个攻击者控制的C2服务器，创建并运行一个自动化系统发现的.bat脚本。该脚本解压Sysinternals AD Explorer并运行命令以收集主机信息、磁盘、进程和已安装的防病毒产品等详细信息。” 执行结果被打包成一个加密的、受密码保护的7-Zip存档，并传输到攻击者控制的WebDAV服务器。还观察到RedCurl使用开源反向代理RPivot和Chisel SOCKS5进行C2通信。 攻击中使用的另一个工具是Terminator工具的定制版本，该工具利用签名的Zemana AntiMalware驱动程序，通过所谓的自带易受攻击驱动程序攻击来结束与防病毒相关的进程。至少在2025年4月的一个案例中，威胁行为者在通过SMB共享将其分发到受害者环境中的所有服务器之前，对这两个组件都进行了重命名。 Sophos还指出，大多数这些攻击在安装QWCrypt之前就被检测到并得以缓解。然而，其中三起攻击——一起在4月，两起在2025年7月——导致了成功的部署。 它补充道：“在4月的事件中，威胁行为者手动浏览并收集了敏感文件，然后暂停活动超过五天，才部署加密程序。这种延迟可能表明攻击者在试图将数据货币化或未能找到买家后转向了勒索软件。” QWCrypt部署脚本针对目标环境进行了定制，通常在文件名中包含特定于受害者的ID。该脚本一旦启动，会检查Terminator服务是否正在运行，然后采取措施禁用恢复功能，并在网络中的终端设备（包括组织的虚拟机管理程序）上执行勒索软件。 在最后阶段，该脚本运行一个清理批处理脚本，删除现有的卷影副本和每个PowerShell控制台历史文件，以阻碍取证恢复。 Sophos表示：“Gold Blade对招聘平台的滥用、休眠与爆发的周期循环以及对投递方法的持续完善，展示了一种通常不与经济动机行为者相关的操作成熟度。该组织维护着一个全面且组织良好的攻击工具包，包括开源工具的修改版本和自定义二进制文件，以促进多阶段恶意软件投递链。” 此次披露之际，Huntress表示，它注意到针对虚拟机管理程序的勒索软件攻击大幅激增，从今年上半年的3%跃升至下半年迄今为止的25%，这主要是由Akira组织推动的。 研究人员Anna Pham、Ben Bernstein和Dray Agha写道：“勒索软件操作者直接通过虚拟机管理程序部署勒索软件有效载荷，完全绕过了传统的终端保护。在某些情况下，攻击者利用OpenSSL等内置工具对虚拟机卷进行加密，避免了上传自定义勒索软件二进制文件的需要。这种转变突显了一个日益增长且令人不安的趋势：攻击者正在瞄准控制所有主机的基础设施，并且通过访问虚拟机管理程序，对手极大地放大了其入侵的影响。” 鉴于威胁行为者对虚拟机管理程序的关注度提高，建议使用本地ESXi账户，实施多因素身份验证，执行强密码策略，将虚拟机管理程序的管理网络与生产和普通用户网络隔离，部署跳板机以审核管理员访问权限，限制对控制平面的访问，并将ESXi管理接口访问限制在特定的管理设备上。 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

文章介绍了HTTP错误代码521的含义及其常见原因。该错误通常由Cloudflare触发，表示Web服务器无法连接到源站服务器。常见原因包括源站服务器宕机、网络连接问题或防火墙设置阻止请求。解决方法包括检查源站状态、网络配置及防火墙规则以恢复服务。

一位正在学习黑客技术的人分享了自己目前的进展和目标。他已掌握网络扫描、设备识别和端口信息读取，并能编写基础Python代码。他的目标是通过另一台计算机进入自己的测试笔记本电脑，利用漏洞植入文件或程序并创建后门以供后续访问。尽管他尝试寻找相关教程但未找到有效资源。

HackerNews 编译，转载请注明出处： 波兰警方逮捕了 3 名乌克兰籍公民，指控其涉嫌使用黑客设备攻击信息技术系统并窃取国防领域敏感数据。 这 3 名乌克兰男子因被指试图利用先进黑客装备破坏 IT 系统、获取国防相关敏感信息而遭到逮捕。警方在其驾乘车辆内查获了 Flipper 系列黑客工具、间谍设备探测器、SIM 卡、存储驱动器及天线等物品。 据 Flipper Zero 官方网站介绍，该工具是一款外观形似玩具的便携式多功能设备，主要面向渗透测试人员和技术爱好者，可实现对无线电协议、门禁控制系统、硬件等各类数字设备的破解操作；同时该工具为完全开源且支持自定义，用户可按需对其功能进行拓展。 此外，3 人还携带了 K19 反监视工具，该设备能够探测射频信号、全球定位系统追踪器、隐藏摄像头以及强磁场。 这三名嫌疑人年龄分别为 43 岁、42 岁和 39 岁，面临欺诈、计算机欺诈以及持有用于破坏国家国防敏感 IT 系统工具等多项指控。目前法院已下令对其实施为期三个月的审前羁押，相关调查仍在持续推进。 事发时，华沙警方在参议员街拦下一辆丰田汽车，车内 3 名乌克兰男子神情紧张，他们声称正进行欧洲跨国旅行，刚抵达波兰，后续计划前往立陶宛。 波兰警方发布的新闻稿称：“警员对车辆内部进行了全面搜查，发现了一批可疑物品，这些物品甚至可被用于干扰本国战略 IT 系统、侵入 IT 及电信网络。调查期间，警员查扣了间谍设备探测器、先进的 FLIPPER 黑客设备、天线、笔记本电脑、大量 SIM 卡、路由器、便携式硬盘及摄像头等涉案物品。” 警方对查获的电子设备进行了解密，而 3 名嫌疑人虽自称 IT 领域专业人士，却始终无法对所持设备的用途作出合理解释，且对相关问题刻意回避。目前调查人员怀疑其涉嫌欺诈及计算机类犯罪。 新闻稿最后指出：“警方正排查多种可能性，同时就 3 人入境波兰的时间及目的展开调查，案件仍在侦办中，相关案卷已移交华沙市中心北区检察院。被羁押人员面临的指控包括欺诈、计算机欺诈，以及持有经改装可用于实施犯罪的设备和计算机程序 —— 其中涉及试图破坏对国家国防具有特殊重要性的计算机数据。” 消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

嗯，用户让我帮他总结一篇文章，控制在一百个字以内，而且不需要用“文章内容总结”这样的开头。看起来他可能是在处理一些信息，需要快速了解文章的大意。首先，我需要理解他的具体需求是什么。 他提供的示例是关于错误代码521的总结，说明他可能是在技术领域工作，或者遇到了网络问题。错误代码521通常与Cloudflare有关，可能用户在使用某个网站时遇到了这个问题，想快速了解解决方法。 接下来，我要分析用户可能的深层需求。他可能不仅仅想要一个总结，而是希望快速找到解决问题的方法。因此，在总结时不仅要提到错误代码是什么，还要包括解决方法和常见原因。 另外，用户要求控制在一百个字以内，这意味着我需要简洁明了地表达关键点。不能遗漏主要信息，比如联系网站管理员、检查网络连接、清除缓存等步骤。 最后，我要确保语言口语化且自然，避免使用过于正式或复杂的词汇。这样用户能够轻松理解，并根据总结采取相应的行动。 文章介绍了错误代码521的原因及解决方法，指出该错误通常与Cloudflare相关，并建议联系网站管理员、检查网络连接或清除浏览器缓存以解决问题。

DumpGuard is a credential dumping tool that can extract the NTLMv1 hashes of users on modern Windows systems.

The post DumpGuard Tool Bypasses Credential Guard to Steal NTLMv1 Hashes appeared first on Penetration Testing Tools.

好的，我现在需要帮用户总结一篇文章的内容，控制在100字以内。用户提供的文章内容看起来像是一个错误页面，提到了“环境异常”和需要验证才能继续访问。用户还给了一个示例总结，是“当前环境出现异常，需完成验证后方可继续访问。” 首先，我要理解文章的主要信息。文章明确指出环境有问题，用户需要完成验证才能继续使用服务。这可能涉及到登录、身份验证或其他安全措施。 接下来，我需要将这些信息浓缩到100字以内。要确保语言简洁明了，同时包含关键点：环境异常、需要验证、继续访问的条件。 然后，我会检查是否有更简洁的表达方式。例如，“完成验证后即可继续访问”可以简化为“完成验证后方可继续访问。”这样更符合口语化表达。 最后，我会确保总结没有使用任何开头语，直接描述情况。这符合用户的要求。 总结一下，文章的主要内容是当前环境有问题，用户必须完成验证才能继续访问。因此，我的总结应该准确传达这一点，并且控制在100字以内。 当前环境出现异常,需完成验证后方可继续访问。

嗯，用户发来了一个请求，让我帮他总结一篇文章的内容，控制在100个字以内。看起来他可能是在使用某个系统或者网站时遇到了环境异常的问题，需要进行验证才能继续访问。所以文章的内容应该和这个异常提示有关。 首先，我需要明确用户的需求。他可能是在遇到错误提示后，想了解这个问题的大致情况，或者是为了快速了解问题而不需要详细阅读整篇文章。因此，总结需要简洁明了，直接点出问题所在和解决方法。 接下来，分析用户的查询。他提到“环境异常”和“完成验证后即可继续访问”，还有“去验证”的选项。这说明文章的主要内容是关于当前环境出现了问题，用户需要进行验证才能恢复访问权限。因此，在总结时要突出这两个关键点：环境异常和验证的重要性。 然后，考虑用户的使用场景。他可能是在使用某个在线服务、登录系统或者访问某个受限资源时遇到了这个问题。这种情况下，用户最关心的是如何快速解决问题，继续他们的操作。因此，总结需要直接告诉用户问题所在以及解决方法。 另外，用户的身份可能是普通用户，对技术细节不太了解，所以总结需要用简单易懂的语言，避免专业术语。同时，用户可能希望尽快解决这个问题，所以不需要详细的背景信息或技术解释。 最后，在控制字数方面，要确保在100字以内，并且直接描述文章内容，不需要开头的引导语。比如，“当前环境异常，请完成验证以继续访问。” 这样既简洁又准确地传达了信息。 综上所述，我需要将文章内容浓缩为一句话或两句话，明确指出问题所在和解决方法，并且语言简洁明了。 当前环境异常，请完成验证以继续访问。

Researchers from Howler Cell have detailed an underground marketplace for compromised websites operated by students and freelancers across

The post Student Sells Hacked Sites: Beima Web Shell Undetectable, Targets .Gov & .Edu appeared first on Penetration Testing Tools.

APT-C-53 has once again intensified its distribution of malicious attachments targeting organizations in Ukraine. The latest wave of

The post APT-C-53 Hits Ukraine: New Attack Exploits WinRAR Flaw for Persistence appeared first on Penetration Testing Tools.

The launch of the IPCola service on underground forums in 2023 initially appeared to be yet another proxy

The post The Proxy Ghost: IPCola’s Network Feeds on User Devices Covertly appeared first on Penetration Testing Tools.

On Monday, Warby Parker and Google announced that they are preparing to release AI-powered smart glasses, with the

The post Google & Warby Parker Partner on AI Smart Glasses to Launch in 2026 appeared first on Penetration Testing Tools.

What Will Lead Next Year's Cloud Security Agenda?
As 2026 approaches, one thing is certain: Artificial intelligence adoption will continue to accelerate at an extraordinary pace. CISOs will be tasked with maintaining security and control as hybrid cloud environments grow more distributed, automated and interconnected.

Weak State Controls and AI-Generated Documents Fuel Surge in Synthetic Entity Fraud
Fraudsters are exploiting weak state controls to create synthetic businesses for less than $150, with potential payouts of more than $100,000 for each fake identity. Synthetic entity fraud has rapidly shifted from a niche threat to a mainstream risk, said Dun & Bradstreet's Andrew La Marca.

Startup Uses AI Agents to Support Proactive Security and Scale Development
With a $36 million investment, Clover Security plans to expand its suite of AI agents that automate security reviews and improve collaboration with developers. The company says this proactive approach helps manage risks introduced by AI-driven software creation.

Regulators Question Whether Google Compensates Publishers for Auto Summaries
Google faces a fresh probe into its competitive practices after the European Union said it will investigate the search engine giant's propensity to convert web content into fuel for its artificial intelligence models. The commission said the investigation is a "matter of priority."