Aggregator

Международная спецоперация лишила хакеров площадки, которые годами питали схемы вымогателей и шпионов.

HackerNews 编译，转载请注明出处： 网络安全研究人员发现一款恶意Chrome扩展程序，该程序伪装成合法以太坊钱包，实则具备窃取用户助记词的功能。 这款名为“Safery: Ethereum Wallet”的扩展由威胁攻击者描述为”具备灵活设置的以太坊加密货币安全管理钱包”，于2025年9月29日上传至Chrome应用商店，最近更新日期为11月12日。截至发稿前仍可下载。 Socket安全研究员基里尔·博伊琴科指出：”该扩展虽被宣传为简易安全的以太坊钱包，实则包含通过Sui地址编码助记词的后门，并从攻击者控制的Sui钱包发起微交易实施窃取。” 该浏览器插件的恶意代码专门设计用于窃取钱包助记词，其通过将助记词编码为虚假Sui钱包地址，随后从硬编码的攻击者控制钱包向这些地址发送0.000001 SUI微交易。这种手法的最终目标是将助记词隐藏在看似正常的区块链交易中进行走私，无需架设C2服务器接收信息。交易完成后，攻击者可通过解码收款地址重建原始助记词，最终转移全部资产。 Koi安全团队在分析报告中强调：”该扩展通过将助记词编码为虚假Sui地址并发送微交易实施窃取，攻击者仅需监控区块链、将地址解码回助记词即可清空受害者资产。” 为应对此类威胁，建议用户坚持使用可信钱包扩展。安全防护人员应扫描扩展是否包含助记词编码器、合成地址生成器及硬编码助记词，并阻断在钱包导入或创建期间执行链上写入操作的扩展。 博伊琴科补充道：”该技术使威胁攻击者能轻松切换链和RPC端点，依赖域名、URL或特定扩展ID的检测手段将失效。对于浏览器中意外的区块链RPC调用应保持高度警觉，特别是当产品宣称仅支持单链时。”     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全和基础设施安全局周三将WatchGuard Fireware操作系统中的一个关键安全漏洞列入已知被利用漏洞目录，该漏洞正被活跃利用。 涉事漏洞编号为CVE-2025-9242，属于越界写入漏洞，影响Fireware OS 11.10.2至11.12.4_Update1、12.0至12.11.3及2025.1版本。WatchGuard已于今年9月发布补丁。 CISA在公告中指出：”WatchGuard Firebox在OS iked进程中存在越界写入漏洞，可能允许远程未认证攻击者执行任意代码。”网络安全公司watchTowr Labs上月披露漏洞细节，称该问题源于IKE握手过程中对标识缓冲区缺少长度检查。 安全研究员麦考利·哈德森指出：”服务器确实尝试进行证书验证，但验证操作在易受攻击代码运行之后才执行，导致认证前即可触发漏洞路径。”WatchGuard在2025年10月21日的公告更新中表示，已发现漏洞被活跃利用的证据，并分享了三个相关攻击指标： 携带异常巨大IDi载荷的IKE_AUTH请求日志 成功利用时iked进程会中断VPN连接 无论利用是否成功，iked进程均会崩溃并生成故障报告 根据Shadowserver基金会监测数据，截至2025年11月12日，全球仍有超过5.43万台Firebox设备受此漏洞影响。扫描数据显示美国有约1.85万台存在漏洞的设备，意大利、英国、德国和加拿大分别以5400台、4000台、3600台和3000台位列前五。联邦民事行政机构需在2025年12月3日前完成补丁安装。 同期CISA还将Windows内核漏洞与Gladinet Triofox访问控制漏洞列入KEV目录。谷歌Mandiant威胁防御团队确认后者被追踪为UNC6485的威胁组织利用。 漏洞影响速览 漏洞类型：越界写入（CVE-2025-9242） 威胁等级：高危（CVSS 9.3） 受影响设备：全球5.43万台Firebox 主要风险：无需认证的远程代码执行 修复期限：联邦机构需于12月3日前完成修补     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 由多国执法机构组成的国际联盟周四宣布，已成功摧毁全球网络犯罪分子广泛使用的三大恶意软件工具。这项代号为”终局行动”的专项打击从欧洲刑警组织海牙总部协调指挥，最新阶段成功瓦解了Rhadamanthys信息窃取器、VenomRAT远程访问木马以及Elysium僵尸网络。 此次行动始于11月10日，欧洲刑警组织称已铲除”导致全球数十万用户感染恶意软件“的基础设施。参与方包括澳大利亚、比利时、加拿大、丹麦、法国、德国、希腊、立陶宛、荷兰、英国和美国当局。 行动期间，VenomRAT工具的主要嫌疑人在希腊落网（本月早些时候被捕，姓名与国籍未公开），执法部门同步对11处地点实施突击搜查（德国1处、希腊1处、荷兰9处），查封20个域名并在全球范围关停或干扰逾1025台服务器。 欧洲刑警组织透露，被摧毁的恶意软件基础设施”包含数十万台受感染计算机，窃取凭证数量达数百万条”，且多数受害者对此毫不知情。”信息窃取器主犯掌握超过10万个属于受害者的加密钱包，潜在价值高达数百万欧元。” 目前约有200万个受影响邮箱地址及740万条密码可供查询。民众可访问politie.nl/checkyourhack与haveibeenpwned.com网站核查设备是否受损并获取应对指南。 “终局行动”官网已发布关于摧毁Rhadamanthys信息窃取器的宣传视频，显示执法机构正追查其开发运营者及客户群体，鼓励知情者提供线索。VenomRAT的明网站点现已被接管，页面醒目提示：”执法机构已查封该域名相关数据库及信息，任何运营或使用此类网络犯罪服务者将面临调查与起诉。” 此次行动延续了2024年首次行动中”史上最大规模僵尸网络打击”的凌厉攻势，今年早前第二阶段则直接针对勒索软件生态中的核心人员。     消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国与欧洲政府机构于周四联合发布最新技术通告，帮助企业防御自2023年起持续攻击中小型企业的Akira勒索软件团伙。这份对2024年4月原始通告的更新文件，新增了该组织在攻击中利用的策略与漏洞清单。 据通告显示，截至9月下旬，Akira团伙据信已通过勒索攻击获利超2.44亿美元。”Akira勒索软件不仅窃取资金，更破坏支撑医院、学校及企业运转的核心系统，”FBI网络部门助理主任布雷特·莱瑟曼指出，”每个受入侵的网络背后，都是真实的人群和社区在遭受冷酷网络罪犯的伤害。” 除FBI外，美国国防部、卫生与公众服务部共同参与了通告修订，欧洲刑警组织及法国、德国与荷兰执法机构也介入此次更新。该团伙据称主要瞄准制造业、教育、信息技术及医疗保健领域。 攻击手法揭秘 多家机构披露：”Akira威胁行为体通过窃取登录凭证或利用CVE-2024-40766等漏洞，获取SonicWall等VPN产品的访问权限。在某些案例中，他们通过初始访问中介或暴力破解VPN终端，凭借被盗VPN凭证实现初始入侵。此外，攻击者还部署密码喷洒技术，使用SharpDomainSpray等工具窃取账户凭证。” 该组织同时滥用AnyDesk、LogMeIn等远程访问工具维持对受害者网络的控制，并混入管理员活动以隐藏行踪。在部分事件中，应急响应人员发现Akira会卸载终端检测与响应系统。FBI警告称，在某些案例中攻击者在获得初始访问权限后仅两小时即完成数据窃取。 与Conti团伙的潜在关联 通告明确指出Akira与已解散的Conti勒索团伙存在联系，Conti在俄罗斯入侵乌克兰前夕解散前曾发动多起高关注度攻击。网络安全与基础设施安全局网络安全部门执行助理主任尼克·安德森在记者会上确认，Akira”可能与已解散的Conti勒索团伙存在某些关联”，但拒绝透露其是否与俄罗斯政府存在联系。 莱瑟曼补充说明：”虽然Akira与俄罗斯政府无直接关联，但我们确知Conti勒索团伙曾一度在俄罗斯境内活动，且部分成员可能与该组织存在联系。如同任何采用联盟计划的勒索组织，其成员可能遍布全球各地。” 重大攻击事件追溯 研究人员早前指出Akira与Conti勒索软件存在深度相似性，区块链分析显示多笔Akira赎金交易流向了Conti领导团队关联钱包。该团伙近期声称对BK Technologies公司发起网络攻击——这家佛罗里达企业为美国国防承包商及数十个警局、消防部门生产无线电设备。该公司上月向投资者预警9月遭遇安全事件，黑客窃取了非公开信息及现任/前任员工数据。 Akira还宣称对斯坦福大学、多伦多动物园、南非国有银行、外汇经纪商伦敦资本集团等数十个知名机构实施攻击。通告同时为受勒索团伙影响的K-12学校提供了专项防护建议。安德森强调：”Akira等组织带来的勒索威胁真实存在，各机构需严肃对待并迅速实施防护措施。”   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

Пока филиппинцы пашут за $3 в час — местные просто теряют рабочие места.

Flaw Enabled Remote Code Execution, Say AWS Researchers
Researchers from AWS said they spotted a hacking campaign taking advantage of a zero-day vulnerability in Cisco network access control software before the routing giant patched it earlier this year. The flaw let attackers perform pre-authentication remote code execution.

CISA Says Agencies Believed They Patched Cisco Flaws But Had Not
The U.S. cyber defense agency issued new patch guidance after discovering multiple federal agencies failed to properly secure Cisco firewalls, leaving federal networks exposed to exploitation by a suspected Chinese threat actor despite a prior emergency directive.

MDR, Asset Management Startups Reportedly Ax Double-Digit Percentage of Employees
Two late-stage cybersecurity startups disclosed widespread layoffs this month, reportedly axing a double-digit percentage of their staff amid economic and AI upheaval. Fledgling managed detection and response firm Deepwatch reportedly cut between 60 and 80 people from its 250-person staff Wednesday.

US Attorney Jeanine Pirro Cites Trump Goal in Making Crypto 'Safe' for Investors
The U.S. Attorney for the District of Columbia announced the launch of the Scam Center Strike Force, to dismantle criminal networks behind pig butchering scams. The initiative targets sophisticated transnational criminal organizations based in Southeast Asia including Cambodia, Laos and Burma.

A CVSS score 6.7 AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H severity vulnerability discovered by 'Nitesh Surana (niteshsurana.com) and Amol Dosanjh of Trend Research' was reported to the affected vendor on: 2025-11-14, 83 days ago. The vendor is given until 2026-03-14 to publish a fix or workaround. Once the vendor has created and tested a patch we will coordinate the release of a public advisory.

A CVSS score 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N severity vulnerability discovered by 'Vladislav Berghici of Trend Research' was reported to the affected vendor on: 2025-11-14, 119 days ago. The vendor is given until 2026-03-14 to publish a fix or workaround. Once the vendor has created and tested a patch we will coordinate the release of a public advisory.

A CVSS score 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N severity vulnerability discovered by 'Vladislav Berghici of Trend Research' was reported to the affected vendor on: 2025-11-14, 90 days ago. The vendor is given until 2026-03-14 to publish a fix or workaround. Once the vendor has created and tested a patch we will coordinate the release of a public advisory.

A CVSS score 6.7 AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H severity vulnerability discovered by 'Nitesh Surana (niteshsurana.com) and Amol Dosanjh of Trend Research' was reported to the affected vendor on: 2025-11-14, 83 days ago. The vendor is given until 2026-03-14 to publish a fix or workaround. Once the vendor has created and tested a patch we will coordinate the release of a public advisory.

Morte僵尸网络是一种依赖“加载器即服务（LaaS）”模式运作的网络安全威胁，已活跃至少6个月。

攻击者已重返OpenVSX平台，沿用原有基础设施，但更新了命令与控制服务器端点及Solana交易信息。

A vulnerability classified as critical has been found in Tenda AC10 US_AC10V4.0si_V16.03.10.13_cn. This affects the function sub_45DC58. Performing manipulation results in stack-based buffer overflow. This vulnerability is cataloged as CVE-2023-27017. The attack must originate from the local network. There is no exploit available.

A vulnerability classified as critical was found in Tenda AC10 US_AC10V4.0si_V16.03.10.13_cn. This impacts the function sub_45EC1C. Executing manipulation can lead to stack-based buffer overflow. This vulnerability is registered as CVE-2023-27018. The attack requires access to the local network. No exploit is available.

A vulnerability described as critical has been identified in Tenda AC10 US_AC10V4.0si_V16.03.10.13_cn. The impacted element is the function R7WebsSecurityHandler. Such manipulation leads to stack-based buffer overflow. This vulnerability is listed as CVE-2023-27016. The attack must be carried out from within the local network. There is no available exploit.