Aggregator

近年来，攻击者已逐渐将合法软件的信任背书转变为突破防御体系的有力武器。“Legitimate Chrome VPN”案例便是这种攻击模式的典型体现，而此类利用用户对正规软件、插件及工具信任实施的攻击，在各类软件生态中均有显现

当前环境出现异常,需完成验证后方可继续访问。

文章解释了错误代码521的原因及其解决方法。

HackerNews 编译，转载请注明出处： 肾透析公司 DaVita 确认一起勒索软件攻击导致数据泄露，约 270 万人的个人和健康信息遭曝光。 美国卫生部民权办公室（OCR）更新的受影响人数为 2,689,826 人。 DaVita Inc. 通过遍布美国的 2,675 家门诊中心为 200,800 名患者提供肾透析服务，并在其他 11 个国家的 367 家门诊中心为 49,400 名患者提供服务。DaVita 专注于治疗终末期肾病（ESRD），患者除非接受肾移植，否则必须每周透析三次。该公司在美国透析市场的份额为 37%，总部位于丹佛，但注册地在特拉华州。DaVita 位列财富 500 强第 341 位。 2025 年 4 月 18 日，该公司宣布正在调查和处理一起网络安全事件，该事件一度导致部分内部运营中断。 DaVita 表示，网络攻击发生后，公司将维持住院透析护理作为首要任务，并在必要时启用应急计划和手工流程，同时努力安全恢复受影响的系统。 公司声明：“2025 年 4 月 12 日，DaVita 发现一起影响并加密部分本地系统的勒索软件事件。我们立即启动事件响应协议，并采取了遏制措施，包括主动断开部分网络连接。 外部网络安全专家正在协助我们的响应、修复和恢复工作，我们正在重建和恢复被加密的系统，并以安全方式使其重新上线。尽管该事件导致我们的内部运营受到干扰，但我们在必要时依然有应急计划和手工流程，以确保患者护理的连续性。” Interlock 勒索软件团伙已声称对 DaVita 的攻击负责。该组织声称窃取了 1510 GB 的敏感数据，包括患者记录、保险和财务信息。Interlock 已在其数据泄露网站上公布了据称从 DaVita 窃取的文件。 根据该公司披露，攻击者在 3 月 24 日至 4 月 12 日期间进入其网络，并窃取了透析实验室的数据。 公司声明称：“经过深入调查，我们确认此次网络事件始于 2025 年 3 月 24 日，并持续到 4 月 12 日威胁行为者被阻止访问我们的服务器。2025 年 4 月 24 日，威胁行为者在其泄露网站上公布了声称来自 DaVita 的数据。DaVita 全力确认相关信息，并于 2025 年 6 月 18 日左右获取了威胁行为者公布的数据集，确定其中涉及我们透析实验室数据库的敏感个人信息。” 泄露的信息因人而异，可能包括姓名、地址、出生日期、社会安全号码、健康保险相关信息，以及 DaVita 内部使用的其他识别信息，还包括部分临床信息，如健康状况、其他治疗信息及部分透析实验室检测结果。公司指出，对于部分个人，泄露信息还包括税号，极少数情况下还涉及支付给 DaVita 的支票影像。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

文章描述了错误代码521的含义及其常见原因，并提供了相应的解决方法和预防措施。

HackerNews 编译，转载请注明出处： 网络安全研究人员提醒，多起攻击行动正在利用已知安全漏洞和暴露的 Redis 服务器从事多种恶意活动，包括将受害设备变为物联网僵尸网络、住宅代理或加密货币挖矿基础设施。 第一类攻击涉及对 CVE-2024-36401（CVSS 评分：9.8）的利用，这是一种影响 OSGeo GeoServer GeoTools 的严重远程代码执行漏洞，自去年底以来已被武器化用于网络攻击。 Palo Alto Networks Unit 42 的研究人员 Zhibin Zhang、Yiheng An、Chao Lei 和 Haozhe Zhang 在技术报告中表示：“犯罪分子利用该漏洞部署合法的软件开发工具包（SDK）或修改过的应用，以通过网络共享或住宅代理获得被动收入。” “这种被动收入的方式尤其隐蔽。它模仿了一些正规应用开发者的变现策略，这些开发者选择 SDK 而不是展示传统广告。这可能是出于善意的选择，旨在保护用户体验并提升应用留存率。” 该网络安全公司表示，攻击者至少自 2025 年 3 月初起就开始探测暴露在互联网上的 GeoServer 实例，借此植入由对手控制的服务器下载的定制可执行文件。与常见的 HTTP 服务器不同，这些载荷通过一个私有文件共享服务 transfer.sh 分发。 此次行动中使用的应用程序尽量保持低调，几乎不消耗资源，同时通过隐秘的方式利用受害者的网络带宽获利，而无需分发定制恶意软件。这些二进制文件由 Dart 编写，旨在与合法的被动收入服务交互，悄悄利用设备资源进行带宽共享等活动。 这种方式对各方来说都是“双赢”：应用开发者通过集成该功能获得报酬，而网络犯罪分子则能借助看似无害的渠道，从闲置带宽中获利。 Unit 42 表示：“一旦运行，可执行文件会在后台秘密工作，监控设备资源，并在可能时非法共享受害者带宽。这为攻击者带来被动收入。” 该公司收集的遥测数据显示，全球共有 99 个国家的 7100 多个 GeoServer 实例暴露在互联网上，其中中国、美国、德国、英国和新加坡位居前五。 Unit 42 指出：“这场持续的行动展示了攻击者在变现受害系统方面的重要演进。攻击者的核心策略强调隐蔽且持久的收益，而不是对资源的激烈利用。这种方式更倾向于长期、低调的收入生成，而非容易被察觉的技术。” 与此同时，Censys 披露了一个大规模物联网僵尸网络 PolarEdge 的基础设施，该网络由企业级防火墙及路由器、网络摄像头和 VoIP 电话等消费类设备组成，通过利用已知安全漏洞形成。目前其确切用途尚不清楚，但很明显它并未被用于无差别的大规模扫描。 攻击者在获得初始访问权限后，会植入一个基于 Mbed TLS 的定制 TLS 后门，该后门可实现加密的指挥与控制、日志清理以及动态基础设施更新。该后门通常被部署在高位的非标准端口上，可能是为了绕过传统的网络扫描与防御监控范围。 PolarEdge 的特征符合“运营中继箱”（ORB）网络。攻击面管理平台指出，该行动可能最早可追溯至 2023 年 6 月，截至本月，活跃设备数量已达约 4 万台，感染设备中超过 70% 分布在韩国、美国、中国香港、瑞典和加拿大。 安全研究员 Himaja Motheram 表示：“ORB 是被攻陷的出口节点，用来转发流量，以便为威胁行为者执行更多的入侵或攻击。ORB 的价值在于，攻击者无需接管设备的核心功能，它们可以在后台安静地中继流量，而设备仍然保持正常运行，从而让设备所有者或运营商难以察觉。” 近几个月来，攻击者还利用 DrayTek、TP-Link、Raisecom 和 Cisco 等厂商产品中的漏洞入侵设备，并部署一个代号为 gayfemboy 的 Mirai 变种，表明攻击范围正在扩大。 Fortinet 表示：“gayfemboy 行动覆盖多个国家，包括巴西、墨西哥、美国、德国、法国、瑞士、以色列和越南。其目标涉及广泛行业，如制造业、科技、建筑业，以及媒体或通信。” gayfemboy 能够针对多种系统架构，包括 ARM、AArch64、MIPS R3000、PowerPC 和 Intel 80386。它具备四个主要功能： Monitor：跟踪线程和进程，并具备持久化和沙箱逃避技术 Watchdog：尝试绑定到 UDP 端口 47272 Attacker：通过 UDP、TCP 和 ICMP 协议发起 DDoS 攻击，并连接远程服务器获取命令以实现后门访问 Killer：在接收到服务器指令或检测到沙箱环境时自我终止 安全研究员 Vincent Li 表示：“虽然 gayfemboy 继承了 Mirai 的结构元素，但它引入了显著的改进，提升了复杂性和规避检测的能力。这一演变反映出现代恶意软件的日益复杂化，也凸显了主动、情报驱动防御策略的必要性。” 与此同时，另一起加密劫持行动也被曝光。威胁行为者 TA-NATALSTATUS 正在针对暴露的 Redis 服务器投放加密货币挖矿程序。 攻击方式包括扫描 6379 端口上的未认证 Redis 服务器，然后执行合法的 CONFIG、SET 和 SAVE 命令，进而创建一个恶意的定时任务，运行脚本以关闭 SELinux、规避防御、阻断 Redis 端口的外部连接（防止其他攻击者入侵），并终止竞争对手的挖矿进程（如 Kinsing）。 攻击者还会部署脚本安装 masscan 或 pnscan 等工具，随后执行类似“masscan –shard”的命令扫描互联网上的易受攻击 Redis 实例。最后一步是通过每小时的定时任务建立持久化，并启动挖矿进程。 网络安全公司 CloudSEK 表示，该活动是 Trend Micro 在 2020 年 4 月披露的一次攻击行动的演化版本，新增了类似 rootkit 的功能，以隐藏恶意进程并修改文件时间戳，从而迷惑取证分析。 研究员 Abhishek Mathew 表示：“通过将系统二进制文件 ps 和 top 重命名为 ps.original，并用恶意包装器替代，它们会在输出中过滤掉自身的恶意进程。管理员在使用标准工具寻找矿工进程时，将无法发现它的存在。他们还将 curl 和 wget 分别重命名为 cd1 和 wd1。这是一种简单但巧妙的方法，可以绕过那些专门监控 curl、wget 下载行为的安全产品。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

On August 16, the American company Data I/O—one of the world’s largest electronics manufacturers serving clients such as Amazon, Apple, Google, and Microsoft—fell victim to a ransomware attack. The incident proved so severe that...

The post Major Electronics Manufacturer Struck by Ransomware, Halting Operations appeared first on Penetration Testing Tools.

一文掌握如何避免大模型提示词注入攻击

程序员戴维斯·卢因预感被裁员，在公司代码中预留"死人开关"恶意代码。一旦其微软AD账号被删除，代码自动启动删除数据、破坏服务器。伊顿公司花费数十万美元恢复数据。戴维斯被判4年监禁和3年监外执行。

A massive cryptocurrency theft has once again revealed how vulnerable users remain to the manipulations of social engineering. On August 19, an anonymous Bitcoin holder was stripped of 783 BTC — roughly $89 million...

The post $89 Million Gone: How Social Engineering Stole a Fortune in Bitcoin appeared first on Penetration Testing Tools.

反诈骗专家Julie-Anne Kearns在TikTok上以@staysafewithmjules身份普及防骗知识，并揭露骗子策略。尽管如此，她去年也遭遇了伪装成HMRC邮件的骗局。在Lock and Code播客中，她分享了自己的被骗经历、对受害者指责现象的看法以及识别网络骗局的关键警示信号。

Researchers at CrowdStrike have identified a new macOS infection campaign deploying a malware strain known as Shamos. This trojan is a variant of Atomic macOS Stealer (AMOS), a notorious Mac infostealer, and is being...

The post A New macOS Malware Is Using “ClickFix” to Steal Passwords and Crypto Wallets appeared first on Penetration Testing Tools.

由于文章无法加载（错误代码521），无法提供内容总结。

HackerNews 编译，转载请注明出处： 俄罗斯移动安全公司Dr. Web最新报告披露，新型安卓间谍软件“Android.Backdoor.916.origin”伪装成俄罗斯联邦安全局（FSB）开发的杀毒工具，针对本国企业高管发起定向攻击。该恶意软件具备窃听对话、调用摄像头实时监控、记录键盘输入及窃取通讯应用数据等多项监控功能。 自2025年1月首次发现以来，该恶意软件已迭代多个版本，表明其处于持续开发中。研究人员根据分发诱饵、感染方式及仅提供俄语界面的特性，判定其专为针对俄罗斯企业设计。 攻击者采用两种主要伪装策略：一款名为“GuardCB”的应用冒充俄罗斯中央银行，另两款变体“SECURITY_FSB”和“ФСБ”（FSB）则仿冒俄罗斯情报机构的官方软件。Dr. Web强调：“其界面仅支持俄语，表明该程序完全针对俄罗斯用户。文件名中出现的‘SECURITY_FSB’等标识进一步证实，网络犯罪分子试图将其伪装成与俄执法机构相关的安全程序”。 尽管该程序缺乏实际安全功能，但通过模拟杀毒软件界面阻止用户卸载。用户点击“扫描”后，界面会以30%的概率随机生成1至3个虚假威胁报告以博取信任。 安装后，恶意软件会索要多项高危权限： 地理位置访问 短信及媒体文件读取 摄像头与录音调用 无障碍服务控制 后台持续运行权限 随后启动多项服务连接命令控制（C2）服务器，接收包括以下指令： 窃取短信、联系人、通话记录、地理位置及存储图像 激活麦克风窃听、摄像头监控及屏幕流捕捉 捕获通讯应用与浏览器内容（Telegram、WhatsApp、Gmail、Chrome及Yandex应用） 执行远程命令、维持持久化访问并启用自我保护机制 Dr. Web发现该恶意软件可切换多达15个托管服务提供商，虽当前未激活此功能，但表明其具备高弹性设计。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

Researchers at Trellix have uncovered an unusual attack scheme targeting Linux systems, where the key element is not a malicious payload hidden within a file, but the file name itself inside an archive. The...

The post Weaponizing Filenames: Trellix Uncovers Stealthy Linux Malware Delivering VShell Backdoor appeared first on Penetration Testing Tools.

Microsoft has released a new test build of Windows 11, Insider Preview Build 26200.5761 (KB5064093), for participants in the Windows Insider Program on the Dev Channel. The update introduces several notable features and improvements...

The post Windows 11 Update Brings Android App Continuity and New Lock Screen Features appeared first on Penetration Testing Tools.

A former employee has been convicted of deliberately orchestrating digital sabotage against his own company. The U.S. Department of Justice announced that 55-year-old Davis Lu, a Chinese national residing in Houston, was sentenced to...

The post Revenge of the Coder: Ex-Employee Jailed for Digital Sabotage and a Malicious “Kill Switch” appeared first on Penetration Testing Tools.

网络风暴中心更新显示值班人员Jesse La Grew，威胁级别为绿色。即将在拉斯维加斯举办应用安全课程。

文章探讨了如何有效应对工作压力，建议通过时间管理和任务优先级设定来提高效率，并强调适当休息和放松对保持心理健康的重要性。