HackerNews

HackerNews 编译，转载请注明出处： 微软透露，一个现已修复的安全漏洞影响了 Windows 公共日志文件系统（CLFS），该漏洞被作为零日漏洞利用，用于针对少数目标的勒索软件攻击。 “目标包括美国信息技术（IT）和房地产行业的组织、委内瑞拉的金融行业、一家西班牙软件公司以及沙特阿拉伯的零售行业，”这家科技巨头表示。 相关漏洞是 CVE-2025-29824，这是一个 CLFS 中的权限提升漏洞，攻击者可利用其获得 SYSTEM 权限。微软在 2025 年 4 月的补丁星期二更新中修复了这一漏洞。 微软正在追踪这一活动以及 CVE-2025-29824 被利用后的情况，并将其命名为 Storm-2460，同时发现攻击者还利用了一种名为 PipeMagic 的恶意软件来交付漏洞利用程序和勒索软件载荷。 目前尚不清楚攻击中使用的具体初始访问向量。然而，观察到攻击者使用 certutil 工具从一个先前被攻陷的合法第三方站点下载恶意软件，以部署载荷。 该恶意软件是一个包含加密载荷的恶意 MSBuild 文件，解包后会启动 PipeMagic，这是一个自 2022 年以来在野外被检测到的基于插件的特洛伊木马。 值得一提的是，CVE-2025-29824 是继 CVE-2025-24983（一个 Windows Win32 内核子系统权限提升漏洞）之后，通过 PipeMagic 传递的第二个 Windows 零日漏洞。CVE-2025-24983 由 ESET 发现，并于上个月由微软修复。 此前，PipeMagic 还与利用另一个 CLFS 零日漏洞（CVE-2023-28252）的 Nokoyawa 勒索软件攻击有关。 “在我们归因于同一攻击者的其他攻击中，我们还观察到，在利用 CLFS 提权漏洞之前，受害者的机器已被一个名为‘PipeMagic’的自定义模块化后门感染，该后门通过 MSBuild 脚本启动，”卡巴斯基在 2023 年 4 月指出。 需要强调的是，Windows 11 24H2 版本不受此特定漏洞利用的影响，因为对 NtQuerySystemInformation 中某些系统信息类的访问被限制为具有 SeDebugPrivilege 的用户，而这类权限通常只有管理员级别的用户才能获得。 “漏洞利用针对的是 CLFS 内核驱动中的一个漏洞，”微软威胁情报团队解释道。“漏洞利用随后利用内存损坏和 RtlSetAllBits API 将漏洞利用进程的令牌覆盖为值 0xFFFFFFFF，从而为进程启用所有权限，这允许将进程注入到 SYSTEM 进程中。” 成功利用漏洞后，攻击者会通过转储 LSASS 内存来提取用户凭据，并使用随机扩展名加密系统中的文件。 微软表示，未能获得勒索软件样本进行分析，但指出加密后留下的勒索信中包含一个与 RansomEXX 勒索软件家族相关的 TOR 域。 “勒索软件攻击者重视被攻陷后的提权漏洞利用，因为这些漏洞可以让他们将初始访问权限（包括从商品恶意软件分发者手中接过的访问权限）提升为特权访问权限，”微软表示。“然后他们利用这些特权访问权限在环境中广泛部署和引爆勒索软件。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 由生成式人工智能（AI）驱动的平台Lovable，支持通过文本指令创建全栈式网页应用，现已被发现是最容易遭受“越狱攻击”的工具之一，使得技术门槛极低的网络攻击者也能轻松搭建仿冒的钓鱼网页以窃取用户凭证。 Guardio Labs研究员Nati Tal在提供给《The Hacker News》的报告中指出：“作为一个专为开发和部署网页应用设计的工具，它的功能与每个诈骗者的梦想清单几乎完全吻合。从像素级别还原的诈骗页面，到实时托管、规避侦测技术，甚至用于追踪被盗数据的后台管理面板——Lovable不仅参与其中，而且执行得十分彻底。没有安全防护机制，没有丝毫犹豫。” 这一滥用技术被命名为“VibeScamming”，其灵感源自“vibe coding”概念，即利用AI通过简短文字描述问题，由面向编程优化的大语言模型（LLM）生成软件代码的方式。 事实上，滥用LLM和AI聊天机器人进行恶意活动早已不新鲜。近期研究显示，攻击者已经在利用诸如OpenAI ChatGPT和Google Gemini等热门工具，协助进行恶意软件的开发、研究与内容生成。 与此同时，DeepSeek等大语言模型也被发现易受特定的提示攻击与越狱技术（如Bad Likert Judge、Crescendo、Deceptive Delight）影响，进而绕过安全与伦理限制，生成本应被禁止的内容，如钓鱼邮件、键盘记录器以及勒索软件样本——尽管这通常需要额外提示或调试过程。 Broadcom旗下的赛门铁克上月发布的报告也揭示，OpenAI开发的AI代理“Operator”可被武器化，实现完全自动化的网络攻击流程：包括寻找特定用户的电子邮箱地址、生成用于收集系统信息的PowerShell脚本、将数据储存于Google Drive，并撰写钓鱼邮件引导目标用户执行恶意代码。 Lovable AI与VibeScamming的结合进一步暴露出AI工具在降低网络攻击门槛上的潜力。攻击者可以不具备专业技术背景，便借助AI的代码生成能力，制造出功能齐全的恶意程序。 一个典型案例是一种新型越狱手法“Immersive World”，可创建能在Chrome浏览器中窃取凭证和敏感信息的信息窃取器。该方法通过“叙事工程”（narrative engineering）绕过LLM的安全控制，构建一个完整虚构的故事世界，并为其中的角色设定具体规则，从而避开模型的内容限制。 Guardio Labs的最新分析更进一步指出，除了Lovable，Anthropic推出的Claude（程度较轻）等平台也可能被用于策划完整的诈骗行动：包括伪造短信模板、通过Twilio投递含恶意链接的短信、内容混淆处理、逃避检测机制，以及集成Telegram以实现数据外传。 所谓VibeScamming的攻击路径从一句直接指令开始，要求AI自动化完成整个攻击周期。研究人员随后通过多轮提示逐步引导LLM生成预期的恶意内容。这个被称为“Level Up”的阶段包括：优化钓鱼页面外观、改进信息投递方式、增强整体诈骗行为的可信度。 根据Guardio的测试，Lovable不仅能生成高度仿真的微软登录页面，还可自动将页面部署在其子域名（例如*.lovable.app）上，并在窃取凭证后将用户重定向至office[.]com，增强欺骗性。 更令人担忧的是，Claude与Lovable在面对旨在规避安全检测的提示时，竟然也会提供协助，包括将被盗凭证外传至Firebase、RequestBin、JSONBin或私人Telegram频道等第三方平台。 Tal指出：“真正令人警惕的，不仅是页面外观的高度仿真，还有它的用户体验。其仿真程度高到甚至比微软官方登录流程还要顺畅。这显示出专注任务的AI代理所具备的强大能力，也警示我们——一旦缺乏严格的防护机制，它们极易被恶意利用。” “它不仅生成了可用的诈骗页面，还赠送了一个功能完备的管理后台，让我们可以查看所有收集的数据——包括凭证、IP地址、时间戳，甚至明文密码。” 作为应对，Guardio也同步发布了首个“VibeScamming基准测试”版本，用于全面评估各类生成式AI模型在钓鱼攻击流程中的抗滥用能力。测试结果显示，ChatGPT得分8分（满分10分），Claude为4.3，而Lovable仅为1.8，显示其极高的可被利用性。 Tal总结道：“ChatGPT虽然是最强大的通用模型，但在防范越狱方面也最为谨慎。相较之下，Claude起初表现出较强的抵抗，但在被套上‘伦理’或‘安全研究’的框架后，很快就会给出详细的操作建议。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 臭名昭著的高级持续性威胁（APT）组织ToddyCat近期采用了一种复杂的攻击策略，通过利用ESET命令行扫描器中的安全漏洞，将恶意代码悄无声息地植入目标系统。 该漏洞现已编号为CVE-2024-11859。攻击者借此得以在受信任的安全软件环境中执行恶意负载，从而绕过安全监测工具的检测。 2024年初，调查人员在多台被入侵设备的临时目录中发现名为“version.dll”的可疑文件。进一步分析确认，这些文件是一个名为TCESB的复杂攻击工具的组成部分，专为规避安全机制与监控系统而开发。 这一工具此前未在ToddyCat的武器库中出现过，其主要利用了ESET命令行扫描器（ecls）在加载DLL文件时的安全缺陷。ESET已将该问题注册为CVE-2024-11859，并于2025年1月21日发布补丁，随后于4月4日发布安全公告。 漏洞利用链的技术分析 卡巴斯基的报告指出，攻击者使用了MITRE ATT&CK框架中T1574类别的技术——DLL代理（DLL Proxying），借此执行恶意代码。TCESB工具导出所有合法version.dll文件的函数接口，但在后台重定向调用至原始DLL的同时执行恶意操作。 该漏洞利用了ESET命令行扫描器的不安全加载机制：该程序在查找version.dll时会优先搜索当前目录，再搜索系统目录。因此，攻击者可以将恶意DLL文件伪装为version.dll，从而被程序优先加载。 分析还显示，TCESB基于开源工具EDRSandBlast修改而来，在其功能上进行了拓展。恶意程序可修改Windows内核结构，禁用关键系统事件（如进程创建）的通知机制。 为了进一步提升隐蔽性，TCESB还采用了“自带易受攻击驱动程序”（BYOVD，T1211）的方式，使用存在CVE-2021-36276漏洞的Dell驱动程序DBUtilDrv2.sys，在内核层执行高权限操作。 负载执行机制 该工具实现了一个复杂的负载执行系统，每隔两秒检查当前目录中是否存在名为“kesp”或“ecore”的特定文件。一旦发现，便使用AES-128加密算法进行解密，解密密钥则存储在载荷文件的前32字节内。 这一多阶段执行机制展现了ToddyCat在作战安全性方面的高度专业性。攻击者确保仅在渗透成功后才部署真正的负载，有效提升了攻击的隐蔽性和持久性。 安全专家建议：应重点监控系统中涉及使用已知漏洞驱动程序的安装行为。资源平台如loldrivers项目可用于识别这类驱动。同时，还应监测Windows系统中内核调试符号加载事件，尤其是在无需进行内核调试的设备上。 这一事件再次凸显出高级威胁行为者战术的不断演进：他们甚至能够利用受信任的安全软件，长期、隐蔽地控制目标系统。   消息来源：Cybersecurity News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 近期，一种新型Mirai僵尸网络引发了针对TVT NVMS9000数字视频录像机（DVR）的大规模漏洞利用激增。该攻击潮在2025年4月3日达到高峰，当天共检测到超过2500个独立IP地址在扫描易受攻击的设备。 攻击者利用的是一个信息泄露漏洞，该漏洞最早由SSD Advisory于2024年5月披露，详细公开了通过单一TCP数据包获取管理员明文凭证的完整利用方法。该漏洞可绕过认证机制，使攻击者无需权限即可执行设备上的管理命令。 根据威胁监测平台GreyNoise的监测结果，这一波攻击极可能与基于Mirai的恶意软件有关，其目的是将受感染设备纳入其僵尸网络中。这些被感染的设备通常会被用来代理恶意流量、进行加密货币挖矿，或发起分布式拒绝服务（DDoS）攻击。 在过去一个月内，GreyNoise记录了6600个与该活动相关的独立IP地址，全部被确认为恶意且无法伪造。其中，大多数攻击来源于台湾地区、日本和韩国，而受攻击的设备则主要集中在美国、英国和德国。 TVT NVMS9000是由中国深圳的TVT数字技术有限公司生产的一款数字视频录像机，主要用于安防监控系统中对视频画面进行录制、存储和管理。由于这些DVR设备通常联网使用，因此历来是各种僵尸网络攻击的重点目标，有些漏洞甚至已存在长达五年之久。 近期曾攻击DVR设备的其他僵尸网络还包括HiatusRAT、Mirai和FreakOut。根据SSD发布的建议，用户应尽快将固件升级至1.3.4版本或更高版本以修复漏洞。如无法升级，建议限制DVR设备的公网访问权限，并屏蔽GreyNoise列出的恶意IP地址的入站请求。 感染Mirai僵尸网络的DVR设备通常会表现出异常网络流量激增、运行缓慢、频繁死机或重启、空闲时CPU或内存占用高以及配置被篡改等迹象。如发现上述情况，应立即断开设备连接，执行出厂重置，更新至最新固件，并将其与主网络隔离。 值得注意的是，NVMS9000的最新固件发布时间为2018年，目前尚不清楚该系列设备是否仍在厂商支持范围内。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Meta 警告 Windows 用户更新 WhatsApp 消息应用至最新版本，以修复一个可让攻击者在设备上执行恶意代码的漏洞。 该漏洞被描述为一个欺骗问题，追踪编号为 CVE-2025-30401，攻击者可通过向潜在目标发送带有篡改文件类型的恶意文件来利用此安全漏洞。 Meta 表示，该漏洞影响了所有 WhatsApp 版本，并已通过发布 WhatsApp 2.2450.6 修复。 “在 WhatsApp for Windows 版本 2.2450.6 之前，附件会根据其 MIME 类型显示，但选择文件打开处理程序是基于附件的文件名扩展名，”WhatsApp 在周二的公告中解释道。“恶意构造的不匹配可能导致收件人在 WhatsApp 内手动打开附件时，意外执行任意代码而非查看附件。” Meta 表示，一位外部研究人员通过 Meta Bug Bounty 提交发现了该漏洞。该公司尚未分享 CVE-2025-30401 是否在野外被利用的信息。 2024 年 7 月，WhatsApp 解决了一个类似的问题，即当收件人在安装了 Python 的 Windows 设备上打开时，Python 和 PHP 附件可在无警告的情况下执行。 常被间谍软件攻击的目标 最近，在多伦多大学公民实验室的安全研究人员报告后，WhatsApp 还修复了一个被利用来安装 Paragon Graphite 间谍软件的零点击、零日安全漏洞。 该公司表示，去年年底已解决了攻击向量，“无需客户端修复”，并在“审查了 MITRE 发布的 CVE 指南和自身的内部政策后”决定不分配 CVE 编号。 1 月 31 日，在服务器端缓解了安全问题后，WhatsApp 通知了来自 20 多个国家的约 90 名 Android 用户，包括意大利记者和活动家，他们成为了使用零点击漏洞的 Paragon 间谍软件攻击的目标。 去年 12 月，美国联邦法官裁定，以色列间谍软件制造商 NSO Group 利用 WhatsApp 零日漏洞在至少 1,400 台设备上部署了 Pegasus 间谍软件，从而违反了美国的黑客法律。 法院文件显示，NSO 据称利用多个零日漏洞通过 WhatsApp 漏洞部署 Pegasus 间谍软件，其开发人员还逆向工程了 WhatsApp 的代码，以创建发送恶意消息的工具，从而安装间谍软件，违反了联邦和州法律。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软已修复一个已知问题，该问题导致在使用 Kerberos PKINIT 预认证安全协议的系统上启用 Credential Guard 时出现认证问题。 据微软称，这些认证问题影响了客户端（Windows 11 24H2 版本）和服务器（Windows Server 2025）平台，尽管仅在一些特殊场景中出现。 在受影响的系统上，用户遇到问题，因为当使用身份更新管理器证书/预引导密钥初始化（PKINIT）协议时，密码未能正确轮换。 然而，由于 Kerberos 认证通常用于企业终端，因此家庭设备可能不受此已知问题的影响。 “由于这个问题，设备无法按照默认的 30 天间隔更改密码。由于这种失败，设备被视为过期、禁用或已删除，导致用户认证问题，”微软在 Windows 发布健康仪表板更新中解释道。 “运行 Windows 家庭版的设备不太可能受到此问题的影响，因为 Kerberos 认证通常用于企业环境中，在个人或家庭设置中并不常见。” 微软表示，该问题已在 2025 年 4 月的 Windows 安全更新中得到修复，适用于 Windows 11 24H2 和 Windows Server 2025。然而，它还补充说，在找到永久解决方案之前，已禁用 Credential Guard 中依赖 Kerberos 密码轮换的机器账户。 “我们建议您为您的设备安装最新的更新，因为它包含重要的改进和问题解决，包括此问题，”该公司表示。 2022 年 11 月，微软发布了紧急带外（OOB）更新，以修复另一个导致企业 Windows 域控制器上 Kerberos 登录失败和各种其他认证问题的已知问题。 它还在 2021 年 11 月解决了与 Windows Server 上 Kerberos 委托场景相关的认证失败问题，并在一年前解决了影响运行 Windows 2000 及更高版本的域连接设备的类似 Kerberos 认证问题。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全和基础设施安全局（CISA）已将最近披露的一个影响 CrushFTP 的严重安全漏洞添加到其已知被利用漏洞（KEV）目录中，此前有报告显示该漏洞在野外被积极利用。 该漏洞是一个身份验证绕过漏洞，可能允许未认证的攻击者接管易受攻击的实例。该漏洞已在版本 10.8.4 和 11.3.1 中修复。 “CrushFTP 在 HTTP 授权头中存在身份验证绕过漏洞，允许远程未认证的攻击者认证到任何已知或可猜测的用户账户（例如 crushadmin），可能导致完全被攻陷，”CISA 在一份公告中表示。 该漏洞已被分配了 CVE 编号 CVE-2025-31161（CVSS 评分：9.8）。值得注意的是，同一漏洞之前被追踪为 CVE-2025-2825，但现在已在 CVE 列表中被标记为拒绝。 这一进展是在与该漏洞相关的披露过程陷入争议和混乱之后发生的，VulnCheck 作为 CVE 编号机构（CNA），分配了一个编号（即 CVE-2025-2825），而实际的 CVE（即 CVE-2025-31161）则一直悬而未决。 Outpost24 负责任地向供应商披露了该漏洞，并澄清说，它在 2025 年 3 月 13 日向 MITRE 请求了一个 CVE 编号，并且正在与 CrushFTP 协调，以确保在 90 天的披露期内推出修复措施。 然而，直到 3 月 27 日，MITRE 才将该漏洞分配为 CVE-2025-31161，而此时 VulnCheck 已经发布了自己的 CVE，且在发布前未联系“CrushFTP 或 Outpost24 以查看是否已经有负责任的披露流程正在进行中。” VulnCheck 方面批评 MITRE 拒绝 CVE-2024-2825 并发布了 CVE-2025-31161，同时指责 CrushFTP 试图掩盖该漏洞。 “CrushFTP, LLC 发布了一则公告，但故意要求在 90 天内不发布 CVE，实际上试图将该漏洞对安全社区和防御者隐瞒，”VulnCheck 安全研究员 Patrick Garrity 在 LinkedIn 的一篇帖子中表示。 “更糟糕的是，MITRE 似乎优先考虑其在编写过程中的参与，而不是及时披露一个在野外被积极利用的漏洞。这开创了一个危险的先例。” 这家瑞典网络安全公司随后发布了触发该漏洞利用的分步说明，但没有透露太多技术细节： 生成一个至少 31 个字符长度的随机字母数字会话令牌 设置一个名为 CrushAuth 的 cookie，其值为步骤 1 中生成的值 设置一个名为 currentAuth 的 cookie，其值为步骤 1 中生成值的最后 4 个字符 使用步骤 2 和 3 中的 cookie 以及将 Authorization 头设置为“AWS4-HMAC=<username>/”（其中 <username> 是要登录的用户，例如 crushadmin）对目标 /WebInterface/function/ 执行 HTTP GET 请求 这些操作的最终结果是，最初生成的会话将作为选定用户进行认证，允许攻击者执行该用户有权执行的任何命令。 Huntress 重新创建了 CVE-2025-31161 的概念验证，并表示在 2025 年 4 月 3 日观察到 CVE-2025-31161 在野外被利用，并发现了进一步的后续攻击活动，包括使用 MeshCentral 代理和其他恶意软件。有证据表明，攻陷可能早在 3 月 30 日就已发生。 这家网络安全公司表示，到目前为止，已观察到针对四家不同公司的四个不同主机的攻击，其中三家受影响的公司由同一家托管服务提供商（MSP）托管。受影响公司的名称未被披露，但它们属于营销、零售和半导体行业。 发现威胁行为者利用该访问权限安装了诸如 AnyDesk 和 MeshAgent 等合法远程桌面软件，同时在至少一个实例中采取措施收集凭证。 在部署 MeshAgent 后，据说攻击者将一个非管理员用户（“CrushUser”）添加到本地管理员组，并交付了另一个 C++ 二进制文件（“d3d11.dll”），这是开源库 TgBot 的一种实现。 “很可能威胁行为者正在利用 Telegram 机器人从受感染的主机收集遥测数据，”Huntress 研究人员表示。 截至 2025 年 4 月 6 日，共有 815 个未修补的实例容易受到该漏洞的影响，其中 487 个位于北美，250 个在欧洲。鉴于该漏洞正在被积极利用，联邦民用行政分支（FCEB）机构必须在 4 月 28 日之前应用必要的补丁以保护其网络。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 乌克兰计算机应急响应小组（CERT-UA）揭示了一组针对乌克兰机构的新网络攻击，这些攻击使用信息窃取恶意软件。 该机构表示，这些活动针对军事单位、执法机构以及地方自治机构，尤其是那些位于乌克兰东部边境附近的机构。 这些攻击涉及分发包含启用宏的 Microsoft Excel 电子表格（XLSM）的网络钓鱼电子邮件，当打开时，会部署两种恶意软件：一种是从 PSSW100AVB（“100% 绕过杀毒软件的 PowerShell 脚本”）GitHub 仓库中获取的 PowerShell 脚本，用于开启反向 shell，以及一个以前未被记录的窃密程序，名为 GIFTEDCROOK。 “文件名和电子邮件主题行涉及诸如排雷、行政罚款、无人机生产以及被毁财产赔偿等敏感问题，”CERT-UA 表示。 “这些电子表格包含恶意代码，当用户打开文档并启用宏时，会自动转变为恶意软件并在用户不知情的情况下执行。” GIFTEDCROOK 用 C/C++ 编写，可从 Google Chrome、Microsoft Edge 和 Mozilla Firefox 等网络浏览器中窃取敏感数据，如 cookie、浏览历史和认证数据。 这些电子邮件消息是从被攻陷的账户发送的，通常是通过电子邮件客户端的 Web 界面发送，以使消息看起来具有合法性，并诱使潜在受害者打开文档。CERT-UA 将此活动归因于威胁群组 UAC-0226，尽管它尚未与特定国家相关联。 这一进展正值一个疑似与俄罗斯有关联的间谍活动者 UNC5837 被与 2024 年 10 月针对欧洲政府和军事组织的网络钓鱼活动相关联。 “该活动使用了签名的 .RDP 文件附件，以从受害者的机器建立远程桌面协议（RDP）连接，”Google 威胁情报小组（GTIG）表示。 “与通常关注交互会话的 RDP 攻击不同，此次攻击创造性地利用了资源重定向（将受害者文件系统映射到攻击者服务器）和 RemoteApps（向受害者呈现攻击者控制的应用程序）。” 值得注意的是，RDP 活动之前已在 2024 年 10 月由 CERT-UA、亚马逊网络服务和微软记录，并在 12 月由 Trend Micro 记录。CERT-UA 正在追踪名为 UAC-0215 的活动，而其他公司则将其归因于俄罗斯国家赞助的黑客组织 APT29。 此次攻击还值得注意，因为它可能使用了一个名为 PyRDP 的开源工具来自动化恶意活动，如文件外泄和剪贴板捕获，包括可能敏感的数据如密码。 “此次活动可能使攻击者能够读取受害者的驱动器、窃取文件、捕获剪贴板数据（包括密码），并获取受害者环境变量，”GTIG 在周一的报告中表示。“UNC5837 的主要目标似乎是间谍活动和文件窃取。” 近几个月来，还观察到网络钓鱼活动使用假的 CAPTCHA 和 Cloudflare Turnstile 来分发 Legion Loader（又名 Satacom），然后作为渠道投放一个名为“保存到 Google Drive”的恶意 Chromium 基浏览器扩展。 “初始载荷通过驱动器下载感染传播，始于受害者搜索特定文档并被引诱到恶意网站，”Netskope 威胁实验室表示。“下载的文档包含一个 CAPTCHA，一旦受害者点击，就会将其重定向到 Cloudflare Turnstile CAPTCHA，然后最终重定向到通知页面。” 该页面提示用户允许在该网站上接收通知，之后受害者被重定向到第二个 Cloudflare Turnstile CAPTCHA，完成后再重定向到一个提供 ClickFix 风格指导以下载他们所需文档的页面。 实际上，此次攻击为 MSI 安装程序文件的交付和执行铺平了道路，该文件负责启动 Legion Loader，后者又执行一系列步骤来下载和运行临时 PowerShell 脚本，最终将恶意浏览器扩展添加到浏览器中。 PowerShell 脚本还会终止浏览器会话以启用扩展，打开设置中的开发者模式，然后重新启动浏览器。最终目标是捕获各种敏感信息并将其外泄给攻击者。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁行为者被观察到通过 SourceForge（一个流行的软件托管服务）分发恶意载荷，如加密货币矿工和剪贴板恶意软件，这些恶意软件伪装成合法应用程序（如 Microsoft Office）的破解版本。 “SourceForge 主网站 sourceforge.net 上的一个名为 officepackage 的项目看起来足够无害，它包含了从一个合法的 GitHub 项目复制的 Microsoft Office 插件，”卡巴斯基在今日发布的一份报告中表示。“officepackage 的描述和内容也取自 GitHub。” 虽然 sourceforge.net 上创建的每个项目都会被分配一个“<project>.sourceforge.io”域名，但这家俄罗斯网络安全公司发现，officepackage 的域名“officepackage.sourceforge[.]io”显示了一个长长的 Microsoft Office 应用程序列表以及相应的下载链接（俄语）。 此外，将鼠标悬停在下载按钮上会在浏览器状态栏中显示一个看似合法的 URL：“loading.sourceforge[.]io/download，给人一种下载链接与 SourceForge 相关联的印象。然而，点击链接会将用户重定向到“taplink[.]cc”上托管的一个完全不同的页面，该页面显著显示了另一个下载按钮。 如果受害者点击下载按钮，他们将收到一个 7 MB 的 ZIP 压缩包（“vinstaller.zip”），打开后包含一个受密码保护的第二个压缩包（“installer.zip”）和一个包含打开文件密码的文本文件。 新的 ZIP 文件中包含一个 MSI 安装程序，该程序负责创建多个文件、一个名为“UnRAR.exe”的控制台归档实用程序、一个 RAR 归档文件以及一个 Visual Basic（VB）脚本。 “VB 脚本运行 PowerShell 解释器以从 GitHub 下载并执行一个名为 confvk 的批处理文件，”卡巴斯基表示。“该文件包含 RAR 归档文件的密码。它还会解压恶意文件并运行下一阶段的脚本。” 该批处理文件还设计为运行两个 PowerShell 脚本，其中一个使用 Telegram API 发送系统元数据。另一个文件下载另一个批处理脚本，然后对 RAR 归档文件的内容进行操作，最终启动矿工和剪贴板恶意软件（即 ClipBanker）载荷。 此外，还会投放 netcat 可执行文件（“ShellExperienceHost.exe”），该文件与远程服务器建立加密连接。不仅如此，confvk 批处理文件被发现创建了另一个名为“ErrorHandler.cmd”的文件，其中包含一个通过 Telegram API 检索并执行文本字符串的 PowerShell 脚本。 该网站具有俄语界面，表明其专注于俄语用户。遥测数据显示，90% 的潜在受害者在俄罗斯，从 1 月初到 3 月下旬，共有 4,604 名用户遭遇了这一骗局。 由于 sourceforge[.]io 页面被搜索引擎索引并出现在搜索结果中，因此相信在 Yandex 上搜索 Microsoft Office 的俄罗斯用户可能是此次攻击的目标。 “随着用户寻求在官方渠道之外下载应用程序的方式，攻击者提供了他们自己的，”卡巴斯基表示。“虽然此次攻击主要针对加密货币，通过部署矿工和 ClipBanker，但攻击者可能会将系统访问权限出售给更危险的行为者。” 这一披露正值该公司透露了一个通过假冒 DeepSeek 人工智能（AI）聊天机器人的欺诈性网站分发名为 TookPS 的恶意软件下载器的活动细节。 这包括像 deepseek-ai-soft[.]com 这样的网站，据 Malwarebytes 称，用户通过赞助的 Google 搜索结果被重定向到该网站。 TookPS 被设计为下载并执行 PowerShell 脚本，这些脚本通过 SSH 为受感染的主机提供远程访问，并投放一个名为 TeviRat 的特洛伊木马的修改版本。这突显了威胁行为者试图通过多种方式获得对受害计算机的完全访问权限。 “该样本 […] 使用 DLL 侧加载来修改和部署 TeamViewer 远程访问软件到受感染的设备上，”卡巴斯基表示。“简单来说，攻击者将一个恶意库放在 TeamViewer 的同一文件夹中，这改变了软件的默认行为和设置，使其对用户隐藏，并为攻击者提供了隐蔽的远程访问。” 这一进展紧随发现针对 RVTools（一个流行的 VMware 工具）的恶意 Google 广告，以投放一个名为 ThunderShell（又名 SMOKEDHAM）的修改版本，这是一个基于 PowerShell 的远程访问工具（RAT），强调了恶意广告仍然是一个持续且不断演变的威胁。 “ThunderShell，有时也被称为 SmokedHam，是一个公开可用的后利用框架，专为红队行动和渗透测试而设计，”Field Effect 表示。“它提供了一个命令和控制（C2）环境，使操作员能够通过基于 PowerShell 的代理在受感染的机器上执行命令。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了亚马逊 EC2 简单系统管理器（SSM）代理中的一个现已修复的安全漏洞。如果成功利用该漏洞，攻击者可能实现权限提升和代码执行。 根据 Cymulate 在一份与《黑客新闻》共享的报告中所述，该漏洞可能允许攻击者在文件系统中意外位置创建目录、以 root 权限执行任意脚本，并可能通过向系统敏感区域写入文件来提升权限或执行恶意活动。 亚马逊 SSM Agent 是亚马逊网络服务（AWS）的一个组件，使管理员能够远程管理、配置和在 EC2 实例及本地服务器上执行命令。 该软件处理在 SSM 文档中定义的命令和任务，这些文档可以包含一个或多个插件，每个插件负责执行特定任务，例如运行 shell 脚本或自动化部署和配置相关活动。 此外，SSM Agent 会根据插件规范动态创建目录和文件，通常依赖插件 ID 作为目录结构的一部分。这引入了一个安全风险：如果插件 ID 的验证不当，可能会导致潜在漏洞。 Cymulate 的发现是一个路径遍历漏洞，源于插件 ID 的验证不当，可能允许攻击者操纵文件系统并以提升的权限执行任意代码。问题根植于名为“ValidatePluginId”的函数（位于 pluginutil.go 文件中）。 “该函数未能正确清理输入，允许攻击者提供包含路径遍历序列（例如 ../）的恶意插件 ID，”安全研究员 Elad Beber 表示。 由于这一漏洞，攻击者可以提供一个特制的插件 ID（例如 ../../../../../../malicious_directory），在创建 SSM 文档时执行底层文件系统上的任意命令或脚本，从而实现权限提升和其他后续攻击行为。 在 2025 年 2 月 12 日负责任地披露该漏洞后，亚马逊于 2025 年 3 月 5 日通过发布 SSM Agent 版本 3.3.1957.0 修复了该问题。 根据项目维护人员在 GitHub 上发布的更新日志，“添加并使用 BuildSafePath 方法以防止在编排目录中发生路径遍历。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Fortinet 已发布安全更新，以修复影响 FortiSwitch 的一个严重安全漏洞，该漏洞可能允许攻击者进行未经授权的密码更改。 该漏洞被追踪为 CVE-2024-48887，CVSS 评分为 9.3（满分 10.0）。 Fortinet 在今日发布的公告中表示：“FortiSwitch GUI 中存在一个未验证的密码更改漏洞 [CWE-620]，可能允许远程未认证的攻击者通过特制请求修改管理员密码。” 以下是受影响的版本： FortiSwitch 7.6.0（升级至 7.6.1 或更高版本） FortiSwitch 7.4.0 至 7.4.4（升级至 7.4.5 或更高版本） FortiSwitch 7.2.0 至 7.2.8（升级至 7.2.9 或更高版本） FortiSwitch 7.0.0 至 7.0.10（升级至 7.0.11 或更高版本） FortiSwitch 6.4.0 至 6.4.14（升级至 6.4.15 或更高版本） 这家网络安全公司表示，该漏洞是由 FortiSwitch Web UI 开发团队的 Daniel Rozeboom 内部发现并报告的。 作为临时措施，Fortinet 建议禁用管理界面的 HTTP/HTTPS 访问，并限制系统访问权限，仅允许受信任的主机访问。 虽然目前没有证据表明该漏洞已被利用，但许多影响 Fortinet 产品的安全漏洞曾被威胁行为者武器化，因此用户必须尽快应用补丁。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 在微软的 Visual Studio Code 市场中有九个 VSCode 扩展伪装成合法开发工具，同时感染用户设备，植入 XMRig 加密货币矿工以挖掘以太坊和门罗币。 Microsoft VSCode 是一款流行的代码编辑器，允许用户安装扩展以扩展程序的功能。这些扩展可以从微软的 VSCode 市场下载，这是一个供开发者查找和安装插件的在线中心。 ExtensionTotal 研究员 Yuval Ronen 发现了九个于 2025 年 4 月 4 日在微软门户上发布的 VSCode 扩展。 扩展名称： Discord Rich Presence for VS Code（开发者：Mark H）- 18.9 万次安装 Rojo – Roblox Studio Sync（开发者：evaera）- 11.7 万次安装 Solidity Compiler（开发者：VSCode Developer）- 1300 次安装 Claude AI（开发者：Mark H） Golang Compiler（开发者：Mark H） ChatGPT Agent for VSCode（开发者：Mark H） HTML Obfuscator（开发者：Mark H） Python Obfuscator for VSCode（开发者：Mark H） Rust Compiler for VSCode（开发者：Mark H） 市场数据显示，这些扩展自 4 月 4 日以来已累计超过 30 万次安装。这些数字可能是人为虚高的，目的是让扩展显得更合法和更受欢迎，从而吸引更多用户安装。 ExtensionTotal 表示已向微软报告了这些恶意扩展，但截至本文撰写时，它们仍可在市场上找到。 VSCode 市场上的 Discord 主题扩展 来源：BleepingComputer PowerShell 脚本安装 XMRig 矿工 当安装并激活后，恶意扩展会从外部源 ‘https://asdf11[.]xyz/’ 获取 PowerShell 脚本并执行。完成后，它还会安装其伪装的合法扩展，以避免用户产生怀疑。 下载 PowerShell 脚本的代码 来源：BleepingComputer 恶意 PowerShell 脚本执行多种功能，包括禁用防御、建立持久性、提升权限，最终加载加密货币矿工。 首先，它创建一个伪装为“OnedriveStartup”的计划任务，并在 Windows 注册表中注入脚本，以确保恶意软件（Launcher.exe）在系统启动时运行。 接下来，它关闭关键的 Windows 服务（如 Windows Update 和 Update Medic），并将工作目录添加到 Windows Defender 的排除列表中，以逃避检测。 如果恶意软件未以管理员权限执行，它会模仿系统二进制文件（ComputerDefaults.exe），并通过恶意 MLANG.dll 进行 DLL 劫持以提升权限并执行 Launcher.exe 有效载荷。 可执行文件以 base64 编码形式提供，PowerShell 脚本对其进行解码，以连接到二级服务器 myaunet[.]su 下载并运行 XMRig，这是一种门罗币加密货币矿工。 BleepingComputer 发现，威胁行为者的远程服务器上还有一个 /npm/ 文件夹，可能表明该活动也在该软件包索引上进行。然而，我们尚未在 NPM 平台上找到恶意文件。 威胁行为者服务器上的 NPM 目录 来源：BleepingComputer 如果您安装了 ExtensionTotal 报告中提到的九个扩展中的任何一个，您应立即卸载它们，然后手动定位并删除加密货币矿工、计划任务、注册表键和恶意软件目录。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌在 2025 年 4 月的 Android 安全更新中发布了针对 62 个漏洞的补丁，其中包括两个在针对性攻击中被利用的零日漏洞。 其中一个零日漏洞是 Linux 内核 ALSA 设备 USB 音频驱动中的高严重性权限提升安全漏洞（CVE-2024-53197），据报道，塞尔维亚当局利用了这一漏洞来解锁扣押的 Android 设备，这是以色列数字取证公司 Cellebrite 开发的零日漏洞利用链的一部分。 这一漏洞利用链还包括一个 USB 视频类零日漏洞（CVE-2024-53104，已于 2 月修复）和一个人机接口设备零日漏洞（CVE-2024-50302，上个月修复），该链由大赦国际的安全实验室于 2024 年中期发现，当时他们正在分析塞尔维亚警方解锁设备上的日志。 谷歌在 2 月告诉 BleepingComputer，这些修复程序已于 1 月与原始设备制造商（OEM）合作伙伴共享。 “我们在这些报告之前就已知晓这些漏洞及利用风险，并迅速为 Android 开发了修复程序。修复程序已于 1 月 18 日通过合作伙伴咨询共享，”谷歌发言人告诉 BleepingComputer。 本月修复的第二个零日漏洞（CVE-2024-53150）是 Android 内核信息泄露漏洞，由越界读取弱点引起，使本地攻击者无需用户交互即可访问易受攻击设备上的敏感信息。 2025 年 3 月的 Android 安全更新还修复了另外 60 个安全漏洞，其中大多数是高严重性的权限提升漏洞。 谷歌发布了两组安全补丁，分别是 2025-04-01 和 2025-04-05 安全补丁级别。后者提供了第一批的所有修复程序以及针对封闭源第三方和内核子组件的安全补丁，这些补丁不一定适用于所有 Android 设备。 谷歌 Pixel 设备立即接收这些更新，而其他厂商通常需要更长时间来测试和优化安全补丁，以适应其特定的硬件配置。 2024 年 11 月，谷歌还修复了另一个 Android 零日漏洞（CVE-2024-43047），该漏洞最初于 2024 年 10 月被谷歌 Project Zero 标记为已被利用，并被塞尔维亚政府在 NoviSpy 间谍软件攻击中用于针对活动人士、记者和抗议者的 Android 设备。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Everest 勒索软件团伙的暗网泄露网站显然在周末被一名未知攻击者黑掉，现已下线。 未知攻击者将网站内容替换为以下讽刺性信息：“不要犯罪，犯罪很糟糕 xoxo 来自布拉格。” Everest 团伙已将其泄露网站下线，该网站现已无法加载，显示“洋葱网站未找到”错误。 Everest 的被黑泄露网站（Tammy H.） 虽然目前尚不清楚攻击者是如何获得对 Everest 网站的访问权限的，或者该网站是否真的被黑，但一些安全专家，如 Flare 高级威胁情报研究员 Tammy Harper，指出可能是利用了 WordPress 漏洞来篡改勒索软件团伙的泄露网站。 “值得一提的是，Everest 使用了 WordPress 模板来制作他们的博客。我不会对此感到惊讶，”Harper 表示。 自 2020 年首次出现以来，Everest 勒索软件团伙已从仅通过数据窃取进行企业勒索的策略转变为在攻击中加入勒索软件以加密受害者的受损系统。 Everest 的运营者还以作为其他网络犯罪团伙和威胁行为者的初始访问代理而闻名，出售对被攻陷企业网络的访问权限。 在过去的五年中，Everest 已在其暗网泄露网站上添加了超过 230 名受害者，该网站是双倍勒索攻击的一部分，勒索软件团伙试图通过威胁发布包含敏感信息的文件来迫使受害者支付赎金。 其最近的一名受害者是 STIIIZY，这是一家总部位于加利福尼亚州的知名大麻品牌，Everest 在 2024 年 11 月声称对其发起了攻击。今年 1 月，STIIIZY 透露，未知攻击者攻陷了其销售点（POS）供应商，窃取了客户信息，包括购买信息和政府身份证件。 2024 年 8 月，美国卫生与公众服务部还警告称，Everest 勒索软件团伙正越来越多地针对美国各地的医疗机构。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 西班牙警方逮捕了六名利用人工智能工具进行大规模加密货币投资诈骗的个人，该诈骗利用深度伪造广告展示知名公众人物，以吸引人们参与。 该诈骗非常成功，从全球 208 名受害者那里骗取了 1900 万欧元（约合 2090 万美元）。 代号为“COINBLACK – WENDMINE”的警方行动始于两年前，当时一名受害者提交了投诉。行动导致在格拉纳达和阿利坎特地区逮捕了六名年龄在 34 至 57 岁之间的个人。 此外，在警方突袭中还查获了 10 万欧元、手机、电脑、硬盘、枪支和文件。 警方的公告强调了行动的复杂性，解释说犯罪分子创建了多个空壳公司来洗钱。同时，该团伙的头目使用了超过 50 个不同的化名。 该诈骗有多个阶段，从典型的“浪漫诱饵诈骗”或威胁行为者冒充“财务顾问”开始，最后以假的资金回收索赔告终。 受害者是通过算法选择的，这些算法挑选出符合网络犯罪分子目标要求的个人，然后通过人工智能生成的深度伪造广告进行针对性攻击。 “在人工智能的帮助下，诈骗者创建了假广告，展示知名国家人物似乎在推荐投资这些产品，”西班牙国家警察的公告解释道。 “这显著增加了受害者对投资安全性和盈利性的信任。” 受害者最初在本质上是假平台的大型投资回报上看到了虚假数字。 在某个时候，冒充财务顾问甚至模拟与受害者建立浪漫关系的诈骗者告知他们，他们的投资已被冻结，只有在他们支付一大笔款项后才能取回资金。 在最后阶段，受害者再次被诈骗者联系，这些诈骗者现在冒充欧洲刑警组织的特工或英国律师，声称他们的资金已被追回，只需支付当地税费即可取回资金。 警方提醒公众警惕保证回报的承诺，并在存入任何资金之前始终验证投资平台的合法性和可信度。 其他警示信号包括投资压力、无法提款、意外的余额“冻结”以及关于额外“费用/税费”的说法，这些费用/税费据称是取款所需的。 如今，创建逼真的 AI 生成深度伪造视频变得轻而易举，因此用户不应受据称推广投资平台的名人影响。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软今天宣布，基于客户反馈，将无限期推迟移除 Windows Server Update Services (WSUS) 中的驱动同步功能。 “看到你们中有多少人已经开始转向可用的基于云的驱动服务，我们最初提议移除 WSUS 驱动同步。感谢你们的反馈，尤其是在离线设备场景中，我们现在修订了这一计划，”高级项目经理 Paul Reed 表示。 “基于您宝贵的反馈，我们推迟了原定于 2025 年 4 月 18 日移除 WSUS 驱动同步的计划。请继续关注，我们将努力制定修订后的时间线，以便为您优化我们的服务，”微软在周一的消息中心更新中补充道。 这一公告是在过去一年发布的三次警告之后发布的，微软原计划于 2025 年 4 月 18 日移除 WSUS 驱动同步。微软最初于 2024 年 6 月宣布弃用 WSUS 驱动同步，并在 2025 年 1 月鼓励 IT 管理员采用其更新的基于云的驱动服务。 一个月后，微软提醒管理员为 WSUS 驱动同步的弃用做好准备，并鼓励他们采用基于云的解决方案来管理客户端和服务器更新，例如 Windows Autopatch、Microsoft Intune 和 Azure Update Manager。 2024 年 9 月，微软还宣布 WSUS 已被弃用，但补充说，它计划维护所有现有功能，并继续通过该渠道发布更新。这一公告是在 2024 年 8 月 13 日将 WSUS 列为“从 Windows Server 2025 开始移除或不再开发的功能”之后发布的。 近二十年前作为 Software Update Services (SUS) 推出的 WSUS，帮助 IT 管理员通过单个服务器管理并分发微软产品的更新，覆盖大型企业网络中的许多 Windows 设备，而不是依赖每个终端从微软的服务器进行更新。 2024 年 6 月，微软还宣布正式弃用 Windows NTLM 身份验证协议，敦促开发人员转向 Kerberos 或协商身份验证，以避免未来的问题。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个被称为 PoisonSeed 的恶意活动正在利用与客户关系管理（CRM）工具和批量邮件服务相关的泄露凭据，发送包含加密货币种子短语的垃圾邮件，试图清空受害者的数字钱包。 “批量垃圾邮件的接收者成为了加密货币种子短语投毒攻击的目标，”Silent Push 在分析中表示。“作为攻击的一部分，PoisonSeed 提供安全种子短语，诱使潜在受害者将其复制粘贴到新的加密货币钱包中，以便日后进行攻击。” PoisonSeed 的目标包括企业组织和加密货币行业外的个人。像 Coinbase 和 Ledger 这样的加密货币公司，以及 Mailchimp、SendGrid、Hubspot、Mailgun 和 Zoho 等批量邮件服务提供商均在目标之列。 该活动被认为与两个 loosely aligned 的威胁行为者 Scattered Spider 和 CryptoChameleon 不同，两者都是更广泛的网络犯罪生态系统“Com”的一部分。该活动的一些方面之前由安全研究员 Troy Hunt 和 Bleeping Computer 于上个月披露。 这些攻击涉及威胁行为者为知名的 CRM 和批量邮件公司设置假冒的网络钓鱼页面，目的是诱骗高价值目标提供他们的凭据。一旦获得凭据，对手就会创建一个 API 密钥，以确保即使被盗密码被所有者重置，也能保持持久访问。 在下一阶段，操作者可能会使用自动化工具导出邮件列表，并从这些被攻陷的账户发送垃圾邮件。CRM 被攻陷后的供应链垃圾邮件通知用户，他们需要使用嵌入在电子邮件中的种子短语设置新的 Coinbase 钱包。 攻击的最终目标是使用相同的恢复短语劫持账户并从这些钱包中转移资金。与 Scattered Spider 和 CryptoChameleon 的关联源于使用了一个之前被识别为前者使用的域名（“mailchimp-sso[.]com”），以及 CryptoChameleon 历史上针对 Coinbase 和 Ledger 的攻击。 尽管如此，PoisonSeed 使用的网络钓鱼工具包与这两个威胁集群使用的没有任何相似之处，这表明它要么是 CryptoChameleon 的一个全新的网络钓鱼工具包，要么是一个不同的威胁行为者，只是碰巧使用了类似的战术。 这一进展发生在一个俄语系威胁行为者被观察到使用托管在 Cloudflare Pages.Dev 和 Workers.Dev 上的网络钓鱼页面来分发可以远程控制受感染 Windows 主机的恶意软件之后。该活动的早期版本也被发现分发了 StealC 信息窃取器。 “这一最新活动利用了围绕 DMCA（数字千年版权法案）下架通知的 Cloudflare 品牌网络钓鱼页面，这些通知跨越多个域名，”Hunt.io 表示。 “诱饵滥用 ms-search 协议通过双扩展名下载一个伪装成 PDF 的恶意 LNK 文件。一旦执行，恶意软件会与攻击者操作的 Telegram 机器人检查，发送受害者的 IP 地址，然后过渡到 Pyramid C2 来控制受感染的主机。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 澳大利亚、加拿大、新西兰和美国的网络安全机构联合发布了一份关于Fast Flux技术风险的咨询报告，该技术已被威胁行为者采用，以掩盖命令与控制（C2）通道的位置。 “Fast Flux是一种通过快速更改与单个域名相关的域名系统（DNS）记录来掩盖恶意服务器位置的技术，”这些机构表示。“这种威胁利用了网络防御中常见的漏洞，使得追踪和阻止恶意Fast Flux活动变得困难。”   这份咨询报告由美国网络安全与基础设施安全局（CISA）、国家安全局（NSA）、联邦调查局（FBI）、澳大利亚信号局的澳大利亚网络安全中心、加拿大网络安全中心以及新西兰国家网络安全中心联合发布。   近年来，Fast Flux技术已被许多黑客组织采用，包括与 Gamaredon、CryptoChameleon 和 Raspberry Robin 相关的威胁行为者，以使其恶意基础设施能够逃避检测和执法部门的打击。   这种方法本质上涉及使用多种 IP 地址，并在快速 succession 中轮换，同时指向一个恶意域名。它最初于 2007 年在 Honeynet 项目中被发现。   它可以是单通量（Single Flux），即一个域名与多个 IP 地址相关联，也可以是双通量（Double Flux），即除了更改 IP 地址外，负责解析域名的 DNS 名称服务器也会频繁更改，为恶意域名提供额外的冗余和匿名性。   “Fast Flux网络之所以‘快速’，是因为通过 DNS，它会快速轮换多个僵尸程序，每个僵尸程序只使用很短的时间，从而使得基于 IP 的拒绝列表和打击工作变得困难，”Palo Alto Networks Unit 42 在 2021 年发布的一份报告中表示。   将Fast Flux描述为国家安全威胁，这些机构表示，威胁行为者正在利用这种技术来掩盖恶意服务器的位置，并建立能够抵御打击的弹性 C2 基础设施。   不仅如此，Fast Flux在 C2 通信之外也发挥着重要作用，帮助对手托管网络钓鱼网站，以及部署和分发恶意软件。   为了防范Fast Flux，建议组织采取以下措施：阻止 IP 地址、将恶意域名重定向到黑洞服务器、过滤与声誉不佳的域名或 IP 地址之间的流量、实施增强的监控，并强制执行网络钓鱼意识和培训。   “Fast Flux代表了对网络安全的持续威胁，利用快速变化的基础设施来掩盖恶意活动，”这些机构表示。“通过实施强大的检测和缓解策略，组织可以显著降低因Fast Flux支持的威胁而被攻破的风险。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 西雅图港口管理局（Port of Seattle）近日向约9万人发出通知，告知他们的个人信息在2024年8月的一次勒索软件攻击中遭到泄露。 西雅图港口管理局在2024年8月24日披露了此次攻击，称由此引发的IT故障扰乱了多项服务和系统，包括预订检查系统、乘客显示屏、西雅图港口网站、flySEA应用程序，并导致西雅图-塔科马国际机场的航班延误。 三周后，港口管理局确认此次攻击是由名为Rhysida的勒索软件操作发起的。 勒索软件攻击 在事件发生后，港口管理局决定不屈服于网络犯罪分子的要求，即使他们威胁要在暗网泄露网站上发布窃取的数据。 “我们拒绝支付所要求的赎金，因此，攻击者可能会在他们的暗网网站上发布他们声称窃取的数据，”西雅图港口管理局在2024年9月13日表示。 “我们对攻击者窃取的数据的调查仍在进行中，但似乎攻击者确实在8月中旬至下旬获取了一些港口数据。评估被窃数据的过程复杂且耗时。” 数据泄露影响 2025年4月3日，港口管理局宣布，他们现在正在向受影响的个人发送约9万封通知信。据该机构称，此次数据泄露中约有7.1万人来自华盛顿州。 根据泄露通知信的副本，攻击者窃取了员工、承包商和停车数据的多种组合，包括姓名、出生日期、社会安全号码（或社会安全号码的最后四位数字）、驾驶执照或其他政府身份证号码，以及一些医疗信息。 港口还表示，他们存储的“机场或海运乘客信息非常少”，并且其支付处理系统未受攻击影响。 “在任何时候，此次事件都没有影响到安全前往或离开西雅图机场或使用港口海运设施的能力，”港口管理局本周补充道。“主要航空公司和邮轮合作伙伴的专有系统未受影响，联邦合作伙伴（如联邦航空管理局、运输安全管理局和美国海关与边境保护局）的系统也未受影响。” Rhysida勒索软件 Rhysida是此次西雅图港口攻击背后的勒索软件即服务（RaaS）操作，于2023年5月浮出水面，并在入侵大英图书馆、智利军队（Ejército de Chile）、俄亥俄州哥伦布市、索尼子公司Insomniac Games和全球最大的休闲船只及游艇零售商MarineMax后迅速声名狼藉。 其附属机构还入侵了Singing River Health System，该系统警告近90万人，他们的个人和健康信息在2023年8月的一次Rhysida勒索软件攻击中被盗。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 2025年4月5日，Ionut Ilascu报道，WinRAR文件压缩解决方案中的一个漏洞可能被利用来绕过Windows的“网络标记”（Mark of the Web，MotW）安全警告，并在Windows机器上执行任意代码。 该安全问题被追踪为CVE-2025-31334，影响所有WinRAR版本，除了最新的7.11版本。 Windows的“网络标记”是一种安全功能，它通过一个元数据值（一个名为“区域标识符”的备用数据流）来标记从互联网下载的文件，以标识这些文件可能不安全。 当打开带有MotW标记的可执行文件时，Windows会警告用户该文件是从互联网下载的，可能有害，并提供继续执行或终止的选项。 CVE-2025-31334漏洞允许威胁行为者在打开指向可执行文件的符号链接（symlink）时绕过MotW安全警告，该符号链接在任何7.11版本之前的WinRAR中都存在。攻击者可以利用特制的符号链接执行任意代码。需要注意的是，在Windows上创建符号链接通常需要管理员权限。 该安全问题获得了6.8的中等严重性评分，并已在WinRAR的最新版本中修复，如WinRAR的应用程序变更日志中所指出的： “如果从WinRAR shell启动指向可执行文件的符号链接，则忽略可执行文件的MotW数据” – WinRAR 该漏洞由三井物产Secure Directions的Shimamine Taihei通过日本的信息技术促进机构（IPA）报告。日本的计算机安全事件响应小组协调了与WinRAR开发者的负责任披露。 从7.10版本开始，WinRAR提供了从MotW备用数据流中移除信息的可能性（例如位置、IP地址），这些信息可能被视为隐私风险。 包括国家支持的威胁行为者在内的攻击者过去曾利用MotW绕过漏洞来投放各种恶意软件，而无需触发安全警告。 最近，俄罗斯黑客利用了7-Zip压缩工具中的类似漏洞，该漏洞在双重压缩（在一个文件内压缩另一个文件）时不会传播MotW，以运行Smokeloader恶意软件投放器。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文