HackerNews

麻省理工学院（MIT）研究人员近日发布了一个号称迄今为止最全面的AI风险动态数据库，涵盖了43大AI风险类别共计777种AI风险。 这是业界首次尝试全面整理、分析和提取人工智能风险，并整合成一个公开可访问、全面、可扩展的分类风险数据库。为业界统一定义、审计和管理人工智能风险奠定了基础。 对于从事AI安全和治理的专业人士来说，这是一个不可或缺的知识库，可用于创建自己（所在企业）的个性化风险数据库。 AI风险数据库  来源：MIT MIT科技评论的一篇文章指出，AI技术应用面临多种危险，系统可能存在偏见、传播错误信息，甚至具有成瘾性。这些风险只是冰山一角，AI还有可能被用于制造生物或化学武器，甚至在未来失控，造成难以挽回的灾难性后果。 AI风险全景图 为了满足AI风险治理的迫切需求，MIT的计算机科学与人工智能实验室（CSAIL）下属的FutureTech团队着手开发了“全覆盖”AI风险数据库。 据CSAIL网站发布的新闻，研究人员在现有的AI风险框架中发现了大量严重漏洞，现有的最详尽的AI风险框架（例如NIST、谷歌和欧盟发布的框架）也仅涵盖了所有风险的约70%。因此，项目负责人Peter Slattery博士担心决策者可能会因为认知偏差而忽略重要问题，从而形成集体决策盲区。 MIT的AI风险数据库旨在为学者、安全审计人员、政策制定者、AI公司和公众提供关于AI风险“全景图”，为研究、开发和治理AI系统提供了一个统一的参考框架。该数据库由三部分组成：AI风险数据库、AI风险因果分类法以及AI风险领域分类法，具体如下： AI风险数据库：记录了从43种现有框架中提取的700多种风险，并附有相关引用和页码。 AI风险因果分类法：分类AI风险发生的方式、时间和原因。 AI风险领域分类法：将风险分为七大领域和23个子领域，涵盖歧视与有害内容、隐私与安全、虚假信息、恶意行为者及误用、人机交互、社会经济与环境危害、AI系统安全与故障等。   转自安全内参，原文链接：https://mp.weixin.qq.com/s/mH0PKWRoOgZmPlrjsuCoTw 封面来源于网络，如有侵权请联系删除

最近，众多Linux用户报告称他们的设备在尝试启动时，收到了一条神秘的错误消息：“系统出了严重问题。”这起事件的罪魁祸首是微软在月度安全更新中发布的一个补丁，用于修复一个存在已久的GRUB漏洞。这次更新却导致了Linux和Windows双系统设备的启动问题，引发大量用户投诉和抱怨。 Linux/Windows双系统“躺枪” 新发现的漏洞编号为CVE-2022-2601，最早于2022年被发现，其漏洞评分高达8.6分（满分10分）。该漏洞允许攻击者绕过安全启动机制，进而可能在启动过程中加载恶意软件。尽管该漏洞早在两年前便已被披露，但微软却迟至本月才发布补丁。然而，这次修复的副作用让许多Linux用户措手不及。 多款Linux发行版受影响 此次更新对运行双系统的设备带来了严重影响，特别是那些同时运行Windows和Linux的用户。用户报告称，当他们尝试加载Linux系统时，收到如下错误信息：“验证shim SBAT数据失败：安全策略违规。”相关的讨论和支持论坛瞬间被用户抱怨的声音所淹没，受影响的发行版包括Debian、Ubuntu、Linux Mint、Zorin OS和Puppy Linux等。微软发布的公告原本声称该更新仅适用于运行Windows的设备，且不会影响双系统设备。然而，事实证明，许多运行较新版本Linux的设备同样受到了影响，包括Ubuntu 24.04和Debian 12.6.0等最新发行版。 用户自救解决方案 面对微软的沉默，受影响的用户不得不自行寻找解决办法。最直接的方法是进入EFI面板并关闭安全启动功能。然而，对于注重设备安全性的用户而言，这一选项可能并不可行。另一种临时解决方案是删除微软推送的SBAT策略，这能够让用户保留部分安全启动的保护功能，同时避免由于CVE-2022-2601漏洞而导致的攻击风险。具体步骤包括： 禁用安全启动 登录Ubuntu系统并打开终端 使用命令删除SBAT策略： Select all sudo mokutil –set-sbat-policy delete 重启并重新登录Ubuntu以更新SBAT策略 再次重启并在BIOS中重新启用安全启动 安全启动的局限性 此次事件暴露了Windows安全启动机制的诸多问题。尽管安全启动旨在保护操作系统免受恶意软件的威胁，但近年来，研究人员已经发现了至少四个漏洞，足以破坏这一安全机制。最近的一次漏洞利用甚至影响了超过200款设备型号，证明了安全启动机制的脆弱性。 安全分析师Will Dormann指出：“尽管安全启动的初衷是让Windows的启动更加安全，但它似乎正逐渐暴露出越来越多的缺陷，无法完全兑现其应有的安全保障。” 这一观点也得到了业界的广泛认同，安全启动的复杂性和微软在这一机制中的核心角色，使得任何漏洞都可能给Windows设备带来致命的安全隐患。   转自GoUpSec，原文链接：https://mp.weixin.qq.com/s/AMwv-4PTcfHyQ2dO_k0e8Q 封面来源于网络，如有侵权请联系删除

Halliburton于周三确认其系统正遭受网络攻击。报告显示，该攻击已迫使公司实施了全面的网络隔离措施，要求员工断开所有与内部网络的连接。 该公司发言人表示：“我们已意识到部分公司系统受到影响，目前正在进行原因分析和潜在影响评估。”发言人补充道：“公司已启动既定应对措施，IT团队正在与外部安全专家协作，积极处理和缓解此次安全事件。” X 用户@MzBlckSheep发文称，“从休斯顿的一位朋友那里得知，Halliburton 目前正遭受大规模的基于云的网络安全攻击”，这是社交媒体上关于这一事件的较早评论之一。 用户 @MzBlckSheep 还写道：“他们让每个人都断开与内部网络的连接，这正是将所有数据托付给云计算所带来的问题。” 此外，一位知情人士向路透社证实，Halliburton已要求部分员工暂时断开与内部网络的连接。此次攻击似乎已影响到公司位于休斯顿北带园区的业务运营以及一些全球网络连接。 截至周三，尚无任何网络犯罪组织声明对Halliburton遭受的袭击负责。 根据公司网站的信息，Halliburton是全球第二大油田服务公司，总部设在美国德克萨斯州休斯顿和迪拜，业务覆盖70个国家，拥有超过40000名国际员工。 针对能源部门的袭击 安全专家指出，针对能源部门的网络攻击构成了对关键基础设施构成了严重威胁，过去类似攻击曾造成重大后果。 2021 年，美国燃料供应商 Colonial Pipeline 遭遇了 DarkSide 勒索软件团伙的攻击，导致其网络系统关闭了近一周。Colonial Pipeline 的首席执行官承认，公司向该组织支付了440万美元的赎金。 这一臭名昭著的攻击发生在新冠疫情结束之际，对燃料供应链造成了严重冲击，导致价格飙升、燃料短缺，并引发了美国东南部各地加油站的恐慌性囤积。   消息来源：cybernews，译者：YY；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

GitHub 发布了针对 GitHub Enterprise Server 产品中三个安全缺陷的紧急修复程序，并警告称黑客可以利用其中一个缺陷获取网站管理员权限。 最严重的漏洞编号为CVE-2024-6800，该漏洞允许攻击者操纵 SAML SSO 身份验证来配置和/或获取具有站点管理员权限的用户帐户的访问权限。 该漏洞的 CVSS 严重性评分为 9.5/10，被描述为在使用特定身份提供者的 SAML 身份验证时 GitHub Enterprise Server (GHES) 中的 XML 签名包装错误。 安全公告显示：“此漏洞允许直接通过网络访问 GitHub Enterprise Server 的攻击者伪造 SAML 响应，以提供或获取具有站点管理员权限的用户的访问权限。利用此漏洞将允许未经授权访问实例，而无需事先进行身份验证。” GitHub 表示，该漏洞是通过其漏洞赏金计划私下报告的，影响GitHub Enterprise Server 3.14 之前的所有版本，并已在 3.13.3、3.12.8、3.11.14 和 3.10.16 版本中修复。 该公司还记录了一对中等严重程度的漏洞，这些漏洞允许攻击者更新公共存储库中任何问题的标题、受让人和标签；并使用仅具有内容：读取和拉取请求：写入权限的 GitHub 应用程序从私有存储库披露问题内容。 GitHub Enterprise Server 是 GitHub Enterprise 的自托管版本。它安装在本地或私有云上，并提供基于云的 GitHub 版本的功能，包括拉取请求、代码审查和项目管理工具。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/kU03OsYUgx3e34bn3DaMEg 封面来源于网络，如有侵权请联系删除

乌克兰计算机应急反应小组 (CERT-UA)警告称，新的网络钓鱼攻击利用恶意软件感染设备。 该活动被归因于其跟踪的威胁集群 UAC-0020，也称为Vermin。目前尚不清楚攻击的具体规模和范围。 攻击链以带有库尔斯克地区所谓战俘照片的网络钓鱼邮件开始，敦促收件人点击指向 ZIP 档案的链接。 ZIP 文件包含一个 Microsoft 编译的 HTML 帮助 (CHM) 文件，其中嵌入了负责启动混淆的 PowerShell 脚本的 JavaScript 代码。 CERT-UA 表示：“打开该文件会安装已知间谍软件 SPECTR 的组件，以及名为 FIRMACHAGENT 的新恶意软件。FIRMACHAGENT 的目的是检索 SPECTR 窃取的数据并将其发送到远程管理服务器。” SPECTR 是一种已知的恶意软件，早在 2019 年就与 Vermin 有关。据评估，该组织与卢甘斯克人民共和国 (LPR) 的安全机构有联系。 今年 6 月初，CERT-UA详细介绍了由 Vermin 攻击者策划的另一项名为 SickSync 的活动，该活动使用 SPECTR 攻击该国的国防部队。 SPECTR 是一款功能齐全的工具，旨在收集各种信息，包括来自各种即时通讯应用程序（如 Element、Signal、Skype 和 Telegram）的文件、屏幕截图、凭证和数据。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/z5WzJJqiMYjnKdNaTg64pw 封面来源于网络，如有侵权请联系删除

思科 Talos 团队发现一种名为MoonPeak的新型远程访问木马，思科 Talos 将此次恶意网络活动归咎于其追踪的编号为 UAT-5394 的黑客组织，并称该组织与代号为Kimsuky 的朝鲜黑客组织存在一定程度的战术重叠。 MoonPeak 是由攻击者开发的，它是开源Xeno RAT恶意软件的一个变种，之前曾作为网络钓鱼攻击的一部分进行部署，旨在从攻击者控制的云服务（如 Dropbox、Google Drive 和 Microsoft OneDrive）中检索有效负载。 Xeno RAT 的一些主要功能包括加载附加插件、启动和终止进程以及与命令和控制 (C2) 服务器通信的能力。 Talos 表示，两组入侵行为之间的共同点表明 UAT-5394 实际上是 Kimsuky（或其分支）发起的，或者是朝鲜网络机构内的另一个黑客团队，他们从 Kimsuky 那里借用了工具箱。 实现该活动的关键是使用新的基础设施，包括 C2 服务器、有效载荷托管站点和测试虚拟机，这些都是为生成 MoonPeak 的新迭代而创建。 Talos 研究人员 Asheer Malhotra、Guilherme Venere 和 Vitor Ventura在周三发表的分析报告中表示：“C2 服务器托管可供下载的恶意文件，然后用于访问和设置新的基础设施来支持这一活动。” “在多个实例中，我们还观察到攻击者访问现有服务器以更新其有效载荷并检索从 MoonPeak 感染收集的日志和信息。” 这一转变被视为从使用合法云存储提供商转向建立自己的服务器的更广泛举措的一部分。不过，目前尚不清楚此次活动的目标。 这里要注意的一个重要方面是“MoonPeak 的不断发展与威胁行为者建立的新基础设施密切相关”，并且每个新版本的恶意软件都会引入更多的混淆技术来阻止分析和改变整体通信机制以防止未经授权的连接。 “简而言之，攻击者确保 MoonPeak 的特定变体仅与 C2 服务器的特定变体一起工作。”研究人员指出，“新恶意软件的持续采用及其演变（例如 MoonPeak 的情况）的时间表突显出 UAT-5394 继续在其武器库中添加和增强更多工具。UAT-5394 建立新支持基础设施的速度之快表明，该组织旨在迅速扩大这一活动并建立更多的投放点和 C2 服务器。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/UefWT-cRw_fcjmg1qvb3dg 封面来源于网络，如有侵权请联系删除

LiteSpeed Cache WordPress 插件中存在一个严重漏洞，攻击者可以利用该漏洞创建恶意管理员账户，从而控制数百万个网站。 LiteSpeed Cache 是一个开源且极受欢迎的 WordPress 网站加速插件，拥有超过 500 万个活跃安装，并支持 WooCommerce、bbPress、ClassicPress 和 Yoast SEO。 该插件的用户模拟功能中发现了未经身份验证的权限提升漏洞 ( CVE-2024-28000 )，该漏洞源自 LiteSpeed Cache 6.3.0.1 及更高版本中的弱hash校验。 安全研究员 John Blackbourn 于 8 月 1 日向 Patchstack 的漏洞赏金计划提交了此漏洞报告。LiteSpeed 团队开发了一个修复补丁，并将其与 8 月 13 日发布的 LiteSpeed Cache 6.4 版一起发布。 成功利用该漏洞可使任何未经身份验证的访问者获得管理员级别的访问权限，从而可以通过安装恶意插件、更改关键设置、将流量重定向到恶意网站、分发恶意软件或窃取用户数据，完全控制运行易受攻击的 LiteSpeed Cache 版本的网站。 “我们能够确定，暴力攻破解会迭代安全hash的所有 100 万个已知可能值并将它们传递到 litespeed_hash cookie 中，即使以每秒 3 个请求的相对较低速度运行，也能够在几小时到一个星期内以访问到任何给定的用户 ID。”Patchstack 安全研究员 Rafie Muhammad 周三解释说，“唯一的先决条件是知道管理员级别用户的 ID，并将其传递到 litespeed_role cookie 中。确定此类用户的难度取决于目标站点，许多情况下，使用用户 ID 1 就能成功。” 虽然开发团队已于上周二发布了修复此严重安全漏洞的版本，但根据WordPress 官方插件库的下载统计数据，该插件的下载次数仅为 250 多万次，这意味着超过一半使用该插件的网站可能仍面临攻击风险。 今年早些时候，攻击者利用 LiteSpeed Cache未经身份验证的跨站点脚本漏洞 (CVE-2023-40000)创建了恶意管理员账户并控制了易受攻击的网站。5 月，Automattic 的安全团队 WPScan 警告称，威胁行为者在 4 月份开始扫描目标，因为他们发现仅一个恶意 IP 地址就发起了超过 120 万次探测。 Wordfence 威胁情报负责人 Chloe Chamberland 今天也警告称：“我们强烈建议用户尽快更新到 Litespeed Cache 的最新修补版本（截至本文撰写时为 6.4.1 版）。我们认为这个漏洞很快就会被积极利用。” 此外，Wordfence 威胁情报团队在 6 月报告称，某威胁行为者在 WordPress.org 上至少植入了五个插件后门，并添加了恶意 PHP 脚本，以在运行这些插件的网站上创建具有管理员权限的账户。   消息来源：bleepingcomputer，译者：YY；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

Broadcom Symantec的研究人员发现了一个以前未被发现的后门，称为Msupedge，它被用于攻击中国台湾一所未命名的大学。 该后门最显着的特点是它依赖于 DNS 隧道与 C2 服务器进行通信。   “Msupedge是动态链接库（DLL）形式的后门，”Broadcom Symantec发布的报告写道。“已发现它已安装在以下文件路径中： csidl_drive_fixed\xampp\wuplog.dll csidl_system\wbem\wmiclnt.dll 虽然 wuplog.dll 是由 Apache （httpd.exe） 加载的，但 wmiclnt.dll 的父进程未知。” Msupedge 使用的 DNS 隧道工具代码基于公开的 dnscat2 工具。 该后门通过解析特殊结构的主机名来接收和执行命令。这些命令的结果会被编码并以第五级域名的形式返回。此外，该后门还将解析到的 C&C 服务器的 IP 地址的第三个八位字节解释为命令开关，并根据该值调整其行为。内存分配、命令解压和执行的错误通知也通过这种方式发送。 威胁行为者被发现利用一个关键的 PHP 漏洞（追踪编号为 CVE-2024-4577，CVSS 评分为 9.8））来部署 Msupedge 后门。攻击者利用这一缺陷实现了远程代码执行，并获得了对目标网络的初步访问。 后门支持以下命令： 案例 0x8a ： 创建流程。该命令通过 DNS TXT 记录接收。 案例 0x75 ： 下载文件。下载 URL 通过 DNS TXT 记录接收。 情况 0x24 ： 休眠 （ip_4 * 86400 * 1000 ms）。 情况 0x66 ： 休眠 （ip_4 * 3600 * 1000 ms）。 案例 0x38 ： 创建 %temp%\1e5bf625-1678-zzcv-90b1-199aa47c345.tmp。此文件的用途未知。 案例 0x3c：删除 %temp%\1e5bf625-1678-zzcv-90b1-199aa47c345.tmp。 Symantec没有将攻击归咎于特定的威胁行为者，也未能确定攻击的动机。 “最近几周，Symantec观察到多个威胁行为者在扫描易受攻击的系统。迄今为止，我们尚未找到任何证据能够将此次威胁归因于特定的行为者，攻击动机仍然未知。”报告总结道，“报告中还包括了妥协指标（Indicators of Compromise）。”   消息来源：securityaffairs，译者：YY；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

安全内参8月20日消息，本月初，印度上百家中小银行使用的数字支付系统遭遇了一场极具破坏性的勒索软件攻击。研究人员发现，这次攻击的根源在于一个Jenkins漏洞。Jenkins是一款开发人员广泛使用的开源自动化工具。 攻击者利用Jenkins漏洞攻陷系统 瞻博网络（Juniper Networks）日前发布一项研究报告，详细分析了攻击者如何利用Jenkins命令行界面（CLI）中的CVE-2024-23897漏洞进行攻击。该界面帮助开发人员与系统进行交互操作。 7月31日，负责管理印度所有零售支付系统的综合组织，印度国家支付公司（NPCI）宣布，正在处理由于其第三方技术供应商C-Edge Technologies遭受勒索软件攻击而导致的服务中断。 C-Edge为印度的地区农村银行提供技术服务。为减小影响，印度国家支付公司决定将C-Edge与其运营的零售支付系统隔离。C-Edge的客户在开始恢复工作时无法访问支付系统。 经过一天的努力，服务恢复正常。此后，勒索软件团伙RansomEXX宣布对这次攻击负责，并在其泄露网站上声称，他们从与C-Edge相关的数字支付平台中窃取了142GB的数据。 瞻博网络分析了印度国家支付公司向印度计算机应急响应小组（CERT-IN）提交的报告。研究人员表示，这次攻击凸显了各组织应当尽快应用安全补丁并修正服务器配置错误，以防止安全漏洞被恶意利用。 数月前就已有漏洞预警 Jenkins可以帮助开发人员构建、测试和部署软件。然而，这个漏洞允许攻击者访问敏感文件或数据。 去年11月，SonarSource首次发现了CVE-2024-23897漏洞，并帮助Jenkins团队验证今年1月发布的修复程序。 漏洞概念验证（PoC）一经发布，研究人员立即开始注意到攻击企图，并指出该漏洞允许攻击者接管未打补丁的Jenkins服务器。 由于Jenkins被广泛部署，这个漏洞在今年年初给网络安全社区敲响了警钟。 Horizon3.ai的首席架构师Naveen Sunkavally指出，全球有成千上万的Jenkins服务器对公众开放。由于这些服务器通常存储着大量敏感信息和其他系统的凭证，Jenkins成为了攻击者的常见目标。 Sunkavally表示：“如果Jenkins服务器的默认配置被错误修改，或者攻击者获取了有效的Jenkins用户账户，即使攻击者没有任何初始权限，他们也可以利用这个漏洞，甚至进一步控制服务器并提取凭证数据。不过，后两种情况依赖于超出攻击者控制的因素。” 他还提到，美国网络安全和基础设施安全局（CISA）的已知被利用漏洞（CISA KEV）目录中包含了四个与Jenkins相关的漏洞。此前，某些漏洞曾被用于安装加密挖矿软件或支持国家级网络攻击。 Critical Start的网络威胁情报分析师Sarah Jones和其他几位研究人员在今年1月发出警告，称该漏洞可能允许黑客窃取大量敏感数据，甚至可能“完全控制组织的基础设施”。 她补充道：“除了这些直接威胁，这类事件还可能对组织的声誉造成持久性损害，削弱公众信任，影响财务稳定，甚至引发法律后果。”   转自安全内参，原文链接：https://www.secrss.com/articles/69344 封面来源于网络，如有侵权请联系删除

ESET 研究人员发现了一种罕见的网络钓鱼活动，专门针对 Android 和 iPhone 用户。他们分析了一个在野外观察到的案例，该案例主要是针对一家著名的捷克银行的客户。 值得注意的是这种攻击主要是从第三方网站安装钓鱼应用程序，而无需用户主动安装。这有可能导致使用安卓系统的用户设备上会被隐秘安装一种特殊的 APK，隐蔽性很高，很难发现，它看起来甚至有点像是用户从 Google Play 商店安装的。这种钓鱼攻击威胁也针对 iOS 用户。 PWA 网络钓鱼流程 针对 iOS 的钓鱼网站会指示受害者在主屏幕上添加渐进式网络应用程序 (PWA)，而在 Android 上，PWA 是在浏览器中确认自定义弹出窗口后安装的。在这一点上，这些钓鱼应用程序与它们在这两个操作系统上模仿的真实银行应用程序基本没有区别。 PWA 本质上是将网站捆绑到一个看似独立的应用程序中，并通过使用本地系统提示增强了其虚假的独立性。与网站一样，PWA 也是跨平台的，这就解释了为什么这些 PWA 网络钓鱼活动可以既针对 iOS 又针对 Android 用户。负责 ESET 品牌情报服务的 ESET 分析师在捷克观察到了这种新技术，该服务可监控针对客户品牌的威胁。 分析该威胁的 ESET 研究员 Jakub Osmani 表示：对于 iPhone 用户来说，这种行为可能会打破任何有关安全的‘围墙花园’假设。 ESET 发现使用电话、短信和恶意广告的网络钓鱼欺诈行为 ESET 分析师发现了一系列针对移动用户的网络钓鱼活动，这些活动分别使用了三种不同的 URL 发送机制，包括自动语音呼叫、短信和社交媒体恶意广告。语音电话发送是通过自动呼叫完成的，该呼叫会警告用户银行应用程序已过期，并要求用户在数字键盘上选择一个选项。 按下正确的按钮后，就会通过短信发送一个钓鱼网址，正如一条推文所报道的那样。最初的短信发送是通过向捷克电话号码滥发信息来实现的。发送的信息包括一个钓鱼链接和文本，目的是让受害者通过社交工程访问该链接。恶意活动通过 Instagram 和 Facebook 等 Meta 平台上的注册广告进行传播。这些广告包括行动号召，比如为 “下载以下更新 ”的用户提供限量优惠。 打开第一阶段发送的 URL 后，Android 受害者会看到两个截然不同的活动，一个是模仿目标银行应用程序官方 Google Play 商店页面的高质量钓鱼页面，另一个是该应用程序的山寨网站。受害者会被要求安装 “新版 ”银行应用程序。 WebAPK 绕过安全警告 这种网络钓鱼活动和方法之所以能够得逞，完全得益于渐进式网络应用程序的技术。简而言之，渐进式网络应用程序是使用传统网络应用程序技术构建的应用程序，可以在多个平台和设备上运行。 WebAPK 可被视为渐进式网络应用程序的升级版，因为 Chrome 浏览器会从 PWA（即 APK）生成本地 Android 应用程序。这些 WebAPK 看起来就像普通的本地应用程序。此外，安装 WebAPK 不会产生任何 “从不可信来源安装 ”的提示警告。 某小组曾尝试通过 Telegram 官方 API 将所有输入信息记录到 Telegram 群组聊天中，而另一个小组则使用带有管理面板的传统命令与控制（C&C）服务器。 Osmani 表示：根据这些活动使用了两种不同的 C&C 基础设施这一事实，我们确定是两个不同的团伙在针对多家银行实施 PWA/WebAPK 网络钓鱼活动。大多数已知案例都发生在捷克，只有两个网络钓鱼应用程序出现在捷克境外（特别是匈牙利和格鲁吉亚）。 ESET 的研究人员在调查中发现的所有披露在网上的敏感信息，银行都已迅速跟进处理。ESET 方面也协助删除了多个网络钓鱼域和 C&C 服务器。   转自FreeBuf，原文链接：https://www.freebuf.com/news/409102.html 封面来源于网络，如有侵权请联系删除

黑客对乌克兰最受欢迎的网上银行之一发动了大规模分布式拒绝服务 (DDoS) 攻击，主要针对乌克兰人用于为军队筹集捐款的服务。 Monobank 首席执行官 Oleh Horokhovskyi 表示，此次攻击从周五晚上持续到周一早上，总请求量达到每秒 75 亿次。他还称此次攻击的规模“非同寻常”。“这一事件没有影响银行的运营，但指出该公司与乌克兰的安全部门以及美国云计算公司亚马逊网络服务的专家合作，以缓解垃圾流量的攻击。” 在 1 月份的一次 DDoS 事件中，Monobank在三天内收到了5.8 亿条垃圾服务请求。该银行仅通过移动应用程序为客户提供服务，因此成为黑客眼中极具吸引力的目标。 Horokhovskyi 表示，最新攻击的目的是破坏乌克兰人依赖的为国家武装部队筹集捐款的服务。这项服务让用户的捐款变得相对简单——他们所要做的就是创建一个虚拟钱包，并将其直接分享到 Instagram 故事中，让其他人捐款。 Horokhovskyi 说，过去三年通过该平台“不间断”的捐款可能惹恼了敌人，促使他们“不惜一切代价”试图入侵该服务。 Monobank 暗示俄罗斯可能是此次攻击的幕后黑手，但并未提供任何证据。Horokhovskyi 此前称该银行是乌克兰“受攻击最严重的 IT 目标之一”。 另一家乌克兰服务公司 EasyWay 周一表示，该公司受到 DDoS 攻击，该公司提供有关乌克兰各地公共交通的信息。EasyWay 警告称，这可能会影响其运营。EasyWay 并未将此次攻击归咎于某个特定的黑客组织。 与此同时，俄罗斯的服务也遭受了 DDoS 攻击，这些攻击通常来自乌克兰。本月早些时候，在乌克兰入侵后，未透露姓名的黑客针对俄罗斯库尔斯克地区的政府和商业网站以及关键基础设施服务发起攻击。 7 月份，俄罗斯几家大型银行证实，他们遭受了据称“来自国外策划的” DDoS 攻击，导致其移动应用程序和网站暂时中断。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/tMD1mVYMINoHcdYJ1J8c1g 封面来源于网络，如有侵权请联系删除

据观察，从 2024 年 7 月下旬开始，伊朗黑客组织策划了针对著名犹太人物的鱼叉式网络钓鱼攻击活动，目的是部署一种名为 AnvilEcho 的新型情报收集工具。 企业安全公司 Proofpoint 以 TA453 命名跟踪该活动，该活动与更广泛的网络安全社区以 APT42（Mandiant）、Charming Kitten（CrowdStrike）、Damselfly（赛门铁克）、Mint Sandstorm（微软）和 Yellow Garuda（普华永道）等名称跟踪的活动重叠。 安全研究人员 Joshua Miller、Georgi Mladenov、Andrew Northern 和 Greg Lesnewich在一份报告中表示：“最初的互动试图引诱目标用户参与一封良性电子邮件，以建立对话和信任，然后点击后续的恶意链接。”随后补充道，“攻击链试图传播一个名为 BlackSmith 的新型恶意软件工具包，该工具包投放一个名为 AnvilEcho 的 PowerShell 木马。” 据评估，TA453 与伊朗伊斯兰革命卫队 (IRGC) 有关联，其开展有针对性的网络钓鱼活动，旨在支持该国的政治和军事目标。 谷歌旗下的 Mandiant 上周分享的报告显示，美国和以色列占 APT42 已知地理目标的约 60%，其次是伊朗和英国。 这些社会工程手段既持久又具有说服力，它们伪装成合法实体和记者，与潜在受害者展开对话，并随着时间的推移建立融洽关系，然后通过带有恶意软件的文档或虚假的凭证收集页面将受害者引入网络钓鱼陷阱。 谷歌表示：“APT42 会利用社会工程学诱饵吸引目标用户建立视频会议，然后链接到登录页面，提示目标用户登录并发送到网络钓鱼页面。另一个 APT42 活动模板是发送合法的 PDF 附件作为社会工程诱饵的一部分，以建立信任并鼓励目标参与 Signal、Telegram 或 WhatsApp 等其他平台。” Proofpoint 观察到的最新一组攻击始于 2024 年 7 月 22 日，其中攻击者联系一位未具名犹太人物的多个电子邮件地址，邀请他们作为播客嘉宾，同时冒充战争研究所 (ISW) 的研究主任。 据称，TA453 回应目标发来的消息时，发送了一个受密码保护的 DocSend URL，该 URL 又指向一个文本文件，其中包含指向 ISW 托管的合法播客的 URL。这些虚假消息是从域名 Understandingthewar[.]org 发送的，这显然是试图模仿ISW 的网站（“Understandingwar[.]org”）。 Proofpoint 表示：“TA453 很可能试图使目标点击链接和输入密码的行为正常化，以便目标在投放恶意软件时也会这样做。” 在后续消息中，发现攻击者使用一个 Google Drive URL 回复，该 URL 托管一个 ZIP 存档（“Podcast Plan-2024.zip”），而该存档又包含一个负责传递 BlackSmith 工具集的 Windows 快捷方式（LNK）文件。 AnvilEcho 是通过 BlackSmith 提供的，据称可能是 CharmPower、GorjolEcho、POWERSTAR 和 PowerLess 等PowerShell 植入程序的后继者。BlackSmith 还旨在显示诱饵文档作为分散注意力的机制。 值得注意的是，“BlackSmith”这个名字也与Volexity 今年早些时候详述的一个浏览器窃取组件重叠，该组件与在针对从事中东事务的知名人士的攻击中分发 BASICSTAR 的活动有关。 Proofpoint 表示：“AnvilEcho 是一款功能强大的 PowerShell 木马。AnvilEcho 的功能表明其重点是情报收集和泄露。” 其一些重要功能包括进行系统侦察、截屏、下载远程文件以及通过 FTP 和 Dropbox 上传敏感数据。 几天前，HarfangLab 披露了一种新的基于 Go 的恶意软件毒株，称为 Cyclops，该毒株可能是作为另一个 Charming Kitten 后门（代号为BellaCiao）的后续产品而开发的，这表明攻击者正在积极重组其武器库以应对公开披露。该恶意软件的早期样本可以追溯到 2023 年 12 月。 这家法国网络安全公司表示：“该恶意软件旨在将 REST API 反向隧道传输到其命令和控制 (C2) 服务器，以控制目标机器。它允许操作员运行任意命令，操纵目标的文件系统，并使用受感染的机器进入网络。” 据信，攻击者利用 Cyclops 攻击了黎巴嫩一家支持创新和创业的非营利组织以及阿富汗一家电信公司。目前尚不清楚攻击使用的确切入侵路线。 HarfangLab 表示：“Cyclops 恶意软件选择 Go 语言有几个含义。首先，这证实了这种语言在恶意软件开发人员中的流行度。其次，该样本的初始检测次数较低，这表明 Go 程序可能仍对安全解决方案构成挑战。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/HamLjCMDdSNf1hz53Mtzrw 封面来源于网络，如有侵权请联系删除

近日，美国知名建筑设计公司 CannonDesign（佳能公司）向其 13000 多名客户发送了数据泄露通知，告知他们黑客在2023年初的一次攻击中侵入并窃取了公司的网络数据。 公司在通知中说明，安全事件发生在2023年1月19日至25日期间，涉及未经授权的网络访问和数据泄露。尽管公司于2023年1月25日发现了入侵行为，但调查工作直到2024年5月3日才完成，整个过程持续了超过三个月。 调查结果显示，攻击者可能获取了包括姓名、地址、社会安全号码（SSN）和驾驶执照号码在内的个人信息。为了降低个人数据泄露的风险，公司将为受影响的个人提供Experian提供的24个月信用监控服务，但该措施显著滞后。 Cannon Design 没有明确指出攻击者的身份，但其发言人向 BleepingComputer 证实，此次披露的信息与 2023 年初发生的 Avos Locker 勒索软件攻击有关。 该公司还表示，尽管数据已在多个网站上公布，但目前尚未发现任何滥用被盗信息的行为。 Avos Locker勒索软件攻击 2023 年 2 月 2 日，Avos Locker 勒索软件团伙宣布对 CannonDesign 进行了攻击，声称掌握了 5.7 TB 的被盗数据，包括公司和客户文件。 Avos Locker的原始声明 在勒索未果后，数据被转交给了 Dunghill Leaks，该组织于 2023 年 9 月 26 日发布了被盗的 2TB 数据，内容包括数据库转储、项目示意图、招聘文件、客户详细信息、营销材料、IT 和基础设施细节以及质量保证报告。 被盗数据随后出现在 Dunghill Leaks 网站上 Dunghill Leaks 是由 Dark Angels 勒索软件组织于 2023 年 4 月推出的数据泄露网站，用于向受害者施压，迫使他们支付赎金。 2024 年 2 月，同一数据集在暗网中的黑客论坛上发布，包括 ClubHydra，而数据集的一部分在 2024 年 7 月通过 torrent 在 Breached Forums 上分享的。 黑客在 clearnet 黑客论坛上免费分享的部分数据 BleepingComputer 已联系 CannonDesign，确认此次披露的数据泄露与已在网上流传一年多的同一数据集有关，但尚未得到任何回复。 CannonDesign 是一家总部位于美国的著名建筑、工程和咨询公司，是全球最具创新力的建筑公司之一，以其在学术建筑、医院和体育场馆等领域的卓越项目而闻名，参与的重要项目包括明尼苏达大学健康诊所和外科中心、马里兰大学多功能体育场等。   消息来源：bleepingcomputer，译者：YY；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

根据 Cisco Talos 的最新研究，macOS 上的八个微软应用程序容易受到库注入攻击，有可能让攻击者劫持应用程序的权限并泄露敏感数据。 受影响的微软应用程序包括 Microsoft Teams、Outlook、PowerPoint 和 Word 等流行服务，共有八个 CVE 编号。 Microsoft Outlook: CVE-2024-42220 Microsoft Teams (work or school): CVE-2024-42004 Microsoft PowerPoint: CVE-2024-39804 Microsoft OneNote: CVE-2024-41159 Microsoft Excel: CVE-2024-43106 Microsoft Word: CVE-2024-41165 Microsoft Teams (work or school) WebView.app helper app: CVE-2024-41145 Microsoft Teams (work or school) com.microsoft.teams2.modulehost.app: CVE-2024-41138 攻击者通过使用现有的应用程序权限而不提示用户进行任何额外验证来绕过 macOS 的权限模型，这样，就可以在用户未察觉的情况下从用户账户发送电子邮件、录制音频片段、拍照或录制视频，而无需与用户进行任何交互。 macOS 的许可模式受到审查 Cisco Talos 强调了 macOS 基于用户同意的权限模型，该模型包含旨在保护用户隐私和维护系统安全的功能。但研究发现，macOS 对应用程序的权限管理过于信任，允许它们自我监管，这一缺陷可能使攻击者得以利用应用程序的高级权限。 更令人担忧的是，八款流行的微软  macOS 应用程序都激活了禁用库验证的权限“com.apple.security.cs.disable-library-validation ”。 据苹果公司称，该权限允许加载由第三方开发者签名的插件，旨在增强应用程序的功能性。但这一机制存在安全隐患，攻击者可能利用这一点注入任意库，并在被攻击的应用程序中运行恶意代码，进而完全控制应用程序的权限和功能。 研究人员还观察到，macOS 上的所有 Microsoft Office 应用程序都允许加载未签名的动态库。如果要修改已经执行过一次的应用程序，需要特定的权限。不过，攻击者可以通过将应用程序复制到如 /tmp 等其他文件夹来绕过这一安全措施，但这也增加了数据泄露和系统被攻击的风险。 研究人员指出，由于存在相对导入和禁用库验证的权限，所有 Microsoft Office 应用程序都容易受到库注入攻击。 微软用户面临不必要的风险 Cisco Talos 的研究人员说，他们的发现让人们对禁用库验证的必要性产生了疑问，尤其是应用程序不打算加载其他库的情况下。微软通过使用特定权限绕开了 macOS 的加固安全措施，这可能使用户面临原本不必要的风险。 在 Cisco Talos 报告漏洞后，微软虽然认为发现的问题风险较低，但已经对其中的四款应用程序进行了更新，移除了 com.apple.security.cs.disable-library-validation 权限，这意味着它们不再容易受到已知库注入攻击的威胁。 这四款应用程序是 Microsoft Teams 的主应用程序、WebView 应用程序和 ModuleHost 应用程序，以及 Microsoft OneNote。不过，截至 2024 年 8 月 19 日，Microsoft Excel、Outlook、PowerPoint 和 Word 仍然存在漏洞。 检查 macOS 应用程序是否易受库注入攻击影响的流程图 研究人员建议，macOS 可以引入用户提示来降低这一风险。这将允许用户决定是否加载特定的第三方插件，从而提供一种更可控的访问授权方式。   转自FreeBuf，原文链接：https://www.freebuf.com/news/409025.html 封面来源于网络，如有侵权请联系删除

据BleepingComputer消息，一名黑客在论坛上发帖称自己从丰田美国分公司窃取的240GB数据，丰田官方随后表示这一情况属实。 根据这名黑客的描述，这些数据不仅涉及丰田员工和客户的信息，还包括合同和财务信息，并通过AD-Recon搜集了更多类型的数据。 黑客发布的贴子截图 虽然丰田没有透露这次数据泄露的日期，以及黑客是通过何种方式入侵并窃取了多少人的数据，但 BleepingComputer 发现这些文件被至少是在 2022 年 12 月 25 日创建的。这个日期可能表明，攻击者访问了存储数据的备份服务器。 丰田表示，这次事件不是系统范围的问题，影响程度有限，并正在与受影响的人员保持接触以提供必要的帮助。 近期数据泄露事件频发 据悉，仅在去年，丰田就已发生至少两起数据泄露事件。 2023年 12 月，丰田子公司丰田金融服务公司（Toyota Financial Services，TFS）向客户发出警告，该公司的欧洲和非洲分部在 11 月受到 Medusa 勒索软件攻击，导致敏感的个人和财务数据泄露。 2023年5月，丰田披露了一起云环境中因配置错误导致的数据泄露事件，暴露了2013 年 11 月 6 日至 2023 年 4 月 17 日这10年间215万车主的位置信息；而在几周后，又有两个配置错误的云服务被发现，暴露了 2016 年 10 月至 2023 年 5 月期间亚洲和大洋洲部分车主的个人信息。   转自FreeBuf，原文链接：https://www.freebuf.com/news/409015.html 封面来源于网络，如有侵权请联系删除

恶意行为者正在使用一种名为 Xeon Sender 的云攻击工具，通过滥用合法服务大规模开展短信钓鱼和垃圾邮件活动。 SentinelOne安全研究员亚Alex Delamotte在与《黑客新闻》分享的一份报告中提到：攻击者可以利用Xeon通过多个软件即服务（SaaS）提供商，使用服务提供商的有效凭证发送信息。 据悉，用于大规模分发短信的服务包括亚马逊通知服务（SNS）、Nexmo、Plivo、Proovl、Send99、Telesign、Telnyx、TextBelt 和 Twilio。 值得注意的是，该活动并没有利用这些提供商的任何固有弱点，而是使用合法的 API 进行垃圾短信群发攻击。还引用了 SNS Sender 等工具，这些工具越来越多地成为批量发送钓鱼信息并最终获取目标敏感信息的途径。 其主要是通过 Telegram 和黑客论坛传播，其中一个旧版本归功于一个专门宣传破解黑客工具的 Telegram 频道。最新版本以 ZIP 文件形式提供下载，归功于一个名为 Orion Toolxhub的 Telegram 频道，该频道有 200 名成员。 Orion Toolxhub 创建于 2023 年 2 月 1 日，免费为成员提供可用于暴力破解攻击、IP 地址反向查询的软件，如 WordPress 网站扫描器、PHP web shell、比特币剪切器，以及一个名为 YonixSMS 的程序，该程序声称可提供无限短信发送功能。 Xeon Sender 也被称为 XeonV5 和 SVG Sender。这个基于 Python 的程序的早期版本最早在 2022 年被检测到。 Delamotte 表示：该工具的另一个化身是托管在带有图形用户界面的网络服务器上。这种托管方式消除了潜在的访问障碍，使那些可能不擅长运行 Python 工具并对其依赖关系进行故障排除的技术水平较低的攻击者也能使用。 无论使用哪种变体，Xeon Sender 都为用户提供了一个命令行界面，可用于与所选服务提供商的后台 API 通信，并协调垃圾短信群发攻击。 这也意味着威胁分子已经掌握了访问端点所需的 API 密钥。精心制作的 API 请求还包括发件人 ID、信息内容以及从文本文件中的预定义列表中选择的电话号码之一。 除了短信发送方法外，Xeon Sender还具有验证Nexmo和Twilio账户凭证、为给定的国家代码和地区代码生成电话号码以及检查所提供的电话号码是否有效等功能。 SentinelOne 表示，尽管该工具缺乏精细度，但源代码中充满了单个字母或字母加数字等模棱两可的变量，使调试工作更具挑战性。 Xeon Sender 主要使用供应商特定的 Python 库来制作 API 请求，这给检测带来了更大的挑战。因为每个库都是独一无二的，提供商的日志也是如此，团队可能很难检测到对特定服务的滥用行为。 因此，为了抵御 Xeon Sender 这样的威胁，企业应该监控与评估或修改短信发送权限相关的活动，或对分发列表的异常更改，如大量上传新的收件人电话号码。   转自FreeBuf，原文链接：https://www.freebuf.com/news/409012.html 封面来源于网络，如有侵权请联系删除

近日，网络安全研究团队Cyberint发现了一种难以检测的新型恶意软件UULoader，主要针对中韩用户。该软件被黑客用于投放后续恶意载荷，如Gh0st RAT和Mimikatz等工具，进而实施信息传播、窃密、诈骗、投放恶意软件、窃取加密货币等非法活动。 据Cyberint的技术报告披露，UULoader通过伪装成合法应用程序的恶意安装程序，主要针对韩语和中文用户。这些恶意软件通常以微软柜文件（.cab）格式分发，内部包含两个核心可执行文件，一个为.exe文件，另一个为.dll文件。这些文件的文件头已被剥离，使其难以被传统检测工具识别。 值得注意的是，UULoader的代码中包含了中文字符串，且嵌入的DLL文件中存在程序数据库（PDB）文件，进一步指向其开发者可能为中文母语者。Cyberint指出，该恶意软件利用合法的二进制文件进行DLL侧加载，最终加载的文件名为“XamlHost.sys”，实际上是远程访问工具（RAT）或Mimikatz凭证窃取器。 此外，UULoader的安装文件中包含了Visual Basic脚本（.vbs），负责启动Realtek等合法可执行文件，同时部分样本还会运行诱饵文件，作为混淆策略。例如，若伪装为Chrome更新程序，诱饵文件就是真实的Chrome更新程序。 UULoader攻击路径 这并非UULoader首次曝光，早在上个月，网络安全公司eSentire就曾报告过类似的攻击链条，攻击者通过伪造的Google Chrome网站传播Gh0st RAT，目标为中国的Windows用户。 UULoader的出现恰逢近年来以加密货币为诱饵的钓鱼攻击激增。攻击者利用免费托管服务搭建钓鱼网站，冒充Coinbase、Exodus和MetaMask等加密钱包服务，诱导用户点击恶意链接。Symantec的报告指出，攻击者利用Gitbook和Webflow等服务，创建仿冒加密钱包的域名，诱骗受害者访问钓鱼页面。 不仅如此，部分钓鱼攻击还伪装成印度和美国政府机构，诱导用户访问虚假域名，窃取敏感信息，并用于进一步的诈骗、信息传播或恶意软件分发。值得警惕的是，这些攻击还滥用微软Dynamics 365 Marketing平台，通过创建子域名和发送钓鱼邮件，绕过常规的邮件过滤机制。 同时，随着生成式人工智能（GenAI）的广泛应用，社会工程攻击也开始利用这一趋势，设置伪装成OpenAI ChatGPT的诈骗域名，用于钓鱼、灰色软件、勒索软件等恶意活动。据Palo Alto Networks的报告显示，超过72%的诈骗域名包含gpt或Chatgpt等与生成式AI应用有关的关键词。 面对日益复杂的境外网络攻击，中国企业和个人需提高警惕，尤其是在使用与生成式AI、加密货币相关的服务时，应加强防范措施，避免成为网络犯罪的目标。   转自GoUpSec，原文链接：https://mp.weixin.qq.com/s/9s1Shc-UO4GuzJ3WBcZzwQ 封面来源于网络，如有侵权请联系删除

本周二，据FalconFeeds、Ransomlook等多家威胁情报平台报道，某A股上市建筑公司某集团疑似发生大规模数据泄漏，勒索软件组织The Ransom House Group在数据泄漏论坛发帖称窃取了该公司2.3TB数据，并宣称如果未来2-3天内不支付赎金将撕票（公布数据）。 此次针对某集团的攻击事件未得到官方确认，也未公布具体被窃数据的种类和数量，但报道该事件的威胁情报平台预计可能涉及公司内部敏感信息。 RansomHouse勒索软件组织发布的勒索通知 曾勒索荷兰建筑巨头和AMD RansomHouse是近年来新兴的数据勒索团伙之一，自2021年末开始活跃。通过与其他网络犯罪团伙合作，利用企业系统的漏洞发动攻击，RansomHouse逐步形成了复杂的勒索网络。RansomHouse勒索软件组织并不像传统勒索软件团伙那样对文件进行加密，而是专注于数据窃取与勒索。RansomHouse主要通过复杂的网络渗透手段和钓鱼攻击来进入目标公司的网络。成功攻破后，他们会迅速下载并窃取公司数据，随后勒索赎金。 RansomHouse强调自己并非“勒索软件组织”，而是“专业调解者”，帮助受害者以最小损失解决数据泄露问题。 据报告，RansomHouse已经针对各行各业的多家知名大型企业发起攻击（上图），不断扩大其全球影响力。此前，RansomHouse曾成功攻击过包括半导体巨头AMD、非洲零售巨头Shoprite在内的多家大型公司，通过数据窃取与勒索手段获取赎金。值得注意的是，RansomHouse此前曾攻击过荷兰建筑巨头KuiperCompagnons。 勒索软件防御的关键措施 此次网络攻击凸显了在“网络攻击全球化”大潮中，中国企业的威胁态势正迅速恶化，面对RansomHouse及类似的网络勒索威胁，企业应采取多层次的防御措施，以防止数据泄露和勒索攻击。以下是GoUpSec安全顾问提供的关键防御策略： 漏洞管理与补丁更新。RansomHouse通常利用未修复的系统漏洞进行攻击，因此企业必须确保及时安装系统和软件更新，修复已知的安全漏洞。 强化访问控制与身份验证。使用强密码策略并启用多因素身份验证（MFA）可以大幅减少攻击者利用弱密码获取系统访问权限的机会。 数据加密与备份。定期备份重要数据并确保备份文件离线存储。同时，对敏感数据进行加密，以减少数据泄露后的影响。 网络钓鱼培训与防护。钓鱼攻击是网络犯罪分子常用的手段之一。企业应定期对员工进行网络安全培训，提高对钓鱼邮件的识别能力，同时部署电子邮件过滤系统。 引入威胁检测与响应平台。采用安全信息和事件管理系统（SIEM）和威胁检测平台，可以帮助企业及时识别和响应潜在的网络威胁，降低攻击造成的损害。 与专业网络安全供应商合作。企业可以考虑与专业的网络安全公司合作，进行定期的安全审计和渗透测试，以确保其安全防护体系的有效性。 通过这些策略，企业可以显著提升其网络防御能力，抵御RansomHouse等依赖数据窃取进行勒索的新兴勒索组织的威胁。   转自GoUpSec，原文链接：https://mp.weixin.qq.com/s/-e-uFQGGQ0h1Uz79YtLPXQ 封面来源于网络，如有侵权请联系删除

27岁的俄罗斯公民格奥尔基·卡夫扎拉泽（Georgy Kavzharadze）因在Slilpp上出售超过30万个账户的登录凭证，被判处40个月的监禁。Slilpp是最大的在线被盗账户登录凭证市场，2021年6月该市场被查封。 判处40个月监禁 近期外媒报道，美国司法部表示，Kavzharadze（也称为TeRorPP，Torqovec和PlutuSS）在非法市场上出售了大量财务信息和其他个人身份信息（PII）。在2016年至2021年期间，他在Slilpp市场上列出了超过626100个被盗登录凭据出售，并成功售出了超过297300个。他的活动与超过120万美元的欺诈交易有关。 司法部称，“2021年5月27日，Kavzharadze在Slilpp上的账户列出了 240,495个待售登录凭据，这些凭据允许买家使用这些信息从受害者的在线支付和银行账户中窃取资金。这些凭证包括访问纽约、加利福尼亚州、内华达州和佐治亚州的银行账户。Kavzharadze只接受比特币作为凭证的支付方式。” 根据法庭文件，联邦调查局（FBI）分析师发现Kavzharadze与一个比特币账户中超过20万美元的Slilpp利润有关。该账户收取了被盗登录信息、个人和财务信息的付款。 2021年8月19日，美国司法部指控Kavzharadze共谋实施银行和电汇欺诈、银行欺诈、访问设备欺诈和严重身份盗窃。 他被引渡到美国，并于2022年5月在美国地方法院出庭。将近两年后，即2024年2月16日，Kavzharadze承认自己是一名Slilpp供应商，并共谋实施银行和电汇欺诈。 最大暗网市场Slilpp 美国司法部于2021年6月10日宣布关闭Slilpp，此行动由美国、德国、荷兰和罗马尼亚的执法机构联合行动，行动中没收了用于托管Slilpp基础设施的服务器。自2012年以来，Slilpp已经活跃了近十年，并被网络犯罪分子用来买卖银行、在线支付、手机、零售商和其他在线账户的被盗登录凭据。 据悉，在Slilpp被关闭查封域名之前，Slilpp的供应商列出有超过8000万个被盗登录凭据，这些待售凭据归属于1400多家公司的用户，其中许多是全球知名组织。 从那时起，全球的执法机构都开始集中力量打击那些帮助犯罪分子获取敏感信息的活动。这些敏感信息是从网络攻击的受害者那里被窃取的。 例如，今年早些时候，执法部门逮捕了23岁的林瑞祥（Rui-Siang Lin），他被怀疑是Incognito暗网毒品市场的所有者和经营者。这个市场销售了价值超过1亿美元的毒品。如果林瑞祥被判定有罪，他可能会面临强制性的最低刑罚，即终身监禁。去年，当局还查封了Genesis被盗凭证市场，并在代号为Spector的执法行动后逮捕了288名暗网毒品供应商和买家。 今年6月，FBI逮捕了BreachForums黑客论坛的所有者康纳·布莱恩·菲茨帕特里克（Connor Brian Fitzpatrick，又名Pompompurin）。 去年12月，一项国际警察行动逮捕了3500名网络犯罪分子，并缴获了超过3亿美元。德国警方查获了王国市场（Kingdom Market），这是一个销售网络犯罪工具、毒品和假政府身份证的暗网市场。   转自E安全，原文链接：https://mp.weixin.qq.com/s/1bb8UZRrnjAkouYFxizyag 封面来源于网络，如有侵权请联系删除

卡巴斯基研究人员揭露了一项复杂的信息窃取活动，该活动冒充合法品牌来分发DanaBot和StealC等恶意软件。 据称，该活动集群由俄语网络犯罪分子策划，代号为“Tusk”，包含多个子活动，利用平台的声誉诱骗用户使用虚假网站和社交媒体账户下载恶意软件。 卡巴斯基研究人员 Elsayed Elrefaei 和 AbdulRhman Alfaifi表示：“所有活跃的子活动都在 Dropbox 上托管初始下载程序。” “该下载程序负责向受害者的机器提供其他恶意软件样本，这些样本大多是信息窃取程序（DanaBot 和 StealC）和剪辑程序。” 迄今为止，已发现 19 个子攻击活动中，其中三个目前仍在活跃。“Tusk”这个名字指的是攻击者在与初始下载器相关的日志消息中使用的“Mammoth”一词。值得注意的是，Mammoth是俄罗斯电子犯罪集团经常用来指代受害者的俚语。 这些活动还因使用网络钓鱼手段欺骗受害者提供其个人和财务信息而闻名，这些信息随后在暗网上出售或用于未经授权访问他们的游戏账户和加密货币钱包。 三个子活动中的第一个名为 TidyMe，模仿 peerme[.]io，在 tidyme[.]io（以及 tidymeapp[.]io 和 tidyme[.]app）上托管一个相似的网站，该网站会诱使用户点击下载适用于 Windows 和 macOS 系统的恶意程序。可执行文件由 Dropbox 提供。 该下载器是一个 Electron 应用程序，启动时会提示受害者输入显示的 CAPTCHA，然后显示主应用程序界面，同时在后台秘密获取并执行另外两个恶意文件。 此次活动中观察到的有效载荷都是Hijack Loader构件，它们最终会启动 StealC 窃取恶意软件的变种，能够收集广泛的信息。 第二个子活动 RuneOnlineWorld（“runeonlineworld[.]io”）使用一个模拟大型多人在线（MMO）游戏 Rise Online World 的虚假网站来分发类似的下载程序，为受感染主机上的 DanaBot 和 StealC 铺平道路。 在这次活动中，通过 Hijack Loader 分发的还有一种基于 Go 的剪切板监视恶意软件，该恶意软件旨在监视剪贴板内容，并使用攻击者控制的比特币钱包替换受害者复制的钱包地址，以执行欺诈交易。 活跃活动的最后一项是 Voico，它冒充名为 YOUS（yous[.]ai）的 AI 翻译项目，并使用名为 voico[.]io 的恶意对应项目来传播初始下载程序，在安装时，该下载程序会要求受害者填写包含其凭证的注册表，然后将信息记录在控制台上。 最终的有效载荷表现出与第二个子活动类似的行为，唯一的区别是，在这种情况下使用的 StealC 恶意软件与不同的命令和控制 (C2) 服务器进行通信。 “这些活动表明，网络犯罪分子的威胁持续不断且不断演变，他们善于模仿合法项目来欺骗受害者。对网络钓鱼等社会工程技术的依赖，加上多阶段恶意软件传递机制，凸显了威胁行为者的先进能力。”研究人员表示，“通过利用用户对知名平台的信任，这些攻击者有效地部署了一系列恶意软件，旨在窃取敏感信息，破坏系统，并最终获取经济利益。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/a777eGTYEUHDwa5qfuODsw 封面来源于网络，如有侵权请联系删除