HackerNews

HackerNews 编译，转载请注明出处： 威胁情报公司GreyNoise警告称，威胁行为者正在利用最近披露的GFI KerioControl防火墙漏洞，该漏洞可导致一键远程代码执行（RCE）。 GFI KerioControl是一款网络安全解决方案，提供防火墙功能和统一威胁管理能力，包括威胁检测和阻止、流量控制、入侵防御以及VPN功能。 被利用的漏洞编号为CVE-2024-52875，于12月19日发布了补丁，是一个CRLF注入漏洞，可被利用执行HTTP响应拆分攻击，进而导致反射型跨站脚本（XSS）攻击。 安全研究员埃吉迪奥·罗马诺于12月16日发布了该漏洞的详细技术文档，指出反射型XSS攻击向量可被利用执行一键RCE攻击。 罗马诺解释说，该问题源于GFI KerioControl中的多个HTTP响应拆分漏洞，这些漏洞之所以存在，是因为易受攻击的页面未能正确清理用户输入。 研究员评估认为，由于利用该漏洞获得RCE时可利用一个九年前就已存在的漏洞，且可能使攻击者在防火墙上部署root shell，因此该漏洞应被视为“高危”，CVSS评分为8.8。 罗马诺发布了针对该安全缺陷的概念验证（PoC）代码，并警告称，该漏洞影响GFI KerioControl 9.2.5至9.4.5版本，意味着该漏洞在软件中潜伏了大约七年。 本周，GreyNoise警告称，已观察到多次针对CVE-2024-52875的利用尝试，该漏洞“允许攻击者利用HTTP响应拆分和反射型跨站脚本获取设备的CSRF令牌，在特定条件下可能实现一键远程代码执行”。   消息来源：Security Week, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 北美最大的物质使用障碍（SUD）治疗与康复服务提供商BayMark健康服务公司，已向数量未公开的患者发出通知，告知他们2024年9月发生的一次数据泄露事件中，攻击者盗走了他们的个人及健康信息。 这家总部位于德克萨斯州的组织，在35个美国州和3个加拿大省份的400多个服务点，每天为超过7.5万名患者提供针对物质使用和精神健康障碍的药物辅助治疗（MAT）服务。 BayMark在向受影响个体邮寄的数据泄露通知信中透露，公司于2024年10月11日在IT系统出现故障后得知此次泄露事件。后续调查显示，攻击者在2024年9月24日至10月14日期间访问了BayMark的系统。 BayMark在其网站上发布的一份声明中解释称：“2024年10月11日，我们得知一起事件导致我们部分IT系统运营中断。我们立即采取措施保护系统安全，在第三方取证专家的协助下展开调查，并通知了执法部门。” “我们的调查发现，2024年9月24日至10月14日期间，未经授权的第三方访问了BayMark系统上的一些文件。随后，我们对这些文件进行了审查和分析。” 此次事件中泄露的文件包含了每位受影响患者的多种数据，包括他们的姓名以及： 社会保险号 驾驶证号 出生日期 所接受的服务及服务日期 保险信息 治疗医生以及治疗和/或诊断信息 对于在此次事件中可能泄露了社会保险号或驾驶证号的患者，BayMark现正提供为期一年的Equifax身份监测服务，费用全免。 今日早些时候，BleepingComputer联系BayMark发言人寻求更多关于此次泄露事件的信息，包括受影响患者的总数，但对方未立即回应置评请求。 虽然这家医疗服务提供商没有提供关于9月攻击的更多细节，但RansomHub勒索软件团伙在10月声称对此次泄露事件负责，称他们从BayMark被攻破的系统中窃取了1.5TB的文件。这些数据随后被上传到了威胁行为者的暗网泄露网站上。 BayMark在RansomHub泄露网站上的条目（BleepingComputer） RansomHub勒索软件即服务（RaaS）运营（前称Cyclops和Knight）几乎一年前，即2024年2月浮出水面，专注于基于数据盗窃的勒索，而非加密受害者的系统。 自那以来，它已声称对包括Rite Aid药店连锁、佳士得拍卖行、美国电信运营商Frontier Communications、计划生育协会性健康非营利组织、川崎摩托欧洲分公司、博洛尼亚足球俱乐部以及石油服务巨头哈里伯顿在内的多个知名受害者负责。 在BlackCat/ALPHV勒索软件运营在窃取2200万美元后通过退出诈骗关闭之后，RansomHub还泄露了Change Healthcare被盗的数据。 自浮出水面以来，FBI表示，截至2024年8月，RansomHub勒索软件附属组织已攻破了美国政府、关键基础设施和医疗保健等关键基础设施领域的200多家受害者。 BayMark健康服务公司发出数据泄露通知之际，美国卫生与公众服务部（HHS）已提议对《1996年健康保险流通与责任法案》（HIPAA）进行修订，以加强患者健康数据的安全保护，以应对近年来影响医院和美国人的大规模医疗保健安全泄露事件激增的情况。 10月，UnitedHealth确认，在2月影响超过1亿人的Change Healthcare勒索软件攻击之后，公司遭遇了近年来最大的医疗保健数据泄露事件。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： CrowdStrike警告称，一起网络钓鱼攻击正冒充该网络安全公司，通过虚假的招聘邮件诱骗目标对象下载门罗币（Monero）加密货币挖矿软件XMRig。 2025年1月7日，该公司发现了这起恶意攻击活动，根据钓鱼邮件的内容判断，该活动开始的时间应该不会太早。 攻击始于一封发送给求职者的钓鱼邮件，邮件自称来自CrowdStrike的招聘代理，感谢他们申请公司的开发者职位。邮件指示目标对象从一个看似合法CrowdStrike门户的网站上下载所谓的“员工客户关系管理（CRM）应用程序”。 这据说是公司为了“通过推出新的申请者CRM应用程序来简化入职流程”而做出的努力。 点击邮件中嵌入链接的候选人会被带到一个名为“cscrm-hiring[.]com”的网站，该网站提供Windows或macOS系统的应用程序下载链接。 滥用CrowdStrike品牌的恶意网站（图片来源：CrowdStrike） 下载的工具会在获取额外有效载荷之前进行沙箱检查，以确保其不在分析环境中运行，例如检查进程号、CPU核心数以及调试器的存在。 一旦这些检查完成且结果为阴性（即受害者符合感染条件），应用程序会生成一条虚假的错误信息，称安装程序文件可能已损坏。 虚假错误信息（图片来源：CrowdStrike） 在后台，下载器会获取一个包含运行XMRig所需参数的配置文件文本。 然后，它会从GitHub存储库中下载一个包含挖矿软件的ZIP压缩包，并在“%TEMP%\System\”目录中解压文件。 挖矿软件将在后台运行，消耗极少的处理能力（最多10%），以避免被检测。 在“开始”菜单的“启动”目录中添加了一个批处理脚本，以确保在重启之间持续运行，同时在注册表中写入了一个登录时自动启动的键。 有关此次攻击活动的更多详情及其相关的入侵指标，请参阅CrowdStrike的报告。 求职者应始终通过验证电子邮件地址是否属于公司官方域名，并从公司官方页面上联系相关人员来确认对方是否为真正的招聘人员。 请警惕紧急或异常请求、看似过于美好的机会，或要求下载据称招聘所需的可执行文件的邀请。雇主很少（甚至从不）要求候选人在面试过程中下载第三方应用程序，也绝不会要求预先付款。 消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现了一种针对macOS的信息窃取恶意软件Banshee Stealer的新变种，该变种更为隐蔽。 Check Point Research在向The Hacker News分享的一份新分析报告中指出：“在2024年底源代码泄露后，该恶意软件一度被认为已沉寂。但此次新变种引入了受苹果XProtect启发的先进字符串加密技术。这一发展使其能够绕过杀毒软件系统，对全球超过1亿macOS用户构成重大风险。” 该网络安全公司表示，他们在2024年9月底检测到了这一新版本。该恶意软件通过伪装成谷歌浏览器、Telegram和TradingView等流行软件的钓鱼网站和假冒GitHub仓库进行传播。 Banshee Stealer首次由Elastic Security Labs在2024年8月记录。它以每月3000美元的价格，作为恶意软件即服务（MaaS）模型提供给其他网络犯罪分子，能够收集来自网页浏览器、加密货币钱包和具有特定扩展名的文件的数据。 2024年11月底，该恶意软件的源代码在网上泄露，导致其运营受挫并关闭。然而，Check Point表示，他们已发现多起仍通过钓鱼网站分发该恶意软件的攻击活动，但目前尚不清楚这些活动是否由之前的客户发起。 这一新变种的一个显著特点是移除了用于防止感染默认系统语言设置为俄语的Macs的俄语语言检查。移除这一功能暗示着威胁行为者可能正在寻求扩大潜在目标范围。 另一项关键更新是使用了苹果XProtect杀毒软件引擎中的字符串加密算法来混淆Banshee Stealer原始版本中的明文字符串。 Check Point Research安全研究小组经理Eli Smadja在一份向The Hacker News提供的声明中表示：“现代恶意软件攻击正在利用常见的人类漏洞，而不仅仅是特定平台的缺陷。macOS与其他操作系统一样，都面临着这些不断演变的威胁，尤其是当网络犯罪分子采用社会工程学和假冒软件更新等先进技术时。” 与此同时，Discord上的未经请求的消息正在被用来传播各种窃取器恶意软件家族，如Nova Stealer、Ageo Stealer和Hexon Stealer，其借口是测试一款新的视频游戏。 Malwarebytes表示：“这些窃取器似乎对Discord凭证特别感兴趣，因为这些凭证可用于扩大被攻陷账户的网络。这也对他们有所帮助，因为部分被盗信息包括受害者的好友账户。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Palo Alto Networks已发布软件补丁，以解决其Expedition迁移工具中的多个安全漏洞，其中包括一个经身份验证的攻击者可利用的高危漏洞以访问敏感数据。 公司在一份公告中表示：“Palo Alto Networks的Expedition迁移工具存在多个漏洞，使得攻击者能够读取Expedition数据库内容及任意文件，还可在Expedition系统上创建和删除任意文件。” “这些文件包括用户名、明文密码、设备配置以及运行PAN-OS软件的防火墙的设备API密钥等信息。” Expedition是Palo Alto Networks提供的一款免费工具，旨在协助用户从其他防火墙供应商迁移到其平台。该工具将于2024年12月31日终止使用（EoL）。漏洞列表如下： CVE-2025-0103（CVSS评分：7.8）——一个SQL注入漏洞，经身份验证的攻击者可利用该漏洞泄露Expedition数据库内容（如密码哈希、用户名、设备配置和设备API密钥），以及创建和读取任意文件。 CVE-2025-0104（CVSS评分：4.7）——一个反射型跨站脚本（XSS）漏洞，如果经身份验证的用户点击允许网络钓鱼攻击并可能导致浏览器会话失窃的恶意链接，攻击者便可在该用户浏览器的上下文中执行恶意JavaScript代码。 CVE-2025-0105（CVSS评分：2.7）——一个任意文件删除漏洞，未经身份验证的攻击者可删除主机文件系统中对www-data用户可访问的任意文件。 CVE-2025-0106（CVSS评分：2.7）——一个通配符扩展漏洞，允许未经身份验证的攻击者枚举主机文件系统中的文件。 CVE-2025-0107（CVSS评分：2.3）——一个操作系统（OS）命令注入漏洞，经身份验证的攻击者可在Expedition中以www-data用户的身份运行任意OS命令，从而导致泄露运行PAN-OS软件的防火墙的用户名、明文密码、设备配置和设备API密钥。 Palo Alto Networks表示，已在版本1.2.100（CVE-2025-0103、CVE-2025-0104和CVE-2025-0107）和1.2.101（CVE-2025-0105和CVE-2025-0106）中修复了这些漏洞，且不打算发布任何额外的更新或安全补丁。 作为临时解决方案，建议确保仅授权用户、主机和网络能够访问Expedition，或在不使用时关闭该服务。 与此同时，SonicWall也发布了补丁，以修复SonicOS中的多个漏洞，其中两个漏洞可被分别用于实现身份验证绕过和权限提升。 CVE-2024-53704（CVSS评分：8.2）——SSLVPN身份验证机制中存在身份验证不当漏洞，允许远程攻击者绕过身份验证。 CVE-2024-53706（CVSS评分：7.8）——Gen7 SonicOS云平台NSv（仅限AWS和Azure版本）中存在漏洞，允许远程经身份验证的本地低权限攻击者将权限提升至root，并可能导致代码执行。 虽然尚无证据表明上述漏洞已在现实中遭到利用，但用户务必尽快应用最新补丁。 此外，波兰网络安全公司Securing还披露了一个影响Aviatrix控制器的最高严重程度安全漏洞（CVE-2024-50603，CVSS评分：10.0），该漏洞可被利用以获得任意代码执行。该漏洞影响7.x至7.2.4820版本。 该漏洞源于API端点中的某些代码段未对用户提供的参数（“list_flightpath_destination_instances”和“flightpath_connection_test”）进行清理，已在7.1.4191或7.2.4996版本中修复。 安全研究员Jakub Korepta表示：“由于未正确中和操作系统命令中使用的特殊元素，未经身份验证的攻击者能够远程执行任意代码。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

日本周三将过去五年针对该国国家安全和高科技目标发动的 200 多起网络攻击归咎于黑客组织MirrorFace，详细介绍了他们的策略，并呼吁政府机构和企业加强预防措施。 日本警察厅表示，通过对 MirrorFace 在 2019 年至 2024 年期间发起的网络攻击的目标、方法和基础设施的分析，得出结论，这些攻击的目的是窃取日本国家安全和先进技术的数据。 NPA 表示，网络攻击目标包括日本外务省和防卫省、国家航天局以及政治家、记者、私营公司和与高科技相关的智库等个人。 NPA 调查发现，MirrorFace 主要在 2019 年 12 月至 2023 年 7 月期间向目标组织和个人发送了带有恶意软件附件的电子邮件，以查看计算机上保存的数据，这些邮件通常来自使用被盗身份的 Gmail 和 Microsoft Outlook 地址。 NPA 表示，这些电子邮件通常使用“日美同盟”、“台海”、“俄乌战争”和“自由开放的印太地区”等关键词作为主题，并附有研究小组的邀请、参考文献和小组成员名单。 另一种策略是，黑客在 2023 年 2 月至 10 月期间利用虚拟专用网络中的漏洞获取未经授权的信息访问，攻击了日本航空航天、半导体、信息和通信领域的组织。 此次攻击包括针对日本宇宙航空研究开发机构（JAXA）的一次攻击。该机构于 6 月承认，自 2023 年以来遭受了一系列网络攻击，但与火箭、卫星和国防相关的敏感信息并未受到影响。该机构正在调查并采取预防措施。 去年，一次网络攻击导致名古屋市港口集装箱码头的 运营陷入瘫痪三天。 最近，日本航空在圣诞节期间遭遇网络攻击，导致 20 多个国内航班延误或取消，该航空公司成功阻止了攻击并在数小时后恢复了系统，飞行安全并未受到影响。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/NS_xe7HsbAdmau4a9gpjgg 封面来源于网络，如有侵权请联系删除

HackerNews 编译，转载请注明出处： 研究人员通过注册用于控制后门程序的过期域名，成功劫持了4000多个虽被遗弃但仍活跃的网站后门，并使其通信基础设施陷入瘫痪。 部分活跃的恶意软件（网络后门）被部署在高调目标（包括政府和大学系统）的服务器上，一旦有人控制这些通信域名，便能执行指令。 攻击安全机构WatchTowr Labs与Shadowserver基金会合作，阻止这些域名及其对应的受害者落入恶意行为者之手。 发现数千个被突破的系统 后门是指被植入受攻击系统中的恶意工具或代码，允许未经授权的远程访问和控制。威胁行为者通常利用后门进行持续访问，并在受攻击系统中执行进一步攻击的指令。 WatchTowr研究人员开始搜索各种网络后门中的域名，并购买其中已过期的域名，从而基本上控制了这些后门。 在建立日志系统后，这些被遗弃但仍活跃的恶意软件开始发送请求，使研究人员能够识别出至少部分受害者。 通过注册40多个域名，研究人员收到来自4000多个被突破系统的通信尝试，这些系统试图“回连”到攻击者。 注册域名示例（来源：WatchTowr） 研究人员发现了多种后门类型，包括“经典”的r57shell、功能更强大的c99shell（提供文件管理和暴力破解功能）以及常与APT组织相关联的“中国菜刀”网络后门。 报告中甚至提到一个后门展现出与Lazarus组织相关的行为，但随后澄清这很可能是其他行为者重用了该威胁行为者的工具。 在被突破的机器中，WatchTowr发现了中国政府机构（包括法院）中的多个系统、被攻破的尼日利亚政府司法系统以及孟加拉国政府网络中的系统。 此外，泰国、中国和韩国的教育机构中也发现了受感染的系统。 WatchTowr将劫持域名的管理责任移交给Shadowserver基金会，以确保这些域名未来不会被恶意接管。Shadowserver目前正在将所有来自被突破系统的流量吸引到其域名的陷阱中。 WatchTowr的研究虽然并不复杂，但表明恶意软件运营中的过期域名仍可能为新网络犯罪分子所用，他们只需注册控制域名便能获取一些受害者。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 医疗账单服务提供商领军者Medusind正通知数十万用户，他们的个人及健康信息在一年多前的2023年12月遭到泄露。 这家总部位于迈阿密的公司在美国和印度设有12个分支机构，为超过6000家医疗服务提供商提供收入周期管理服务，助力其降低运营成本、实现收益最大化。 Medusind在向缅因州总检察长办公室提交的数据泄露通知信中表示，公司在2023年12月检测到网络上的可疑活动后，发现了此次泄露事件。 泄露通知指出：“在发现可疑活动后，Medusind立即将受影响系统下线，并聘请了一家领先的网络安全取证公司进行调查。” “通过调查，我们发现网络犯罪分子可能已获取包含您个人信息的某些文件的副本。” Medusind在缅因州的备案文件中透露，2023年12月的数据泄露事件影响了360,934人的个人及健康信息。 事件中泄露的文件包含以下数据类型，但受影响个体的信息各不相同： 医疗保险和账单信息（如保险单号码或索赔/福利信息） 支付信息（如借记卡/信用卡号码或银行账户信息） 健康信息（如病史、病历号或处方信息） 政府身份信息（如社会保险号、纳税人识别号、驾驶证或护照号码） 其他个人信息（如出生日期、电子邮件、地址或电话号码） Medusind为受此次数据泄露影响的用户提供为期两年的Kroll免费身份监测服务，包括信用监测、欺诈咨询和身份盗窃恢复。 同时，该公司警告用户留意账户对账单，以发现潜在的身份盗窃和欺诈行为迹象，并监测信用报告，查找未经授权或可疑活动。 此前，美国卫生与公众服务部（HHS）于2024年12月底提议对1996年《健康保险流通与责任法案》（HIPAA）进行修订，以加强近年来大规模医疗安全泄露和数据泄露事件频发背景下患者的健康数据安全。 这些修订后的网络安全规则要求医疗机构加密美国人的受保护健康信息（PHI），在可能的情况下实施多因素身份验证，并对网络进行分段，以加大网络犯罪分子横向移动的难度。 美国最大的私立医疗系统之一Ascension最近警告近560万人，他们的数据在5月的一起由Black Basta勒索软件团伙声称负责的网络攻击中被盗。 10月，UnitedHealth确认近年来最大的医疗数据泄露事件，该事件源于2月一起影响超过1亿人的Change Healthcare勒索软件攻击。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 周二，乌克兰网络联盟组织的一部分黑客活动分子宣布，他们已侵入俄罗斯互联网服务提供商Nodex的网络，在窃取敏感文件后清除了被黑的系统。 昨日，这些乌克兰黑客在Telegram上宣布：“圣彼得堡的俄罗斯互联网提供商Nodex被完全洗劫并清空。数据被窃取，而他们留下的只是没有备份的空设备。” 黑客们还分享了他们在攻击期间入侵的俄罗斯ISP的VMware、Veeam备份和惠普企业虚拟基础设施的截图。 周二，Nodex在VKontakte上向客户证实了乌克兰网络联盟的声明，称其网络在疑似来自乌克兰的有计划攻击后“被摧毁”。 Nodex表示：“亲爱的用户！昨晚，我们的基础设施遭到攻击（推测来自乌克兰）。网络已被摧毁。我们正在从备份中恢复。目前没有时间表或预测。我们的首要任务是先恢复电话服务和呼叫中心。” 互联网监测组织NetBlocks也观察到，在Nodex确认遭受网络攻击后，其网络运营商的固定电话和移动服务连接在昨日午夜崩溃。 Nodex中断情况（NetBlocks） 《The Record》率先报道了此次攻击，称Nodex的网站仍然无法访问，俄罗斯互联网提供商仍在努力恢复系统。但该公司无法提供系统恢复在线的时间表。 此后，Nodex发布了更多关于恢复过程的更新，告知用户“网络核心已恢复”，其工程师仍在重置交换机。 三小时后，俄罗斯ISP表示DHCP服务器已上线，现在许多客户应能上网。 Nodex在VKontakte上的另一条更新中表示：“很多人应该能上网了。请重启您的路由器。” 乌克兰网络联盟自2016年以来一直活跃，当时多个黑客和黑客组织（如FalconsFlame、Trinity、RUH8和CyberHunta）联合起来，注册为非政府组织。 自那时以来，乌克兰网络联盟的网络活动分子声称多次攻破影响多个俄罗斯组织的系统，包括俄罗斯国防部、独立国家联合体研究所（由俄罗斯国家公司Gazprom资助）、顿涅茨克人民共和国煤炭和能源部、弗拉基米尔·普京的政治顾问弗拉基斯拉夫·苏尔科夫以及多名俄罗斯军官和媒体机构等。 2023年10月，乌克兰黑客还攻破了Trigona勒索软件团伙的服务器，在窃取包括源代码、数据库记录和加密货币热钱包在内的所有数据后将其清空。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Ivanti发出警告，黑客在零日攻击中利用了Connect Secure远程代码执行漏洞（CVE-2025-0282），在设备上安装了恶意软件。 该公司表示，在Ivanti Integrity Checker Tool（ICT）检测到客户设备上的恶意活动后，他们意识到了这一漏洞。Ivanti随即展开调查，并确认威胁行为者正在积极利用CVE-2025-0282作为零日漏洞。 CVE-2025-0282是一个严重（9.0分）的栈溢出漏洞，存在于Ivanti Connect Secure 22.7R2.5版本之前、Ivanti Policy Secure 22.7R1.2版本之前以及Ivanti Neurons for ZTA网关22.7R2.3版本之前的版本中，允许未经身份验证的攻击者远程在设备上执行代码。 尽管该漏洞影响了这三款产品，但Ivanti表示，他们目前仅发现Ivanti Connect Secure设备受到了该漏洞的利用。 Ivanti的一篇博客文章写道：“在披露时，我们已知有少数客户的Ivanti Connect Secure设备受到了CVE-2025-0282的利用。” “我们尚未发现CVE在Ivanti Policy Secure或Neurons for ZTA网关中被利用。” Ivanti已紧急为Ivanti Connect Secure发布了安全补丁，该补丁已在固件版本22.7R2.5中解决。 然而，根据今日发布的安全公告，Ivanti Policy Secure和Ivanti Neurons for ZTA网关的补丁将于2025年1月21日发布。 Ivanti Policy Secure：此解决方案不面向互联网，因此被利用的风险显著降低。Ivanti Policy Secure的修复计划于2025年1月21日发布，并将在标准下载门户中提供。客户应始终确保其IPS设备根据Ivanti的建议进行配置，且不暴露于互联网。我们尚未发现CVE在Ivanti Policy Secure中被利用。 Ivanti Neurons for ZTA网关：在生产环境中，Ivanti Neurons ZTA网关无法被利用。如果为该解决方案生成的网关未连接到ZTA控制器，则存在该生成网关被利用的风险。修复计划于2025年1月21日发布。我们尚未发现CVE在ZTA网关中被利用。 该公司建议所有Ivanti Connect Secure管理员执行内部和外部ICT扫描。 如果扫描结果正常，Ivanti仍建议管理员在升级到Ivanti Connect Secure 22.7R2.5之前进行出厂重置。 但是，如果扫描结果显示存在安全漏洞，Ivanti表示，出厂重置应能移除已安装的恶意软件。然后，应使用22.7R2.5版本将设备重新投入生产。 今日的安全更新还修复了另一个被追踪为CVE-2025-0283的漏洞，Ivanti表示，该漏洞目前尚未被利用或与CVE-2025-0282结合使用。此漏洞允许经过身份验证的本地攻击者提升权限。 由于Ivanti正与Mandiant和微软威胁情报中心合作调查这些攻击，我们很快就会看到有关检测到的恶意软件的报告。 BleepingComputer就这些攻击向Ivanti提出了进一步的问题，并在收到回复后更新本文。 今年10月，Ivanti发布了安全更新，修复了三个在攻击中被积极利用的Cloud Services Appliance（CSA）零日漏洞。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Radykal开发的WordPress高级插件Fancy Product Designer在其当前最新版本中仍存在两个未修复的严重安全漏洞。 该插件销量超过2万次，允许WooCommerce网站的用户在产品设计（如服装、马克杯、手机壳）中进行颜色更换、文本转换或尺寸修改等自定义操作。 2024年3月17日，Patchstack的Rafie Muhammad在检查该插件时发现，该插件存在以下两个严重漏洞： CVE-2024-51919（CVSS评分：9.0）：由于文件上传功能“save_remote_file”和“fpd_admin_copy_file”实现不安全，未正确验证或限制文件类型，导致未经身份验证的任意文件上传漏洞。攻击者可通过提供远程URL上传恶意文件，实现远程代码执行（RCE）。 CVE-2024-51818（CVSS评分：9.3）：由于使用了不足的“strip_tags”函数，导致用户输入未得到适当净化，从而引发未经身份验证的SQL注入漏洞。用户提供的输入未经适当验证便直接整合到数据库查询中，可能导致数据库被攻破，数据被检索、修改或删除。 Patchstack在发现这些问题后一天便通知了供应商，但Radykal至今未作回应。 Patchstack于1月6日将这两个漏洞添加到其数据库中，并于今日发布博客文章，以警告用户并提高对此类风险的认识。 Muhammad表示，尽管Radykal发布了20个新版本，且最新版本6.4.3也于2个月前发布，但这两个严重的安全问题仍未得到修复。 Patchstack的文章为攻击者提供了足够的技术信息，以便他们创建漏洞利用工具并开始针对使用Radykal的Fancy Product Designer插件的网店发起攻击。 作为一般建议，管理员应通过创建包含安全文件扩展名的允许列表来防止任意文件上传。此外，Patchstack还建议，通过对用户查询输入进行安全转义和格式化来净化输入，从而防范SQL注入攻击。 BleepingComputer已联系Radykal，询问其是否计划近期发布安全更新，但截至发稿时尚未收到回复。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员近日揭示了一款名为NonEuclid的新型远程访问木马，该木马可使不法分子远程控制受感染的Windows系统。 Cyfirma上周发布的技术分析指出：“NonEuclid远程访问木马（RAT）采用C#开发，是一款高度复杂的恶意软件，通过先进的规避技术提供未经授权的远程访问。” “它运用多种机制，包括杀毒软件绕过、权限提升、反检测和针对关键文件的勒索软件加密。” 自2024年11月底以来，NonEuclid已在地下论坛中被宣传，并在Discord、YouTube等热门平台上发现了有关该恶意软件的教程和讨论。这表明有人正有组织地将其作为犯罪软件解决方案进行分发。 该RAT的核心是从客户端应用程序的初始化阶段开始，之后进行一系列检查以躲避检测，然后再为与指定IP和端口的通信建立TCP套接字。 它还会配置Microsoft Defender防病毒排除项，以防止安全工具标记其相关文件，并监控如“taskmgr.exe”、“processhacker.exe”和“procexp.exe”等常用于分析和进程管理的进程。 Cyfirma表示：“它使用Windows API调用（CreateToolhelp32Snapshot、Process32First、Process32Next）来枚举进程，并检查其可执行文件名是否与指定目标匹配。如果找到匹配项，则根据AntiProcessMode设置，要么终止该进程，要么触发客户端应用程序退出。” 该恶意软件采用的一些反分析技术包括检查其是否在虚拟或沙盒环境中运行，一旦发现，则立即终止程序。此外，它还具备绕过Windows反恶意软件扫描接口（AMSI）的功能。 NonEuclid通过计划任务和Windows注册表更改实现持久性，并试图通过绕过用户帐户控制（UAC）保护来提升权限并执行命令。 一个相对罕见的功能是，它能够加密具有特定扩展名（如.CSV、.TXT和.PHP）的文件，并将它们重命名为“.NonEuclid”扩展名，从而有效转变为勒索软件。 Cyfirma称：“NonEuclid RAT是现代恶意软件日益复杂的典型代表，结合了先进的隐蔽机制、反检测功能和勒索软件能力。它在地下论坛、Discord服务器和教程平台上的广泛宣传表明，它对网络犯罪分子具有吸引力，并凸显了应对此类威胁的挑战。该恶意软件集成了权限提升、AMSI绕过和进程阻止等功能，展示了其在躲避安全措施方面的适应性。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，恶意行为者在各种恶意垃圾邮件活动中继续通过伪造发件人电子邮件地址取得成功。 伪造电子邮件的发件人地址通常被视为一种让数字信息看起来更合法并绕过可能将其标记为恶意的安全机制的手段。 尽管有域名密钥识别邮件（DKIM）、基于域名的邮件身份验证、报告和一致性（DMARC）以及发件人策略框架（SPF）等保障措施可以防止垃圾邮件发送者伪造知名域名，但这些措施反而促使他们利用老旧、被忽视的域名进行活动。 这样做的话，电子邮件信息很可能会绕过依赖域名年龄来识别垃圾邮件的安全检查。 一家DNS威胁情报公司在与《黑客新闻》分享的一项新分析中发现，包括Muddling Meerkat在内的威胁行为者滥用了一些自身拥有的、已近20年未用于托管内容的老旧顶级域名（TLD）。 “这些域名缺少大多数DNS记录，包括通常用于检查发件人域名真实性的记录，如SPF记录，”该公司表示，“这些域名简短且属于高声誉的顶级域名。”自2022年12月以来一直活跃的一项此类活动涉及分发带有指向钓鱼网站的二维码附件的电子邮件，并指示收件人打开附件并使用手机上的支付宝或微信应用扫描二维码。 这些电子邮件使用中文撰写的与税收相关的诱饵，同时以不同方式将二维码文档隐藏在电子邮件正文中包含的四位数字密码之后。在其中一个案例中，钓鱼网站要求用户输入其身份和银行卡信息，然后向攻击者进行欺诈付款。 “尽管这些活动确实使用了我们在Muddling Meerkat中看到的废弃域名，但它们似乎还广泛伪造随机域名，甚至包括不存在的域名，”Infoblox解释道，“行为者可能会使用这种技术来避免发送来自同一发件人的重复电子邮件。” 该公司表示，它还观察到了冒充亚马逊、万事达卡和SMBC等知名品牌，利用流量分发系统（TDSes）将受害者重定向到假冒登录页面以窃取其凭据的钓鱼活动。以下是一些已确定使用伪造发件人域名的电子邮件地址： mailto:[email protected][.]org mailto:[email protected][.]com mailto:[email protected][.]com mailto:[email protected][.]com mailto:[email protected][.]com mailto:[email protected][.]net mailto:[email protected][.]com 第三类垃圾邮件与勒索有关，其中电子邮件收件人被要求支付1800美元的比特币以删除据称安装在其系统上的远程访问木马所录制的令人尴尬的视频。 “行为者伪造用户自己的电子邮件地址，并挑战他们进行检查，”Infoblox表示，电子邮件告诉用户他们的设备已被入侵，作为证明，行为者声称该邮件是从用户自己的帐户发送的。” 这一披露正值法律、政府和建筑部门自2024年9月初以来成为旨在窃取Microsoft 365凭据的新型钓鱼活动“肉铺”的目标。 据Obsidian Security称，这些攻击滥用Canva、Dropbox DocSend和Google Accelerated Mobile Pages（AMP）等受信任平台将用户重定向到恶意网站。其他一些渠道包括电子邮件和被入侵的WordPress网站。 “在显示钓鱼页面之前，会显示一个带有Cloudflare Turnstile的自定义页面，以验证用户实际上是人类，”该公司表示，“这些旋转门使得电子邮件保护系统（如URL扫描器）更难检测到钓鱼网站。” 近几个月来，短信钓鱼活动冒充阿联酋执法机构发送虚假的付款请求，涉及不存在的交通违规、停车违规和执照续期。为此目的而设立的一些虚假网站被归因于一个名为Smishing Triad的已知威胁行为者。 中东的银行业客户也成为了一种复杂的社交工程计划的攻击目标，该计划在电话中冒充政府官员，并使用远程访问软件窃取信用卡信息和一次性密码（OTP）。 Group-IB在今天发布的一项分析中表示，这场针对个人数据已在暗网上通过窃取器恶意软件泄露的女性消费者的活动，据推测是未知母语为阿拉伯语的人所为。 “骗子利用受害者的合作意愿和服从指令的意愿，希望为他们不满意的购买获得退款。” Cofense发现的另一场活动涉及发送声称来自美国社会保障管理局的电子邮件，其中嵌入了下载ConnectWise远程访问软件安装程序的链接或将受害者定向到凭据收集页面。 这一发展发生在根据Interisle Consulting Group的一份报告，在2023年9月至2024年8月期间报告的网络犯罪域名中，通用顶级域名（gTLD）如.top、.xyz、.shop、.vip和.club占37%，尽管它们仅占域名市场总量的11%。 由于价格低廉且缺乏注册要求，这些域名已成为恶意行为者的诱人目标，从而为滥用打开了大门。在广泛用于网络犯罪的顶级域名中，有22个提供的注册费用低于2.00美元。 威胁行为者还被发现宣传一个名为PhishWP的恶意WordPress插件，该插件可用于创建可自定义的支付页面，模仿Stripe等合法支付处理器，通过Telegram窃取个人和财务数据。 SlashNext在一份新报告中表示：“攻击者既可以入侵合法的WordPress网站，也可以设置欺诈网站来安装它。在配置插件以模仿支付网关后，不明真相的用户会被诱骗输入其支付详情。插件会收集这些信息并将其直接发送给攻击者，通常是在实时状态下。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

硬件制造商联发科、HPE 和戴尔周一发布公告，告知客户其产品中发现并修补的潜在严重漏洞。 半导体公司联发科宣布修补十几个漏洞，其中包括数十个芯片组的调制解调器组件中一个严重漏洞，该漏洞可能导致远程代码执行 (RCE)。 该问题被标记为 CVE-2024-20154，是一种越界写入漏洞，当设备连接到攻击者控制的恶意基站时，无需用户交互即可利用该漏洞。 联发科的建议还详细介绍了七个高严重性漏洞，这些漏洞可能会导致本地权限提升，如果攻击者靠近易受攻击的设备，则会导致 RCE。 Dell发布了针对其更新包 (DUP) 框架中高严重性缺陷的补丁，该漏洞编号为 CVE-2025-22395，并被描述为本地特权升级问题，该问题可能导致任意脚本的执行，从而导致拒绝服务 (DoS) 情况。DUP 框架版本 22.01.02 解决了此漏洞。 此外，该科技公司还发布了针对受 CVE-2024-52316 影响的多种产品的修复程序，CVE-2024-52316 是 2024 年 11 月披露的 Apache Tomcat 漏洞，可能导致身份验证绕过。 HPE 宣布修复其运行 Brocade Fabric OS (FOS) 的 SAN 交换机中使用的第三方组件中的多个缺陷，包括可能导致权限提升、远程命令执行、身份验证绕过、DoS 和任意文件创建或删除的高中严重性漏洞。 该公司的建议中提到了十个安全缺陷：两个于 2022 年公开披露，四个于 2023 年披露，四个于 2024 年发现。所有漏洞均已在 HPE B 系列产品的 FOS 固件 9.2.2、9.2.1a1 和 9.2.0c 版本中修复。 尽管没有任何供应商提及这些漏洞被利用进行攻击，但建议用户尽快应用这些补丁。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/wYpP3IxCHbWsHTQuZPPFwQ 封面来源于网络，如有侵权请联系删除

HackerNews 编译，转载请注明出处： 今日，白宫宣布推出美国网络信任标志（U.S. Cyber Trust Mark），这是针对联网消费设备的全新网络安全安全标签。 该网络信任标志将于今年晚些时候出现在美国销售的智能产品上，帮助美国消费者判断他们想要购买的设备是否安全安装在家中。 该标志专为家用智能设备设计，如安全摄像头、电视、联网家电、健身追踪器、气候控制系统和婴儿监护器等，它表明该联网设备具备美国国家标准与技术研究院（NIST）批准的一系列安全功能。 若厂商产品符合NIST的网络安全标准，则可在其产品上贴上网络信任标志。这些标准包括使用独特且强大的默认密码、软件更新、数据保护以及事件检测能力。 消费者可通过扫描网络信任标志旁的二维码获取额外的安全信息，如更改默认密码的说明、安全配置设备的步骤、自动更新的详细信息（包括非自动更新的访问方法）、产品的最小支持期限，以及制造商是否提供设备更新的通知。 美国网络信任标志示例（由桑迪亚国家实验室提供） 拜登政府周二表示：“美国人担心犯罪分子远程黑入家庭安全系统解锁家门，或恶意攻击者利用不安全的家庭摄像头非法录制对话的情况日益增多。” “白宫发起这一两党合作行动，旨在教育美国消费者，为他们提供一种简单的方法来评估此类产品的网络安全，并激励公司生产出更多安全的设备，正如能源之星标签对能效的作用一样。” “该项目将于2025年正式开放：公司很快就能提交产品进行测试以获得标签，百思买和亚马逊等公司将重点展示带有标签的产品，消费者可在货架上寻找带有信任标志的产品。” 该项目于2023年7月公布，当时亚马逊、谷歌、百思买、LG电子美国公司、罗技和三星电子等主要电子产品、家电和消费品制造商宣布参与。 在过去18个月里，联邦通信委员会（FCC）委员一致批准了该项目，还通过了最终规定以及网络信任标志认证产品的独特盾形商标。 2024年12月，FCC宣布批准11家公司成为网络安全标签管理员，负责该项目的日常管理和认证美国网络信任标志的使用。 消费者报告技术政策主管贾斯汀·布鲁克曼周二表示：“该标志还将告知消费者，一家公司是否计划通过软件更新支持该产品，以及支持多久。” “虽然该标志是自愿申请的，但消费者报告希望制造商能申请该标志，并且消费者能在其推出后主动寻找它。”   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 周二，软件代码分析公司Veracode宣布收购软件供应链领域初创企业Phylum的关键资产。 此次交易的财务条款未予公布。 总部位于美国马萨诸塞州伯灵顿的Veracode表示，此次收购包括Phylum的某些资产，如其恶意软件包分析、检测和缓解技术。 自2020年成立以来，总部位于科罗拉多州的Phylum已筹集约2000万美元的风险投资资金，旨在保护开源生态系统周边的应用程序。 Veracode表示，此次收购旨在增强其识别和阻止开源库中恶意代码的能力，并将为客户提供更全面的开源代码使用风险视图。 该公司援引数据显示，预计到2031年，软件供应链攻击的成本将从2023年的460亿美元增至1380亿美元，并表示Phylum技术的加入将有助于通过实时识别和阻止恶意软件包和漏洞来主动预防攻击。 Veracode计划将Phylum的技术，包括其恶意软件包数据库和包管理防火墙，整合到其SCA产品中，预计今年年初即可全面上市。 此次收购是Veracode在不到一年内完成的第二起收购。去年4月，该公司收购了初创企业Longbow Security，增加了帮助安全团队快速发现云和应用资产并轻松评估其威胁暴露程度的技术。   消息来源：Security Week, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： CISA已警告美国联邦机构，需针对Oracle WebLogic Server和Mitel MiCollab系统中正被积极利用的关键漏洞加强系统安全。 该网络安全机构已将Mitel MiCollab统一通信平台中NuPoint Unified Messaging（NPM）组件存在的关键路径遍历漏洞（CVE-2024-41713）添加到其“已知被利用漏洞目录”中。 此安全漏洞使攻击者能够执行未经授权的管理操作，并访问用户和网络信息。“成功利用此漏洞可能会使攻击者获得未经授权的访问权限，从而对系统的保密性、完整性和可用性产生潜在影响。此漏洞无需身份验证即可被利用，”MiCollab解释道。 “如果漏洞被成功利用，攻击者可能无需身份验证即可访问配置信息，包括非敏感用户和网络信息，并在MiCollab服务器上执行未经授权的管理操作。” Oracle WebLogic Server存在的关键漏洞（CVE-2020-2883）四年前的2020年4月已被修复，但该漏洞仍使未经身份验证的攻击者能够远程控制未打补丁的服务器。 美国网络安全机构还警告了Mitel MiCollab存在的第二个路径遍历漏洞（CVE-2024-55550），该漏洞使拥有管理员权限的已验证攻击者能够读取易受攻击服务器上的任意文件。然而，由于成功利用该漏洞无法提升权限，且可访问的文件不包含敏感系统信息，因此其影响有限。 今日，CISA已将这三个漏洞全部添加到其“已知被利用漏洞目录”中，并将其标记为正在被积极利用。根据2021年11月发布的《强制性操作指令》（BOD）22-01的要求，联邦民用行政部门（FCEB）机构必须在1月28日前的三周内确保其网络安全。 CISA周二表示：“此类漏洞是恶意网络行为者的常见攻击途径，对联邦机构构成重大风险。” 虽然“已知被利用漏洞”（KEV）目录主要关注向美国联邦机构发出有关应尽快修补漏洞的警报，但建议所有组织优先缓解这些安全漏洞，以阻止正在进行的攻击。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个以Mirai为基础的新型僵尸网络正逐渐变得更为复杂，现在正在利用工业路由器和智能家居设备安全漏洞的零日漏洞进行攻击。 据Chainxin X Lab研究人员监测，该僵尸网络的发展和攻击始于2024年11月，开始利用之前未知的漏洞。 其中一个安全问题是CVE-2024-12856，这是Four-Faith工业路由器的一个漏洞，VulnCheck在12月底发现，但注意到在12月20日左右已有人试图利用该漏洞。 该僵尸网络还依赖于针对Neterbit路由器和Vimar智能家居设备中未知漏洞的自定义漏洞利用程序。 它于去年2月被发现，目前拥有15,000个每日活跃僵尸节点，主要分布在中国、美国、俄罗斯、土耳其和伊朗。 其主要目标似乎是为了盈利而对指定目标进行分布式拒绝服务（DDoS）攻击，每天针对数百个实体，活动在2024年10月和11月达到高峰。 目标国家 该恶意软件利用20多个漏洞的公共和私有漏洞利用程序，传播到暴露在互联网上的设备，针对数字视频录像机（DVR）、工业和家庭路由器以及智能家居设备。 具体来说，它针对以下设备： ASUS路由器（通过N日漏洞利用程序） 华为路由器（通过CVE-2017-17215） Neterbit路由器（自定义漏洞利用程序） LB-Link路由器（通过CVE-2023-26801） Four-Faith工业路由器（通过现在被追踪为CVE-2024-12856的零日漏洞） PZT摄像机（通过CVE-2024-8956和CVE-2024-8957） Kguard DVR Lilin DVR（通过远程代码执行漏洞利用程序） 通用DVR（使用如TVT editBlackAndWhiteList RCE等漏洞利用程序） Vimar智能家居设备（可能使用未公开的漏洞） 各种5G/LTE设备（可能通过配置错误或弱凭据） 该僵尸网络具有针对弱Telnet密码的暴力破解模块，使用具有唯一签名的自定义UPX打包，并实现基于Mirai的命令结构，用于更新客户端、扫描网络和进行DDoS攻击。 X Lab报告称，该僵尸网络的DDoS攻击持续时间短，在10到30秒之间，但强度很高，流量超过100 Gbps，即使对于坚固的基础设施也会造成中断。 “攻击目标遍布全球，分布在各行各业，”X Lab解释说。 “攻击的主要目标分布在中国、美国、德国、英国和新加坡，”研究人员说。 总体而言，该僵尸网络展示了利用N日甚至零日漏洞在多种设备类型上保持高感染率的独特能力。 用户可以遵循一般建议来保护他们的设备，即安装来自供应商的最新设备更新，如果不需要则禁用远程访问，并更改默认管理帐户凭据。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 日本电子产品制造商卡西欧表示，2024年10月发生的勒索软件事件导致约8500人的个人信息被泄露。 受影响人员主要为卡西欧员工和商业合作伙伴，但泄露数据中还包括一小部分客户个人信息。 此次网络攻击发生在10月5日，勒索软件团伙利用钓鱼战术攻破了公司网络，导致IT系统瘫痪。 10月10日，地下勒索软件团伙声称对此次攻击负责，并威胁称，除非支付赎金，否则将披露机密文件、财务文件、项目信息及员工数据。 不久后，卡西欧确认地下团伙已窃取员工、合作伙伴和客户的个人数据，但当时未透露受影响人数。 随着调查结束，卡西欧现已公布数据泄露范围的全部细节。 公司最新公告列出以下泄露数据： 员工（6456人）：姓名、员工编号、电子邮件地址、所属部门、性别、出生日期、家庭信息、地址、电话号码、纳税人识别号及总部系统账户信息。 商业合作伙伴（1931人）：姓名、电子邮件地址、电话号码、公司名称、公司地址及部分人的身份证件信息。 客户（91人）：需要送货及安装的商品的送货地址、姓名、电话号码、购买日期及产品名称。 其他泄露数据：包括发票、合同及会议材料等在内的内部文件。 一旦确定受影响人员，卡西欧将向他们发送关于此次事件的个性化通知。 尽管一些员工收到疑似与勒索软件事件及敏感数据泄露相关的垃圾邮件，但公司表示，截至目前，他们、合作伙伴及客户均未遭受二次损害。 卡西欧特别指出，客户数据或信用卡信息未遭地下勒索软件团伙泄露，因为存储客户信息的数据库未受此次事件影响。 这家日本公司还明确表示，他们未与网络犯罪分子进行谈判。 卡西欧解释说：“在与执法机构、外部律师和安全专家协商后，卡西欧未对实施非法访问的勒索软件团伙提出的任何无理要求作出回应。” 至于受影响的服务，卡西欧表示，尽管部分服务尚未恢复，但大部分已恢复正常运行状态。 与此同时，虽然卡西欧的CASIO ID和ClassPad.net平台未被标记为勒索软件攻击的影响对象，但这两个服务在2024年10月也遭遇了另一起泄露事件。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，Illumina iSeq 100 DNA测序仪的固件存在安全漏洞。若该漏洞被成功利用，攻击者便可在易受攻击的设备上使其瘫痪或植入持久性恶意软件。 Eclypsium在向The Hacker News分享的一份报告中指出：“Illumina iSeq 100采用了非常过时的BIOS固件实现方式，使用了CSM（兼容性支持模式），且未启用安全启动或标准固件写保护。” “这将使系统上的攻击者能够覆盖系统固件，从而导致设备瘫痪或安装固件植入物，以实现攻击者的持续存在。” 尽管统一可扩展固件接口（UEFI）是基本输入输出系统（BIOS）的现代替代品，但这家固件安全公司表示，iSeq 100启动的是BIOS的旧版本（B480AM12 – 2018年4月12日），该版本存在已知漏洞。 值得注意的是，该设备还缺少指示硬件可以读取和写入固件位置的保护措施，从而允许攻击者修改设备固件。同时，安全启动也未启用，因此恶意更改固件的行为将不会被检测到。 DNA测序仪 Eclypsium指出，不建议新型高价值资产支持CSM，因为CSM主要用于无法升级且需要保持兼容性的旧设备。在负责任地披露漏洞后，Illumina已发布修复程序。 在假设的攻击场景中，攻击者可以瞄准未打补丁的Illumina设备，提升权限，并向固件写入任意代码。 这并不是Illumina的DNA基因测序仪首次披露严重漏洞。2023年4月，一个关键安全漏洞（CVE-2023-1968，CVSS评分：10.0）可能使攻击者能够窃听网络流量并远程传输任意命令。 “能够在iSeq 100上覆盖固件将使攻击者能够轻松禁用设备，在勒索软件攻击的背景下造成重大破坏。这不仅会使高价值设备停止服务，而且通过手动重新刷新固件来恢复设备也需要付出相当大的努力，”Eclypsium表示。 “在勒索软件或网络攻击的背景下，这可能会显著提高风险。测序仪对于检测遗传疾病、癌症、识别耐药细菌以及疫苗生产至关重要。因此，除了勒索软件行为者的传统财务动机外，这些设备还可能成为具有地缘政治动机的国家行为者的理想目标。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文