Aggregator

微软OneDrive AI面部扫描功能默认开启，默认情况下会扫描用户存储的照片并识别人脸信息进行分组。用户每年最多可禁用此功能3次，默认情况下将扫描用户存储的照片并识别人脸信息进行分组。当用户禁用此功能后面部识别信息将在 30 天内被永久删除。

嗯，用户让我帮忙总结一篇文章，控制在一百个字以内，而且不需要用“文章内容总结”之类的开头。首先，我需要明确用户的需求是什么。看起来他们可能是在寻找一个简洁明了的摘要，可能是为了快速了解文章内容或者用于某种报告中。 然后，用户提供的示例是关于“错误代码521”的总结。这让我想到，用户可能是在处理网络相关的问题，或者是在学习如何解决常见的技术问题。所以，他们可能需要一个清晰、直接的解释，帮助他们快速理解这个错误代码的含义和解决方法。 接下来，我应该考虑如何在一百个字以内准确传达关键信息。错误代码521通常与Cloudflare有关，表示服务器无法连接到源站。因此，总结中需要提到这一点，并说明可能的原因和解决方法。比如，检查服务器状态、网络连接、防火墙设置等。 另外，用户可能希望这个总结能够直接使用在他们的工作中或学习中，所以语言需要简洁明了，避免使用过于专业的术语，但又要足够准确。同时，不需要任何开头语句，直接进入主题。 最后，在总结时要确保涵盖所有重要点：错误代码的含义、原因以及解决方法。这样用户在阅读后能够迅速采取行动解决问题。 错误代码521通常由Cloudflare引发，表示服务器无法连接到源站。常见原因包括源站IP不可达、防火墙限制或网络配置问题。解决方法包括检查源站状态、确认防火墙设置以及排查网络连接异常。

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一款名为 “ChaosBot” 的新型 Rust 语言后门恶意软件细节。该软件可让攻击者对受感染主机执行侦察操作，并运行任意命令。 “威胁行为体利用了已泄露的凭据，这些凭据既关联思科虚拟专用网络，也关联一个权限过高的活动目录账户，该账户名为‘serviceaccount’。”网络安全公司eSentire在上周发布的技术报告中表示，“攻击者通过这个泄露的账户，利用 WMI在网络中的多台设备上远程执行命令，为 ChaosBot 的部署与运行创造了条件。” 这家加拿大网络安全公司称，其首次发现该恶意软件是在 2025 年 9 月末，当时它存在于某金融服务客户的网络环境中。 ChaosBot 的显著特点是滥用 Discord作为命令与控制（C2）通道。它的命名源于背后攻击者所维护的 Discord 账号 —— 该攻击者的网络昵称是 “chaos_00019”，负责向受感染设备下发远程命令。此外，还有一个关联 C2 操作的 Discord 用户账号为 “lovebb0024”。 除此之外，研究人员还观察到，该恶意软件会通过 “含恶意 Windows 快捷方式（.lnk 文件）的钓鱼邮件” 进行传播。若收件人打开该.lnk 文件，系统会执行一条 PowerShell 命令，下载并运行 ChaosBot；同时会显示一个伪装成 “越南国家银行合法函件” 的诱饵 PDF 文件，以此转移用户注意力。 ChaosBot 的有效载荷是一个恶意动态链接库（DLL 文件，名为 “msedge_elf.dll”），它通过 “Microsoft Edge的‘identity_helper.exe’程序” 实现侧载， 即借助合法程序加载恶意 DLL。加载完成后，该恶意软件会执行系统侦察，并下载 “快速反向代理”，在目标网络中建立反向代理通道，从而持续保持对受感染网络的访问权限。 研究人员还发现，攻击者曾试图通过该恶意软件配置 “Visual Studio Code Tunnel”，将其作为额外后门以实现命令执行功能，但最终未成功。不过，ChaosBot 的核心功能仍是与 “攻击者创建的 Discord 频道” 交互，以接收进一步指令。 以下是 ChaosBot 支持的部分命令： shell：通过 PowerShell 执行 shell 命令 scr：捕获受害者设备的屏幕截图 download：向受害者设备下载文件 upload：将文件上传至 Discord 频道 eSentire 指出：“ChaosBot 的新变种采用了规避技术，可绕过 ETW（Windows 事件跟踪）和虚拟机检测。”“第一种技术是修补‘ntdll!EtwEventWrite’函数的前几条指令；第二种技术是检查系统的 MAC 地址，将其与 VMware、VirtualBox 等虚拟机已知的 MAC 地址前缀进行比对，若匹配则立即退出运行。” 在 ChaosBot 被披露的同时，Fortinet FortiGuard Labs也详细介绍了一款基于 C++ 语言编写的 Chaos 勒索软件新变种。该变种新增了两项关键功能：一是 “破坏性删除”—— 对大型文件进行不可恢复的删除；二是 “剪贴板劫持”—— 将受害者剪贴板中的比特币地址替换为攻击者控制的钱包地址，从而拦截加密货币转账。 该公司表示：“这种‘破坏性删除 + 隐蔽财务盗窃’的双重策略，标志着 Chaos 勒索软件已演变为更具攻击性的多面威胁，其设计目的就是最大化获取经济利益。” 通过整合 “破坏性勒索手段” 与 “针对加密货币盗窃的剪贴板劫持”，攻击者试图将这款 Chaos-C++ 勒索软件打造成一款强力工具：它不仅能加密文件，还能删除所有大小超过 1.3GB 的文件，并为财务欺诈提供便利。 Chaos-C++ 勒索软件的下载器会伪装成 “System Optimizer v2.1” 等虚假实用工具，诱骗用户安装。值得注意的是，Chaos 勒索软件的早期版本曾伪装成OpenAI ChatGPT 和 InVideo AI进行传播。 该勒索软件启动后，会首先检查系统中是否存在名为 “% APPDATA%\READ_IT.txt” 的文件 —— 该文件是勒索软件 “已在当前设备执行过” 的标识。若文件存在，勒索软件会进入监控模式，持续监视系统剪贴板内容；若文件不存在，则会先检查自身是否以 管理员权限”运行： 若获得管理员权限，会先执行一系列命令禁用系统恢复功能（防止用户通过系统还原恢复文件）； 随后启动加密流程：对大小低于 50MB 的文件进行完整加密，对大小在 50MB 至 1.3GB 之间的文件则跳过（推测是为提升攻击效率）。 Fortinet 指出：“Chaos-C++ 并非单纯依赖完整文件加密，而是采用了‘对称加密 / 非对称加密 + 备用 XOR 加密算法’的组合方式；其多功能下载器也确保了恶意程序能成功执行。这些设计共同提升了该勒索软件的攻击稳定性，使其更难被阻断。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

3 Private Equity Firms Kick the Tires, But Proposed Price Wasn't to Snyk's Liking
Slowing growth, continued losses and increased competition have turned a Snyk IPO into an increasingly unlikely prospect. The Information reported this month that Snyk has spoken with at least three private equity firms about a potential deal, but has been unable to reach an agreement on price.

Medusa Group Tied to Attack on SimonMed and Threats to Leak Stolen Data
Two radiology practices are notifying nearly 1.5 million people of separate hacking incidents compromising their sensitive health information. Cybercrime gang Medusa claimed credit for attacking Arizona-based SimonMed Imaging in January and threatened to leak the stolen data of nearly 1.3 million patients on the darkweb.

Dutch Ministry Invokes National Security Law to Impose Domestic Control
The Dutch government said it is severing semiconductor chipmaker Nexperia from control by its Chinese parent after invoking a national security law allowing it to impose domestic control. Partially Chinese state-controlled Wingtech Technologies acquired a three quarters stake in Nexperia in 2018.

Today's Hapless Hackers Are Tomorrow's Threat, Warns Forescout
A pro-Russian hacktivist group boasted on Telegram that it hacked a Western water treatment plant - but actually succeeded in attacking a honeypot left by security researchers at Forescout, the firm said. TwoNet appears to have ceased operations on Sept. 30.

EU Justice and Home Affairs Council Halts Voting, Sees Opposition
A European content scanning proposal intended to enhance online child safety stalled after German lawmakers voiced opposition and member states canceled a planned vote on the measure's adoption. The EU Justice and Home Affairs Council was set to vote Tuesday on Chat Control.

文章描述：文章讨论了错误代码521的原因及解决方法，指出该错误通常由Cloudflare与目标服务器连接问题引起，并提供了检查网络配置、联系主机提供商等解决方案以帮助用户恢复正常访问。

HackerNews 编译，转载请注明出处： 网络安全研究人员正提请关注一场新型攻击活动：该活动传播的 Astaroth银行木马，将 GitHub 用作其运营的核心基础设施，即便自身基础设施遭下架，仍能保持 “抗打击能力”。 “攻击者不再单纯依赖易被下架的传统命令与控制（C2）服务器，而是利用 GitHub 仓库托管恶意软件配置文件，” 迈克菲实验室（McAfee Labs）研究人员哈希尔・帕特尔与普拉布德・查克拉沃蒂在一份报告中表示，“当执法部门或安全研究人员关停其 C2 基础设施时，Astaroth只需从 GitHub 获取新的配置文件，就能继续运行。” 据这家网络安全公司透露，当前攻击活动主要集中在巴西；不过已知该银行木马还会针对拉丁美洲多个国家，包括墨西哥、乌拉圭、阿根廷、巴拉圭、智利、玻利维亚、秘鲁、厄瓜多尔、哥伦比亚、委内瑞拉和巴拿马。 Astaroth针对巴西发起攻击并非首次。2024 年 7 月和 10 月，谷歌与趋势科技曾先后发出警告，提及两个名为 “PINEAPPLE”（菠萝）和 “Water Makara”（水摩伽罗）的威胁团伙，它们通过钓鱼邮件传播该恶意软件。 最新的攻击链流程与此类似：同样以 “DocuSign（电子签名平台）” 为主题的钓鱼邮件为起点，邮件中包含一个链接，点击后会下载一个压缩的 Windows 快捷方式（.lnk 文件）；打开该文件后，阿斯塔罗斯木马便会安装到受感染的主机中。 该.lnk 文件内嵌经过混淆处理的 JavaScript 代码，其作用是从外部服务器获取额外的 JavaScript 脚本。而新获取的 JavaScript 代码则会从多个预先硬编码的服务器中随机选择一个，下载多个文件。 这其中包括一个 AutoIt 脚本，该脚本由 JavaScript 有效载荷执行；随后脚本会加载并运行一段外壳代码，这段外壳代码再加载一个基于 Delphi 语言编写的动态链接库，最终解密 Astaroth恶意软件，并将其注入到新创建的 “RegSvc.exe” 进程中。 Astaroth是一款基于 Delphi 语言开发的恶意软件，其设计目的是监控受害者访问的银行或加密货币网站，并通过键盘记录窃取用户凭据。捕获到的信息会通过 Ngrok 反向代理传输给攻击者。 该木马的具体运作方式为：每秒检查一次当前活跃的浏览器程序窗口，判断是否打开了与银行相关的网站。若满足上述条件，恶意软件便会 “挂钩”（hook）键盘事件，记录用户的按键操作。以下是部分被针对的网站： caixa.gov [.] br（巴西联邦储蓄银行官网） safra.com[.] br（巴西萨夫拉银行官网） itau.com[.] br（巴西伊塔乌联合银行官网） bancooriginal.com[.] br（巴西奥里金纳银行官网） santandernet.com[.] br（巴西桑坦德银行官网） btgpactual [.] com（巴西 BTG 百利宫投资银行官网） etherscan [.] io（以太坊区块链浏览器） binance [.] com（币安加密货币交易所） bitcointrade.com[.] br（巴西比特币交易平台） metamask [.] io（MetaMask 加密货币钱包） foxbit.com[.] br（巴西 Foxbit 加密货币交易所） localbitcoins [.] com（本地比特币交易平台） Astaroth还具备反分析能力：若检测到模拟器、调试器及各类分析工具（如 QEMU 客户机代理、HookExplorer 调试工具、IDA Pro 反编译工具、ImmunityDebugger 调试器、PE Tools 可执行文件分析工具、WinDbg 调试器、Wireshark 抓包工具等），便会自动停止运行。 该恶意软件通过在 Windows “启动” 文件夹中放置一个.lnk 文件来实现主机持久化 —— 系统重启时，该.lnk 文件会运行 AutoIt 脚本，自动启动恶意软件。此外，不仅.lnk 文件中 JavaScript 访问的初始 URL 设有地理围栏（仅特定地区可访问），恶意软件还会检查目标设备的系统区域设置，确保其不为英语或美国区域。 迈克菲指出：“当 C2 服务器无法访问时，Astaroth会利用 GitHub 更新配置 —— 它将配置信息隐藏在 GitHub 上托管的图片中，通过隐写术实现‘明处藏秘’。” 通过这种方式，恶意软件借助合法平台（GitHub）托管配置文件，并在主 C2 服务器失效时，将其转化为具备抗打击能力的备用基础设施。迈克菲表示，已与微软旗下的 GitHub 合作移除了相关仓库，暂时遏制了该恶意软件的运营活动。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

微软因Chakra引擎零日漏洞攻击限制Microsoft Edge IE模式访问，用户需手动添加目标网站域名至白名单才能启用IE模式。此举旨在降低黑客通过钓鱼网站利用漏洞控制设备的风险，提升安全性。

谷歌浏览器更新通知功能，自动撤销不活跃网站的通知权限以减少骚扰。活跃指用户经常点击通知，数据显示仅1%的通知被点击。此举旨在优化浏览体验并减少干扰。

A vulnerability marked as problematic has been reported in Linux Kernel up to 6.12.1. Affected is the function device_for_each_child. The manipulation leads to improper update of reference count. This vulnerability is referenced as CVE-2024-53237. The attack needs to be initiated within the local network. No exploit is available. It is suggested to upgrade the affected component.

A vulnerability was found in Linux Kernel up to 6.11.10/6.12.1. It has been rated as problematic. This affects the function usb_kill_anchored_urbs of the component btmtk. Performing manipulation results in null pointer dereference. This vulnerability is identified as CVE-2024-53238. The attack can only be performed from the local network. There is not any exploit available. Upgrading the affected component is advised.

A vulnerability classified as problematic was found in Linux Kernel up to 6.11.10/6.12.1. This issue affects the function xsk_build_skb. Such manipulation leads to excessive iteration. This vulnerability is documented as CVE-2024-53236. The attack requires being on the local network. There is not any exploit available. Upgrading the affected component is advised.

A vulnerability identified as problematic has been detected in Linux Kernel up to 6.6.63/6.11.10/6.12.1. This affects the function iomap_iter_done of the component erofs. Performing manipulation results in privilege escalation. This vulnerability was named CVE-2024-53234. The attack needs to be approached within the local network. There is no available exploit. You should upgrade the affected component.

A vulnerability labeled as critical has been found in Linux Kernel up to 6.12.1. This impacts the function fuse_read_args_fill of the component erofs. Executing manipulation can lead to null pointer dereference. The identification of this vulnerability is CVE-2024-53235. The attack needs to be done within the local network. There is no exploit available. The affected component should be upgraded.

A vulnerability categorized as problematic has been discovered in Linux Kernel up to 6.1.119/6.6.63/6.11.10/6.12.1. The impacted element is the function utf8_load of the file kernel/module/main.c of the component unicode. Such manipulation leads to privilege escalation. This vulnerability is uniquely identified as CVE-2024-53233. The attack can only be initiated within the local network. No exploit exists. It is advisable to upgrade the affected component.

A vulnerability was found in Linux Kernel up to 6.1.119/6.6.63/6.11.10/6.12.1. It has been declared as critical. Impacted is the function cpufreq_cpu_get_raw. The manipulation results in null pointer dereference. This vulnerability is known as CVE-2024-53231. Access to the local network is required for this attack. No exploit is available. It is recommended to upgrade the affected component.

A vulnerability was found in Linux Kernel up to 6.11.10/6.12.1. It has been rated as problematic. The affected element is the function __iommu_group_set_domain_nofail of the component s390. This manipulation causes state issue. This vulnerability is handled as CVE-2024-53232. The attack can only be done within the local network. There is not any exploit available. Upgrading the affected component is advised.