HackerNews

HackerNews 编译，转载请注明出处： 马萨诸塞州布罗克顿的Signature Healthcare医院在遭受网络攻击导致严重中断后，被迫分流救护车。 Signature Healthcare运营着拥有200张床位的布罗克顿社区医院，以及雇佣150多名医生、遍布15个地点的Signature医疗集团。 该医疗机构周一报告应对一起网络安全事件。住院护理和急诊 walk-in 服务保持开放，但救护车交通周二仍在分流。 “发现网络部分可疑活动后，我们立即启动事件响应程序。我们转入停机程序以确保高质量患者护理和安全，”Signature Healthcare声明。 虽然手术和程序未受影响，但化疗输液服务已取消，患者已收到Signature医疗集团和紧急护理诊所可能出现延误的通知。 其部分零售药店周一关闭，周二重新开放咨询，但无法配药。 该组织未确认是否为勒索软件攻击，攻击者动机仍不清楚。尚无已知勒索软件组织宣称对Signature Healthcare攻击负责，但此类网络犯罪团伙通常在谈判停滞或失败后才在网站上点名受害者，以施压支付赎金。 近年来，全球众多医疗机构遭受破坏性网络攻击。部分导致影响数十万甚至数百万人的数据泄露，部分事件甚至可能导致患者死亡，包括美国、德国和英国。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 人工智能公司Anthropic宣布推出名为”Project Glasswing”的网络安全新计划，将使用其前沿模型Claude Mythos的预览版发现和修复安全漏洞。 该模型将由包括AWS、苹果、博通、思科、CrowdStrike、谷歌、摩根大通、Linux基金会、微软、英伟达和Palo Alto Networks在内的少数组织使用，共同保护关键软件。 Anthropic表示，成立该计划是因其通用前沿模型展现出”超越除最熟练人类外所有人的软件漏洞发现和利用能力”的编码水平。出于网络安全能力及可能被滥用的担忧，Anthropic选择不公开发布该模型。 据称Mythos预览版已在各大操作系统和网页浏览器中发现数千个高严重性零日漏洞，包括OpenBSD中一个已修复的27年历史漏洞、FFmpeg中一个16年历史的缺陷，以及一个内存安全虚拟机监控器中的内存损坏漏洞。 Anthropic强调的一个案例中，Mythos预览版据称自主开发出网页浏览器利用程序，串联四个漏洞逃离渲染器和操作系统沙箱。Anthropic还在预览版的系统卡中指出，该模型解决了一个企业网络攻击模拟，而人类专家需要10小时以上才能完成。 最令人瞩目的发现是，Mythos预览版遵循评估研究人员的指令，成功逃离提供的安全”沙箱”计算机，显示出绕过自身防护的”潜在危险能力”。 该模型并未止步于此，还进一步采取一系列额外行动，包括设计多步骤利用程序从沙箱系统获取广泛互联网访问权限，并向正在公园吃三明治的研究人员发送电子邮件。 “此外，在一个令人担忧且未经要求的展示成功的努力中，它将其利用细节发布到多个难以找到但技术上公开的网站，”Anthropic表示。 该公司指出，Project Glasswing是在敌对行为体采用相同能力之前，将前沿模型能力用于防御目的的”紧急尝试”。Anthropic还承诺提供高达1亿美元的Mythos预览版使用额度，以及400万美元直接捐赠给开源安全组织。 “我们并未明确训练Mythos预览版具备这些能力，”Anthropic表示。”相反，它们是代码、推理和自主性普遍改进的下游结果。使模型在修补漏洞方面显著更有效的相同改进，也使其在利用漏洞方面显著更有效。” Mythos的消息上月泄露，因人为失误，模型详情被无意存储在公开可访问的数据缓存中。草稿材料将其描述为迄今为止构建的最强大、最有能力的AI模型。数日后，Anthropic遭遇第二次安全疏漏，意外暴露了近2000个源代码文件及Claude Code相关的超过50万行代码，持续约三小时。 该泄露还导致发现一个安全问题：当AI编码代理被呈现由超过50个子命令组成的命令时，可绕过某些防护。该问题已于上周在Claude Code 2.1.90版本中正式修复。 AI安全公司Adversa表示：”Claude Code是Anthropic的旗舰AI编码代理，在开发者机器上执行shell命令，当命令包含超过50个子命令时，会静默忽略用户配置的安全拒绝规则。配置’永不运行rm’的开发者会看到rm单独运行时被阻止，但如果在50个无害语句前运行相同的’rm’，则不受限制。安全策略悄然消失。” “安全分析消耗token。Anthropic的工程师遇到性能问题：检查每个子命令会冻结UI并消耗计算资源。他们的修复方案：50个后停止检查。他们用安全换取速度，用安全换取成本。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯全国银行应用和支付系统发生大规模故障，导致客户数小时内无法刷卡支付、提取现金或使用移动银行服务。据The Record Media报道，该事件影响包括Sberbank、VTB、Alfa-Bank、T-Bank和Gazprombank在内的主要银行，波及莫斯科等多个地区。 俄罗斯网站CNews报道：”VTB、Sberbank、T-Bank和Alfa-Bank的合计客户群达全国数千万人。显然，故障规模巨大，影响俄罗斯大部分地区。投诉数以千计。例如，仅一小时内就有超过3300起关于Sberbank故障的投诉。过去12小时内，35%的投诉来自莫斯科，圣彼得堡和斯维尔德洛夫斯克地区各占8%，新西伯利亚和车里雅宾斯克地区分别为7%和5%。” 媒体报道称，此次故障发生在俄罗斯收紧互联网控制、限制应用并打击VPN使用之际。 《基辅独立报》报道：”4月3日，根据在线追踪数据和客户报告，俄罗斯主要银行面临电子服务大规模中断。此次故障发生在俄罗斯政府日益收紧国内互联网访问控制之际，对流行应用施加限制并寻求遏制虚拟专用网络（VPN）的使用。” 4月3日的临时故障影响Sberbank并蔓延至其他主要银行，包括VTB Bank和T-Bank。从莫斯科时间上午10点左右开始，客户面临移动应用、转账和ATM取款问题，迫使许多商家仅接受现金，并在各城市造成长队。 俄罗斯国家支付卡系统表示，中断源于一家银行的技术故障，未影响资金。《生意人报》报道将其与Sberbank故障关联，可能在限制VPN计划后不久因VPN使用而恶化。 《基辅独立报》继续报道：”此次大规模故障发生在俄罗斯数字发展部长Maksut Shadayev于3月30日表示政府将努力’减少VPN使用’后不到一周——VPN是俄罗斯公民绕过网络审查的少数剩余方式之一。据报道，Shadayev在普京总统下令后，要求电信运营商和数字平台对使用VPN服务的用户收费并封禁。” 当地安全专家推测，封禁VPN可能导致4月3日的银行故障，在接受《生意人报》采访时将其描述为可能的”误伤”。自乌克兰战争爆发以来，俄罗斯当局稳步收紧网络审查，近月来限制加速。3月初，克里姆林宫引入白名单系统，在移动互联网中断期间仅允许访问选定的、多为亲政府网站。互联网关闭变得更加频繁，官方理由为针对乌克兰无人机攻击的安全措施。 The Record Media还报道，故障还影响公共交通，莫斯科地铁和郊区火车转门无法刷卡，迫使工作人员让乘客免费通过以避免拥挤。 截至周一，许多网站上的相关报道已基本消失。独立媒体称，俄罗斯互联网监管机构Roskomnadzor已下令各平台删除将银行故障与其VPN封禁努力关联的内容。 消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Noma Security最新研究显示，Grafana AI组件处理信息的方式存在漏洞，可能允许攻击者绕过应用防护并泄露企业信息。 Grafana是一款开源分析和可视化应用，从各种来源摄取数据，通常对企业数据拥有广泛访问权限，包括财务指标、基础设施、客户信息和遥测数据。 新发现的GrafanaGhost漏洞允许攻击者绕过客户端保护和安全防护栏，将私有数据链接至外部服务器，在后台无需用户交互即可暴露敏感信息。 攻击者可通过在用户与条目日志交互时针对Grafana的AI功能利用该弱点。后台恶意提示触发问题，将Grafana转变为外泄载体。 为发动攻击，威胁行为体需制作指向外部资源的路径。经Grafana处理后，条目日志为攻击者提供对企业环境的访问权限。 随后，攻击者使用隐藏在外部上下文中的间接提示，指示Grafana的AI助手忽略其防护栏并渲染外部图像，迫使系统确认外部URL。 当AI助手尝试渲染图像时，会向攻击者服务器发出请求，受害者数据作为URL参数一并发送。”系统尝试显示图像时数据即泄露，”Noma表示。 该网络安全公司发现，问题在于攻击者可通过猜测数据结构和模型”伪造任何使用Grafana的公司路径”。此外，攻击者可使用应用数据存储中保存提示的位置。 从那里，攻击者可通过制作相应提示，滥用Grafana通过图像标签外泄数据。虽然Grafana设有阻止从外部域加载图像的保护措施，但验证图像URL的函数存在缺陷，可被利用绕过保护。 AI模型也设有防止注入包含图像Markdown提示的防护栏，但Noma发现关键词”intent”可用于绕过保护，向模型发出指令合法的讯号。 “将这些发现串联起来，我们实现了零用户交互的自动数据外泄。数据外泄完全在后台进行。对数据团队、DevSecOps或CISO而言，这看起来像是数据可视化的平常一天，”Noma指出，并补充Grafana在接到通知后立即修复了这些弱点。 BeyondTrust副首席信息安全官Bradley Smith表示，使用间接提示注入通过渲染内容外泄数据是众所周知的攻击向量，针对加固Grafana部署的可利用性尚不明确。 “实际可利用性很大程度上取决于部署细节：AI功能是否启用、是否存在出口控制、环境如何处理外部数据摄取。这不是Grafana的通用绕过；而是演示当AI组件处理不受信任输入且缺乏足够架构控制时可能发生的情况，”Smith表示。 Acalvio首席执行官Ram Varadarajan表示，GrafanaGhost表明AI的广泛采用已将防御转移到应用层之外，需要网络级URL阻断和加固AI以防范提示注入。 “最终，该漏洞证明边界控制不足。保护AI驱动工具的唯一方式是从监控代理被告知的内容，转向对其实际行为进行运行时行为监控，”Varadarajan表示。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Ninja Forms文件上传高级插件存在关键漏洞，允许未经认证上传任意文件，可导致远程代码执行。 该漏洞编号CVE-2026-0740，目前正遭攻击利用。据WordPress安全公司Defiant称，其Wordfence防火墙过去24小时已拦截超过3600次攻击。 Ninja Forms是一款拥有超60万次下载的流行WordPress表单构建器，让用户无需编码即可使用拖放界面创建表单。其文件上传扩展同属该套件，服务9万客户。 CVE-2026-0740漏洞严重性评分9.8（满分10分），影响Ninja Forms文件上传3.3.26及之前版本。 据Wordfence研究人员称，该缺陷源于对目标文件名文件类型/扩展名缺乏验证，允许未经认证的攻击者上传任意文件（包括PHP脚本），还可操纵文件名实现路径遍历。 Wordfence解释：”该函数在易受攻击版本的移动操作前，未对目标文件名进行任何文件类型或扩展名检查。这意味着不仅可上传安全文件，还可上传.php扩展名文件。由于未使用文件名清理，恶意参数还便于路径遍历，允许将文件甚至移动到网站根目录。” “这使未经认证的攻击者能够上传任意恶意PHP代码，然后访问文件以在服务器上触发远程代码执行。” 利用的潜在后果严重，包括部署Web shell和完全接管网站。 发现与修复 该漏洞由安全研究员Sélim Lanouar（whattheslime）发现，于1月8日提交至Wordfence漏洞赏金计划。 验证后，Wordfence同日向供应商披露完整细节，并通过防火墙规则向客户推送临时缓解措施。 经补丁审查及2月10日的部分修复后，供应商于3月19日发布3.3.27版本的完整修复。 鉴于Wordfence每日检测到数千次利用尝试，强烈建议Ninja Forms文件上传用户优先升级至最新版本。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客正在利用开源平台Flowise中的最高严重性漏洞CVE-2025-59528执行任意代码。Flowise用于构建自定义大语言模型应用和代理系统。 该漏洞允许在无任何安全检查的情况下注入JavaScript代码，去年9月公开披露时警告称，成功利用可导致命令执行和文件系统访问。 问题出在Flowise的CustomMCP节点，该节点允许配置设置连接外部模型上下文协议（MCP）服务器，并不安全地评估用户的mcpServerConfig输入。在此过程中，它可在未先验证安全性的情况下执行JavaScript。 开发者在Flowise 3.0.6版本中修复了该问题。最新当前版本为3.1.1，两周前发布。 Flowise是一款开源低代码平台，用于构建AI代理和基于大语言模型的工作流。它提供拖放界面，让用户将组件连接成驱动聊天机器人、自动化和AI系统的管道。 其用户群体广泛，包括从事AI原型开发的开发者、使用无代码工具集的非技术用户，以及运营客户支持聊天机器人和知识库助手的公司。 漏洞情报公司VulnCheck安全研究员Caitlin Condon在LinkedIn宣布，其Canary网络检测到CVE-2025-59528的利用活动。 Condon警告：”今天清晨，VulnCheck的Canary网络开始首次检测到CVE-2025-59528的利用活动，这是Flowise（开源AI开发平台）中CVSS评分10分的任意JavaScript代码注入漏洞。” 虽然活动目前看似有限，源自单一Starlink IP，但研究人员警告称，目前约有1.2万至1.5万个Flowise实例暴露于互联网。 然而，尚不清楚其中有多少比例是易受攻击的Flowise服务器。 Condon指出，观察到的CVE-2025-59528相关活动之外，还涉及CVE-2025-8943和CVE-2025-26319——两者同样影响Flowise，且均已观察到野外主动利用。 目前，VulnCheck仅向其客户提供利用样本、网络签名和YARA规则。 建议Flowise用户尽快升级至3.1.1版本，或至少3.0.6版本。如无需外部访问，还应考虑将实例从公共互联网移除。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Fortinet周末紧急发布补丁，修复FortiClient企业管理系统（EMS）中已被作为零日利用的漏洞。 该关键级别漏洞编号CVE-2026-35616（CVSS评分9.1），被描述为访问控制不当问题，可被利用实现远程代码执行（RCE）。 据Fortinet公告，远程攻击者可向易受攻击的FortiClient EMS发送特制请求触发该漏洞。成功利用无需认证。 “Fortinet已观察到该漏洞遭野外利用，”公司警告。 周六，Fortinet宣布为FortiClient EMS 7.4.5和7.4.6版本提供热修复程序，并指出7.2版本不受影响。公司还发布了关于如何下载应用热修复程序及验证修复是否完成的详细说明。 “即将发布的FortiClientEMS 7.4.7也将包含对此问题的修复。与此同时，上述热修复程序足以完全防止该漏洞，”Fortinet表示。 公司将发现并报告该漏洞归功于”Defused”。据该网络安全公司称，该漏洞允许未经认证的攻击者绕过API认证和授权。 “本周早些时候观察到该漏洞遭野外利用后，Defused通过负责任披露向Fortinet报告，”该网络安全公司周六表示。 非营利组织Shadowserver基金会称，已观察到约2000个可从互联网访问的FortiClient EMS实例。这些实例可能面临利用新零日漏洞及CVE-2026-21643的攻击风险——后者是最近修补的SQL注入漏洞，已被利用超过一周。 攻击面管理公司WatchTowr称，自3月31日起观察到利用活动，”似乎是全面升级前的早期探测”。 WatchTowr首席执行官兼创始人Benjamin Harris表示：”令人失望的是更大的图景。这是几周内FortiClient EMS第二个未经认证的漏洞。因此，运行FortiClient EMS并暴露于互联网的组织应再次将其视为应急响应情况，而非周二早上才处理的事情。立即应用热修复。攻击者已经领先。” 周一，美国网络安全机构CISA将CVE-2026-35616加入其已知被利用漏洞（KEV）目录，敦促联邦机构在4月9日前完成修补。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软表示，网络犯罪团伙Storm-1175（以部署Medusa勒索软件载荷闻名）一直在高速攻击中利用N日和零日漏洞。 该网络犯罪团伙迅速转向针对新安全漏洞以获取受害者网络访问权限，部分漏洞在一天内即被武器化，某些情况下甚至在补丁发布前一周就开始利用。 微软称：”Storm-1175从初始访问到数据外泄和Medusa勒索软件部署进展迅速，通常仅需数天，某些情况下24小时内即可完成。该威胁行为体的高运营节奏和识别暴露外围资产的能力已被证明是成功的，近期入侵严重影响医疗组织，以及澳大利亚、英国和美国的教育、专业服务和金融部门。” 微软还观察到Storm-1175运营者链接多个漏洞，通过创建新用户账户、部署远程监控管理软件、窃取凭证、禁用安全软件，然后投放勒索软件载荷，在受感染系统上获得持久化。 10月，微软报告称Storm-1175在Medusa勒索软件攻击中利用最高严重性的GoAnywhere MFT漏洞（CVE-2025-10035）超过一周，该漏洞随后才被修补。 Storm-1175作为零日利用的另一漏洞是CVE-2026-23760，SmarterTools的SmarterMail邮件服务器和协作工具中的认证绕过。 微软补充：”虽然这些近期攻击展示了Storm-1175进化的开发能力或获取漏洞经纪人等新资源的途径，但值得注意的是GoAnywhere MFT此前已被勒索软件攻击者针对，且SmarterMail漏洞据称与先前披露的缺陷相似。这些因素可能有助于促进Storm-1175随后的零日利用活动，该组织仍主要利用N日漏洞。” 在近期活动中，Storm-1175已利用10款软件产品中的16个以上漏洞，包括Microsoft Exchange（CVE-2023-21529）、Papercut（CVE-2023-27351和CVE-2023-27350）、Ivanti Connect Secure和Policy Secure（CVE-2023-46805和CVE-2024-21887）、ConnectWise ScreenConnect（CVE-2024-1709和CVE-2024-1708）。 微软还观察到其利用JetBrains TeamCity（CVE-2024-27198和CVE-2024-27199）、SimpleHelp（CVE-2024-57726、CVE-2024-57727和CVE-2024-57728）、CrushFTP（CVE‑2025‑31161）、SmarterMail（CVE-2025-52691）和BeyondTrust（CVE-2026-1731）的漏洞。 2025年3月，CISA与FBI及多州信息共享与分析中心（MS-ISAC）发布联合公告，警告Medusa勒索软件团伙的攻击已影响美国300多个关键基础设施组织。 2024年7月，微软还将Storm-1175威胁组织与另外三个网络犯罪团伙关联，指其利用VMware ESXi认证绕过漏洞发动Black Basta和Akira勒索软件攻击。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 德国联邦警察局（BKA）确认两名俄罗斯公民为2019年至2021年间GandCrab和REvil勒索软件组织的领导者。 据BKA披露，31岁的Daniil Maksimovich Shchukin和43岁的Anatoly Sergeevitsch Kravchuk”至少从2019年初至2021年7月”担任这两个勒索软件团伙的头目。 Shchukin多年来以UNKN/UNKNOWN为化名，在网络犯罪论坛发帖并作为勒索软件运营代表发言。 德国当局称，Shchukin和Kravchuk至少参与了130起针对德国企业的勒索案件。攻击后，至少25名受害者向Shchukin及其同伙支付220万美元赎金，而他们造成的总财务损失估计超过4000万美元。 GandCrab于2018年初出现，其头目于2019年6月宣布”退休”，声称已从赎金支付中赚取20亿美元。该头目套现1.5亿美元，声称已投资于合法企业。 不久后，名为REvil的新组织出现，沿用GandCrab建立的联盟模式，通过广告和与网络犯罪分子建立伙伴关系运营。 REvil（又称Sodinokibi）由前GandCrab联盟成员和运营者组成，他们已掌握成功战术并开始应用于自身运营。REvil后来增设公开泄露网站并运营数据拍卖以施压受害者。知名受害者包括多个得克萨斯州地方政府、电脑巨头宏碁，以及影响约1500名下游受害者的Kaseya供应链攻击。 大规模Kaseya黑客事件后，REvil休整两个月，期间执法部门入侵其服务器并开始监控运营。当时记录了多次基础设施中断，2022年1月中旬，俄罗斯逮捕了十余名REvil团伙成员，他们于2025年因信用卡诈骗指控服刑期满后获释。 目前尚不清楚Shchukin或Kravchuk在REvil于2021年覆灭后是否加入其他勒索软件组织。 BKA认为Shchukin和Kravchuk现位于俄罗斯，呼吁公众分享可能有助于确定其下落的任何信息。相关条目也已创建在欧盟头号通缉犯门户网站上。 警方分享了多张照片，包括纹身照片，以帮助追踪这两名威胁行为体并将其绳之以法。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一名安全研究人员因对微软安全响应中心（MSRC）处理漏洞披露流程不满，公开了未修补Windows权限提升漏洞的利用代码，攻击者可借此获取SYSTEM或提升的管理员权限。 该漏洞被命名为BlueHammer，由化名Chaotic Eclipse的研究人员发布。由于该安全问题尚无官方补丁，按微软定义属于零日漏洞。 目前尚不清楚触发公开泄露的原因。Chaotic Eclipse在简短帖子中表示：”我之前不是虚张声势威胁微软，现在再来一次。与之前不同，我不解释原理了，各位天才自己琢磨。另外，非常感谢MSRC领导层让这一切成为可能。” 4月3日，Chaotic Eclipse以Nightmare-Eclipse为别名发布了BlueHammer漏洞利用的GitHub仓库，对微软处理安全问题的方式表示难以置信和沮丧。 “我真想知道他们决策背后的逻辑，明知道会发生这种事还照做不误？他们是认真的吗？” 研究人员还指出，概念验证（PoC）代码包含可能阻止其可靠运行的漏洞。 Tharros（原Analygence）首席漏洞分析师Will Dormann向BleepingComputer确认BlueHammer利用有效，称该漏洞是本地权限提升（LPE），结合了TOCTOU（检查时间到使用时间）和路径混淆。 他解释该问题不易利用，可使本地攻击者访问安全账户管理器（SAM）数据库——其中包含本地账户的密码哈希。获得此访问权限后，攻击者可提升至SYSTEM权限，可能实现机器完全沦陷。 Dormann告诉BleepingComputer：”到那时，攻击者基本拥有系统控制权，可以生成SYSTEM权限的shell。” 部分测试该利用的研究人员确认，代码在Windows Server上未成功，证实了Chaotic Eclipse关于代码存在漏洞可能阻止正常运行的说法。 Will Dormann补充，在Server平台上，BlueHammer利用可将权限从非管理员提升至提升的管理员——这是一种需要用户临时授权需要完全系统访问权限操作的保护机制。 尽管Chaotic Eclipse/Nightmare-Eclipse披露的原因仍不确定，Dormann指出MSRC提交漏洞时的一项要求是提供利用视频。虽然这可能帮助微软更轻松地筛选报告漏洞，但增加了提交有效报告的工作量。 尽管BlueHammer需要本地攻击者才能利用，其风险仍然重大，因为黑客可通过多种途径获取本地访问权限，包括社交工程、利用其他软件漏洞或基于凭证的攻击。 BleepingComputer已联系微软就BlueHammer漏洞置评，但截至发稿未获回复。     消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 多伦多大学研究团队开发出一种名为GPUBreach的新型攻击，可通过在GPU GDDR6内存上诱导Rowhammer位翻转来提升权限，最终导致系统完全沦陷。 GPUBreach的完整细节将于4月13日在奥克兰举行的IEEE安全与隐私研讨会上公布。 研究人员证明，GDDR6中的Rowhammer诱导位翻转可损坏GPU页表（PTE），向无特权的CUDA内核授予任意GPU内存读写权限。 攻击者随后可利用NVIDIA驱动中的内存安全漏洞，将此链接至CPU端权限提升，可能在无需禁用输入输出内存管理单元（IOMMU）保护的情况下实现系统完全沦陷。 IOMMU是一种硬件单元，用于防范直接内存攻击，通过管理每个设备可访问的内存区域来控制和限制设备访问内存的方式。 尽管IOMMU是防范大多数直接内存访问（DMA）攻击的有效措施，但无法阻止GPUBreach。 研究人员解释：”GPUBreach表明，GPU Rowhammer攻击已从数据损坏升级为真正的权限提升。通过损坏GPU页表，无特权CUDA内核可获得任意GPU内存读写权限，然后利用NVIDIA驱动中新发现的内存安全漏洞，将此能力链接至CPU端提升。结果是实现系统范围的沦陷直至root shell，且无需禁用IOMMU，与当代研究不同，使GPUBreach成为更强大的威胁。” 同一研究团队此前曾展示GPUHammer——首个证明GPU Rowhammer攻击切实可行的研究，促使NVIDIA向用户发出警告，并建议激活系统级纠错码缓解措施以阻止GDDR6内存上的此类尝试。 然而，GPUBreach将威胁提升至新高度，表明不仅可能损坏数据，还可能在IOMMU启用的情况下获取root权限。 研究人员以配备GDDR6的NVIDIA RTX A6000 GPU为例展示结果，该型号广泛用于AI开发和训练工作负载。 披露与缓解措施 多伦多大学研究人员于2025年11月11日向NVIDIA、谷歌、AWS和微软报告了发现。 谷歌确认报告并向研究人员授予600美元漏洞赏金。 NVIDIA表示可能更新其2025年7月的现有安全公告，以纳入新发现的攻击可能性。 正如研究人员所证明，如果GPU控制的内存能够损坏受信任的驱动状态，仅靠IOMMU是不够的，因此面临风险的用户不应仅依赖该安全措施。 纠错码（ECC）内存有助于纠正单位翻转并检测双位翻转，但对多位翻转不可靠。 最终，研究人员强调，对于无ECC的消费级GPU，GPUBreach完全无法缓解。 研究人员将于4月13日发布其工作的完整细节，包括技术论文及GitHub仓库（含复现包和脚本）。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据Fortinet FortiGuard Labs观察，疑似与朝鲜民主主义人民共和国（DPRK）关联的威胁行为体正在利用GitHub作为命令控制（C2）基础设施，对韩国组织实施多阶段攻击。 攻击链以混淆的Windows快捷方式（LNK）文件为起点，投放诱饵PDF文档和PowerShell脚本，为下一阶段攻击做准备。据评估，这些LNK文件通过钓鱼邮件分发。 载荷下载后，受害者看到PDF文档，同时恶意PowerShell脚本在后台静默运行。该脚本扫描虚拟机、调试器和取证工具相关运行进程以抵抗分析，检测到任一进程即立即终止。 否则，脚本提取Visual Basic脚本（VBScript），通过计划任务设置持久化——每30分钟在隐藏窗口启动PowerShell载荷以规避检测，确保系统每次重启后自动执行。 随后，PowerShell脚本分析受感染主机，将结果保存至日志文件，并使用硬编码访问令牌外泄至”motoralis”账户创建的GitHub仓库。该活动创建的GitHub账户还包括”God0808RAMA”、”Pigresy80″、”entire73″、”pandora0009″和”brandonleeodd93-blip”等。 脚本随后解析同一GitHub仓库中的特定文件以获取额外模块或指令，使运营者能够利用GitHub等平台的信任关系混入其中，维持对受感染主机的持久控制。 Fortinet表示，该活动早期迭代曾依赖LNK文件传播Xeno RAT等恶意软件家族。值得注意的是，去年ENKI和Trellix曾记录利用GitHub C2分发Xeno RAT及其变种MoonPeak的攻击，这些攻击被归因于朝鲜国家支持的组织Kimsuky。 安全研究员Cara Lin表示：”威胁行为体不依赖复杂的定制恶意软件，而是使用原生Windows工具进行部署、规避和持久化。通过最小化投放PE文件的使用并利用LolBins，攻击者能够以低检测率瞄准广泛受众。” 此次披露恰逢AhnLab详细介绍Kimsuky类似的基于LNK的感染链，最终导致基于Python的后门部署。 LNK文件如前所述执行PowerShell脚本，在”C:\windirr”路径创建隐藏文件夹以存放载荷，包括诱饵PDF和另一个伪装成Hangul文字处理器（HWP）文档的LNK文件。同时还部署中间载荷以设置持久化并启动PowerShell脚本，后者使用Dropbox作为C2通道获取批处理脚本。 批处理文件随后从远程服务器（”quickcon[.]store”）下载两个独立的ZIP文件片段，合并为单一档案，从中提取XML任务调度器和Python后门。任务调度器用于启动植入程序。 该基于Python的恶意软件支持下载额外载荷并执行C2服务器发出的命令，可运行shell脚本、列出目录、上传/下载/删除文件，以及运行BAT、VBScript和EXE文件。 这些发现也恰逢ScarCruft从传统LNK攻击链转向基于HWP OLE的投放器以投递RokRAT——该远控木马为朝鲜黑客组织独家使用。据S2W称，具体而言，恶意软件作为OLE对象嵌入HWP文档，通过DLL侧加载执行。 这家韩国安全公司表示：”与之前从LNK投放BAT脚本到shellcode的攻击链不同，本案例证实使用新开发的投放器和下载器恶意软件来投递shellcode和ROKRAT载荷。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 代号REF1695的牟利运营自2023年11月起利用虚假安装程序部署远控木马（RAT）和加密货币挖矿程序。Elastic Security Labs研究人员本周分析指出，除挖矿外，威胁行为体还通过CPA欺诈获利，以软件注册为幌子诱导受害者访问内容锁定页面。 近期攻击迭代还投递了此前未记录的.NET植入程序CNB Bot。攻击利用ISO文件作为感染媒介，投递受.NET Reactor保护的加载器及文本文件，明确指示用户点击”更多信息”和”仍要运行”以绕过Microsoft Defender SmartScreen对未识别应用的防护。 该加载器调用PowerShell配置广泛的Microsoft Defender杀毒排除项以规避检测，并在后台启动CNB Bot。同时向用户显示错误信息：”无法启动应用。您的系统可能不符合所需规格。请联系支持。” CNB Bot作为加载器，具备下载执行额外载荷、自我更新、卸载及清理痕迹的功能，通过HTTP POST请求与C2服务器通信。 威胁行为体的其他活动利用类似ISO诱饵部署PureRAT、PureMiner及定制.NET版XMRig加载器，后者连接硬编码URL提取挖矿配置并启动挖矿载荷。 与近期FAUX#ELEVATE活动类似，合法签名但存在漏洞的Windows内核驱动”WinRing0x64.sys”被滥用以获取内核级硬件访问权限，修改CPU设置提升算力。该功能于2019年12月加入XMRig挖矿程序。 Elastic还识别出另一场导致SilentCryptoMiner部署的活动。该挖矿程序除使用直接系统调用规避检测外，还禁用Windows睡眠和休眠模式，通过计划任务设置持久化，并使用”Winring0.sys”驱动微调CPU进行挖矿。 攻击另一关键组件为看门狗进程，确保恶意构件和持久化机制在被删除时恢复。据估计，该活动在四个追踪钱包中累计获取27.88 XMR（9392美元），表明运营为攻击者带来稳定财务回报。 “除C2基础设施外，威胁行为体滥用GitHub作为载荷分发CDN，在两个已识别账户中托管分阶段二进制文件，”Elastic表示，”该技术将下载执行步骤从运营者控制的基础设施转移至可信平台，降低检测阻力。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Cisco发布更新修复集成管理控制器（IMC）关键安全漏洞，成功利用可使未经认证的远程攻击者绕过认证，以提升权限访问系统。 该漏洞编号CVE-2026-20093，CVSS评分9.8（满分10.0）。 Cisco在周三发布的公告中表示：”该漏洞源于密码更改请求处理不当。攻击者可通过向受影响设备发送特制HTTP请求利用该漏洞。成功利用可使攻击者绕过认证，更改系统任意用户（包括管理员）密码，并以该用户身份访问系统。” 安全研究员”jyh”因发现并报告该漏洞获得致谢。该缺陷影响以下产品，与设备配置无关： 5000系列企业网络计算系统（ENCS）——已在4.15.5版本修复 Catalyst 8300系列边缘uCPE——已在4.18.3版本修复 独立模式下UCS C-Series M5和M6机架服务器——已在4.3(2.260007)、4.3(6.260017)和6.0(1.250174)版本修复 UCS E-Series服务器M3——已在3.2.17版本修复 UCS E-Series服务器M6——已在4.15.3版本修复 Cisco修复的另一关键漏洞影响Smart Software Manager本地版（SSM On-Prem），可使未经认证的远程攻击者在底层操作系统执行任意命令。漏洞CVE-2026-20160（CVSS评分9.8）源于内部服务意外暴露。 Cisco表示：”攻击者可通过向暴露服务的API发送特制请求利用该漏洞。成功利用可使攻击者在底层操作系统以root权限执行命令。” 该漏洞修复补丁已发布于Cisco SSM On-Prem 9-202601版本。Cisco称该漏洞在处理Cisco技术援助中心（TAC）支持案例时内部发现。 尽管两漏洞均未遭野外利用，但近期披露的多个Cisco产品安全缺陷已被威胁行为体武器化。在尚无变通方案的情况下，建议客户更新至修复版本以获得最佳防护。 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Drift协议在一场精心策划的复杂攻击中损失至少2.8亿美元，威胁行为体夺取了其安全委员会管理权限。 平台解释称，攻击者利用持久随机数账户和预签名交易延迟执行，在选定时间精准发动攻击。 Drift强调，黑客并未利用其程序或智能合约的任何漏洞，且未泄露任何助记词。 Drift协议是基于Solana区块链构建的DeFi交易平台，作为非托管交易所，用户在与链上市场交互时完全掌控自己的资金。 截至2024年底，该平台声称拥有20万交易者，支持总交易量超550亿美元，日峰值达1300万美元。 据Drift报告，盗窃案于3月23日至30日间准备，攻击者设置持久随机数账户，并从安全委员会成员处获得2/5多签批准以满足所需阈值。 这使其能够预签名恶意交易，但不立即执行。 4月1日，攻击者执行一笔合法交易，随即执行预签名的恶意交易，在数分钟内将管理控制权转移至自身。 获得管理控制权后，他们引入恶意资产，移除提款限制，最终耗尽资金。 Drift协议估计损失约2.8亿美元，而区块链追踪账户PeckShieldAlert计算损失为2.85亿美元。 检测到协议异常活动后，Drift向用户发出公开警告，称已启动调查，并敦促用户在进一步通知前不要存入任何资金。 攻击导致借贷存款、金库存款和交易资金受影响，所有协议功能现已基本冻结。Drift表示DSOL未受影响，保险基金资产安全。 平台现正与安全公司、加密货币交易所及执法部门合作，追踪并冻结被盗资金。 Drift承诺将在未来几天发布详细的事后分析报告。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： AI招聘公司Mercor披露受到近期LiteLLM供应链攻击影响，此前勒索团伙声称窃取了4TB数据。 LiteLLM事件发生于3月27日，是一周前Trivy供应链攻击的连锁反应。LiteLLM在事件描述中指出：”我们认为入侵源于CI/CD安全扫描工作流中使用的Trivy依赖。” TeamPCP黑客组织利用被盗的维护者凭证，发布了两个恶意LiteLLM PyPI包版本（1.82.7和1.82.8），可供下载约40分钟。 LiteLLM估计存在于36%的云环境中，尽管暴露窗口看似短暂，但恶意包版本可能已被数千家公司自动下载，包括Mercor。 这家初创公司周三表示：”我们最近发现，我们是受LiteLLM供应链攻击影响的数千家公司之一。我们的安全团队迅速采取行动控制和修复事件。我们正在领先第三方取证专家的支持下进行全面调查。” 虽然公司未披露具体影响，但Lapsus$勒索团伙周一已在其泄露网站上列出Mercor，声称窃取超4TB数据。 Lapsus$正在拍卖这些信息，据称包括候选人档案、个人身份信息、雇主数据、用户账户和凭证、视频面试、专有信息、源代码、密钥和秘密，以及TailScale VPN数据。 据报道，TeamPCP近期已与Lapsus合作，将其广泛供应链活动中获取的数据和访问权限变现，因此该勒索团伙将Mercor列入泄露网站并不意外。但Mercor尚未确认Lapsus 的声明。 SecurityWeek已向Mercor发送邮件寻求置评，如获回复将更新本文。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场大规模凭证收集行动被观察到利用React2Shell漏洞作为初始感染媒介，大规模窃取数据库凭证、SSH私钥、亚马逊云服务（AWS）密钥、shell命令历史、Stripe API密钥及GitHub令牌。 Cisco Talos将该行动归因于其追踪的威胁集群UAT-10608。活动已入侵至少766台主机，横跨多个地理区域和云服务提供商。 安全研究员Asheer Malhotra和Brandon White在报告发布前与The Hacker News分享称：”入侵后，UAT-10608利用自动化脚本从各类应用提取并外泄凭证，随后发布至其命令控制（C2）服务器。C2托管名为’NEXUS Listener’的Web图形界面，可用于查看窃取信息，并通过预编译统计获取凭证收集和主机入侵的分析洞察。” 该行动评估针对易受CVE-2025-55182（CVSS评分10.0）攻击的Next.js应用——这是React服务器组件和Next.js应用路由器的关键漏洞，可导致远程代码执行——获取初始访问权限，随后投放NEXUS Listener收集框架。 通过投放器部署多阶段收集脚本，从受感染系统收集各类详情：环境变量、JS运行时JSON解析环境、SSH私钥和authorized_keys、shell命令历史、Kubernetes服务账户令牌、Docker容器配置（运行容器、镜像、暴露端口、网络配置、挂载点和环境变量）、API密钥、通过查询AWS、谷歌云和微软Azure实例元数据服务获取的IAM角色关联临时凭证，以及运行进程。 该网络安全公司表示，受害者范围广泛且不加选择的攻击模式与自动化扫描一致，可能利用Shodan、Censys或定制扫描器等服务，识别公开可访问的Next.js部署并探测漏洞。 该框架核心为受密码保护的Web应用，通过图形界面向运营者提供所有窃取数据，具备搜索功能以筛选信息。 Talos称：”应用包含多项统计列表，包括入侵主机数量及从主机成功提取的各类凭证总数。Web应用允许用户浏览所有被入侵主机，还列出应用自身运行时间。” NEXUS Listener当前版本为V3，表明该工具在达到当前阶段前经历了大量开发迭代。 Talos从某未认证NEXUS Listener实例获取的数据包含Stripe、人工智能平台（OpenAI、Anthropic和NVIDIA NIM）、通信服务（SendGrid和Brevo）的API密钥，以及Telegram机器人令牌、webhook密钥、GitHub和GitLab令牌、数据库连接字符串及其他应用密钥。 广泛的数据收集行动凸显不法分子如何将入侵主机的访问权限武器化以发动后续攻击。建议组织审计环境以强制执行最小权限原则，启用密钥扫描，避免重复使用SSH密钥对，在所有AWS EC2实例上强制实施IMDSv2，如怀疑遭入侵则轮换凭证。 研究人员表示：”除单个凭证的直接运营价值外，聚合数据集代表了受害者组织基础设施的详细图谱：运行哪些服务、如何配置、使用哪些云提供商、有哪些第三方集成。该情报对策划定向后续攻击、社交工程活动或向其他威胁行为体出售访问权限具有重要价值。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： WhatsApp近日发现一款恶意伪造应用，针对约200名用户（主要在意大利）。平台确认该非官方客户端含间谍软件，由意大利公司Asigint开发——该公司是SIO Spa的子公司，以向执法和政府机构提供监控工具闻名。 WhatsApp声明：”我们的安全团队识别出约200名用户（主要在意大利），我们认为他们可能下载了这款非官方有害客户端。我们已将其登出并提醒隐私和安全风险。我们相信这是一次针对有限用户的社会工程尝试，目的是诱导他们安装冒充WhatsApp的有害软件，可能意图获取设备访问权限。今日，WhatsApp已对Asigint采取行动，这是一家由Sio Spa控制的意大利间谍软件公司，制造了WhatsApp伪造版本。我们相信该恶意客户端背后的个人使用社会工程技术，诱骗人们下载伪装成WhatsApp的非官方有害应用。”这家Meta集团旗下公司表示，打算”向该间谍软件公司发送正式法律通知，要求其停止一切有害活动”。 受影响用户已被迅速登出并通知潜在隐私和安全风险。WhatsApp建议他们移除伪造应用并重新安装官方版本，强调该事件不涉及WhatsApp本身的漏洞；合法应用的端到端加密保持完好。 据WhatsApp称，攻击者依赖社会工程技术，诱骗用户安装假冒应用——该应用未在苹果App Store或Google Play等官方数字商店上架。这种方式表明这是一场高度针对性的活动，可能是更广泛调查的一部分，而非大规模分发攻击。 据意大利通讯社ANSA报道，这家Meta集团旗下平台表示：”重要的是澄清，这不是WhatsApp的漏洞；端到端加密继续保护使用官方WhatsApp应用的用户通信。我们相信该恶意客户端背后的个人使用社会工程技术，说服人们下载伪装成WhatsApp的非官方有害应用，可能意图获取设备访问权限。我们打算向该间谍软件公司发送正式法律通知，要求其停止任何有害活动。” SIO通过Asigint在政府级间谍软件开发领域历史悠久。2025年TechCrunch报道曾将SIO与Spyrtacus关联——一系列伪装成WhatsApp及其他流行应用的恶意安卓应用。Spyrtacus允许攻击者从设备提取敏感数据，包括消息、通讯录和通话记录，以及通过麦克风和摄像头监控用户。 WhatsApp发言人解释，公司计划向Asigint发出正式法律要求，请求其停止所有恶意活动。平台强调，根据法律追究间谍软件开发者责任，是保护用户免受定向攻击的关键部分。WhatsApp此前曾取得开创性成果，根据美国法律追究一家商业间谍软件公司试图监控用户移动设备的责任。 该事件凸显了数字监控的更广泛趋势：使用伪造应用作为间谍工具。网络安全专家指出，此类战术在针对个人进行情报或执法目的的活动中很常见。 我向ANSA表示：”伪造WhatsApp活动展示了现代社会工程技术的复杂性，攻击者利用用户对流行软件的信任获取敏感设备访问权限。” SIO自称是利用先进技术重新定义人机交互的软件开发人员和架构师团队。据其网站，公司与执法机构、政府组织和情报机构密切合作，在该领域拥有30多年经验。伪造WhatsApp案例凸显了在情报领域运营的公司如何以无意或故意的方式针对私人用户，引发伦理和法律问题。 虽然攻击的全部范围仍不清楚，但WhatsApp的主动响应凸显了警惕的重要性。强烈建议用户仅从官方渠道下载应用，并对可疑链接或提示保持警觉，尤其是处理消息或银行应用时。 该案例还展示了意大利及全球数字安全面临的不断演变的挑战，间谍软件开发者越来越多地使用伪造应用绕过传统防御并利用用户信任。尽管大多数受影响者为意大利人，但教训适用于任何使用广泛信任应用的人。意识和及时更新是应对此类定向威胁的基本防御手段。 总之，WhatsApp-Asigint事件提醒我们，以隐私为导向的平台与以监控为导向的行为体之间正在持续进行军备竞赛。虽然端到端加密保护合法应用用户，但攻击者将继续探索间接方法（如伪造应用）来规避防护措施。警惕、法律问责和及时的用户教育仍是缓解这些复杂威胁的最有效工具。 消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 周三，玩具和游戏巨头孩之宝报告称遭到网络攻击，部分公司业务流程受到干扰。 在提交给美国证券交易委员会（SEC）的文件中，该公司表示于 3 月 28 日检测到网络遭未经授权访问。作为事件应对措施的一部分，部分系统已下线。 目前公司正在外部网络安全专家的协助下展开调查。调查的目标之一是确定此次攻击的全面影响，包括是否有文件遭到泄露。 孩之宝称：“公司已实施并将继续实施业务连续性计划，以便在解决这一情况期间能够持续接单、发货并开展其他关键业务。” 该公司还补充道：“在情况完全解决之前，这些临时措施可能需要持续运行数周，这可能会导致一些延误。” 从孩之宝对此次安全事件的简短描述来看，可能有网络犯罪组织以部署文件加密勒索软件和窃取数据的方式对其发起攻击。 目前尚无已知的勒索组织宣称对攻击孩之宝负责。不过，此次入侵几天前才被发现，而网络犯罪团伙通常需要更长时间才会将受害者信息列在其数据泄露网站上，一般是在谈判失败或陷入僵局之时。 孩之宝表示正在保障系统安全，并将根据调查结果采取包括通知相关方等其他行动。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一款名为 CrystalRAT 的新型恶意软件即服务（MaaS）正在 Telegram 上推广，具备远程访问、数据窃取、键盘记录以及剪贴板劫持等功能。 该恶意软件于 1 月现身，采用分层订阅模式。除 Telegram 频道外，这款 MaaS 还通过专门的营销频道在 YouTube 上进行推广，展示其功能。 卡巴斯基研究人员在今日发布的报告中指出，这款恶意软件与 WebRAT（Salat 窃取器）极为相似，包括相同的控制界面设计、基于 Go 语言的代码以及类似的基于机器人的销售系统。 CrystalX 详细信息 卡巴斯基表示，该恶意软件提供了一个用户友好的控制面板和一个支持定制选项的自动生成工具，定制选项包括地理封锁、可执行文件定制以及反分析功能（反调试、虚拟机检测、代理检测等）。 生成的有效载荷经过 zlib 压缩，并使用 ChaCha20 对称流密码进行加密保护。 该恶意软件通过 WebSocket 连接到命令与控制（C2）服务器，并发送主机信息用于分析和感染追踪。 卡巴斯基发现，CrystalX 的数据窃取组件因准备升级暂时禁用，它通过 ChromeElevator 工具针对基于 Chromium 内核的浏览器、Yandex 浏览器和 Opera 浏览器进行攻击。此外，该工具还从 Steam、Discord 和 Telegram 等桌面应用程序收集数据。 其远程访问模块可用于通过 CMD 执行命令、上传 / 下载文件、浏览文件系统，以及通过内置的 VNC 实时控制主机。 该恶意软件还具有间谍软件的特性，能够通过麦克风捕获视频和音频。 最后，CrystalX 具备实时将按键记录传输到 C2 服务器的键盘记录器，以及使用正则表达式检测剪贴板中的钱包地址，并将其替换为攻击者提供地址的剪贴板劫持工具。 融入 “趣味” 元素 在众多恶意软件即服务产品中，CrystalX 的独特之处在于其丰富的恶搞功能。 据卡巴斯基介绍，该恶意软件可在受感染设备上执行以下操作： 更改桌面壁纸 将屏幕显示旋转至不同角度 强制系统关机 重新映射鼠标按键 禁用输入设备（键盘 / 鼠标 / 显示器） 显示虚假通知 改变屏幕上的光标位置 隐藏各种组件（桌面图标、任务栏、任务管理器和命令提示符可执行文件） 提供攻击者与受害者的聊天窗口 虽然上述功能无法提升网络犯罪分子攻击的盈利潜力，但确实使该产品独具特色，可能会吸引脚本小子和低技能 / 初级威胁行为者订阅。 加入恶搞功能的另一个原因，可能是在数据窃取模块在后台运行时，能够操纵甚至分散受害者的注意力。 为降低恶意软件感染风险，建议用户在浏览网络内容时保持谨慎，避免从未经信任或非官方来源下载软件或媒体文件。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文