HackerNews

HackerNews 编译，转载请注明出处： 威胁行为者正利用钓鱼邮件分发带有恶意程序的附件，其攻击目标疑似俄罗斯和白俄罗斯的国防领域。 根据 Cyble 与 Seqrite 实验室的多份报告，该攻击行动旨在向已攻陷的主机植入一个持久化后门。该后门将 OpenSSH 与定制化的 Tor 隐藏服务结合使用，且通过 obfs4 技术对流量进行混淆处理。 Seqrite 将此活动命名为 Operation SkyCloak。据悉，钓鱼邮件会以军事文件相关内容作为诱饵，诱使收件人打开一个 ZIP 压缩包。该压缩包内含一个隐藏文件夹（其中包含另一个压缩文件），以及一个 Windows 快捷方式（LNK 文件）；一旦打开该快捷方式，便会触发多阶段感染链。 安全研究员萨特维克・拉姆・普拉基与卡蒂克库马尔・吉瓦尼表示：“这些快捷方式会触发 PowerShell 命令，而这些命令构成了初始投放阶段；除 LNK 文件外，另一个压缩文件会被用于搭建完整的感染链。” 他们补充称，这些压缩文件已于 2025 年 10 月从白俄罗斯上传至 VirusTotal 平台。 其中一个中间模块是 PowerShell 加载器，它主要负责执行反分析检查以规避沙箱环境，同时会将一个 Tor 洋葱地址（“yuknkap4im65njr3tlprnpqwj4h7aal4hrn2tdieg75rpp6fx25hqbyd [.] onion”）写入文件 “hostname” 中，该文件路径为 “C:\Users < 用户名 >\AppData\Roaming\logicpro\socketExecutingLoggingIncrementalCompiler\”。 在反分析检查环节，恶意软件会验证两个条件：一是系统中近期存在的 LNK 文件数量大于或等于 10 个，二是当前进程数量大于或等于 50 个。若任一条件未满足，PowerShell 将立即终止执行。 Cyble 指出：“这些检查是恶意软件感知环境的机制。与真实用户工作站相比，沙箱环境通常用户生成的快捷方式更少，进程活动也更弱。” 一旦通过环境检查，脚本会显示存储在上述 “logicpro” 文件夹中的 PDF 诱饵文档，同时通过创建一个名为 “githubdesktopMaintenance” 的计划任务来实现持久化。该任务会在用户登录后自动运行，并于每天协调世界时（UTC）10:21 定期执行。 该计划任务旨在启动 “logicpro/githubdesktop.exe”，而此文件实则是 “sshd.exe” 的重命名版本 ——“sshd.exe” 是与 Windows 版 OpenSSH 相关联的合法可执行文件。这一操作能让威胁行为者搭建 SSH 服务，且该服务仅允许与存储在同一 “logicpro” 文件夹中的预部署授权密钥进行通信。 除通过 SFTP 启用文件传输功能外，恶意软件还会创建第二个计划任务，配置为执行 “logicpro/pinterest.exe”。这是一个定制化的 Tor 二进制文件，用于创建隐藏服务；该服务会通过 obfs4 混淆网络流量，与攻击者的.onion 地址通信。此外，它还会为远程桌面协议（RDP）、SSH、服务器消息块（SMB）等多个关键 Windows 服务配置端口转发，以便通过 Tor 网络访问系统资源。 一旦连接成功建立，恶意软件会先窃取系统信息，再通过 curl 命令发送一个唯一的.onion URL 主机名（用于标识已攻陷的系统）。当威胁行为者通过命令与控制（C2）信道接收到受害者的.onion URL 后，便能最终获得对已攻陷系统的远程访问权限。 目前尚不清楚该攻击行动的幕后主体，但两家安全厂商均表示，其特征与针对国防及政府领域、且与东欧相关的间谍活动相符。Cyble 以中等置信度评估认为，此次攻击与乌克兰计算机应急响应小组（CERT-UA）追踪的威胁行为者 “UAC-0125” 此前发起的行动，存在战术重叠。 该公司补充道：“攻击者通过隐蔽的 Tor 服务访问 SSH、RDP、SFTP 和 SMB，既能实现对系统的完全控制，又能隐藏自身身份。所有通信均通过预安装的加密密钥，定向到匿名地址进行传输。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国联邦检察官指控三名嫌疑人于 2023 年 5 月至 11 月期间，利用 BlackCat勒索软件入侵五家美国公司的网络，并对其实施勒索。 这三名嫌疑人均为美国公民，分别是瑞安・克利福德・戈德堡、凯文・泰勒・马丁，以及一名居住在佛罗里达州、身份未公开的同谋者（代号 “同谋者 1”）。 他们被指针对以下企业发起攻击：佛罗里达州坦帕市的一家医疗设备公司、马里兰州的一家制药公司、加利福尼亚州的一间医生诊所、加利福尼亚州的一家工程公司，以及弗吉尼亚州的一家无人机制造商。 《芝加哥太阳时报》于上周末率先报道了这一起诉案，称事件发生时，马丁与 “同谋者 1” 正受雇于一家名为 DigitalMint 的公司，担任勒索软件威胁谈判员；而戈德堡则是网络安全公司 Sygnia 的事件响应经理。 目前这三人已不再受雇于上述公司。DigitalMint 与 Sygnia 均表示，已就此事配合执法部门调查。2025 年 7 月，彭博社曾报道，美国联邦调查局（FBI）正调查 DigitalMint 的一名前员工，怀疑其从勒索软件付款中抽取分成。 根据起诉书内容，戈德堡、马丁及该同谋者被指控蓄意合谋，通过以下方式 “谋取私利”：未经授权访问受害者的网络或计算机、窃取数据、在受害者系统中植入 “黑猫” 勒索软件以索要加密货币付款，并瓜分非法所得。具体攻击事件包括： 2023 年 5 月 13 日左右，被告攻击上述医疗设备公司，索要约 1000 万美元赎金。该公司最终支付了当时价值约 127.4 万美元的虚拟货币。 2023 年 5 月左右，被告攻击上述制药公司，索要金额未公开的赎金。 2023 年 7 月左右，被告攻击上述医生诊所，索要约 500 万美元赎金。 2023 年 10 月左右，被告攻击上述工程公司，索要约 100 万美元赎金。 2023 年 11 月左右，被告攻击上述无人机制造商，索要约 30 万美元赎金。 据悉，被告未能从其他受害者处勒索到资金。目前马丁已提出无罪抗辩；但法庭记录显示，戈德堡在接受 FBI 讯问时供认，他受该未公开同谋者招募，参与 “尝试向部分公司勒索赎金”，且实施攻击是为了偿还债务。第三名嫌疑人（同谋者 1）尚未被起诉。 戈德堡与马丁均被控三项罪名：合谋通过勒索干扰跨州商业活动、通过勒索干扰跨州商业活动，以及故意破坏受保护计算机。若罪名成立，两人最高可面临 50 年联邦监禁。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员揭示了两款不同的安卓木马 ——BankBot-YNRK 与 DeliveryRAT，它们能够从受感染设备中窃取敏感数据。 据对 BankBot-YNRK 三个不同样本展开分析的 CYFIRMA（安全公司）介绍，该恶意软件具备规避分析的功能：首先会检测自身是否运行在虚拟化或仿真环境中，随后提取设备制造商、型号名称等信息，确认是否处于真实设备上。 BankBot-YNRK 还会检测设备是否为 OPPO 品牌，或是否运行 ColorOS 系统。 CYFIRMA 表示：“该恶意软件还包含识别特定设备的逻辑，会验证设备是否为谷歌 Pixel 或三星机型，并检查其型号是否在预设的‘已识别 / 支持型号列表’中。这使得恶意软件仅对目标设备启用特定功能或优化，避免在未识别型号上执行。” 传播该恶意软件的 APK 安装包名称如下。三款应用均以 “IdentitasKependudukanDigital.apk” 命名，这一名称疑似试图仿冒印尼官方应用 “数字居民身份”（Identitas Kependudukan Digital）。 com.westpacb4a.payqingynrk1b4a com.westpacf78.payqingynrk1f78 com.westpac91a.payqingynrk191a 恶意应用安装后，设计用途包括窃取设备信息，并将音乐、铃声、通知等各类音频流音量调至零，防止受影响用户收到来电、短信及其他应用内通知的提醒。 该恶意软件还会与远程服务器（“ping.ynrkone [.] top”）建立通信，收到 “OPEN_ACCESSIBILITY”（开启辅助功能）指令后，会诱导用户启用辅助功能以实现自身目的，包括获取更高权限及执行恶意操作。 不过，该恶意软件仅能针对安卓 13 及以下版本设备发起攻击。2023 年底推出的安卓 14 新增了一项安全功能，禁止通过辅助功能自动申请或授予应用额外权限。 CYFIRMA 指出：“在安卓 13 及以前版本中，应用可通过辅助功能绕过权限请求；但在安卓 14 中，这种行为已无法实现，用户必须通过系统界面直接授予权限。” BankBot-YNRK 利用安卓的 JobScheduler 服务在设备上实现持久化，确保设备重启后仍能启动。它还支持多种指令，可获取设备管理员权限、管理应用、与设备交互、通过 MMI 代码转接来电、拍摄照片、执行文件操作，以及窃取联系人、短信、位置信息、已安装应用列表和剪贴板内容。 该恶意软件的其他部分功能如下： 通过程序篡改应用名称与图标仿冒 “谷歌新闻”，并通过 WebView（网页视图）打开 “news.google [.] com”； 捕获屏幕内容，重建银行应用等程序的 “框架 UI”（skeleton UI），为窃取账号密码提供便利； 滥用辅助功能打开预设列表中的加密货币钱包应用，自动执行 UI 操作以收集敏感数据并发起未授权交易； 获取 62 款待攻击金融应用的列表； 显示 “个人信息正在验证” 的悬浮提示，同时执行恶意操作，包括为自身申请额外权限、将自身添加为设备管理员应用。 CYFIRMA 表示：“BankBot-YNRK 具备全面功能，旨在对受感染安卓设备实现长期控制、窃取金融数据并执行欺诈交易。” 与此同时，F6（安全机构）披露，威胁分子正分发 DeliveryRAT 的更新版本，以外卖服务、电商平台、银行服务及包裹追踪应用为伪装，针对俄罗斯安卓用户。据评估，这一移动威胁自 2024 年年中起开始活跃。 这家俄罗斯安全公司称，该恶意软件通过 “恶意软件即服务”（MaaS）模式传播，依托名为 “Bonvi Team” 的 Telegram 机器人，用户可通过该机器人获取 APK 文件或分发恶意软件的钓鱼链接。 随后，威胁分子会通过 Telegram 等即时通讯工具联系受害者，以 “跟踪虚假电商平台订单” 或 “获取远程工作机会” 为由，诱导受害者下载恶意应用。无论采用何种方式，该应用都会请求获取通知权限与电池优化设置权限，以便收集敏感数据并在后台持续运行而不被终止。 此外，这款恶意应用还能访问短信与通话记录，并在手机桌面启动器（home screen launcher）中隐藏自身图标，导致非技术用户难以将其从设备中卸载。 部分版本的 DeliveryRAT 还具备发起分布式拒绝服务（DDoS）攻击的能力，具体方式包括：向外部服务器传输的 URL 链接发送并发请求，或诱导用户扫描二维码以捕获数据。 这两款安卓恶意软件家族的发现，恰逢 Zimperium（移动安全公司）发布一份报告。该报告显示，自 2024 年 4 月以来，已发现超 760 款安卓应用滥用近场通信（NFC）技术，非法获取支付数据并发送给远程攻击者。 这些仿冒金融应用的虚假程序会诱导用户将其设为默认支付方式，同时利用安卓的主机卡模拟（HCE）功能，窃取非接触式信用卡及支付数据。 这些信息会被传输至威胁分子运营的 Telegram 频道或专用监听应用（tapper app）。随后，被盗 NFC 数据会被用于即时从用户账户提现，或在销售点（PoS）终端消费。 这家移动安全公司表示：“已有约 20 家机构被仿冒，主要是俄罗斯的银行与金融服务机构，同时也包括巴西、波兰、捷克共和国及斯洛伐克的机构。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 不法分子正将目标日益聚焦于货运与物流公司，试图通过植入远程监控管理（RMM）软件非法牟利，最终实现货物盗窃。 据 安全公司Proofpoint调查，该威胁团伙至少自 2025 年 6 月起开始活跃。他们与有组织犯罪集团合作，入侵陆路运输行业相关机构，核心目标是窃取实体货物。在这类 “网络赋能型盗窃” 中，食品饮料类商品是最主要的被盗对象。 研究人员奥莱・维拉德森与塞莱娜・拉森在一份提交给The Hacker News的报告中表示：“被盗货物很可能通过网络销售或运至海外。在已观测到的攻击活动中，攻击者会先入侵企业，再利用非法获取的权限竞标真实货运订单，最终完成盗窃。” 与历史攻击的关联与差异 此次攻击活动与 2024 年 9 月披露的一系列攻击存在相似性 —— 当时攻击者针对北美运输物流公司，使用 Lumma Stealer、StealC、NetSupport RAT 等信息窃取工具与远程访问木马（RAT）实施入侵。但目前尚无证据表明两类攻击出自同一威胁团伙。 在 Proofpoint 此次监测到的入侵浪潮中，身份不明的攻击者采用了多种攻击手段： 劫持已泄露的电子邮件账户，接管现有对话； 向资产型承运人、货运经纪公司及综合供应链服务商发送钓鱼邮件； 利用被入侵的账户在货运信息平台（load boards）发布虚假货运信息。 报告指出：“攻击者通过被盗账户在货运平台发布虚假订单，再向咨询这些订单的承运人发送含恶意链接的邮件。这种手段利用了货运谈判中固有的信任关系与时效性压力。” 攻击实施流程与工具滥用 毫不意外，邮件中的恶意链接会指向带有陷阱的 MSI 安装程序或可执行文件（EXE），这些文件会部署 ScreenConnect、SimpleHelp、PDQ Connect、Fleetdeck、N-able、LogMeIn Resolve 等合法 RMM 工具。在部分案例中，攻击者会组合使用多款工具，例如通过 PDQ Connect 投放并安装 ScreenConnect 与 SimpleHelp。 一旦获取远程访问权限，攻击者会先开展系统与网络侦察，随后植入 WebBrowserPassView 等凭证窃取工具，获取更多账号密码，进一步渗透企业内网。 在至少一起案例中，攻击者还滥用获取的权限：删除现有货运订单、屏蔽调度员通知；将自己的设备添加到调度员电话分机；以被入侵承运人的名义预订货运订单，并协调运输流程。 RMM 工具被滥用的核心原因 使用 RMM 软件对攻击者而言有多重优势： 无需自行开发定制恶意软件，降低技术门槛； 这类工具在企业环境中广泛应用，可帮助攻击者 “隐身”，通常不会被安全解决方案标记为恶意程序。 Proofpoint 早在 2025 年 3 月就曾指出：“攻击者创建并传播受控的远程监控工具相当容易。由于这些工具常被用作合法软件，终端用户对安装 RMM 工具的警惕性，往往低于对其他远程访问木马的警惕性。此外，这类工具的安装程序通常带有数字签名，属于合法载荷，因此可能避开杀毒软件或网络检测。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软发布修复程序后，一组此前未被发现的 Windows 图形设备接口（GDI）漏洞得以曝光。这些漏洞可被用于远程代码执行与信息泄露。 漏洞与格式异常的增强型图元文件（EMF）及 EMF + 记录相关，会在图像渲染过程中导致内存损坏。该发现进一步揭示了 Windows 图形处理相关的攻击面范围。 这三个漏洞已在 2025 年 5 月、7 月、8 月的 “周二补丁日” 更新中被纳入修复，目前已完成深度分析。 漏洞存在于 Windows 对 GDI 操作的处理流程中，尤其涉及负责处理矢量图形、文本及打印操作的 GdiPlus.dll 和 gdi32full.dll 文件。研究人员通过针对 EMF 格式的模糊测试（fuzzing），直接发现了这些漏洞。 已发现的三个漏洞 这些漏洞的追踪编号及评级如下： CVE-2025-30388：评级 “重要”，被利用可能性较高 CVE-2025-53766：评级 “严重”，可实现远程代码执行 CVE-2025-47984：评级 “重要”，与信息泄露相关 三个漏洞均通过构造特定图元文件，触发 “越界内存访问” 问题： 其中一个漏洞源于无效矩形对象，攻击者可借此影响文本渲染过程中的内存写入操作 另一个漏洞会在缩略图生成时绕过扫描线边界检查 第三个漏洞与打印作业初始化阶段的字符串处理有关，当 “空终止” 假设不成立时，会泄露堆内存数据 攻击可能的实施方式 特制的 EMF + 文件可操纵颜色、透明度（alpha）数值、堆内存分配行为及指针计算。 Check Point 研究团队（CPR）证实，攻击者可通过该漏洞写入超出缓冲区限制的受控值，或读取超出预期范围的内存数据。在部分场景下，甚至无需用户交互，就能获取敏感信息或破坏系统安全。 研究人员表示：“我们在安全修复程序发布后发布此博文，旨在进一步提升公众对这些漏洞的认知，并为 Windows 用户提供防御思路与缓解建议。” 延伸阅读：《Windows 漏洞相关报道：Windows 10 终止支持临近，仍有大量用户未升级》 微软已发布补丁 微软针对以下文件版本修复了上述漏洞： GdiPlus.dll：10.0.26100.3037 至 10.0.26100.4946 版本 gdi32full.dll：10.0.26100.4652 版本 缓解措施包括：为矩形数据新增验证检查、对扫描线边界进行裁剪、修正打印处理程序中的指针运算。修复程序通过以下更新推送：5 月的 KB5058411、7 月的 KB5062553、8 月的 KB5063878。 此次事件凸显，接受不可信内容的复杂图形处理流程仍存在持续风险。研究人员强调，用户需主动安装补丁并提高防御意识，同时指出这些漏洞还影响了 Mac 和 Android 平台的微软 Office 软件。 消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 周一，黑客从去中心化金融协议 Balancer 中窃取了价值数百万美元的加密货币。 各方估算数据存在差异，但多数区块链安全公司认为损失已超 1.2 亿美元，其中至少有部分被盗资金为以太坊（ETH）。 作为去中心化金融（DeFi）领域的核心平台，Balancer 最初表示已知晓此次攻击并正展开调查。加密货币安全专家指出，此次事件源于访问控制机制存在漏洞，攻击者利用该漏洞实施了盗窃。 截至周一下午，该公司发布了一份更长的声明，说明攻击始于当天清晨。 “所有可暂停的资金池均已暂停，目前处于恢复模式，” 该公司表示，并提及自身与其他多家加密货币平台存在关联，但无法单方面暂停这些平台的运营。 “Balancer 始终致力于运营安全，不仅经过顶尖公司的全面审计，还长期设立漏洞赏金计划，以激励独立审计人员参与安全检测。我们正与安全及法律团队紧密合作，确保用户资产安全，并将迅速、彻底地开展调查工作。” 目前，该公司仍在联合专家调查事件详情，并计划在适当时候发布事后分析报告。 Balancer 同时警示用户，当前有冒充公司安全团队的欺诈信息在传播，切勿与之互动。 多家与 Balancer 相关的区块链机构已宣布采取措施应对此次事件。Berachain 基金会表示已暂停其网络，团队正采取紧急措施保护用户资产，且成功追回了部分从其平台被盗的资金。其他加密货币平台也采取了类似防护措施。 Balancer 过去曾发生过安全事件，但已接受约 10 次区块链安全公司的审计。 上周，黑客还从另一个去中心化金融平台 Garden Finance 窃取了约 1080 万美元。 其中大部分资金的窃取者据称与朝鲜政府有关联 —— 朝鲜已将加密货币盗窃作为其弹道导弹项目的重要资金来源。 美国、法国、德国、日本等国政府上周发布的一份报告显示，2025 年 1 月至 9 月期间，朝鲜应对至少 16.5 亿美元加密货币被盗事件负责。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 最新披露信息显示，自去年年初至今，英国饮用水供应商已遭遇五轮网络攻击，这些攻击全部直接针对供水机构本身，创下了同期记录。这一情况直接印证了英国情报部门的警告 —— 恶意网络行为体对该国关键基础设施的威胁正持续升级。 现行规则漏洞明显 英国饮用水监察局（DWI）公布的数据显示，2024 年 1 月 1 日至 2025 年 10 月 20 日期间，共收到供应商提交的 15 份事件报告，其中 5 起涉及网络安全事件，且影响的是 “《网络与信息系统安全规则》指令管辖范围外系统”，其余 10 起未非网络类运营问题。 问题根源在于现行《网络与信息系统安全规则》的 “高门槛”：仅当网络攻击实际导致供水等基本服务中断时，供应商才必须依法上报。这意味着像 “伏特台风” 这类只潜伏渗透、不直接断供的攻击，企业即便遭遇也无需披露，潜在风险可能被长期掩盖。 改革方案待推进 面对监管滞后，英国政府计划通过拖延已久的《网络安全与韧性法案》解决问题，核心是降低事件上报门槛，让更多潜在风险纳入监管视野。 该法案预计今年提交议会，政府发言人表示：“当前网络威胁复杂且持续，代价高昂，法案将强化防御体系，守住公众依赖的基础服务，保障日常生活正常运行。” 网络安全公司 Sophos 的威胁研究副总裁唐・史密斯表示：“关键基础设施运营商每天都要面对黑客攻击，在现有合规体制下，安全事件仍难避免。这些超范围报告的分享非常有助于我们理解攻击特征。” 全球水务安全亮红灯 当前，针对水务公司IT办公系统的勒索攻击时有发生。 2023年12月，爱尔兰西海岸就曾因一个亲伊朗黑客组织无差别攻击使用以色列产设备的设施，导致当地居民断水数日。 美国、加拿大的水务安全问题也值得警惕：美国拜登政府时期曾想推进水务系统安全升级，但因水务行业团体联合共和党议员反对而搁置；加拿大则在上周通报，黑客在多起工业控制系统攻击中，篡改了某地方水务机构的供水压力参数，直接威胁供水稳定。 针对水务系统防护，英国国家网络安全中心（NCSC）给出具体建议：关键基础设施运营商要严格隔离 “业务 IT 系统”和 “运营 OT 系统”，避免黑客攻破 IT 系统后直接影响供水操作。今年 8 月，该机构还发布新版《网络评估框架》，帮企业提升抗风险能力。 唐・史密斯进一步提醒：“对基础设施来说，相比定向攻击，常规攻击仍是关键基础设施面临的主要威胁。我们更应该关注基础防护，而非过度投资于监测冷门系统。”   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 与朝鲜有关联的威胁行为体 “金 Suky”（Kimsuky），已分发一款此前未被记录的后门程序，其代号为 “HttpTroy”。此次攻击很可能是针对性钓鱼攻击，目标为韩国的一名单独受害者。 披露该活动细节的 Gen Digital 公司，未透露事件发生的具体时间，但指出钓鱼邮件中包含一个 ZIP 压缩文件（文件名：“250908_A_HK이노션_SecuwaySSL VPN Manager U100S 100user_견적서.zip”）。该文件伪装成 VPN 账单，用于分发恶意软件，此恶意软件可实现文件传输、截屏以及执行任意命令的功能。 安全研究员亚历山德鲁 – 克里斯蒂安・巴尔达什（Alexandru-Cristian Bardaș）表示：“该攻击链包含三个步骤：一个小型投放程序、一个名为 MemLoad 的加载程序，以及最终的后门程序‘HttpTroy’。” ZIP 压缩包内包含一个与压缩包同名的 SCR 文件（屏幕保护程序文件）。打开该文件会触发执行链，首先运行的是一个 Go 语言（Golang）二进制文件，该文件包含三个嵌入文件，其中包括一个伪装 PDF 文档。此文档会向受害者展示，以避免引起任何怀疑。 与此同时，后台会同步启动 MemLoad 程序。该程序负责在受感染主机上建立持久化机制，具体方式是创建一个名为 “AhnlabUpdate” 的计划任务。这一命名是为了伪装成韩国网络安全公司安博士（AhnLab）的程序，进而解密并执行 DLL 格式的后门程序 “HttpTroy”。 该植入程序能让攻击者完全控制受感染系统，支持的操作包括文件上传 / 下载、截屏、以高权限执行命令、在内存中加载可执行文件、建立反向 shell、终止进程以及清除痕迹。它通过 HTTP POST 请求与命令控制（C2）服务器（域名：“load.auraria [.] org”）进行通信。 巴尔达什解释道：“HttpTroy 采用多层混淆技术，以阻碍对其的分析和检测。API 调用通过自定义哈希技术隐藏，字符串则通过异或（XOR）运算与单指令多数据（SIMD）指令相结合的方式进行混淆。值得注意的是，该后门程序不会重复使用 API 哈希值和字符串，而是在运行时通过各种算术运算和逻辑运算的组合动态重构它们，这进一步增加了静态分析的难度。” 除上述发现外，这家网络安全厂商还详细介绍了 “拉撒路集团”（Lazarus Group）的一起攻击事件。该攻击导致 “Comebacker” 恶意程序以及其 “BLINDINGCAN” 远程访问木马（又称 AIRDRY 或 ZetaNile）的升级版被部署。厂商补充称，此次攻击针对加拿大的两名受害者，且在 “攻击链中段” 被检测到。 目前尚不清楚该攻击所使用的具体初始访问途径，但基于未发现可被利用以获取立足点的已知安全漏洞，研究人员判断初始途径应为钓鱼邮件。 攻击中使用了 “Comebacker” 的两个不同变体，一个是 DLL 格式，另一个是 EXE 格式。前者通过 Windows 服务启动，后者通过 “cmd.exe” 命令行启动。无论采用何种执行方式，该恶意软件的最终目标一致：解密嵌入的有效载荷（即 BLINDINGCAN），并将其作为服务部署。 BLINDINGCAN 的设计目的是与远程 C2 服务器（域名：“tronracing [.] com”）建立连接，并等待进一步指令。这些指令支持的操作包括： 上传 / 下载文件 删除文件 修改文件属性以伪装成其他文件 递归枚举指定路径下的所有文件和子目录 收集整个文件系统中的文件相关数据 收集系统元数据 列出正在运行的进程 通过 CreateProcessW 函数运行命令行 在内存中直接执行二进制文件 通过 “cmd.exe” 执行命令 传入进程 ID 以终止特定进程 截屏 通过可用的视频捕获设备拍照 更新配置 更改当前工作目录 自行删除并清除所有恶意活动痕迹 Gen Digital 公司表示：“金 Suky（Kimsuky）和拉撒路集团（Lazarus）持续改进其工具，这表明与朝鲜（DPRK）有关联的行为体不仅在维护其攻击武器库，还在对其进行革新。这些攻击活动展现出结构完善的多阶段感染链，并利用了经过混淆处理的有效载荷和隐蔽的持久化机制。” “从攻击初始阶段到最终部署的后门程序，每个组件的设计目的都是规避检测、维持访问权限，并实现对受感染系统的全面控制。自定义加密、动态 API 解析以及基于组件对象模型（COM）的任务注册 / 服务利用等技术的应用，凸显出这些组织在技术上的持续演进和成熟。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 疑似某国家级威胁行为体被指与新型恶意软件 Airstalk 的传播有关，此次攻击疑似为供应链攻击。 Palo Alto Networks旗下安全研究团队 Unit 42 表示，正以 “CL-STA-1009” 为代号追踪该攻击集群，其中 “CL” 代表集群（cluster），“STA” 指国家支持背景（state-backed motivation）。 安全研究员克里斯托弗・鲁索与切马・加西亚在分析报告中指出：“Airstalk 恶意软件滥用了移动设备管理领域的 AirWatch API—— 该平台现更名为 Workspace ONE 统一终端管理系统。它通过该 API 建立秘密的命令与控制（C2）通道，主要借助 AirWatch 的自定义设备属性管理和文件上传功能实现这一操作。” 该恶意软件存在 PowerShell 和.NET 两个版本，采用多线程命令与控制（C2）通信协议，能够捕获屏幕截图，并窃取网页浏览器的 Cookie、浏览历史、书签等数据。据信，攻击者利用了一张被盗证书对部分恶意程序组件进行签名。 Unit 42 指出，Airstalk 的.NET 版本比 PowerShell 版本具备更丰富的功能，推测其可能是该恶意软件的高级版本。 其中，PowerShell 版本通过 “/api/mdm/devices/” 端点进行 C2 通信。该端点的设计初衷是获取特定设备的内容详情，但恶意软件利用 API 中的自定义属性功能，将其用作 “死信箱解析器”（dead drop resolver），存储与攻击者交互所需的关键信息。 一旦启动，该后门程序会先发送 “CONNECT”（连接）消息初始化通信，等待服务器返回 “CONNECTED”（已连接）响应后，便会接收各类以 “ACTIONS”（操作）类型消息发送的任务，并在受感染主机上执行。执行结果将通过 “RESULT”（结果）消息反馈给攻击者。 该后门支持七种不同的操作指令，包括：捕获屏幕截图、获取谷歌浏览器（Google Chrome）的 Cookie、列出所有用户的 Chrome 配置文件、提取指定配置文件的浏览器书签、收集指定 Chrome 配置文件的浏览历史、枚举用户目录下的所有文件，以及从主机中自行卸载。 Unit 42 表示：“Airstalk 执行部分任务后，需要回传大量数据或文件。为此，恶意软件利用 AirWatch MDM API 的二进制大对象（blobs）功能，将相关内容以新的二进制大对象形式上传。” Airstalk 的.NET 版本进一步扩展了功能范围，除谷歌浏览器外，还针对微软 Edge 浏览器和企业级专用浏览器 Island 发起攻击，同时试图伪装成 AirWatch 辅助工具（“AirwatchHelper.exe”）。此外，该版本新增了三种消息类型： MISMATCH（版本不匹配）：用于标记版本兼容错误 DEBUG（调试）：用于发送调试信息 PING（心跳）：用于向 C2 服务器发送存活信号 该版本还采用三个独立的执行线程，分别承担不同职责：管理 C2 任务、泄露调试日志、向 C2 服务器发送心跳信号。同时，它支持更广泛的命令集（其中一项命令暂未实现）： Screenshot（截图）：捕获屏幕截图 UpdateChrome（提取 Chrome 数据）：窃取指定的 Chrome 配置文件 FileMap（文件映射）：列出指定目录下的所有内容 RunUtility（运行工具）：暂未实现 EnterpriseChromeProfiles（企业 Chrome 配置文件）：获取可用的 Chrome 配置文件 UploadFile（上传文件）：窃取指定的 Chrome 组件和凭据信息 OpenURL（打开链接）：在 Chrome 浏览器中打开指定 URL Uninstall（卸载）：终止自身执行 EnterpriseChromeBookmarks（企业 Chrome 书签）：提取指定用户配置文件的 Chrome 书签 EnterpriseIslandProfiles（企业 Island 配置文件）：获取可用的 Island 浏览器配置文件 UpdateIsland（提取 Island 数据）：窃取指定的 Island 浏览器配置文件 ExfilAlreadyOpenChrome（泄露已打开 Chrome 数据）：导出当前 Chrome 配置文件的所有 Cookie 值得注意的是，PowerShell 版本通过计划任务实现持久化驻留，而.NET 版本暂未配备此类机制。Unit 42 透露，部分.NET 版本样本使用了一张 “疑似被盗” 的数字证书进行签名，该证书由合法的证书颁发机构 —— 奥腾工业自动化（廊坊）有限公司（Aoteng Industrial Automation (Langfang) Co., Ltd.）签发。早期版本的编译时间戳显示为 2024 年 6 月 28 日。 目前，该恶意软件的传播途径及攻击目标尚不明确。但结合其利用 MDM 相关 API 构建 C2 通道、针对 Island 等企业级浏览器的特性，研究人员推测此次攻击可能是针对业务流程外包（BPO）行业的供应链攻击。 Unit 42 分析称：“专注于业务流程外包（BPO）的机构已成为犯罪集团和国家级攻击者的重点目标。攻击者愿意投入大量资源，不仅要攻陷这些机构，还要实现长期控制。” “该恶意软件采用的规避检测技术使其能在大多数环境中隐藏行踪，尤其在第三方供应商环境中运行时更难被发现。这对使用 BPO 服务的企业而言极具破坏性 —— 被盗取的浏览器会话 Cookie 可能导致攻击者获取其大量客户的访问权限。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国面部识别公司 Clearview AI 被指控无视欧盟多国数据保护机构（DPA）的处置决定，目前已有针对该公司的新刑事诉讼被提起。 10 月 28 日，欧洲数字权利中心在奥地利对 Clearview AI 及其管理层提起刑事诉讼。 Clearview AI 为情报机构及调查部门提供面部识别服务，该公司称其拥有一个包含超 600 亿张面部图像的数据库，图像均来自 “仅公开的网络来源”，包括新闻媒体、面部照片公示网站、公共社交媒体及其他开放平台。 该公司此前主张，由于其在欧洲无业务实体、也未在欧盟境内提供服务，因此无需遵守《通用数据保护条例》（GDPR）。但荷兰数据保护机构反驳称，鉴于该公司数据库包含欧盟公民数据，其必须遵守欧盟法律。 在此次针对 Clearview AI 的最新行动中，非营利组织 noyb 指出，欧盟法律对 GDPR 违规行为的约束，并非仅局限于行政罚款。GDPR 第 84 条明确规定，欧盟成员国可针对 GDPR 违规行为设定刑事处罚。 与 GDPR 行政违规不同，刑事违规案件不仅可对公司管理层采取行动，还能启动全方位刑事诉讼程序，包括欧盟范围内的联合执法行动。 该组织在声明中表示：“正因如此，noyb 现已向奥地利检察官提起刑事诉讼。若诉讼成功，Clearview AI 及其高管可能面临监禁，且需承担个人责任 —— 尤其是在他们前往欧洲时。” 此前，欧盟多国数据保护机构已对 Clearview AI 处以一系列罚款，涉及英国、荷兰、意大利、法国等国；而针对该公司的初始投诉最早可追溯至 2021 年。 这些处置行动均指出，Clearview AI 处理数百万欧盟公民的数据，已明显违反 GDPR 规定。 noyb 荣誉主席马克斯・施雷姆斯（Max Schrems）表示：“Clearview AI 似乎完全无视欧盟基本权利，公然藐视欧盟机构。” noyb 指出，法国、希腊、意大利、荷兰等国机构已对 Clearview AI 处以总计约 1 亿欧元的罚款，并发布多项禁令，但这家美国公司并未对这些处罚提出异议。 目前仅有英国案件中，该公司对英国信息专员办公室（ICO）做出的处罚决定及罚款提起了上诉，相关最终法院判决尚未公布。   消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯警方表示，已逮捕三名涉嫌开发并销售 Meduza 窃取器（Meduza Stealer）恶意软件的黑客。此次行动是俄罗斯对本土网络犯罪罕见的打击举措。 俄罗斯内务部发言人伊琳娜・沃尔克于周四发表声明称，嫌疑人在莫斯科及周边地区落网。 她补充道，这三名 “年轻 IT 专家” 涉嫌开发、使用并销售一款恶意软件，该软件专门用于窃取登录凭证、加密货币钱包数据及其他敏感信息。 警方透露，在对嫌疑人住所的突袭行动中，查获了计算机设备、手机和银行卡。内务部发布的视频显示，执法人员破门而入，突袭多间公寓。当警方询问一名嫌疑人 “为何被拘留” 时，对方用俄语回应：“我不太清楚。” 官方指出，嫌疑人约两年前开始通过黑客论坛传播 Meduza 窃取器。今年早些时候，该团伙据称利用这款恶意软件，窃取了俄罗斯阿斯特拉罕州某机构的数据。 当局表示，该团伙还开发了另一种恶意软件，其功能包括禁用杀毒软件保护、构建用于大规模网络攻击的僵尸网络，但暂未披露这款恶意程序的具体名称。若罪名成立，三名嫌疑人将面临最高四年的监禁。 Meduza 窃取器于 2023 年首次出现，最初在俄语黑客论坛和 Telegram 频道以 “付费服务” 模式销售。此后，该恶意软件被用于多起网络攻击，目标涵盖个人数据与金融数据。 乌克兰官方此前曾表示，这款恶意软件与针对乌国内军方及政府机构的攻击有关。去年 10 月的一起攻击事件中，攻击者利用伪造的 Telegram “技术支持” 机器人，向乌克兰政府动员应用的用户分发该恶意软件。 研究人员还在波兰及俄罗斯本土发现了 Meduza 窃取器的感染案例 —— 例如 2023 年的一起攻击中，攻击者伪造某工业自动化公司的钓鱼邮件，传播该恶意软件。 长期以来，俄罗斯执法机构极少追查境内运营的网络犯罪分子，但研究人员表示，这一情况已开始改变。 根据 Recorded Future 旗下 Insikt 集团近期发布的报告，莫斯科对黑客生态系统的立场已从 “被动容忍转向主动管控”。这一策略包括选择性逮捕与公开打击，目的是在巩固国家权威的同时，保留有用的技术人才。 此类举措标志着俄罗斯的显著转变 —— 该国曾长期被视为 “以牟利为目的黑客的避风港”。研究人员指出，如今许多网络犯罪者正通过 “分散化运营”，规避西方与俄罗斯本土的双重监控。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国最大动漫及漫画出版商 Viz Media 一名高管据称遭黑客攻击。此次攻击导致数百 GB 企业数据被下载，其中包括员工凭证。 攻击者在某地下数据泄露论坛发布了攻击声明，该论坛常被 “初始访问中介” 使用。这类网络犯罪分子专门交易企业系统的访问权限。他们声称已入侵该公司副总裁账户，并窃取超 250GB 敏感数据。 Viz Media 是美国最大的图画小说出版商，隶属于日本制作公司 “小学馆 – 集英社制作”（Shogakukan-Shueisha Productions）。其旗下热门作品包括《火影忍者》《鬼灭之刃》《死亡笔记》《美少女战士》等。 与此同时，Cybernews 研究团队对攻击者的帖子展开调查，发现他们很可能仅入侵了单个用户的账户。由于目标是公司高层人员，这一账户为他们提供了访问公司系统的广泛权限。 研究人员表示：“该高管可能遭遇了社会工程学攻击，进而导致公司内部系统被未授权访问。” 团队指出，遭入侵的员工显然有权访问大量公司特权数据及资源。因此 Viz Media 需迅速采取行动，梳理攻击者窃取的数据范围。 研究团队补充道：“仅就数据窃取这一行为而言，攻击者就可能借此入侵公司更多系统，甚至向公司合作伙伴发送具有迷惑性的钓鱼邮件。” 从攻击者提供的数据样本来看，他们已获取 Viz Media 多个敏感公司系统的访问权限，包括企业谷歌云盘（Google Drive）、Gmail 账户、公司内部控制面板、遭入侵员工的身份凭证，以及 Mediabox 版税管理控制面板的访问权限。 攻击者声称，他们窃取了极高敏感度的企业信息，具体包括： 所有电子邮件 保密协议（NDA） 授权协议 员工凭证 商业计划 员工社会保险号码 毋庸置疑，恶意攻击者一旦获取这类数据，可能对企业造成严重的财务损失与声誉损害。 不过，发帖者目前仅公布了数据样本，正试图出售剩余数据及访问权限，要价为未公开的五位数金额。 若此次攻击属实，将成为 “权限管理重要性” 的典型案例，也印证了为何攻击者常将目标锁定在拥有广泛系统访问权限的企业高管身上 —— 入侵一人，便可打开多个敏感系统的 “大门”。 总部位于旧金山的 Viz Media 自称是美国最受欢迎的漫画平台，也是业内知名动漫品牌的主要分销商。公开记录显示，该公司年收入介于 4000 万至 1 亿美元之间，员工人数超 300 人。   消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 加拿大网络安全中心（The Canadian Center for Cyber Security）警告，关键基础设施相关企业及机构已成为黑客组织的攻击目标，需采取额外安全措施。 近几周，加拿大网络安全中心与加拿大皇家骑警（Royal Canadian Mounted Police）收到多起安全事件报告，涉及可通过互联网访问的工业控制系统（ICS）。 其中一起事件发生在某供水设施。攻击者成功侵入该设施的 IT 网络，篡改供水压力数值，导致当地社区供水服务中断。 另有一家加拿大油气企业受影响，其自动油罐计量仪（ATG）遭篡改，触发虚假警报。此外，加拿大某农场的谷物烘干仓曾遭遇黑客攻击，对方试图篡改温度与湿度数据，此举可能导致安全隐患。 加拿大网络安全中心在新闻稿中表示：“尽管部分机构可能并非攻击者的直接目标，但仍可能成为‘机会性受害者’。目前黑客组织正越来越多地利用可联网的工业控制系统设备，以获取媒体关注、破坏机构声誉，并损害加拿大的国家形象。” 为抵御攻击者，关键基础设施领域的企业及机构需采取额外安全防护措施。 根据加拿大网络安全机构的建议，相关主体应采取以下行动： 对所有可联网的工业控制系统设备进行全面盘点，并评估其联网必要性； 尽可能采用替代方案避免设备直接暴露在互联网中，例如使用带有双重认证（2FA）的虚拟专用网络（VPN）； 若上述方案不可行，应考虑采用强化监控服务，包括定期渗透测试与漏洞管理； 定期对员工开展培训，提升其在网络安全事件中的应对能力； 市政部门及相关机构应与服务提供商紧密合作，确保托管服务的安全部署，并遵循供应商建议与指导方针，保障设备及服务安全。   消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国联邦多部门正联合支持一项提案，计划禁止TP-Link 家用路由器在美销售，理由是该厂商被指仍与前中国母公司存在紧密关联。 据《华盛顿邮报》报道，美国商务部已正式提出这一禁售建议。消息人士透露，该提案获得了美国国防部、国土安全部及司法部的支持。 指控理由 TP-Link Systems总部位于美国加利福尼亚，最初是从中国本土企业普联技术（TP-Link Technologies）分拆而来。 数据显示，该公司产品占据美国家用路由器市场份额的36%。且由于一些互联网服务提供商会捆绑TP-Link设备，实际份额可能更高。 美国商务部指控的理由有两个： 第一，该公司仍持有原中国母公司在华资产。 第二，路由器设备涉及美国敏感数据处理，或存安全隐患。 此外，据此，商务部怀疑该公司仍受中国政府的管辖或影响。 对此，TP-Link 美国公司明确否认所有指控，并表示过去三年已与中国母公司完成彻底拆分。 公司发言人里卡・西尔维里奥在声明中强调：“TP-Link 坚决驳斥任何有关其产品对美国国家安全构成威胁的说法，我们作为一家美国企业，始终致力于为美国及全球市场提供高品质、安全可靠的产品。” 未来走向 目前，该提案仍需美国商务部最终签署生效，且不排除被否决的可能。 近期，中美两国领导人会晤后，双方达成了为期一年的贸易休战协议。 或许正因如此，《华盛顿邮报》指出，提案中预留了协商空间：TP-Link 美国公司可通过提交一份令政府满意的解决方案，来避免禁令生效。美方的核心诉求是获得明确保证：产品的关键软硬件研发过程，不得受到中国方面的任何影响。 这一情节与 TikTok 的命运轨迹颇为相似。TikTok 的母公司字节跳动总部位于中国，此前特朗普政府在获得国家安全相关承诺后，允许该应用继续在美国运营，中国方面也已批准相关协议；此外，TikTok 还需将其核心算法复制后，利用美国用户数据重新训练。 根据美国相关法律，若商务部长认定某款受外国影响的技术存在安全风险，商务部有权提出风险缓解方案。但在 TP-Link 一案中，官员们认为，除全面禁售外，任何缓解措施都无法达到安全要求。     消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 知名政府技术服务商Conduent本周向多个州政府通报，今年1月发生的网络安全事件导致超过1000万人的个人信息面临泄露风险。 根据数据泄露通知文件，Conduent调查发现黑客在2024年10月21日至2025年1月13日期间持续访问公司网络，窃取了与该公司在美国多州业务相关的大量文件。该公司表示：”发现事件后，我们安全恢复了系统运营，并已通知执法部门。” Conduent与州政府签有数十份合同，为医疗补助、儿童抚养、食品援助、道路收费等项目提供技术支持。该公司每年处理约850亿美元的政府支付款项，完成23亿次客户服务交互。公司声明其”为美国政府各类健康项目中的约1亿居民提供支持，协助州和联邦机构在降低成本的同时提供关键服务”。 目前已确认的具体影响包括： 得克萨斯州：超40万人，涉及社保号码、医疗信息和健康保险数据 华盛顿州：约7.6万人 南卡罗来纳州：约4.8万人 新罕布什尔州：超1万人 缅因州：378人 公司还在俄勒冈州、马萨诸塞州、加利福尼亚州和新罕布什尔州提交了违规通知。 事件时间线与应对措施 2025年1月：公司向Recorded Future News承认因”第三方系统遭入侵”导致业务中断 2025年2月：SafePay勒索软件团伙声称窃取8.5TB数据 2025年4月：公司在SEC备案中确认黑客”窃取了与少量客户相关的文件集” Conduent已设立呼叫中心处理相关咨询，并将向信息泄露者发送通知信件。公司指出其网络安全保险将覆盖部分事件响应成本，并透露联邦执法机构已介入调查。 运营影响与财务成本 此次事件导致多日运营中断，威斯康星州儿童和家庭部曾向居民通报Conduent系统中断影响邮件支付处理。家长和受益人也向当地媒体抱怨支付困难，威斯康星州当时确认至少还有其他三个州同样面临影响电子转账或EBT卡支付的系统中断。 根据最新财报，Conduent上财季收入为7.54亿美元，为应对今年1月的网络安全事件已支出约200万美元用于”调查、修复和响应”。公司强调，据其所知”被窃数据尚未在暗网或公开渠道泄露”。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 名为AdaptixC2的开源命令与控制框架正被越来越多的威胁行为体使用，其中部分与俄罗斯勒索软件团伙存在关联。 AdaptixC2是一款新兴的可扩展后渗透与对抗模拟框架，专为渗透测试设计。其服务端组件采用Golang编写，GUI客户端则使用C++ QT实现跨平台兼容性。该框架具备全加密通信、命令执行、凭证与截图管理、远程终端等丰富功能。 该框架的早期版本由GitHub用户”RalfHacker”于2024年8月公开发布，该用户自称是渗透测试员、红队操作员和恶意软件开发者。尽管AdaptixC2是作为道德红队活动的开源工具推出，但显然已引起网络犯罪分子的关注。 近几个月来，多家黑客组织已开始采用AdaptixC2，包括与Fog和Akira勒索软件行动相关的威胁行为体，以及一名在攻击中利用CountLoader投放多种后渗透工具的初始访问经纪人。 Palo Alto Networks旗下Unit 42团队上个月分析了该框架的技术特点，称其作为模块化多功能框架能够”全面控制受感染机器”，并已被用于通过Microsoft Teams实施的假冒技术支持诈骗以及通过AI生成的PowerShell脚本进行攻击。 网络安全公司Silent Push表示，RalfHacker在GitHub简介中自称”恶意软件开发者”的表述引起了他们的警觉。调查发现该账号所有者关联的多个GitHub账户邮箱，以及一个拥有超过28,000订阅者的Telegram频道“RalfHackerChannel”，该频道专门转发AdaptixC2相关消息。 在2024年8月AdaptixFramework频道的消息中，RalfHacker曾表示有兴趣启动一个”当前非常流行的公共C2框架”项目，并希望其能成为像Empire一样受欢迎的后渗透和对抗模拟框架。 尽管目前尚无证据表明RalfHacker直接参与与AdaptixC2或CountLoader相关的恶意活动，但Silent Push指出：”通过其使用Telegram进行营销推广，以及该工具随后被俄罗斯威胁行为体大量使用的情况，都显示出与俄罗斯犯罪地下世界的关联，这些现象均敲响了严重的安全警钟。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 全球最大营销机构之一的日本跨国广告与公关公司电通集团近日发布公告，确认其美国子公司Merkle遭受网络攻击，导致员工及客户数据泄露。 根据公司发布的安全事件通知，电通集团表示：”我们在负责集团海外业务的客户体验管理子公司Merkle的部分网络中检测到异常活动。我们立即启动了事件响应程序，主动关闭了部分系统，并迅速采取措施将影响降至最低，目前系统已恢复运行。”作为应急响应计划的一部分，公司采取了将部分系统离线的措施以遏制攻击蔓延。 电通确认黑客从Merkle网络中窃取了文件，涉及供应商、客户和员工数据，包括个人信息、薪资资料和国家保险详细信息。公司正在通知受影响个体，并为其提供免费的暗网监控服务。 “调查发现某些文件从Merkle网络中被窃取。经审查，这些文件包含现任及前任员工的个人信息，”电通在声明中表示，”调查仍在进行中，但目前我们预计文件包括银行和薪资详情、工资、国家保险号码以及个人联系方式。” 公司声明其日本本土网络系统未受影响，但目前尚无法评估此次事件对业务造成的财务影响。截至2024年12月31日，电通集团拥有约67,667名员工。2024财年，公司报告合并营收为1.41万亿日元（按当前汇率约合102亿欧元）。 Merkle作为电通集团旗下美国营销与客户体验机构，专注于数据驱动型绩效营销，利用分析、技术和数字平台帮助客户优化体验并推动增长。该公司在全球拥有超过16,000名员工，年收入约15亿美元。 目前尚不确定此次事件是否为勒索软件攻击，截至目前尚无任何勒索组织声称对Merkle或电通遭受的攻击负责。   消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究人员何塞·皮诺近日披露了Chromium的Blink渲染引擎中存在一个名为”Brash”的高危漏洞，攻击者可通过单个恶意链接在数秒内使众多基于Chromium的浏览器崩溃。 “Brash”漏洞利用document.title API缺乏速率限制的缺陷，以每秒数百万次的速度向浏览器发送DOM更新请求，导致主线程过载。 该漏洞会引发CPU使用率飙升、浏览器冻结和系统减速，影响涵盖桌面端、Android及嵌入式设备。 攻击分三个阶段实施： 预加载阶段：在内存中预存100个独特的512字符十六进制字符串，以最大化更新吞吐量 爆发注入：快速执行三重更新（默认爆发量8000次，1毫秒间隔），实现每秒约2400万次标题写入 持续饱和：持续注入使UI/主线程饱和，数秒内即可导致CPU占用率飙升、标签页冻结，最终浏览器崩溃 经测试，以下基于Chromium/Blink引擎的浏览器均受影响： Chrome：15-30秒内崩溃 Edge：15-25秒内崩溃 Vivaldi/Arc/Dia浏览器：15-30秒内崩溃 Opera：约60秒内崩溃 Perplexity Comet：15-35秒内崩溃 ChatGPT Atlas：15-60秒内崩溃 Brave：30-125秒内崩溃 以下浏览器不受影响： Firefox（使用Gecko引擎） Safari及所有iOS浏览器（使用WebKit引擎） 皮诺警告，”Brash”可能被武器化并造成严重后果： 定时攻击：可预设精确执行时间，将攻击从干扰工具转变为时间精准武器 经济破坏：针对AI智能体和无头浏览器的爬取活动，可导致自动化交易、价格监控、SEO爬虫等关键业务中断 系统依赖风险：同时发生的多系统故障将暴露企业对自动化系统的关键依赖弱点 专家总结指出：”Brash的诞生证明了当基础保护措施缺失时会发生的状况。该漏洞并非存在于复杂代码中，而是源于本应受限的API缺乏速率限制这一基本设计缺陷。它对全球30亿Chromium用户的影响表明，核心组件的架构缺陷会带来巨大的全球性后果——这不是一个孤立漏洞，而是影响整个Chromium生态系统的设计缺陷。”   消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个与俄罗斯有关联的知名勒索软件团伙再次发起攻击，此次声称已入侵日本连锁超市集团Super Value Co.，并在暗网上公开泄露了员工与财务数据。 涉嫌发动此次勒索软件攻击的Qilin团伙，已在其暗网泄露网站上将日本零售商Super Value Co.列为受害者。该超市主要在日本埼玉县及东京都市圈运营结合超市与家居中心的混合零售综合体，以及独立的食品超市。 攻击团伙在其泄露网站上提供了据称属于受害者的被盗数据样本，这是勒索攻击中威胁行为体常用的施压手段，旨在迫使公司支付赎金。 攻击者分享的数据样本中包含大量载有敏感信息的日文内部文件，涉及： 人力资源文件（暴露员工个人信息及雇佣数据） 安保密钥移交证明文件 绩效报告 工伤事故报告表 现金丢失事件报告表 薪资文件 财务报表（包括门店月销售额、盈利与亏损状况） 销售、产品订单及交货单日志 具体而言，人力资源文件泄露了员工的个人身份证号、全名、完整家庭住址、出生日期、年龄、性别、入职日期、雇佣类型（全职/兼职）、职位、部门/销售区域或工作地点、状态及离职/退休日期（部分记录）、电话号码、工作事故数据、工资及工作安排。 目前尚无法确认这些声称的真实性，以及数据是否确实属于该日本零售商。Cybernews已联系该公司，但尚未获得回复。 若数据被证实属实，将使公司及其员工面临欺诈和身份盗窃的风险。Cybernews研究人员指出：”就公司而言，这些样本主要揭示了其运营细节，可能将商业策略暴露给竞争对手。”此外，由于未包含员工个人联系方式，社会工程学攻击更可能针对公司而非个人展开。 Qilin是勒索软件领域的重要角色。这个与俄罗斯有关联的团伙以医院和制造业为攻击目标而闻名。该组织于2022年首次出现在勒索软件领域，但其暗网泄露网站声称其自2021年便开始运作。 自今年9月初以来，Qilin已列出超过88名受害者，在过去12个月内跃升为最活跃的勒索软件团伙。根据Cybernews内部监控工具Ransomlooker的数据，自2023年以来该团伙已声称入侵947名受害者。 本月，Qilin还声称入侵了德克萨斯州的电力合作社，并泄露了美国大型药房福利管理公司MedImpact的数据。该团伙近期对英国NHS合作伙伴Synnovis实验室的攻击造成了严重后果，导致医院被迫转移患者并取消超过1万个预约和手术。 值得注意的是，这个臭名昭著的俄罗斯相关团伙LockBit已与DragonForce和Qilin勒索软件组成联盟。专家认为，该联盟可能通过共享资源改进攻击策略并提高攻击频率。   消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Ribbon是一家实时通信技术公司，为全球企业及关键基础设施领域，提供安全云通信、IP 及光网络解决方案。 其总部位于美国得克萨斯州，服务用户涵盖电信、银行、政府等领域的数十家大型企业，美国国防部也包括在列。这一背景使得此次国家级攻击更具威胁性。 攻击者潜伏近一年 10月23日，Ribbon在提交给美国证券交易委员会的第三季度财报（10-Q 文件）中首次披露了此次数据泄露事件。 文件第 57 页“网络安全事件披露” 部分写道：“2025 年 9 月初，公司发现有国家级未授权威胁行为体入侵了公司的 IT 网络。” 公司初步分析显示，攻击者的首次入侵可追溯至2024年12月。不过，关于初始入侵时间的最终结论，仍需等待完整的调查结果来盖棺定论。 Barrier Networks 公司首席技术官瑞安・麦科尼奇表示：“此次大型电信提供商遭遇攻击，进一步证明网络世界已成为所有对手的首选‘战场’。” 他指出：“我们尚不清楚幕后是哪个国家，也不知道他们的攻击手法，但黑客在被发现前已潜伏近一年，这一事实着实令人担忧。” 风险声明 Ribbon 的产品主打帮助用户将固定、移动及企业网络，从传统环境转型为安全的 IP 及云架构。其客户及合作伙伴包括： 电信服务商：威瑞森、美国电话电报公司、康卡斯特、英国电信、世纪互联、德国电信、软银、TalkTalk、塔塔集团等。 政府与公共机构：美国国防部、洛杉矶市、得克萨斯大学。 金融机构：美国银行、摩根大通、富国银行。 技术合作伙伴：帕洛阿尔托网络、慧与、英特尔、爱立信、飞塔以及 F5 Networks。 Ribbon声明称：“网络安全是客户网络的首要关切，物品们始终重视与客户的长期合作”。 得知入侵后，公司 “立即启动事件响应计划，联系联邦执法部门，并联合多家第三方网络安全专家开展调查”。 Ribbon 还表示，已成功将威胁行为体驱逐出网络，“截至目前的调查，未发现黑客访问客户系统或其他重要公司信息的证据”。 但公司也承认，“两台笔记本电脑上存储的、主网络之外的部分客户文件，似乎已被威胁行为体访问”，不过未透露受影响客户的名称，仅表示已通知相关方。 路透社报道称，被访问的是 “4 份较早期文件”。此外，Ribbon 已采取即时预防措施，进一步加强网络防护以避免未来再发此类事件，并表示 “对此次事件引发的担忧深表歉意，已与 3 家受影响客户直接沟通”。 网络安全研究人员认为，尽管 Ribbon 称 “政府客户未受影响”，但这一情况仍需全面核实。鉴于国家级威胁行为体正将目标聚焦于关键基础设施及其他电信企业，这些机构做好攻击防御准备至关重要。     消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文