HackerNews

HackerNews 编译，转载请注明出处： 零日计划（Zero Day Initiative）宣布在2025年10月爱尔兰Pwn2Own黑客大赛中设立100万美元专项奖金，悬赏能演示WhatsApp零点击漏洞利用的安全研究人员。该奖金针对无需用户交互即可在WhatsApp上实现远程代码执行的高危漏洞。该通讯平台全球用户超30亿，漏洞潜在影响范围极大。 本届赛事由Meta、群晖科技（Synology）与威联通（QNAP）联合赞助，定于10月21日至24日在爱尔兰科克举行。零日计划在声明中明确表示：“Meta对本届赛事联合赞助充满期待，特别设立100万美元奖金激励零点击漏洞利用演示。同时设立次级奖项覆盖其他WhatsApp漏洞利用形式，详情请查阅‘消息应用’类别规则。去年此类挑战无人尝试，希望今年翻倍的奖金能激发参与热情。” 1、八大攻击目标类别： 移动设备（含三星Galaxy S25、谷歌Pixel 9、苹果iPhone 16旗舰机型） 消息应用（WhatsApp为重点目标） 家用网络设备 智能家居设备 打印机 网络存储系统（NAS） 监控设备 可穿戴技术（含Meta雷朋智能眼镜及Quest 3/3S头显） 2、攻击向量扩展： 移动设备类别新增USB端口攻击路径，要求参赛者通过物理连接突破锁屏手机；同时保留Wi-Fi、蓝牙、近场通信（NFC）等传统无线协议攻击方式。 参赛顺序通过随机抽签决定，注册截止时间为10月16日爱尔兰标准时间下午5时。 漏洞披露机制 参赛者演示的漏洞将在赛事结束后移交厂商，90天内未修复的漏洞由零日计划公开披露。2024年爱尔兰Pwn2Own大赛曾为70余个零日漏洞颁发107.8万美元奖金，越南Viettel安全团队因攻破QNAP存储设备、Lexmark打印机等目标获得20.5万美元奖金。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯航空公司（Aeroflot）遭黑客攻击导致航班大规模瘫痪后，黑客组织公开宣称泄露其CEO航班记录，而莫斯科当局否认存在数据泄露。 俄罗斯互联网监管机构Roskomnadzor表示，尽管本周初发生大规模网络攻击导致航班混乱，但“尚无证据证实公司数据遭泄露”。该机构未对此结论提供详细说明。 然而在白俄黑客组织“网络游击队”（Cyber Partisans）——本次攻击的宣称责任方——通过Telegram发布据称属于俄航CEO谢尔盖·亚历山德罗夫斯基（Sergei Aleksandrovsky）的航班数据后，上述声明迅速遭到挑战。泄露记录显示2024年4月至2025年6月间的30余次航班详情。调查媒体The Insider指出，泄露文件中亚历山德罗夫斯基的护照号码与此前其他数据泄露事件中的记录一致，但数据真实性尚未获得独立验证。 “网络游击队”宣称将陆续发布更多数据，此前该组织声称已窃取俄航完整飞行历史数据库、内部通话录音、监控录像及员工行为数据。此次网络攻击导致俄航周一取消或延误超100架次航班（占日均运量近半），约2万名旅客滞留。据《福布斯》俄罗斯版估算，运营中断叠加数据泄露风险与声誉损失，可能造成高达5000万美元损失。 尽管俄航宣布周四已恢复运营，网络安全专家警告其IT基础设施完全修复仍需更长时间。分析师奥列格·沙卡罗夫（Oleg Shakorov）指出，若官方调查认定公司网络安全措施存在疏漏，俄航或将面临法律审查。 黑客组织宣称入侵成功归因于员工使用弱密码及公司依赖过时Windows版本，但该指控尚未获独立核实。俄航目前仅发布有限事件说明。 此次攻击正值俄罗斯多行业遭遇网络袭击浪潮：上周两家大型连锁药房系统瘫痪致数百门店停摆，支付与处方服务中断；生鲜连锁Vkusvill、折扣零售商Dobrotsen、配送平台Samokat、餐饮软件开发商Iiko及国家邮政服务相继报告故障，多数被归因为“技术故障”。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 卢森堡政府上周四宣布，正就7月23日导致全国通信瘫痪的网络攻击展开正式调查。此次攻击据称针对该国电信基础设施中的华为设备。 本次事故断网事件致使全国4G/5G移动网络中断超三小时。由于备用2G系统过载，大量民众无法拨打紧急服务电话，互联网接入与电子银行服务同样瘫痪。 政府向议会提交的声明指出，此次攻击以破坏服务为目的，而非意外导致系统故障的入侵行为。攻击者利用国有电信运营商POST Luxembourg所采用的“标准化软件组件”漏洞实施攻击。依赖该运营商移动网络的政府预警系统亦因此失效，未能向民众有效推送事件警报。 POST总经理强调此次攻击“异常先进且复杂”，但未侵入内部系统或窃取数据。POST正联合国家网络安全应急响应小组（CSIRT）开展司法取证调查。 尽管政府声明未明确提及受影响的供应商，卢森堡杂志《Paperjam》披露攻击目标实为华为路由器的配套软件。该国关键基础设施监管机构已要求所有使用华为企业级路由器的组织联系CSIRT报备。 华为企业级网络产品的VRP操作系统曾曝出远程拒绝服务漏洞，但近期未公开披露新漏洞。华为新闻办公室未回应置评请求。 卢森堡政府已协同CSIRT与检察院，在国家保护高级委员会（HCPN）下设立特别危机小组，专项处理事件响应及影响评估。CSIRT的司法取证旨在还原攻击过程，检察院则将评估是否构成犯罪并追查攻击者。 此次事件加速了卢森堡既定的国家韧性评估进程。当局正重新审视关键基础设施的稳健性（尤其是电信与应急服务的备用机制），担忧单一故障点可能引发灾难性后果。卢森堡同时探索监管改革，拟允许电信中断期间手机自动切换至其他运营商网络——该机制已在英、德、美等国应用于紧急呼叫场景。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Proofpoint安全研究人员发现一种新型凭证钓鱼攻击手段，黑客通过恶意OAuth应用结合多重重定向链劫持Microsoft账户，成功率超50%。2025年至今，该攻击已影响超900个Microsoft 365环境中的近3000个账户。 攻击流程解析 钓鱼邮件启动：攻击者利用被入侵邮箱发送伪装成商业合作请求的钓鱼邮件（如报价申请、合同协议），内容针对目标行业定制化设计，曾仿冒RingCentral、DocuSign等企业服务，甚至伪装小型航空企业ILSMart。 恶意应用授权陷阱：邮件内链接导向真实的Microsoft登录授权页面，诱导用户批准伪装成Adobe、DocuSign等合法服务的恶意OAuth应用请求。这些应用仅申请基础权限（如查看个人资料），以降低用户警惕性。 多重重定向劫持：无论用户点击“接受”或“取消”授权，均被重定向至验证码中间页，随后跳转至伪造的Microsoft登录页面。该页面实时窃取输入的凭证及双重认证会话令牌。 技术特征与规模 攻击链依赖钓鱼即服务（PhaaS）平台Tycoon构建，已发现超50个恶意应用参与攻击，其中4个仿冒Adobe、5个仿冒DocuSign，其余使用无关名称混淆视听。 恶意应用在授权后配置重定向规则，通过中间域名隐藏最终钓鱼页面，利用CAPTCHA页面增强欺骗性，诱使用户误认为处于合法流程中。 防御措施与行业响应 微软宣布调整Microsoft 365默认设置：普通用户向第三方应用授予账户权限需经管理员审批，以阻断恶意应用的权限获取路径。Proofpoint强调用户需时刻验证当前域名真实性，避免在重定向过程中提交敏感信息。 趋势警示：此类结合合法OAuth框架与社交工程的攻击链正成为犯罪团伙新标准，未来或将持续演化以绕过检测机制。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 近期，网络安全和基础设施安全局（CISA）和美国海岸警卫队（USCG）分析师对一家关键基础设施组织开展了威胁狩猎行动，旨在探测潜在恶意活动。CISA官网发布了专项报告，虽未发现实际入侵证据，但识别出6类高风险安全缺陷，威胁者可利用这些漏洞突破网络防御。缓解措施与NIST网络安全性能目标（CPGs）及MITRE ATT&CK框架对齐。 核心安全风险与潜在影响 1、在多台主机上共享且以明文形式存储的本地管理员账户 详细信息：CISA 发现了一些本地管理员账户，这些账户使用非唯一密码，并且这些账户在许多主机上被共享。每个账户的凭证以明文形式存储在批处理脚本中。这些经过授权的脚本被配置为创建具有本地管理员权限的用户账户，然后设置相同的、永不过期的密码——这些密码以明文形式存储在脚本中。 潜在影响：在许多主机上以明文脚本形式存储本地管理员凭证，增加了广泛未经授权访问的风险，而使用非唯一密码则便于在网络中横向移动。能够访问包含这些批处理脚本的工作站的恶意行为者可以通过在文件系统中搜索诸如“net user /add”之类的字符串，识别包含用户名和密码的脚本，并获取这些本地管理员账户的密码，从而移动。 2、IT 和运营技术环境之间网络隔离配置不足 详细信息：在评估客户 IT 和运营技术（OT）环境之间的互连性时，CISA 发现 OT 环境未正确配置。具体来说，标准用户账户可以直接从 IT 主机访问监督控制与数据采集（SCADA）虚拟局域网（VLAN）。 潜在影响：OT 网络隔离配置不足、网络访问控制（NAC）不足，以及 IT 网络中的非特权用户使用其凭证访问关键 SCADA VLAN [T1078]，带来了安全和安全风险。鉴于 SCADA 和 HVAC 系统控制物理过程，这些系统的入侵可能会产生现实世界的后果，包括对人员安全、基础设施完整性和设备功能的风险。 3、日志记录不足和实施不足 详细信息：由于该组织的事件日志系统不足以进行此类分析，CISA 无法按照既定的狩猎计划对每一个 MITRE ATT&CK®程序进行狩猎。 潜在影响：缺乏全面且详细的日志记录，以及未建立正常网络行为的基线，阻碍了 CISA 进行彻底的行为和异常检测。这一限制妨碍了对某些 TTPs（如利用本地工具的攻击技术、使用有效账户 [T1078] 以及其他复杂威胁行为者使用的 TTPs）的搜索。 5、IIS服务器sslFlags配置错误： 详细信息：CISA 发现一个 HTTPS 绑定配置为 sslFlags=“0”，这使得 IIS 保持在其旧版“每个 IP 地址一个证书”的模式中。该模式禁用了现代证书管理功能，而且由于必须在“SSL 设置”中单独启用或通过添加 来启用相互传输层安全（TLS）（客户端证书认证），因此该绑定默认情况下禁用了客户端证书强制执行。此外，sslFlags 不控制协议或加密套件的选择，可能会接受过时的协议或弱加密套件。 潜在影响：sslFlags 配置错误可能会使威胁行为者尝试中间人攻击 [T1557]，以拦截客户端与 IIS 服务器之间传输的凭证和数据。此外，由于未启用客户端证书强制执行，使服务器面临风险，未经授权或恶意的客户端可能会冒充合法用户，从而在未经适当授权的情况下访问敏感资源。 6、SQL连接字符串集中化： 详细信息：CISA 查看了生产服务器上的 machine.config 文件，发现该文件配置了一个集中式数据库连接字符串 LocalSqlServer，用于配置文件和角色提供程序。这种配置意味着，除非在每个应用程序的 web.config 文件中进行覆盖，否则服务器上的每个 ASP.NET 站点都将连接到同一个结构化查询语言（SQL）Express 或 aspnetdb 数据库，并共享相同的凭证，CISA 发现 machine.config 文件将 minRequiredPasswordLength 设置为少于 15 个字符，而 15 个字符是 CISA 推荐的密码。 潜在影响：使用集中式数据库方法会增加风险，因为该中央 SQL 数据库服务器的一个漏洞或配置错误可能会危及依赖该服务器的所有应用程序。这会形成一个单一故障点，可能会被攻击者利用。此外，将最小密码长度设置为少于 15 个字符，更容易受到各种形式的暴力攻击，这可能会导致数据泄露、数据篡改或数据库丢失。 缓解措施 尽管在这次行动中未发现恶意活动，但建议关键基础设施组织审查并实施本通告中列出的缓解措施，以防止潜在的入侵行为，更好地保护美国的国家基础设施。这些缓解措施按重要性顺序列出，如下所示： 1、不要以明文形式存储密码或凭证。相反，应使用安全的密码和凭证管理解决方案，例如加密的密码保险库、托管服务账户或部署工具的内置安全功能。 确保所有凭证在静止状态和传输过程中均被加密。实施严格的访问控制并定期进行审计，以安全地管理访问凭证的脚本或工具。 使用代码审查和自动化扫描工具检测并消除主机或工作站上存在的明文凭证实例。 强制执行最小权限原则，仅授予用户和进程完成其功能所必需的访问权限。 2、避免共享本地管理员账户凭证。相反，应使用诸如微软本地管理员密码解决方案（LAPS）之类的工具为每个账户分配独特且复杂的密码，这些工具可以自动化密码管理和轮换。 3、对所有管理访问（包括本地和域账户）以及远程访问方式（如远程桌面协议（RDP）和虚拟专用网络（VPN）连接）强制实施多因素认证（MFA）。 4、实施并强制执行严格政策，仅使用从 IT 网络隔离且配备防网络钓鱼 MFA 的加固型跳板主机来访问工业控制系统（ICS）/OT 网络，并确保常规工作站（即用于访问 IT 网络和应用程序的工作站）不能用于访问 ICS/OT 网络。 5、在所有系统（包括工作站、服务器、网络设备和安全设备）上实施全面（即覆盖范围广）且详细的日志记录。 确保日志记录信息，如身份验证尝试、带有参数的命令行执行以及网络连接等。 按照组织政策和合规要求，将日志保留适当期限，以便进行彻底的历史分析，并将日志聚合到带外的集中位置，例如安全信息事件管理（SIEM）工具中，以防止日志被篡改并便于高效分析。 验证安全控制 除了应用缓解措施外，CISA 和 USCG 建议根据 MITRE ATT&CK 企业框架中描述的威胁行为，对组织的安全计划进行测试和验证。CISA 和 USCG 建议测试现有的安全控制清单，以评估它们对本通告中描述的 ATT&CK 技术的性能。 选择本通告关联的ATT&CK技术（如T1021.001）； 对齐现有防护工具检测能力； 模拟攻击验证防护性能； 调整安全策略（人员/流程/技术）。       完整版英文报告详见：CISA； 中文版翻译报告链接：seebug 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 研究人员发现名为“DoubleTrouble”的安卓银行木马近期大幅升级传播手段与技术能力，对欧洲用户构成严重威胁。该木马最初通过仿冒大型银行的钓鱼网站传播，现已扩展至利用Discord平台托管恶意APK文件进行分发，显著增加了检测与防御难度。 Zimperium研究人员分析了当前攻击活动的9个样本及25个早期变种。据周三发布的报告显示，新版木马新增多项敏感数据窃取、设备操控及传统移动防御规避功能。 实时监控技术升级 木马安装后会伪装为合法应用（使用谷歌Play图标），诱导用户开启安卓无障碍服务。借此权限，木马可在后台隐蔽运行。其采用基于会话的安装方式，将恶意负载隐藏在应用资源目录中，有效规避早期检测。最新版本核心功能包括： 通过媒体投影（MediaProjection）与虚拟显示（VirtualDisplay）接口实现实时屏幕录制。 伪造锁屏覆盖界面窃取PIN码、密码及解锁图案。 基于无障碍事件监控的键盘记录。 针对性拦截银行应用或安全工具。 仿冒合法登录界面的定制化钓鱼覆盖层。 窃取数据经编码后传输至远程命令控制（C2）服务器，目标涵盖银行应用、密码管理工具及加密货币钱包的凭证。通过实时镜像用户设备屏幕，攻击者可绕过多因素认证，直接获取用户所见敏感内容。 全功能命令控制系统 该木马响应数十种C2服务器指令，支持远程攻击者： 模拟点击滑动操作 触发伪造UI元素 显示黑屏或更新界面 操控系统级设置 特定指令（如发送密码、启动图形拦截、屏蔽应用）使攻击者在窃密同时能主动阻挠用户操作。Zimperium警告称，DoubleTrouble采用的混淆技术、动态覆盖层与实时视觉窃取能力，标志着移动威胁正朝适应性强、持久化方向演进。其持续升级的传播手法与技术特性，对个人用户与金融机构均构成严峻挑战。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 霍尼韦尔近期修补了其工业过程控制与自动化解决方案Experion过程知识系统（PKS）中的多个漏洞。美国网络安全和基础设施安全局（CISA）上周发布公告披露了这些漏洞的存在。 根据公告，Honeywell Experion PKS产品——版本早于R520.2 TCU9 Hot Fix 1及R530 TCU3 Hot Fix 1的版本——存在六个漏洞，其中包括被归类为“严重”和“高危”级别的漏洞。多数严重和高危漏洞影响控制数据访问（CDA）组件，可导致远程代码执行。两个高危漏洞可能被用于拒绝服务（DoS）攻击，而一个中危漏洞可能被用于操纵通信信道并引发系统异常行为。 CISA指出，受影响产品在全球范围内使用，涉及关键制造、化工、能源、水务及医疗等关键基础设施领域。霍尼韦尔在声明中回应：“我们高度重视安全问题并迅速采取行动评估和修复问题。发现漏洞后，已为Experion PKS产品（含C300 PCNT02、C300 PCNT05、FIM4、FIM8、UOC、CN100、HCA、C300PM、C200E等型号）及OneWireless WDM发布更新。用户必须按安全通告升级至指定版本以增强防护。” 俄罗斯网络安全公司Positive Technologies因报告漏洞获得致谢。该公司工业控制系统负责人Dmitry Sklyar表示：“漏洞在Experion PKS设备（含现场级网络转换器和I/O模块）中发现。受影响设备通常部署于工业设施的隔离网段，难以通过互联网远程利用。”他解释称：“漏洞存在于缺乏身份认证功能的网络协议处理程序中，攻击者只需接入隔离网段即可利用。成功利用可在受控设备上执行任意代码，可能操纵工业流程及设备——包括停止/重启设备、修改网络设置、篡改过程参数等。”他建议企业“部署漏洞管理系统进行防护”。 本月初，霍尼韦尔旗下公司Tridium开发的Niagara框架也被披露存在十余个漏洞。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软研究人员发现与俄罗斯有关联的APT组织Secret Blizzard（又名Turla、Snake、Uroburos、Waterbug、Venomous Bear和KRYPTON）针对驻莫斯科外国大使馆发起网络间谍活动。该组织在互联网服务提供商（ISP）层面使用中间人攻击（AiTM）方法部署名为ApolloShadow的自定义恶意软件。该恶意软件可安装伪造的卡巴斯基反病毒软件受信任根证书，诱骗设备信任恶意网站，从而为网络间谍活动提供长期访问权限。此活动至少自2024年起活跃，对依赖当地互联网服务的外交使团和敏感组织构成严重威胁。 微软报告指出：“这是我们首次证实其具备在ISP层面实施攻击的能力。这意味着在俄罗斯使用本地ISP或电信服务的外交人员极可能成为Secret Blizzard通过此类服务进行中间人攻击的目标。”微软于2025年2月发现该活动，受害者被诱导通过仿冒Windows连接检查的虚假门户网站下载ApolloShadow恶意软件。一旦安装，恶意软件会诱使用户授予提升权限，从而安装根证书、监控流量并窃取凭证。此举使Secret Blizzard得以剥离安全连接并维持长期访问，实现对外交目标的监控。 报告进一步说明：“当系统通过浏览器访问特定地址时，会被重定向至攻击者控制的域名，该域名会显示证书验证错误，提示目标下载并执行ApolloShadow。执行后，恶意软件检测进程令牌权限级别：若设备未启用默认管理设置，则弹出用户账户控制（UAC）窗口，诱使用户以卡巴斯基安装程序伪装的CertificateDB.exe安装证书，使攻击者获得系统提升权限。” 恶意软件行为分析 ApolloShadow根据权限级别调整执行方式： 低权限模式：收集主机IP数据并编码，通过伪造的Digicert域名发送至命令控制服务器，攻击者返回经混淆的VBScript脚本以推送次级有效载荷。 高权限模式：实施系统级更改——将网络设为私有模式以削弱防火墙防护、启用文件共享、安装恶意根证书（伪装为卡巴斯基安装程序）、添加使用硬编码永不过期密码的隐藏管理员账户，从而维持对设备的长期控制。 微软已发布此次攻击活动的入侵指标（IoCs）。       消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Bitdefender网络安全专家在大华智能摄像头中发现严重漏洞，攻击者可借此远程完全控制设备。尽管厂商已发布补丁，用户仍需尽快升级固件以确保安全。这些摄像头广泛应用于零售商店、仓库和私人住宅等场所的监控系统，使得安全风险尤为严峻。 漏洞主要影响大华Hero C1（DH-H4C）系列智能摄像头。安全公司公告指出：“漏洞涉及设备的ONVIF协议和文件上传处理程序，未经认证的攻击者可远程执行任意命令，从而完全控制设备。我们已向大华报告漏洞以便其采取缓解措施，目前漏洞补丁已发布。” 研究人员发现两个关键漏洞： CVE-2025-31700（CVSS评分8.1）：80端口ONVIF处理程序中的栈缓冲区溢出漏洞，无需认证即可利用。该漏洞错误解析Host头，允许攻击者通过面向返回编程（ROP）覆盖内存并执行任意代码。研究人员开发的概念验证证明，攻击者可利用ROP链在内存写入指令，通过TFTP协议释放ELF负载，并借助LD_PRELOAD在4444端口开启绑定shell。 CVE-2025-31701（CVSS评分8.1）：影响未公开的RPC上传端点，过长的HTTP头可导致.bss段缓冲区溢出，使攻击者能覆盖全局变量并通过精心构造的数据劫持系统调用，同样实现远程代码执行。 漏洞影响截至2024年初运行最新固件的大华Hero C1摄像头。厂商后续确认其他受影响型号包括IPC-1XXX、IPC-2XXX、IPC-WX、IPC-ECXX、SD3A、SD2A、SD3D、SDT2A和SD2C系列，所有固件版本早于2025年4月16日的设备均存在风险。 漏洞披露时间线 2025年3月28日：Bitdefender通过安全渠道向大华提交漏洞细节 2025年3月29日：大华确认收到并启动内部调查 2025年4月1日：大华验证漏洞有效性 2025年4月23日：大华申请延期披露，Bitdefender将日期调整为7月23日 2025年7月7日：大华发布漏洞补丁并确认协调披露计划 2025年7月23日：漏洞报告作为协调披露计划的一部分公开 安全建议 用户应采取以下防护措施： 避免将存在漏洞的大华摄像头暴露在公网 禁用UPnP和端口转发功能 将设备隔离在独立网络中 安装2025年4月16日后发布的固件更新 特别提醒：当设备通过端口转发或UPnP暴露在互联网时，这两个漏洞极为危险。成功利用可无需用户交互即获得root权限，绕过固件完整性检查加载未签名负载或持久守护进程。       消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 澳大利亚宣布自12月起禁止16岁以下未成年人注册YouTube账号。总理安东尼·阿尔巴尼斯表示，YouTube将被纳入需验证用户年满16岁才能注册的社交媒体平台范畴。2024年11月，澳大利亚众议院已通过法案，禁止16岁以下人群在Facebook、Instagram、Snapchat、TikTok及X平台创建账户。 该禁令旨在遏制社交媒体对青少年身心健康的多重负面影响，包括社交孤立、睡眠障碍、行为成瘾及生活满意度降低。阿尔巴尼斯总理强调：“我希望孩子们放下电子设备，走向足球场、游泳池和网球场。他们需要真实的人际互动体验，因为社交媒体正在造成社会伤害。” 本周三（7月30日），通讯部长安妮卡·威尔斯发布新规，明确界定“限制年龄的社交媒体平台”范围。此前被豁免的YouTube此次被正式列入需验证用户年龄的平台名单。威尔斯援引政府研究数据称：“证据表明，近四成澳大利亚儿童报告称最近受到的网络伤害来自YouTube。保护儿童网络安全是不可妥协的底线，我们不会被法律威胁所震慑。”她同时透露，违规平台将面临最高4950万澳元罚款，新规将于12月10日生效。 YouTube发言人回应称：“政府的决定推翻了此前明确公开承诺的‘YouTube不受禁令约束’立场。我们与政府减少网络危害的目标一致，但坚持认为YouTube是提供高质量内容的视频分享平台而非社交媒体。我们将评估后续行动并保持沟通。” 该禁令引发全球多国关注：挪威正考虑对15岁以下群体实施社媒禁令；法国与丹麦更倾向推动欧盟统一监管；英国仍在权衡禁令可行性。澳大利亚也成为全球首个将YouTube纳入未成年人禁令范围的立法国家。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全专家指出，尽管微软决定从8月1日起关闭其Authenticator应用的密码管理功能，密码管理器在未来一段时间内仍将是防御身份相关威胁的重要工具。 微软早已逐步缩减Authenticator的密码存储与自动填充能力：自6月初起，用户无法新增或导入密码；7月期间自动填充功能被关闭；而自8月1日起，所有保存的密码将无法通过该应用访问。此后，存储的密码可通过Edge浏览器访问和自动填充，或导出至其他密码管理器。但微软更希望用户转向通行密钥（passkey）——该认证方式仍受Authenticator支持，且被广泛认为更安全便捷（通过PIN或生物识别实现无密码登录）。 Keeper Security首席执行官Darren Guccione对此提出异议：“微软取消密码支持的举措看似预示行业正快速转向无密码认证，但数据揭示另一现实。这远非预示剧变，而是渐进转型中的一步。能生成并保护传统密码的解决方案对个人和企业仍至关重要，即便通行密钥在数字系统中的普及度持续提升。”他援引数据称，40%的企业采用密码与通行密钥并存的混合认证环境。 IEEE高级成员、诺丁汉大学网络安全教授Steve Furnell呼应此观点：“向无密码未来的过渡仍需时间。许多企业近期才部署多因素认证（MFA），缺乏动力开发通行密钥等新技术，尽管后者能提升用户体验。另一些企业或因定制系统或遗留系统限制，仍被迫使用传统密码。”他补充道，依赖密码的企业须落实两项基础措施：“首先提供明确指导，使用户理解如何有效创建和管理密码；其次实施默认安全策略，无论用户行为如何都能降低风险。”       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 与朝鲜有关的威胁组织UNC4899被指通过LinkedIn和Telegram接触两家不同企业的员工实施攻击。谷歌云部门在《2025年下半年云威胁地平线报告》[PDF]中表示：“UNC4899以软件开发的自由职业机会为幌子，利用社会工程技术成功说服目标员工在其工作站执行恶意Docker容器。” UNC4899与Jade Sleet、PUKCHONG、Slow Pisces及TraderTraitor等组织存在活动重叠。该国家级攻击组织自2020年起活跃，以针对加密货币和区块链行业著称，涉及多起重大加密货币盗窃案，包括2022年3月Axie Infinity（6.25亿美元）、2024年5月DMM Bitcoin（3.08亿美元）以及2025年2月Bybit（14亿美元）的黑客事件。 其攻击手段还包括利用JumpCloud基础设施攻击加密货币领域下游客户。据DTEX称，TraderTraitor隶属于朝鲜侦察总局第三局，在加密货币盗窃方面是平壤黑客组织中最高效的团体。该组织常以工作邀约为诱饵或上传恶意npm软件包，通过高薪合作机会或GitHub项目协作邀请目标企业员工，诱导其执行恶意npm库。 云安全公司Wiz本周报告强调：“TraderTraitor持续关注云平台及周边攻击面，最终目标通常是云平台客户而非平台本身。”谷歌观察到的攻击针对企业的谷歌云和AWS环境：攻击者首先部署GLASSCANNON下载器，进而植入PLOTTWIST和MAZEWIRE后门以连接攻击者控制服务器。 在谷歌云攻击案例中，攻击者使用窃取的凭证通过谷歌云CLI匿名VPN远程操作，进行大规模侦察和凭证窃取，但因受害者启用多因素认证（MFA）受阻。谷歌指出：“UNC4899发现受害者账户拥有谷歌云项目管理权限后，直接禁用MFA要求。成功访问目标资源后，他们立即重新启用MFA以规避检测。” 针对AWS受害者的入侵采用类似手法，攻击者通过AWS凭证文件获取长期访问密钥远程操作AWS CLI。尽管遭遇访问控制限制，谷歌发现攻击者可能窃取了用户会话cookie，借此识别相关CloudFront配置和S3存储桶。“利用其访问权限固有的管理权限，攻击者将含恶意代码的JavaScript文件上传替换原有文件，旨在操纵加密货币功能并触发与目标组织加密货币钱包的交易。”最终两起攻击均成功窃取价值数百万美元的加密货币。 同期，Sonatype公司表示2025年1月至7月已拦截234个朝鲜Lazarus组织发布的恶意npm和PyPI软件包。部分软件包会投放已知凭证窃取程序BeaverTail（与长期活动Contagious Interview相关）。该软件供应链安全公司指出：“这些软件包伪装成流行开发工具，实则为间谍植入程序，用于窃取机密、分析主机并在关键基础设施建立持久后门。2025年上半年活动激增表明Lazarus战略转向：正以惊人速度将恶意软件直接嵌入npm和PyPI等开源软件包注册平台。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： IBM《数据泄露成本报告》显示：全球泄露成本下降，但美国成本上升。最显著的变化在于新兴影响因素的出现——AI在攻击与防御中的双重作用。 全球平均数据泄露成本降至444万美元（五年来首次下降），但美国平均成本升至创纪录的1022万美元。数据泄露生命周期（驻留时间与修复时间之和）缩短至241天——创历史新低，较上年减少17天。 美国数据泄露成本较高与区域安全水平或AI影响关联有限。IBM X-Force情报部门副合伙人Kevin Albano解释：“尽管美国企业采用AI防御的比率略高，但其泄露成本仍连年居首。差异源于多重因素，包括检测与处置成本同比激增14%（部分由劳动力成本上升驱动），以及更高的监管罚款。” AI的双刃剑效应 本年报告核心结论是：无论善恶，AI时代已至——犯罪分子的重视程度甚至超过防御方。AI正成为高价值目标： 13%的泄露事件涉及AI模型或应用，其中97%的案件无访问控制 相关泄露导致60%的数据失窃与31%业务中断 安全治理在AI部署过程中被严重忽视 访问控制的缺失暴露了安全理念的崩塌，Albano指出根源在于：“企业急于利用AI实现自动化降本，但AI系统的复杂性与新颖性使安全实践仍在演进中。” 攻击技术的迭代 供应链攻击占AI相关泄露的30%，涉及应用、API及插件漏洞。直接操纵AI的三大技术占比更高： 提示词注入（Prompt Injection）：17% 模型规避（Model Evasion）：21% 模型反演（Model Inversion）：24% 随着防护机制强化，攻击者转向上下文操纵技术。Albano阐释差异：“模型反演旨在重构训练数据，模型规避通过操纵输入诱发错误输出，提示词注入则通过篡改指令影响AI行为。” 防御价值的实证 采用AI驱动的企业显著降低泄露成本： 使用AI加速攻击检测的企业，泄露生命周期缩短108天 全面部署AI安全方案的企业，平均节省153万美元成本 攻击效率的质变 生成式AI使网络攻击效率飞跃： 钓鱼攻击占比16%（首次超越凭证窃取成为主要攻击媒介） 单次钓鱼攻击成本达480万美元 AI伪造钓鱼邮件耗时从16小时压缩至5分钟 Albano强调：“犯罪分子利用信息窃取器（Infostealers）掠夺密码、浏览记录、键盘输入等数据，这些工具已成为网络犯罪支柱。” 报告采用统一核算模型： 成本涵盖检测响应、通知、事后处置及业务损失四环节 分析样本排除极大规模/极小规模泄露事件（记录数介于2960至113620条） 基于作业成本法（Activity-Based Costing）进行实际消耗分摊 尽管未披露全部泄露的企业数据可能影响绝对值准确性，但历年方法论一致性确保了趋势可比性。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 影响澳洲航空、安联人寿、路易威登和阿迪达斯等公司的数据泄露事件已被证实与勒索集团ShinyHunters有关。该组织通过语音钓鱼攻击（vishing）侵入Salesforce CRM实例窃取数据。 2025年6月，谷歌威胁情报小组（GTIG）发出警告，被追踪为UNC6040的威胁行为者正针对Salesforce客户发起社会工程攻击。攻击者冒充IT支持人员致电目标企业员工，诱骗其访问Salesforce的“连接应用程序设置”页面，并要求输入“连接代码”。该操作会将恶意版本的Salesforce Data Loader OAuth应用程序关联至目标的Salesforce环境。为增强欺骗性，攻击者有时将数据加载器组件重命名为“我的票务门户”。 GTIG指出，此类攻击主要通过语音钓鱼实施，但攻击者也会伪造Okta登录页面窃取凭证及多因素认证（MFA）令牌。 同期多家企业报告涉及第三方客服或云端CRM系统的数据泄露： LVMH旗下路易威登、迪奥和蒂芙尼披露客户信息库遭未授权访问，蒂芙尼韩国分公司称攻击者入侵了“用于管理客户数据的供应商平台”。路易威登确认泄露数据包含客户姓名、性别、电话、住址及购买记录，但否认支付信息外泄。 安联人寿发言人向BleepingComputer证实：“2025年7月16日，恶意威胁行为者侵入北美安联人寿使用的第三方云端CRM系统”。 澳航虽未公开确认涉事平台，但当地媒体报道及法庭文件显示，攻击目标“账户”和“联系人”数据库表均为Salesforce特有对象。 BleepingComputer核实上述公司均属谷歌所述同一攻击活动的目标。目前威胁行为者正通过邮件私下勒索企业，自称ShinyHunters。若勒索失败，预计将采取类似Snowflake攻击的手法分批泄露数据。 网络安全社区最初误将攻击归因于Scattered Spider（UNC3944），因二者战术相似且同期瞄准航空、零售和保险业。但关键差异在于： Scattered Spider通常实施全面网络入侵，最终窃取数据或部署勒索软件 ShinyHunters（UNC6040）专注于特定云平台的数据窃取勒索 安全研究人员Allan Liska指出：“已知攻击的重叠战术技术证明二者可能存在成员交叉”。 部分研究人员认为该组织代表其他黑客团伙实施勒索并分成，类似勒索软件即服务（RaaS）模式。同时运营黑客论坛BreachForums，2023年被FBI关闭后于2024年重启，展示强大恢复能力。历史攻击轨迹包括：2021年窃取AT&T的7000万客户信息（起拍价20万美元），2024年5月连续入侵桑坦德银行（3000万记录+2800万信用卡）和Ticketmaster（5.6亿条数据）。 Salesforce向BleepingComputer声明平台本身未受攻击，问题源于客户账户遭社会工程入侵，并建议企业采取以下措施： 访问控制：强制受信IP范围登录，限制连接应用程序权限 认证强化：全域启用多因素认证（MFA） 权限管理：遵循最小特权原则分配应用权限 监控升级：部署Salesforce Shield实现威胁检测与事件监控 应急机制：设立专属安全联系人处理事件响应 攻击者利用OAuth应用授权机制漏洞，通过社会工程诱骗员工授权恶意应用。此攻击不依赖平台漏洞，因此传统补丁更新无法防御。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 俄罗斯以国家安全威胁为由，封禁了美国公司Ookla开发的流行网速测试工具Speedtest，声称该服务可能助长网络攻击。该国通信监管机构Roskomnadzor（俄罗斯联邦通信、信息技术和大众传媒监督局）表示，封禁源于对俄罗斯通信基础设施及主权互联网Runet的安全担忧。 该机构指控Speedtest收集的详细数据可能被恶意利用。“这家美国公司获取俄罗斯通信节点布局和容量数据，”Roskomnadzor向当地媒体声明称，“这些数据可用于策划、实施及评估针对俄罗斯网络及相关系统的攻击。” Speedtest在俄罗斯被广泛使用，包括电信运营商用于内部分析。但该机构指出，这家美国平台此前未能遵守俄罗斯数据法律。Ookla因未按当地法律要求将俄罗斯用户数据本地化存储，在2022年及2023年连续两年被处以罚款。 作为替代方案，Roskomnadzor建议用户转向国产应用ProSet。这款由政府关联机构开发的安卓工具可测量数据速度、移动信号强度和网络可用性。目前其普及度有限：过去一年下载量仅约2万次，在俄罗斯应用商店Rustore平均评分2.9分（满分5分），用户对其性能、准确性和可靠性差评如潮。 周三早些时候，故障追踪服务Downdetector报告Speedtest服务中断的投诉激增。Downdetector于2018年被总部位于西雅图的Ookla收购。俄罗斯现正使用该服务的本地托管版本来追踪影响国家服务的故障。截至发稿，Ookla未回应置评请求。 此举正值俄罗斯多个地区移动网络持续中断且网速下降之际，也反映政府正加大力度用国产技术替代外国产品，并加强对俄互联网的控制。 今年6月，美国基础设施公司Cloudflare报告称，俄罗斯互联网提供商已开始屏蔽使用其服务的网站。虽未获官方解释，但Cloudflare表示该限制符合莫斯科孤立其数字基础设施的战略。 据报道，俄当局正考虑封禁该国最普及的通讯应用WhatsApp，同时推广名为Max的国产替代品（目前处于测试阶段），旨在打造类似中国微信的国家级通讯平台。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯两家最大连锁药店本周遭网络攻击，导致全国数百家药店停业，患者无法支付费用及预定药品。运营约1000家门店的Stolichki药店连锁证实，周二造成其业务中断的技术故障源于黑客攻击。截至周三，Stolichki仍在全力恢复服务，目前约半数门店已重新营业。 另一家大型连锁药店Neofarm（在莫斯科和圣彼得堡拥有超110家门店）同样暂停运营，店面张贴告示称系“技术问题”。两家药店的在线服务（包括药品预订和会员系统）均遭破坏，员工被遣散回家。 Stolichki与Neofarm同属一家控股公司，该公司原由前国家杜马议员叶夫根尼·尼凡蒂耶夫控制。2022年因支持俄罗斯入侵乌克兰遭西方制裁后，尼凡蒂耶夫将股份转让给投资基金。但当地媒体报道暗示他可能仍间接掌控该企业。 除药店外，莫斯科家庭医生诊所网络本周也报告网络事件，导致患者门户和在线预约系统暂时瘫痪。工作人员向国家通讯社表示，目前仅接受现场就诊。尚不确定该事件是否与药店攻击相关。 俄罗斯国家互联网监管机构Roskomnadzor声明此次中断非分布式拒绝服务（DDoS）攻击所致，但未说明黑客攻击方式或来源。目前尚无组织宣称对事件负责。暗网论坛用户谴责针对医疗服务的攻击违背道德，暗示可能存在地缘政治动机。 此次事件正值俄罗斯企业本月遭遇网络攻击激增。本周初，俄罗斯最大航空公司俄罗斯航空遭攻击导致大面积航班延误取消。亲乌克兰黑客组织“沉默之鸦”和白俄罗斯网络游击队宣称对此负责，称攻击目标是航空公司关键基础设施。 此外，本月初勒索软件攻击扰乱俄罗斯大型酒类生产商Novabev集团运营，迫使旗下2000多家WineLab酒店停业三天。该公司声明虽收到赎金要求但拒绝谈判。周三，圣彼得堡最大互联网供应商之一因遭受DDoS攻击出现网络中断，该公司定性为“恶意行为”，但未归因特定组织。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苹果已修复一个被用于攻击谷歌Chrome用户的高危零日漏洞。该漏洞编号为CVE-2025-6558（CVSS评分8.8），苹果通过安全更新予以解决。 此漏洞源于谷歌Chrome 138.0.7204.157之前版本中ANGLE与GPU组件对不可信输入的验证不足，可能使远程攻击者通过特制HTML页面实现沙箱逃逸。 ANGLE（近乎原生图形层引擎）是谷歌开发的开源图形引擎，充当OpenGL ES与Direct3D、Vulkan、Metal等其他图形API之间的兼容层。 谷歌威胁分析小组（TAG）研究员Clément Lecigne和Vlad Stolyarov于2025年6月23日报告此漏洞。本周，美国网络安全和基础设施安全局（CISA）将其纳入已知被利用漏洞（KEV）目录。谷歌TAG团队专门调查国家背景黑客及商业间谍软件发动的攻击，此次漏洞极可能已被某威胁组织实际利用。 “谷歌确认针对CVE-2025-6558的漏洞利用程序已在野出现。”谷歌发布的警报声明称。 苹果在公告中说明：“此漏洞存在于开源代码中，苹果软件属于受影响项目。CVE编号由第三方机构分配。”并警告称“处理恶意构造的网络内容可能导致Safari意外崩溃”。 苹果已通过WebKit安全更新修复以下产品的漏洞： iOS 18.6与iPadOS 18.6：iPhone XS及后续机型；13英寸iPad Pro、12.9英寸iPad Pro（第三代及后续）、11英寸iPad Pro（第一代及后续）、iPad Air（第三代及后续）、iPad（第七代及后续）及iPad mini（第五代及后续） macOS Sequoia 15.6：所有运行macOS Sequoia的Mac设备 iPadOS 17.7.9：12.9英寸iPad Pro（第二代）、10.5英寸iPad Pro及iPad（第六代） visionOS 2.6：Apple Vision Pro watchOS 11.6：Apple Watch Series 6及后续机型 tvOS 18.6：Apple TV HD与Apple TV 4K（所有型号）       消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 停业逾一年后，加密货币平台FTX日本被曝泄露超3.5万名用户的个人及财务数据。 与已停止运营的FTX日本平台相关联的Amazon S3存储桶发生数据暴露，揭示该交易所虽已正式终止运营多年，但后台基础设施可能仍在运行并泄露超3.5万用户信息。该存储桶于2025年5月12日被发现，内含超2600万份文件，包括HTML格式的财务报告、日志记录及最新生成于2024年7月4日的用户数据。 泄露数据表明，在该平台履行完客户提现义务且被认定已完全关闭后，与其关联的自动化报告系统仍长期保持运行状态。 该交易所最初以Liquid by Quoine名义运营，是日本首批获得加密监管许可的平台之一。2022年被声名狼藉的FTX收购，不久后FTX全球崩盘，创始人Sam Bankman-Fried因欺诈罪获刑25年。 FTX日本因隔离了客户资金，得以在2022年11月FTX破产后仍向用户返还余额。该流程于2023年初完成，此后FTX日本预计将逐步关闭。 哪些数据遭暴露？ 此次泄露揭示出高达35,668个独立用户标识符，按电子邮箱或Auth0用户ID（身份验证系统标识符）分类。暴露的报告包含敏感财务数据，例如： 用户名及真实姓名 电子邮箱地址 居住地址 FTX账户ID 详细交易日志，包括借贷历史记录、加密货币类型、抵押品种类、保证金率及风险标识符 部分报告还包含账户状态指标，如清算警告和保证金风险触发值，引发对攻击者可能从数据中获取洞察程度的担忧。 尽管FTX日本在2022年11月全球FTX崩盘数月后，于2023年2月正式完成客户提现，但新曝光的文件表明其后台流程（如自动化报告）持续运行至2024年。2024年FTX日本被另一加密货币交易所bitFlyer收购并更名为Custodiem，新所有者原计划将FTX日本客户账户迁移至bitFlyer基础设施。 “尚不确定此次泄露属于Custodiem正在使用的基础设施，还是FTX崩盘后遗留的未修改废弃系统，”Cybernews研究团队解释称，“因此也无法明确这些个人数据属于Custodiem用户，还是拒绝在崩盘后迁移至Custodiem的FTX日本客户。” 数据泄露同时引发隐私与合规担忧。根据日本法律，加密货币交易所必须遵守严格的网络安全及数据保护标准。敏感数据长期暴露且缺乏保护，可能构成对国内外数据保护标准的严重违反。 由于以下原因，FTX日本或当前负责基础设施的实体可能违反数据保护法： 不当数据留存 停业后未停用系统 缺乏数据匿名化或加密措施 对个人身份信息（PII）及财务记录的保护不足 Cybernews已就数据泄露事件联系该公司，但截至发稿未获回应。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 罗马尼亚超1万人被引诱参与Instagram和Facebook上的游戏，用户误以为赢得超值优惠：仅需支付2美元即可获得麦当劳汉堡、芝士汉堡、巨无霸、鸡肉汉堡各一份，外加四份薯条和四杯可口可乐。 一场打着“难以置信快餐优惠”幌子的新型订阅骗局正在掏空用户钱包。安全公司Bitdefender警告称，诈骗者通过投放广告宣传虚假麦当劳促销活动，诱骗社交媒体用户陷入高额订阅陷阱。 研究人员揭露了当前在罗马尼亚大规模运行的骗局，已波及超1万人。诈骗者在Facebook和Instagram广告中宣称提供三重套餐，仅需10罗马尼亚列伊（约合2美元）。 点击广告的用户需完成简单三题问卷，随后被重定向至点击式游戏界面，声称可赢取麦当劳奖品，以此制造真实性和紧迫感假象。但结果与运气无关——所有参与者最终都会成为“赢家”。 Bitdefender分析师在报告中指出：“受害者不仅未获得廉价餐食，反而被绑定每两周自动扣费63.42欧元（约73美元）的订阅服务。” 为领取奖品，受害者需填写看似正规的表格（页面展示虚假好评以博取信任），仅细则条款注明用户将接受每14天一次的定期扣费。 该骗局自7月17日持续至今。研究人员已在Meta平台发现至少六种广告变体，均来自虚假品牌McDelight România，类似骗局亦出现在匈牙利和荷兰市场。 Bitdefender郑重提醒：“请牢记——任何正规企业绝不会为免费餐食收取每两周63.42欧元的费用。” 防护建议：避免在可疑促销网站输入支付信息；警惕隐藏订阅费的细则条款；向Meta平台举报诈骗广告；若怀疑受骗，立即联系银行拦截未授权扣款。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国折扣零售巨头Dollar Tree（美元树）被最臭名昭著的勒索软件团伙之一宣称攻击。该团伙在其暗网博客上公布了该公司，声称已获取超过1TB数据。而Dollar Tree表示已知悉攻击者的声明，并强调任何关于该公司卷入此事的指控均不属实。 Dollar Tree的名称近期出现在INC Ransom的泄密网站上——该团伙利用此网站展示其最新受害者。攻击者宣称这家折扣零售巨头已成为“数据泄露的受害者”，并威胁“1.2TB敏感及个人数据即将公开”。 Dollar Tree向Cybernews表示，公司已注意到勒索软件团伙的声明，但指出数据泄露指控仅涉及其在2024年收购的99 Cents Only连锁店。公司发言人声明：“这些指控中提及的文件似乎涉及前99 Cents Only员工。Dollar Tree与99 Cents Only Stores的关联仅限收购其关闭后的部分房地产租赁权。我们并未收购其企业实体、系统/网络或数据。任何关于Dollar Tree卷入此事的指控均不准确。” Dollar Tree是零售业巨头，在美加拥有超15,000家门店，雇员超65,000人，2024年营收逾175亿美元。 由于该团伙刚将Dollar Tree列入其暗网博客，目前尚未在公告中附加完整数据样本。勒索软件团伙通常先公布受害者，再以泄露数据为威胁逼迫其支付赎金。 截至目前，INC Ransom仅上传了少数据称与Dollar Tree相关的文档截图，但大部分信息指向另一折扣连锁品牌99 Cents Only（Dollar Tree于2024年收购）。攻击者可能获取了99 Cents Only遗留系统或与并购相关的企业数据库。 若事件属实，这并非Dollar Tree数据首次外泄。2023年有报道称，该公司曾将员工及客户未加密信息共享给第三方供应商，而后者随后遭入侵。 INC Ransom是当前最活跃的勒索软件团伙之一。该组织两年前首次被发现，此后攻击名单持续扩大，受害者包括国防承包商Stark AeroSpace、旧金山芭蕾舞团、英国莱斯特市政府及施乐公司（Xerox Corporation）等。 该团伙攻击目标广泛，甚至曾针对加拿大汉密尔顿教区天主教墓园等非营利机构。据Cybernews暗网监测工具Ransomlooker显示，过去12个月INC Ransom已侵袭超200家组织，其中7月是其攻击高峰。 该团伙采用“多重勒索”手段：不仅加密窃取数据，更威胁不付款即公开数据。其攻击行业横跨医疗、教育及政府领域，目标地域集中于西方国家，但明确避开独联体国家——这与许多俄罗斯背景网络犯罪团伙的策略一致。 有研究人员认为，新兴勒索团伙Lynx可能是INC Ransom成员重组或更名的产物。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文