HackerNews

HackerNews 编译，转载请注明出处： 网络安全博客KrebsOnSecurity近期遭遇峰值达6.3太比特/秒（Tbps）的分布式拒绝服务（DDoS）攻击，创下Google防御系统处理流量的新纪录。该博客由美国知名安全调查记者Brian Krebs运营，受Google免费反DDoS服务Project Shield保护，尽管攻击仅持续45秒，未造成服务中断，但暴露出物联网僵尸网络Aisuru的恐怖威力。 此次攻击由自2024年活跃的Aisuru僵尸网络发起，该网络通过Telegram以每周数百美元价格提供DDoS租用服务。攻击流量包含每秒5.85亿个UDP数据包，随机轰击服务器端口。Google安全工程师Damian Menscher证实，这是Google有史以来拦截的最大规模攻击，但得益于Project Shield的即时响应，博客未出现可见服务降级。 Aisuru的独特之处在于其专注于劫持路由器、监控摄像头等物联网设备，且未与其他僵尸网络形成设备资源竞争，这使得其攻击火力更为集中。安全专家警告，该网络利用未知漏洞控制设备，潜在破坏力远超传统僵尸网络。 此次攻击规模仅次于Cloudflare在2025年4月记录的6.5Tbps历史峰值。数据显示，2025年第一季度Cloudflare已拦截超700次“超大规模”攻击（流量超1Tbps），这类攻击通常仅持续35-45秒，但足以瞬间瘫痪多数网络基础设施。 Brian Krebs通过线索追踪到僵尸网络运营者“Forky”，此人长期经营DDoS租用业务。但面对质询时，Forky否认参与此次攻击，并拒绝透露客户信息。安全社区担忧，此类服务的匿名性正使DDoS攻击日益成为商业打击与网络勒索的常规武器。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究人员发现并调查了谷歌云平台（GCP）Cloud Functions与Cloud Build服务中潜在的权限升级漏洞。该漏洞最初由Tenable研究团队披露，攻击者可利用GCP云函数的部署流程获取高权限。谷歌随后发布补丁，限制默认Cloud Build服务账户的过度权限。 思科Talos团队在Tenable研究基础上，复现攻击手法并测试其对多云平台的影响。研究人员在GCP部署含恶意package.json文件的Debian服务器（集成NPM与Ngrok），通过提取令牌模拟攻击，确认谷歌补丁已修复原始提权路径。但实验表明，即使无特权访问，相同技术仍可用于环境探测（如系统映射）。将篡改后的package.json部署至AWS Lambda与Azure Functions后，验证该策略在跨云场景中的普适性。 研究揭示攻击者可利用的多种系统信息收集手段： 基于ICMP协议的网络拓扑发现 检测.dockerenv文件确认容器化环境 分析CPU调度机制识别初始化系统 容器ID与挂载点检查（用于逃逸路径探测） 操作系统与内核版本信息提取 用户权限扫描（辅助提权） 网络流量分析（漏洞评估） 此类技术无需特权凭证即可实施，在服务账户权限受控场景下仍具威胁。 谷歌根据Tenable报告调整Cloud Build运行逻辑，新增细粒度服务账户管控策略。Talos证实，GCP中利用此方法窃取服务账户令牌已不可行。企业防护措施应包括： 对所有服务账户实施最小权限原则 定期审计与监控权限配置 设置云函数异常修改告警 检查外发流量是否存在数据窃取迹象 验证外部NPM包的完整性 尽管原始漏洞已修补，该研究仍凸显宽松配置带来的持续性风险及多云环境持续监控的重要性。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Check Point披露，黑客利用伪造的Kling AI社交媒体页面及广告，诱导用户下载恶意软件。Kling AI是快手科技2024年6月推出的AI生成图像与视频平台，截至2025年4月用户超2200万。攻击者仿冒官网（如klingaimedia[.]com）设置钓鱼网站，宣称支持浏览器端生成多媒体内容，实则提供藏匿恶意代码的ZIP压缩包。 恶意文件采用双重扩展名（如.jpg.exe）及韩语填充符（0xE3 0x85 0xA4）伪装。压缩包内嵌加载器程序，可植入远程访问木马PureHVNC，并窃取浏览器凭证、会话令牌等数据。该加载器具备反分析能力： 监测Wireshark、OllyDbg等安全工具进程 修改注册表实现持久化驻留 通过注入CasPol.exe等系统进程规避检测 第二阶段载荷PureHVNC RAT使用.NET Reactor混淆，连接C2服务器185.149.232[.]197，具备窃取Chromium浏览器加密货币钱包插件数据、捕捉含特定关键词（银行/钱包名称）窗口截屏等功能。 Check Point已发现至少70个仿冒Kling AI的推广帖，部分广告显示攻击者可能来自越南。这种利用Facebook广告分发窃密软件的手法，与越南黑客组织近年活动模式高度吻合——例如2025年4月Morphisec曾曝光越南团伙通过虚假AI工具传播Noodlophile窃密程序。 《华尔街日报》指出，Meta旗下Facebook和Instagram正面临“诈骗泛滥”，虚假促销、投资骗局及赠品欺诈内容多源自斯里兰卡、越南及菲律宾。另据Rest of World调查，东南亚人口贩卖集团通过Telegram和Facebook发布虚假招聘广告，诱骗印尼青年至诈骗园区从事跨国投资欺诈。 Check Point警告，此类攻击结合社会工程与高阶恶意软件技术，标志着社交媒体定向攻击趋向精准化、复杂化。安全团队建议用户警惕AI工具类广告，下载前验证域名真实性，并启用实时文件扫描防护。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：   卡巴斯基最新研究发现，俄罗斯企业正成为传播PureRAT恶意软件的钓鱼活动目标。该网络安全公司表示：“针对俄罗斯企业的攻击活动始于2023年3月，但2025年前三个月的攻击数量较2024年同期激增四倍。” 尚未归因于任何特定威胁行为体的攻击链始于包含RAR文件附件或存档链接的钓鱼邮件，攻击者通过使用双扩展名（如“doc_054_[已编辑].pdf.rar”）将文件伪装成微软Word或PDF文档。存档文件内包含可执行程序，当启动时会将自身复制到受感染Windows设备的“%AppData%”目录下并重命名为“task.exe”，同时在启动VBS文件夹中创建名为“Task.vbs”的Visual Basic脚本。 随后该可执行程序开始解压另一个名为“ckcfb.exe”的可执行文件，运行系统工具“InstallUtil.exe”，并向其中注入解密后的模块。“ckcfb.exe”则会提取并解密包含PureRAT恶意软件主载荷的DLL文件“Spydgozoi.dll”。PureRAT通过与命令控制（C2）服务器建立SSL连接传输系统信息，包括已安装的杀毒软件详情、计算机名称和系统启动后的运行时间。作为响应，C2服务器会发送多种执行恶意操作的辅助模块： PluginPcOption：可执行自删除命令、重启可执行文件以及关闭或重启计算机。 PluginWindowNotify：检查活动窗口名称是否包含“密码”、“银行”、“WhatsApp”等关键词，并执行未经授权的资金转移等后续操作。 PluginClipper：作为剪切板劫持恶意软件，将系统剪贴板中的加密货币钱包地址替换为攻击者控制的地址。 卡巴斯基指出：“该木马包含下载和运行任意文件的模块，可完全访问文件系统、注册表、进程、摄像头和麦克风，实现键盘记录功能，并允许攻击者通过远程桌面原理秘密控制计算机。” 启动“ckcfb.exe”的原始可执行文件还会同时提取第二个名为“StilKrip.exe”的二进制文件，这是被称为PureCrypter的商业化下载器，自2022年以来被用于投递各种有效载荷。“StilKrip.exe”被设计用于下载“Bghwwhmlr.wav”文件，该文件通过上述攻击流程运行“InstallUtil.exe”，最终启动名为“Ttcxxewxtly.exe”的可执行程序，该程序会解压并运行名为PureLogs的DLL载荷（“Bftvbho.dll”）。 PureLogs是一款现成的信息窃取程序，可从网络浏览器、电子邮件客户端、VPN服务、即时通讯应用、钱包浏览器扩展、密码管理器、加密货币钱包应用以及FileZilla和WinSCP等其他程序中窃取数据。卡巴斯基强调：“PureRAT后门和PureLogs窃取程序具有广泛功能，可使攻击者无限访问受感染系统和机密组织数据。带有恶意附件或链接的电子邮件始终是企业遭受攻击的主要途径。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯多个关键政府服务系统于本周二遭遇大规模分布式拒绝服务（DDoS）攻击，导致服务中断。据监测平台Downdetector数据显示，联邦税务局（FNS）、数字密钥管理系统（Goskey）及电子文档平台（Saby）等均受影响。Saby与FNS已确认攻击源自境外，正全力修复系统。 企业用户报告称，酒类销售管控平台与商品防伪追踪系统无法访问。此次事件距离上周大规模服务中断仅数日——彼时俄罗斯银行应用、社交平台VKontakte、即时通讯工具、Yandex服务及移动网络集体瘫痪。圣彼得堡电信运营商Severen-Telecom曾报告服务器遭DDoS攻击，但俄通信监管局（Roskomnadzor）未透露故障原因。 上周，某私立医院系统遭持续多日的网络攻击，导致患者病历管理软件瘫痪。亲乌克兰黑客组织4B1D宣称对此负责，但院方未披露细节。本周二，莫斯科卫生部门通报医疗记录系统“临时故障”，但拒绝归因于网络攻击。 俄乌网络战中，攻击常与重大政治事件同步。此次中断恰逢美国前总统特朗普与俄总统普京进行两小时通话，讨论乌克兰停火协议。尽管攻击方尚未认领责任，但历史数据显示，乌克兰IT Army等组织曾对类似目标实施攻击。网络安全专家指出，攻击是否刻意选择政治敏感时点仍有待调查。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 全球顶尖石油天然气企业的网络安全评估结果令人担忧。网络安全机构Cybernews最新报告显示，市值排名前400的能源巨头中仅10%通过基础安全测评，69%的企业得分处于D或F级高危区间。研究覆盖391家企业，其中超半数在过去30天内至少遭遇一次数据泄露，27.1%上周刚经历安全事件。 测评发现，91%企业存在SSL/TLS证书配置缺陷，导致数据传输面临窃听与篡改风险；74%企业的核心业务系统托管环境存在配置漏洞；48%未部署反钓鱼与反欺骗的邮件防护措施。软件补丁管理同样堪忧——32%企业存在常规补丁漏洞，20%放任可被直接利用的关键漏洞。Cybernews安全研究主管Vincentas Baubonis指出，单次勒索攻击即可引发生产停滞、股价暴跌与投资者信任危机，全行业仅有10%企业建立有效数字防线。 数据泄露已成常态，94%的受评企业曾发生泄密事件，80%企业员工凭证遭暗网贩卖，38%域名存在邮件伪造漏洞。历史数据显示，北美企业数据泄露发生率最高，但亚洲企业在多项风险指标中表现最差：68%重复使用已泄露密码（北美31%，欧洲39%），59%域名易受邮件伪造攻击（北美35%，欧洲27%），30%存在高风险漏洞，27%存在可被直接利用的致命漏洞。欧洲企业在各维度相对均衡，云环境风险与系统配置薄弱项少于其他地区。 该研究通过物联网搜索引擎、IP/域名信誉库及定制化扫描，基于公开信息评估企业网络安全状态。评估维度涵盖软件更新、网络防护、邮件安全、系统声誉、SSL配置、系统托管与泄密历史七大领域，旨在为企业提供透明化风险画像，助力构建抗攻击的数字基础设施。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 英国生鲜物流企业Peter Green Chilled近期遭遇勒索软件攻击，部分系统遭加密。该公司为乐购（Tesco）、奥乐齐（Aldi）等零售巨头提供冷链运输服务，此次事件距离玛莎百货（Marks & Spencer）重大网络攻击尚不足一月。BBC报道称，攻击者于周三加密企业数据并扰乱运营，公司内部邮件证实正在处理勒索软件事件。 网络安全研究员Aras Nazarovas指出，此类攻击可使物流企业陷入服务瘫痪，导致合作超市特定商品短期缺货。ISACA全球战略官Chris Dimitriadis强调，网络罪犯正将目标转向供应链环节——配送中断、库存损耗与财务损失将引发连锁反应。 近期英国零售业频现安全危机，除玛莎百货外，哈罗德百货（Harrods）、合作社集团（Co-op）相继遭入侵。据路透社数据，玛莎百货因攻击已损失超6000万英镑（约8000万美元）利润，市值蒸发逾10亿英镑。调查显示，攻击者通过第三方服务商塔塔咨询（TCS）两名员工的凭证侵入系统，黑客组织Scattered Spider被怀疑参与作案。该团伙以钓鱼技术著称，2023年曾伪装IT支持人员攻陷拉斯维加斯美高梅度假村与凯撒娱乐集团。 尽管Scattered Spider作案手法老练，执法机构已展开全球缉捕。2023年，涉嫌参与美高梅攻击的22岁英国公民Tyler Robert Buchanan在西班牙落网。同年11月，美国起诉包括Ahmed Hossam Eldin Elbadawy在内的五名该组织成员。安全专家警示，供应链环节的数字化依赖度攀升，物流企业需强化第三方供应商的凭证管理及零信任架构部署。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Thales《2025年数据威胁报告》显示，面对生成式AI（GenAI）带来的安全风险，73%的企业正在通过新增预算或重新分配资源的方式采购AI专用安全工具。其中，超三分之二的企业选择云服务商提供的解决方案，60%依赖传统安全厂商，约半数尝试新兴初创公司的产品。AI安全已成为企业第二大安全投入重点，仅次于云安全。 近70%的IT与安全从业者认为，快速迭代的生成式AI生态系统（涵盖新型基础设施、SaaS服务与自主代理）是采用该技术的首要安全顾虑。此外，64%担忧数据完整性，57%质疑结果可信度。尽管存在风险，仍有三分之一企业处于GenAI技术的”集成”或”转型”阶段。 报告指出，45%的受访企业曾遭遇数据泄露，较2024年的49%略有下降。自2021年（56%）以来，受泄密影响的企业比例呈逐步下降趋势。过去12个月内发生泄露的企业占比为14%，与上年持平。值得注意的是，未通过合规审计的企业中有78%曾遭遇数据泄露，而通过审计的企业该比例仅为21%。恶意软件、钓鱼攻击与勒索软件仍是年度三大主要攻击类型。 近60%的企业采用生物识别技术，47%部署无密码认证（如通行密钥），这类技术能有效防范钓鱼攻击与凭证填充等账户劫持行为。研究覆盖全球20个国家、15个行业的3000余名IT与安全专家。 451 Research首席分析师Eric Hanselman评论称：“生成式AI的快速演进迫使企业加速布局，但往往以牺牲谨慎为代价。许多企业在尚未完全理解应用架构的情况下仓促部署，加之集成GenAI能力的SaaS工具激增，多重因素叠加放大了复杂性与风险。”       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Netacea最新研究显示，大西洋两岸近半数消费者曾遭遇社交媒体平台推送的零售欺诈广告，这些广告以“退款技巧”为幌子诱导用户参与诈骗。该公司对英美2000余名消费者展开调查，发现欺诈行为正通过主流社交媒体的高曝光广告逐渐“去罪化”。 地下犯罪产业阳光化 报告指出，以往仅存于暗网“欺诈即服务”论坛的犯罪指南，如今公然现身TikTok等平台。Netacea威胁服务副总裁Matthew Gracey-McMinn分析称：“犯罪组织利用社交媒体近乎无限的‘干净账户’资源（即未被风控系统标记的可信账户），通过诱导千禧一代‘轻松赚钱’，实际上将其培养成实施恶意活动的‘数字骡子’。” 触目惊心的数据 45%受访者承认收到过零售欺诈指南广告，58%接触过伪装成网红内容的退款骗局 16%认为零售欺诈属于“无受害者犯罪”，58%认为零售商应自行承担欺诈损失且不会影响经营 23%曾产生欺诈冲动，15%表示在特定条件下会尝试更严重的欺诈行为，34%认为单笔100英镑以内的欺诈可以接受 社交裂变式传播 18%受访者表示看到过网红推广欺诈手段，而通过亲友（37%）、同事（21%）、同学（9%）接触相关信息的比例高达82%。常见欺诈手法包括：谎称未收到货物骗取退款/补发、调包退货、盗用支付信息购物、使用非法获取的礼品卡或账户余额消费、雇佣专业“退单服务商”等。 内部腐败风险攀升 18%受访者承认认识从事内部欺诈的人员（其中12%在零售企业工作，6%在物流服务商任职）。这与Ravelin上周发布的报告相呼应——零售商普遍认为普通消费者带来的威胁已不亚于职业欺诈团伙。 Netacea警告称，欺诈行为的文化接受度正在发生危险转变：“我们每天监控暗网市场的职业罪犯，但如今零售欺诈技术已从阴影走向公开——它们在朋友间传播，在网络平台大肆推广。令人震惊的是，相当部分公众不仅看得见这些行为，甚至认为其可以接受。”       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 斯里兰卡、孟加拉国与巴基斯坦的高级别政府机构近期成为APT组织SideWinder新一轮攻击的重点目标。 研究人员发现，攻击者采用鱼叉式钓鱼邮件结合地理围栏技术，确保仅特定国家的目标会收到恶意载荷。攻击链通过诱饵文档激活感染流程，最终部署名为StealerBot的恶意软件，该作案手法与此前披露的SideWinder活动特征一致。 此次攻击瞄准南亚多国关键部门，包括孟加拉国电信监管委员会、国防部与财政部，巴基斯坦本土技术发展局，以及斯里兰卡外债管理局、国防部与中央银行。攻击者利用微软Office中历史悠久的远程代码执行漏洞（CVE-2017-0199与CVE-2017-11882）作为初始攻击媒介，部署具备持久化访问能力的恶意程序。 恶意文档被打开时触发CVE-2017-0199漏洞，通过DLL侧载技术释放后续载荷安装StealerBot。攻击者采用地理围栏技术增强隐蔽性：若受害者IP地址不符合预设国家范围，系统仅返回空白RTF文件作为诱饵。实际恶意RTF文件利用公式编辑器漏洞CVE-2017-11882触发内存破坏，执行基于shellcode的加载器运行StealerBot。 StealerBot是基于.NET开发的模块化植入程序，能够投放额外恶意组件、启动反向shell，并从受控主机窃取屏幕截图、键盘记录、密码、文件等敏感数据。分析指出，该组织展现出持续的活跃度与精准控制能力——恶意载荷仅在限定时间内分发给经过严格筛选的目标，反映出其组织架构的延续性与攻击意图的持久性。 攻击活动中，SideWinder延续了其标志性战术：频繁更新工具集以规避安全检测，通常在安全解决方案识别其工具后5小时内生成新变种。若遭遇行为检测，则迅速调整持久化维持与组件加载技术，并修改恶意文件路径及名称。尽管主要依赖旧版Office漏洞实施攻击，但其对目标选择的高度精准性与攻击流程的严密控制，仍使其成为南亚地区最具威胁的APT组织之一。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 未知攻击者自2024年2月起在Chrome应用商店投放多款恶意扩展程序，这些程序表面提供生产力工具、VPN、加密服务等实用功能，实则暗藏数据窃取、远程代码执行等恶意模块。 网络安全公司DomainTools调查发现，攻击者搭建仿冒DeepSeek、Manus、DeBank等知名服务的钓鱼网站，诱导用户安装对应扩展。这些扩展通过manifest.json文件申请过度权限，可劫持浏览器会话、注入广告、执行远程服务器下发的任意代码，甚至利用临时DOM元素的“onreset”事件处理器绕过内容安全策略（CSP）。 部分恶意扩展被检测到与超过100个仿冒网站相关联，其中一些网站嵌入了Facebook追踪ID，暗示攻击者可能通过Meta平台（如群组、广告）进行传播。用户安装后，扩展会窃取浏览器Cookie、建立WebSocket代理通道，并操控流量实现重定向攻击。 尽管Google已下架相关扩展，但安全专家指出，攻击者通过在应用商店和常规搜索结果中同时存在虚假页面，大幅提升用户中招概率。更隐蔽的是，部分扩展（如仿冒DeepSeek的案例）将低分评价用户重定向至私人反馈表单，而高分评价则正常显示在官方页面，以此伪造虚假好评。 DomainTools建议用户仅从认证开发者处下载扩展，安装前仔细审查权限请求，警惕名称相似的仿冒应用。同时提醒，评分系统可能被恶意过滤负面评价所操控，需结合多方信息综合判断。目前尚未明确攻击者身份，相关调查仍在进行中。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Elementor建站工具配套插件RomethemeKit曝出严重安全漏洞，该漏洞允许远程代码执行（RCE），目前已在1.5.5版本中完成修复。这款拥有超3万活跃安装量的插件主要用于为Elementor用户提供模板、部件和图标包，简化缺乏编程经验用户的建站流程。 网络安全公司Patchstack研究发现，旧版本中的install_requirements函数因缺少权限验证和非随机数（nonce）检查，使得任何已认证用户（包括仅具备订阅者权限的低权账户）均可利用此漏洞安装并激活任意插件。恶意插件一旦激活，攻击者即可远程执行任意代码。该漏洞被收录为CVE-2025-30911。 开发商Rometheme于2025年1月14日收到漏洞通报，1月30日发布的1.5.4版本尝试修补但未彻底解决问题。直至3月14日推出的1.5.5版本才通过添加权限验证和非随机数检查实现完整修复。 为避免同类漏洞，安全专家建议插件开发者在设计与开发阶段采取以下措施： 对涉及文件上传、插件安装、设置变更等管理级操作实施严格权限控制。 为所有通过AJAX发起的操作添加非随机数验证，防范跨站请求伪造（CSRF）攻击。 禁止向订阅者、投稿者等低权限角色开放插件安装/激活等敏感功能接口。 建立完善的验证框架并遵循WordPress官方编码规范，可显著降低远程代码执行等风险。定期代码审计、安全测试与及时更新同样是保障插件安全的关键措施。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Mozilla已发布安全更新，修复其Firefox浏览器中两个可能被用于窃取敏感数据或执行任意代码的严重漏洞。这两个漏洞均作为零日漏洞在Pwn2Own柏林黑客大赛中被利用，详情如下—— CVE-2025-4918：解析Promise对象时存在的越界访问漏洞，攻击者可借此对JavaScript Promise对象实施读写操作。 CVE-2025-4919：优化线性累加运算时存在的越界访问漏洞，攻击者可通过混淆数组索引尺寸对JavaScript对象实施读写操作。 简而言之，成功利用任一漏洞的攻击者都能实施越界读写，进而窃取敏感信息或造成内存损坏，最终实现代码执行。该系列漏洞影响范围包括： 138.0.4版本之前的所有Firefox浏览器（含安卓版） 128.10.1版本之前的所有Firefox扩展支持版（ESR） 115.23.1版本之前的所有Firefox ESR版本 CVE-2025-4918的发现与报告归功于Palo Alto Networks的Edouard Bochin与Tao Yan，CVE-2025-4919则由Manfred Paul发现。值得注意的是，这两个漏洞在上周的Pwn2Own柏林赛事中被成功演示利用，发现者各获得5万美元奖金。 Mozilla在声明中强调：“两起攻击均未突破我们的沙箱环境（这是获取用户系统控制权的必要条件）。尽管实际影响有限，仍建议所有用户和管理员立即升级至最新版本。”鉴于浏览器仍是恶意软件传播的主要载体，及时更新成为抵御潜在威胁的关键措施。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Cyble的最新监测数据显示，由于云存储桶配置错误导致的海量数据泄露仍在持续恶化。这家专注于暗网监控与威胁情报的企业透露，其漏洞扫描工具在七大主流云服务商处发现超过66万个暴露的存储桶，涉及2000亿份外泄文件。 仅针对凭证、源代码和机密文件三类敏感数据的筛选就暴露出数百万份高风险文件。Cyble研究人员具体指出：以“源代码”和Go语言为筛选条件，发现560万条结果；环境变量凭证过滤显示11万份敏感信息；机密文件检索则呈现逾160万条记录。 与去年8月相比，暴露云存储桶数量激增30%以上（当时监测到超50万个）。分析报告强调，存储桶配置错误已成为数据泄露的常见诱因——“即使大型企业也难以完美管控云存储访问权限，公开可访问的配置失误屡见不鲜。虽然云存储默认私有，但在共享对象或资源时极易引发复杂风险”。 监测案例显示，外泄数据类型涵盖文档、凭证、源代码乃至内部备份等关键资产。Cyble警告称，这类漏洞正在成为攻击者获取初始访问权限的重要跳板。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Python软件包仓库PyPI上新发现的恶意软件包dbgpkg引发了对开源生态安全性的新一轮担忧。 网络安全公司ReversingLabs披露，这个伪装成调试工具的程序实际上是为植入隐蔽后门提供通道，其恶意活动被认为与亲乌克兰黑客组织Phoenix Hyena存在关联。该组织自2022年俄乌冲突以来持续针对俄罗斯网络目标发起攻击，2024年曾入侵俄罗斯网络安全公司Dr.Web并泄露数据。 在技术实现方面，该恶意软件利用Python函数装饰器植入后门，通过sys.modules劫持requests和socket等常用网络库，在运行时模块被调用前保持潜伏状态。触发后，恶意代码首先检查是否存在后门程序。若未检测到，则会分阶段执行从Pastebin平台下载公钥、安装防火墙穿透工具Global Socket Toolkit，以及发送加密密钥至私密地址等操作。这种将恶意行为隐藏于可信模块调用的手法极大增加了检测难度。 安全研究人员指出，该后门与Phoenix Hyena组织使用的恶意软件存在技术相似性。该组织以Telegram频道DumpForums为平台持续泄露窃取的俄罗斯敏感数据。虽然不能完全排除模仿者作案的可能，但相同攻击载荷的反复使用及时间线特征增强了关联证据的可信度。 值得注意的是，攻击者采用的函数装饰器、隐蔽网络工具包等先进技术显示出其高超的技术能力和持久渗透意图。虽然dbgpkg被快速发现，但其前身discordpydebug软件包曾潜伏三年未被察觉，累计下载量超过11,000次。这警示开发者即使面对看似有用的工具也必须保持审慎态度，避免从不可信来源安装软件包。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 英国法律援助署（LAA）确认，近期遭受的网络攻击实际影响远超最初评估，攻击者已窃取大量包含申请人敏感信息的数据。这一结论由深度参与调查的英国政府正式公布。 LAA作为英国司法部下设的执行机构，负责为无力承担法律费用的人群提供法律咨询、诉讼代理等法律援助服务。其援助资格审核涵盖申请人的收入、资产状况及案件性质（涉及家庭法、住房、债务、移民、心理健康和刑法等领域）。 本月初，该机构首次披露遭遇安全事件，称少量财务信息可能遭泄露。但最新发布于英国政府门户网站的公告显示事态更为严峻：自2010年至今的大量数据或已遭窃。公告指出：“5月16日（周五），我们发现攻击波及范围远超预期，攻击组织已获取与法律援助申请人相关的大量信息。据信该组织已访问并下载了自2010年以来通过我们数字服务申请法律援助人群的大量个人数据。” 潜在泄露数据包括： 联系方式 出生日期 国民身份证号 犯罪记录 就业状态 法律费用分摊金额、债务与支付记录 英国政府建议所有申请人警惕针对性的诈骗行为，强调在共享敏感信息前需验证通信真实性。法律援助署首席执行官Jane Harbottle就事件致歉，表示“对此深表遗憾”，并承诺将尽快提供更多进展通报。目前，所有LAA系统已在国家网络安全中心（NCSC）协助下完成加固，线上申请服务已暂时关闭。 此次事件正值英国合作社、哈罗德百货、玛莎百货等零售企业遭受灾难性攻击之际，相关攻击被认为与Scattered Spider组织有关联，攻击者试图在受感染网络部署DragonForce勒索软件。目前尚不清楚LAA事件是否与这些攻击存在关联。根据谷歌安全研究人员的追踪，该组织近期已将攻击目标转向美国。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Arla Foods向BleepingComputer证实，其生产运营因遭遇网络攻击而中断。 这家丹麦食品巨头澄清称，攻击仅影响其位于德国Upahl的生产部门，但预计将导致产品交付延迟甚至取消。“我们可以确认，在德国Upahl乳制品厂发现的可疑活动影响了当地IT网络，”Arla发言人表示，“出于安全考虑启动的应急措施导致生产暂时受阻。” Arla Foods是一家国际化乳制品生产商，拥有7,600名成员的农民合作社，在39个国家雇佣23,000名员工。该公司年收入达138亿欧元（约合15.5亿美元），旗下Arla、Lurpak、Puck、Castello和星巴克等品牌产品销往全球140个国家。 Arla向BleepingComputer透露，目前正全力恢复受影响工厂的运营，预计本周末前将取得进展。“自事件发生以来，我们始终致力于全面恢复运营。预计未来几天该工厂将恢复正常，其他生产基地未受影响。”考虑到有关生产中断的消息最早于周五传出，部分地区可能出现产品短缺。“我们已通知受影响客户可能存在延迟交付或取消订单的情况。”发言人补充道。 BleepingComputer曾询问此次攻击是否涉及数据窃取或加密（勒索软件攻击的典型特征），但Arla目前拒绝透露更多细节。与此同时，尚未有勒索组织在勒索门户网站宣称对此次事件负责，因此攻击类型与实施者仍属未知。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁行为者至少持续八个月分发被植入木马的KeePass密码管理器版本，用于安装Cobalt Strike信标、窃取凭证并最终在攻陷网络中部署勒索软件。 WithSecure威胁情报团队在调查某次勒索攻击时发现了该活动。研究人员发现，攻击始于通过Bing广告推广的虚假软件网站传播恶意KeePass安装程序。 由于KeePass是开源软件，攻击者通过修改源代码构建了名为KeeLoader的木马版本。该版本保留了密码管理器的全部正常功能，但被植入了安装Cobalt Strike信标的代码，并将KeePass密码数据库以明文形式导出，随后通过信标实施窃取。 WithSecure指出，本次活动中使用的Cobalt Strike水印与某初始访问代理（IAB）存在关联，该代理疑似曾参与Black Basta勒索软件攻击。Cobalt Strike水印是嵌入信标的唯一标识符，与生成载荷时使用的许可证绑定。 “这种水印常见于涉及Black Basta勒索软件的信标和域名。很可能是由与Black Basta密切合作的初始访问代理使用，”WithSecure解释道，“我们尚未发现其他使用此Cobalt Strike信标水印的事件（无论是勒索软件还是其他类型），但这不意味着此类事件不存在。” 研究人员发现多个KeeLoader变种已通过合法证书签名，并借助keeppaswrd[.]com、keegass[.]com和KeePass[.]me等仿冒域名传播。BleepingComputer证实，keeppaswrd[.]com网站仍在运营，持续分发带毒安装程序（VirusTotal检测记录）。 除部署Cobalt Strike信标外，木马化KeePass程序还包含密码窃取功能，可窃取用户输入的所有凭证。WithSecure报告指出：“KeeLoader不仅被改造为恶意软件加载器，其功能还被扩展以实现密码数据库窃取。当KeePass数据库被打开时，账户、登录名、密码、网站及备注信息会以CSV格式导出至%localappdata%目录，文件名采用100-999之间的随机整数值。” 在WithSecure调查的案例中，攻击最终导致该公司的VMware ESXi服务器遭勒索软件加密。进一步调查发现，攻击者构建了庞大基础设施用于分发伪装成合法工具的恶意程序，以及用于窃取凭证的钓鱼页面。 aenys[.]com域名被用于托管多个仿冒知名企业的子域名，包括WinSCP、PumpFun、Phantom Wallet、Sallie Mae、Woodforest Bank和DEX Screener。这些子域名分别用于分发不同恶意软件变种或实施凭证窃取。 WithSecure以中等置信度将该活动归因于UNC4696组织，该团伙此前与Nitrogen Loader攻击活动存在关联。早期的Nitrogen活动涉及BlackCat/ALPHV勒索软件。 安全专家建议用户始终从官方网站下载软件（尤其是密码管理器等高敏感度工具），并避免点击广告中的链接。即使广告显示的是软件服务的正确URL，也应保持警惕——攻击者已多次证明其有能力绕过广告政策，在显示真实URL的同时将用户导向仿冒网站。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： RVTools的官方网站遭到黑客攻击，开始提供被篡改的流行VMware环境报告工具的安装程序。 “Robware.net和RVTools.com目前处于离线状态。我们正在紧急恢复服务，感谢您的耐心等待，”该公司在其网站上发布的声明中表示，“Robware.net和RVTools.com是唯一授权且受支持的RVTools软件下载网站。请勿从任何其他网站或来源搜索或下载所谓的RVTools软件。” 这一事件源于安全研究员Aidan Leon的披露：从该网站下载的受感染安装程序版本被用于侧载一个恶意DLL，该DLL最终被证实是名为Bumblebee的已知恶意软件加载器。目前尚不清楚这个被植入木马的RVTools版本可供下载的时间有多长，也不清楚在该网站下线前有多少用户安装了该版本。在此期间，建议用户验证安装程序的哈希值，并检查用户目录中任何version.dll的执行情况。 此次曝光恰逢另一事件：Procolored打印机提供的官方软件被发现包含一个基于Delphi的后门程序XRed，以及名为SnipVex的剪贴板劫持恶意软件。后者能够将剪贴板中的钱包地址替换为硬编码的攻击者地址。YouTube频道Serial Hobbyism的运营者Cameron Coward最早发现了这些恶意活动细节。 据信至少从2019年就开始活跃的XRed具备收集系统信息、记录键盘输入、通过连接的USB设备传播，以及执行来自攻击者控制服务器的命令（用于截取屏幕截图、枚举文件系统和目录、下载文件、删除系统文件）等功能。G DATA研究员Karsten Hahn对此事件进行了深入调查后指出：“[SnipVex]会搜索剪贴板中类似BTC地址的内容，并将其替换为攻击者的地址，从而使加密货币交易资金被转移到攻击者手中。” 值得注意的是，该恶意软件通过向.EXE文件注入剪贴板劫持功能进行传播，并在文件末尾使用感染标记序列0x0A 0x0B 0x0C以避免重复感染。截至目前，相关钱包地址已收到9.30857859 BTC（约合97.4万美元）。 Procolored公司承认，这些软件包是2024年10月通过USB设备上传至Mega文件托管服务的，恶意软件可能在此过程中被植入。目前仅限F13 Pro、VF13 Pro和V11 Pro产品提供软件下载。Hahn补充说明：“自2024年2月以来，该恶意软件的指挥控制服务器一直处于离线状态。因此XRed在此日期之后无法建立成功的远程连接。但与之配套的剪贴板银行木马SnipVex仍是严重威胁。尽管BTC地址在2024年3月3日之后未再收到交易，文件感染本身仍会对系统造成损害。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国司法部对12名嫌疑人提出指控，称其涉嫌参与一系列加密货币盗窃及后续洗钱活动，涉案金额达数亿美元。指控包括用于打击有组织犯罪的RICO共谋罪、电汇欺诈共谋、洗钱和妨碍司法公正。案件中的两名新增嫌疑人——20岁的Malone Lam和21岁的Jeandiel Serrano——于2024年9月被捕，被控通过社会工程攻击从华盛顿特区一名受害者处窃取约2.45亿美元。 司法部表示，该团伙成员最初通过在线游戏平台结识。自2023年10月起，他们利用窃取数据库中的信息锁定持有大量加密货币的潜在目标。据称部分嫌疑人“主动致电受害者，通过社会工程手段说服他们其账户正遭受网络攻击，而团伙成员试图帮助保护账户”。 检方指控该团伙通过多种骗局获利，包括一笔1400万美元和另一笔290万美元的盗窃。2024年7月，Lam入侵某受害者的iCloud账户以监控其位置。随后19岁的Marlon Ferro闯入该目标位于新墨西哥州的住宅，窃取与其加密账户关联的硬件设备。 2024年8月，据加密货币调查员ZachXBT（自称协助执法部门研究此案）透露，Lam和四名未具名嫌疑人瞄准加密借贷平台Genesis的债权人。他们冒充加密货币交易所Gemini的客服人员，谎称受害者账户被黑，指示其重置多因素认证并将资金转入被控钱包，同时诱骗受害者使用AnyDesk共享屏幕导致私钥泄露。 ZachXBT发布的视频据称记录了该团伙盗取资金时的实时反应，视频中有人反复高喊“我们搞定了！”。 检方称，该团伙成员利用非法所得过着奢侈生活，使用伪造文件在佛罗里达和加州租赁豪宅，乘坐私人飞机前往汉普顿，并购买多辆豪车。在为期三周的时间内，他们涉嫌在洛杉矶夜店挥霍400万美元。 嫌疑人Kunal Mehta、Hamza Doost、Joel Cortez和Evan Tangeman被控参与洗钱活动。据称担任数据库黑客兼团伙组织者的Conor Flansburg曾对Lam发出疑问：“我们怎么都比别人强这么多……我们怎么在几个月内就超越了那些混了八年圈子的人？” 起诉书显示，2024年9月18日，一名休班执法人员告知Lam警方正在逼近。在警察抵达其迈阿密住所实施逮捕前，Lam走向屋后通往比斯坎湾的码头，将手机扔入水中。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文