HackerNews

HackerNews 编译，转载请注明出处： SolarWinds 发布了安全更新，修复其 Web Help Desk 产品中存在的多个安全漏洞，其中包含四项可导致身份验证绕过及远程代码执行（RCE）的高危漏洞。 相关漏洞详情列表如下： · CVE-2025-40536（CVSS 评分：8.1）：安全控制绕过漏洞。未经认证的攻击者可借此访问某些受限制的功能。 · CVE-2025-40537（CVSS 评分：7.5）：硬编码凭证漏洞。攻击者可利用预设的“client”用户账户访问管理功能。 · CVE-2025-40551（CVSS 评分：9.8）：不可信数据反序列化漏洞。可导致远程代码执行，使未经认证的攻击者能够在主机上运行任意命令。 · CVE-2025-40552（CVSS 评分：9.8）：认证绕过漏洞。未经认证的攻击者可利用此漏洞执行特定操作与方法。 · CVE-2025-40553（CVSS 评分：9.8）：不可信数据反序列化漏洞。可导致远程代码执行，使未经认证的攻击者能够在主机上运行任意命令。 · CVE-2025-40554（CVSS 评分：9.8）：认证绕过漏洞。攻击者可利用此漏洞调用 Web Help Desk 内部的特定操作。 前三个漏洞由 Horizon3.ai 的 Jimi Sebree 发现并上报，后三个漏洞则由 watchTowr 的 Piotr Bazydlo 发现，相关贡献均已获官方确认。所有漏洞均已在其 Web Help Desk 2026.1 (WHD 2026.1) 版本中得到修复。 “CVE-2025-40551 和 CVE-2025-40553 均为高危不可信数据反序列化漏洞，” Rapid7 表示。“远程未授权攻击者可通过这两个漏洞在目标系统上实现远程代码执行，还能执行任意操作系统命令等恶意载荷。” “反序列化导致的远程代码执行是攻击者常用的高可靠攻击途径，且这两个漏洞均支持未授权利用，因此危害程度极大。” 该网络安全公司补充道，尽管 CVE-2025-40552 和 CVE-2025-40554 被归类为身份认证绕过漏洞，但同样可能被用以实现 RCE，从而产生与其他两个反序列化 RCE 漏洞同等的破坏性影响。 近年来，SolarWinds 已多次发布补丁修复 Web Help Desk 软件中的漏洞，包括 CVE-2024-28986、CVE-2024-28987、CVE-2024-28988 及 CVE-2025-26399。值得注意的是，CVE-2025-26399 修复的是 CVE-2024-28988 的补丁绕过漏洞，而 CVE-2024-28988 本身也是 CVE-2024-28986 的补丁绕过漏洞。 2024 年末，美国网络安全和基础设施安全局（CISA）已将 CVE-2024-28986 和 CVE-2024-28987 列入其“已知被利用漏洞”（KEV）目录，并指出已有确凿证据表明这些漏洞正遭在野利用。 Horizon3.ai 的 Sebree 在分析 CVE-2025-40551 的文章中描述称，该漏洞是又一个源于 AjaxProxy 功能的反序列化漏洞。 攻击者若要实现远程代码执行，需执行以下一系列操作： · 建立有效会话并提取关键值。 · 创建一个 LoginPref 组件。 · 设置该 LoginPref 组件的状态，以获取文件上传功能的访问权限。 · 利用 JSONRPC 桥接，在后台构造恶意的 Java 对象。 · 触发这些恶意 Java 对象。 鉴于 Web Help Desk 过往漏洞曾被恶意利用，相关用户需尽快将此服务台与 IT 服务管理平台升级至最新版本。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据当地媒体报道，俄罗斯弗拉基米尔州一家大型面包生产企业遭遇网络攻击，导致食品配送工作受阻。 弗拉基米尔面包厂—— 该州最大面包生产企业之一 —— 在声明中表示，其内部数字系统于周日夜间遭攻击，办公电脑、服务器、电子文档管理工具及广泛应用的 1C 企业会计系统均陷入瘫痪。 尽管生产线未受波及，面包房仍在满负荷运转，但系统中断严重阻碍了订单处理与产品交付。当地居民、零售门店以及面向社会机构的食品供应商均反映，在履行现有合同方面遇到困难，该公司的烘焙产品在商店出现暂时性短缺。 大型连锁零售企业确认存在配送问题，但表示门店货架未出现面包大面积短缺情况。 为保障物资供应持续，该企业安排全体办公人员实行 24 小时轮班制，并暂时恢复订单与发货的人工处理模式。目前该厂尚未公布数字系统全面恢复的时间表，并就此次事件造成的不便向合作伙伴及消费者致歉。 目前，攻击者身份及事件的具体性质尚未明确。 这并非网络攻击首次波及俄罗斯食品行业。今年 6 月，俄罗斯动物源性产品数字认证系统遭网络攻击瘫痪，当地乳制品企业因此出现供应问题，企业被迫改用纸质兽医证明，进而引发物流延误。 去年 12 月，西伯利亚南部一家大型乳制品加工厂遭遇勒索软件攻击，系统被全面加密。当地媒体猜测，此次入侵可能与该工厂据称向乌克兰境内俄军提供支持有关，但官方尚未就攻击归属作出认定。 消息来源: therecord.media： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子借助谷歌搜索广告实施诱骗，让 Mac 用户访问声称可清理设备的虚假网站。 当用户在谷歌中搜索“mac cleaner”或“clear cache macos”等常见关键词时，此类推广广告就会出现，乍一看极具迷惑性。 广告落地页模仿苹果官方网站设计，不仅布局相似，还配有一致的导航菜单。但在专业外观的伪装下，潜藏着针对不知情 Mac 用户的恶意攻击阴谋。 攻击者已在 Medium 及谷歌自有服务等平台发布虚假帖子，传播恶意操作指令，黑客可通过这些指令完全控制受害者设备。 整个攻击活动利用了一种简单却高效的策略：用户普遍信任谷歌的广告审核机制，并且对苹果的设计语言感到熟悉和安心。 用户点击广告后会被重定向至相关页面，页面中充斥着看似专业的操作指引，内容涉及释放磁盘空间、安装系统更新等。 MacKeeper 分析师确认，威胁行为者是通过劫持的谷歌广告账户开展此次攻击活动，且疑似已入侵 Nathaniel Josue Rodriguez 等个人及 Aloha Shirt Shop 等企业的合规广告账户。 恶意软件感染流程 该攻击的核心是一条看似简单却极具破坏力的指令，且该指令被伪装成合规的系统维护操作。 当用户按照页面指示，将提供的命令复制并粘贴到Mac的“终端”应用程序中执行时，便会在无意间触发一次远程代码执行攻击。 该指令链以 “清理 macOS 存储空间”“正在安装组件，请等待” 等看似无害的语句开头，这些均为社会工程学手段，目的是让用户确信自己在执行常规维护操作。 在这些友好提示的背后，隐藏着一段经过Base64编码的文本，其中包含了真实的攻击代码。 系统会通过 base64 命令解码该隐藏文本，解码后文本将转化为实际的 shell 命令，在用户毫不知情且未授权的情况下，从远程服务器下载恶意脚本。 脚本下载后，便会以当前用户的完整权限运行，使得攻击者能够执行多种恶意操作，包括：安装恶意软件、窃取SSH密钥、创建系统后门、进行加密货币挖矿、窃取个人文件，乃至修改关键系统设置。 攻击者还采用了多种混淆技术来隐藏命令实际连接的目的地，从而增加了安全检测的难度。这种伪装下载并自动执行的模式，在专业级的恶意软件活动和供应链攻击中屡见不鲜。 MacKeeper的研究人员已成功识别出这些危险广告并向谷歌报告。目前，谷歌已采取行动，将这些恶意广告从搜索结果中移除。 消息来源:cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国数据保护机构于周四宣布，对该国负责求职者登记、失业救济发放及就业安置帮扶的核心政府机构处以 500 万欧元（约合 600 万美元）罚款，处罚原因为该机构数据安全防护存在重大漏洞。 CNIL在新闻稿中披露，2024年初，黑客利用社会工程学手段成功入侵了法国劳工局（France Travail）的计算机系统。 此次攻击导致攻击者得以接管负责残疾人就业支持与监测的相关组织账户。黑客窃取了长达20年间在该机构登记的所有人员的个人数据，攻击者未获取求职者的健康数据，但窃取了国民保险号码、电子邮箱地址、通信地址及手机号码等信息。 CNIL指出，罚款金额的确定基于法国劳工局“漠视核心安全原则、受影响人员规模、数据处理量及数据敏感程度”。调查发现的安全漏洞包括：身份验证流程不完善、日志核查机制不足无法识别异常行为、数据访问权限过度授予。 监管机构已责令法国劳工局立即落实有效的安全管控措施。 法国劳工局在回应中表示，“我们完全意识到此次事件的严重性，并承认自身在数据保护方面负有责任。”但同时称：“尽管我们不质疑CNIL的决定，但考虑到事件发生后，我们已全力投入网络安全建设及用户数据保护工作，仍对处罚力度表示遗憾。” 消息来源: therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一项大语言模型劫持攻击行动正大规模针对暴露的大语言模型及 MCP 开展攻击，以实现商业化牟利。 据Pillar Security报告，在此次大规模大语言模型劫持行动中，网络犯罪分子正批量搜寻、劫持暴露的大语言模型及 MCP 端点，并将其商业化牟利。该攻击行动被命名为 “Operation Bizarre Bazaar”，针对暴露或未受保护的人工智能端点发起攻击，实现劫持系统资源、转售应用程序接口访问权限、窃取数据及横向渗透至内部系统等目的。 攻击主要针对自托管的AI基础设施，包括：暴露了默认端口的服务、未设置身份验证的API接口、面向公网的开发或测试环境，以及缺乏访问控制的MCP服务器。 Pillar公司解释称：“被入侵的大语言模型端点会产生高额成本（推理计算成本高昂）、泄露企业敏感数据，还会为攻击者提供横向渗透的机会。” “Operation Bizarre Bazaar”涉及三个环环相扣的组成部分：一个扫描器（即自动扫描互联网寻找暴露系统的僵尸网络基础设施）、一个验证器（与名为silver.inc的实体关联，负责验证发现的端点是否可利用），以及一个市场（名为“统一LLM API网关”，同样由silver.inc控制）。 扫描发现目标后，silver.inc 会在 2 至 8 小时内通过系统化应用程序接口测试，对目标端点进行验证。监测显示，威胁行为者会枚举目标模型功能并评估其响应质量。 Pillar指出，这个黑市提供对超过30种大型语言模型的访问权限。该交易市场部署在荷兰的抗攻击基础设施上，在 Discord 及 Telegram 平台进行推广，交易支持加密货币或 PayPal 支付。 Pillar已监测到超过35,000次与该行动相关的攻击会话，平均每天高达972次。“持续的高频攻击活动表明，攻击者是系统性针对暴露的人工智能基础设施发起攻击，而非随机性扫描。”报告强调。 已被确认遭利用的系统类型包括：11434端口上未设认证的Ollama实例、8000端口上暴露的OpenAI兼容API、无访问控制的MCP服务器、分配了公网IP的开发环境，以及缺乏认证或速率限制的生产环境聊天机器人。 Pillar指出，该行动由一个代号为“Hecker”（亦化名Sakuya、LiveGamer101）的威胁行为者运营，其基础设施与nexeonai.com服务存在重叠，暗示可能存在关联。 “攻击者会选择阻力最小的路径，即无防护门槛的端点。即便是面向公网的人工智能服务，也可通过速率限制、使用额度管控及行为监测抵御随机性滥用；对于内部服务，防护逻辑更简单：非必要不暴露，需定期扫描外部攻击面，确认无违规暴露情况。”Pillar建议道。 此外，该公司还发现了另一个很可能由不同攻击者发起、目标迥异的侦察活动，专门针对MCP服务器。“到一月底，总攻击流量的60%都来自这类针对MCP的侦察行动，”报告补充道。 消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：  流行的 vm2 Node.js 库中被披露存在一个高危沙箱逃逸漏洞，若被成功利用，可导致攻击者在宿主操作系统上执行任意代码。 该漏洞编号为 CVE-2026-22709，在通用漏洞评分系统（CVSS）中获得了 9.8 分（满分 10.0）的严重评级。 “在 vm2 3.10.0 版本中，攻击者可绕过对 Promise.prototype.then 和 Promise.prototype.catch 回调函数的净化处理，” vm2 维护者 Patrik Simek 称。”这将允许攻击者逃离沙箱限制并执行任意代码。” vm2 是一个用于在安全沙箱环境中运行不可信代码的 Node.js 库，其原理是通过拦截和代理 JavaScript 对象，来阻止沙箱内的代码访问主机环境。 新发现的漏洞根源于该库对 Promise 处理器的净化机制存在缺陷，从而产生了一个逃逸路径，使得代码能在沙箱外部执行。 “关键在于，JavaScript 中的异步函数返回的是 globalPromise 对象，而非 localPromise 对象。而 globalPromise.prototype.then 和 globalPromise.prototype.catch 并未像 localPromise 的相关方法那样得到妥善净化，”Endor Labs 的研究员 Peyton Kennedy 和 Cris Staicu 解释道。 尽管 CVE-2026-22709 已在 vm2 的 3.10.2 版本中修复，但这仅是近年来困扰该库的连绵不断的沙箱逃逸漏洞中的最新一例。此前已包括 CVE-2022-36067、CVE-2023-29017、CVE-2023-29199、CVE-2023-30547、CVE-2023-32314、CVE-2023-37466 及 CVE-2023-37903 等多个漏洞。 2023年7月 CVE-2023-37903 的发现，曾促使 Simek 宣布该项目将终止维护。但相关表述现已从其 GitHub 仓库的最新 README 文件中删除。截至 2025 年 10 月，其安全页面也已更新，声明 vm2 3.x 版本正在积极维护中。 然而，vm2 的维护者亦承认，未来很可能还会出现新的绕过方法，因此强烈建议用户确保及时更新库版本，并考虑采用其他能提供更强隔离保证的可靠替代方案，例如 isolated-vm。 “与依赖原有存在缺陷的 vm 模型不同，vm2 的后续项目 isolated-vm 基于 V8 引擎的原生 Isolate 接口，提供了更为稳固的隔离基础。但即便如此，vm2 的维护者仍强调隔离至关重要，并实际建议采用 Docker 容器并在组件间实施逻辑隔离，” Semgrep 表示。 鉴于该漏洞危害严重，建议用户立即升级至最新版本 (3.10.3)，此版本亦修复了其他沙箱逃逸问题。 消息来源: thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Chrome 稳定版通道已推送 144.0.7559.109 和 144.0.7559.110 版本，修复了 Background Fetch API 中存在的一项高危安全漏洞。 该更新将在未来数天至数周内向 Windows、Mac 和 Linux 系统逐步推送，用户务必尽快将浏览器更新至最新版本。 本次安全修复的核心是漏洞 CVE-2026-1504，这是一个影响 Background Fetch API 功能实现的高危漏洞。 该漏洞被归类为功能“实现不当”问题，可能被威胁攻击者利用。 此漏洞由安全研究员 Luan Herrera 于 2026 年 1 月 9 日发现并上报，且凭借该漏洞获得谷歌漏洞奖励计划（Vulnerability Reward Program）3000 美元赏金。 Background Fetch API是一项网络标准，允许网络应用在后台下载大型文件，即使用户关闭了浏览器标签页或离开了该网站。 此实现中的漏洞可能使攻击者能够操纵后台获取操作。不过，在大多数用户安装补丁之前，具体的漏洞利用细节将暂不公开。 此次更新体现了 Chrome 对安全性的持续投入，并进一步巩固了浏览器的多层防御体系。 谷歌部署了 AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、Control Flow Integrity、libFuzzer 及 AFL 等多款先进检测工具，用于发现安全问题并阻止其流入稳定版通道。 Chrome 144.0.7559 版本更新已立即启动推送。但为确保系统稳定性并便于监控，更新将分阶段进行，持续数周。 用户可通过访问 Chrome 设置菜单中的“检查更新”来手动安装更新。 Windows 和 Mac 用户应更新至版本 144.0.7559.109 或 144.0.7559.110，Linux 用户则应更新至 144.0.7559.109版本。 安全专家建议，尤其是依赖搭载 Background Fetch API 的 Web 应用的企业用户与个人用户，应优先安装此更新。 管理大量 Chrome 部署的企业组织应在更新期间密切关注推送情况，并验证相关应用的兼容性。 本次构建所包含的全部更改的完整列表，可在官方的 Chrome 提交日志中查看。 若在更新后遇到问题，用户可通过漏洞报告系统提交反馈，或前往 Chrome 社区帮助论坛寻求支持。 谷歌将持续与全球安全研究人员合作，不断强化 Chrome 的安全防护能力，竭力防止漏洞对用户造成影响。 消息来源：cybersecuritynews ； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Gemini MCP 工具存在一个高危零日漏洞，使用户在无需任何身份验证的情况下暴露于远程代码执行（RCE）攻击。 该漏洞追踪编号为 ZDI-26-021 / ZDI-CAN-27783，通用漏洞标识符为CVE-2026-0755，其 CVSS v3.1 最高评分为 9.8 分，反映了其易被利用且危害程度高的特性。 根据趋势科技零日计划（ZDI）的一份新公告，该漏洞影响了开源工具 gemini-mcp-tool，该工具用于实现 Gemini 模型与模型上下文协议（MCP）服务的集成。 漏洞概述 在公告中，涉事厂商及产品均标注为 Gemini MCP Tool / gemini-mcp-tool。该漏洞的核心成因是 execAsync 方法对用户输入数据处理不当。 该函数未对用户输入进行充分验证与净化，便直接将其传入系统调用。 远程攻击者可以利用此命令注入漏洞，在目标底层系统上执行任意代码，且代码执行权限与服务账户权限一致。 由于攻击媒介是基于网络的，且无需事先身份验证或用户交互，因此暴露于公网或共享环境的风险特别高。 该漏洞最初于 2025 年 7 月 25 日通过第三方平台报告给相关厂商。 ZDI 在 2025 年 11 月跟进漏洞修复进展，在未获得充分反馈的情况下，于 2025 年 12 月 14 日告知供应商其打算将此案例作为零日漏洞进行公告披露。 该漏洞的协同公开披露及安全公告更新工作于 2026 年 1 月 9 日完成。 截至公告发布时，厂商尚未推出官方补丁及修复更新。因此，该漏洞的缓解措施选项有限。 ZDI 建议严格限制对 Gemini MCP 工具的访问权限，确保其不直接暴露于互联网，且仅允许可信网络及可信用户进行交互。 管理员还需对运行 gemini-mcp-tool 的系统进行监控，重点排查可疑进程执行及异常对外连接情况，此类现象可能意味着漏洞已被成功利用。 消息来源: cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了在 n8n 工作流自动化平台两个新的安全漏洞，其中一个为可导致远程代码执行的高危漏洞。 这两个由 JFrog 安全研究团队发现的漏洞详情如下： CVE-2026-1470（CVSS 评分：9.9）：一个 eval 注入漏洞。经过身份验证的用户可通过传入特制的 JavaScript 代码，绕过平台的表达式沙箱机制，从而在 n8n 主节点上实现完整的远程代码执行。 CVE-2026-0863（CVSS 评分：8.5）：一个 eval 注入漏洞。经过身份验证的用户可借此绕过 n8n 的 python-task-executor 沙箱限制，在底层操作系统上运行任意 Python 代码。 成功利用这些漏洞可使攻击者劫持整个 n8n 实例，即便该实例运行在 “内部” 执行模式下也不例外。n8n 在其文档中指出，在生产环境中使用内部模式可能带来安全风险，并建议用户切换至外部模式，以确保 n8n 与任务运行进程之间有适当的隔离。 “n8n 为自动化 AI 工作流而遍布企业全流程，因此它掌控着、基础设施的核心工具、功能和数据密钥，包括大语言模型（LLM）API、销售数据和内部身份与访问管理（IAM）系统等，”JFrog 在与 The Hacker News 分享的声明中表示。“一旦发生沙箱逃逸，就相当于为黑客提供了通往整个公司的有效‘万能钥匙’。” 为修复这些漏洞，建议用户升级至以下版本： CVE-2026-1470：请升级至 1.123.17、2.4.5 或 2.5.1 版本。 CVE-2026-0863：请升级至 1.123.14、2.3.5 或 2.4.2 版本。 此次披露距离 Cyera Research Labs 详细说明 n8n 中一个最高危漏洞（CVE-2026-21858，又名 Ni8mare）仅过去数周，该漏洞允许未经认证的远程攻击者完全控制易受攻击的实例。 “这些漏洞凸显了安全地沙箱化 JavaScript 和 Python 这类动态高级语言的难度之大，”研究员 Nathan Nehorai 表示。“即便部署了多层验证、拒绝列表和基于抽象语法树（AST）的控制措施，攻击者仍可利用微妙的语言特性和运行时行为来突破安全设计的预设。” “在此案例中，一些已被弃用或鲜少使用的语法结构，结合解释器的变更与异常处理行为，便足以突破原本限制严格的沙箱，最终实现远程代码执行。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Fortinet 发布一款正被利用的严重 FortiOS SSO 认证绕过漏洞 (CVE-2026-24858) 的修复程序，该漏洞影响 FortiOS、FortiManager 和 FortiAnalyzer。 Fortinet 已开始已开始逐步推送针对某款正遭攻击的高危 FortiOS 漏洞的修复补丁。该漏洞编号为 CVE-2026-24858（CVSS 评分为 9.4），可允许攻击者通过单点登录（SSO）绕过身份认证。它影响 FortiOS、FortiManager 和 FortiAnalyzer，Fortinet ，Fortinet 正在调查其他产品是否受影响。 安全公告中写道：“FortiOS、FortiManager 及 FortiAnalyzer 中存在一项‘使用替代路径或通道进行身份验证绕过’的漏洞（CWE-288）。若相关设备启用了 FortiCloud SSO 认证，则拥有 FortiCloud 账户及已注册设备的攻击者，可能借此登录到其他账户下的已注册设备。”“请注意，FortiCloud SSO 登录功能在出厂默认设置中处于关闭状态。然而，当管理员通过设备图形界面（GUI）将其注册至 FortiCare 时，若未在注册页面手动关闭‘允许使用 FortiCloud SSO 进行管理登录’选项，则该功能将会在注册完成后自动启用。” Fortinet 强调，FortiCloud SSO 登录功能默认禁用。仅当管理员通过 GUI 将设备注册至 FortiCare，或在注册时明确启用 FortiCloud SSO 管理登录选项后，该功能才会激活。 这家网络安全厂商证实，已有两个恶意 FortiCloud 账户利用该漏洞发起攻击，相关账户已于 2026 年 1 月 22 日被封禁。为遏制漏洞滥用，FortiCloud SSO 服务在 1 月 26 日被临时禁用，并于 1 月 27 日重新启用。目前，该服务会阻止运行易受攻击版本的设备登录，用户必须将设备升级至受支持的版本，方可继续使用 FortiCloud SSO 认证。 该公司仍在调查其他产品（如 FortiWeb 和 FortiSwitch Manager）是否受此漏洞影响。 Fortinet 提供了临时应对方案：由于 FortiCloud SSO 现已禁止来自运行漏洞版本的设备登录，因此客户端并非必须禁用 SSO。但作为额外防护，管理员仍可通过 GUI 或CLI，在 FortiOS、FortiProxy、FortiManager 和 FortiAnalyzer 上手动禁用 FortiCloud SSO，直至系统完成全面修补。 上周，Fortinet 确认已修复的设备也遭到了绕过 FortiCloud SSO 的攻击。他们通过自动化手段修改防火墙设置、添加用户、启用 VPN 并窃取配置文件，其攻击模式与 2025 年 12 月利用严重 FortiCloud SSO 漏洞的攻击模式相似。 Arctic Wolf 研究人员报告称，自 2026 年 1 月 15 日起观测到一个新的自动化攻击集群，该集群专门针对 FortiGate 设备。攻击者创建通用账户以维持访问权限、启用 VPN 访问并窃取防火墙配置。此活动与 2025 年 12 月那起涉及管理员 SSO 登录和配置窃取的攻击活动类似。Arctic Wolf 已部署相应检测机制，并持续监控这一持续演变的威胁。 2025年12月，Fortinet 披露了两个严重的 SSO 认证绕过漏洞，编号为 CVE-2025-59718 和 CVE-2025-59719，其本质是加密签名验证不当问题。 Arctic Wolf 警告称，在补丁发布数日后，攻击者就已开始利用 Fortinet 产品中的这两个严重漏洞。 Arctic Wolf 研究人员检测到，攻击者在 2025 年 12 月 12 日便开始利用这些严重的 Fortinet 认证绕过漏洞，此时距补丁发布仅三天。攻击涉及在 FortiGate 设备上进行恶意 SSO 登录，主要目标是来自多家托管服务提供商的管理员账户。获取访问权限后，攻击者随即通过 GUI 导出设备配置文件。这些文件中包含哈希加密后的凭证信息，攻击者可尝试离线破解，从而增加了系统被进一步入侵的风险。 近期的入侵事件显示，恶意 SSO 登录源自少数几家托管服务提供商，且常针对 [email protected] 账户。在成功通过 SSO 访问后，攻击者会迅速通过 GUI 导出防火墙配置，并创建用于维持访问权限的次级管理员账户。这些操作均在数秒内完成，表明攻击高度自动化。 Fortinet 证实，即便已针对 CVE-2025-59718 和 CVE-2025-59719 完成修补的设备，也未能幸免。该公司在观察到已完全更新的设备仍遭登录利用后，发现了一条新的攻击路径。修复工作正在进行中，安全公告即将发布，所有基于 SAML 的 SSO 实现均可能受影响。 该公司发布的公告中写道：“近期，少量客户报告其设备出现了异常登录活动，这与先前的问题极为相似。然而，在过去24小时内，我们确认了多起攻击案例，其目标设备在受攻击时均已升级至最新版本，这表明存在新的攻击路径。” “Fortinet 产品安全团队已识别该问题，公司正在制定修复方案。待修复范围与具体时间表确定后，将发布正式安全公告。需要强调的是，尽管目前仅观测到 FortiCloud SSO 遭利用的案例，但此问题影响所有 SAML SSO 部署场景。”       消息来源:securityaffairs ： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员已对官方扩展应用市场中一款新的恶意Microsoft Visual Studio Code（VS Code）扩展发出警示，该扩展针对Moltbot（原名Clawdbot），自称是免费的人工智能编码助手，却会在受感染主机上暗中植入恶意载荷。 该扩展名为“ClawdBot Agent – AI Coding Assistant”（标识符为“clawdbot.clawdbot-agent”），现已被微软下架。它由用户“clawdbot”于2026年1月27日发布。 Moltbot近期大受欢迎，截至本文撰写时，其在GitHub平台的标星量已超过8.5万。这一开源项目由奥地利开发者Peter Steinberger创建，支持用户在自有设备本地运行基于大语言模型（LLM）驱动的个人人工智能助手，并可通过WhatsApp、Telegram、Slack、Discord、Google Chat、Signal、iMessage、Microsoft Teams和WebChat等主流通信平台与其交互。 关键点在于，Moltbot本身并未提供官方的VS Code扩展，这意味着此次活动的幕后黑手利用该工具日益增长的热度，诱骗毫无戒心的开发者安装恶意扩展。 该恶意扩展被设计为在每次启动集成开发环境（IDE）时自动执行，它会暗中从外部服务器（“clawdbot.getintwopc[.]site”）获取名为“config.json”的文件，进而执行一个名为“Code.exe”的二进制程序，该程序会部署ConnectWise ScreenConnect 等合规远程桌面程序。 随后，该应用会连接至URL“meeting.bulletmailer[.]net:8041”，使攻击者获得对受感染主机的持续性远程访问权限。 “攻击者搭建了自己的ScreenConnect中继服务器，生成了预配置的客户端安装程序，并通过VS Code扩展进行分发，”Aikido研究员Charlie Eriksen表示。“受害者安装该扩展后，会获得一个功能完整的ScreenConnect客户端，并立即主动连接至攻击者的基础设施。” 此外，该扩展还包含一个后备机制：从“config.json”文件中列出的DLL获取数据，并通过侧载方式从Dropbox获取相同有效载荷。这个用Rust编写的DLL（“DWrite.dll”）确保即使命令与控制（C2）基础设施无法访问，ScreenConnect客户端仍能成功部署。 这并非该扩展内置的唯一恶意载荷投递备份机制。该伪造的Moltbot扩展还嵌入了硬编码URL，用于获取可执行文件及待侧加载的DLL。第二种替代方法则是通过批处理脚本从另一个域名（“darkgptprivate[.]com”）获取恶意载荷。   Moltbot的安全隐患 此次披露的背景是，安全研究员、Dvuln 公司创始人Jamieson O’Reilly发现网络上存在数百个未认证的 Moltbot 实例，导致配置数据、应用程序编程接口（API）密钥、开放授权（OAuth）凭证及私人聊天记录泄露给未授权主体。 “真正的问题在于Clawdbot代理拥有高度自主权，”O’Reilly解释道。“它们能以用户身份在Telegram、Slack、Discord、Signal和WhatsApp上发送消息，并能执行工具和运行命令。” 这进而可能导致攻击者冒充用户联系其通讯录好友、在持续对话中插入恶意消息、篡改代理回复内容，并在用户不知情下窃取敏感数据。更严重的是，攻击者可能通过MoltHub（原ClawdHub）分发植入后门的 Moltbot “技能组件”，从而发起供应链攻击并窃取敏感数据。 安全公司Intruder在同类分析中指出，已观察到大量配置不当案例，导致凭证泄露、提示注入漏洞以及跨多家云服务商的实例遭入侵。 “核心问题在于架构设计：Clawdbot将部署便捷性置于默认安全配置之上，”Intruder安全工程师Benjamin Marr在声明中表示。“非技术用户可快速部署实例并集成敏感服务，全程无需通过任何安全验证或障碍。系统未强制要求防火墙设置、未进行凭证验证，也未对不可信插件实施沙箱隔离。” 建议使用默认配置运行Clawdbot的用户尽快审计配置、撤销所有已集成的服务连接、检查已暴露的凭证、实施网络控制措施，并持续监控系统是否出现异常迹象。       消息来源: thehackernews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 音频流媒体平台SoundCloud系统遭黑客入侵，超过2980万用户账户的个人信息与联系方式被盗。这家成立于2007年、以艺术家为核心的平台，目前为全球4000多万艺术家提供超过4亿首曲目访问服务。 公司于12月15日确认数据泄露事件，此前用户普遍反映无法访问SoundCloud，且通过VPN连接时出现403″禁止访问”错误。SoundCloud当时向科技媒体BleepingComputer表示，在检测到涉及辅助服务控制面板的未授权活动后已启动事件响应程序。 “我们获悉某自称威胁行为者的组织访问了公司持有的部分有限数据，”SoundCloud声明称，”已完成受影响数据的调查，确认未涉及财务数据或密码等敏感信息。泄露数据仅包含电子邮件地址及SoundCloud公开个人资料中已显示的信息。” 尽管SoundCloud未披露事件具体细节，BleepingComputer获悉此次泄露影响平台20%用户（约2800万账户，基于公开用户数据计算）。SoundCloud随后发布的安全公告证实了该媒体信源的信息准确性。 调查发现，勒索组织ShinyHunters是本次攻击的幕后黑手，该组织曾试图勒索SoundCloud。公司1月15日更新确认了该情况，称威胁行为者”提出勒索要求，并通过邮件洪水攻击骚扰用户、员工及合作伙伴”。 虽然SoundCloud尚未公布具体受影响用户数量，但数据泄露通知服务”Have I Been Pwned”周一披露了事件全貌：约2980万账户的电子邮箱、地理位置、姓名、用户名及个人资料统计数据在此次事件中被窃取。 该通知服务说明称：”2025年12月，SoundCloud宣布发现平台存在未授权活动。攻击者借此将约20%用户的公开资料数据与电子邮箱地址进行匹配。受影响数据包含3000万个独立邮箱地址、姓名、用户名、头像、关注者统计信息，部分案例还涉及用户所在国家。攻击者随后试图勒索SoundCloud，并于次月公开泄露数据。” BleepingComputer今日再次就12月事件联系SoundCloud询问细节，尚未获得即时回复。值得关注的是，ShinyHunters上周还宣称对Okta、微软及谷歌单点登录账户的语音钓鱼攻击浪潮负责，此类攻击可能导致企业SaaS平台被入侵进而窃取数据用于勒索。 消息来源: bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯家庭、企业及车辆警报安防系统提供商Delta公司近日遭受网络攻击，导致运营瘫痪、服务大面积中断，引发客户投诉潮。该公司周一发布声明称，遭遇”大规模、协同且组织严密”的网络攻击，攻击源来自某未指明的”敌对国家”，部分服务出现临时中断，但尚无证据表明客户个人信息泄露。 Delta营销总监瓦列里·乌什科夫在视频声明中表示：”我们的系统架构未能抵御来自境外的高度协同攻击。”他同时指出，由于公司持续面临后续攻击威胁，数据备份恢复工作进展缓慢。技术团队正全力修复系统，预计将尽快全面恢复运营。 截至周二，Delta官网及电话线路仍处于离线状态，公司被迫通过社交媒体平台VKontakte与数万名客户保持沟通。此次事件对用户造成切实影响：俄语Telegram新闻频道Baza报道称，事件发生后用户立即投诉车辆警报系统无法关闭或完全锁死车辆；《生意人报》报道则指出，尽管Delta声称多数服务运行正常，用户仍反映出现远程车辆启动系统故障、车门意外锁闭、行驶中引擎熄火等广泛问题。 此外，用户还报告住宅和商业建筑的警报系统自动切换至紧急模式且无法解除。尽管Delta坚称客户数据未泄露，某个自称攻击方运营的匿名Telegram频道发布了据称包含被盗数据的文件压缩包。相关材料的真实性及攻击者身份均未获独立核实。 值得注意的是，同一日俄罗斯航空业也遭遇大规模IT系统中断，多家航空公司及机场的订票值机系统瘫痪。多家航司报告称，在多个航空IT系统检测到问题后，售票、值机、改签及退款服务均出现临时中断。俄罗斯官方表示此次中断由航空业通用系统运营商Sirena-Travel的内部技术故障引起，未归因为网络攻击。该公司此前曾多次遭黑客攻击，包括2023年其Leonardo航班预订系统被入侵事件。 消息来源: therecord.media： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司LayerX披露，有威胁行为者创建了16款专门窃取用户ChatGPT会话数据的浏览器扩展程序，并成功上架了Chrome和Edge官方商店。该攻击者利用用户对AI增效工具日益增长的需求，向Chrome应用商店投放15款扩展，向微软Edge扩展商店投放1款。 据LayerX报告，这些伪装成ChatGPT增强工具和效率工具的扩展程序累计下载量已超900次，截至1月26日仍在官方商店流通。其攻击机制并非利用ChatGPT漏洞，而是通过向chatgpt.com注入内容脚本并在主JavaScript环境中执行，从而截获用户会话认证令牌并发送至远程服务器。 具体运作流程显示，脚本会监控网页应用发起的出站请求，识别并提取授权头部信息，再由第二层内容脚本将数据外传到远程服务器。”这种方式使扩展程序运营者能够使用受害者活跃会话登录ChatGPT服务，获取全部历史对话记录和连接器信息，”LayerX指出。 安全公司分析发现，攻击者利用主JavaScript环境中的内容脚本直接与页面原生运行时交互，而非依赖浏览器的内容脚本环境。被分析的扩展程序还会窃取扩展元数据、使用遥测数据、事件数据以及后端颁发的访问令牌。”这些数据使攻击者能进一步扩展令牌权限，实现用户身份持久识别、行为画像分析及对第三方服务的长期访问，”LayerX表示。 根据共享代码库、发布者特征以及相似的图标、品牌标识和描述，安全研究人员判断这16款扩展均出自同一威胁行为者之手。LayerX强调：”通过主环境执行与认证令牌截获的组合攻击，运营者在符合标准网络行为规范的前提下实现了对用户账户的持久访问。此类技术利用传统终端或网络安全工具极难检测。” 消息来源: securityweek.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Koi警告称，JavaScript生态系统主流包管理器（包括NPM、PNPM、VLT和Bun）存在的六项安全漏洞可能被利用来绕过供应链攻击防护机制。这些被统称为”PackageGate”的安全缺陷，可能导致攻击者隐藏在依赖包中的恶意代码被执行。 继Shai-Hulud和PhantomRaven等重大NPM供应链攻击事件后，各组织和开发者普遍采用两大防护机制：一是设置标志位阻止安装包时自动执行预装/安装/后装脚本；二是记录依赖树中每个包的版本及完整性哈希值，后续安装时进行哈希校验。 Koi指出，影响四大包管理器的六项PackageGate漏洞可绕过这些防护措施，实现完全远程代码执行（RCE），但各管理器的攻击手法存在差异： • NPM中可通过包含恶意.npmrc文件的Git依赖实现RCE • PNPM默认禁用的脚本防护仅适用于构建阶段，不适用于Git依赖处理 • VLT的压缩包解压操作存在路径遍历漏洞，可导致系统任意文件写入 • Bun的脚本执行白名单仅验证包名而非来源，攻击者可伪装合法包实现RCE 此外，Koi发现PNPM和VLT仅存储压缩包依赖的URL而缺乏完整性哈希验证，导致初始安装通过安全检查的压缩包可能在后续安装中被篡改注入恶意代码。”攻击者一旦将恶意包植入依赖树（即使嵌套多层），即可根据时间、IP地址等信号定向投递恶意负载，”Koi强调。 安全公司已向四家包管理器提交漏洞报告。PNPM、VLT和Bun均在数周内修复漏洞，其中PNPM漏洞编号为CVE-2025-69263和CVE-2025-69264。但NPM方面将该报告标记为”信息性说明”，认为相关功能按设计运行。Koi指出该安全风险真实存在，已观测到威胁行为体讨论利用恶意.npmrc文件的概念验证代码。 针对安全媒体询问，NPM母公司GitHub回应称，通过Git安装依赖包时信任整个代码库是预期设计。”我们正积极处理新报告的问题，NPM持续扫描注册表中的恶意软件。保障NPM生态系统安全需要集体努力，我们强烈建议项目采用可信发布、精细化访问令牌及强制双因素认证来加固软件供应链。GitHub持续投入加强NPM安全，近期已实施认证和令牌管理改进措施。” 消息来源: securityweek.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全非营利组织Shadowserver近日报告称，超过6000台SmarterMail服务器暴露在互联网上，极易遭受编号为CVE-2026-23760的关键身份验证绕过漏洞攻击。网络安全公司watchTowr于1月8日披露该漏洞，SmarterTools公司于1月15日发布补丁，但未分配CVE编号。 安全公告指出：”SmarterTools SmarterMail 9511版本之前的密码重置API存在身份验证绕过漏洞。强制重置密码端点允许匿名请求，且在重置系统管理员账户时未能验证现有密码或重置令牌。未经验证的攻击者只需提供目标管理员用户名和新密码即可重置账户，导致SmarterMail实例完全被管理员权限接管。” watchTowr研究人员发布了仅需管理员用户名的概念验证攻击代码。攻击者可利用此漏洞劫持管理员账户，在目标服务器实现远程代码执行，最终完全控制存在漏洞的服务器。 Shadowserver根据版本检测发现，全球超过6000台SmarterMail服务器可能易受攻击。研究人员还监测到实际攻击中已出现漏洞利用尝试。 该组织在社交媒体平台X上表示：”我们已将SmarterMail CVE-2026-23760远程代码执行漏洞纳入日常漏洞扫描。根据版本检测，全球约6000个IP地址可能受影响，并已观测到实际攻击中的漏洞利用尝试。” 数据显示，大部分存在漏洞的服务器位于美国（约4100台），其次是马来西亚（449台）、印度（188台）、加拿大（166台）和英国（146台）。 本周，美国网络安全与基础设施安全局（CISA）已将CVE-2026-23760列入其已知被利用漏洞目录，要求联邦民事行政部门机构在2026年2月16日前完成漏洞修复工作。 消息来源: securityaffairs.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 朝鲜威胁行为体Konni近期被发现使用AI工具生成的PowerShell恶意软件，针对区块链领域的开发者和工程团队发起攻击。该钓鱼活动已瞄准日本、澳大利亚和印度用户。 根据Check Point研究团队报告，Konni的恶意活动已超越其常规攻击范围，显示出在亚太地区更广泛的攻击目标。该黑客组织通常攻击韩国、俄罗斯、乌克兰及欧洲的机构。 此次攻击主要针对具备区块链相关资源和基础设施专业知识或访问权限的软件开发人员及工程团队。Konni使用伪装成合法项目文档的诱饵内容，这些内容通常与区块链及加密货币项目相关。 具体而言，攻击活动通过Discord内容分发网络投放模仿项目需求文档的ZIP文件，从而展开多阶段攻击链。诱饵文档包含架构、技术栈、开发时间表等技术细节，部分甚至包含预算和交付里程碑。 研究人员在技术报告中指出：“这种模式表明其意图是渗透开发环境，从而获取包括基础设施、API凭证、钱包访问权限乃至加密货币资产在内的敏感资产。” 为实现攻击目的，攻击者部署了AI生成的PowerShell后门程序。该脚本具有异常精巧的结构，但代码中直接嵌入了注释：”# <– 您的永久项目UUID”。 Check Point解释称：”这种措辞是LLM生成代码的典型特征，模型会明确指示用户如何自定义占位符数值。此类注释常见于AI生成的脚本和教程中。” 研究人员表示，所有这些都凸显了包括朝鲜组织在内的威胁行为体对AI技术的使用日益增多。 Check Point强调：”与针对个人终端用户不同，此次攻击活动的目标似乎是在开发环境中建立据点，通过渗透开发环境可获得跨多个项目和服务的更广泛下游访问权限。AI辅助工具的引入表明攻击者正试图在继续依赖成熟传播手段和社会工程学的同时，加速开发进程并实现代码标准化。” 该组织至少自2014年开始活跃，通常依靠鱼叉式钓鱼攻击传播围绕朝鲜半岛地缘政治议题制作的武器化文档。Konni以针对韩国的机构和个人而闻名，重点关注外交渠道、国际关系、非政府组织、学术界和政府机构，也被追踪为Earth Imp、Opal Sleet、Osmium、TA406和Vedalia。 去年11月，Konni曾被发现通过利用谷歌资产跟踪服务Find Hub攻击Android设备，远程重置受害者设备并清除其个人数据。 消息来源: cybernews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Meta公司周二宣布，将在WhatsApp中新增”严格账户设置”功能，为因身份或职业面临高级网络攻击风险的特定用户提供额外安全防护。这款类似苹果iOS”锁定模式”和安卓”高级保护”的功能，旨在通过牺牲部分使用便捷性，为记者、公众人物等个体提供更强大的间谍软件防护。 启用该安全模式后，部分账户设置将自动调整为最高限制级别，同时自动屏蔽非联系人发送的附件和媒体文件。Meta公司表示：”这项锁闭式功能只需轻点几下即可大幅提升安全等级——自动屏蔽未知发件人的附件媒体、静音陌生来电，并限制其他可能影响应用功能的设置。” 用户可通过”设置 > 隐私 > 高级”路径启用该功能。Meta表示该功能将在未来几周内逐步向全球用户推送。 与此同时，这家社交媒体巨头宣布将在媒体分享功能中采用Rust编程语言，以保护用户的照片、视频和消息免受间谍软件攻击。该公司称此次更新是”全球范围内规模最大的Rust语言库部署”。 Meta指出，采用Rust语言使其能够开发出安全、高性能、跨平台的媒体共享库（”wamedia”），并正在通过三重策略应对内存安全问题： 产品设计层面最大限度减少攻击面暴露 持续投入对现有C/C++代码的安全保障 新代码默认选用内存安全型编程语言 公司补充道：”WhatsApp已部署控制流完整性、强化内存分配器、安全缓冲区处理API等多重防护措施。这是在用户无感知情况下提升安全性的重要进展，也是我们纵深防御战略的组成部分。” 消息来源: thehackernews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软日前发布了紧急安全更新，用于修复一个已在野外被积极利用的Office零日漏洞，该漏洞编号为CVE-2026-21509，影响Office 2016至2024多个版本以及Microsoft 365 应用。 该漏洞属于安全机制绕过类型，波及Microsoft Office 2016、Office 2019、Office LTSC 2021、Office LTSC 2024以及企业版Microsoft 365 Apps。 根据微软的安全公告，漏洞成因在于“Microsoft Office的一项安全决策依赖了不可信的输入，使得攻击者能够借此在本地绕过安全防护。”公告确认该漏洞已被在野利用，并指出：“攻击者需要向用户发送恶意Office文件并诱使其打开。” 本次更新修复了一个可绕过Microsoft 365和Office中OLE安全保护的缺陷，该缺陷会将用户暴露于存在漏洞的COM/OLE控件。 微软已确认Office的预览窗格不受此漏洞影响，且无法作为攻击入口。不过，该公司并未披露关于利用此漏洞的攻击的技术细节。 微软正在努力解决Microsoft Office 2016和2019中的该漏洞，并宣布将尽快发布安全更新。 微软也提供了临时缓解方案以降低风险： Office 2021及更高版本在重启应用程序后，可通过服务端修复自动获得保护。 对于Office 2016和2019版本，用户需要等待并安装即将发布的安全更新，或者立即手动修改注册表来禁用存在隐患的COM/OLE控件。具体操作涉及添加特定的COM 兼容性注册表项，并在其中设置兼容性标志DWORD值。微软提醒，在修改注册表前务必进行备份，修改后需重启Office应用程序才能使防护生效。   消息来源: securityaffairs.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 2026年1月20日，安全研究人员确认了一起针对MicroWorld Technologies公司eScan杀毒产品的严重供应链攻击事件。黑客疑似利用厂商合法的更新通道，向用户推送了恶意更新。 根据Morphisec威胁实验室今日发布的研究报告，此次事件导致多阶段恶意软件被分发给全球范围内的企业和个人用户终端。 据悉，这些恶意更新包使用了被盗的eScan代码签名证书进行数字签名，这使得它们看起来合法，轻易绕过了系统常规的信任验证机制。恶意软件一旦成功部署，便会建立持久化驻留，开启远程访问功能，并会主动阻止受感染主机接收任何后续的更新。 多阶段恶意软件内置反清除机制 整个攻击链始于一个被植入了木马的32位eScan程序，该程序在软件更新过程中替换了原有的正常组件。此初始载荷会释放更多恶意模块，包括一个下载器和一个能为攻击者提供受感染系统完全控制权的64位后门。本次攻击活动一个至关重要的特征是恶意软件内置了反清除机制。它通过修改Windows系统的hosts文件并篡改eScan相关注册表项，阻断了终端与eScan官方更新服务器的连接。这使得受感染的设备无法自动获取修复补丁。 恶意软件通过创建伪装成Windows磁盘碎片整理任务的计划任务，以及使用随机生成的GUID名称的注册表项来实现持久化。同时，下载器模块还会尝试与外部命令与控制（C2）服务器通信以获取更多攻击载荷，不过这些C2服务器的当前状态尚未明确。 检测、响应与处置建议 Morphisec称，其在恶意软件开始分发后的数小时内，就在部署了其防护方案的客户系统上检测并拦截了相关恶意活动。 据称，Morphisec在事发当日便联系了MicroWorld Technologies。eScan方面则表示，其通过内部监控发现了异常，在一小时内隔离了受影响的基础设施，并将全球更新系统离线了超过八小时以进行处理。 然而，Morphisec指出，尽管厂商声称已通过电话直接通知客户，但其客户仍需主动联系eScan技术支持才能获得具体的修复方案。 Infosecurity网站已就此事联系eScan寻求置评，但截至发稿前未获回复。Morphisec建议所有使用eScan产品的组织立即采取以下应对措施： ·在终端上搜索已知的恶意文件哈希值。 ·检查Windows\Defrag\目录下的计划任务，排查可疑项。 ·审查注册表中那些包含编码数据、以GUID格式命名的键值。 ·封锁已识别的C2域名。 ·立即吊销对涉事被盗eScan代码签名证书的信任。 对于未部署有效防护的系统，建议直接假定其已遭入侵，立即隔离受感染设备并进行全面的取证分析。截至本文发布，eScan官方尚未就此事件发布公开安全公告，相关调查据称仍在进行中。 消息来源:infosecurity-magazine.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文