HackerNews

HackerNews 编译，转载请注明出处： Payload 勒索软件组织宣称已入侵巴林一家主要医疗机构 —— 巴林皇家医院（RBH）。 Payload 勒索软件组织声称侵入了巴林皇家医院，并窃取了 110GB 的数据。该勒索软件团伙将这家医疗机构列入其暗网数据泄露网站，并公布了疑似被攻击系统的图片，以此作为攻击证据。 该组织威胁称，如果在 3 月 23 日前未收到赎金，就会公开所窃取的数据。 巴林皇家医院成立于 2011 年，是一家拥有 70 张床位的医疗机构，提供住院和门诊服务，包括手术、产科护理和诊断等。其服务对象来自巴林及阿曼、卡塔尔、沙特阿拉伯和阿联酋等周边国家。 Payload 勒索软件是一个相对较新的网络犯罪活动，采用双重勒索模式，即结合数据窃取和文件加密手段向受害者施压。该组织主要针对新兴市场中房地产和物流等行业的大中型企业。从技术层面看，这款勒索软件使用 ChaCha20 算法进行文件加密，Curve25519 算法进行密钥交换，同时会删除卷影副本并禁用安全工具。 与许多现代犯罪团伙一样，Payload 很可能是以勒索软件即服务的模式运营，并设有一个暗网泄露网站，用于公布未支付赎金受害者的数据。 消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员已标记出 GlassWorm 攻击活动的新变体，称其在通过 Open VSX 注册表传播的方式上出现 “显著升级”。 Socket 公司在周五发布的一份报告中称：“威胁行为者不再要求每个恶意插件直接嵌入加载程序，而是滥用 extensionPack（扩展包）和 extensionDependencies（扩展依赖项），在后续更新中将最初看似独立的扩展转变为间接传播工具，使得一个看似良性的软件包在建立信任后，才开始引入与 GlassWorm 相关的单独扩展。” 这家软件供应链安全公司表示，自 2026 年 1 月 31 日以来，他们发现至少还有 72 个针对开发者的恶意 Open VSX 扩展。这些扩展模仿广泛使用的开发者工具，包括代码检查器和格式化工具、代码运行器，以及诸如 Clade Code 和 Google Antigravity 等人工智能驱动的代码辅助工具。 以下是部分扩展的名称。此后，Open VSX 已采取措施将它们从注册表中移除： angular-studio.ng – angular – extension crotoapp.vscode – xml – extension gvotcha.claude – code – extension mswincx.antigravity – cockpit tamokill12.foundry – pdf – extension turbobase.sql – turbo – tool vce – brendan – studio – eich.js – debuger – vscode GlassWorm 是一场持续的恶意软件攻击活动，它多次通过恶意扩展渗透微软 Visual Studio Marketplace 和 Open VSX，这些恶意扩展旨在窃取机密信息、掏空加密货币钱包，并将受感染的系统用作其他犯罪活动的代理。 网络安全方面，虽然该活动于 2025 年 10 月首次被 Koi Security 标记，但早在 2025 年 3 月就已发现使用相同策略的 npm 包，特别是使用不可见的 Unicode 字符来隐藏恶意代码。 最新变体保留了与 GlassWorm 相关的许多特征：进行检查以避免感染俄罗斯区域设置的系统，并使用 Solana 交易作为一种隐秘通信方式来获取命令与控制（C2）服务器，以提高弹性。 但这组新的扩展还具有更强的混淆性，轮换 Solana 钱包以逃避检测，并且滥用扩展关系来部署恶意有效载荷，类似于 npm 包依赖恶意依赖项以躲避检测。无论一个扩展在其 “package.json” 文件中被声明为 “extensionPack” 还是 “extensionDependencies”，编辑器都会继续安装其中列出的所有其他扩展。 通过这种方式，GlassWorm 攻击活动使用一个扩展作为另一个恶意扩展的安装程序。这也开启了新的供应链攻击场景，攻击者首先将一个完全无害的 VS Code 扩展上传到市场以绕过审核，之后更新该扩展，将与 GlassWorm 相关的软件包列为依赖项。 Socket 公司称：“结果是，一个在最初发布时看似非传递性且相对良性的扩展，随后可以在不改变其表面用途的情况下，成为一个传递 GlassWorm 的工具。” 在一份同期发布的公告中，Aikido 将 GlassWorm 威胁行为者归因于一场在开源存储库中传播的大规模攻击活动，攻击者向各种存储库注入不可见的 Unicode 字符来编码有效载荷。虽然当内容加载到代码编辑器和终端中时不可见，但解码后会得到一个加载程序，该加载程序负责获取并执行一个第二阶段脚本，以窃取令牌、凭证和机密信息。 据估计，在 2026 年 3 月 3 日至 3 月 9 日期间，作为该活动一部分，不少于 151 个 GitHub 存储库受到影响。此外，相同的 Unicode 技术已被部署在两个不同的 npm 包中，这表明这是一次有协调的多平台攻击： @aifabrix/miso – client @iflow – mcp/watercrawl – watercrawl – mcp 安全研究员伊利亚斯・马卡里（Ilyas Makari）表示：“恶意注入并非出现在明显可疑的提交中。周围的更改很真实：文档调整、版本升级、小的重构以及与每个目标项目风格一致的错误修复。这种针对特定项目的定制程度强烈表明，攻击者正在使用大语言模型来生成令人信服的掩护提交。” PhantomRaven 还是研究实验？ 与此同时，Endor Labs 表示，他们发现从 2025 年 11 月到 2026 年 2 月，分三波通过 50 个一次性账户上传了 88 个新的恶意 npm 包。这些包具备从受感染机器上窃取敏感信息的功能，包括环境变量、CI/CD 令牌和系统元数据。 该活动因使用远程动态依赖项（RDD）而引人注目，在这种情况下，“package.json” 元数据文件在自定义 HTTP URL 指定依赖项，从而使操作者能够动态修改恶意代码并绕过检查。 在网络安全领域，虽然这些包最初被认定为 PhantomRaven 攻击活动的一部分，但这家应用安全公司在一次更新中指出，它们是一名安全研究人员作为合法实验的一部分制作的 —— 但 Endor Labs 对此说法提出质疑，并列举了三个警示信号。其中包括这些库收集的信息远超必要范围、对用户不透明，以及由故意轮换的账户名和电子邮件地址发布。 截至 2026 年 3 月 12 日，这些包的所有者已进行了更多更改，将在这三个月期间发布的一些 npm 包中用于收集数据的有效载荷替换为简单的 “Hello, world!” 消息。 Endor Labs 表示：“虽然移除收集大量信息的代码当然值得欢迎，但这也凸显了与 URL 依赖相关的风险。当软件包依赖托管在 npm 注册表之外的代码时，作者无需发布新的软件包版本就能完全控制有效载荷。通过修改服务器上的单个文件 —— 或者仅仅关闭它 —— 他们可以立即无声地更改或禁用每个依赖包的行为。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 加拿大零售商罗布劳（Loblaw）在威胁行为者获取客户信息后，披露了一起数据泄露事件。 罗布劳是加拿大最大的食品和药品零售商之一。它在加拿大各地经营着 2400 多家门店，拥有诸如购物者药品超市（Shoppers Drug Mart）、平价超市（No Frills）、加拿大真实超市（Real Canadian Superstore）和总统之选（President’s Choice）等品牌。 该公司在一份简短的数据泄露通知中表示，其最近发现一个 “第三方犯罪分子” 获取了客户的基本信息，如姓名、电子邮件地址和电话号码。 该公司称：“罗布劳目前的调查显示，密码、健康信息和信用卡数据未遭泄露。调查还表明，PC 金融（PC Financial）未受此次数据泄露事件的影响。” 目前尚不清楚有多少客户受到罗布劳数据泄露事件的影响。 在撰写本文时，没有已知的勒索软件组织声称对罗布劳的攻击负责。 就在罗布劳披露数据泄露事件之际，星巴克刚刚开始通知数百名员工，告知他们发生了一起网络安全事件，其个人信息已被泄露。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 星巴克披露了一起数据泄露事件，数百名员工的个人信息遭到波及。 这起网络安全事件于 2 月 6 日被察觉，当时这家咖啡巨头获悉其 “星巴克伙伴中心” 账户遭到未经授权的访问。 “伙伴中心” 是星巴克员工（公司称他们为 “伙伴”）用于管理个人信息、薪资以及福利数据的在线门户网站。 基于星巴克披露的有限信息来看，似乎其系统并非直接攻击目标，网络也未遭破坏。 一项调查发现，黑客通过网络钓鱼攻击获取用户凭证后，得以访问 “星巴克伙伴中心” 账户。此次网络钓鱼利用了模仿该门户网站设计的虚假网站。 星巴克在向受影响员工发出的通知中称：“基于我们的调查，我们了解到您的部分个人信息，包括姓名、社会安全号码、出生日期、金融账户号码及路由号码，可能已被未经授权的第三方获取。” 执法部门已得知这起事件，同时星巴克为受影响员工提供免费的身份信息保护服务。 根据提交给缅因州总检察长办公室的数据泄露通知，此次事件影响了近 900 名星巴克员工。该公司在美国拥有超过 20 万名员工。 该通知还显示，对员工账户的未经授权访问发生在 1 月 19 日至 2 月 11 日之间。   消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： ANY.RUN 的分析师发现，利用微软 OAuth 设备授权授予流程的钓鱼活动数量急剧上升，仅一周内就检测到超过 180 个恶意 URL。 与传统的凭据窃取不同，该技术会将受害者引导至合法的微软身份验证页面，这使得安全运营中心（SOC）极难实时发现入侵行为。 OAuth 设备码流程最初是为输入受限设备设计的，例如智能电视、会议室系统这类难以展示完整浏览器登录页面的设备。攻击者将这一合法机制挪作他用，实施基于令牌的账号劫持，可完全绕过多因素认证（MFA）。 OAuth 设备码滥用攻击链路 攻击链路始于威胁行为者发起微软设备授权请求，生成两个值：user_code（展示给受害者的、人类可识别的短字符串），以及 device_code（仅由攻击者持有的内部会话令牌）。 沙箱中暴露的攻击链路 随后受害者会被引导至钓鱼页面，这类页面通常伪装成 DocuSign 的文档通知，要求受害者复制验证码，并前往 microsoft [.] com/devicelogin 页面完成输入。 带有验证码的伪造 DocuSign 页面 由于该目标地址是真实的微软域名，受害者不会发现任何异常，通常会正常完成 MFA 验证。通过输入验证码，受害者在不知情的情况下授权了攻击者发起的登录会话，攻击者随后即可获取有效的 OAuth 访问令牌和刷新令牌 —— 全程无需获取受害者的密码。 消息来源：cybersecuritynews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 针对新发现的、影响 Cortex XDR Broker 虚拟机（VM）的漏洞，官方已发布安全公告。 该漏洞可让高权限的已认证攻击者访问并篡改敏感的系统信息。 所幸该问题为内部发现，目前暂无野外恶意利用该漏洞的活跃攻击报告。 Paloalto Cortex XDR Broker 漏洞详情 该敏感信息泄露漏洞编号为 CVE-2026-0231，被评定为中等紧急程度，CVSS 4.0 评分为 5.7（中危）。 核心问题出在 Cortex XDR Broker VM 对特定终端会话的处理机制中。要成功利用该漏洞，攻击者必须已完成身份认证、具备高级别权限，且能直接访问目标 Broker VM 的网络。 一旦满足这些严格条件，威胁行为者即可通过 Cortex 用户界面（UI）触发实时终端会话。 该未授权会话允许攻击者暴露内置的敏感数据，并修改关键配置设置。 尽管该漏洞存在数据泄露的风险，但发起攻击所需的严格条件 —— 尤其是需要已具备高权限和本地网络访问权限 —— 大幅降低了大规模自动化利用的可能性。 Cortex XDR Broker VM 是安全环境中的关键枢纽，负责流量转发和核心安全日志的采集。 由于其核心作用，对其配置设置的未授权访问可能造成严重影响。 该漏洞威胁到产品的机密性、完整性和可用性，在这三项具体影响指标上均被评为 “高”。 该漏洞被归类为 CWE-497，即敏感系统信息暴露至未授权控制域。 尽管该漏洞攻击复杂度低，且无需用户交互，但对高管理权限的要求，为外部威胁设置了一道强力屏障。 目前 Palo Alto Networks 表示，该漏洞的利用成熟度暂无相关报告，意味着威胁行为者尚未开发或共享可滥用该漏洞的自动化工具。 该漏洞由内部研究员 Nicola Kalak 负责任地发现并上报，为管理员加固环境争取到了关键的提前量。 受影响版本与缓解措施 该漏洞仅影响 Cortex XDR Broker VM 30.0 系列，系统无需特殊配置即存在受影响风险。 受影响的产品版本包括 Cortex XDR Broker VM 30.0.0 至 30.0.49（含首尾版本）。 为保护网络基础设施，Palo Alto Networks 强烈建议安装官方补丁；目前该漏洞暂无已知的变通方法或临时缓解方案。 安全团队应采取以下措施： ·     核实当前 Cortex XDR Broker VM 的版本 ·     若运行受影响版本，立即升级至 Cortex XDR Broker VM 30.0.49 或更高版本 ·     确保为 Broker VM 启用自动升级功能。若该功能已开启，系统将无需手动干预即可完成补丁安装，自动获取最新的安全防护。 消息来源：cybersecuritynews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一款疑似由人工智能（AI）生成的恶意软件的详细信息，该软件代号为 Slopoly，由以经济利益为动机的威胁行为者 Hive0163 使用。 IBM X-Force 研究员 Golo Mühr 在提前提供给 The Hacker News 的报告中表示：“尽管 Slopoly 这类 AI 生成的恶意软件目前仍相对普通，但它表明威胁行为者可以多么轻松地利用 AI 来开发新的恶意软件框架，所需时间仅为过去的一小部分。” Hive0163 的活动以大规模数据窃取和勒索软件勒索为驱动。该电子犯罪团伙主要与一系列恶意工具相关联，包括 NodeSnake、Interlock RAT、JunkFiction loader 和 Interlock ransomware。 在该公司 2026 年初观察到的一起勒索软件攻击中，威胁行为者在漏洞利用后阶段部署了 Slopoly，以便在受感染服务器上维持超过一周的持久访问权限。 Slopoly 的发现可追溯至一个很可能通过构建器部署的 PowerShell 脚本，该脚本还通过名为 “Runtime Broker” 的计划任务建立了持久访问权限。 有迹象表明，该恶意软件是在一个尚未确定的大语言模型（LLM）的帮助下开发的。这些迹象包括存在大量注释、日志记录、错误处理和命名准确的变量。注释还将该脚本描述为 “Polymorphic C2 Persistence Client”，表明它是一个命令与控制（C2）框架的一部分。 Mühr 指出：“不过，该脚本不具备任何高级技术，几乎不能被视为多态的，因为它无法在执行过程中修改自身代码。但构建器可能会生成具有不同随机配置值和函数名的新客户端，这在恶意软件构建器中是标准做法。” 该 PowerShell 脚本充当一个功能完整的后门，每 30 秒向 C2 服务器发送一次包含系统信息的心跳消息，每 50 秒轮询一次新命令，通过 “cmd.exe” 执行该命令，并将结果传回服务器。目前尚不清楚在受感染网络上运行的命令的具体性质。 据称，此次攻击本身利用了 ClickFix 社会工程策略，诱骗受害者运行一个 PowerShell 命令，该命令随后下载了 NodeSnake—— 一款被归因于 Hive0163 的已知恶意软件。 为第一阶段组件，NodeSnake 旨在运行 shell 命令、建立持久访问权限，并检索和启动一个更广泛的恶意软件框架，即 Interlock RAT。 Hive0163 有使用 ClickFix 和恶意广告进行初始访问的记录。该威胁行为者用来建立立足点的另一种方法是依赖初始访问代理，例如 TA569（又名 SocGholish）和 TAG-124（又名 KongTuke 和 LandUpdate808）。 该框架在 PowerShell、PHP、C/C++、Java 和 JavaScript 中有多种实现，以同时支持 Windows 和 Linux。与 NodeSnake 一样，它也与远程服务器通信以获取命令，这些命令允许它启动 SOCKS5 代理隧道、在受感染机器上生成反向 shell，并交付更多载荷，例如 Interlock ransomware 和 Slopoly。 Slopoly 的出现进一步扩大了 AI 辅助恶意软件的名单，该名单还包括 VoidLink 和 PromptSpy，凸显了不良行为者如何利用该技术加速恶意软件开发并扩大其活动规模。 IBM X-Force 表示：“从技术角度来看，AI 生成的恶意软件的引入并不构成新的或复杂的威胁。它通过减少操作者开发和执行攻击所需的时间，极大地增强了威胁行为者的能力。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 本周三，美国与欧洲的执法机构联合捣毁了一个提供数千台家用路由器访问权限的网络犯罪平台。 SocksEscort 代理网络允许网络犯罪分子购买受恶意软件感染的路由器的访问权限。犯罪分子可通过受感染的路由器转发其网络活动，以此隐藏自身的地理位置与 IP 地址。 美国司法部表示，2020 年至 2026 年间，SocksEscort 提供了覆盖 163 个国家、约 36.9 万个不同 IP 地址的访问权限；截至今年 2 月，该平台仍上架了约 8000 个 IP 地址，其中 2500 个位于美国境内。 七个国家的执法机构共计查封了 34 个域名，关停了 23 台服务器。美国官方还冻结了价值 350 万美元的加密货币。 在针对 SocksEscort 采取行动的同时，美国联邦调查局（FBI）于周四发布了关于名为 AVRecon 的恶意软件的紧急警报，警告公众该恶意软件的攻击目标为路由器与物联网设备。 威胁行为者 “会入侵路由器、安装 AVRecon 恶意软件，随后通过 SocksEscort 住宅代理服务，将受感染设备的访问权限作为住宅代理出售”。 欧洲刑警组织指出，设备感染该恶意软件后，机主完全不会知晓自己的 IP 地址正被滥用。 欧洲刑警组织执行主任凯瑟琳・德・博勒表示，SocksEscort 这类代理服务 “为犯罪分子提供了发起攻击、传播非法内容、规避检测所需的数字掩护”。 德・博勒在声明中称：“通过拆除这一基础设施，执法机构捣毁了一项为全球范围网络犯罪提供支撑的服务。” 美国官方对支撑 SocksEscort 运作的多个美国境内域名执行了查封令。 法庭文件显示，SocksEscort 网站与数十种不同的网络诈骗相关，包括虚假失业保险申领、加密货币盗窃以及美国银行账户劫持。 据称，SocksEscort 的运营者通过该服务非法获利超 570 万美元。 奥地利、法国、荷兰的执法机构关停了 SocksEscort 的服务器，保加利亚、德国、匈牙利、罗马尼亚的官方也参与了这项始于 2025 年 6 月的调查。美国司法部指出，Lumen 旗下的 Black Lotus Labs、Shadowserver 基金会等私营机构也提供了协助。 Black Lotus Labs 发布了关于 AVRecon 与 SocksEscort 的专项公告，称过去几年间，该平台 “每周平均波及约 2 万名独立受害者，相关通信通过平均 15 个命令与控制（C2）节点进行转发”。 该公司曾在 2023 年表示，AVRecon 僵尸网络是其见过的针对家用 / 办公路由器的最大僵尸网络之一。 一名 FBI 官员向科技媒体 The Register 透露，SocksEscort 拥有 12.4 万名用户，官方计划利用查封的服务器追踪其他网络犯罪活动。 近年来，美国与欧洲的执法机构加大了僵尸网络的捣毁力度，以遏制网络犯罪与国家级攻击活动。自 2021 年以来，QakBot、911 S5、IPStorm、KV、DanaBot、Anyproxy、5socks 等多个僵尸网络均已受到执法机构的查处。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 加拿大最大的食品和药品零售商 Loblaw Companies Limited（Loblaw）宣布，黑客入侵了其部分 IT 网络并访问了客户的基础信息。 该零售商在全国拥有 2500 家门店（特许经营超市、药房、银行网点和服装店铺），并计划今年新增 70 家门店，作为其到 2030 年投资 100 亿加元的五年计划的一部分。 该公司拥有 22 万名员工，年收入 450 亿加元。其最知名的商业品牌和标识包括 Loblaws、Real Canadian Superstore、No Frills、Maxi、President’s Choice、PC Optimum 和 Joe Fresh。 本周早些时候，该公司告知客户，其在网络上检测到可疑活动，进而发现了入侵行为。 Loblaw 表示：“在其 IT 网络中一个隔离、非核心的部分发现可疑活动后，公司确认有犯罪第三方访问了部分客户基础信息，例如姓名、电话号码和电子邮件地址。” 泄露的数据属于个人可识别信息（PII），可能被用于钓鱼攻击和欺诈活动。Loblaw 的客户应警惕来自陌生联系人的可疑通信。 该公司指出，截至目前的调查未发现财务信息（如信用卡详情）、健康信息或账户密码遭到泄露的证据。 但出于高度谨慎，Loblaw 表示已将所有客户自动登出账户。需要使用公司数字服务的账户持有人必须重新登录。建议客户同时修改密码。 Loblaw 的调查显示，其金融服务品牌 PC Financial 未受此次事件影响。 截至发稿时，Bleeping Computer 未发现有威胁组织公开宣称对此次攻击负责，也未发现地下论坛上有兜售 Loblaw 相关数据的信息。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一份重要安全公告已发布，警告用户存在一个高严重性漏洞，同时影响 Enterprise 和 Cloud 平台。 该漏洞编号为 CVE-2026-20163，CVSS 评分为 8.0。它允许攻击者在目标系统上执行远程命令执行（RCE）。 该漏洞源于系统在对上传文件建立索引前进行预览时，对用户输入处理不当。 虽然该漏洞要求攻击者拥有高级别权限，但成功利用后可使恶意用户控制底层主机服务器。 Splunk 远程代码执行漏洞核心问题归类为 CWE-77，即对命令中使用的特殊元素未正确进行中性化处理。 该漏洞存在于 Splunk 的 REST API 组件中，具体针对 /splunkd/__upload/indexing/preview 端点。 攻击者要利用该漏洞，必须已拥有包含高权限 edit_cmd 功能的用户角色。 如果满足此条件，攻击者可在文件上传预览过程中操纵 unarchive_cmd 参数。 由于系统未正确清理该输入内容，攻击者可轻松在服务器上直接注入并执行任意 Shell 命令。 该漏洞已由安全研究员 Danylo Dmytriiev（DDV_UA）以及 Splunk 内部团队成员 Gabriel Nitu 和 James Ervin 负责任地披露。 该漏洞影响 Splunk 软件的多个近期版本。管理员应对照以下受影响版本检查自己的部署环境。 受影响版本包括 Enterprise 10.0.0–10.0.3、9.4.0–9.4.8、9.3.0–9.3.9，以及 Cloud Platform 低于 10.2.2510.5、10.1.2507.16、10.0.2503.12 和 9.3.2411.124 的版本。 基础版 Splunk Enterprise 10.2 不受该漏洞影响。此外，Splunk 正在主动监控并直接向受影响的 Cloud Platform 实例部署补丁。 为保护基础设施免受潜在利用，Splunk 强烈建议立即通过更新或临时缓解措施修复该漏洞。 升级 Splunk Enterprise：管理员应将安装版本升级至已修复版本 10.2.0、10.0.4、9.4.9、9.3.10 或更高版本。实施缓解措施：如果无法立即升级，可通过从所有用户角色中完全移除高权限 edit_cmd 功能来降低风险。这会通过拒绝执行恶意命令所需的权限来阻断攻击链。 目前尚无针对该漏洞的专用威胁检测特征库，因此主动打补丁和严格权限管理至关重要。 消息来源：cybersecuritynews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一款针对巴西用户的新型银行恶意软件的详细信息，该软件用 Rust 编写，与拉丁美洲网络犯罪生态系统中其他已知的基于 Delphi 的恶意软件家族存在显著差异。 这款旨在感染 Windows 系统的恶意软件于上月首次被发现，巴西网络安全公司 ZenoX 将其代号命名为 VENON。 VENON 的特别之处在于，它与针对该地区的成熟银行木马（如 Grandoreiro、Mekotio 和 Coyote）具有一致的行为，特别是在银行覆盖层逻辑、活动窗口监控和快捷方式（LNK）劫持机制等功能方面。 该恶意软件尚未被归因于任何此前记录的组织或活动。然而，可追溯至 2026 年 1 月的早期版本样本被发现暴露了恶意软件作者开发环境的完整路径。这些路径反复引用 Windows 机器用户名 “byst4”（例如 “C:\Users\byst4…”）。 ZenoX 表示：“Rust 代码结构呈现出的模式表明，开发者熟悉现有拉丁美洲银行木马的功能，但使用生成式 AI 在 Rust 中重写并扩展了这些功能 —— 要达到所观察到的复杂程度，使用 Rust 需要丰富的技术经验。” VENON 通过复杂的感染链传播，利用 DLL 侧加载技术启动恶意 DLL。据推测，该活动利用 ClickFix 等社会工程策略，诱骗用户通过 PowerShell 脚本下载包含载荷的 ZIP 压缩包。 DLL 执行后，会在实际发起任何恶意操作前执行九种规避技术，包括反沙箱检查、间接系统调用、ETW 绕过、AMSI 绕过。它还会访问 Google Cloud Storage URL 以获取配置、安装计划任务，并与命令与控制（C2）服务器建立 WebSocket 连接。 从 DLL 中还提取出两个 Visual Basic Script 代码块，它们实现了专门针对 Itaú 银行应用的快捷方式劫持机制。这些组件通过将合法系统快捷方式替换为篡改版本来运作，将受害者重定向至威胁行为者控制的网页。 该攻击还支持卸载步骤以撤销修改，表明操作者可远程控制该活动，将快捷方式恢复至原始状态以掩盖痕迹。 总体而言，这款银行恶意软件通过监控窗口标题和活动浏览器域名，针对 33 家金融机构和数字资产平台，仅在任何目标应用或网站被打开时才会启动，通过提供虚假覆盖层来窃取凭据。 此次披露之际，威胁行为者正利用 WhatsApp 在巴西的普及性，通过该消息平台的桌面网页版分发名为 SORVEPOTEL 的蠕虫。该攻击依赖滥用此前已认证的聊天，直接向受害者发送恶意诱饵，最终导致部署 Maverick、Casbaneiro 或 Astaroth 等银行恶意软件。 Blackpoint Cyber 表示：“通过被劫持的 SORVEPOTEL 会话发送的一条 WhatsApp 消息，就足以将受害者引入多阶段链路，最终导致 Astaroth 植入程序完全在内存中运行。” “本地自动化工具、无监督浏览器驱动程序和用户可写运行时的结合，创造了一个异常宽松的环境，使蠕虫和最终载荷都能以最小阻力建立自身。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 阿尔巴尼亚议会周二晚间表示，其遭遇一场 “高级” 网络攻击，攻击目标为删除数据并攻陷多个内部系统。 议会在向当地媒体发布的声明中称，其核心系统与官方网站仍正常运行，但确认议会行政部门使用的内部电邮服务已被临时暂停。此次中断影响了收发双向通信。 当地媒体报道，攻击发生后数小时内，议会工作人员与议员无法访问电脑及电邮系统。 官方尚未公开将此次事件归因，但本周早些时候，名为 Homeland Justice 的黑客组织宣称对此负责，称已获取阿尔巴尼亚议员的内部通信内容。该组织还在其 Telegram 频道发布了据称是泄露文件的截图。 阿尔巴尼亚官方尚未公开证实黑客的说法，该国网络安全机构仍在调查此事。 安全研究人员与西方官员此前已将 Homeland Justice 组织与伊朗伊斯兰革命卫队（IRGC）关联。近年来，该组织宣称对阿尔巴尼亚境内一系列网络攻击负责，目标包括该国议会、国家航空公司、电信企业及国家统计局。 此次最新事件发生之际，阿尔巴尼亚安全担忧加剧。近期美以开始轰炸德黑兰后，伊朗对驻有美军基地的国家采取报复行动。 多起被归因于 “国土正义” 的网络行动，均与阿尔巴尼亚收容伊朗反对派组织 “伊朗人民圣战者组织”（MEK）成员有关。该组织总部位于阿尔巴尼亚沿海城市都拉斯。 “国土正义” 组织周二在 Telegram 发文称，此次最新网络攻击是对阿尔巴尼亚支持 MEK 的报复。 该声明发布前，MEK 领导人 Maryam Rajavi 近期宣布组建所谓 “临时政府”，称旨在以民主共和国取代伊朗现政权。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Elementor 旗下一款名为 Ally 的 WordPress 插件（主打网页可访问性与易用性，安装量超 40 万）存在 SQL 注入漏洞，未经身份验证的攻击者可利用该漏洞窃取敏感数据。 该安全漏洞编号为 CVE-2026-2313，被评定为高严重性。漏洞由 Acquia 公司的攻击性安全工程师 Drew Webber（mcdruid）发现，Acquia 是一家提供企业级数字体验平台（DXP）的软件即服务（SaaS）公司。 SQL 注入漏洞已存在 25 年以上，尽管业界对其原理已充分掌握，且技术层面易于修复和规避，但至今仍构成安全威胁。这类安全问题的成因是：用户输入未经适当的净化处理或参数化，就被直接插入到 SQL 数据库查询语句中。 这使得攻击者能够注入 SQL 命令，篡改查询语句的执行逻辑，从而读取、修改或删除数据库中的信息。 CVE-2026-2313 影响 Ally 插件 4.0.3 及以下所有版本。由于某个核心函数对用户提供的 URL 参数处理不当，未授权攻击者可通过 URL 路径注入 SQL 查询语句。 WordFence 的技术分析指出：“这是因为 get_global_remediations() 方法中对用户提供的 URL 参数转义处理不足，该参数被直接拼接至 SQL JOIN 子句中，且未针对 SQL 上下文进行适当的净化处理。” “虽然为保障 URL 安全调用了 esc_url_raw() 函数，但该函数无法阻止 SQL 元字符（单引号、括号）被注入。” 研究人员解释道：“这使得未授权攻击者能够在现有查询语句后追加额外的 SQL 查询，进而可通过基于时间的盲注（time-based blind SQL injection）技术从数据库中提取敏感信息。” Wordfence 指出，该漏洞仅在插件绑定 Elementor 账号且其 Remediation 模块处于激活状态时可被利用。 这家安全公司验证了该漏洞，并于 2 月 13 日向厂商披露。Elementor 在 2 月 23 日发布的 4.1.0 版本（最新版）中修复了该漏洞，同时向发现者发放了 800 美元的漏洞赏金。 WordPress.org 的数据显示，仅有约 36% 使用 Ally 插件的网站已升级至 4.1.0 版本，这意味着超 25 万个网站仍面临 CVE-2026-2313 漏洞的威胁。 除了将 Ally 插件升级至 4.1.0 版本外，网站所有者 / 管理员还被建议安装昨日发布的 WordPress 最新安全更新。 WordPress 6.9.2 版本修复了 10 个漏洞，包括跨站脚本攻击（XSS）、权限绕过、服务器端请求伪造（SSRF）漏洞。该平台官方建议 “立即” 安装此新版本。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 利用人工智能（AI）能力、代表用户在多个网站自主执行操作的智能代理浏览器，可能被诱导并欺骗，从而落入钓鱼和诈骗陷阱。 Guardio 在提前提供给 The Hacker News 的报告中表示，该攻击的核心是利用 AI 浏览器对自身行为进行推理的特性，并将其反过来用于降低模型的安全防护机制。 安全研究员 Shaked Chen 表示：“AI 现在会在混乱且动态的页面中实时运行，同时不断请求信息、做出决策，并一路叙述自己的行为。不过，用‘叙述’这个词其实相当保守 —— 它会不停地说，而且说得太多了。” “这就是我们所说的Agentic Blabbering：AI 浏览器会暴露它所看到的内容、它认为正在发生的事情、它接下来计划做什么，以及它将哪些信号视为可疑或安全。” Guardio 称，通过拦截浏览器与厂商服务器上运行的 AI 服务之间的流量，并将其作为输入提供给生成对抗网络（GAN），研究人员能够在不到四分钟的时间内让 Perplexity 的 Comet AI 浏览器成为钓鱼诈骗的受害者。 这项研究建立在 VibeScamming 和 Scamlexity 等现有技术之上，这些技术发现，氛围编码平台和 AI 浏览器可能被诱导生成诈骗页面，或通过隐藏的提示注入执行恶意操作。换句话说，由于 AI 代理在无人持续监督的情况下处理任务，攻击面发生了转变：诈骗不再需要欺骗人类用户，而是以欺骗 AI 模型本身为目标。 Chen 解释道：“如果你能观察到代理将哪些内容标记为可疑、在哪些地方犹豫，更重要的是，它对页面的想法和‘唠叨’内容，你就可以将这些作为训练信号。诈骗页面会不断迭代优化，直到 AI 浏览器稳稳地落入另一个 AI 为它设置的陷阱。” 简单来说，其思路是构建一台 “诈骗机器”，迭代优化并重新生成钓鱼页面，直到代理浏览器不再发出警告，并继续执行威胁行为者的指令，例如在为退款诈骗设计的虚假网页中输入受害者的凭据。 此次攻击有趣且危险的地方在于，一旦欺诈者针对某一特定 AI 浏览器迭代出可用的网页，该网页就能对所有依赖同一代理的用户生效。换言之，攻击目标已从人类用户转向 AI 浏览器。 Guardio 表示：“这揭示了我们即将面临的糟糕前景：诈骗不仅会在野外发起和调整，还会针对数百万人依赖的 exact 模型进行线下训练，直到它们在首次接触时就能完美生效。因为当你的 AI 浏览器解释它为什么停止时，它其实是在教攻击者如何绕过它。” 该披露发布之际，Trail of Bits 针对 Comet 浏览器演示了四种提示注入技术，通过利用浏览器的 AI 助手，在用户要求总结其控制下的网页时，从 Gmail 等服务中提取用户私人信息，并将数据外传至攻击者服务器。 上周，Zenity Labs 还披露了两起影响 Perplexity Comet 的零点击攻击，这些攻击利用会议邀请中植入的间接提示注入，将本地文件外传至外部服务器（代号 PerplexedComet）；若密码管理器扩展已安装并解锁，则劫持用户的 1Password 账号。这些问题被统一命名为 PerplexedBrowser，目前已由该 AI 公司修复。 该攻击通过一种名为意图冲突（intent collision）的提示注入技术实现。安全研究员 Stav Cohen 表示，这种情况发生在 “代理将用户的良性请求与来自不可信网页数据的攻击者控制指令合并到单一执行计划中，却没有可靠方法区分二者” 时。 提示注入攻击对于大语言模型（LLM）及其集成到企业工作流程来说，仍然是一项根本性的安全挑战，主要原因是完全消除此类漏洞可能并不现实。2025 年 12 月，OpenAI 指出，此类弱点 “几乎不可能” 在代理浏览器中被彻底解决，尽管相关风险可以通过自动化攻击发现、对抗训练和新的系统级安全措施来降低。 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全与基础设施安全局（CISA）于周一将三个安全漏洞添加至其已知被利用漏洞（KEV）目录，依据是存在被主动利用的证据。 漏洞列表如下： ·     CVE-2021-22054（CVSS 评分：7.5）——Omnissa Workspace One UEM（前身为 VMware Workspace One UEM）中的服务器端请求伪造（SSRF）漏洞，允许拥有 UEM 网络访问权限的恶意行为者在未认证情况下发送请求，并获取敏感信息。 ·     CVE-2025-26399（CVSS 评分：9.8）——SolarWinds Web Help Desk 的 AjaxProxy 组件中存在的不可信数据反序列化漏洞，攻击者可借此在主机上执行命令。 ·     CVE-2026-1603（CVSS 评分：8.6）——Ivanti Endpoint Manager 中存在的使用替代路径或通道的身份认证绕过漏洞，允许远程未认证攻击者泄露特定存储的凭据数据。 CVE-2025-26399 被加入目录之前，微软和 Huntress 曾报告称，威胁行为者正在利用 SolarWinds Web Help Desk 中的安全漏洞获取初始访问权限。该活动据信由 Warlock 勒索软件团伙实施。 另一方面，CVE-2021-22054 于 2025 年 3 月被 GreyNoise 标记为正在与其他产品中的多个 SSRF 漏洞一起被利用，属于一场协同攻击活动的一部分。 目前尚无关于 CVE-2026-1603 在野外如何被武器化的详细信息。截至本文撰写时，Ivanti 的安全公告尚未更新以反映该漏洞已被利用的状态。 为应对活跃威胁带来的风险，美国联邦行政部门（FCEB）机构被下令在 2026 年 3 月 12 日前为 SolarWinds Web Help Desk 应用修复程序，并在 2026 年 3 月 23 日前完成其余两个漏洞的修复。 CISA 表示：“此类漏洞是恶意网络行为者常用的攻击向量，对联邦机构构成重大风险。”   消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 攻击者正在利用 FortiGate 设备入侵网络，并窃取包含服务账户凭据和网络详情的配置数据。 SentinelOne 研究人员警告称，攻击者正在利用 FortiGate 设备中的漏洞或弱口令获取对企业网络的初始访问权限。一旦进入内部，他们会提取可能包含服务账户凭据和内部网络结构信息的配置文件。该攻击活动的目标行业似乎包括医疗、政府机构和托管服务提供商。 “2026 年初以来，SentinelOne 的数字取证与事件响应（DFIR）团队已经响应了多起 FortiGate 下一代防火墙（NGFW）设备被攻陷、从而在目标环境中建立立足点的事件。”SentinelOne 表示。“每起事件都在攻击的横向移动阶段被检测并阻止。” FortiGate 设备通常与 AD 和 LDAP 集成，支持角色映射和对网络警报的快速响应。威胁行为者通过针对 CVE-2025-59718 和 CVE-2025-59719 漏洞滥用此类访问权限，利用单点登录签名验证缺陷获得未授权的管理员访问权限。CVE-2026-24858 允许攻击者通过 FortiCloud 单点登录登录设备。一旦进入内部，他们就可以提取包含服务账户的配置文件，而其他攻击者则无需漏洞，直接利用弱口令入侵。 在 SentinelOne 分析的一起案例中，攻击者创建本地管理员账户、修改防火墙策略，并定期检查访问权限，之后提取包含加密 LDAP 服务账户凭据的配置文件。这些凭据被解密后用于向 Active Directory 进行身份验证，并注册恶意工作站，从而获得更深层次的网络访问权限。 在另一起事件中，攻击者创建管理员账户、部署 Pulseway 和 MeshAgent 远程管理与监控（RMM）工具，并使用 PowerShell 和 DLL 侧加载执行恶意软件。他们在云存储（谷歌云、AWS S3）上存放恶意载荷、创建任务维持持久化，并使用 PsExec 进行横向移动。 攻击者对主域控制器进行备份，获取 NTDS.dit 文件和 SYSTEM 注册表数据，压缩后上传到他们自己的服务器。事件被控制后，未发现账户被进一步滥用。 FortiGate 等下一代防火墙（NGFW）被广泛使用，因为它们将强大的网络安全与 Active Directory 集成等功能结合在一起。这使其成为攻击者的高价值目标，包括国家级间谍组织和以牟利为目的的犯罪分子。近期研究显示，即使是技术水平较低的攻击者现在也能更轻松地利用大语言模型（LLM）等 AI 工具利用这些设备，这些工具可提供网络漫游和提取敏感数据的指导。 机构应通过实施严格的管理控制、保持软件补丁更新、保留足够日志（至少 14–90 天）来保护下一代防火墙。日志应发送至 SIEM 系统，用于检测异常、跟踪未授权账户创建、监控配置访问、发现恶意软件或 C2 流量、保存证据，并实现自动化响应以快速消除威胁。 “机构应当认识到，FortiGate 及其他边界设备通常不允许在设备上安装安全软件，例如终端检测与响应（EDR）工具。保护此类设备的最佳防御方式是实施严格的管理员访问控制，并保持软件补丁更新以防止被利用。” 报告总结道。“此外，这两起调查都因 FortiGate 日志保留不足而受到影响。机构应确保在 FortiGate 等下一代防火墙设备上至少保留 14 天日志，尽可能保留 60–90 天会更好。”   消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 被追踪为 APT28 的俄罗斯国家背景黑客组织被观察到使用两款名为 BEARDSHELL 和 COVENANT 的植入程序，对乌克兰军方人员实施长期监视。 ESET 在一份分享给《黑客新闻》的最新报告中称，这两个恶意软件家族自 2024 年 4 月起投入使用。 APT28 也以 Blue Athena、BlueDelta、Fancy Bear、Fighting Ursa、Forest Blizzard（前身为 Strontium）、FROZENLAKE、Iron Twilight、ITG05、Pawn Storm、Sednit、Sofacy 和 TA422 等代号被追踪，是隶属于俄罗斯联邦军事情报总局（GRU）第 26165 部队的国家级行为体。 该威胁行为者的恶意软件武器库包含 BEARDSHELL 和 COVENANT 等工具，以及另一款代号为 SLIMAGENT 的程序，该程序能够记录键盘输入、捕获屏幕截图并收集剪贴板数据。SLIMAGENT 最早由乌克兰计算机应急响应小组（CERT-UA）于 2025 年 6 月公开披露。 据这家斯洛伐克网络安全公司称，SLIMAGENT 起源于 XAgent—— 这是 APT28 在 2010 年代使用的另一款用于远程控制和数据窃取的植入程序。这一结论基于 SLIMAGENT 与早在 2018 年就被部署在针对两个欧洲国家政府机构攻击中的此前未知样本之间发现的代码相似性。 评估认为，2018 年的样本与 2024 年的 SLIMAGENT 样本均源自 XAgent，ESET 的分析还发现 SLIMAGENT 与 2014 年底在野外检测到的 XAgent 样本在键盘记录功能上存在重叠。 “SLIMAGENT 以 HTML 格式输出间谍日志，其中应用程序名称、记录的按键和窗口名称分别以蓝色、红色和绿色显示。”ESET 表示，“XAgent 键盘记录器也使用相同的配色方案生成 HTML 日志。” 与 SLIMAGENT 一同部署的还有另一款被称为 BEARDSHELL 的后门程序，它能够在受攻陷主机上执行 PowerShell 命令。该程序使用合法的云存储服务 Icedrive 作为命令与控制（C2）服务器。 图片SLIMAGENT（左）与 XAgent（右）代码对比 该恶意软件的一个值得注意的特点是，它使用一种独特的混淆技术，称为不透明谓词（opaque predicate），这种技术同样出现在 XTunnel（又名 X-Tunnel）中 —— 这是 APT28 在 2016 年美国民主党全国委员会（DNC）黑客攻击中使用的一款网络穿透与横向移动工具。该工具为外部 C2 服务器提供安全隧道。 “这种罕见混淆技术的共用，再加上它与 SLIMAGENT 共同部署，使我们高度确信 BEARDSHELL 属于 Sednit 定制武器库的一部分。”ESET 补充道。 该威胁行为者工具套件中的第三款主要组件是 COVENANT，这是一个开源的 .NET 后渗透利用框架，已被深度修改以支持长期间谍活动，并自 2025 年 7 月起实现一种新的基于云的网络协议，滥用 Filen 云存储服务进行 C2 通信。此前，APT28 的 COVENANT 变体曾使用 pCloud（2023 年）和 Koofr（2024-2025 年）。 “这些调整表明 Sednit 开发者对 Covenant 掌握了深厚的专业知识 —— 这款植入程序的官方开发已于 2021 年 4 月停止，可能被防御方认为已不再使用。”ESET 表示，“这一出人意料的行动选择似乎取得了成效：Sednit 已成功依赖 Covenant 数年之久，尤其是针对乌克兰的特定目标。”   消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了 Google Looker Studio 中的9 个跨租户漏洞，这些漏洞原本可能允许攻击者在受害者数据库上执行任意 SQL 查询，并在机构的 Google Cloud 环境中窃取敏感数据。 这些缺陷被 Tenable 公司统一命名为 LeakyLooker。目前没有证据表明这些漏洞在野外被利用过。在 2025 年 6 月通过负责任披露机制上报后，Google 已修复这些问题。 安全漏洞列表如下： ·     跨租户未授权访问 —— 数据库连接器上的零点击 SQL 注入 ·     跨租户未授权访问 —— 通过存储凭据实现的零点击 SQL 注入 ·     通过原生函数在 BigQuery 上实现跨租户 SQL 注入 ·     基于超链接的跨租户数据源泄露 ·     通过受害者数据源上的自定义查询在 Spanner 和 BigQuery 上实现跨租户 SQL 注入 ·     通过链接 API 在 BigQuery 和 Spanner 上实现跨租户 SQL 注入 ·     基于图片渲染的跨租户数据源泄露 ·     基于帧计数与时序 oracle 的任意数据源跨租户 XS 泄露 ·     通过 BigQuery 实现的跨租户 “钱包拒绝” 服务（Denial of Wallet） “这些漏洞打破了底层设计假设，揭示了一类全新的攻击方式，原本可能允许攻击者在受害者服务和 Google Cloud 环境中窃取、插入和删除数据。” 安全研究员 Liv Matan 在分享给《黑客新闻》的报告中表示。 “这些漏洞暴露了 Google Cloud Platform（GCP）环境中的敏感数据，可能影响任何使用 Google Sheets、BigQuery、Spanner、PostgreSQL、MySQL、Cloud Storage 以及几乎所有其他 Looker Studio 数据连接器的机构。” 成功利用这些跨租户漏洞可使威胁行为者访问不同云租户之间的完整数据集和项目。 攻击者可以扫描公开的 Looker Studio 报表，或获取使用这些连接器（如 BigQuery）的私有报表访问权限，进而控制数据库，使其能够在所有者的整个 GCP 项目中执行任意 SQL 查询。 另一种情况是：受害者创建报表并设为公开或分享给特定接收者，且使用了 JDBC 连接的数据源（如 PostgreSQL）。在此场景下，攻击者可利用复制报表功能中的逻辑缺陷，在克隆报表时保留原始所有者的凭据，从而删除或修改数据表。 该网络安全公司详细介绍的另一种高影响利用路径是一键式数据窃取：分享一份特制报表会强制受害者浏览器执行恶意代码，连接到攻击者控制的项目，并从日志中重建完整数据库。 “这些漏洞打破了‘查看者永远不应能够控制他们所查看的数据’这一基本承诺。”Matan 表示，并补充说这些漏洞 “原本可能让攻击者跨 BigQuery 和 Google Sheets 等 Google 服务窃取或修改数据”。   消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 超过一年以来，一名讲俄语的威胁行为者以人力资源（HR）部门为目标，通过恶意软件投放一款名为 BlackSanta 的新型 EDR 杀手。 该攻击活动被描述为 “高度复杂”，结合了社会工程学与高级规避技术，从受攻陷系统中窃取敏感信息。 目前尚不清楚攻击的初始入口，但网络与安全解决方案提供商 Aryaka 的研究人员怀疑，该恶意软件通过鱼叉式钓鱼邮件进行分发。 他们认为，目标被引导下载托管在云存储服务（如 Dropbox）上、伪装成简历的 ISO 镜像文件。 分析的其中一个恶意 ISO 包含四个文件：一个伪装成 PDF 文件的 Windows 快捷方式（.LNK）、一个 PowerShell 脚本、一张图片和一个 .ICO 文件。 ISO 文件内容（来源：Aryaka） 该快捷方式启动 PowerShell 并执行脚本，脚本利用隐写术提取隐藏在图片文件中的数据，并在系统内存中执行。 该代码还会下载一个 ZIP 压缩包，其中包含一个合法的 SumatraPDF 可执行文件和一个恶意 DLL（DWrite.dll），以利用 DLL 侧载技术加载。 解密后的 PowerShell 脚本（来源：Aryaka） 该恶意软件执行系统指纹采集，并将信息发送至命令与控制（C2）服务器，随后执行大量环境检查，若检测到沙箱、虚拟机或调试工具则停止执行。 它还会修改 Windows Defender 设置以削弱主机安全防护，执行磁盘写入测试，然后从 C2 服务器下载更多载荷，通过进程空心化技术在合法进程内执行。 BlackSanta EDR 杀手 该攻击活动投放的一个关键组件是被识别为 BlackSanta EDR 杀手的可执行文件，这是一个在部署恶意载荷前使终端安全解决方案失效的模块。 BlackSanta 为 .dls 和 .sys 文件添加微软 Defender 排除项，并修改注册表值以减少遥测数据和向微软安全云端点的自动样本提交。 研究人员的报告（PDF）指出，BlackSanta 还可屏蔽 Windows 通知，以最小化或完全屏蔽用户警报。BlackSanta 的核心功能是终止安全进程，实现方式如下： ·     枚举正在运行的进程 ·     将进程名与内置的大量杀毒软件、EDR、SIEM 和取证工具列表进行比对 ·     获取匹配的进程 ID ·     使用已加载的驱动在内核层面解锁并终止这些进程 内置列表的部分内容（来源：Aryaka） Aryaka 没有披露此次活动背后的目标组织或威胁行为者相关细节，且未能获取观察案例中使用的最终载荷，因为在其检查时 C2 服务器已无法访问。 研究人员成功识别出同一威胁行为者使用的其他基础设施，并发现了与同一攻击活动相关的多个 IP 地址。他们正是通过这种方式得知，该行动在过去一年中一直在未被察觉的情况下运行。 通过对这些 IP 地址的分析，研究人员发现该恶意软件还会下载 “自带驱动”（BYOD）组件，其中包括 Adlice Software 公司的 RogueKiller 反 Rootkit 驱动 v3.1.0，以及 IObit 公司的 IObitUnlocker.sys v1.2.0.1。 这些驱动已被用于恶意软件行动中，以在受攻陷机器上获得提升权限并压制安全工具。 RogueKiller（truesight.sys）允许操纵内核钩子和内存监控，而 IObitUnlocker.sys 允许绕过文件和进程锁定。这种组合为恶意软件提供了对系统内存和进程的底层访问权限。 Aryaka 研究人员表示，此次活动背后的威胁行为者展现出强大的作战安全能力，并使用上下文感知、隐蔽的感染链部署 BlackSanta EDR 等组件。   消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一种被称为 “Zombie ZIP” 的新技术有助于将载荷隐藏在特制的压缩文件中，以躲避杀毒软件和终端检测与响应（EDR）产品等安全解决方案的检测。 使用 WinRAR 或 7-Zip 等标准工具解压文件时会出现错误或数据损坏。该技术通过操纵 ZIP 文件头，诱骗解析引擎将压缩数据视为未压缩数据。 安全工具不会将该压缩包标记为潜在危险，而是信任文件头，并将文件当作原始文件的副本在 ZIP 容器中进行扫描。 “Zombie ZIP” 技术由 Bombadil Systems 安全研究员 Chris Aziz 发明，他发现该技术可以绕过 VirusTotal 上 51 款杀毒引擎中的 50 款。 “杀毒引擎信任 ZIP 的 Method 字段。当 Method=0（STORED，存储模式）时，它们会将数据作为原始未压缩字节进行扫描。但数据实际上是经过 DEFLATE 压缩的 —— 因此扫描器看到的是压缩后的乱码，无法发现任何特征码。” 该研究员解释道。 威胁行为者可以制作一个忽略文件头的加载器，并按照实际情况处理压缩包：即使用现代 ZIP 文件中标准的 Deflate 算法压缩的数据。 该研究员已在 GitHub 上发布了概念验证（PoC），分享了示例压缩包以及该方法工作原理的更多细节。 研究员表示，要让主流解压工具（如 7-Zip、unzip、WinRAR）报错，必须将用于确保数据完整性的 CRC 值设置为未压缩载荷的校验和。 “但是，一个专门编写的加载器可以忽略声明的压缩方式，并按 DEFLATE 方式解压，从而完美还原载荷。”Aziz 说。 昨日，CERT 协调中心（CERT/CC）发布公告，就 “Zombie ZIP” 发出警告，并提高人们对畸形压缩文件所带来风险的认识。 该机构表示，虽然畸形文件头可以欺骗安全解决方案，但部分解压工具仍能够正确解压该 ZIP 压缩包。 该安全问题已分配 CVE 编号 CVE-2026-0866，该机构称其与二十多年前披露的一个漏洞类似，即 CVE-2004-0935，影响早期版本的 ESET 杀毒软件。 CERT/CC 建议，安全工具厂商必须根据实际数据验证压缩方式字段，添加检测压缩包结构不一致的机制，并实施更严格的压缩包检查模式。 用户应谨慎对待压缩文件，尤其是来自陌生联系人的文件，如果解压时出现 “不支持的方式” 错误，应立即删除。   消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文