HackerNews

HackerNews 编译，转载请注明出处： 俄罗斯多个关键政府服务系统于本周二遭遇大规模分布式拒绝服务（DDoS）攻击，导致服务中断。据监测平台Downdetector数据显示，联邦税务局（FNS）、数字密钥管理系统（Goskey）及电子文档平台（Saby）等均受影响。Saby与FNS已确认攻击源自境外，正全力修复系统。 企业用户报告称，酒类销售管控平台与商品防伪追踪系统无法访问。此次事件距离上周大规模服务中断仅数日——彼时俄罗斯银行应用、社交平台VKontakte、即时通讯工具、Yandex服务及移动网络集体瘫痪。圣彼得堡电信运营商Severen-Telecom曾报告服务器遭DDoS攻击，但俄通信监管局（Roskomnadzor）未透露故障原因。 上周，某私立医院系统遭持续多日的网络攻击，导致患者病历管理软件瘫痪。亲乌克兰黑客组织4B1D宣称对此负责，但院方未披露细节。本周二，莫斯科卫生部门通报医疗记录系统“临时故障”，但拒绝归因于网络攻击。 俄乌网络战中，攻击常与重大政治事件同步。此次中断恰逢美国前总统特朗普与俄总统普京进行两小时通话，讨论乌克兰停火协议。尽管攻击方尚未认领责任，但历史数据显示，乌克兰IT Army等组织曾对类似目标实施攻击。网络安全专家指出，攻击是否刻意选择政治敏感时点仍有待调查。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 全球顶尖石油天然气企业的网络安全评估结果令人担忧。网络安全机构Cybernews最新报告显示，市值排名前400的能源巨头中仅10%通过基础安全测评，69%的企业得分处于D或F级高危区间。研究覆盖391家企业，其中超半数在过去30天内至少遭遇一次数据泄露，27.1%上周刚经历安全事件。 测评发现，91%企业存在SSL/TLS证书配置缺陷，导致数据传输面临窃听与篡改风险；74%企业的核心业务系统托管环境存在配置漏洞；48%未部署反钓鱼与反欺骗的邮件防护措施。软件补丁管理同样堪忧——32%企业存在常规补丁漏洞，20%放任可被直接利用的关键漏洞。Cybernews安全研究主管Vincentas Baubonis指出，单次勒索攻击即可引发生产停滞、股价暴跌与投资者信任危机，全行业仅有10%企业建立有效数字防线。 数据泄露已成常态，94%的受评企业曾发生泄密事件，80%企业员工凭证遭暗网贩卖，38%域名存在邮件伪造漏洞。历史数据显示，北美企业数据泄露发生率最高，但亚洲企业在多项风险指标中表现最差：68%重复使用已泄露密码（北美31%，欧洲39%），59%域名易受邮件伪造攻击（北美35%，欧洲27%），30%存在高风险漏洞，27%存在可被直接利用的致命漏洞。欧洲企业在各维度相对均衡，云环境风险与系统配置薄弱项少于其他地区。 该研究通过物联网搜索引擎、IP/域名信誉库及定制化扫描，基于公开信息评估企业网络安全状态。评估维度涵盖软件更新、网络防护、邮件安全、系统声誉、SSL配置、系统托管与泄密历史七大领域，旨在为企业提供透明化风险画像，助力构建抗攻击的数字基础设施。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 英国生鲜物流企业Peter Green Chilled近期遭遇勒索软件攻击，部分系统遭加密。该公司为乐购（Tesco）、奥乐齐（Aldi）等零售巨头提供冷链运输服务，此次事件距离玛莎百货（Marks & Spencer）重大网络攻击尚不足一月。BBC报道称，攻击者于周三加密企业数据并扰乱运营，公司内部邮件证实正在处理勒索软件事件。 网络安全研究员Aras Nazarovas指出，此类攻击可使物流企业陷入服务瘫痪，导致合作超市特定商品短期缺货。ISACA全球战略官Chris Dimitriadis强调，网络罪犯正将目标转向供应链环节——配送中断、库存损耗与财务损失将引发连锁反应。 近期英国零售业频现安全危机，除玛莎百货外，哈罗德百货（Harrods）、合作社集团（Co-op）相继遭入侵。据路透社数据，玛莎百货因攻击已损失超6000万英镑（约8000万美元）利润，市值蒸发逾10亿英镑。调查显示，攻击者通过第三方服务商塔塔咨询（TCS）两名员工的凭证侵入系统，黑客组织Scattered Spider被怀疑参与作案。该团伙以钓鱼技术著称，2023年曾伪装IT支持人员攻陷拉斯维加斯美高梅度假村与凯撒娱乐集团。 尽管Scattered Spider作案手法老练，执法机构已展开全球缉捕。2023年，涉嫌参与美高梅攻击的22岁英国公民Tyler Robert Buchanan在西班牙落网。同年11月，美国起诉包括Ahmed Hossam Eldin Elbadawy在内的五名该组织成员。安全专家警示，供应链环节的数字化依赖度攀升，物流企业需强化第三方供应商的凭证管理及零信任架构部署。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Thales《2025年数据威胁报告》显示，面对生成式AI（GenAI）带来的安全风险，73%的企业正在通过新增预算或重新分配资源的方式采购AI专用安全工具。其中，超三分之二的企业选择云服务商提供的解决方案，60%依赖传统安全厂商，约半数尝试新兴初创公司的产品。AI安全已成为企业第二大安全投入重点，仅次于云安全。 近70%的IT与安全从业者认为，快速迭代的生成式AI生态系统（涵盖新型基础设施、SaaS服务与自主代理）是采用该技术的首要安全顾虑。此外，64%担忧数据完整性，57%质疑结果可信度。尽管存在风险，仍有三分之一企业处于GenAI技术的”集成”或”转型”阶段。 报告指出，45%的受访企业曾遭遇数据泄露，较2024年的49%略有下降。自2021年（56%）以来，受泄密影响的企业比例呈逐步下降趋势。过去12个月内发生泄露的企业占比为14%，与上年持平。值得注意的是，未通过合规审计的企业中有78%曾遭遇数据泄露，而通过审计的企业该比例仅为21%。恶意软件、钓鱼攻击与勒索软件仍是年度三大主要攻击类型。 近60%的企业采用生物识别技术，47%部署无密码认证（如通行密钥），这类技术能有效防范钓鱼攻击与凭证填充等账户劫持行为。研究覆盖全球20个国家、15个行业的3000余名IT与安全专家。 451 Research首席分析师Eric Hanselman评论称：“生成式AI的快速演进迫使企业加速布局，但往往以牺牲谨慎为代价。许多企业在尚未完全理解应用架构的情况下仓促部署，加之集成GenAI能力的SaaS工具激增，多重因素叠加放大了复杂性与风险。”       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Netacea最新研究显示，大西洋两岸近半数消费者曾遭遇社交媒体平台推送的零售欺诈广告，这些广告以“退款技巧”为幌子诱导用户参与诈骗。该公司对英美2000余名消费者展开调查，发现欺诈行为正通过主流社交媒体的高曝光广告逐渐“去罪化”。 地下犯罪产业阳光化 报告指出，以往仅存于暗网“欺诈即服务”论坛的犯罪指南，如今公然现身TikTok等平台。Netacea威胁服务副总裁Matthew Gracey-McMinn分析称：“犯罪组织利用社交媒体近乎无限的‘干净账户’资源（即未被风控系统标记的可信账户），通过诱导千禧一代‘轻松赚钱’，实际上将其培养成实施恶意活动的‘数字骡子’。” 触目惊心的数据 45%受访者承认收到过零售欺诈指南广告，58%接触过伪装成网红内容的退款骗局 16%认为零售欺诈属于“无受害者犯罪”，58%认为零售商应自行承担欺诈损失且不会影响经营 23%曾产生欺诈冲动，15%表示在特定条件下会尝试更严重的欺诈行为，34%认为单笔100英镑以内的欺诈可以接受 社交裂变式传播 18%受访者表示看到过网红推广欺诈手段，而通过亲友（37%）、同事（21%）、同学（9%）接触相关信息的比例高达82%。常见欺诈手法包括：谎称未收到货物骗取退款/补发、调包退货、盗用支付信息购物、使用非法获取的礼品卡或账户余额消费、雇佣专业“退单服务商”等。 内部腐败风险攀升 18%受访者承认认识从事内部欺诈的人员（其中12%在零售企业工作，6%在物流服务商任职）。这与Ravelin上周发布的报告相呼应——零售商普遍认为普通消费者带来的威胁已不亚于职业欺诈团伙。 Netacea警告称，欺诈行为的文化接受度正在发生危险转变：“我们每天监控暗网市场的职业罪犯，但如今零售欺诈技术已从阴影走向公开——它们在朋友间传播，在网络平台大肆推广。令人震惊的是，相当部分公众不仅看得见这些行为，甚至认为其可以接受。”       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 斯里兰卡、孟加拉国与巴基斯坦的高级别政府机构近期成为APT组织SideWinder新一轮攻击的重点目标。 研究人员发现，攻击者采用鱼叉式钓鱼邮件结合地理围栏技术，确保仅特定国家的目标会收到恶意载荷。攻击链通过诱饵文档激活感染流程，最终部署名为StealerBot的恶意软件，该作案手法与此前披露的SideWinder活动特征一致。 此次攻击瞄准南亚多国关键部门，包括孟加拉国电信监管委员会、国防部与财政部，巴基斯坦本土技术发展局，以及斯里兰卡外债管理局、国防部与中央银行。攻击者利用微软Office中历史悠久的远程代码执行漏洞（CVE-2017-0199与CVE-2017-11882）作为初始攻击媒介，部署具备持久化访问能力的恶意程序。 恶意文档被打开时触发CVE-2017-0199漏洞，通过DLL侧载技术释放后续载荷安装StealerBot。攻击者采用地理围栏技术增强隐蔽性：若受害者IP地址不符合预设国家范围，系统仅返回空白RTF文件作为诱饵。实际恶意RTF文件利用公式编辑器漏洞CVE-2017-11882触发内存破坏，执行基于shellcode的加载器运行StealerBot。 StealerBot是基于.NET开发的模块化植入程序，能够投放额外恶意组件、启动反向shell，并从受控主机窃取屏幕截图、键盘记录、密码、文件等敏感数据。分析指出，该组织展现出持续的活跃度与精准控制能力——恶意载荷仅在限定时间内分发给经过严格筛选的目标，反映出其组织架构的延续性与攻击意图的持久性。 攻击活动中，SideWinder延续了其标志性战术：频繁更新工具集以规避安全检测，通常在安全解决方案识别其工具后5小时内生成新变种。若遭遇行为检测，则迅速调整持久化维持与组件加载技术，并修改恶意文件路径及名称。尽管主要依赖旧版Office漏洞实施攻击，但其对目标选择的高度精准性与攻击流程的严密控制，仍使其成为南亚地区最具威胁的APT组织之一。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 未知攻击者自2024年2月起在Chrome应用商店投放多款恶意扩展程序，这些程序表面提供生产力工具、VPN、加密服务等实用功能，实则暗藏数据窃取、远程代码执行等恶意模块。 网络安全公司DomainTools调查发现，攻击者搭建仿冒DeepSeek、Manus、DeBank等知名服务的钓鱼网站，诱导用户安装对应扩展。这些扩展通过manifest.json文件申请过度权限，可劫持浏览器会话、注入广告、执行远程服务器下发的任意代码，甚至利用临时DOM元素的“onreset”事件处理器绕过内容安全策略（CSP）。 部分恶意扩展被检测到与超过100个仿冒网站相关联，其中一些网站嵌入了Facebook追踪ID，暗示攻击者可能通过Meta平台（如群组、广告）进行传播。用户安装后，扩展会窃取浏览器Cookie、建立WebSocket代理通道，并操控流量实现重定向攻击。 尽管Google已下架相关扩展，但安全专家指出，攻击者通过在应用商店和常规搜索结果中同时存在虚假页面，大幅提升用户中招概率。更隐蔽的是，部分扩展（如仿冒DeepSeek的案例）将低分评价用户重定向至私人反馈表单，而高分评价则正常显示在官方页面，以此伪造虚假好评。 DomainTools建议用户仅从认证开发者处下载扩展，安装前仔细审查权限请求，警惕名称相似的仿冒应用。同时提醒，评分系统可能被恶意过滤负面评价所操控，需结合多方信息综合判断。目前尚未明确攻击者身份，相关调查仍在进行中。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Elementor建站工具配套插件RomethemeKit曝出严重安全漏洞，该漏洞允许远程代码执行（RCE），目前已在1.5.5版本中完成修复。这款拥有超3万活跃安装量的插件主要用于为Elementor用户提供模板、部件和图标包，简化缺乏编程经验用户的建站流程。 网络安全公司Patchstack研究发现，旧版本中的install_requirements函数因缺少权限验证和非随机数（nonce）检查，使得任何已认证用户（包括仅具备订阅者权限的低权账户）均可利用此漏洞安装并激活任意插件。恶意插件一旦激活，攻击者即可远程执行任意代码。该漏洞被收录为CVE-2025-30911。 开发商Rometheme于2025年1月14日收到漏洞通报，1月30日发布的1.5.4版本尝试修补但未彻底解决问题。直至3月14日推出的1.5.5版本才通过添加权限验证和非随机数检查实现完整修复。 为避免同类漏洞，安全专家建议插件开发者在设计与开发阶段采取以下措施： 对涉及文件上传、插件安装、设置变更等管理级操作实施严格权限控制。 为所有通过AJAX发起的操作添加非随机数验证，防范跨站请求伪造（CSRF）攻击。 禁止向订阅者、投稿者等低权限角色开放插件安装/激活等敏感功能接口。 建立完善的验证框架并遵循WordPress官方编码规范，可显著降低远程代码执行等风险。定期代码审计、安全测试与及时更新同样是保障插件安全的关键措施。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Mozilla已发布安全更新，修复其Firefox浏览器中两个可能被用于窃取敏感数据或执行任意代码的严重漏洞。这两个漏洞均作为零日漏洞在Pwn2Own柏林黑客大赛中被利用，详情如下—— CVE-2025-4918：解析Promise对象时存在的越界访问漏洞，攻击者可借此对JavaScript Promise对象实施读写操作。 CVE-2025-4919：优化线性累加运算时存在的越界访问漏洞，攻击者可通过混淆数组索引尺寸对JavaScript对象实施读写操作。 简而言之，成功利用任一漏洞的攻击者都能实施越界读写，进而窃取敏感信息或造成内存损坏，最终实现代码执行。该系列漏洞影响范围包括： 138.0.4版本之前的所有Firefox浏览器（含安卓版） 128.10.1版本之前的所有Firefox扩展支持版（ESR） 115.23.1版本之前的所有Firefox ESR版本 CVE-2025-4918的发现与报告归功于Palo Alto Networks的Edouard Bochin与Tao Yan，CVE-2025-4919则由Manfred Paul发现。值得注意的是，这两个漏洞在上周的Pwn2Own柏林赛事中被成功演示利用，发现者各获得5万美元奖金。 Mozilla在声明中强调：“两起攻击均未突破我们的沙箱环境（这是获取用户系统控制权的必要条件）。尽管实际影响有限，仍建议所有用户和管理员立即升级至最新版本。”鉴于浏览器仍是恶意软件传播的主要载体，及时更新成为抵御潜在威胁的关键措施。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Cyble的最新监测数据显示，由于云存储桶配置错误导致的海量数据泄露仍在持续恶化。这家专注于暗网监控与威胁情报的企业透露，其漏洞扫描工具在七大主流云服务商处发现超过66万个暴露的存储桶，涉及2000亿份外泄文件。 仅针对凭证、源代码和机密文件三类敏感数据的筛选就暴露出数百万份高风险文件。Cyble研究人员具体指出：以“源代码”和Go语言为筛选条件，发现560万条结果；环境变量凭证过滤显示11万份敏感信息；机密文件检索则呈现逾160万条记录。 与去年8月相比，暴露云存储桶数量激增30%以上（当时监测到超50万个）。分析报告强调，存储桶配置错误已成为数据泄露的常见诱因——“即使大型企业也难以完美管控云存储访问权限，公开可访问的配置失误屡见不鲜。虽然云存储默认私有，但在共享对象或资源时极易引发复杂风险”。 监测案例显示，外泄数据类型涵盖文档、凭证、源代码乃至内部备份等关键资产。Cyble警告称，这类漏洞正在成为攻击者获取初始访问权限的重要跳板。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Python软件包仓库PyPI上新发现的恶意软件包dbgpkg引发了对开源生态安全性的新一轮担忧。 网络安全公司ReversingLabs披露，这个伪装成调试工具的程序实际上是为植入隐蔽后门提供通道，其恶意活动被认为与亲乌克兰黑客组织Phoenix Hyena存在关联。该组织自2022年俄乌冲突以来持续针对俄罗斯网络目标发起攻击，2024年曾入侵俄罗斯网络安全公司Dr.Web并泄露数据。 在技术实现方面，该恶意软件利用Python函数装饰器植入后门，通过sys.modules劫持requests和socket等常用网络库，在运行时模块被调用前保持潜伏状态。触发后，恶意代码首先检查是否存在后门程序。若未检测到，则会分阶段执行从Pastebin平台下载公钥、安装防火墙穿透工具Global Socket Toolkit，以及发送加密密钥至私密地址等操作。这种将恶意行为隐藏于可信模块调用的手法极大增加了检测难度。 安全研究人员指出，该后门与Phoenix Hyena组织使用的恶意软件存在技术相似性。该组织以Telegram频道DumpForums为平台持续泄露窃取的俄罗斯敏感数据。虽然不能完全排除模仿者作案的可能，但相同攻击载荷的反复使用及时间线特征增强了关联证据的可信度。 值得注意的是，攻击者采用的函数装饰器、隐蔽网络工具包等先进技术显示出其高超的技术能力和持久渗透意图。虽然dbgpkg被快速发现，但其前身discordpydebug软件包曾潜伏三年未被察觉，累计下载量超过11,000次。这警示开发者即使面对看似有用的工具也必须保持审慎态度，避免从不可信来源安装软件包。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 英国法律援助署（LAA）确认，近期遭受的网络攻击实际影响远超最初评估，攻击者已窃取大量包含申请人敏感信息的数据。这一结论由深度参与调查的英国政府正式公布。 LAA作为英国司法部下设的执行机构，负责为无力承担法律费用的人群提供法律咨询、诉讼代理等法律援助服务。其援助资格审核涵盖申请人的收入、资产状况及案件性质（涉及家庭法、住房、债务、移民、心理健康和刑法等领域）。 本月初，该机构首次披露遭遇安全事件，称少量财务信息可能遭泄露。但最新发布于英国政府门户网站的公告显示事态更为严峻：自2010年至今的大量数据或已遭窃。公告指出：“5月16日（周五），我们发现攻击波及范围远超预期，攻击组织已获取与法律援助申请人相关的大量信息。据信该组织已访问并下载了自2010年以来通过我们数字服务申请法律援助人群的大量个人数据。” 潜在泄露数据包括： 联系方式 出生日期 国民身份证号 犯罪记录 就业状态 法律费用分摊金额、债务与支付记录 英国政府建议所有申请人警惕针对性的诈骗行为，强调在共享敏感信息前需验证通信真实性。法律援助署首席执行官Jane Harbottle就事件致歉，表示“对此深表遗憾”，并承诺将尽快提供更多进展通报。目前，所有LAA系统已在国家网络安全中心（NCSC）协助下完成加固，线上申请服务已暂时关闭。 此次事件正值英国合作社、哈罗德百货、玛莎百货等零售企业遭受灾难性攻击之际，相关攻击被认为与Scattered Spider组织有关联，攻击者试图在受感染网络部署DragonForce勒索软件。目前尚不清楚LAA事件是否与这些攻击存在关联。根据谷歌安全研究人员的追踪，该组织近期已将攻击目标转向美国。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Arla Foods向BleepingComputer证实，其生产运营因遭遇网络攻击而中断。 这家丹麦食品巨头澄清称，攻击仅影响其位于德国Upahl的生产部门，但预计将导致产品交付延迟甚至取消。“我们可以确认，在德国Upahl乳制品厂发现的可疑活动影响了当地IT网络，”Arla发言人表示，“出于安全考虑启动的应急措施导致生产暂时受阻。” Arla Foods是一家国际化乳制品生产商，拥有7,600名成员的农民合作社，在39个国家雇佣23,000名员工。该公司年收入达138亿欧元（约合15.5亿美元），旗下Arla、Lurpak、Puck、Castello和星巴克等品牌产品销往全球140个国家。 Arla向BleepingComputer透露，目前正全力恢复受影响工厂的运营，预计本周末前将取得进展。“自事件发生以来，我们始终致力于全面恢复运营。预计未来几天该工厂将恢复正常，其他生产基地未受影响。”考虑到有关生产中断的消息最早于周五传出，部分地区可能出现产品短缺。“我们已通知受影响客户可能存在延迟交付或取消订单的情况。”发言人补充道。 BleepingComputer曾询问此次攻击是否涉及数据窃取或加密（勒索软件攻击的典型特征），但Arla目前拒绝透露更多细节。与此同时，尚未有勒索组织在勒索门户网站宣称对此次事件负责，因此攻击类型与实施者仍属未知。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁行为者至少持续八个月分发被植入木马的KeePass密码管理器版本，用于安装Cobalt Strike信标、窃取凭证并最终在攻陷网络中部署勒索软件。 WithSecure威胁情报团队在调查某次勒索攻击时发现了该活动。研究人员发现，攻击始于通过Bing广告推广的虚假软件网站传播恶意KeePass安装程序。 由于KeePass是开源软件，攻击者通过修改源代码构建了名为KeeLoader的木马版本。该版本保留了密码管理器的全部正常功能，但被植入了安装Cobalt Strike信标的代码，并将KeePass密码数据库以明文形式导出，随后通过信标实施窃取。 WithSecure指出，本次活动中使用的Cobalt Strike水印与某初始访问代理（IAB）存在关联，该代理疑似曾参与Black Basta勒索软件攻击。Cobalt Strike水印是嵌入信标的唯一标识符，与生成载荷时使用的许可证绑定。 “这种水印常见于涉及Black Basta勒索软件的信标和域名。很可能是由与Black Basta密切合作的初始访问代理使用，”WithSecure解释道，“我们尚未发现其他使用此Cobalt Strike信标水印的事件（无论是勒索软件还是其他类型），但这不意味着此类事件不存在。” 研究人员发现多个KeeLoader变种已通过合法证书签名，并借助keeppaswrd[.]com、keegass[.]com和KeePass[.]me等仿冒域名传播。BleepingComputer证实，keeppaswrd[.]com网站仍在运营，持续分发带毒安装程序（VirusTotal检测记录）。 除部署Cobalt Strike信标外，木马化KeePass程序还包含密码窃取功能，可窃取用户输入的所有凭证。WithSecure报告指出：“KeeLoader不仅被改造为恶意软件加载器，其功能还被扩展以实现密码数据库窃取。当KeePass数据库被打开时，账户、登录名、密码、网站及备注信息会以CSV格式导出至%localappdata%目录，文件名采用100-999之间的随机整数值。” 在WithSecure调查的案例中，攻击最终导致该公司的VMware ESXi服务器遭勒索软件加密。进一步调查发现，攻击者构建了庞大基础设施用于分发伪装成合法工具的恶意程序，以及用于窃取凭证的钓鱼页面。 aenys[.]com域名被用于托管多个仿冒知名企业的子域名，包括WinSCP、PumpFun、Phantom Wallet、Sallie Mae、Woodforest Bank和DEX Screener。这些子域名分别用于分发不同恶意软件变种或实施凭证窃取。 WithSecure以中等置信度将该活动归因于UNC4696组织，该团伙此前与Nitrogen Loader攻击活动存在关联。早期的Nitrogen活动涉及BlackCat/ALPHV勒索软件。 安全专家建议用户始终从官方网站下载软件（尤其是密码管理器等高敏感度工具），并避免点击广告中的链接。即使广告显示的是软件服务的正确URL，也应保持警惕——攻击者已多次证明其有能力绕过广告政策，在显示真实URL的同时将用户导向仿冒网站。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： RVTools的官方网站遭到黑客攻击，开始提供被篡改的流行VMware环境报告工具的安装程序。 “Robware.net和RVTools.com目前处于离线状态。我们正在紧急恢复服务，感谢您的耐心等待，”该公司在其网站上发布的声明中表示，“Robware.net和RVTools.com是唯一授权且受支持的RVTools软件下载网站。请勿从任何其他网站或来源搜索或下载所谓的RVTools软件。” 这一事件源于安全研究员Aidan Leon的披露：从该网站下载的受感染安装程序版本被用于侧载一个恶意DLL，该DLL最终被证实是名为Bumblebee的已知恶意软件加载器。目前尚不清楚这个被植入木马的RVTools版本可供下载的时间有多长，也不清楚在该网站下线前有多少用户安装了该版本。在此期间，建议用户验证安装程序的哈希值，并检查用户目录中任何version.dll的执行情况。 此次曝光恰逢另一事件：Procolored打印机提供的官方软件被发现包含一个基于Delphi的后门程序XRed，以及名为SnipVex的剪贴板劫持恶意软件。后者能够将剪贴板中的钱包地址替换为硬编码的攻击者地址。YouTube频道Serial Hobbyism的运营者Cameron Coward最早发现了这些恶意活动细节。 据信至少从2019年就开始活跃的XRed具备收集系统信息、记录键盘输入、通过连接的USB设备传播，以及执行来自攻击者控制服务器的命令（用于截取屏幕截图、枚举文件系统和目录、下载文件、删除系统文件）等功能。G DATA研究员Karsten Hahn对此事件进行了深入调查后指出：“[SnipVex]会搜索剪贴板中类似BTC地址的内容，并将其替换为攻击者的地址，从而使加密货币交易资金被转移到攻击者手中。” 值得注意的是，该恶意软件通过向.EXE文件注入剪贴板劫持功能进行传播，并在文件末尾使用感染标记序列0x0A 0x0B 0x0C以避免重复感染。截至目前，相关钱包地址已收到9.30857859 BTC（约合97.4万美元）。 Procolored公司承认，这些软件包是2024年10月通过USB设备上传至Mega文件托管服务的，恶意软件可能在此过程中被植入。目前仅限F13 Pro、VF13 Pro和V11 Pro产品提供软件下载。Hahn补充说明：“自2024年2月以来，该恶意软件的指挥控制服务器一直处于离线状态。因此XRed在此日期之后无法建立成功的远程连接。但与之配套的剪贴板银行木马SnipVex仍是严重威胁。尽管BTC地址在2024年3月3日之后未再收到交易，文件感染本身仍会对系统造成损害。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国司法部对12名嫌疑人提出指控，称其涉嫌参与一系列加密货币盗窃及后续洗钱活动，涉案金额达数亿美元。指控包括用于打击有组织犯罪的RICO共谋罪、电汇欺诈共谋、洗钱和妨碍司法公正。案件中的两名新增嫌疑人——20岁的Malone Lam和21岁的Jeandiel Serrano——于2024年9月被捕，被控通过社会工程攻击从华盛顿特区一名受害者处窃取约2.45亿美元。 司法部表示，该团伙成员最初通过在线游戏平台结识。自2023年10月起，他们利用窃取数据库中的信息锁定持有大量加密货币的潜在目标。据称部分嫌疑人“主动致电受害者，通过社会工程手段说服他们其账户正遭受网络攻击，而团伙成员试图帮助保护账户”。 检方指控该团伙通过多种骗局获利，包括一笔1400万美元和另一笔290万美元的盗窃。2024年7月，Lam入侵某受害者的iCloud账户以监控其位置。随后19岁的Marlon Ferro闯入该目标位于新墨西哥州的住宅，窃取与其加密账户关联的硬件设备。 2024年8月，据加密货币调查员ZachXBT（自称协助执法部门研究此案）透露，Lam和四名未具名嫌疑人瞄准加密借贷平台Genesis的债权人。他们冒充加密货币交易所Gemini的客服人员，谎称受害者账户被黑，指示其重置多因素认证并将资金转入被控钱包，同时诱骗受害者使用AnyDesk共享屏幕导致私钥泄露。 ZachXBT发布的视频据称记录了该团伙盗取资金时的实时反应，视频中有人反复高喊“我们搞定了！”。 检方称，该团伙成员利用非法所得过着奢侈生活，使用伪造文件在佛罗里达和加州租赁豪宅，乘坐私人飞机前往汉普顿，并购买多辆豪车。在为期三周的时间内，他们涉嫌在洛杉矶夜店挥霍400万美元。 嫌疑人Kunal Mehta、Hamza Doost、Joel Cortez和Evan Tangeman被控参与洗钱活动。据称担任数据库黑客兼团伙组织者的Conor Flansburg曾对Lam发出疑问：“我们怎么都比别人强这么多……我们怎么在几个月内就超越了那些混了八年圈子的人？” 起诉书显示，2024年9月18日，一名休班执法人员告知Lam警方正在逼近。在警察抵达其迈阿密住所实施逮捕前，Lam走向屋后通往比斯坎湾的码头，将手机扔入水中。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苏黎世联邦理工学院（ETH Zürich）的研究人员发现了一个新的安全漏洞，影响所有现代英特尔CPU并导致内存敏感数据泄露，这表明被称为Spectre的漏洞在七年后仍在持续影响计算机系统。该漏洞被命名为分支特权注入（BPI），“可被利用来滥用CPU（中央处理器）的预测计算，从而未经授权获取其他处理器用户的信息”。 研究作者之一、计算机安全组（COMSEC）负责人Kaveh Razavi表示，该缺陷影响所有英特尔处理器，可能使攻击者读取处理器缓存内容及同一CPU其他用户的工作内存。该攻击利用分支预测器竞态条件（BPRC），当处理器为不同权限用户切换预测计算时，未授权的黑客可借此绕过安全屏障获取特权进程的机密信息。 英特尔已发布微码补丁修复该漏洞（CVE编号CVE-2024-45332，CVSS v4评分5.7）。在5月13日的公告中，英特尔称“某些英特尔处理器间接分支预测器中由共享微架构预测状态引发的敏感信息泄露，可能允许已认证用户通过本地访问实现信息泄露”。 与此同时，阿姆斯特丹自由大学系统与网络安全组（VUSec）的研究人员披露了一类自训练Spectre v2攻击（代号Training Solo）。VUSec表示：“攻击者可在同一域（如内核）内推测劫持控制流，跨权限边界泄露机密，无需依赖eBPF等强大沙箱环境即可重现经典Spectre v2场景。” 这两个硬件漏洞（CVE-2024-28956和CVE-2025-24495）可针对英特尔CPU以最高17 KB/s的速度泄露内核内存。研究发现它们能“完全打破域隔离，重新启用传统用户-用户、虚拟机-虚拟机甚至虚拟机-宿主机Spectre-v2攻击”： CVE-2024-28956（CVSS v4评分5.7）：间接目标选择（ITS）漏洞，影响第9-11代英特尔酷睿及第2-3代至强等处理器 CVE-2025-24495（CVSS v4评分6.8）：Lion Cove分支预测单元问题，影响采用Lion Cove核心的英特尔CPU 尽管英特尔已发布微码更新修复这些缺陷，AMD表示已修订现有Spectre和Meltdown漏洞指南，明确强调使用经典伯克利数据包过滤器（cBPF）的风险。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 勒索软件团伙成员越来越多地使用名为Skitnet（又名“Bossnet”）的新型恶意软件，在已入侵的网络中实施隐蔽的入侵后活动。 该恶意软件自2024年4月起在RAMP等地下论坛出售，但网络安全公司Prodaft的研究人员称，其真正在勒索团伙中流行始于2025年初。Prodaft向BleepingComputer证实，已观察到BlackBasta、Cactus等多个勒索组织在真实攻击中部署Skitnet，例如BlackBasta曾利用该工具通过微软Teams钓鱼攻击渗透企业网络。 Skitnet感染始于在目标系统上投放并执行的Rust语言编写的加载器，该加载器会解密经过ChaCha20算法加密的Nim语言二进制文件，并将其加载至内存运行。Nim模块随后建立基于DNS的反向Shell连接（通过随机生成DNS查询发起），与C2服务器通信。恶意软件启动三个独立线程： 发送心跳DNS请求的线程 监控并外传Shell输出的线程 监听并解密DNS响应指令的线程 通过Skitnet的C2控制面板，攻击者可查看目标IP地址、地理位置和设备状态，并通过HTTP或DNS协议发送执行指令。支持的核心命令包括： startup：通过下载三个文件（含恶意DLL）并在启动文件夹创建指向华硕合法程序ISP.exe的快捷方式实现持久化，触发DLL劫持执行PowerShell脚本pas.ps1维持C2通信。 Screen：使用PowerShell截取桌面截图，上传至Imgur图床后向C2发送图片链接。 Anydesk：静默安装AnyDesk远程工具并隐藏窗口和通知托盘图标。 Rutserv：静默安装另一款合法远程工具RUT-Serv。 Shell：启动PowerShell命令循环，每5秒轮询服务器获取新指令并通过Invoke-Expression执行。 Av：通过查询WMI（SELECT * FROM AntiVirusProduct in root\SecurityCenter2）枚举已安装杀毒软件信息并回传。 除基础指令外，攻击者还可利用.NET加载器在内存中执行PowerShell脚本，实现更深度的攻击定制。尽管勒索组织常使用低杀毒检出率的定制化工具，但这些工具开发成本高昂且需要稀缺的技术人才（尤其对中小型团伙而言）。使用Skitnet这类现成恶意软件成本更低、部署更快，且多团伙共用可增加溯源难度。Prodaft已在GitHub公开该恶意软件的入侵指标（IoCs）。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 比利时移动虚拟网络使能者（MVNE）公司Effortel发生数据泄露，导致三家移动虚拟网络运营商（MVNO）——Carrefour Mobile、Neibo和Undo——的7万名客户个人信息遭窃。此次事件发生在该公司中央数据库的测试阶段，攻击者通过侵入MVNO与Telfort之间的支持门户获取了测试生成的客户数据文件。 泄露信息包含客户姓名、出生日期、电子邮箱、电话号码、住址、护照号码、用户编号及SIM卡技术识别码等敏感数据。Effortel总经理Laurent Bataille解释称：“约60%-65%的客户通过在线支付验证身份，此类用户身份数据未被存储，仅保留支付ID（需通过支付服务商才能关联到个人信息）。” Bataille呼吁受影响客户警惕钓鱼攻击，强调诈骗者可能利用泄露数据伪造精准骗局。值得注意的是，此次事件已是相关企业近期第二起重大数据泄露： 上月：Carrefour Mobile报告6.4万名客户信息被盗； 三周前：Undo曾警告遭遇网络攻击，客户数据被非法窃取。 Effortel作为技术服务商，为全球30多家MVNO提供计费、SIM卡激活等平台支持，其业务模式依赖与实体网络运营商（如Proximus）的协作。此次漏洞暴露了MVNE生态链中第三方测试环节的安全盲区，攻击者通过渗透测试环境间接劫持客户数据流。比利时数据保护机构已介入调查，初步认定涉事企业存在未加密存储测试数据、支持门户访问控制失效等违规行为。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 恶意攻击者利用AI技术伪造美国高级官员身份，通过短信和语音钓鱼（分别称为smishing和vishing）实施诈骗。根据美国联邦调查局（FBI）5月15日发布的警报，自2025年4月以来，这些深度伪造骗局持续针对美国现任或前任联邦/州政府高级官员及其联系人。 攻击者通过发送文本短信和AI生成的语音信息，诱使受害者点击恶意链接（通常伪装成要求切换至其他通讯平台），试图非法访问官员的个人或工作账户。成功入侵后，攻击者会利用获取的可信联系人信息，继续针对其他政府官员及其关联人士实施攻击，同时可能冒充可信联系人套取敏感信息或财务资源。 FBI防范AI钓鱼攻击指南 为帮助公众应对AI驱动的社交工程攻击，FBI建议采取以下防护措施： 通过反向查询号码并通过独立渠道验证身份，确认联系人的真实性 仔细检查通信中使用的邮箱地址、电话号码、URL链接和拼写细节（注意细微差异） 警惕图像/视频中的瑕疵，识别AI生成内容特征 切勿向网络或电话结识者透露敏感信息或联系方式 避免向未经验证身份者转账或转移资产 在确认发送者身份前，不要点击邮件/短信中的链接 谨慎下载附件或应用程序 启用双因素认证（2FA），绝不向他人分享验证码 与家人约定暗语或密语用于身份验证 FBI特别指出，攻击者通过精准模仿官员常用通讯方式（如Signal、Telegram等加密平台），利用“紧急事务”、“政策调整”等话术提升欺骗性。近期案例显示，部分钓鱼链接会诱导受害者输入双因素验证码，直接绕过账户保护机制。安全专家建议政府工作人员定期更新隐私设置，限制社交媒体公开信息，并启用高级账号监控服务。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文