HackerNews 编译，转载请注明出处： 微软近日发出警告，新型网络攻击正利用美国即将到来的报税季，大肆窃取用户凭证并传播恶意软件。 攻击者抓住报税邮件的紧迫性和时效性特点，发送伪装成退税通知、工资单、报税提醒及税务专业人士请求的钓鱼邮件，诱骗收件人打开恶意附件、扫描二维码或点击可疑链接。 微软威胁情报团队与Defender安全研究团队在上周发布的报告中指出：”多数攻击针对个人用户窃取财务信息，但部分攻击专门瞄准会计师等专业人士——这类人群掌握敏感文件、拥有财务数据访问权限，且习惯在报税季接收税务相关邮件。” 部分攻击将用户导向通过”钓鱼即服务”（PhaaS）平台搭建的虚假页面，另一些则直接部署合法的远程监控管理工具（RMM），如ConnectWise ScreenConnect、Datto和SimpleHelp，使攻击者得以长期控制受害设备。 主要攻击手法包括： 会计师诱饵：利用注册会计师（CPA）名义，通过Energy365钓鱼工具包发送钓鱼页面窃取邮箱密码。该工具包日均发送数十万封恶意邮件。 二维码与W2表单诱饵：针对约100家机构，主要为美国制造业、零售业和医疗行业，诱导用户访问仿冒Microsoft 365登录页面的钓鱼网站。该页面使用SneakyLog（又名Kratos）PhaaS平台搭建，专门窃取用户凭证和双因素认证（2FA）码。 税务主题域名：以获取更新版税务表格为幌子，诱骗用户点击虚假链接，实则分发ScreenConnect。 IRS加密货币诱饵：冒充美国国税局（IRS），针对美国高等教育 sector，诱导收件人通过恶意域名（”irs-doc[.]com”或”gov-irs216[.]net”）下载”加密货币税表1099″，进而部署ScreenConnect或SimpleHelp。 会计师定向攻击：以帮助报税为由，发送恶意链接诱导安装Datto。 微软披露，2026年2月10日监测到一场大规模钓鱼攻击，波及超过1万家机构的2.9万名用户。约95%的目标位于美国，涵盖金融服务（19%）、科技与软件（18%）、零售与消费品（15%）等行业。 “邮件冒充IRS，声称收件人的电子报税识别号（EFIN）存在异常报税记录，诱导其下载所谓的’IRS转录查看器’进行核实。” 这些通过亚马逊简单邮件服务（SES）发送的邮件包含”下载IRS转录查看器5.1″按钮，点击后跳转至smartvault[.]im——一个伪装成知名文档管理平台SmartVault的域名。 该钓鱼网站利用Cloudflare拦截机器人和自动扫描工具，确保仅向真实用户投放主要载荷：经过恶意打包的ScreenConnect，使攻击者远程访问系统，实施数据窃取、凭证收集及后续渗透活动。 防护建议：组织应强制所有用户启用2FA，实施条件访问策略，监控扫描 incoming 邮件和访问网站，并封禁恶意域名。 与此同时，安全研究人员还发现多起远程访问木马和数据窃取攻击活动： 虚假视频会议：伪造Google Meet和Zoom页面，以软件更新名义推送合法员工监控平台Teramind。 Avast退款诈骗：利用仿冒Avast品牌的欺诈网站，骗取法语用户完整信用卡信息。 山寨Telegram：通过仿冒官网（”telegrgam[.]com”）分发木马安装包，植入DLL启动内存载荷，建立持久化访问。 滥用Azure Monitor：利用微软Azure监控告警通知发送 callback 钓鱼邮件，嵌入虚假账单和攻击者控制的客服电话，从 legitimate 地址azure-noreply@microsoft.com发送钓鱼信息。 报价单诱饵：通过钓鱼邮件投递JavaScript下载器，连接外部服务器下载PowerShell脚本，启动受信任的微软程序”Aspnet_compiler.exe”并注入XWorm 7.1载荷。类似手法也被用于触发无文件Remcos远控木马感染链。 ClickFix伎俩：结合钓鱼邮件和ClickFix手段投递NetSupport远控木马，窃取数据并部署更多恶意软件。 滥用微软应用注册重定向URI：在钓鱼邮件中利用”login.microsoftonline[.]com”滥用信任关系、绕过垃圾邮件过滤，重定向至窃取凭证和2FA码的钓鱼网站。 多厂商链接重写链：滥用Avanan、Barracuda、Bitdefender、Cisco、INKY、Mimecast、Proofpoint、Sophos和Trend Micro等合法URL重写服务，嵌套多层重写链接隐藏恶意URL，大幅增加安全平台追踪难度。 恶意ZIP文件：伪装成AI图像生成器、变声工具、股票交易软件、游戏模组、VPN和模拟器等，投递Salat窃密木马或MeshAgent，并捆绑加密货币挖矿程序。主要瞄准美国、英国、印度、巴西、法国、加拿大和澳大利亚用户。 数字邀请函：通过钓鱼邮件发送虚假Cloudflare验证码页面，投递VBScript运行PowerShell代码，从Google Drive获取名为SILENTCONNECT的隐蔽.NET加载器，最终部署ScreenConnect。 据Huntress最新报告，攻击者对RMM工具的采用同比增长277%。 Elastic Security Labs研究员Daniel Stepanic和Salim Bitam指出：”由于这些工具被合法IT部门广泛使用，在企业环境中通常被视为’可信’而被忽视。组织必须保持警惕，审计环境中未经授权的RMM使用情况。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： “Contagious Interview”行动背后的朝鲜黑客组织（又称WaterPlum）被曝利用恶意Visual Studio Code项目传播新型恶意软件家族StoatWaffle。 自2025年12月起，该组织开始采用VS Code “tasks.json”配置分发恶意软件这一新战术。攻击利用”runOn: folderOpen”选项，每当项目文件夹在VS Code中打开时即自动触发执行。 NTT Security在上周发布的报告中指出：”该任务配置会从Vercel上的Web应用下载数据，与操作系统无关。本文虽以Windows环境为例，但核心行为在各系统上基本一致。” 下载的载荷首先检查执行环境是否安装Node.js，若未安装则从官网下载并安装。随后启动下载器，定期轮询外部服务器获取下一阶段下载器，该下载器行为相同——访问同一服务器的另一端点，将接收到的响应作为Node.js代码执行。 StoatWaffle两大功能模块： 窃密模块：窃取Chromium内核浏览器和Mozilla Firefox中存储的凭证及扩展数据，并上传至C2服务器。若受感染系统为macOS，还会窃取iCloud钥匙串数据库。 远控木马（RAT）：与C2服务器通信，获取并在受感染主机执行命令。支持切换工作目录、枚举文件目录、执行Node.js代码、上传文件、递归搜索指定目录并列出或上传匹配关键词的文件、运行shell命令及自我终止。 这家日本安全厂商表示：”StoatWaffle是基于Node.js的模块化恶意软件，具备窃密和远控两大模块。WaterPlum持续开发新恶意软件并更新现有工具。” 与此同时，该组织针对开源生态的多次攻击活动也被曝光： 恶意npm包：分发PylangGhost恶意软件，系该 malware 首次通过npm包传播。 PolinRider行动：在数百个公共GitHub仓库中植入混淆的恶意JavaScript载荷，最终部署BeaverTail新版本——这是Contagious Interview关联的知名窃密下载器。其中包括Neutralinojs GitHub组织的四个仓库。攻击者疑似通过恶意VS Code扩展或npm包感染受害者后，篡夺了该组织长期贡献者的GitHub账户（拥有组织级写入权限），强制推送从Tron、Aptos和币安智能链（BSC）交易中获取加密载荷的JavaScript代码，以下载运行BeaverTail。 微软本月对Contagious Interview的分析显示，攻击者通过”精心伪装的招聘流程”实现初始访问——模拟真实技术面试，最终说服受害者在评估环节运行托管于GitHub、GitLab或Bitbucket的恶意命令或包。 部分情况下，攻击者通过LinkedIn接触目标。但被选中的并非初级开发者，而是加密货币或Web3领域的创始人、CTO及高级工程师——这些人很可能拥有公司技术基础设施和加密钱包的高级访问权限。近期一起事件中，攻击者试图通过虚假面试接触AllSecure.io创始人，但未得逞。 这些攻击链部署的主要恶意软件家族包括：OtterCookie（具备广泛数据窃取能力的后门）、InvisibleFerret（Python后门）和FlexibleFerret（Go和Python双版本模块化后门）。InvisibleFerret通常通过BeaverTail投递，但近期入侵中也发现通过OtterCookie获取初始访问后直接作为后续载荷分发。 值得注意的是，FlexibleFerret又称WeaselStore，其Go和Python变体分别被称为GolangGhost和PylangGhost。 攻击者正积极改进战术：新版VS Code项目已弃用Vercel域名，改用GitHub Gist托管脚本下载执行下一阶段载荷，最终部署FlexibleFerret。这些项目同样托管于GitHub。 微软指出：”通过将恶意软件投递嵌入开发者信任的面试工具、编程练习和评估流程，攻击者利用求职者在高动机和时间压力期间对招聘流程的信任，降低其警惕性和抵抗力。” 针对VS Code任务功能的持续滥用，微软在2026年1月更新（1.109版本）中引入缓解措施：新增”task.allowAutomaticTasks”设置，默认关闭，防止打开工作区时自动执行”tasks.json”中定义的任务。 Abstract Security表示：”该更新还禁止在工作区级定义此设置，因此恶意仓库自带的.vscode/settings.json文件无法覆盖用户全局设置。1.109版本及2026年2月更新（1.110版本）还引入二次提示，在新打开的工作区检测到自动运行任务时警告用户，作为用户接受工作区信任提示后的额外防护。” 近月来，朝鲜黑客还通过LinkedIn社交工程、虚假风投公司和欺诈视频会议链接，对加密货币从业者发起协同恶意软件攻击。该活动与GhostCall和UNC1069等集群存在重叠。 MacPaw旗下Moonlock Lab表示：”攻击链最终导向ClickFix式虚假验证码页面，诱骗受害者在终端执行剪贴板注入命令。该行动跨平台设计，针对macOS和Windows分别投递定制载荷。” 美国司法部（DoJ）近日宣布对三名男子判刑——25岁的Audricus Phagnasay、30岁的Jason Salazar和35岁的Alexander Paul Travis，三人因协助朝鲜欺诈性IT工作者计划、违反国际制裁而认罪，此前均于2025年11月认罪。 Phagnasay和Salazar均被判三年缓刑及2000美元罚款，并被没收参与电信诈骗所得非法收益。Travis被判一年监禁，并没收19.3265万美元——这是朝鲜人员冒用其身份所获金额。 佐治亚州南区联邦检察官Margaret Heap在声明中表示：”这些人实际上把网络王国的钥匙交给了疑似朝鲜海外技术工作者——他们试图为朝鲜政府筹集非法资金，而这些人只是为了看似轻松的金钱回报。” 上周，Flare和IBM X-Force详细披露了该IT工作者计划的内部结构，并指出这些工作者在加入计划前需就读朝鲜顶尖大学并通过严格面试。 两家公司指出：”他们被视为朝鲜社会精英成员，已成为朝鲜政府战略目标不可或缺的部分。这些目标包括但不限于：创收、远程就业活动、窃取企业和专有信息、勒索，以及为其他朝鲜组织提供支持。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国联邦调查局（FBI）向网络防御人员发出警告，与伊朗情报与安全部（MOIS）有关联的黑客正利用Telegram进行恶意软件攻击。 FBI在周五发布的紧急警报中指出，Telegram被用作恶意软件的命令控制（C2）基础设施，攻击目标包括批评伊朗政府的记者、伊朗异见人士及全球各类反对派组织。 “鉴于中东地区当前的地缘政治形势和冲突态势，FBI特此强调MOIS的网络活动，”该局表示。 “该恶意软件导致情报收集、数据泄露及针对目标方的声誉损害。FBI发布此信息旨在最大限度提高对伊朗恶意网络活动的认知，并提供缓解策略以降低被入侵风险。” 该局将这些攻击与伊朗关联的亲巴勒斯坦Handala黑客组织（又称Handala Hack Team、Hatef、Hamsa），以及伊朗伊斯兰革命卫队（IRGC）支持的国家资助威胁组织Homeland Justice联系起来。 在这些攻击中，伊朗黑客利用社交工程感染目标设备，植入Windows恶意软件，使其能够从受感染计算机外泄截图或文件。 “不法分子会利用任何可用渠道控制恶意软件，包括其他通讯工具、电子邮件甚至直接网络连接，”Telegram发言人在文章发表后告诉BleepingComputer。”虽然使用Telegram控制软件并无特殊之处，但平台审核人员会例行删除任何涉及恶意软件的账户。” 该警告发布前一天，FBI刚刚查封了四个域名：handala-redwanted[.]to、handala-hack[.]to、justicehomeland[.]org和karmabelow80[.]org。 这些明网域名对应的网站被Handala、Homeland Justice威胁组织，以及被追踪为Karma Below的第三个威胁行为体用于攻击活动，并泄露在美国及全球网络攻击中窃取的敏感文件和数据。 这些行动紧随Handala对美国医疗巨头Stryker的网络攻击之后——该组织在入侵Windows域管理员账户并新建全局管理员账户后，利用Microsoft Intune擦除命令对约8万台设备（包括公司管理的员工个人电脑和移动设备）执行了出厂重置。 上周，FBI还警告称，与俄罗斯情报部门关联的威胁行为体正针对Signal和WhatsApp用户发起钓鱼活动，已入侵数千个账户。 “该活动瞄准高情报价值人员，如现任及前任美国政府官员、军事人员、政治人物和记者，”FBI在荷兰和法国网络安全机构描述类似账户劫持行动后发布的公共服务公告中表示。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 日本汽车制造商马自达株式会社（Mazda）近日披露，去年12月发现的一起安全事件导致员工及合作伙伴信息外泄。 作为日本最大汽车制造商之一，马自达年产车辆120万台，年收入近240亿美元。 公司表示，攻击者利用了泰国零部件采购仓库管理系统的漏洞。该系统不包含任何客户数据，泄露记录仅限692条。 马自达在公告中称：”公司已发现针对泰国零部件采购仓库管理系统的未授权外部访问痕迹。发现后，公司立即向个人信息保护委员会（日本内阁府外局）报告，并在外部专业机构协助下实施适当安全措施并展开调查。” 调查显示，可能泄露的信息包括：用户ID、姓名、电子邮箱、公司名称及合作伙伴ID。 尽管马自达表示尚未发现信息被滥用的情况，但建议受影响人员保持警惕，因为针对他们的钓鱼攻击和诈骗风险显著增加。 除通知当局外，马自达还实施了额外的IT系统安全措施，包括减少互联网暴露面、应用安全补丁、加强可疑活动监控及引入更严格的访问策略。 截至发稿，尚无勒索软件组织公开宣称对这家日本公司发动攻击。 BleepingComputer已联系马自达了解事件详情，将在收到官方回复后更新本文。 值得注意的是，虽然马自达从未正式确认数据泄露，但Clop勒索软件组织已于2025年11月在其数据泄露网站上列出Mazda.com和MazdaUSA.com，声称入侵了这家日本汽车制造商及其美国子公司。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 知名动漫流媒体平台Crunchyroll正在调查一起数据泄露事件，此前黑客声称窃取了约680万人的个人信息。 Crunchyroll最初向BleepingComputer表示：”我们已注意到相关声明，正与顶尖网络安全专家密切合作调查此事。” 在后续声明中，Crunchyroll补充道：”调查正在进行中，我们继续与网络安全专家合作。目前我们认为，泄露信息主要限于客户服务工单数据，源于第三方供应商的一起事件。我们尚未发现与这些声明相关的系统持续访问证据，正密切监控事态发展。” 此前，一名威胁行为体于上周四联系BleepingComputer，声称于美国东部时间3月12日晚9点入侵Crunchyroll，通过获取Crunchyroll支持人员的Okta SSO账户权限实施攻击。 该支持人员据称是Telus International业务流程外包（BPO）公司员工，有权访问Crunchyroll支持工单。威胁行为体声称使用恶意软件感染该员工电脑并窃取其凭证。 据与BleepingComputer分享的截图显示，这些凭证可访问Crunchyroll多项应用，包括Zendesk、Wizer、MaestroQA、Mixpanel、Google Workspace Mail、Jira Service Management和Slack。 攻击者称利用此权限从Crunchyroll的Zendesk实例下载了800万条支持工单记录，其中包含680万个唯一电子邮箱地址。 BleepingComputer查看并随后删除的工单样本显示，信息种类繁多，包括Crunchyroll用户姓名、登录名、邮箱地址、IP地址、大致地理位置及工单内容。 尽管其他报道声称信用卡信息遭泄露，但BleepingComputer确认，信用卡详情仅在客户主动在工单中提供时才会暴露。大多数情况下仅包含基本信息，如末四位数字或有效期，极少数包含完整卡号——据威胁行为体称。 BleepingComputer查看的工单均提及Telus，印证了威胁行为体关于入侵BPO员工的说法。 攻击者称其访问权限在24小时后被撤销，使其仅能窃取截至2025年中期的数据。 黑客声称已向Crunchyroll发送勒索邮件，索要500万美元以换取不公开泄露数据，但未收到公司回应。 虽然此次攻击针对Telus员工，但BleepingComputer获悉，这与ShinyHunters勒索团伙对Telus Digital的大规模泄露事件无关。 BPO成高价值目标 过去几年，业务流程外包公司已成为威胁行为体的高价值目标，因其通常为多家公司处理客户支持、账单和内部认证系统。 因此，威胁行为体可通过入侵单一BPO员工获取跨多家公司的大量客户和企业数据。 过去一年，威胁行为体通过贿赂具有合法访问权限的内部人员、对支持人员实施社交工程以获取未授权访问，以及入侵BPO员工账户进入内部系统等方式攻击BPO。 其中最突出的案例之一是，攻击者冒充员工说服Cognizant帮助台支持代理授予其Clorox员工账户访问权限，从而入侵该公司网络。 多家大型零售商也确认，针对支持人员的社交工程攻击导致了勒索软件和数据窃取攻击。 玛莎百货（Marks & Spencer）确认攻击者利用社交工程入侵其网络，而Co-op则在披露数据遭窃后承认，勒索软件攻击同样滥用了支持人员的访问权限。 针对玛莎百货和Co-op零售公司的攻击，英国政府发布了关于帮助台和BPO社交工程攻击的指导建议。 某些情况下，黑客直接以BPO员工账户为目标，获取其管理的客户数据。 去年10月，Discord披露一起数据泄露事件，据称在其Zendesk支持系统实例遭入侵后，550万独立用户数据暴露。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 半导体服务企业Trio-Tech International披露，其位于新加坡的子公司遭到勒索软件攻击。 该公司在向美国证券交易委员会（SEC）提交的文件中表示，事件发生于3月11日，导致其网络内部分文件被加密。 Trio-Tech称，该子公司立即启动应急响应程序，主动将系统下线以控制事态蔓延。此外，子公司还在第三方网络安全专家协助下展开调查，并通知了执法部门。 “该子公司正采取措施控制事件、恢复受影响系统，并加强整个网络环境的监控。同时正在按适用法律要求通知受影响方，”公司在文件中写道。 Trio-Tech最初认为该事件不会造成重大影响，但攻击者随后公布了从其网络窃取的部分数据，”管理层因此认定该事件可能构成重大网络安全事件”。 公司表示调查仍在进行中，尚未确定可能受影响数据的全部范围。”该子公司还在与其网络保险提供商密切合作，以支持调查、修复及潜在的理赔流程，”Trio-Tech补充道。 公司未透露攻击者身份细节，但Gunra勒索软件团伙已在其Tor泄露网站上将Trio-Tech列入受害者名单。 SecurityWeek已向Trio-Tech发送邮件，寻求关于攻击者声明的更多信息，如获回复将更新本文。 总部位于加州的Trio-Tech International提供半导体后端解决方案（SBS），包括制造、测试和分销服务，以及工业电子设备。该公司在美国、中国、马来西亚、新加坡和泰国均设有办事处。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全与基础设施安全局（CISA）和联邦调查局（FBI）周五表示，与俄罗斯情报机构有关联的威胁行为者正在开展网络钓鱼活动，试图入侵 WhatsApp 和 Signal 等商业消息应用程序（CMA），以控制具有高情报价值人员的账户。 FBI 局长卡什・帕特尔在 X 平台（原推特）上发文称：“此次活动的目标是具有高情报价值的人员，包括现任和前任美国政府官员、军事人员、政治人物和记者。在全球范围内，这一行动已导致数千个个人账户遭到未经授权的访问。攻击者获得访问权限后，能够查看消息和联系人列表，以受害者的身份发送消息，并利用受信任身份开展更多网络钓鱼活动。” CISA 和 FBI 称，这一活动已致使数千个个人 CMA 账户遭到入侵。值得注意的是，这些攻击旨在侵入目标账户，并非利用安全漏洞或弱点来破解平台的加密保护。 虽然这些机构并未将该活动归咎于某个特定的威胁行为者，但微软和谷歌威胁情报小组此前的报告已将此类活动与多个与俄罗斯有关的威胁组织联系起来，这些组织包括 “星暴”（Star Blizzard）、UNC5792（又名 UAC – 0195）以及 UNC4221（又名 UAC – 0185）。 法国国家网络安全局（ANSSI）下属的网络危机协调中心（C4）也曾发布类似警报，警告针对政府官员、记者和企业领导人即时通讯账户的攻击活动激增。 C4 表示：“这些攻击一旦成功，恶意行为者就能访问聊天记录，甚至控制受害者的消息账户，并以受害者的身份发送消息。” 此次活动的最终目的是让威胁行为者未经授权访问受害者账户，从而查看消息和联系人列表，代受害者发送消息，甚至通过滥用信任关系对其他目标进行二次网络钓鱼。 正如德国和荷兰的网络安全机构近期所警告的，此次攻击中，攻击者冒充 “Signal 支持” 人员接近目标，敦促他们点击链接（或扫描二维码），或提供 PIN 码或验证码。无论哪种方式，这种社会工程手段都能让威胁行为者获取受害者的 CMA 账户访问权。 不过，根据受害者所采用的不同方式，此次活动会产生两种不同结果： 如果受害者选择向威胁行为者提供 PIN 码或验证码，他们将失去账户访问权，因为攻击者已用其在自己端恢复账户。虽然威胁行为者无法访问过往消息，但这种方法可用于监控新消息，并冒充受害者向他人发送消息。 如果受害者最终点击链接或扫描二维码，受威胁行为者控制的设备就会与受害者账户关联，使其能够访问所有消息，包括过去发送的消息。在这种情况下，除非受害者在应用设置中被明确移除，否则他们仍可继续访问 CMA 账户。 为更好地防范此类威胁，建议用户切勿与任何人分享短信验证码或验证 PIN 码，收到来自未知联系人的意外消息时要谨慎，点击链接前先检查，定期查看已关联设备，并移除可疑设备。 Signal 本月早些时候在 X 平台上发文称：“这些攻击和所有网络钓鱼一样，依赖社会工程手段。攻击者冒充可信联系人或服务（比如虚构的‘Signal 支持机器人’），诱骗受害者交出登录凭证或其他信息。” “为防止此类情况发生，请记住，只有在首次注册 Signal 应用程序时才需要短信验证码。我们还要强调，Signal 支持人员绝不会通过应用内消息、短信或社交媒体主动联系您，索要验证码或 PIN 码。如果有人索要与 Signal 相关的任何代码，那就是诈骗。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 甲骨文发布了安全更新，以修复影响身份管理器（Identity Manager）和 Web 服务管理器（Web Services Manager）的一个严重安全漏洞，该漏洞可能被利用来实现远程代码执行。 此漏洞编号为 CVE – 2026 – 21992，在满分 10.0 的通用漏洞评分系统（CVSS）中得分 9.8。 甲骨文在一份安全公告中表示：“该漏洞无需身份验证即可远程利用。若成功利用，此漏洞可能导致远程代码执行。” 受 CVE – 2026 – 21992 影响的版本如下： 甲骨文身份管理器 12.2.1.4.0 版和 14.1.2.1.0 版 甲骨文 Web 服务管理器 12.2.1.4.0 版和 14.1.2.1.0 版 根据美国国家标准与技术研究院（NIST）国家漏洞数据库（NVD）对该漏洞的描述，它 “极易被利用”，未经身份验证的攻击者通过 HTTP 获得网络访问权限后，可借此危害甲骨文身份管理器和甲骨文 Web 服务管理器，进而成功控制易受攻击的实例。 甲骨文并未提及该漏洞在现实中已被利用的情况。然而，这家科技巨头敦促客户立即应用更新，以获得最佳保护。 2025 年 11 月，美国网络安全与基础设施安全局（CISA）将 CVE – 2025 – 61757（CVSS 评分：9.8）添加到已知被利用漏洞（KEV）目录中，该漏洞是一个影响甲骨文身份管理器的预认证远程代码执行漏洞，CISA 称有证据表明它已被主动利用。 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全与基础设施安全局（CISA）周五将五个影响苹果、Craft CMS 和 Laravel Livewire 的安全漏洞添加到其已知被利用漏洞（KEV）目录中，并敦促联邦机构在 2026 年 4 月 3 日前修复这些漏洞。 以下是已遭利用的漏洞： CVE – 2025 – 31277（CVSS 评分：8.8）：苹果 WebKit 中的一个漏洞，在处理恶意制作的网页内容时可能导致内存损坏。（2025 年 7 月已修复） CVE – 2025 – 43510（CVSS 评分：7.8）：苹果内核组件中的内存损坏漏洞，恶意应用程序可借此导致进程间共享内存发生意外变化。（2025 年 12 月已修复） CVE – 2025 – 43520（CVSS 评分：8.8）：苹果内核组件中的内存损坏漏洞，恶意应用程序可借此导致系统意外终止或写入内核内存。（2025 年 12 月已修复） CVE – 2025 – 32432（CVSS 评分：10.0）：Craft CMS 中的代码注入漏洞，远程攻击者可借此执行任意代码。（2025 年 4 月已修复） CVE – 2025 – 54068（CVSS 评分：9.8）：Laravel Livewire 中的代码注入漏洞，在特定场景下，未经身份验证的攻击者可借此实现远程命令执行。（2025 年 7 月已修复） 谷歌威胁情报小组（GTIG）、iVerify 和 Lookout 报告称，存在一款代号为 DarkSword 的 iOS 漏洞利用工具包，利用上述三个苹果漏洞以及另外三个缺陷，来部署 GHOSTBLADE、GHOSTKNIFE 和 GHOSTSABER 等恶意软件家族进行数据窃取，在此之后，这三个苹果漏洞被列入 KEV 目录。 据 Orange Cyberdefense SensePost 称，自 2025 年 2 月起，未知威胁行为者就将 CVE – 2025 – 32432 作为零日漏洞进行利用。从那时起，被追踪为 Mimo（又名 Hezb）的入侵组织也被观察到利用该漏洞来部署加密货币挖矿程序和住宅代理软件。 列表中的最后一个漏洞 CVE – 2025 – 54068，其被利用情况最近被 Ctrl – Alt – Intel 威胁研究团队标记，这是伊朗国家支持的黑客组织 MuddyWater（又名 Boggy Serpens）发动攻击的一部分。 本周早些时候发布的一份报告中，帕洛阿尔托网络 Unit 42 指出，该对手持续针对中东地区的外交和关键基础设施，包括能源、海事和金融领域，以及全球其他战略目标。 Unit 42 表示：“虽然社会工程仍然是其主要特征，但该组织也在不断提升其技术能力。其多样的工具集包括结合了反分析技术以实现长期潜伏的人工智能增强型恶意软件植入程序。这种社会工程与快速开发工具的结合，形成了强大的威胁态势。” Unit 42 还称：“为支持其大规模的社会工程活动，Boggy Serpens 使用了一个定制的基于网络的编排平台。该工具使操作人员能够在对发件人身份和目标列表保持精细控制的同时，实现大规模电子邮件的自动发送。” 该组织隶属于伊朗情报和安全部（MOIS），主要专注于网络间谍活动，不过它还通过采用 DarkBit 勒索软件身份，与针对以色列理工学院的破坏性行动有关联。 MuddyWater 攻击手法的一个显著特点是，在鱼叉式网络钓鱼攻击中使用劫持的政府和企业官方账户，并滥用信任关系来规避基于信誉的拦截系统并传播恶意软件。 在 2025 年 8 月 16 日至 2026 年 2 月 11 日期间，针对阿联酋一家未具名的国家海洋和能源公司的持续攻击活动中，该威胁行为者据称发动了四轮不同的攻击，导致部署了包括 GhostBackDoor 和 Nuso（又名 HTTP_VIP）在内的各种恶意软件家族。该威胁行为者武器库中的其他一些知名工具包括 UDPGangster 和 LampoRAT（又名 CHAR）。 Unit 42 表示：“Boggy Serpens 最近的活动体现了其威胁态势的成熟，该组织将其既定方法与更完善的持续运营机制相结合。通过使其开发渠道多样化，纳入 Rust 等现代编程语言和人工智能辅助工作流程，该组织创建了并行路径，确保维持高运营节奏所需的冗余性。”   消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Trivy，这款由 Aqua Security 维护的热门开源漏洞扫描器，在短短一个月内再次遭到攻击，被用于传播恶意软件以窃取敏感的 CI/CD 机密信息。 最新这次事件影响了 GitHub Actions 中的 “aquasecurity/trivy – action” 和 “aquasecurity/setup – trivy”。其中，“aquasecurity/trivy – action” 用于扫描 Docker 容器镜像中的漏洞，而 “aquasecurity/setup – trivy” 则用于使用特定版本的扫描器设置 GitHub Actions 工作流程。 Socket 安全研究员 Philipp Burckhardt 表示：“我们发现，攻击者对 aquasecurity/trivy – action 存储库中的 76 个版本标签中的 75 个进行了强制推送。该存储库是用于在 CI/CD 管道中运行 Trivy 漏洞扫描的官方 GitHub Action。这些标签被修改以提供恶意有效载荷，实际上将受信任的版本引用变成了信息窃取程序的分发机制。” 该有效载荷会在 GitHub Actions 运行器内执行，目的是从 CI/CD 环境中提取有价值的开发者机密，如 SSH 密钥、云服务提供商的凭证、数据库信息、Git 信息、Docker 配置、Kubernetes 令牌以及加密货币钱包信息等。 这是涉及 Trivy 的第二起供应链事件。在 2026 年 2 月底到 3 月初，一个名为 hackerbot – claw 的自动机器人利用 “pull_request_target” 工作流程窃取了个人访问令牌（PAT），随后该令牌被用于控制 GitHub 存储库，删除了多个发布版本，并将其 Visual Studio Code（VS Code）扩展的两个恶意版本推送到 Open VSX。 安全研究员 Paul McCarty 在 “aquasecurity/trivy”GitHub 存储库发布了一个新的受感染版本（0.69.4 版）后，首先发现了入侵迹象。该恶意版本随后已被删除。据 Wiz 称，0.69.4 版本会同时启动合法的 Trivy 服务和负责一系列任务的恶意代码： 通过扫描系统中的环境变量和凭证进行数据窃取，加密数据，并通过 HTTP POST 请求将其泄露到 scan.aquasecurtiy [.] org。 在确认运行在开发者机器上后，通过使用 systemd 服务设置持久性。该 systemd 服务被配置为运行一个 Python 脚本（“sysmon.py”），该脚本会轮询外部服务器以检索有效载荷并执行。 Aqua Security 开源副总裁 Itay Shakury 在一份声明中表示，攻击者滥用了一个被泄露的凭证来发布恶意的 trivy、trivy – action 和 setup – trivy 版本。就 “aquasecurity/trivy – action” 而言，攻击者强制推送了 75 个版本标签，使其指向包含 Python 信息窃取有效载荷的恶意提交，而没有像标准做法那样创建新的版本发布或推送到分支。同样，“aquasecurity/setup – trivy” 的 7 个标签也被以相同方式强制推送。 Burckhardt 告诉《黑客新闻》：“在这种情况下，攻击者无需利用 Git 本身的漏洞。他们拥有具有足够权限的有效凭证来推送代码和重写标签，这就是我们所看到的标签中毒得以实现的原因。目前尚不清楚在这一特定步骤中使用的确切凭证（例如维护者的 PAT 还是自动化令牌），但根本原因现已明确是早期事件遗留的凭证泄露问题。” 这家安全供应商也承认，最新的攻击源于对 hackerbot – claw 事件的不完全遏制。Shakury 说：“我们轮换了机密和令牌，但这个过程不是原子性的，攻击者可能知晓了新刷新的令牌。我们现在正在采取更严格的方法，锁定所有自动化操作和任何令牌，以彻底消除该问题。” 该窃取程序分三个阶段运行：从运行器进程内存和文件系统中收集环境变量，加密数据，然后将其泄露到攻击者控制的服务器（“scan.aquasecurtiy [.] org”）。 如果数据泄露尝试失败，受害者自己的 GitHub 账户会被滥用，利用捕获的 INPUT_GITHUB_PAT（这是 GitHub Actions 中用于通过 GitHub PAT 进行 GitHub API 身份验证的环境变量），将窃取的数据存储在一个名为 “tpcp – docs” 的公共存储库中。 目前尚不清楚此次攻击的幕后黑手是谁，不过有迹象表明，被称为 TeamPCP 的威胁行为者可能与此有关。这一判断基于以下事实：该凭证窃取程序在源代码中自称是 “TeamPCP Cloud stealer”。该组织也被称为 DeadCatx3、PCPcat、PersyPCP、ShellForce 和 CipherForce，以作为一个云原生网络犯罪平台而闻名，其目的是入侵现代云基础设施，以便进行数据盗窃和勒索。 Socket 表示：“此有效载荷中的凭证目标与该组织更广泛的云原生盗窃和货币化特征相符。对 Solana 验证器密钥对和加密货币钱包的高度关注，虽然较少被记录为 TeamPCP 的标志，但与该组织已知的财务动机相符。这种自我标识可能是一种误导，但与 TeamPCP 先前工具的技术重叠使得这种归因具有一定合理性。” 建议用户确保使用以下最新的安全版本： trivy 0.69.3 trivy – action 0.35.0 setup – trivy 0.2.6 Shakury 说：“如果您怀疑自己运行的是受感染版本，请将所有管道机密视为已泄露并立即轮换。” 其他缓解措施包括在网络层面阻止数据泄露域及其关联的 IP 地址（45.148.10 [.] 212），并检查 GitHub 账户中是否有名为 “tpcp – docs” 的存储库，这可能表明通过备用机制成功进行了数据泄露。 Wiz 研究员 Rami McCarthy 说：“将 GitHub Actions 固定到完整的 SHA 哈希值，而不是版本标签。正如这次攻击所展示的，版本标签可以被移动以指向恶意提交。”     消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文