最新文章
Top News
Vercel 的 AI 工具 v0 正被网络犯罪分子武器化
未知威胁行为者被发现正在武器化v0——Vercel的一款生成式人工智能（AI）工具——来设计仿冒合法网站的虚假登录页面。 “这一观察标志着威胁行为者在生成式AI武器化方面的新进化，他们已展示出仅凭简单文本提示就能生成功能完整的钓鱼网站的能力，”Okta威胁情报研究人员Houssem Eddine Bordjiba和Paula De la Hoz表示。 v0是Vercel推出的AI驱动产品，允许用户使用自然语言提示创建基础落地页和全栈应用。...
黑客利用 PDF 冒充微软、DocuSign等知名品牌，发动“回拨式”钓鱼攻击
网络安全研究人员发现，近期出现大量冒充微软、DocuSign等知名品牌的钓鱼邮件，其附件PDF中包含恶意二维码或链接，诱导受害者拨打攻击者控制的电话。这种新型攻击手法被称为“电话导向攻击投递”（Telephone-Oriented Attack Delivery，简称TOAD，也称“回拨式钓鱼”）。 思科Talos研究员Omid Mirzaei向The Hacker News透露，2025年5月5日至6月5日期间的分析显示，微软和DocuSign是PDF附件钓鱼邮件中最常被冒充的品牌，而NortonLifeLock、PayPal和Geek Squad也频繁出现在此类攻击中。...
黑客可窃听数百万耳机用户：索尼、Bose 等主流品牌现重大安全缺陷
黑客在蓝牙范围内可监视数百万耳机用户。研究人员在索尼、Bose、Marshall、Jabra、JBL、拜亚动力等知名品牌，以及使用Airoha Systems芯片的其他设备中，发现了重大安全漏洞。 德国网络安全公司ERNW披露，这些漏洞影响了数十款知名耳机型号，包括市场上最好的降噪耳机。研究人员警告称，在大多数情况下，攻击者无需身份验证或配对，仅需处于蓝牙信号范围内，即可完全接管耳机。黑客可利用这些漏洞实时监听用户、劫持设备间的信任关系，甚至冒充耳机向手机发送恶意指令（如拨打电话、访问通讯录），...
美国制裁俄罗斯防弹主机服务商 Aeza 集团，因其为勒索软件团伙提供支持
美国财政部周二宣布制裁俄罗斯企业Aeza集团，指控其为勒索软件团伙和暗网毒品交易提供技术基础设施。
Aeza集团是一家“防弹主机”（Bulletproof Hosting, BPH）服务商，为网络犯罪分子提供IP地址、服务器和域名租赁服务，用于传播恶意软件、运营暗网市场及实施其他欺诈与网络攻击活动。...
德国 Microsens 产品曝严重漏洞，黑客可远程入侵企业网络
网络安全机构CISA上周发布警告称，德国工业网络设备厂商Microsens的NMP Web+产品存在两个严重漏洞和一个高危漏洞，可能被黑客利用实施远程攻击。 Microsens为工业企业和组织提供交换机、转换器、楼宇控制器等自动化解决方案，其NMP Web+平台用于集中管理工业交换机及网络设备配置。漏洞详情如下： CVE-2025-49151（严重）：未授权攻击者可伪造JSON Web Token（JWT）绕过身份验证；...
Chrome 零日漏洞 CVE-2025-6554 遭野外利用——谷歌紧急发布安全更新
HackerNews 编译，转载请注明出处： 谷歌已发布安全更新，修复其Chrome浏览器中一个已被野外利用的零日漏洞（CVE-2025-6554，CVSS评分暂缺）。该漏洞被描述为V8 JavaScript与WebAssembly引擎中的类型混淆缺陷。 根据美国国家标准与技术研究院（NIST）国家漏洞数据库（NVD）的说明："Chrome 138.0.7204.96之前版本中，V8引擎的类型混淆漏洞允许远程攻击者通过特制HTML页面执行任意内存读写操作。"...
Visual Studio Code 等 IDE 现新漏洞：恶意扩展可伪装“已验证”状态
安全研究发现，Microsoft Visual Studio Code、Visual Studio、IntelliJ IDEA 和 Cursor 等主流集成开发环境（IDE）在扩展验证流程中存在缺陷，可能使攻击者通过恶意扩展在开发者机器上执行任意代码。 OX Security 研究人员 Nir Zadok 和 Moshe Siman Tov Bustan 向The Hacker News提供的报告指出：“我们发现 Visual Studio Code 的验证机制存在缺陷，允许扩展发布者在保留‘已验证’图标的同时添加恶意功能。...
TA829 与 UNK_GreenSec 在持续的恶意软件攻击中共享战术手法与基础设施
网络安全研究人员发现，RomCom RAT 背后的威胁行为体与近期传播名为 TransferLoader 的加载器的攻击团伙之间存在战术层面的高度相似性。企业安全公司 Proofpoint 将 TransferLoader 相关活动追踪至代号为 UNK_GreenSec 的团伙， Proofpoint 在调查 TA829 时意外发现了 UNK_GreenSec，指出两者使用“异常相似的基础设施、投递手法、登录页面及邮件诱饵主题”。TA829 作为与俄罗斯有关联的混合型黑客组织，兼具间谍活动与牟利攻击能力，...
Anthropic MCP 工具曝出高危漏洞，开发者机器面临远程攻击风险
HackerNews 编译，转载请注明出处： 网络安全研究人员发现，人工智能公司 Anthropic 的 Model Context Protocol (MCP) Inspector 项目存在一个关键安全漏洞（CVE-2025-49596），CVSS 评分高达 9.4（满分 10.0）。该漏洞可能导致远程代码执行（RCE），...
丹麦拟立法将个人身份特征纳入版权保护范围，应对深度伪造风险
HackerNews 编译，转载请注明出处： 丹麦政府计划修订版权法，赋予公民对其身体、面部特征及声音的专属权利，以打击AI生成的深度伪造内容。这项被认为是欧洲首创的立法已获议会九成议员支持，将于夏季休会前启动公众咨询，秋季正式提交修正案。 文化部长雅各布·恩格尔-施密特（Jakob Engel-Schmidt）强调，新法案旨在明确个人对自身生物特征数据的所有权。他直言：“现行法律未能有效保护民众免受生成式AI的侵害，人类正被置于数字复印机中遭到滥用，我绝不容忍这种现象。”...