研究人员警告说，如果劫持者开始使用人工智能辅助的热成像技术来确定输入后不久的密码，目前基于密码的安全保护设施情况可能会恶化。格拉斯哥大学的研究人员公布了一种方法，通过对用户手指的热信号进行成像，来猜测键盘和手机屏幕上最近输入的密码，精确度很高。 该技术的成功率因时间、材料和密码长度的不同而不同，但可能会使最近设备盗窃案的上升趋势恶化。 盗窃者们最近开始通过观察用户在公共场合输入密码来偷窃和闯入他们的手机和其他设备。用受害者的密码登录是克服苹果和Google等公司煞费苦心实施的所有安全措施的直接方法，一旦有人偷窃并登录他们的设备，受害者就无能为力。...

GitHub宣布正式上线提供私人漏洞报告功能，以便研究人员和更广泛的公众可以私下报告漏洞。有了这个功能，研究人员可以在不公开披露弱点的情况下报告漏洞。这确保了恶意行为者不会在修复措施发布之前利用这些漏洞。 私人漏洞报告首先在GitHub Universe 2022年作为公开测试版提供。从那时起，30000个组织的维护者已经在超过180,000个存储库中启用了该功能。GitHub表示，这种私人报告机制启动以来，已经收到了超过1000份报告。...

APT28是一个由俄罗斯军事情报部门运作的国家支持的黑客组织，据美国和英国政府称，黑客正在利用思科路由器中一个六年前的漏洞来部署恶意软件和进行监视。在周二发布的一份联合公告中，美国网络安全机构CISA与联邦调查局、国家安全局和英国国家网络安全中心一起详细说明了俄罗斯支持的黑客如何在整个2021年利用 咨询报告说，黑客还入侵了"大约250名乌克兰受害者"，这些机构没有透露姓名。APT28也被称为Fancy Bear，以代表俄罗斯政府进行一系列网络攻击、间谍活动以及黑客和泄密信息行动而闻名。...

攻击概述 (arxiv.org) 用于计时瞬态执行攻击的伪代码 (arxiv.org) 然而，研究人员指出，这种定时攻击不如缓存状态侧信道方法可靠，并且为了在最近的芯片中获得更好的结果，这种攻击必须重复数千次。

由实验数据评估分析得出：“在实验中，我们发现 EFLAGS 寄存器对 Jcc 指令执行时间的影响不像缓存状态那样持久。在瞬态执行后的大约 6-9 个周期内，...

据CybelAngel称，企业防火墙外的关键漏洞是网络安全威胁的最大来源。 在所有行业中，这些由未受保护或被破坏的资产、数据和凭证组成的漏洞，已成为对企业检测和保护的一个巨大挑战。
关键的网络安全漏洞
该报告还强调了黑客到达目标的关键路径，以及网络犯罪的趋势、数据风险的关键领域和按行业分列的风险暴露。 在暴露的问题中，CybelAngel发现：

所有检测到的威胁中，87%来自第三方或恶意行为者。
在所有检测到的面向互联网的资产中，9%存在相关的未修补漏洞。排名前十的CVE被发现未打补丁的次数至少各为1200万次。
目前有超过700亿个文件，包括知识产权和金融信息，...

在2023年第一季度中，沃尔玛被评为最有可能被网络犯罪分子在品牌网络钓鱼攻击中冒充的品牌。 根据Check Point研究公司的最新品牌网络钓鱼报告，沃尔玛在上一季度的排名中“名列前茅”，占全球所有网络钓鱼事件的16%。 世界各地都在受到网络钓鱼的侵扰，每天发送恶意电子邮件的数量更是惊人。...

安全研究人员发现二手市场上的企业级网络设备暗藏很多敏感数据，黑客可以利用这些数据来入侵公司网络或获取客户信息。 核心路由器是大型企业网络的骨干设备，用于连接所有其他网络设备，支持多个数据通信接口，是企业IP网络和应用的高速枢纽，也是黑客觊觎的主要目标之一。 近日，网络安全公司ESET的研究人员检查了几款从在线平台上购买的二手企业级路由器（编者：在国内二手交易市场上仅需数百元至数千元就可以买到多种品牌的二手企业级路由器），发现其中大多数在报废流程中没有被彻底擦除数据。...

Lazarus 是针对3CX 的级联供应链攻击背后的多产朝鲜黑客组织，它还利用木马化的 X_TRADER 应用程序入侵了电力和能源领域的两个关键基础设施组织以及另外两个涉及金融交易的企业。 据悉，赛门铁克的威胁猎人团队提供的新发现证实了早先的怀疑，即 X_TRADER 应用程序危害影响的组织比 3CX 多。博通旗下赛门铁克的安全响应主管 Eric Chien 在一份声明中告诉黑客新闻，这些攻击发生在 2022 年 9 月至 2022 年 11 月之间。...

伪装陈明星私密聊天记录的病毒 病毒伪装的文件名列表 但只要稍加甄别，就会发现，虽然病毒会伪装成.mp4、.png等多种格式，但无一例外最终的后缀名都是.exe的程序安装文件，只要对来路不明的.exe文件提高警惕，就能很大程度上避免此类病毒攻击。

虽然网络病毒通过伪装的形式进行传播早已不是新鲜事，从伪装成破解版软件、激活工具甚至是一些黑灰产软件，...

上周五，美国网络安全和基础设施安全局(CISA)在其漏洞(KEV)目录中新增三个安全漏洞，具体如下： CVE-2023-28432 (CVSS评分- 7.5)- MinIO信息泄露漏洞 CVE-2023-27350 (CVSS评分- 9.8)-剪纸MF/NG不当访问控制漏洞...