HackerNews 编译，转载请注明出处： 知名女性时尚品牌维多利亚的秘密（Victoria’s Secret）近日遭遇网络安全事件，目前正全力恢复运营。该公司虽未回应置评请求，但其官网victoriassecret.com已发布公告称“发现安全事件并正在采取措施处理”，同时强调“立即启动应急预案，聘请第三方专家介入，并预防性关闭官网及部分门店服务系统”。 网络安全专家证实该公告页面已持续显示至少三天。企业官网同步发布的声明补充说明技术团队正“全天候抢修以全面恢复运营”。作为全球拥有1380家门店、约3万名员工的头部内衣零售商，维密2024年净销售额达62亿美元（约合450亿人民币），此次停摆对其线上业务造成显著冲击。 这是近月来时尚行业系列网络安全事件的最新案例。此前阿迪达斯、迪奥、蒂芙尼等品牌相继披露客户及员工数据泄露事件。美国联邦调查局（FBI）已就此向零售企业发布安全预警——知名黑客组织Scattered Spider近期将攻击目标从英国转向美国市场。 该组织此前针对英国玛莎百货、Co-op超市及哈罗德百货的勒索软件攻击造成严重损失。谷歌威胁情报部门首席分析师约翰·霍特奎斯特指出：“有证据表明UNC3944组织（即Scattered Spider）正针对美国零售业发起勒索攻击，该组织以攻击手段激进、善于突破成熟防御体系著称。”该团伙擅长社会工程学攻击及利用第三方漏洞渗透目标系统，曾制造米高梅度假村、凯撒娱乐集团等重大网络安全事件。 网络安全界普遍认为Scattered Spider系犯罪集团“the Com”的分支，该集团涉嫌攻击Coinbase、拳头游戏及Reddit等企业。过去三年欧美执法部门已逮捕该组织多名成员，但其网络犯罪活动仍在持续升级。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 全球最大医疗合作社Unimed因暴露的Kafka实例导致数百万条医患对话泄露，内含患者上传的图片、文档等敏感信息。医疗数据作为个人最私密的资产之一，却始终难以幸免于数据泄露风险。 网络安全研究团队发现，巴西医疗巨头Unimed一处未受保护的Kafka实例暴露在公网。这家服务约1500万用户的行业领军企业，其聊天机器人“Sara”及真实医患间的对话通过该开源实时数据传输平台持续外泄。研究人员成功拦截逾14万条聊天记录，而实例日志显示至少1400万条信息曾以不安全方式传输。 “此次泄露的医疗机密信息极其敏感，”研究人员警告，“攻击者可能利用这些数据实施歧视及针对性仇恨犯罪，更常见的手段包括身份盗用、医保诈骗、金融欺诈和钓鱼攻击。”泄露详情涵盖： 患者上传的图片及文档 文字聊天内容 患者姓名、电话号码及邮箱 Unimed医疗卡号 医疗数据在黑市备受追捧，因其可被用于多重犯罪：除身份盗用和保险欺诈外，健康记录还能成为敲诈勒索或冒充患者的工具。更严峻的是，研究人员指出攻击者理论上可拦截、篡改甚至删除特定用户的通信内容，其潜在危害难以估量。 Unimed在接到通报后已关闭暴露实例。为防范类似事件，研究团队建议： 严格限制Kafka实例访问权限，仅允许授权消费者与生产者连接 启用IP白名单机制 激活平台内置的认证授权功能       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了TI WooCommerce Wishlist插件存在关键未修补漏洞，该WordPress插件允许未经验证的攻击者上传任意文件。 这款活跃安装量超10万的电商插件，主要功能是让用户收藏商品并分享心愿清单至社交媒体平台。“该插件存在任意文件上传漏洞，攻击者无需认证即可向服务器上传恶意文件。”Patchstack研究员约翰·卡斯特罗指出。该漏洞编号CVE-2025-47577，CVSS评分为10.0分，影响2024年11月29日发布的2.9.2及之前所有版本，目前尚无补丁可用。 漏洞源于“tinvwl_upload_file_wc_fields_factory”函数调用WordPress原生函数“wp_handle_upload”时，将覆盖参数“test_form”和“test_type”设置为false。其中“test_type”参数本应验证文件MIME类型，“test_form”用于检查$_POST[‘action’]参数。当“test_type”设为false时，文件类型验证机制被完全绕过。 需注意的是，该漏洞函数仅当WC Fields Factory插件启用时，通过tinvwl_meta_wc_fields_factory或tinvwl_cart_meta_wc_fields_factory接口暴露。这意味着成功利用漏洞需同时满足两个条件：WordPress站点安装并启用了WC Fields Factory插件，且TI WooCommerce Wishlist插件中开启了该集成功能。 在攻击场景中，攻击者可上传恶意PHP文件并通过直接访问实现远程代码执行。建议开发者在使用wp_handle_upload()时移除或避免设置‘test_type’ => false。在官方补丁发布前，用户应立即停用并删除该插件。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Cisco Talos披露，黑客正利用OpenAI ChatGPT和InVideo AI等热门人工智能工具的虚假安装程序作为诱饵，传播CyberLock、Lucky_Gh0$t勒索软件及新型恶意软件Numero等威胁。 “基于PowerShell开发的CyberLock勒索软件主要针对受害者系统中的特定文件进行加密，”研究员切坦·拉古普拉萨德在报告中指出，“Lucky_Gh0$t则是Yashma勒索软件的变种，属于Chaos勒索软件家族的第六代迭代，仅对勒索程序二进制文件进行了微调。”而Numero属于破坏性恶意软件，通过篡改Windows操作系统图形界面组件使设备瘫痪。 这些正版AI工具在B2B销售和营销领域广受欢迎，表明相关行业的个人与机构成为攻击者的主要目标。虚假网站“novaleadsai[.]com”疑似冒充正规潜在客户开发平台NovaLeads，可能通过SEO投毒技术提升搜索引擎排名。该网站以“首年免费使用，后续月费95美元”为诱饵，诱使用户下载内含恶意.NET可执行文件(“NovaLeadsAI.exe”)的压缩包。该文件实为加载器，用于部署基于PowerShell的CyberLock勒索软件。 该勒索软件具备权限提升功能，若未获管理员权限将自我提权执行，随后加密“C:”、“D:”、“E:”分区中特定扩展名的文件，并投放勒索信索要5万美元门罗币赎金。值得注意的是，攻击者在勒索信中宣称赎金将用于援助巴勒斯坦、乌克兰、非洲、亚洲等“长期遭受不公”地区的妇女儿童。“与无辜生命尤其是儿童的牺牲相比，这笔金额微不足道。遗憾的是，我们认定多数人不会主动施以援手，迫使我们出此下策。”勒索信写道。最后阶段，攻击者利用系统原生二进制工具“cipher.exe”配合“/w”参数清除磁盘可用空间，阻碍取证恢复。 另一攻击者则通过伪造ChatGPT高级版安装程序传播Lucky_Gh0$t勒索软件。恶意自解压安装包内含仿冒微软程序“dwm.exe”的勒索程序“dwn.exe”，同时捆绑微软官方开源AI工具。一旦运行安装程序，脚本即触发勒索程序。这款Yashma变种在加密1.2GB以下文件前会删除卷影副本及备份。勒索信包含专属解密ID，要求受害者通过Session通讯软件联系支付赎金获取解密工具。 此外，黑客还利用AI视频创作平台InVideo AI的伪造安装程序传播破坏性恶意软件Numero。该安装程序作为投放器包含三个组件：Windows批处理文件、VB脚本及Numero可执行程序。启动后，批处理文件通过无限循环调用VB脚本，每60秒中断并重启Numero进程。这款C++编写的32位程序会检测分析工具和调试器进程，随后将桌面窗口标题、按钮及内容覆盖为数字串“1234567890”。 此次披露恰逢谷歌旗下Mandiant曝光利用Facebook和LinkedIn恶意广告的欺诈活动。该活动将用户诱导至冒充Luma AI、Canva Dream Lab、Kling AI等正规AI视频工具的虚假网站。据Morphisec和Check Point本月初揭露，该活动被归因于越南关联组织UNC6032，至少自2024年中持续活跃。 攻击流程中，用户访问虚假网站后被要求输入提示词生成视频。无论输入内容如何，网站都会触发下载基于Rust的投放器STARKVEIL。该程序投放三款信息窃取类模块化恶意软件：使用TOR隧道获取.NET有效载荷的下载器GRIMPULL；收集系统信息及密码管理器/加密货币钱包数据的.NET后门FROSTRIFT；具备键盘记录、远程命令执行等功能的.NET远控木马XWorm。STARKVEIL还通过Python投放器COILHATCH，借助DLL侧加载技术启动上述载荷。 “这些AI工具已不仅针对设计师，任何人都可能被看似无害的广告诱骗，”Mandiant警告道，“尝试最新AI工具的诱惑可能让任何人沦为受害者。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司GreyNoise披露，新型僵尸网络“AyySSHush”已入侵全球超9000台华硕路由器，并同步针对思科、D-Link等品牌的SOHO设备。该活动最早于2025年3月中旬被发现，攻击手法呈现国家级黑客组织特征。 攻击者采用三重渗透策略： 暴力破解：尝试常见弱口令组合 身份验证绕过：利用老旧漏洞突破防线 漏洞利用：重点针对华硕RT-AC3100、RT-AC3200及RT-AX55型号设备，通过命令注入漏洞CVE-2023-39780植入SSH公钥 值得注意的是，攻击者通过官方功能添加密钥，使得配置更改在固件升级后仍保留。后门程序将SSH守护进程绑定至非常规端口53282，同时关闭系统日志与趋势科技AiProtection防护功能，实现隐蔽驻留。 法国安全公司Sekoia追踪的“Vicious Trap”活动与该僵尸网络存在技术重叠。攻击者除路由器外，还针对SSL VPN、DVR设备及基板管理控制器实施入侵。观察到恶意脚本通过重定向受控设备流量至第三方节点，但尚未发现DDoS攻击或流量代理行为，推测其正构建基础设施为后续攻击铺路。 华硕已发布受影响型号固件更新（具体发布时间因型号而异），建议用户： 立即升级至最新固件版本 检查路由器“authorized_keys”文件是否包含攻击者SSH密钥（IoC列表参见原文） 将关联IP地址（101.99.91[.]151等四组）加入防火墙黑名单 如遇可疑活动，执行恢复出厂设置并采用高强度密码重新配置 GreyNoise监测数据显示，过去三个月仅捕获30次恶意请求，但成功入侵设备达九千余台，显示攻击具备高度精准性。研究人员提醒，传统固件升级无法清除已植入的后门，彻底排查需结合日志审计与密钥验证。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究团队Cybernews发现，两个未受保护的Azure Blob存储容器发生数据泄露，内含超160万份文件，主要涉及Etsy、Poshmark及TikTok店铺客户信息。泄露数据以美国用户为主，部分波及加拿大与澳大利亚客户。 尽管在线购物已具备较高安全性，数字阴影中仍潜藏风险。研究团队近期发现的两个暴露实例中，存储的HTML格式物流确认邮件包含以下敏感信息：用户全名、家庭住址、电子邮箱、物流订单详情。 研究人员强调：“考虑到Etsy作为全球数百万小微企业的交易平台地位，物流确认邮件数据泄露对其客户隐私与安全构成重大威胁。” 大部分泄露文件来自手工艺品电商平台Etsy，部分数据关联TikTok店铺、二手交易平台Poshmark及刺绣设计平台Embroly。 攻击者可利用泄露信息实施多重恶意活动： 精准钓鱼攻击：冒用Etsy或合作物流商身份，借助真实订单细节提升钓鱼邮件可信度，诱导用户点击恶意链接或泄露财务信息。 社交工程攻击：结合地址与订单信息实施深度伪装，骗取额外敏感数据。 恶意软件传播：制作包含具体商品描述的带毒邮件附件，利用用户信任实施感染。 虽然无法确认暴露实例的具体所有者，但处理记录分析显示：受影响订单主要涉及定制刺绣设计服务，设计师名称与订单明细指向越南地区刺绣服务提供商，证据表明可能为单一实体在多个电商平台开设店铺所致，但存储实例缺乏明确身份标识。 为防止类似事件，研究团队提出六项防护措施： 在云存储环境中实施更严格的安全控制，防止未授权访问 回溯审查访问日志，确认存储桶是否遭非法访问 启用服务器端加密确保静态数据保密性 使用Azure密钥保管库安全管理加密密钥 强制SSL/TLS协议保障数据传输安全 建立定期审计机制，开展员工数据安全培训 研究团队特别警示：“掌握用户全名与地址信息后，攻击者可伪装成可信物流服务商，通过伪造通知迫使受害者执行确认个人信息、支付款项或点击恶意链接等危险操作。此外，精确的订单信息可能被用于投放定制化恶意载荷，极大提升攻击成功率。”       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌云旗下Mandiant威胁情报团队发布报告称，越南黑客组织UNC6032自2024年中期起，通过社交媒体平台投放虚假AI工具广告实施大规模恶意软件攻击。该组织利用Luma AI、Canva Dream Lab等知名AI视频生成工具的名义创建仿冒网站，诱导用户下载包含多阶段恶意载荷的压缩包。 攻击者通过Facebook和LinkedIn平台创建或劫持账户，投放数千条虚假广告。当用户点击广告后，会被重定向至高度仿真的AI工具网站。无论用户输入何种内容，网站均会生成虚假视频并推送恶意ZIP压缩包，其中包含以下组件： STARKVEIL投放器：使用Rust语言编写，负责释放后续恶意模块 XWORM后门：具备键盘记录、屏幕截图及远程控制功能 FROSTRIFT后门：采集系统信息并窃取浏览器扩展数据 GRIMPULL下载器：用于从C2服务器获取额外插件扩展攻击能力 研究人员发现攻击者注册了30余个仿冒域名，通过120多个广告群组覆盖欧盟地区超230万用户。为逃避检测，该组织采取动态域名轮换策略——新注册域名通常在24小时内即被投入广告投放，单个广告存活周期不超过48小时。LinkedIn平台相关广告主要针对美国（占比65%）、欧洲（20%）及澳大利亚（15%）用户，单日展示量达5万至25万次。 技术分析显示，攻击链采用“故障保护”设计理念。即使部分恶意模块被安全软件拦截，其他载荷仍可维持攻击有效性。XWORM后门与Morphisec此前报告的Noodlophile窃密程序存在捆绑分发现象，两者均能通过内存注入实现隐蔽驻留。恶意软件通过DLL侧载、进程注入等技术突破防御，并利用注册表AutoRun键实现持久化。 Mandiant强调，攻击者利用AI技术热潮构建的钓鱼陷阱已突破传统行业界限，任何对新兴工具感兴趣的用户均可能成为目标。企业应加强员工安全意识培训，重点识别社交媒体广告中的异常跳转链接。个人用户需通过官方渠道验证AI工具真实性，避免下载来路不明的压缩文件。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究机构Oasis Security披露，微软OneDrive文件选择器存在严重权限设计漏洞，导致用户授权第三方应用时可能意外开放整个云盘访问权限。该漏洞影响数百万用户，涉及ChatGPT、Slack、Trello等数百款主流应用的集成功能。 技术分析显示，当用户通过文件选择器上传或下载特定文件时，关联的OAuth权限请求未采用细粒度控制机制，默认授予第三方应用对OneDrive全盘数据的读写权限。以7.0版本为例，即使执行上传操作仍需申请写入权限，且旧版选择器（6.0至7.2）存在OAuth令牌处理缺陷，包括使用URL片段和本地存储方式，容易导致敏感凭证泄露。尽管8.0版本将认证流程外部化，但权限范围仍未得到根本性约束。 Black Duck首席安全顾问Vijay Dilwale分析称，该问题本质是过度授权与误导性权限提示的结合产物。Sectigo资深研究员Jason Soroko指出，现有授权对话框未明确告知用户“允许访问所选文件”的实际含义是开放整个云盘访问入口。实际风险场景中，求职者通过招聘平台Phenome上传简历时，若文件存储在企业版OneDrive，可能连带暴露雇主机密文档。 Oasis Security列出四大核心风险点： 默认授权范围覆盖用户所有文件 访问令牌有效期长达1小时以上，若配合刷新令牌可实现持久控制 历史版本存在浏览器内存令牌存储安全隐患 权限提示界面未清晰传达风险等级 对比其他云存储方案，Google Drive采用drive.file等细粒度权限模型，仅允许访问应用创建或用户显式选择的文件；Dropbox自定义文件选择器则完全规避OAuth机制，仅传输用户指定文件。微软虽已确认报告内容，但尚未公布修复方案。 安全建议方面，企业应启用“管理员许可”策略，禁止应用申请超出files.read的基础权限；开发者需避免使用刷新令牌，严格限制权限范围；普通用户可通过微软隐私设置页面审查已授权应用清单，及时撤销可疑访问权限。Salt Security网络安全战略总监Eric Schwake强调，所有SaaS插件在获得授权前都应视为潜在数据泄露入口，必须实施最小权限原则。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，仿冒杀毒软件厂商Bitdefender的钓鱼网站正被用于分发VenomRAT远程控制木马及两款恶意工具，形成三重攻击链。该仿冒网站界面高度还原官方下载页面，但用户点击“DOWNLOAD FOR WINDOWS”按钮后，实际下载的是托管在Bitbucket与Amazon S3平台的恶意安装包。 安装包内含名为StoreInstaller.exe的可执行文件，经分析发现其捆绑了VenomRAT、StormKitty和SilentTrinity三个恶意家族的代码模块。DomainTools研究团队指出，攻击者通过模块化组合实现多重渗透： VenomRAT：基于开源项目Quasar RAT改造，具备键盘记录、凭证窃取与远程命令执行能力，建立持久控制通道 StormKitty：专门窃取加密货币钱包数据及系统登录凭证 SilentTrinity：采用隐蔽通信协议实施数据外泄，维持长期潜伏 技术溯源显示，相关恶意样本均配置相同C2服务器（67.217.228[.]160:4449与157.20.182[.]72:4449），且部分样本共享远程桌面协议（RDP）配置参数，证实攻击活动由同一组织操控。攻击者还注册多个仿冒银行与IT服务登录页的钓鱼域名，包括仿造亚美尼亚IDBank的idram-secure[.]live、伪装加拿大皇家银行的royalbanksecure[.]online，以及假冒微软门户的dataops-tracxn[.]com，域名注册时间与基础设施存在关联性。 此次攻击凸显开源恶意工具的低门槛化趋势，攻击者通过组合现有框架快速构建攻击套件。研究人员强调，虽然开源特征有助于防御方识别攻击模式，但也显著提升了攻击效率与规模。建议用户从官方渠道验证下载文件，避免在可疑页面提交敏感信息，并对邮件附件与链接保持警惕。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 荷兰网络安全公司EclecticIQ披露，针对移动设备管理软件Ivanti Endpoint Manager Mobile（EPMM）漏洞的大规模恶意攻击活动已波及英国两家医疗机构。 此次攻击利用编号为CVE-2025-4427和CVE-2025-4428的两个漏洞进行组合利用，攻击者首先通过身份验证绕过漏洞（CVSS评分5.3）突破防线，随后利用远程代码执行漏洞（CVSS评分7.2）接管系统。 全球范围内包括英国、美国、德国、韩国等国家的多个组织遭受冲击，英国国家医疗服务体系（NHS）下属的伦敦大学学院医院NHS信托基金会和南安普顿大学医院NHS信托基金会成为重点目标。 根据Sky News获取的证据，攻击者已成功侵入这两家医疗机构的IT系统。EclecticIQ首席执行官Cody Barrow指出，此类攻击可能导致患者敏感数据外泄，包括员工电话号码、设备IMEI码及身份认证令牌等技术信息。不过NHS England向Infosecurity杂志表示，当前尚未发现患者数据遭窃取的直接证据，医疗业务仍正常运转。NHS网络运营中心正与英国国家网络安全中心（NCSC）密切协作，通过24小时监控体系和高危预警机制优先处置关键漏洞。 此次被利用的漏洞最早于5月13日由欧盟计算机应急响应小组（CERT-EU）向Ivanti报告，厂商在当天发布安全公告并推出修复补丁。网络安全公司WatchTowr于5月15日公开技术分析报告及漏洞利用验证代码后，推测可能涉及国家级支持的黑客活动。 针对医疗行业频发的供应链安全风险，Bridewell公司网络安全副总监Emran Ali强调，医疗机构作为患者数据的核心保管者，必须构建覆盖供应商管理、技术控制、事件响应的立体防御体系。Netskope威胁实验室最新报告显示，81%的医疗数据违规事件涉及受GDPR等法规保护的敏感信息，突显第三方软件漏洞带来的连锁风险。近期NHS要求技术供应商签署公开安全承诺书的举措，标志着医疗行业正推动建立更严格的技术供应链问责机制。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文