HackerNews 编译，转载请注明出处： 自 2016 年起，一项名为 “DollyWay” 的恶意软件活动通过入侵全球超过 20,000 个 WordPress 网站，将用户重定向至恶意网站。 在过去的八年里，该活动不断演变，采用了先进的逃避、重新感染和盈利策略。 据 GoDaddy 研究员 Denis Sinegubko 表示，DollyWay 在其最新版本（v3）中充当了一个大规模诈骗重定向系统。然而，在过去，它曾分发过更具破坏性的有效载荷，如勒索软件和银行木马。 “GoDaddy 安全研究人员发现了多个恶意软件活动之间的关联证据，这些活动汇聚成一个我们称之为 ‘DollyWay 世界统治’ 的长期运作，”GoDaddy 近期的一份报告解释道。 “虽然之前被认为是独立的活动，但我们的研究表明，这些攻击共享相同的基础设施、代码模式和盈利方法——所有迹象都表明它们与一个单一的、 sophisticated（复杂且老练的）威胁行为者有关。 “该行动的命名源于以下具有代表性的字符串，该字符串出现在某些恶意软件变种中：define(‘DOLLY_WAY’, ‘World Domination’)。” DollyWay v3 是一个先进的重定向操作，它利用插件和主题中的 n-day 漏洞来入侵易受攻击的 WordPress 网站。 截至 2025 年 2 月，DollyWay 每月通过将 WordPress 网站访客重定向至虚假的约会、赌博、加密货币和抽奖网站，产生 1,000 万次欺诈性展示。 该活动通过 VexTrio 和 LosPollos 附属网络进行盈利，在此之前，访客会通过流量分配系统（TDS）进行筛选。 流量分配系统根据访客的地理位置、设备类型和引荐来源等信息，对网络流量进行分析和重定向。网络犯罪分子通常利用恶意的 TDS 系统，将用户重定向至钓鱼网站或恶意软件下载页面。 这些网站是通过带有 ‘wp_enqueue_script’ 的脚本注入而被攻破的，该脚本会从被攻破的网站动态加载第二个脚本。 第二阶段收集访客的引荐来源数据，以帮助对重定向流量进行分类，然后加载决定目标有效性的 TDS 脚本。 直接访问网站且没有引荐来源、不是机器人（脚本中硬编码了 102 个已知机器人用户代理）、并且不是已登录的 WordPress 用户（包括管理员）的访客，被视为无效目标，不会被重定向。 第三阶段选择三个随机感染的站点作为 TDS 节点，然后从其中一个节点加载隐藏的 JavaScript，以执行最终到 VexTrio 或 LosPollos 诈骗页面的重定向。 该恶意软件使用附属跟踪参数，以确保攻击者每次重定向都能获得报酬。 值得注意的是，最终的重定向仅在访客与页面元素交互（点击）时发生，从而逃避仅检查页面加载的被动扫描工具。 Sinegubko 解释说，DollyWay 是一个非常顽固的威胁，它会在每次页面加载时自动重新感染网站，因此清除它尤其困难。 它通过将 PHP 代码分散在所有活跃插件中，并添加一个 WPCode 插件的副本（如果尚未安装）来实现这一目的，该插件包含混淆的恶意软件代码片段。 WPCode 是一个第三方插件，允许管理员添加小段 “代码”，在不直接编辑主题文件或 WordPress 代码的情况下修改 WordPress 功能。 作为攻击的一部分，黑客会将 WPCode 从 WordPress 插件列表中隐藏，以便管理员无法看到或删除它，这使得消毒变得复杂。 DollyWay 还会创建以随机 32 字符十六进制字符串命名的管理员用户，并将这些账户在管理员面板中隐藏。只有通过直接的数据库检查才能看到这些账户。 GoDaddy 共享了与 DollyWay 相关的完整妥协指标（IoCs），以帮助抵御这一威胁。 它将在后续文章中发布更多关于该行动基础设施和战术变化的细节。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了影响 mySCADA myPRO 的两个严重漏洞的细节，这是一种在运营技术（OT）环境中使用的数据采集与监视控制系统（SCADA）。瑞士安全公司 PRODAFT 表示，如果这些漏洞被利用，可能会使攻击者获得对工业控制网络的未授权访问，从而导致严重的运营中断和财务损失。 这两个漏洞在 CVSS v4 评分系统中均被评定为 9.3 分，具体如下： – CVE-2025-20014：一种操作系统命令注入漏洞，允许攻击者通过包含版本参数的特制 POST 请求在受影响系统上执行任意命令 – CVE-2025-20061：一种操作系统命令注入漏洞，允许攻击者通过包含电子邮件参数的特制 POST 请求在受影响系统上执行任意命令 成功利用这两个漏洞中的任何一个，都可能使攻击者能够注入系统命令并执行任意代码。这些问题已在以下版本中得到解决： – mySCADA PRO Manager 1.3 – mySCADA PRO Runtime 9.2.1 据 PRODAFT 称，这两个漏洞均源于未能对用户输入进行清理，从而为命令注入打开了大门。 “这些漏洞突显了 SCADA 系统中的持续安全风险以及加强防御的必要性，”该公司表示。“利用这些漏洞可能导致运营中断、财务损失和安全隐患。” 建议组织应用最新补丁，通过将 SCADA 系统与 IT 网络隔离来实施网络分段，强制执行强身份验证，并监控可疑活动。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： ClearFake 活动背后的威胁者利用虚假的 reCAPTCHA 或 Cloudflare Turnstile 验证作为诱饵，诱骗用户下载 Lumma Stealer 和 Vidar Stealer 等恶意软件。 ClearFake 最早于 2023 年 7 月被曝光，是一种利用受感染的 WordPress 网站上的虚假网络浏览器更新诱饵作为恶意软件分发手段的威胁活动集群。 该活动还以依赖一种称为 EtherHiding 的技术而闻名，该技术通过利用币安智能链（BSC）合约来获取下一阶段的有效载荷，从而使攻击链更具弹性。这些感染链的最终目标是交付能够针对 Windows 和 macOS 系统的信息窃取恶意软件。 截至 2024 年 5 月，ClearFake 攻击采用了现在被称为 ClickFix 的社会工程手段，该手段涉及欺骗用户在解决不存在的技术问题的幌子下运行恶意的 PowerShell 代码。 “尽管这种新的 ClearFake 变种继续依赖 EtherHiding 技术和 ClickFix 手段，但它引入了与币安智能链的额外交互，”Sekoia 在新的分析中表示。 “通过使用智能合约的应用程序二进制接口，这些交互涉及加载多个 JavaScript 代码和额外资源，这些资源会识别受害者的系统，以及下载、解密和显示 ClickFix 诱饵。” ClearFake 框架的最新迭代标志着一个重大演变，采用了 Web3 能力来抵抗分析并加密了与 ClickFix 相关的 HTML 代码。 其结果是一个更新的多阶段攻击序列，当受害者访问受感染的网站时开始，这将导致从 BSC 获取中间 JavaScript 代码。加载的 JavaScript 随后负责识别系统并获取托管在 Cloudflare Pages 上的加密 ClickFix 代码。 如果受害者继续执行并运行恶意的 PowerShell 命令，将导致部署 Emmenhtal Loader（又名 PEAKLIGHT），随后释放 Lumma Stealer。 Sekoia 表示，2025 年 1 月下旬观察到另一种 ClearFake 攻击链，该攻击链提供了一个负责安装 Vidar Stealer 的 PowerShell 加载程序。截至上个月，至少有 9300 个网站被 ClearFake 感染。 “该运营商一直在每天更新框架代码、诱饵和分发的有效载荷，”它补充道。“ClearFake 的执行现在依赖于存储在币安智能链中的多条数据，包括 JavaScript 代码、AES 密钥、托管诱饵 HTML 文件的 URL 以及 ClickFix PowerShell 命令。” “被 ClearFake 攻击的网站数量表明，这一威胁仍然广泛存在，并影响全球许多用户。在 2024 年 7 月，……大约有 20 万名唯一用户可能接触到 ClearFake 诱饵，这些诱饵鼓励他们下载恶意软件。” 这一发现与超过 100 个汽车经销商网站被发现被 ClickFix 诱饵感染的情况同时出现，这些感染导致了 SectopRAT 恶意软件的部署。 “这种汽车经销商感染发生的地方不是经销商自己的网站，而是一个第三方视频服务，”安全研究员 Randy McEoin 说，他在 2023 年详细描述了一些最早的 ClearFake 活动，将此次事件描述为供应链攻击的一个实例。 所涉及的视频服务是 LES Automotive（“idostream[.]com”），该网站已从其网站上移除了恶意的 JavaScript 注入。 这些发现还与发现的几个网络钓鱼活动同时出现，这些活动旨在推送各种恶意软件家族并进行凭证收割—— 使用嵌入在电子邮件消息的存档文件附件中的虚拟硬盘（VHD）文件，通过 Windows 批处理脚本来分发 Venom RAT 使用 Microsoft Excel 文件附件，利用已知的安全漏洞（CVE-2017-0199）下载 HTML 应用程序（HTA），然后使用 Visual Basic 脚本（VBS）获取图像，该图像包含另一个负责解码和启动 AsyncRAT 和 Remcos RAT 的有效载荷 利用 Microsoft 365 基础设施中的错误配置来控制租户，创建新的管理员帐户，并提供能够绕过电子邮件安全保护的网络钓鱼内容，最终促进凭证收割和帐户接管（ATO） 随着社会工程活动不断变得越来越复杂，组织和企业必须走在前列，实施强大的身份验证和访问控制机制，以抵御中间人攻击（AitM）和浏览器中间人攻击（BitM）技术，这些技术允许攻击者劫持帐户。 “使用 BitM 框架的一个关键好处在于其快速瞄准能力，能够在几秒钟内到达网络上的任何网站，并且配置最少，”谷歌旗下的 Mandiant 在本周发布的一份报告中表示。 “一旦通过 BitM 工具或框架瞄准应用程序，合法网站将通过攻击者控制的浏览器提供服务。这使得受害者很难区分合法网站和虚假网站。从攻击者的角度来看，BitM 提供了一种简单而有效的手段，用于窃取受多因素认证（MFA）保护的会话。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁行为者正在利用 PHP 中的一个严重安全漏洞来投放加密货币挖矿程序和远程访问木马（RAT），例如 Quasar RAT。 该漏洞被指派了 CVE 标识符 CVE-2024-4577，是指影响运行在 CGI 模式的 Windows 系统上的 PHP 的参数注入漏洞，可能允许远程攻击者运行任意代码。 网络安全公司 Bitdefender 表示，自去年年底以来，观察到针对 CVE-2024-4577 的利用尝试激增，其中中国台湾地区（54.65%）、中国香港地区（27.06%）、巴西（16.39%）、日本（1.57%）和印度（0.33%）的集中度较高。 大约 15% 的检测到的利用尝试涉及使用“whoami”和“echo <test_string>”等命令进行基本漏洞检查。另外 15% 围绕用于系统侦察的命令，例如进程枚举、网络发现、用户和域信息以及系统元数据收集。 Bitdefender 技术解决方案总监 Martin Zugec 指出，检测到的攻击中大约有 5% 最终部署了 XMRig 加密货币挖矿程序。 “另一个较小的活动涉及部署 Nicehash 挖矿程序，这是一个允许用户出售计算能力以换取加密货币的平台，”Zugec 补充道。“挖矿进程伪装成合法应用程序，例如 javawindows.exe，以逃避检测。” PHP 漏洞用于部署 Quasar 远程访问木马 其他攻击被发现利用该漏洞交付开源的 Quasar RAT 等远程访问工具，以及使用 cmd.exe 执行托管在远程服务器上的恶意 Windows 安装程序（MSI）文件。 在某种程度上是一个有趣的变化，这家罗马尼亚公司还观察到试图修改易受攻击服务器上的防火墙配置，目的是阻止访问与漏洞利用相关的已知恶意 IP 地址。 这种不寻常的行为引发了竞争对手加密劫持集团为争夺易受攻击资源的控制权，并阻止他们再次针对自己控制的目标的可能性。这也与关于加密劫持攻击的历史观察结果一致，即在部署自己的有效载荷之前终止竞争对手的挖矿进程。 这一发展紧随思科 Talos 公布自今年年初以来针对日本组织的攻击中利用 PHP 漏洞的活动细节之后。 建议用户更新其 PHP 安装到最新版本以防范潜在威胁。 “由于大多数活动一直在使用 LOLBAS 工具，组织应考虑将 PowerShell 等工具的使用限制在环境中的特权用户（如管理员）内。”Zugec 说。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

科技媒体 bleepingcomputer 昨日（3 月 17 日）发布博文，报道称微软安全团队最新发现一种名为 StilachiRAT 的新型远程访问木马（RAT），该恶意软件通过高级技术逃避检测、维持持久性并窃取敏感数据。 IT之家援引博文介绍，尽管当前传播范围有限，微软仍提前公开威胁指标与防御建议，协助网络安全人员降低潜在危害。目前尚未确认该恶意软件的幕后攻击者或地理来源。 StilachiRAT 木马通过 WWStartupCtrl64.dll 模块，扫描 Coinbase、Metamask 等 20 种加密货币钱包扩展，获取数字钱包数据。 此外，该木马还会提取 Chrome 浏览器保存的凭证，监控剪贴板中的密码和加密货币密钥，记录系统硬件信息及活跃的远程桌面协议（RDP）会话。 该木马会收集摄像头状态、GUI 应用运行情况，构建目标系统画像以定位高价值攻击目标，该木马还会通过克隆用户安全令牌伪装登录身份，可突破 RDP 服务器的管理员会话限制，在受害网络内横向渗透。 该木马以独立进程或 Windows 服务形式部署后，绑定 **Windows 服务控制管理器（SCM）** 持久化，利用“看门狗线程”监控自身进程，若被终止将自动重建。 转自IT之家，原文链接：https://www.ithome.com/0/838/701.htm 封面来源于网络，如有侵权请联系删除

HackerNews 编译，转载请注明出处： 上个月，区块链游戏平台 WEMIX 遭遇网络攻击，导致攻击者窃取了价值约 610 万美元的 8,654,860 个 WEMIX 代币。 在昨天举行的新闻发布会上，WEMIX 首席执行官 Kim Seok-Hwan 确认了这起发生在 2025 年 2 月 28 日的事件，并解释称延迟发布公开声明并非试图掩盖，而是出于保护玩家免受进一步损失的考虑。 “我们在 2 月 28 日发现黑客攻击后，立即关闭了受影响的服务器，并开始进行详细分析，”Kim Seok-Hwan 表示。 “当天，我们向首尔地方警察厅网络调查科提交了刑事投诉，目前国家调查办公室正在进行调查。” “由于最初未能确定确切的入侵方式，立即公开可能会使我们面临更多攻击。” “此外，大部分被盗资产已被出售，影响了市场。鉴于难以保证没有进一步的风险，立即披露可能会引发市场恐慌。” WEMIX 是由韩国游戏公司 Wemade 开发的区块链游戏平台。 WEMIX 生态系统包括其自身的加密货币 WEMIX 代币，并将区块链技术整合到游戏中，提供玩赚（P2E）模式、基于 NFT 的所有权以及去中心化金融（DeFi）功能。 Wemade 以其热门游戏《传奇》而闻名，但自推出 WEMIX 以来，已专注于从旧游戏中汲取灵感的区块链集成游戏。 其中最成功的是 MIR4，仅在 Google Play 上就有超过 500 万次下载。 Wemade 的其他区块链游戏还包括 Night Crows（100 万次下载）、Rise of Stars、Crypto Ball Z 和 MIR M（已停用）。 据昨天的新闻发布会消息，黑客在窃取 NFT 平台“NILE”的监控服务认证密钥后潜入了 WEMIX。 尽管 Wemade 不确定攻击者是如何获取密钥的，但推测可能是通过入侵一个开发者为方便而上传密钥的共享存储库。 黑客在两个月的攻击计划后，尝试了十五次提款，其中十三次成功。 被盗的 WEMIX 代币很快通过加密货币交易所被洗白。 目前，WEMIX 已经下线，所有区块链相关基础设施正在迁移到更安全的环境，公司目标是在 2025 年 3 月 21 日全面恢复服务。 值得一提的是，数字资产交易所联盟（DAXA）已将 WEMIX 指定为“投资谨慎”资产并暂停存款，WEMIX 计划对此提出上诉。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 超过 300 款恶意 Android 应用从 Google Play 下载了 6000 万次，它们或作为广告软件，或试图窃取凭证和信用卡信息。 这一操作最初由 IAS 威胁实验室发现，该实验室将此恶意活动归类为 Vapor，并称其自 2024 年初以来一直在进行。 IAS 识别出 180 款属于 Vapor 活动的应用，这些应用每天生成 2000 万次欺诈性的广告竞价请求，以进行大规模广告欺诈。 Bitdefender 最新发布的报告将恶意应用数量增加至 331 款，并报告在巴西、美国、墨西哥、土耳其和韩国等地出现了大量感染。 “这些应用会显示不合时宜的广告，甚至试图通过网络钓鱼攻击诱使受害者交出凭证和信用卡信息，”Bitdefender 警告称。 尽管所有这些应用都已被从 Google Play 下架，但 Vapor 通过新应用卷土重来的风险依然很大，因为威胁行为者已经展示了绕过 Google 审查流程的能力。  Vapor 活动中使用到的应用是实用工具，提供诸如健康和健身追踪、笔记工具和日记、电池优化器以及二维码扫描仪等专门功能。 这些应用通过了 Google 的安全审查，因为它们包含了所宣传的功能，并且在提交时并未包含恶意组件。相反，恶意功能是通过从命令和控制（C2）服务器推送的更新在安装后下载的。 一些由 Bitdefender 和 IAS 突出显示的典型案例包括： – AquaTracker – 100 万次下载 – ClickSave Downloader – 100 万次下载 – Scan Hawk – 100 万次下载 – Water Time Tracker – 100 万次下载 – Be More – 100 万次下载 – BeatWatch – 50 万次下载 – TranslateScan – 10 万次下载 – Handset Locator – 5 万次下载 这些应用是从多个开发者账户上传到 Google Play 的，每个账户只推送几款应用到商店，以免在被下架时冒高风险中断。出于类似原因，每个发布者使用不同的广告软件 SDK。 大多数 Vapor 应用是在 2024 年 10 月至 2025 年 1 月之间发布到 Google Play 上的，尽管上传一直持续到 3 月。 这些恶意的 Vapor 应用在安装后会关闭其在 AndroidManifest.xml 文件中的启动器活动，使它们不可见。在某些情况下，它们会将自己在设置中重命名为看似合法的应用（例如 Google Voice）。 这些应用无需用户交互即可启动，并使用本地代码启用一个隐藏的次要组件，同时保持启动器禁用以隐藏图标。 Bitdefender 指出，这种方法绕过了 Android 13+ 的安全保护，这些保护措施禁止应用在激活后动态禁用自身的启动器活动。 该恶意软件还绕过了 Android 13+ 的“SYSTEM_ALERT_WINDOW”权限限制，并创建了一个充当全屏覆盖的次要屏幕。 广告显示在这个屏幕上，该屏幕覆盖在所有其他应用之上，用户无法退出，因为“返回”按钮被禁用。 该应用还会从“最近任务”中移除自己，因此用户无法确定他们刚刚看到的广告是由哪个应用启动的。 Bitdefender 报告称，一些应用超越了广告欺诈的范畴，会显示 Facebook 和 YouTube 的假登录屏幕以窃取凭证，或以各种借口提示用户输入信用卡信息。 一般建议 Android 用户避免从不知名发布者处安装不必要的应用，仔细检查授予的权限，并将应用抽屉与设置中的应用列表进行比较，以查看所有已安装的应用。 所有 331 款恶意应用的完整列表可在此处查看。 如果您发现自己安装了这些应用中的任何一个，请立即卸载，并使用 Google Play Protect（或其他移动防病毒产品）运行完整的系统扫描。 BleepingComputer 已就 Vapor 活动联系 Google 以获取评论，但在发布时尚未收到声明。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 总部位于亚利桑那州的 Western Alliance Bank 正在通知近 22,000 名客户，他们的个人信息在 10 月份被窃取，原因是第三方供应商的安全文件传输软件遭到攻击。 Western Alliance 是 Western Alliance Bancorporation 的全资子公司，这是一家拥有超过 800 亿美元资产的美国领先银行公司。 该银行在 2 月份的 SEC 文件中首次披露，攻击者利用第三方软件中的零日漏洞（该供应商于 2024 年 10 月 27 日披露）入侵了 Western Alliance 的少量系统，并窃取了存储在受感染设备上的文件。 Western Alliance 在发现攻击者泄露了从其系统中窃取的一些文件后，才确定客户数据从其网络中被窃取。 在发送给 21,899 名受影响客户的泄露通知信中，公司表示已确定“未经授权的攻击者从 2024 年 10 月 12 日至 10 月 24 日从系统中获取了某些文件”。 对被盗文件的分析于 2025 年 2 月 21 日完成，发现其中包含客户个人信息，包括姓名、社保号码、出生日期、金融账户号码、驾照号码、税务识别号码和/或护照信息（如果提供给 Western Alliance）。 Western Alliance 表示：“我们没有证据表明您的个人信息已被用于欺诈或身份盗窃的目的。” 该公司还为受影响的人提供了一年免费的 Experian IdentityWorks Credit 3B 身份保护服务会员资格。 “虽然我们没有证据表明您的个人信息因此次事件而被滥用，但我们鼓励您利用这封信中包含的免费信用监控。” 当 BleepingComputer 今天早些时候联系 Western Alliance 时，一位发言人未立即回复评论请求。 尽管此次泄露事件中被攻破的安全文件传输软件未在泄露通知信或 2 月份的 SEC 文件中被命名，但该银行是 Clop 勒索软件团伙在 1 月份将其泄露网站上新增的 58 家公司之一。 该网络犯罪集团此前曾利用一系列攻击，利用 Cleo LexiCom、VLTransfer 和 Harmony 软件中的预认证零日漏洞（CVE-2024-50623），这些软件在 10 月份进行了修补，当时该公司警告客户立即升级。 12 月，Cleo 发布了针对第二个零日漏洞（编号为 CVE-2024-55956）的安全更新，Clop 攻击者利用该漏洞部署了一个名为“Malichus”的 JAVA 后门，用于窃取数据、执行命令并进一步入侵受害者的网络。 Cleo 在一份私人咨询报告中解释称：“该漏洞被利用在某些 Cleo Harmony、VLTrader 和 LexiCom 实例上安装恶意后门代码，形式为包含服务器端 JavaScript 的恶意 Freemarker 模板。” 目前尚不清楚在这些攻击中有多少家公司被攻破，但 Cleo 声称其软件在全球被超过 4,000 个组织使用。 Clop 之前与近年来的几起数据窃取活动有关，目标是 MOVEit Transfer、GoAnywhere MFT 和 Accellion FTA 中的零日漏洞。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： AMI 的 MegaRAC 基板管理控制器（BMC）软件中披露了一处严重的安全漏洞，攻击者可借此绕过身份验证并实施后续攻击。 该漏洞编号为 CVE-2024-54085，在 CVSS v4 标准下评分为 10.0，属最严重级别。 固件安全公司 Eclypsium 在报告中指出：“本地或远程攻击者可通过访问远程管理接口（Redfish）或内部主机到 BMC 接口（Redfish）来利用该漏洞。” “利用该漏洞，攻击者能够远程控制被攻陷服务器，远程部署恶意软件、勒索软件，篡改固件，砖化主板组件（BMC 或可能 BIOS/UEFI），造成服务器物理损坏（过压/砖化），以及引发受害者无法停止的无限重启循环。” 此外，该漏洞还可能被武器化，用于发起破坏性攻击，通过发送恶意命令使易受攻击的设备持续重启，从而导致无限期停机，直至设备重新配置。 自 2022 年 12 月以来，在 AMI MegaRAC BMC 中发现的一系列安全缺陷中，CVE-2024-54085 是最新的一例，这些缺陷被统称为 BMC&C，包括： – CVE-2022-40259：通过 Redfish API 执行任意代码 – CVE-2022-40242：通过 SSH 获取 UID = 0 的 shell 的默认凭据 – CVE-2022-2827：通过 API 进行用户枚举 – CVE-2022-26872：通过 API 拦截密码重置 – CVE-2022-40258：Redfish 和 API 的弱密码哈希 – CVE-2023-34329：通过 HTTP 标头欺骗绕过身份验证 – CVE-2023-34330：通过动态 Redfish 扩展接口注入代码 Eclypsium 指出，CVE-2024-54085 与 CVE-2023-34329 类似，都允许绕过身份验证且影响相似。该漏洞已确认影响以下设备： – HPE Cray XD670 – Asus RS720A-E11-RS24U – ASRockRack AMI 已于 2025 年 3 月 11 日发布补丁修复该漏洞。尽管目前尚无证据表明该漏洞已被野外利用，但下游用户在 OEM 厂商纳入这些修复并发布给客户后，应尽快更新系统。 “需要注意的是，修补这些漏洞并非易事，需要设备停机，”Eclypsium 表示。“该漏洞仅影响 AMI 的 BMC 软件堆栈。然而，由于 AMI 位于 BIOS 供应链的顶端，下游影响波及超过十几家制造商。”   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌正在以其历史上最大的收购交易，斥资320亿美元全现金收购云安全公司Wiz。 “此次收购代表着谷歌云对人工智能时代两大重要且快速增长趋势的投资：提升云安全能力以及支持多云环境（即使用多个云服务提供商），”这家科技巨头今日表示。 谷歌还表示，此次收购有待监管机构批准，旨在为客户提供一个“全面的安全平台”，以保护现代IT环境。 谷歌云首席执行官托马斯・库里安表示，将谷歌的云服务与Wiz结合，将“推动多云网络安全的采用、多云的使用以及云计算中的竞争和增长”。 Wiz首席执行官阿萨夫・拉帕波特表示，即使交易完成后，Wiz仍将保持作为一个独立的多云平台，并将与其他云公司如AWS、Azure和Oracle合作。 此次发展距离谷歌以54亿美元收购Mandiant还不到三年。此外，在七个多月前，谷歌曾试图以据报道的230亿美元价格收购Wiz但未成功。 谷歌的其他与安全相关的收购包括2012年9月收购的VirusTotal和2022年1月收购的Siemplify。   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文