HackerNews 编译，转载请注明出处： 一个影响微软Windows的安全漏洞未被修补，自2017年以来，一直被来自伊朗、朝鲜和俄罗斯的11个国家级赞助组织利用，作为数据盗窃、间谍活动和以经济利益为目的的行动的一部分。 这个零日漏洞被趋势科技的零日计划（ZDI）追踪为ZDI-CAN-25373，它允许攻击者利用精心制作的Windows快捷方式或壳链接（.LNK）文件，在受害者的机器上执行隐藏的恶意命令。 “这些攻击利用了.LNK文件中隐藏的命令行参数来执行恶意有效载荷，使检测变得复杂，”安全研究员彼得・吉尔纳斯和阿里亚克巴尔・扎哈瓦在与《黑客新闻》分享的分析中表示。“ZDI-CAN-25373的利用使组织面临数据盗窃和网络间谍活动的重大风险。” 具体来说，这涉及到用换行符（\x0A）和回车符（\x0D）填充参数，以逃避检测。 到目前为止，已经发现了近1000个利用ZDI-CAN-25373的.LNK文件，其中大部分样本与Evil Corp（Water Asena）、Kimsuky（Earth Kumiho）、Konni（Earth Imp）、Bitter（Earth Anansi）和ScarCruft（Earth Manticore）有关。 在这11个被发现滥用该漏洞的国家级赞助威胁行为者中，近一半来自朝鲜。除了在不同时间利用该漏洞外，这一发现还表明平壤的网络机构中存在跨合作。 遥测数据显示，位于美国、加拿大、俄罗斯、韩国、越南和巴西的政府、私人实体、金融机构、智库、电信服务提供商以及军事/国防机构已成为利用该漏洞攻击的主要目标。 在ZDI分析的攻击中，.LNK文件充当已知恶意软件家族的交付工具，如Lumma Stealer、GuLoader和Remcos RAT等。其中值得注意的是Evil Corp利用ZDI-CAN-25373分发Raspberry Robin。 微软方面将此问题定性为低严重性，并不打算发布修复程序。 “ZDI-CAN-25373是一个用户界面（UI）对关键信息的错误表示（CWE-451）的示例，”研究人员表示。“这意味着Windows用户界面未能向用户呈现关键信息。” “通过利用ZDI-CAN-25373，威胁行为者可以阻止最终用户查看与评估文件风险级别相关的执行命令的关键信息。”   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一种新的供应链攻击方式，名为“规则文件后门”，它影响了像GitHub Copilot和Cursor这样的AI代码编辑器，使其能够注入恶意代码。 “这种技术使黑客能够通过将隐藏的恶意指令注入到Cursor和GitHub Copilot使用的看似无害的配置文件中，从而在不被察觉的情况下破坏AI生成的代码。”Pillar安全公司的联合创始人兼首席技术官齐夫・卡尔尼尔在与《黑客新闻》分享的技术报告中表示。 “通过利用模型指令负载中的隐藏Unicode字符和复杂的规避技术，威胁行为者可以操纵AI插入恶意代码，从而绕过常规的代码审查。” 这种攻击方式的显著之处在于，它允许恶意代码在项目中悄然传播，构成供应链风险。 攻击的核心在于AI代理用于指导其行为的规则文件，这些文件帮助用户定义最佳编码实践和项目架构。 具体来说，它涉及在看似无害的规则文件中嵌入精心设计的提示，导致AI工具生成包含安全漏洞或后门的代码。换句话说，被污染的规则会促使AI生成不良代码。 这可以通过使用零宽连接符、双向文本标记和其他不可见字符来隐藏恶意指令，并利用AI解释自然语言以生成易受攻击的代码的能力，通过语义模式欺骗模型，使其忽略道德和安全约束。 在2024年2月底和3月的负责任披露之后，Cursor和GitHub都表示用户有责任审查和接受工具生成的建议。 “‘规则文件后门’代表了一种重大风险，它将AI本身作为攻击向量，实际上将开发人员最信任的助手变成了无意的帮凶，可能通过被破坏的软件影响数百万最终用户。”卡尔尼尔说。 “一旦被污染的规则文件被纳入项目存储库，它将影响团队成员未来所有的代码生成会话。此外，恶意指令通常会在项目分叉后仍然存在，从而为供应链攻击创造了途径，可能影响下游依赖关系和最终用户。”   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 思科修复了一个拒绝服务（DoS）漏洞（CVE-2025-20115），该漏洞允许未授权的远程攻击者通过发送单一 BGP 更新消息使 IOS XR 路由器上的边界网关协议（BGP）进程崩溃。 IOS XR 是思科为运营商级和服务提供商路由器开发的网络操作系统，基于微内核架构，专为高可用性、可扩展性和模块化设计。 攻击者可利用此漏洞通过精心构造的 BGP 更新或错误配置网络，导致内存损坏和 BGP 进程重启，从而引发拒绝服务。利用此漏洞需要攻击者控制 BGP 联盟扬声器或 AS_CONFED_SEQUENCE 属性达到 255 个自治系统编号。 “思科 IOS XR 软件中边界网关协议（BGP）的联盟实现存在漏洞，可能允许未认证的远程攻击者造成拒绝服务（DoS）条件。”咨询报告中指出，“该漏洞源于当 BGP 更新创建时，AS_CONFED_SEQUENCE 属性包含 255 个自治系统编号，导致内存损坏。攻击者可通过发送构造的 BGP 更新消息或网络设计使 AS_CONFED_SEQUENCE 属性达到 255 个或更多自治系统编号来利用此漏洞。成功利用可能导致内存损坏，BGP 进程重启，引发 DoS 条件。要利用此漏洞，攻击者必须控制与受害者同一自治系统中的 BGP 联盟扬声器，或网络设计使 AS_CONFED_SEQUENCE 属性达到 255 个或更多自治系统编号。” 此漏洞影响配置了 BGP 联盟的思科 IOS XR 软件，但不影响 IOS 软件、IOS XE 软件和 NX-OS 软件。 以下是受影响版本及修复版本： 思科 IOS XR 软件版本 首个修复版本 7.11 及更早版本 迁移到修复版本 24.1 及更早版本 迁移到修复版本 24.2 24.2.21（未来版本） 24.3 24.3.1 24.4 不受影响 若无法应用补丁，可将 AS_CONFED_SEQUENCE 限制在 254 个或更少自治系统编号，以降低攻击风险。 “存在一个解决此漏洞的变通方法。此漏洞部分原因是 BGP AS_CONFED_SEQUENCE 属性为 255 个或更多自治系统编号。变通方法是将此 BGP 属性限制在 254 个或更少自治系统编号。”报告中指出，“虽然此变通方法已在测试环境中部署并被证明成功，但客户应根据自身环境和使用条件确定其适用性和有效性。” IT 巨头建议在部署前评估变通方法，因为它可能根据特定部署场景影响网络性能。 思科产品安全事件响应团队（PSIRT）目前尚未发现利用此漏洞的攻击。   消息来源：Security Affairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： OKX Web3 决定暂停其去中心化交易所（DEX）聚合器服务，以实施安全升级。此前有报道称，臭名昭著的朝鲜 Lazarus 黑客利用该服务进行了一次 15 亿美元的加密货币盗窃。 OKX 是一家领先的全球加密货币交易所，提供广泛的交易选项，包括现货和衍生品交易以及去中心化金融（DeFi）服务。截至 2024 年 12 月，OKX 在中心化交易所中占据全球现货交易市场份额的约 8.0%，月交易量约为 2300 亿美元，是全球顶级交易所之一。 去中心化交易所（DEX）聚合器是一个从多个 DEX 中获取流动性以提供最佳交易价格和减少滑点的平台。 在 Lazarus 组织创纪录的 15 亿美元 Bybit 加密货币盗窃后，据报道该组织试图利用 OKX 的 DEX 洗白 1 亿美元的被盗加密货币。 据彭博社报道，这引发了欧盟监管机构的调查。然而，OKX 否认了这些说法，称他们冻结了进入中心化交易所（CEX）的相关资金，并指责 Bybit 传播虚假信息。 “最近，我们发现 Lazarus 组织协调滥用我们的 DeFi 服务，”OKX 今日早些时候发布的公告中写道。 “同时，我们注意到旨在破坏我们工作的竞争攻击有所增加。我们选择采取果断行动，而不是退缩。” 今日，OKX 确认 Lazarus 一直在滥用其服务，需要一些停机时间来实施足够的防御措施以阻止这些活动。 “在与监管机构协商后，我们主动决定暂时暂停 DEX 聚合器服务。此举使我们能够实施额外的升级，以防止进一步的滥用，”OKX 解释道。 第一项措施是启动一个系统，以识别和跟踪 Web3 DEX 聚合器上与黑客相关的地址。 第二项关键措施是实时阻止这些地址在中心化交易所（CEX）上，以切断 Lazarus 的活动。 OKX 表示正在与区块链浏览器合作，确保交易得到正确标记，防止交易来源混淆并提高安全性。 加密货币交易所平台通过这些和其他措施寻求增强安全性、透明度和监管合规性。 目前尚不清楚 Lazarus 是否会找到绕过这些措施的方法，或者朝鲜黑客是否会转向其他安全标准较低的交易所。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软发现了一种新的远程访问特洛伊木马（RAT），该木马采用“复杂技术”来规避检测、维持持久性和窃取敏感数据。 尽管该恶意软件（被称为 StilachiRAT）尚未广泛传播，但微软决定公开分享妥协指标和缓解指导，以帮助网络防御者检测这一威胁并减少其影响。 由于 StilachiRAT 在野外部署的实例有限，微软尚未将此恶意软件归因于特定的威胁行为者或与特定地理位置关联。 “2024 年 11 月，微软事件响应研究人员发现了一种新型远程访问特洛伊木马（RAT），我们将其命名为 StilachiRAT，它展示了复杂的规避检测、在目标环境中持续存在和窃取敏感数据的技术，”微软表示。 对包含 StilachiRAT 功能的 WWStartupCtrl64.dll 模块的分析显示，该恶意软件使用了多种方法从目标系统中窃取信息，例如存储在浏览器中的凭证、数字钱包信息、剪贴板中的数据以及系统信息。 这种新 RAT 的功能中，微软特别指出了其侦察功能，例如收集系统数据，包括硬件标识符、摄像头是否存在、活跃的远程桌面协议（RDP）会话以及运行中的基于 GUI 的应用程序，以对目标系统进行画像。 在被部署到受损系统后，攻击者可以利用 StilachiRAT 通过扫描 20 种加密货币钱包扩展的配置信息来窃取数字钱包数据，包括 Coinbase 钱包、Phantom、Trust 钱包、MetaMask、OKX 钱包、Bitget 钱包等。 该恶意软件还利用 Windows API 窃取存储在 Google Chrome 本地状态文件中的凭证，并监控剪贴板活动以获取敏感信息，如密码和加密货币密钥，同时跟踪活跃窗口和应用程序。 一旦作为独立进程或 Windows 服务启动，RAT 通过 Windows 服务控制管理器（SCM）获得并保持持久性，并使用看门狗线程监控恶意软件的二进制文件，确保它们在不活跃时自动重新创建。 StilachiRAT 还能够通过捕获前台窗口信息和克隆安全令牌来模仿登录用户，从而在受害者网络中横向移动，尤其是在 RDP 服务器上部署 RAT 后，这些服务器通常托管管理会话。 “该恶意软件获取当前会话，积极启动前台窗口，并枚举所有其他 RDP 会话，”微软表示。“对于每个已识别的会话，它将访问 Windows 资源管理器外壳并复制其权限或安全令牌。然后，恶意软件可以使用这些新获得的权限启动应用程序。” RAT 的功能还包括广泛的检测规避和反取证功能，例如清除事件日志的能力和检查是否在沙箱环境中运行以阻止恶意软件分析尝试。即使被诱骗在沙箱中运行，StilachiRAT 的 Windows API 调用也被编码为“在运行时动态解析的校验和”，并进一步混淆以减慢分析速度。 最后，微软表示 StilachiRAT 允许通过命令和控制（C2）服务器的命令执行以及潜在的类似 SOCKS 的代理功能，这可以让威胁行为者重启受损系统、清除日志、窃取凭证、执行应用程序以及操作系统窗口。 其他命令旨在“暂停系统、修改 Windows 注册表值以及枚举打开的窗口。” 为了减少此恶意软件可以利用来攻击目标系统的攻击面，微软建议仅从官方网站下载软件，并使用能够阻止恶意域名和电子邮件附件的安全软件。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员正密切关注一起安全事件，其中流行的 GitHub Action tj-actions/changed-files 被攻破，导致使用持续集成和持续交付（CI/CD）工作流的仓库机密信息泄露。 该事件涉及的 tj-actions/changed-files GitHub Action 在 23000 多个仓库中使用，用于跟踪和检索所有更改的文件和目录。这一供应链攻击被赋予了 CVE 标识符 CVE-2025-30066（CVSS 评分：8.6），据说发生在 2025 年 3 月 14 日之前。 “在这次攻击中，攻击者修改了操作代码，并回溯更新了多个版本标签以引用恶意提交，”StepSecurity 表示。“被攻破的操作会在 GitHub Actions 构建日志中打印 CI/CD 机密信息。” 这种行为的最终结果是，如果工作流日志可公开访问，那么当在仓库上运行该操作时，可能会导致敏感机密信息未经授权而被曝光。这包括 AWS 访问密钥、GitHub 个人访问令牌（PATs）、npm 令牌和私有 RSA 密钥等。尽管如此，但没有证据表明泄露的机密信息被传输到了任何攻击者控制的基础设施中。 具体来说，恶意插入的代码旨在运行一个托管在 GitHub gist 上的 Python 脚本，该脚本会转储来自 Runner Worker 进程的 CI/CD 机密信息。据说该脚本源自一个未经验证的源代码提交。该 GitHub gist 已被删除。 “tj-actions/change-files 在组织的软件开发流程中使用，”Endor Labs 的首席技术官兼联合创始人 Dimitri Stiliadis 在一份声明中表示。“在开发人员编写和审查代码后，他们通常会发布到仓库的主分支。从那里‘流程’会接管，构建用于生产的代码并部署它。” “tj-actions/change-files 帮助检测仓库中的文件更改。它允许你检查在提交、分支或拉取请求之间哪些文件被添加、修改或删除。” “攻击者修改了操作代码，并回溯更新了多个版本标签以引用恶意提交。被攻破的操作现在执行一个恶意 Python 脚本，该脚本转储 CI/CD 机密信息，影响了数千个 CI 流程。” 项目维护者表示，事件背后的未知威胁者攻破了 @tj-actions-bot 使用的 GitHub 个人访问令牌（PAT），该机器人对被攻破的仓库具有特权访问权限。 在发现该事件后，账户密码已更新，身份验证已升级为使用通过密钥，并且其权限级别已更新，遵循最小特权原则。GitHub 还撤销了被攻破的 PAT。 “受影响的个人访问令牌作为 GitHub action 机密存储，目前已撤销，”维护者补充道。“今后，tj-actions 组织的所有项目将不再使用 PAT，以防止任何复发风险。” 任何使用该 GitHub Action 的用户都应尽快更新到最新版本（46.0.1）。用户还应审查 3 月 14 日至 3 月 15 日期间执行的所有工作流，并检查“changed-files 部分下是否有意外输出”。 这并非 tj-actions/changed-files Action 首次出现安全问题。2024 年 1 月，安全研究员 Adnan Khan 揭露了影响 tj-actions/changed-files 和 tj-actions/branch-names 的一个关键漏洞（CVE-2023-49291，CVSS 评分：9.8），该漏洞可能导致任意代码执行。 这一事件再次凸显了开源软件特别容易受到供应链风险的影响，这可能会对下游客户产生严重后果。 “截至 2025 年 3 月 15 日，所有版本的 tj-actions/changed-files 均被发现受到影响，因为攻击者成功修改了现有版本标签，使其全部指向恶意代码，”云安全公司 Wiz 表示。 “使用了哈希固定版本的 tj-actions/changed-files 的客户不会受到影响，除非他们在利用时间窗口期间更新到了受影响的哈希。”   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据思科 Talos 最新发现，网络犯罪分子正在利用用于网页设计和布局的层叠样式表（CSS），以规避垃圾邮件过滤器并追踪用户行为。这一行为可能会危及受害者的安全和隐私。 “尽管在电子邮件客户端中，与动态内容（例如 JavaScript）相关的许多功能受到限制，但 CSS 提供的功能仍可让攻击者和垃圾邮件发送者追踪用户的操作和偏好，”Talos 研究员 Omid Mirzaei 在上周发布的一份报告中表示。 这一发现是对该公司之前研究的补充，之前的研究显示，2024 年下半年，利用隐藏文本盐值规避电子邮件垃圾邮件过滤器和安全网关的电子邮件威胁激增。 这种技术特别涉及利用超文本标记语言（HTML）和 CSS 的合法功能，包含在电子邮件客户端中渲染时不可见的注释和无关内容，但这些内容可能会使解析器和检测引擎出错。 Talos 的最新分析发现，威胁行为者正在使用诸如 text_indent 和 opacity 等 CSS 属性，将无关内容从电子邮件正文中隐藏起来。在某些情况下，这些活动的最终目标是将电子邮件接收者重定向到钓鱼页面。 此外，CSS 还为威胁行为者提供了通过垃圾邮件追踪用户行为的机会，方法是嵌入诸如@media CSS 规则这样的 CSS 属性，从而为潜在的指纹攻击打开大门。 “这种滥用行为的范围可以从识别收件人的字体和颜色方案偏好、客户端语言，甚至追踪他们的操作（例如查看或打印电子邮件），”Mirzaei 解释说。 “CSS 提供了广泛的规则和属性，可以帮助垃圾邮件发送者和威胁行为者对用户、他们的网络邮件或电子邮件客户端以及系统进行指纹识别。例如，媒体规则可以检测用户环境的某些属性，包括屏幕大小、分辨率和颜色深度。” 为了降低此类威胁带来的风险，建议实施高级筛选机制，以检测隐藏文本盐值和内容隐藏，并使用电子邮件隐私代理。   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 自 2024 年 5 月以来，攻击者一直在利用 Edimax IC-7100 网络摄像头的一个未修复安全漏洞来分发 Mirai 僵尸网络恶意软件变种。 该漏洞为 CVE-2025-1316（CVSS v4 评分：9.3），是一个关键的操作系统命令注入漏洞，攻击者可利用特制请求在易受攻击设备上实现远程代码执行。 网络安全公司 Akamai 表示，针对该漏洞的最早利用尝试可追溯到 2024 年 5 月，尽管自 2023 年 6 月以来一直有公开的概念验证（PoC）利用可用。 “该漏洞利用了 Edimax 设备中 /camera-cgi/admin/param.cgi 端点，并将命令注入 NTP_serverName 选项，作为 param.cgi 的 ipcamSource 选项的一部分，”Akamai 研究员 Kyle Lefton 和 Larry Cashdollar 表示。 虽然利用该端点需要身份验证，但发现攻击者利用了默认凭证（admin:1234）来获取未经授权的访问。 至少有两种不同的 Mirai 僵尸网络变种被发现利用该漏洞，其中一种在运行获取不同架构恶意软件的 shell 脚本之前还加入了反调试功能。 这些活动的最终目标是将受感染设备整合到一个能够针对感兴趣目标发动分布式拒绝服务（DDoS）攻击的网络中。 此外，僵尸网络还被观察到利用了影响 TOTOLINK 物联网设备的 CVE-2024-7214 和 CVE-2021-36220 以及 Hadoop YARN 漏洞。 在上周发布的一份独立咨询中，Edimax 表示 CVE-2025-1316 影响的是不再积极支持的旧设备，由于该型号已停产超过 10 年，因此没有计划提供安全补丁。 鉴于没有官方补丁，建议用户要么升级到较新的型号，要么避免将设备直接暴露在互联网上，更改默认管理员密码，并监控访问日志是否有异常活动的迹象。 “网络犯罪分子开始组装僵尸网络的最有效方式之一是针对旧设备上安全性差且过时的固件，”Akamai 表示。 “Mirai 的遗产继续困扰着全球各地的组织，因为基于 Mirai 恶意软件的僵尸网络传播没有停止的迹象。有了各种免费的教程和源代码（现在还有人工智能的帮助），启动僵尸网络变得更容易了。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 近日，Apache Tomcat 被披露存在一个安全漏洞，该漏洞在公开披露仅 30 小时后，随着公共概念验证（PoC）的发布，已在野外被积极利用。 该漏洞被追踪为 CVE-2025-24813，影响以下版本： – Apache Tomcat 11.0.0-M1 至 11.0.2 – Apache Tomcat 10.1.0-M1 至 10.1.34 – Apache Tomcat 9.0.0-M1 至 9.0.98 当满足特定条件时，该漏洞可能导致远程代码执行或信息泄露： – 默认 Servlet 的写入功能已启用（默认情况下禁用） – 支持部分 PUT（默认情况下启用） – 安全敏感上传的目标 URL 是公共上传目标 URL 的子目录 – 攻击者了解正在上传的安全敏感文件的名称 – 安全敏感文件也通过部分 PUT 上传 若成功利用该漏洞，恶意用户可查看安全敏感文件，或通过 PUT 请求将任意内容注入这些文件。 此外，若以下所有条件均满足，攻击者还可实现远程代码执行： – 默认 Servlet 的写入功能已启用（默认情况下禁用） – 支持部分 PUT（默认情况下启用） – 应用程序使用了 Tomcat 的基于文件的会话持久化功能，并使用了默认存储位置 – 应用程序包含可能被用于反序列化攻击的库 上周，项目维护者在一份咨询报告中表示，该漏洞已在 Tomcat 版本 9.0.99、10.1.35 和 11.0.3 中得到解决。 然而，Wallarm 公司指出，该漏洞已出现野外利用尝试。 “此次攻击利用了 Tomcat 的默认会话持久化机制及其对部分 PUT 请求的支持，”该公司表示。 “该漏洞的利用分为两个步骤：攻击者通过 PUT 请求上传一个序列化的 Java 会话文件。攻击者通过在 GET 请求中引用恶意会话 ID 来触发反序列化。” 换句话说，这些攻击涉及发送一个包含 Base64 编码序列化 Java 负载的 PUT 请求，该请求被写入 Tomcat 的会话存储目录，随后通过发送一个带有指向恶意会话的 JSESSIONID 的 GET 请求来执行反序列化。 Wallarm 还指出，该漏洞极易被利用，且无需身份验证。唯一的先决条件是 Tomcat 使用基于文件的会话存储。 “虽然此漏洞利用了会话存储，但更大的问题是 Tomcat 对部分 PUT 处理不当，这允许几乎在任何位置上传任何文件，”它补充道。“攻击者将很快开始改变策略，上传恶意 JSP 文件，修改配置，并在会话存储之外植入后门。” 建议运行受影响版本 Tomcat 的用户尽快更新其实例，以减轻潜在威胁。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场大规模的Coinbase网络钓鱼攻击伪装成强制性的钱包迁移，欺骗收件人使用攻击者控制的预生成恢复短语设置新钱包。 这些邮件的主题是“迁移至Coinbase钱包”，声称所有用户必须迁移到自我托管钱包，并提供了下载合法Coinbase钱包的说明。 “自3月14日起，Coinbase将过渡到自我托管钱包。在一场集体诉讼指控未注册证券和无证经营后，法院要求用户自行管理钱包，”钓鱼邮件中写道。 “Coinbase将作为注册经纪人，允许购买，但所有资产必须转移到Coinbase钱包。” “下面显示的唯一恢复短语是您的Coinbase身份。它授予对您资金的访问权—请将其记录下来并安全存储。通过依次输入每个单词后跟一个空格，将其导入Coinbase钱包。” 这些邮件声称来自Coinbase，但回信地址是noreply@akamai.com。它们还来自IP地址167.89.33.244，这是一个SendGrid IP地址，通过DNS解析到o1.soha.akamai.com。 由于这些邮件似乎是通过SendGrid直接发送的，并且似乎是通过Akamai的账户，因此它们通过了SPF、DMARC和DKIM电子邮件安全检查，从而绕过了许多账户的垃圾邮件过滤器。 BleepingComputer联系了Akamai，询问是否有一个SendGrid账户被攻破，并收到了以下声明。 “Akamai已注意到有关针对Coinbase用户的网络钓鱼骗局的报道，该骗局涉及使用Akamai电子邮件域名。我们非常重视信息安全，并正在积极调查此事，”Akamai告诉BleepingComputer。 “网络钓鱼骗局仍然是普遍的网络威胁，我们敦促所有用户在收到未请求的电子邮件时保持警惕，尤其是那些要求提供个人信息或账户信息的邮件。如果您怀疑一封邮件可能是网络钓鱼尝试，请将其视为网络钓鱼，并避免点击任何链接或提供任何敏感信息。” “我们正在努力解决这一情况，并将继续监控和减轻任何相关风险。在此期间，我们建议提高警惕，以帮助保护您的个人信息。” 这场网络钓鱼活动的特别之处在于，邮件内没有任何网络钓鱼链接，所有链接都指向Coinbase合法的钱包页面。 相反，网络钓鱼邮件包含一个恢复短语，声称应使用该短语设置新的Coinbase钱包。 恢复短语，也称为“种子”，是一系列单词，作为加密货币钱包私钥的人类可读版本。 任何知道此恢复短语的人都可以将其导入自己的设备，从而窃取其中存储的任何加密货币和NFT。 虽然大多数加密货币网络钓鱼骗局试图窃取用户的恢复短语，然后攻击者用其窃取资金，但此次网络钓鱼活动则相反。 这封网络钓鱼邮件非常巧妙，因为它不是窃取用户的短语，而是提供一个攻击者已经知道并控制的短语。 一旦用户使用该短语设置新钱包并转移资金，所有资产将可供威胁行为者使用，他们可以将其转移到自己控制的另一个钱包。 Coinbase已意识到这一骗局，并在X上发帖称他们永远不会向客户发送恢复短语。 “提醒：警惕恢复短语骗局，”Coinbase在X上发帖。 “我们已注意到新的网络钓鱼邮件，伪装成Coinbase和Coinbase钱包。我们永远不会向您发送恢复短语，您也不应输入任何其他人提供的恢复短语。” 对于那些上当受骗的人，如果新创建的钱包中仍有资金，应迅速将其转回自己的钱包，以免被威胁行为者窃取。 虽然规则一直是不要将恢复短语分享给其他人或网站，但现在应扩展为不要使用通过电子邮件和网站共享给您的恢复短语，因为它们很可能被用于窃取您的加密货币。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文