HackerNews 编译，转载请注明出处： 安全研究员约哈内斯·努格罗霍发布了一款针对Akira勒索软件Linux版本的解密器，该解密器利用GPU算力来恢复解密密钥并免费解锁文件。 努格罗霍在朋友的求助下开发了这款解密器，他判断基于Akira生成加密密钥的方式（使用时间戳），破解加密系统在一周内可行。尽管过程中遇到了一些意外的复杂情况，项目耗时三周，且研究员在破解加密密钥上花费了1200美元用于GPU资源，但他最终还是成功了。 这款解密器并不像传统的解密工具那样需要用户提供密钥来解锁文件。相反，它通过暴力破解加密密钥（每个文件唯一）来工作，这利用了Akira加密程序基于当前时间（纳秒）作为种子生成加密密钥的事实。 加密种子是与加密函数一起使用以生成强大且不可预测的加密密钥的数据。由于种子影响密钥生成，因此保持其秘密性至关重要，以防止攻击者通过暴力破解或其他加密攻击重新创建加密或解密密钥。 Akira勒索软件为每个文件动态生成唯一的加密密钥，使用四个不同时间戳种子（纳秒精度），并通过1500轮SHA-256哈希处理。 用于生成密钥的四个时间戳 来源：tinyhack.com 这些密钥使用RSA-4096加密，并附加在每个加密文件的末尾，因此在没有私钥的情况下很难解密。时间戳中纳秒级的精度使得每秒可能产生超过十亿个值，这使得暴力破解密钥变得困难。 此外，努格罗霍表示，Linux上的Akira勒索软件使用多线程同时加密多个文件，这使得确定所用时间戳变得更加困难，进一步增加了复杂性。 研究人员通过查看朋友分享的日志文件，缩小了暴力破解的时间戳范围。这使他能够看到勒索软件的执行时间，通过文件元数据估计加密完成时间，并在不同硬件上生成加密基准以创建可预测的配置文件。 最初使用RTX 3060的尝试速度太慢，每秒只能进行6000万次加密测试。升级到RTC 3090也没有太大帮助。 最终，研究人员转向使用RunPod & Vast.ai云GPU服务，这些服务提供了足够的算力，并且价格合理，足以确认其工具的有效性。 具体来说，他使用了16个RTX 4090 GPU，在大约10小时内暴力破解了解密密钥。然而，根据需要恢复的加密文件数量，这一过程可能需要几天时间。 研究人员在其书面报告中指出，GPU专家仍可优化他的代码，因此性能可能会进一步提升。 努格罗霍已在GitHub上提供了解密器，并附上了如何恢复Akira加密文件的说明。 与往常一样，在尝试解密文件时，请备份原始加密文件，因为使用错误的解密密钥可能会导致文件损坏。 BleepingComputer尚未测试该工具，无法保证其安全性和有效性，因此使用时需自行承担风险。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子正在推广恶意的Microsoft OAuth应用，这些应用伪装成Adobe和DocuSign应用，用于分发恶意软件和窃取Microsoft 365账户凭证。 Proofpoint的研究人员发现了这些活动，并在X上的一条推文中将其描述为“高度针对性”的攻击。 此次活动中，恶意OAuth应用伪装成Adobe Drive、Adobe Drive X、Adobe Acrobat和DocuSign等应用。 这些应用请求访问相对不敏感的权限，如“个人资料”、“电子邮件”和“开放ID”，以避免被检测和引起怀疑。 如果用户授予这些权限，攻击者将获得以下访问权限： – 个人资料：姓名、用户ID、个人资料图片、用户名 – 电子邮件：主要电子邮件地址（无收件箱访问权限） – 开放ID：允许确认用户身份并获取Microsoft账户详细信息 Proofpoint告诉BleepingComputer，这些钓鱼活动通过被攻陷的电子邮件账户（很可能是Office 365账户）从慈善机构或小公司发送。 这些电子邮件针对美国和欧洲的多个行业，包括政府、医疗保健、供应链和零售业。网络安全公司看到的一些电子邮件使用了请求建议书和合同诱饵，以诱使收件人点击链接。 虽然接受Microsoft OAuth应用所提供的权限仅向攻击者提供了有限的数据，但这些信息仍可能被用于更具针对性的攻击。 此外，一旦用户授予OAuth应用权限，它会将用户重定向到显示Microsoft 365凭证钓鱼表单或分发恶意软件的登录页面。 “受害者在授权O365 OAuth应用后，经历了多次重定向和阶段，最终被呈现恶意软件或钓鱼页面，”Proofpoint告诉BleepingComputer。 “在某些情况下，受害者被重定向到一个‘O365登录’页面（托管在恶意域名上）。在授权后不到一分钟，Proofpoint检测到账户上有可疑的登录活动。” Proofpoint表示，他们无法确定所分发的恶意软件，但攻击者利用了过去一年变得非常流行的ClickFix社会工程攻击。 用于恶意OAuth活动的ClickFix登录页面 来源：Proofpoint 这些攻击与多年前报道的攻击相似，表明OAuth应用仍然是劫持Microsoft 365账户的有效方式，而无需窃取凭证。 建议用户在批准OAuth应用权限请求时保持谨慎，并始终验证其来源和合法性。 要检查现有的批准权限，可以前往“我的应用”（myapplications.microsoft.com）→“管理你的应用”，并在该页面上撤销任何未识别的应用。 Microsoft 365管理员还可以通过“企业应用”→“同意和权限”→将“用户可以同意应用”设置为“否”，以完全限制用户对第三方OAuth应用请求的权限。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场大规模的网络钓鱼活动近日波及近12,000个GitHub仓库，攻击者通过伪造的“安全警报”问题诱骗开发者授权一款恶意的OAuth应用，从而获取对其账户及代码的完全控制权。 “安全警报：异常访问尝试 我们检测到您的GitHub账户存在来自新位置或设备的登录尝试。” 这是GitHub钓鱼问题中的典型表述。 所有GitHub钓鱼问题均含有相同文本，警告用户账户在冰岛雷克雅未克的某个IP地址（53.253.117.8）出现异常活动。 GitHub仓库中发布的虚假“安全警报”问题 来源：BleepingComputer 网络安全研究员Luc4m首先发现了这一虚假安全警报，它警告GitHub用户账户已被入侵，建议用户更新密码、查看并管理活跃会话以及启用双因素认证来保护账户安全。 然而，所有这些建议操作的链接都指向GitHub授权页面，用于一个名为“gitsecurityapp”的OAuth应用，该应用请求大量高风险权限（范围），若授权成功，攻击者将获得用户账户及仓库的完全访问权。 恶意OAuth应用请求的权限 来源：BleepingComputer 以下是该恶意OAuth应用请求的权限及其提供的访问权限列表： – repo：对公共和私有仓库的完全访问权 – user：对用户个人资料的读写权限 – read:org：读取组织成员、组织项目和团队成员信息 – read:discussion, write:discussion：对讨论的读写权限 – gist：访问GitHub代码片段 – delete_repo：删除仓库的权限 – workflows, workflow, write:workflow, read:workflow, update:workflow：对GitHub Actions工作流的控制权 如果GitHub用户登录并授权该恶意OAuth应用，将生成一个访问令牌并发送回应用的回调地址。在这次活动中，回调地址是托管在onrender.com（Render）上的不同网页。 带有回调到onrender.com页面的OAuth授权链接 来源：BleepingComputer 此次钓鱼活动始于今日上午6:52（美国东部时间），目前仍在进行中，已波及近12,000个仓库。不过，这一数字仍在波动，表明GitHub很可能正在对此次攻击做出响应。 GitHub仓库中创建的虚假安全警报问题 来源：BleepingComputer 如果您在这次钓鱼攻击中不幸中招，错误地授权了该恶意OAuth应用，应立即通过进入GitHub设置中的应用部分来撤销其访问权限。 在应用页面中，撤销任何不熟悉或可疑的GitHub应用或OAuth应用的访问权限。在这次活动中，应查找名称与“gitsecurityapp”相似的应用。 接下来，检查是否有新的或意外的GitHub Actions（工作流）以及是否有私人代码片段被创建。 最后，轮换您的凭证和授权令牌。 BleepingComputer已就此次钓鱼活动联系GitHub，并将在收到回复后更新报道。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据CyberArk的研究发现，一款名为MassJacker的新型剪贴板恶意软件正在威胁使用盗版软件的用户，该恶意软件通过替换用户复制的加密货币钱包地址，将资金引流向攻击者控制的钱包，进而窃取加密货币。 剪贴板恶意软件是一种专门设计用于拦截和操纵剪贴板数据的恶意软件，通常用于窃取加密货币。当受害者复制一个加密货币钱包地址时，该恶意软件会将其替换为攻击者控制的地址，从而将资金转至黑客而非预期接收者。 “感染链始于一个名为pesktop[.]com的网站，该网站以提供盗版软件为幌子，同时试图让人们下载各种恶意软件。”安全研究员阿里·诺维克在本周早些时候发布的一份分析报告中表示。 最初的可执行文件充当了一个通道，用于运行一个PowerShell脚本，该脚本会交付一个名为Amadey的僵尸网络恶意软件，以及两个分别针对32位和64位架构的.NET可执行文件。 名为PackerE的二进制文件负责下载一个加密的DLL，该文件随后加载第二个DLL文件，通过将其注入名为“InstalUtil.exe”的合法Windows进程中来启动MassJacker的有效载荷。 加密的DLL具备多种增强其规避和反分析能力的功能，包括即时（JIT）挂钩、元数据令牌映射以隐藏函数调用，以及一个自定义虚拟机来解释命令，而非运行常规的.NET代码。 MassJacker自身带有反调试检查和一个配置文件，用于检索所有用于标记剪贴板中加密货币钱包地址的正则表达式模式。它还会联系远程服务器以下载包含攻击者控制的钱包列表的文件。 “MassJacker创建了一个事件处理程序，每当受害者复制任何内容时都会运行。”诺维克表示。“该处理程序会检查正则表达式模式，如果找到匹配项，就会将复制的内容替换为从下载列表中获取的属于威胁行为者的钱包地址。” CyberArk表示，他们识别出超过778,531个属于攻击者的唯一地址，其中只有423个地址包含总计约95,300美元的资金。但在这些钱包的资金被转出之前，所有钱包中持有的数字资产总额约为336,700美元。 此外，价值约87,000美元（600 SOL）的加密货币被发现存放在一个单一钱包中，有超过350笔交易将资金从不同地址转入该钱包。 目前尚不清楚MassJacker背后的攻击者身份，尽管对源代码的深入检查发现其与另一种名为MassLogger的恶意软件存在重叠，后者也利用了JIT挂钩技术以抵抗分析。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据称，一名51岁的俄罗斯和以色列双重国籍男子，是LockBit勒索软件集团的开发者，已被引渡至美国，距离他因与该网络犯罪计划相关的指控被正式起诉还不到三个月。 罗斯蒂斯拉夫·帕涅夫于2024年8月在以色列被捕。据称，他从2019年至2024年2月一直在为该勒索软件团伙工作，当时该团伙的在线基础设施在一次执法行动中被查封。 “罗斯蒂斯拉夫·帕涅夫被引渡到新泽西区表明：如果你是LockBit勒索软件阴谋的成员，美国会找到你并将你绳之以法，”美国检察官约翰·乔达诺说。 LockBit逐渐成为最活跃的勒索软件集团之一，攻击了全球至少120个国家的2500多个实体，其中近1800个位于美国。 受害者包括个人、小型企业到跨国公司，还有医院、学校、非营利组织、关键基础设施以及政府和执法机构。 该犯罪集团的网络犯罪活动已获得至少5亿美元的非法利润，给受害者造成了数十亿美元的损失，包括收入损失以及事件响应和恢复的成本。 作为LockBit的开发者，帕涅夫负责设计和维护锁定器的代码库，从2022年6月至2024年2月期间赚取了大约23万美元。 “帕涅夫承认他为LockBit集团完成的工作包括开发用于禁用防病毒软件的代码；向连接到受害者网络的多台计算机部署恶意软件；以及在连接到受害者网络的所有打印机上打印LockBit勒索信，”司法部表示。 “帕涅夫还承认编写和维护LockBit恶意软件代码，并向LockBit集团提供技术指导。” 除了帕涅夫外，还有六名LockBit成员在美国受到指控，包括米哈伊尔·瓦西里耶夫、鲁斯兰·阿斯塔米罗夫、阿图尔·松加托夫、伊万·根纳季耶维奇·孔德拉季耶夫、米哈伊尔·帕夫洛维奇·马特维耶夫和德米特里·尤里耶维奇·霍罗舍夫，其中霍罗舍夫也被确认为LockBit的管理员，使用网名LockBitSupp。 此外，霍罗舍夫、马特维耶夫、松加托夫和孔德拉季耶夫因参与网络攻击被美国财政部外国资产管制办公室（OFAC）制裁。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发出警告，Python软件包索引（PyPI）仓库正遭遇恶意攻击，不法分子利用伪装成“时间”相关工具的虚假库，暗藏窃取云访问令牌等敏感数据的功能。 软件供应链安全公司ReversingLabs发现，共有20个恶意软件包，分为两组。这些软件包累计下载量已超过14100次，具体如下： – snapshot-photo（2448次下载） – time-check-server（316次下载） – time-check-server-get（178次下载） – time-server-analysis（144次下载） – time-server-analyzer（74次下载） – time-server-test（155次下载） – time-service-checker（151次下载） – aclient-sdk（120次下载） – acloud-client（5496次下载） – acloud-clients（198次下载） – acloud-client-uses（294次下载） – alicloud-client（622次下载） – alicloud-client-sdk（206次下载） – amzclients-sdk（100次下载） – awsc1oud-clients-core（206次下载） – credential-python-sdk（1155次下载） – enumer-iam（1254次下载） – tclients-sdk（173次下载） – tcloud-python-sdks（98次下载） – tcloud-python-test（793次下载） 第一组软件包用于将数据上传至攻击者的基础设施，第二组则为多个云服务（如阿里云、亚马逊网络服务和腾讯云）实现客户端功能，但它们也被用于窃取云机密。 目前，所有已识别的软件包在撰写本文时已从PyPI中移除。 进一步分析发现，其中三个软件包（acloud-client、enumer-iam和tcloud-python-test）被列为一个相对受欢迎的GitHub项目“accesskey_tools”的依赖项，该项目已被 fork 42次，获得519颗星。 tcloud-python-test的源代码提交可追溯至2023年11月8日，表明该软件包自那时起便可在PyPI上下载，据pepy.tech统计，该软件包至今已被下载793次。 与此同时，Fortinet FortiGuard Labs披露，在PyPI和npm上发现了数千个软件包，其中一些被发现嵌入可疑的安装脚本，这些脚本旨在安装时部署恶意代码或与外部服务器通信。 “可疑的URL是识别潜在恶意软件包的关键指标，因为它们常被用于下载额外的有效载荷或与命令与控制（C&C）服务器建立通信，从而让攻击者控制受感染的系统。”Jenna Wang表示。 “在974个软件包中，这些URL与数据窃取、进一步恶意软件下载和其他恶意行为的风险相关。对软件包依赖项中的外部URL进行严格审查和监控至关重要，以防止被利用。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 与朝鲜存在关联的威胁组织ScarCruft被指开发了一款名为KoSpy的新型安卓监控工具，主要针对韩语和英语用户。网络安全公司Lookout披露了该恶意活动的细节，称其最早版本可追溯至2022年3月，最新样本于2024年3月被标记，具体攻击成功率尚不明确。 Lookout在分析报告中指出：”KoSpy可通过动态加载插件收集短信、通话记录、定位信息、本地文件、音频和屏幕截图等大量数据。” 恶意程序伪装成Google Play官方商店中的实用工具应用，使用”文件管理器”、”手机管家”、”智能管理器”、”软件更新工具”和”Kakao安全组件”等名称诱骗用户安装。 所有被识别的应用均提供宣称的功能以避免引起怀疑，同时在后台秘密部署间谍组件。目前这些应用已从应用市场下架。 ScarCruft又名APT27和Reaper，是自2012年开始活跃的朝鲜政府支持型网络间谍组织。该组织主要通过RokRAT木马从Windows系统窃取敏感数据，该木马后续已适配macOS和Android系统。 安装恶意安卓应用后，程序会连接Firebase Firestore云数据库获取包含实际命令与控制（C2）服务器地址的配置。这种利用Firestore等合法服务作为死投解析器的两阶段C2机制兼具灵活性与隐蔽性，允许攻击者随时更换C2地址并保持隐蔽运作。 Lookout表示：”在获取C2地址后，KoSpy会验证设备是否非模拟器，并确认当前日期是否超过硬编码的激活日期。这种激活日期检查机制确保间谍软件不会过早暴露恶意意图。” KoSpy能够下载额外插件和配置以实现监控目标。由于C2服务器已停止活动或未响应请求，插件的具体功能尚不明确。 该恶意软件设计用于从受感染设备收集短信、通话记录、设备定位、本地存储文件、屏幕截图、键盘记录、Wi-Fi网络信息和已安装应用列表等广泛数据，同时具备录音和拍照功能。Lookout指出KoSpy攻击活动的基础设施与先前归因于另一朝鲜黑客组织Kimsuky（又称APT43）的行动存在重叠。 Contagious Interview行动通过npm包传播 此次披露恰逢Socket安全团队发现六个植入已知信息窃取木马BeaverTail的npm软件包，该木马与朝鲜持续进行的”Contagious Interview”攻击行动相关。已移除的软件包列表如下： is-buffer-validator yoojae-validator event-handle-package array-empty-validator react-event-dependency auth-validator 这些软件包旨在收集系统环境详情及谷歌Chrome、Brave、Mozilla Firefox等浏览器存储的凭证，同时针对Solana的id.json和Exodus的exodus.wallet等加密货币钱包文件进行窃取。 Socket研究员Kirill Boychenko表示：”这六个累计下载量超330次的新软件包高度模仿主流可信库名称，采用了与Lazarus组织关联攻击者相同的拼写错误（typosquatting）策略。此外，该APT组织为其中五个恶意包创建并维护了GitHub仓库，通过伪装开源项目合法性提高有害代码渗入开发者工作流程的概率。” 朝鲜攻击行动使用RustDoor与Koi Stealer 该发现同时关联一项针对加密货币行业的新攻击活动，攻击者使用基于Rust开发的macOS恶意软件RustDoor（又名ThiefBucket）及此前未记录的Koi Stealer家族macOS变种。 帕洛阿尔托网络Unit 42团队表示，攻击者特征与Contagious Interview存在相似性，并以中等置信度评估该活动系为朝鲜政权服务。具体攻击链涉及伪造的”工作面试”项目，当通过微软Visual Studio执行时，会尝试下载并运行RustDoor。该恶意软件随后从LastPass Chrome扩展窃取密码，将数据外传至外部服务器，并下载两个用于开启反向Shell的bash脚本。 感染最终阶段会检索并执行另一有效载荷——伪装成Visual Studio的Koi Stealer macOS版本，诱骗受害者输入系统密码，从而收集并窃取设备数据。安全研究人员Adva Gabay和Daniel Frank指出：”该行动凸显全球机构面临精密社会工程攻击的风险，此类攻击旨在渗透网络并窃取敏感数据与加密货币。当攻击者系国家级威胁组织时，相关风险远高于纯经济动机的网络犯罪。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Sonatype 研究人员发现了 Picklescan 中的多个严重漏洞。这些漏洞可能影响 AI 模型的安全性，并威胁 Hugging Face 等平台的安全防护机制。本文将探讨这些漏洞的影响以及开发者应采取的最佳实践。 Picklescan 漏洞详情 Sonatype 的网络安全研究团队在 Picklescan 中发现了 四个关键漏洞。Picklescan 是一个用于检查 Python Pickle 文件是否包含恶意代码的工具，而 Pickle 文件常用于存储和加载机器学习模型。然而，由于 Pickle 机制允许执行任意代码，恶意代码可在加载数据时运行，带来安全风险。 根据 Sonatype 分享给 Hackread.com 的分析，这四个漏洞包括： CVE-2025-1716 —— 允许攻击者绕过 Picklescan 的安全检查并执行恶意代码； CVE-2025-1889 —— 由于依赖文件扩展名进行检测，Picklescan 无法发现隐藏的恶意文件； CVE-2025-1944 —— 攻击者可通过操纵 ZIP 归档文件名，使 Picklescan 发生故障； CVE-2025-1945 —— 如果 ZIP 归档中的某些位被篡改，Picklescan 可能无法检测恶意文件。 值得注意的是，Hugging Face 等平台 依赖 Picklescan 作为安全机制之一，以检测恶意 AI 模型。研究人员警告，这些漏洞可能被黑客利用，以绕过安全检查，进而威胁依赖开源 AI 模型的开发者。这可能导致 任意代码执行，甚至让攻击者完全控制受影响的系统。 “考虑到 Picklescan 在 AI/ML 生态中的关键作用（例如在 PyTorch 生态中），Sonatype 发现的漏洞可能被威胁行为者利用，以绕过部分恶意软件扫描，从而攻击依赖开源 AI 的开发者。” —— Sonatype 研究团队 漏洞修复与安全建议 好消息是，Picklescan 维护团队对安全性表现出了高度负责的态度，迅速修复了这些漏洞，并在版本 0.0.23 中进行了补丁，大大减少了漏洞被恶意利用的可能性。 Sonatype 首席产品官 Mitchell Johnson 建议开发者： 避免使用来自不受信任来源的 Pickle 文件，尽可能采用 更安全的文件格式； 若必须使用 Pickle 文件，应在受控环境下加载，以减少攻击面； 使用加密签名与校验和 验证 AI 模型的完整性，防止篡改； 采用多层安全扫描机制，避免单一检测工具失效； 持续监控 Pickle 文件的加载行为，发现可疑活动时及时响应。 此次发现突显了 AI/ML 安全体系日益增长的重要性。为了降低风险，企业应尽快采纳 更安全的文件格式、多重安全扫描机制，并对 AI 模型进行完整性验证，以防止攻击者滥用 Pickle 机制进行恶意攻击。   消息来源：HackerRead； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个名为”Mora_001″的新勒索软件组织正利用两个Fortinet漏洞，通过未授权访问防火墙设备部署名为SuperBlack的自定义勒索病毒。 这两个漏洞均为身份验证绕过漏洞，编号为CVE-2024-55591和CVE-2025-24472。Fortinet分别于2024年1月和2月披露了相关漏洞信息。 Fortinet在2024年1月14日首次披露CVE-2024-55591时，确认该漏洞已被作为零日漏洞利用。北极狼公司指出，自2024年11月起，攻击者就利用该漏洞入侵FortiGate防火墙。 值得注意的是，Fortinet在2025年2月11日将其1月公告中补充了CVE-2025-24472漏洞信息，导致外界误认为这是新发现的被利用漏洞。但Fortinet向BleepingComputer澄清称，该漏洞实际已于2024年1月修复且未被利用。 “我们未发现CVE-2025-24472被利用的证据。”Fortinet当时表示。 然而，Forescout研究人员的报告显示，他们在2025年1月下旬发现SuperBlack攻击活动，攻击者最早在2025年2月2日就利用了CVE-2025-24472漏洞。 Forescout向BleepingComputer说明：”尽管我们未直接向Fortinet报告24472漏洞的利用情况，但一家受影响的合作机构将我们的调查结果同步给了Fortinet的PSIRT团队。” “随后，Fortinet在2月11日更新公告，承认CVE-2025-24472正被积极利用。”BleepingComputer已联系Fortinet核实该细节，目前尚未获得回复。 SuperBlack攻击流程分析 Forescout指出，Mora_001采用高度结构化的攻击链，不同受害者间的攻击模式高度一致： 首先，攻击者通过jsconsole接口发起基于WebSocket的攻击，或直接向暴露的防火墙接口发送HTTPS请求，利用两个Fortinet漏洞获取’super_admin’权限。 接着，创建新管理员账户（包括forticloud-tech、fortigate-firewall、adnimistrator），并修改自动化任务配置以确保账户被删除后能自动重建。 随后，攻击者通过窃取的VPN凭证、新建VPN账户、WMIC/SSH工具及TACACS+/RADIUS认证进行网络测绘和横向移动。 在实施双重勒索前，Mora_001使用定制工具窃取数据，优先针对文件服务器、数据库服务器和域控制器进行加密。完成加密后，系统会留下勒索信。最终部署名为’WipeBlack’的定制擦除工具，清除勒索软件执行痕迹以阻碍取证分析。 Forescout发现多项证据表明SuperBlack与LockBit勒索组织存在密切联系，尽管前者表现出独立运作特征： SuperBlack加密器（VirusTotal记录）基于LockBit 3.0泄露的构建器开发，具有相同的载荷结构和加密算法，但移除了原始品牌标识。 SuperBlack勒索信包含与LockBit运营相关的TOX聊天ID，暗示Mora_001可能是LockBit前附属机构或核心团队中负责赎金谈判的成员。 攻击使用的IP地址与历史LockBit行动存在大量重叠。此外，WipeBlack工具亦被BrainCipher、EstateRansomware、SenSayQ等与LockBit关联的勒索组织使用。 Forescout在报告末尾提供了完整的SuperBlack攻击活动入侵指标（IoC）列表。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软就删除VSCode扩展一事向开发者致歉   2025年3月13日，微软在Visual Studio Marketplace中重新上架了“Material Theme – Free”和“Material Theme Icons – Free”两款VSCode扩展。此前，这两款扩展因被怀疑包含恶意代码而被下架，其开发者Mattia Astorino（别名“equinusocio”）也被平台封禁。 这两款扩展的安装量超过900万次，于2月因安全风险被下架。当时，微软表示，社区成员对扩展进行了深度安全分析，发现多处可疑迹象并报告给微软。微软安全研究人员确认了这一说法，并发现了更多可疑代码。 研究人员Amit Assaraf和Itay Kruk在使用AI扫描工具检查VSCode提交内容时，首次将这两款扩展标记为潜在恶意软件。他们认为，Material Theme的“release-notes.js”文件中存在代码执行能力且代码经过高度混淆，这引发了安全担忧。 然而，开发者Astorino对此表示反对，称问题出自在扩展中使用的一个自2016年以来就未更新的sanity.io依赖项，该依赖项用于显示发布说明。他指出，如果微软在下架前与他沟通，他可以在几秒钟内解决这一问题，而不是直接封禁他的账号。 Astorino表示，Material Theme扩展的混淆过程中无意中包含了sanity.io SDK客户端，其中包含了一些引用用户名或密码的字符串，但这些并非恶意代码，只是多年前构建过程中的一个错误。 3月12日，微软的Scott Hanselman在GitHub上向Astorino道歉，并恢复了他的开发者账号。他承认，微软在处理此事时过于仓促，导致了错误的结论。Hanselman还表示，Visual Studio Code Marketplace将更新其对混淆代码的政策，并改进扫描工具，以避免未来再次匆忙处理类似项目。 尽管如此，Amit Assaraf在接受采访时仍坚持认为，该扩展确实包含恶意代码，但他也承认开发者并无恶意意图。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文