HackerNews 编译，转载请注明出处： 关于一个现已修复的安全漏洞的细节已经公布，该漏洞可能允许绕过统一可扩展固件接口（UEFI）系统中的安全启动机制。 据ESET向The Hacker News分享的一份新报告显示，该漏洞被分配了CVE标识符CVE-2024-7344（CVSS评分：6.7），存在于由微软的“Microsoft Corporation UEFI CA 2011”第三方UEFI证书签名的UEFI应用程序中。 成功利用该漏洞可导致在系统启动时执行不受信任的代码，从而使攻击者能够在启用安全启动的计算机上部署恶意UEFI启动套件，无论安装的是何种操作系统。 安全启动是一种固件安全标准，通过确保设备仅使用原始设备制造商（OEM）信任的软件启动，来防止计算机启动时加载恶意软件。该功能利用数字签名来验证加载代码的真实性、来源和完整性。 受影响的UEFI应用程序是Howyar Technologies Inc.、Greenware Technologies、Radix Technologies Ltd.、SANFONG Inc.、Wasay Software Technology Inc.、Computer Education System Inc.和Signal Computer GmbH等公司开发的多个实时系统恢复软件套件的一部分，具体受影响版本如下： Howyar SysReturn 10.2.023_20240919版本之前 Greenware GreenGuard 10.2.023-20240927版本之前 Radix SmartRecovery 11.2.023-20240927版本之前 Sanfong EZ-back System 10.3.024-20241127版本之前 WASAY eRecoveryRX 8.4.022-20241127版本之前 CES NeoImpact 10.1.024-20241127版本之前 SignalComputer HDD King 10.3.021-20241127版本之前 ESET研究员Martin Smolár表示：“该漏洞是由于使用了自定义PE加载器，而不是使用标准和安全的UEFI函数LoadImage和StartImage造成的。因此，该应用程序允许在系统启动时从名为cloak.dat的特别制作的文件中加载任何UEFI二进制文件——甚至是未签名的文件——而不考虑UEFI安全启动状态。” 因此，利用CVE-2024-7344的攻击者可以绕过UEFI安全启动保护，并在操作系统加载之前在UEFI环境中执行未签名代码，从而获得对主机的隐蔽且持久的访问权限。 CERT协调中心（CERT/CC）表示：“在此早期启动阶段执行的代码可以在系统上持久存在，可能会加载恶意内核扩展，这些扩展在重启和操作系统重新安装后仍然存在。此外，它还可能逃避基于操作系统和终端检测和响应（EDR）安全措施的检测。” 恶意行为者还可以通过将自己的易受攻击的“reloader.efi”二进制文件的副本带到已注册微软第三方UEFI证书的任何UEFI系统中，进一步扩大利用范围。但是，将易受攻击和恶意的文件部署到EFI系统分区需要提升权限：在Windows上是本地管理员权限，在Linux上是root权限。 这家斯洛伐克网络安全公司在2024年6月负责任地向CERT/CC披露了这一发现，之后Howyar Technologies及其合作伙伴在相关产品中解决了这一问题。2025年1月14日，微软作为其“补丁星期二”更新的一部分，撤销了旧的易受攻击的二进制文件。 除了应用UEFI撤销、管理对位于EFI系统分区上的文件的访问权限、安全启动定制以及与可信平台模块（TPM）进行远程证明之外，还有一些其他方法可以防止利用未知的易受攻击的已签名UEFI引导加载程序和部署UEFI启动套件。 Smolár表示：“近年来发现的UEFI漏洞数量以及在合理时间窗口内修复漏洞或撤销易受攻击的二进制文件的失败表明，即使是像UEFI安全启动这样重要的功能，也不应被视为不可逾越的障碍。” “然而，我们对此漏洞最担忧的不是修复和撤销二进制文件所花费的时间，与类似情况相比，这个时间已经相当不错，而是这已经不是第一次发现如此明显不安全的已签名UEFI二进制文件。这引发了以下问题：第三方UEFI软件供应商中这种不安全技术的使用有多普遍，以及可能还有多少其他类似的不为人知但已签名的引导加载程序。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 艾利产品公司警告称，其网站遭到黑客入侵，导致客户信用卡和个人信息被盗，发生数据泄露事件。 艾利公司是一家生产销售自粘标签、服装品牌元素及提供印刷服务的美国公司。 在向受影响的客户发送的数据泄露通知中，艾利公司发现他们于2024年12月9日遭到攻击。 经过数字取证专家的内部调查，发现威胁行为者已于2024年7月18日在公司网上商店域名“avery.com”上植入了信用卡侧录器。 因此，2024年7月18日至12月9日期间，客户在艾利公司网站上输入的敏感支付信息被泄露给了威胁行为者。 “2024年12月9日，艾利公司发现与某些系统相关的勒索软件攻击，”通知中写道。 “艾利公司立即在取证专家的协助下展开调查，以确定活动的性质和范围。” “我们的调查显示，一名未经授权的入侵者在2024年7月18日至12月9日期间，在我们的网站avery.com上插入了恶意软件，用于‘窃取’信用卡信息。” 此次泄露事件中，以下数据遭到泄露： 姓名 账单和送货地址 电子邮件地址 电话号码 支付卡号、安全验证码（CVV）和到期日 购买金额 未泄露的信息包括：社会保险号、驾照号、政府颁发的身份证号及出生日期。 然而，已泄露的数据足以让不法分子以受害者名义进行欺诈交易，并在其账户中进行未经授权的购买。 “我们尚不清楚欺诈费用是否与我们的网站事件有关，但现在看来，由于我们收到两封客户邮件，表明他们产生了欺诈费用或收到网络钓鱼邮件，因此支付卡（及其他）信息可能已被窃取，”数据泄露通知继续写道。 “本月我们收到多起类似报告。因此，我们向您发送此通知，以便您采取措施保护自己。” 根据缅因州总检察长门户网站上关于数据泄露的条目，此次事件影响了61,193名艾利客户。 为减轻风险，艾利公司通过Cyberscout提供12个月的免费信用监控服务。 还建议通知收件人警惕未经请求的通信，并立即向银行和有关部门报告其账户上的任何可疑活动。 艾利公司还设立了专线，解答客户对此次事件的疑问和担忧。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个由13,000台米克罗提克（MikroTik）设备组成的新发现僵尸网络，利用域名服务器记录中的配置错误，绕过电子邮件保护，通过伪造大约20,000个网络域名传播恶意软件。 该威胁行为者利用了用于列出所有被授权代表一个域名发送电子邮件的服务器的发件人策略框架（SPF）的DNS记录配置不当。 据DNS安全公司英飞凌（Infoblox）称，这起恶意垃圾邮件活动于2024年11月末活跃。部分电子邮件假冒DHL快递公司，发送包含ZIP压缩包的虚假货运发票，而该压缩包内含有恶意有效载荷。 ZIP附件中是一个JavaScript文件，该文件组装并运行一个PowerShell脚本。该脚本与之前与俄罗斯黑客相关的域名上的威胁行为者的命令和控制（C2）服务器建立连接。 “许多垃圾邮件的标题揭示了大量域名和SMTP服务器IP地址，我们意识到，我们发现了一个由大约13,000台被劫持的米克罗提克设备组成的庞大网络，它们都是一个大型僵尸网络的一部分”，英飞凌解释道。 英飞凌解释说，大约20,000个域名的SPF DNS记录被配置为过于宽泛的“+all”选项，这允许任何服务器代表这些域名发送电子邮件。 “这实际上使SPF记录失去了意义，因为它为伪造和未经授权的电子邮件发送打开了大门”，英飞凌指出。 更安全的选择是使用“-all”选项，它将电子邮件发送限制为域名指定的服务器。 僵尸网络操作概述（来源：英飞凌） 入侵方法尚不清楚，但英飞凌表示，他们“看到了各种受影响的版本，包括最近的[米克罗提克]固件版本”。 米克罗提克路由器以其强大性能而闻名，威胁行为者瞄准它们，以创建能够进行非常强大攻击的僵尸网络。 就在去年夏天，云服务提供商OVHcloud指责一个由被攻破的米克罗提克设备组成的僵尸网络发动了一次大规模拒绝服务攻击，峰值达到创纪录的每秒8.4亿个数据包。 尽管敦促米克罗提克设备所有者更新系统，但由于补丁更新速度非常慢，许多路由器在很长一段时间内仍然存在漏洞。 本案中的僵尸网络将这些设备配置为SOCKS4代理，以发动分布式拒绝服务（DDoS）攻击、发送网络钓鱼电子邮件、数据外泄，并普遍帮助掩盖恶意流量的来源。 “尽管僵尸网络由13,000台设备组成，但它们作为SOCKS代理的配置允许数十万甚至数百万台被攻陷的机器使用它们进行网络访问，从而显著放大了僵尸网络操作的潜在规模和影响”，英飞凌评论道。 建议米克罗提克设备所有者为其型号应用最新的固件更新，更改默认管理员帐户凭据，并在不需要时关闭控制面板的远程访问。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： SAP已修复影响NetWeaver Web应用服务器的两个关键漏洞，这些漏洞可能被利用来提升权限并访问受限信息。 作为一月安全补丁日的一部分，该供应商还发布了针对其他产品的更新，以修复12个被评为中高严重性的其他问题。 SAP的安全公告指出：“SAP强烈建议客户访问支持门户，并优先应用补丁，以保护其SAP环境。” 本月SAP解决的最严重的四个安全问题概述如下： CVE-2025-0070（关键严重性，9.9分）：SAP NetWeaver ABAP应用服务器及ABAP平台的认证不当，使得经过认证的攻击者可以利用认证检查不当的漏洞，导致权限提升，并严重影响保密性、完整性和可用性。 CVE-2025-0066（关键严重性，9.9分）：SAP NetWeaver ABAP应用服务器（互联网通信框架）中存在信息泄露漏洞，由于访问控制薄弱，攻击者能够访问受限信息，严重损害保密性、完整性和可用性。 CVE-2025-0063（高严重性，8.8分）：SAP NetWeaver ABAP应用服务器及ABAP平台中存在SQL注入漏洞，原因是某些RFC功能模块缺少授权检查。这使得拥有基本权限的攻击者能够危及Informix数据库，导致保密性、完整性和可用性完全丧失。 CVE-2025-0061（高严重性，8.7分）：SAP BusinessObjects商业智能平台中存在多个漏洞，由于信息泄露问题，未经认证的攻击者可以在网络上执行会话劫持，从而访问并修改所有应用数据。 SAP产品服务于制造业、金融业、零售业、医疗保健和政府等多个行业的大型企业，在管理业务运营和客户关系方面发挥着关键作用。 SAP NetWeaver是运行ABAP应用程序和通过互联网通信框架实现安全通信的核心平台。它通常由管理财务、人力资源和供应链ERP系统的企业IT管理员、开发人员和顾问使用。 SAP BusinessObjects是一个用于报告、分析和数据可视化的平台，由分析师、决策者和IT团队使用，以获取见解并支持战略决策。 过去，黑客曾针对未更新以修复已知漏洞或配置不当的SAP产品，导致网络面临泄露风险。 这家德国供应商强烈建议客户应用最新的可用补丁，以保护其SAP环境。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员近日披露了SimpleHelp远程访问软件中的多个安全漏洞，这些漏洞可能导致信息泄露、权限提升和远程代码执行。 在一份详细阐述发现内容的技术报告中，Horizon3.ai研究员Naveen Sunkavally表示，“这些漏洞极易被逆向分析和利用。” 已确认的漏洞列表如下： CVE-2024-57727：一个未经身份验证的路径遍历漏洞，允许攻击者从SimpleHelp服务器下载任意文件，包括包含SimpleHelpAdmin账户和其他本地技术人员账户哈希密码的serverconfig.xml文件 CVE-2024-57728：一个任意文件上传漏洞，允许拥有SimpleHelpAdmin权限（或作为拥有管理员权限的技术人员）的攻击者在SimpleServer主机的任意位置上传任意文件，可能导致远程代码执行 CVE-2024-57726：一个权限提升漏洞，允许以低权限技术人员身份访问的攻击者利用后端授权检查缺失的问题，将其权限提升至管理员级别 在假设的攻击场景中，恶意行为者可以通过串联CVE-2024-57726和CVE-2024-57728漏洞，成为管理员用户并上传任意有效载荷，从而控制SimpleHelp服务器。 鉴于这三个漏洞的严重性和易于武器化的特点，Horizon3.ai表示将暂不公布其额外的技术细节。在2025年1月6日负责任地披露漏洞后，SimpleHelp已于1月8日和13日发布的5.3.9、5.4.10和5.5.8版本中修复了这些漏洞。 鉴于已知威胁行为者会利用远程访问工具建立对目标环境的持久远程访问，用户迅速应用补丁至关重要。 此外，SimpleHelp还建议用户更改SimpleHelp服务器的管理员密码，轮换技术人员账户的密码，并限制SimpleHelp服务器接受技术人员和管理员登录的IP地址。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 超过220万台暴露的Rsync服务器可能面临六项新漏洞的威胁，其中包括一项允许在服务器上远程执行代码的高危堆缓冲区溢出漏洞。 Rsync是一款开源的文件同步和数据传输工具，以其执行增量传输、减少数据传输时间和带宽使用的能力而备受推崇。 它支持本地文件系统传输、通过SSH等安全协议的远程传输，以及通过其自带的守护进程进行直接文件同步。 Rclone、DeltaCopy、ChronoSync等备份系统、公共文件分发仓库以及云和服务器管理操作都广泛使用了该工具。 这些Rsync漏洞由谷歌云和独立安全研究人员发现，可被组合利用形成强大的攻击链，导致远程系统被攻陷。 Openwall发布的公告指出：“在最严重的CVE（通用漏洞披露）案例中，攻击者仅需对rsync服务器（如公共镜像）拥有匿名读取访问权限，即可在服务器运行的机器上执行任意代码。” 以下是这六项漏洞的概述： 堆缓冲区溢出（CVE-2024-12084）：由于Rsync守护进程对校验和长度的处理不当导致，会在缓冲区中进行越界写入。该漏洞影响3.2.7至3.4.0以下版本，可导致任意代码执行。缓解措施包括使用特定标志编译以禁用SHA256和SHA512摘要支持。（CVSS评分：9.8） 未初始化堆栈导致的信息泄露（CVE-2024-12085）：在比较文件校验和时，会导致未初始化堆栈数据泄露。攻击者可通过操纵校验和长度来利用该漏洞。该漏洞影响3.4.0以下所有版本，可通过使用-ftrivial-auto-var-init=zero标志编译来初始化堆栈内容以缓解。（CVSS评分：7.5） 服务器泄露任意客户端文件（CVE-2024-12086）：恶意服务器可利用操纵的校验和值在文件传输过程中逐字节枚举和重建任意客户端文件。该漏洞影响3.4.0以下所有版本。（CVSS评分：6.1） 通过–inc-recursive选项的路径遍历（CVE-2024-12087）：在使用–inc-recursive选项时，由于符号链接验证不足导致。恶意服务器可以在客户端的指定目录之外写入文件。该漏洞影响3.4.0以下所有版本。（CVSS评分：6.5） 绕过–safe-links选项（CVE-2024-12088）：当Rsync未能正确验证包含其他链接的符号链接目标时发生。这会导致路径遍历和在指定目录之外进行任意文件写入。该漏洞影响3.4.0以下所有版本。（CVSS评分：6.5） 符号链接竞态条件（CVE-2024-12747）：在处理符号链接时出现竞态条件导致的漏洞。利用该漏洞，攻击者可访问敏感文件并提升权限。该漏洞影响3.4.0以下所有版本。（CVSS评分：5.6） CERT协调中心（CERT/CC）发布了关于Rsync漏洞的公告，指出Red Hat、Arch、Gentoo、Ubuntu NixOS、AlmaLinux OS Foundation和Triton数据中心等受到影响。 然而，还有许多可能受影响的项目和供应商尚未回应。 CERT/CC警告称：“前两个漏洞（堆缓冲区溢出和信息泄露）结合利用时，允许客户端在运行Rsync服务器的设备上执行任意代码。客户端仅需对服务器拥有匿名读取访问权限，如公共镜像。此外，攻击者可以控制恶意服务器并读取/写入任何连接客户端的任意文件。敏感数据（如SSH密钥）可被提取，通过覆盖文件（如/.bashrc或/.popt）可执行恶意代码。” RedHat在其关于CVE-2024-12084的公告中指出，没有实际的缓解措施，该漏洞在Rsync的默认配置中即可被利用。 RedHat解释说：“请记住，rsync的默认rsyncd配置允许匿名文件同步，这存在该漏洞的风险。否则，攻击者需要拥有需要身份验证的服务器的有效凭据。” 通过ZoomEye搜索(port=873 || port=8873) && “@RSYNCD”发现，有超过220万个暴露的Rsync服务器IP地址。其中大多数IP地址位于中国，共超80万个暴露，其次是美国、韩国和德国。 ZoomEye显示暴露的Rsync服务器分布图 尽管存在许多暴露的服务器，但尚不清楚它们是否易受新披露的漏洞影响，因为攻击者需要有效凭据或服务器必须配置为允许匿名连接，而我们未进行测试。 消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国司法部（DoJ）周二透露，一项法院授权的行动允许联邦调查局（FBI）作为“数月执法行动”的一部分，从4250多台受感染电脑中删除了PlugX恶意软件。 PlugX（又称Korplug）是一种远程访问木马（RAT），被与中国（PRC）相关的威胁行为者广泛使用，用于信息窃取和远程控制被攻陷的设备。 FBI提交的一份宣誓书指出，已确定的PlugX变种与一个名为Mustang Panda（又称BASIN、Bronze President、Camaro Dragon、Earth Preta、HoneyMyte、RedDelta、Red Lich、Stately Taurus、TA416和Twill Typhoon）的国家支持的黑客组织有关联。 “自2014年以来，Mustang Panda黑客们在一系列针对美国受害者以及欧洲和亚洲政府和企业的活动中，渗透了数千个计算机系统，还攻击了中国异见人士团体，”司法部表示。 该威胁行为者的其他目标还包括中国台湾、中国香港、日本、韩国、蒙古国、印度、缅甸、印度尼西亚、菲律宾、泰国、越南和巴基斯坦。 此次干扰行动是更大规模“消毒”行动的一部分，该行动自2024年7月底开始，旨在清除受感染系统中的PlugX恶意软件。巴黎检察院和网络安全公司Sekoia此前曾分享过此次活动的详细信息。 Sekoia此前详细介绍称，这种特定的PlugX变种会通过连接的USB设备传播到其他系统。该恶意软件一旦安装，就会向攻击者控制的服务器（“45.142.166[.]112”）发出信号，等待进一步指令以从主机收集数据。 2024年4月底，该公司还透露，它仅花费了7美元就瘫痪了与该IP地址相关的服务器，从而得以发出自我删除指令，从受感染的设备中删除恶意软件。 该指令执行了以下步骤： 删除受害电脑上由PlugX恶意软件创建的文件； 删除用于在受害电脑启动时自动运行PlugX应用程序的PlugX注册表项； 创建一个临时脚本文件，以便在停止PlugX应用程序后删除它； 停止PlugX应用程序； 运行临时文件以删除PlugX应用程序、删除PlugX恶意软件在受害电脑上创建的用于存储PlugX文件的目录，以及从受害电脑上删除临时文件。 FBI表示，自我删除指令不会影响美国境内目标设备上的任何合法功能或文件，也不会从它们传输任何其他数据。 上个月，Sekoia表示，作为为10个国家开展PlugX消毒过程而建立的法律框架的一部分，已针对5539个IP地址发出了多达59475个消毒有效载荷。 “这次大规模黑客攻击以及数千台基于Windows的电脑（包括美国许多家庭电脑）长期感染，表明了中国国家支持的黑客肆无忌惮、咄咄逼人，”美国宾夕法尼亚州东区检察官Jacqueline Romero说。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发出警告，一项新的恶意广告活动正针对通过谷歌广告进行宣传的个人和企业，试图通过谷歌上的欺诈广告进行网络钓鱼，窃取他们的登录凭证。 Malwarebytes威胁情报高级总监Jérôme Segura在一份与The Hacker News共享的报告中指出：“该诈骗方案通过冒充谷歌广告，诱骗受害者访问假冒的登录页面，从而窃取尽可能多的广告主账户。” 据推测，该活动的最终目的是利用窃取的凭证继续扩大诈骗活动，同时还在地下论坛上将这些凭证出售给其他犯罪分子。根据Reddit、Bluesky和谷歌官方支持论坛上的帖子，这一威胁自2024年11月中旬以来便已开始活跃。 这一系列活动与利用窃取器恶意软件窃取与Facebook广告和商业账户相关的数据，以劫持这些账户并用于推送进一步传播恶意软件的恶意广告活动的行为极为相似。 新发现的诈骗活动专门针对在谷歌搜索引擎上搜索谷歌广告的用户，向他们展示虚假的谷歌广告，点击后会将用户重定向到托管在Google Sites上的欺诈网站。 这些网站作为着陆页，引导访问者访问外部钓鱼网站，这些网站通过WebSocket捕获他们的登录凭证和二次验证码（2FA），并将其传输到攻击者控制的远程服务器上。 Segura表示：“这些假冒的谷歌广告来自不同地点和行业的个人和企业（包括一家地区机场）。其中一些账户已有数百条其他合法广告在运行。” 该诈骗活动的一个巧妙之处在于，它利用了谷歌广告不要求最终URL（用户点击广告后到达的网页）与展示URL必须相同（只要域名匹配）的规则。 这使得威胁分子可以在sites.google[.]com上托管他们的中间着陆页，同时保持展示URL为ads.google[.]com。此外，他们的作案手法还包括使用指纹技术、反爬虫流量检测、受验证码启发的诱饵、伪装和混淆等技术来隐藏钓鱼基础设施。 Malwarebytes表示，窃取的凭证随后被用于登录受害者的谷歌广告账户，添加新的管理员，并利用他们的预算发布虚假的谷歌广告。 换句话说，威胁分子正在接管谷歌广告账户来推送自己的广告，以便将新受害者添加到不断增长的被黑客攻击的账户池中，这些账户被用于进一步延续诈骗活动。 Segura说：“这些活动背后似乎有几个个人或团体。值得注意的是，他们中的大多数是葡萄牙语使用者，可能位于巴西。钓鱼基础设施依赖于使用.pt顶级域名（TLD）的中间域名，这表明与葡萄牙有关。” “这种恶意广告活动并不违反谷歌的广告规则。威胁分子被允许在广告中显示欺诈性URL，使其与合法网站难以区分。谷歌尚未表明它采取了决定性措施来冻结这些账户，直到其安全性得到恢复。” 这一披露之际，Trend Micro透露，攻击者正在利用YouTube和SoundCloud等平台分发指向假冒安装程序的链接，这些安装程序针对的是流行软件的盗版版本，最终会导致部署各种恶意软件家族，如Amadey、Lumma Stealer、Mars Stealer、Penguish、PrivateLoader和Vidar Stealer。 该公司表示：“威胁分子经常使用Mediafire和Mega.nz等可信赖的文件托管服务来隐藏恶意软件的来源，并使检测和清除变得更加困难。许多恶意下载都受到密码保护并进行了编码，这在沙箱等安全环境中增加了分析的复杂性，并使恶意软件能够逃避早期检测。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 与朝鲜关联的Lazarus Group被指为针对寻找Web3和加密货币领域自由职业的软件开发者发起新一轮网络攻击行动——“Operation 99”，旨在传播恶意软件。 SecurityScorecard公司威胁研究与情报高级副总裁Ryan Sherstobitoff在今日发布的一份新报告中指出：“该行动始于假扮成招聘人员在领英等平台发布信息，以项目测试和代码审查为诱饵吸引开发者。” “一旦受害者上钩，他们就会被引导克隆一个看似无害实则暗藏危机的恶意GitLab仓库。克隆的代码会连接到命令与控制（C2）服务器，从而将恶意软件植入受害者环境。” 该行动受害者遍布全球，其中意大利受害者最为集中。阿根廷、巴西、埃及、法国、德国、印度、印度尼西亚、墨西哥、巴基斯坦、菲律宾、英国和美国等地也有少量受害者。 该网络安全公司表示，其于2025年1月9日发现的这一行动建立在Lazarus Group此前攻击中使用的以工作为主题的战术基础上，如“Operation Dream Job”（又称NukeSped），此次行动特别针对Web3和加密货币领域的开发者。 “Operation 99”的独特之处在于，它通过一个精心设计的招聘计划诱骗开发者参与编码项目，该计划涉及制作虚假的领英账号，然后将开发者引导至恶意GitLab仓库。 攻击的最终目的是部署数据窃取植入程序，从开发环境中提取源代码、密钥、加密货币钱包密钥和其他敏感数据。 这些程序包括Main5346及其变体Main99，它们作为另外三个有效载荷的下载器—— Payload99/73（及其功能相似的Payload5346），用于收集系统数据（如文件和剪贴板内容）、终止网页浏览器进程、执行任意操作并建立与C2服务器的持久连接； Brow99/73，用于从网页浏览器中窃取数据，以促进凭据盗窃； MCLIP，用于实时监控和窃取键盘和剪贴板活动。 该公司表示：“通过攻击开发者账户，攻击者不仅窃取知识产权，还能访问加密货币钱包，从而实现直接财务盗窃。针对私钥和密钥的定向盗窃可能导致数百万数字资产被盗，进而推动Lazarus Group的财务目标。” 该恶意软件架构采用模块化设计，灵活且适用于Windows、macOS和Linux操作系统。这也凸显了国家网络威胁不断演变和适应的本质。 “对于朝鲜而言，黑客攻击是创造收入的生命线，”Sherstobitoff表示，“Lazarus Group持续将窃取的加密货币用于支持该政权的野心，积累了惊人的资金。随着Web3和加密货币行业的蓬勃发展，‘Operation 99’行动聚焦于这些高增长领域。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯政府和企业采购的主要电子交易平台Roseltorg周一证实，该平台在最初声称中断因“维护工作”所致后，实则遭受了网络攻击。 Roseltorg是俄罗斯政府选定的开展公共采购（包括国防和建筑行业的合同）的最大电子交易运营商之一。该平台还提供电子文档管理和采购规划工具。 上周四，Roseltorg首次确认其服务已暂时暂停，但未提供进一步细节。在最近的一份Telegram声明中，Roseltorg透露，其遭受了“旨在破坏数据和整个电子交易基础设施的外部攻击”。 Roseltorg表示，此次攻击所影响的所有数据和基础设施已完全恢复，交易系统预计很快将恢复运营。然而，截至本文撰写时，该公司网站仍处于离线状态。 上周，此前鲜为人知的亲乌黑客组织Yellow Drift声称对Roseltorg的攻击负责，称他们删除了包括电子邮件和备份在内的550TB数据。作为证明，黑客们在他们的Telegram频道上发布了据称来自平台受损基础设施的截图。 “如果你支持暴政并资助战争，那就准备好回到石器时代吧，”黑客们说道。 Roseltorg遭受的网络攻击已经影响到依赖该平台运营的客户，包括政府机构、国有企业和供应商。在公司发布公告后，许多客户在评论区表达了担忧，抱怨可能遭受的财务损失和采购过程的延误。 Roseltorg在一份声明中表示，一旦交易系统恢复访问，包括合同签订在内的所有程序截止日期将自动延长，无需用户提出任何请求。 据当地媒体报道，Roseltorg服务于一些俄罗斯最大的企业，包括石油公司卢克石油、数字服务提供商俄罗斯电信和钻石开采公司阿尔罗萨，以及国防部等政府机构和网络监管机构Roskomnadzor。 Roseltorg是本月遭受亲乌黑客攻击的多家俄罗斯公司之一。上周，一个与未知势力有关联的黑客组织声称攻破了俄罗斯负责管理财产和土地记录的政府机构Rosreestr。 另一个名为乌克兰网络联盟的黑客组织也声称对俄罗斯互联网提供商Nodex的攻击负责，称其一夜之间摧毁了该公司的基础设施。Nodex证实了此次攻击。 周一，一个名为网络无政府主义小队的乌克兰黑客组织宣布，他们攻击了俄罗斯科技公司Infobis，该公司开发农业工作计划、监测和会计系统。黑客们声称已窃取了3TB的信息并破坏了该公司部分基础设施。Infobis未对所谓的攻击发表评论。   消息来源：The Record, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文