HackerNews 编译，转载请注明出处： 软件制造商Adobe于周二针对多款产品中的十多个安全缺陷推出了修复措施，并警告称，恶意黑客可以利用这些漏洞发动远程代码执行攻击。 该公司表示，这些漏洞影响了Adobe Photoshop、Substance 3D Stager、iPad版Illustrator、Adobe Animate以及Adobe Substance 3D Designer。 根据Adobe的文档，Photoshop的更新适用于Windows和macOS系统，鉴于通过陷阱文件利用代码执行的风险，用户应尽快安装此更新。 具体细节如下： Adobe Photoshop——此次更新修复了两个关键严重级别的任意代码执行漏洞（CVE-2025-21127和CVE-2025-21122）。 Adobe Substance 3D Stager——此公告记录了五个关键严重级别的内存安全漏洞，这些漏洞可能导致在当前用户上下文中执行任意代码。这些漏洞的CVSS严重级别评分为7.8/10，影响Windows和macOS用户。 iPad版Illustrator——此次更新涵盖了两个独立的内存安全问题，这些问题使Apple iPad用户面临代码执行攻击的风险。两个漏洞均被评为关键级别，CVSS严重级别评分为7.8/10。 Adobe Animate——此次更新修复了一个可能导致任意代码执行漏洞的整数下溢问题。该更新适用于Windows和macOS用户。 Adobe Substance 3D Designer——此次更新包含针对影响所有平台的四个关键内存安全漏洞的补丁。成功利用这些漏洞可能导致在当前用户上下文中执行任意代码。   消息来源：Security Week, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络威胁行为者正利用FastHTTP Go库，针对全球Microsoft 365账户发起高速暴力破解密码攻击。 近日，事件响应公司SpearTip发现了此次攻击活动，据称攻击始于2024年1月6日，目标直指Azure Active Directory Graph API。 研究人员警告称，这些暴力破解攻击有10%的时间能够成功接管账户。 滥用FastHTTP进行账户接管 FastHTTP是Go编程语言的高性能HTTP服务器和客户端库，专为处理HTTP请求而优化，即使在大量并发连接的情况下也能实现更高的吞吐量、更低的延迟和更高的效率。 在此次攻击活动中，黑客利用FastHTTP创建HTTP请求，自动化尝试未经授权的登录。 SpearTip指出，所有请求均针对Azure Active Directory的终端点，旨在暴力破解密码或反复发送多因素认证（MFA）挑战，以在MFA疲劳攻击中压垮目标。 SpearTip报告称，65%的恶意流量来自巴西，利用广泛的自治系统号（ASN）提供商和IP地址，其次是土耳其、阿根廷、乌兹别克斯坦、巴基斯坦和伊拉克。 研究人员表示，41.5%的攻击失败，21%因保护机制而触发账户锁定，17.7%因违反访问策略（地理位置或设备合规性）而被拒绝，10%受到MFA保护。 这意味着，有9.7%的情况下，威胁行为者成功认证到目标账户，这是一个相当高的成功率。 Microsoft 365账户接管可能导致机密数据泄露、知识产权被盗、服务中断等负面后果。 SpearTip已分享一个PowerShell脚本，管理员可利用该脚本在审核日志中检查是否存在FastHTTP用户代理，从而判断自己是否成为此次攻击的目标。 管理员还可以手动登录Azure门户，导航至“Microsoft Entra ID”→“用户”→“登录日志”，并应用“客户端应用：‘其他客户端’”筛选器来检查用户代理。 如果发现任何恶意活动迹象，建议管理员立即终止用户会话并重置所有账户凭据，审查已注册的MFA设备，并删除未经授权的添加项。 SpearTip报告的底部部分提供了与该攻击活动相关的妥协指标的完整列表。

HackerNews 编译，转载请注明出处： 2025年1月14日下午3时01分，由美国、韩国和日本共同发布的声明指出，朝鲜国家支持的黑客组织通过多次加密货币抢劫案，窃取了价值超过6.59亿美元的加密货币。 该声明同时警告称，与朝鲜民主主义人民共和国相关的威胁组织仍在积极针对区块链技术行业的公司进行攻击。 “最近至2024年9月，美国政府观察到朝鲜对加密货币行业进行了激烈攻击，采用伪装良好的社会工程学手段部署恶意软件，如TraderTraitor、AppleJeus等。韩国和日本也观察到了朝鲜使用类似趋势和战术的情况。”联合声明警告道。 “朝鲜的网络计划威胁到我们三国以及更广泛的国际社会，特别是对国际金融体系的完整性和稳定性构成重大威胁。” 声明还正式确认，朝鲜攻击者是2024年7月印度最大比特币交易所WazirX遭入侵事件的幕后黑手，该事件导致2.35亿美元损失。 此外，朝鲜还与去年披露的多起其他加密货币抢劫案有关，包括DMM Bitcoin（3.08亿美元）、Upbit（5000万美元）、Rain Management（1613万美元）和Radiant Capital（5000万美元）。 然而，区块链分析公司Chainalysis在12月的一份报告中描绘了更严峻的情况，称朝鲜黑客去年在47起网络攻击中窃取了价值13.4亿美元的加密货币，打破了2022年11亿美元的纪录。 “2023年，与朝鲜相关的黑客在20起事件中窃取了约6.605亿美元；2024年，这一数字增至47起事件中窃取13.4亿美元，被盗价值增长了102.88%。”Chainalysis表示。 近年来，特别是2024年全年，美国、韩国和日本政府机构还发布了关于朝鲜诱骗私营公司雇佣其作为远程IT工作者的警报。 这些朝鲜IT工作者自称“IT战士”，通过位于美国的笔记本电脑农场连接到企业网络，冒充美国IT员工，这是FBI多年来一直警告的情况。 美国政府反复警告称，朝鲜拥有一支庞大的IT工作者队伍，他们经过培训，能够隐藏真实身份，在美国和世界各地数百家公司找到工作。 例如，网络安全公司KnowBe4最近雇佣了一名朝鲜恶意行为者担任首席软件工程师，该人员在通过背景调查、验证推荐信和四次视频面试后入职，这些过程均借助了被盗身份和AI工具。然而，一旦入职，这位“IT战士”便立即试图在公司提供的设备上安装信息窃取恶意软件。 在被发现并被解雇后，一些朝鲜IT工作者还利用内部知识和编程技能，以泄露被盗敏感信息的威胁向前雇主勒索。 目前，美国国务院提供高达500万美元的悬赏，以获取有助于破坏朝鲜前线公司延边银河和Volasys银河（及其员工）活动的信息。在过去六年中，这些公司通过非法远程IT工作计划获得了超过8800万美元的收入。 “美国、日本和韩国建议私营部门实体，特别是区块链和自由职业工作行业的实体，仔细阅读这些咨询和公告，以便更好地了解缓解网络威胁的措施，并降低无意中雇佣朝鲜IT工作者的风险。”美国、韩国和日本在今天的联合声明中补充道。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场新的恶意软件攻击活动已使超过5000个WordPress网站沦陷，攻击者在这些网站上创建了管理员账户、安装了恶意插件并窃取数据。 网络安全公司c/side的研究人员在对一家客户的事件响应中发现，恶意活动利用wp3[.]xyz域名进行数据外泄，但尚未确定最初的感染途径。 在攻击目标沦陷后，从wp3[.]xyz域名加载的恶意脚本会创建一个名为wpx_admin的非法管理员账户，其凭据直接写在代码中。 创建非法管理员账户（图片来源：c/side） 随后，脚本会从同一域名下载恶意插件（plugin.php），并在沦陷网站上激活它。 据c/side称，该插件旨在收集敏感数据，如管理员凭据和日志，并以一种混淆方式将其发送到攻击者服务器，伪装成图片请求。 攻击还包括多个验证步骤，如在创建非法管理员账户后记录操作状态，并验证恶意插件的安装情况。 阻止攻击 c/side建议网站管理员使用防火墙和安全工具屏蔽“wp3[.]xyz”域名。 此外，管理员应审查其他特权账户和已安装插件的列表，识别未经授权的活动，并尽快删除。 最后，建议通过生成唯一令牌、服务器端验证和定期重新生成来加强WordPress网站的CSRF防护。令牌应具有较短的过期时间，以限制其有效期。 同时，为已泄露凭据的账户实施多因素身份验证，也可增强账户安全性。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁追踪者关注到一场新行动，目标直指Fortinet FortiGate防火墙设备，其管理接口暴露在公共互联网上。 “该行动涉及在防火墙管理接口上进行未授权的管理员登录、创建新账户、通过这些账户进行SSL VPN认证，以及进行各种其他配置更改。”网络安全公司Arctic Wolf在上周发布的分析中表示。 据信，恶意活动始于2024年11月中旬，未知威胁行为者通过未授权访问受影响防火墙的管理接口来更改配置，并使用DCSync提取凭证。 目前尚不清楚确切的初始访问向量，但鉴于受影响组织和固件版本的“压缩时间线”，已“高度确信”这很可能是利用零日漏洞所致。 受影响设备的固件版本介于2024年2月和10月发布的7.0.14和7.0.16之间。 该行动已观察到从2024年11月16日左右开始的四个不同攻击阶段，允许攻击者从漏洞扫描和侦察进展到配置更改和横向移动。 “与合法防火墙活动相比，这些活动的突出之处在于，它们广泛使用了来自少数不寻常IP地址的jsconsole接口。”Arctic Wolf研究人员表示。 “鉴于入侵之间的手法和基础设施存在细微差异，可能有多个人或团体参与了此次行动，但jsconsole的使用是贯穿始终的共同线索。” 简而言之，这些数字入侵涉及攻击者登录防火墙管理接口以进行配置更改，包括将输出设置从“标准”更改为“更多”，作为早期侦察工作的一部分，然后在2024年12月初进行更广泛的更改，创建新的超级管理员账户。 据说这些新创建的超级管理员账户随后被用来为每台设备设置多达六个新的本地用户账户，并将它们添加到受害者组织先前为SSL VPN访问创建的现有组中。在其他事件中，现有账户被劫持并添加到具有VPN访问权限的组中。 “还观察到威胁行为者创建新的SSL VPN门户，并直接向其中添加用户账户。”Arctic Wolf指出。“在进行必要更改后，威胁行为者与受影响设备建立了SSL VPN隧道。所有隧道的客户端IP地址均来自少数几家VPS托管提供商。” 该行动以对手利用SSL VPN访问权限，通过称为DCSync的技术提取凭证以进行横向移动告终。不过，目前尚无法了解他们的最终目标，因为他们在攻击进入下一阶段之前就被清除了。 为缓解此类风险，至关重要的是，组织不要将防火墙管理接口暴露在互联网上，并限制对可信用户的访问。 网络安全 “此次行动中的受害者并不局限于任何特定行业或组织规模。”该公司表示。“受害者组织概况的多样性，加上自动化登录/注销事件的出现，表明此次行动的针对性是机会主义的，而非有意识、有方法地针对。” Fortinet确认新零日漏洞 Fortinet已发布有关FortiOS和FortiProxy中新的关键认证绕过漏洞的详细信息（CVE-2024-55591，CVSS评分：9.6），该公司表示该漏洞被用来劫持防火墙和入侵企业网络。 “一个认证绕过使用替代路径或通道的漏洞[CWE-288]，影响FortiOS和FortiProxy，可能允许远程攻击者通过向Node.js websocket模块发送精心构造的请求来获得超级管理员权限。”该公司在2025年1月14日发布的咨询中表示。 该缺陷影响以下版本： FortiOS 7.0.0至7.0.16（升级至7.0.17或更高版本） FortiProxy 7.0.0至7.0.19（升级至7.0.20或更高版本），以及 FortiProxy 7.2.0至7.2.12（升级至7.2.13或更高版本） 它还表示，该漏洞已被未知威胁行为者利用来创建管理员和本地用户账户、设置新的用户组或把新创建的本地用户添加到现有SSL VPN用户组，并更改防火墙策略，这与Arctic Wolf的发现相呼应。 消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据区块链分析公司Elliptic发布的数据，基于Telegram的在线市场HuiOne Guarantee（汇旺担保）及其供应商已累计收到至少240亿美元的加密货币，超越了已消亡的Hydra，成为有史以来最大的在线非法市场。 自2024年7月以来，该市场的月度流入量增长了51%。 HuiOne Group旗下的HuiOne Guarantee去年年中备受瞩目，因其被曝为网络诈骗分子的中心，宣传洗钱服务、出售被盗数据，甚至提供电击镣铐，用于对付以高薪工作为诱饵被骗入诈骗窝点从事恋爱诈骗的人。此事导致加密货币公司Tether冻结了与该市场相关的2962万美元稳定币。 HuiOne Guarantee成立于2021年，表面上是为了促进汽车和房地产的销售，但据说与柬埔寨执政的洪氏家族有着密切联系。据联合国毒品和犯罪问题办公室（UNODC）发布的一份报告，该平台拥有82万多用户。 Elliptic在与The Hacker News分享的一份新报告中表示：“该市场似乎是助长跨国有组织犯罪团伙对全球受害者实施诈骗的关键推手。” 自HuiOne Group的子公司HuiOne Guarantee和HuiOne Pay被公开曝光后，中文市场已与其母公司保持距离，并更名为Haowang Guarantee。 值得注意的是，2023年6月至2024年2月期间，HuiOne Pay被确认从朝鲜黑客组织Lazarus使用的匿名钱包中收到了超过15万美元的加密货币。该钱包曾被用于存放2023年6月和7月从三家加密货币公司窃取的数字资产。 此前声称对平台上宣传的商品和服务不承担任何责任的HuiOne Guarantee也已介入，阻止包括人口贩卖、枪支和恐怖主义相关交易在内的某些类型商业活动。 然而，Elliptic的分析显示，该市场仍在持续增长，现金流入量已超过240亿美元。仅在2024年第四季度，HuiOne Guarantee及其供应商使用的钱包收到的加密货币价值就超过了40亿美元。相比之下，Hydra市场在其长达六年的运营期间总共收到的加密货币约为52亿美元。 Elliptic表示：“此外，近60亿美元的加密货币通过HuiOne Guarantee上主要用于网络赌博的Telegram机器人流通。对通过该平台下注的初步分析表明，其中大部分可能构成洗钱行为。” Elliptic的调查还发现，HuiOne Pay是众多提供恋爱诈骗洗钱服务的供应商之一。该公司识别的另一家供应商声称在柬埔寨柴桢省的金福科技园区运营，该园区是一个与网络诈骗相关的诈骗窝点。 近几个月来，HuiOne Group还推出了一系列加密相关产品，包括一种名为USDH的与美元挂钩的稳定币、一个允许用户将USDH兑换为其他加密货币的去中心化加密货币交易所，以及一款名为ChatMe的适用于Android和iOS的通讯应用。 Elliptic联合创始人兼首席科学家Tom Robinson在一份声明中表示：“这似乎是HuiOne试图降低被Tether或Telegram等平台下架风险的一种尝试。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 最新研究发现，谷歌“使用谷歌账号登录”认证流程中存在一个“缺陷”，攻击者可利用域名所有权的特殊之处获取敏感数据。 周一的报告中，Truffle Security联合创始人兼首席执行官Dylan Ayrey表示：“谷歌的OAuth登录机制无法防止攻击者购买已倒闭创业公司的域名，并利用其重新创建前员工的电子邮件账户。” “虽然无法访问旧电子邮件数据，但可以使用这些账户登录该组织使用的所有不同SaaS产品。” 这家总部位于旧金山的公司指出，仅仅通过购买与已倒闭创业公司相关的废弃域名，即可未经授权访问与OpenAI ChatGPT、Slack、Notion、Zoom甚至HR系统等各种应用程序相关的前员工账户，从而使数百万美国用户的数据面临风险。 Ayrey说：“最敏感的账户包括HR系统，其中含有税务文件、工资单、保险信息、社会保险号码等更多信息。面试平台也包含有关候选人反馈、录用和拒绝的敏感信息。” OAuth（开放授权）是一种用于访问委托的开放标准，允许用户授予网站或应用程序访问其在其他网站上信息的权限，而无需提供密码。这是通过使用访问令牌来验证用户身份并允许服务访问令牌所指定的资源来实现的。 当使用“使用谷歌账号登录”登录Slack等应用程序时，谷歌会向该服务发送一组关于用户的声明，包括其电子邮件地址和托管域名，然后可利用这些信息登录用户账户。 这也意味着，如果服务仅依赖这些信息对用户进行身份验证，那么域名所有权变更就可能让攻击者重新访问前员工账户。 Truffle还指出，谷歌的OAuth ID令牌包含一个唯一的用户标识符（sub声明），理论上可以防止这个问题，但已被发现不可靠。值得注意的是，微软的Entra ID令牌包含sub或oid声明，用于存储每个用户的不可变值。 谷歌最初对漏洞披露的回应称这是预期行为，但自2024年12月19日起重新打开了漏洞报告，并向Ayrey颁发了1337美元的奖金。谷歌还将此问题定性为“具有重大影响的滥用相关方法”。 与此同时，下游软件提供商无法采取任何措施来保护其免受谷歌OAuth实现中的漏洞影响。The Hacker News已联系谷歌以获取进一步评论，如有回复，我们将更新报道。 Ayrey说：“作为个人，一旦你从创业公司离职，你就失去了保护这些账户中数据的能力，你的数据将受到创业公司及域名未来命运的摆布。如果用户和工作区没有不可变标识符，域名所有权变更将继续危及账户安全。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Microsoft曝光了一个已修复的Apple macOS安全漏洞。该漏洞若被成功利用，可使以“root”身份运行的攻击者绕过操作系统的系统完整性保护（SIP），并通过加载第三方内核扩展来安装恶意内核驱动程序。 该漏洞为CVE-2024-44243（CVSS评分：5.5），属于中等严重程度，苹果已在上月发布的macOS Sequoia 15.2中进行了修复。苹果公司将此描述为一个“配置问题”，可能允许恶意应用修改文件系统的受保护部分。 Microsoft威胁情报团队的Jonathan Bar Or表示：“绕过SIP可能导致严重后果，例如增加攻击者和恶意软件作者成功安装rootkit、创建持久性恶意软件、绕过透明度、同意和控制（TCC）以及扩大攻击面和利用其他技术的可能性。” SIP（也称为无根模式）是一个安全框架，旨在防止安装在Mac上的恶意软件篡改操作系统的受保护部分，包括/System、/usr、/bin、/sbin、/var以及设备上预安装的应用程序。 它通过针对root用户账户执行各种保护来实现其功能，仅允许由苹果签名并具有写入系统文件的特殊权限的进程（如苹果软件更新和苹果安装程序）修改这些受保护的部分。 SIP特有的两项权限如下： com.apple.rootless.install：此权限可解除SIP对具有该权限的进程的文件系统限制。 com.apple.rootless.install.heritable：此权限通过继承com.apple.rootless.install权限，可解除SIP对进程及其所有子进程的文件系统限制。 CVE-2024-44243是Microsoft在macOS中发现的最新SIP绕过漏洞，此前发现的类似漏洞包括CVE-2021-30892（Shrootless）和CVE-2023-32369（Migraine）。该漏洞利用存储套件守护进程（storagekitd）的“com.apple.rootless.install.heritable”权限来绕过SIP保护。 具体而言，这是通过利用“storagekitd在无需适当验证或降低权限的情况下调用任意进程的能力”来实现的，可将新的文件系统包传递到/Library/Filesystems（storagekitd的子进程），并覆盖与磁盘工具相关的二进制文件，这些二进制文件可在执行某些操作（如磁盘修复）时被触发。 Bar Or表示：“由于能够以root身份运行的攻击者可以将新的文件系统包放入/Library/Filesystems，他们随后可以触发storagekitd生成自定义二进制文件，从而绕过SIP。在新创建的文件系统上触发擦除操作也可以绕过SIP保护。” 此次披露距Microsoft曝光Apple macOS透明度、同意和控制（TCC）框架中的另一个安全漏洞（CVE-2024-44133，CVSS评分：5.5），即HM Surf漏洞，已近三个月，该漏洞可能被利用来访问敏感数据。 Bar Or表示：“禁止第三方代码在内核中运行可以提高macOS的可靠性，但代价是降低了安全解决方案的监控能力。如果SIP被绕过，整个操作系统将不再可靠，且由于监控可见性降低，威胁行为者可以篡改设备上的任何安全解决方案以逃避检测。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 非营利性献血机构OneBlood证实，去年夏天的一次勒索软件攻击中，捐赠者的个人信息被盗。 OneBlood于2024年7月31日首次向公众通报此次攻击，指出勒索软件攻击者对其虚拟机进行了加密，迫使这家医疗机构回退到使用手动流程。 OneBlood为美国250多家医院提供血液，此次攻击导致血液采集、检测和分发工作延误，一些诊所启动了“严重血液短缺”预案。 当时，这家非营利机构紧急呼吁民众捐赠O型阳性、O型阴性和血小板，这些血型普遍适用，可用于紧急输血。 上周，OneBlood开始向受影响的个人发送数据泄露通知，告知他们针对此事件的调查已于2024年12月12日完成，并确定泄露的确切日期为2024年7月14日。 威胁者在OneBlood发现泄露后的一天，即7月29日之前，一直可以访问其网络。 “我们的调查显示，2024年7月14日至7月29日期间，我们的网络中某些文件和文件夹被未经授权地复制。”OneBlood的数据泄露通知中写道。 “调查确定，您的姓名和社保号码包含在相关文件和文件夹中。”同一份文件指出。 虽然采血中心通常会收集更多信息，如电话号码、电子邮件和实体地址、人口统计数据和病史，但此次泄露的数据仅限于姓名和社保号码。 姓名和社保号码可能会被用于身份盗窃和金融欺诈，由于这些信息不易更改，相关风险将持续多年。 为减轻这一风险，OneBlood在信中附上了免费一年期信用监测服务的激活码，通知收件人需在2025年4月9日前使用。 此外，受影响个人应考虑对其账户进行信用冻结和欺诈警报设置，以防止遭受经济损失。 虽然OneBlood确实遵守了其最初承诺，即告知受影响个人可能存在的数据泄露风险，但六个月的延迟通知仍使这些人处于风险之中。 OneBlood在勒索软件攻击中受影响的人数尚未披露。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁行为者正在分发伪装成针对近期Windows LDAP漏洞的概念验证（PoC）利用代码的信息窃取恶意软件。 该安全缺陷被追踪为CVE-2024-49113（CVSS评分7.5），可导致拒绝服务（DoS）攻击，并于12月10日与其他70多个漏洞（包括可能导致远程代码执行（RCE）的关键LDAP漏洞CVE-2024-49112）一同得到修复。 在针对这两个问题的补丁发布不到一个月后，SafeBreach发布了针对CVE-2024-49113的PoC代码，并称其重要性不亚于RCE漏洞。 SafeBreach将CVE-2024-49113称为“LDAP噩梦”，指出如果存在可访问互联网的DNS服务器，该漏洞可被利用来崩溃任何未打补丁的Windows服务器，即使这些服务器不是域控制器。 现在，趋势科技警告称，一款伪造的PoC利用代码诱使安全研究人员在其系统上执行信息窃取恶意软件。 “尽管使用PoC诱饵作为恶意软件传播手段的策略并非新鲜事，但此次攻击仍引发重大担忧，尤其是它利用了可能影响更多受害者的热门问题，”趋势科技指出。 该PoC通过从原始仓库分叉的仓库进行分发，并将原始Python文件替换为使用UPX打包的可执行文件。 执行后，伪造的PoC会在系统的临时文件夹中释放一个PowerShell脚本。该脚本创建一个计划任务，执行一个编码后的脚本，该脚本旨在从Pastebin下载另一个脚本。 第二个脚本收集系统信息，如进程列表、目录列表、IP地址、网络适配器信息和已安装更新，将其压缩成ZIP归档文件，并上传到外部FTP服务器。   消息来源：Security Week, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文