HackerNews 编译，转载请注明出处： 安全研究人员在 OpenClaw（曾用名 Clawdbot 和 Moltbot）中发现一个高危安全漏洞，攻击者可通过特制恶意链接实现远程代码执行（RCE）。 该漏洞编号为 CVE-2026-25253（CVSS 评分：8.8），已于 2026 年 1 月 30 日发布的 2026.1.29 版本中修复。该漏洞被定义为令牌窃取漏洞，可导致网关被完全攻陷。 OpenClaw 创建者兼维护者 Peter Steinberger 在安全公告中表示：“控制界面会信任查询字符串中的 gatewayUrl 参数且不做验证，加载时自动建立连接，并在 WebSocket 连接载荷中发送存储的网关令牌。” “点击特制恶意链接或访问恶意网站，会将该令牌发送至攻击者控制的服务器。攻击者随后可连接受害者本地网关，修改配置（沙箱、工具策略），调用特权操作，最终实现一键远程代码执行。” OpenClaw 是一款开源自主人工智能个人助手，可在用户设备本地运行，且能与多款即时通讯平台集成。该工具虽于 2025 年 11 月首次发布，但近几周热度快速攀升，截至本文撰写时，其 GitHub 代码仓库星标数已突破 14.9 万。 Steinberger 介绍称：“OpenClaw 是一款开源智能体平台，可部署在你的设备上，且能通过你日常使用的聊天应用运行。与数据存储在他人服务器的软件即服务（SaaS）类助手不同，OpenClaw 可部署在你指定的设备上 —— 笔记本电脑、家庭实验室服务器或虚拟专用服务器，你的基础设施、你的密钥、你的数据，全程由你掌控。” 此漏洞的发现者、depthfirst 创始安全研究员 Mav Levin 指出，攻击者可借此构造一键 RCE 利用链，受害者仅需访问一次恶意网页，攻击过程即可在数毫秒内完成。 核心问题在于，OpenClaw 服务器未验证 WebSocket 来源请求头，点击恶意网页链接即可触发跨站 WebSocket 劫持攻击。这导致服务器会接受任意网站的请求，直接绕过本地环路网络限制。 恶意网页可利用该漏洞，在受害者浏览器中执行客户端 JavaScript 脚本，获取身份验证令牌、与服务器建立 WebSocket 连接，再通过窃取的令牌绕过身份验证，登录受害者的 OpenClaw 实例。 更严重的是，攻击者可利用令牌拥有的 operator.admin 和 operator.approvals 特权权限，通过 API 将 “exec.approvals.set” 设为 “off” 关闭用户确认机制，同时将 “tools.exec.host” 设为 “gateway”，突破运行 shell 工具的容器隔离。 Levin 解释道：“这会强制智能体直接在宿主设备上执行命令，而非在 Docker 容器内运行。最终，攻击者通过 JavaScript 执行 node.invoke 请求，实现任意命令执行。” 当被问及 OpenClaw 通过 API 管理安全功能是否存在架构缺陷时，Levin 在邮件中表示：“这些防护机制（沙箱、安全防护壁垒）的设计初衷，是抵御大语言模型因提示注入等问题产生的恶意行为。用户可能以为这些机制能保护其免受此漏洞影响（或限制危害范围），但实际并非如此。” Steinberger 在安全公告中指出：“即便 OpenClaw 实例配置为仅监听本地环路，该漏洞仍可被利用，因为出站连接由受害者的浏览器发起。” “任何用户已通过控制界面完成认证的 Moltbot 部署均会受到影响。攻击者将获得网关 API 的操作员级访问权限，从而能够任意修改配置并在网关主机上执行代码。即使网关绑定于环回地址，攻击依然有效，因为受害者的浏览器充当了中间桥梁。” 消息来源: thehackernews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个此前未知、名为Punishing Owl的黑客组织近期浮出水面，正对俄罗斯政府安全机构发起技术复杂的网络攻击。 该组织于 2025 年 12 月 12 日首次公开活动，当日宣布已成功入侵俄罗斯某政府安全机构的网络。 攻击者将窃取的内部文件发布至数据泄露平台，并在 Mega.nz 存储仓库中备份相关文件，以此实现网络入侵事件曝光度最大化的目的。 该组织采用多种攻击手段，扩大此次行动的影响力。在取得受害者 DNS 配置的控制权后，Punishing Owl 创建了一个子域名并修改了 DNS 记录，将相关流量劫持至一台位于巴西的服务器。 该服务器不仅托管了窃取的文件，还附带了一份阐述其攻击动机的政治声明。 攻击者特意选择周五晚 6 点 37 分宣布入侵事件，该时间点经精心测算，可拖延受害者响应进度，同时让自身攻击行动获得最大曝光度。 在完成初步入侵后，该组织进一步对受害机构的合作伙伴与承包商发起了商业电子邮件欺诈（BEC）攻击。 据 Habr 分析师调查发现，Punishing Owl 利用位于巴西的服务器，并使用在受害者邮件域名下伪造的发件地址发送了钓鱼邮件。 这些钓鱼邮件谎称是对网络入侵事件的核实通知，并附带紧急要求，催促收件人查看附件文档。 尽管是新近出现的组织，但其攻击基础设施展现出相当的技术水准。Punishing Owl 配置了伪造的 TLS 证书，搭建了用于邮件收发的 IMAP 和 SMTP 服务，并部署了名为 ZipWhisper 的 PowerShell 窃密木马，用以从受感染系统中盗取浏览器凭证。 恶意邮件中包含带密码保护的 ZIP 压缩包，包内藏有伪装的 LNK 快捷方式文件，该文件会执行 PowerShell 命令，从 bloggoversikten [.] com 域名下的命令与控制服务器下载窃取器。 感染机制与凭证窃取过程 ZipWhisper 窃取器通过多阶段感染流程运作，核心目标是从受入侵主机中提取敏感浏览器数据。 当受害者打开伪装的 LNK 文件时，它会静默执行 PowerShell 命令，从攻击者架设的服务器下载窃密木马的有效载荷。 随后该恶意软件会收集存储浏览器凭证、Cookie 及保存密码的相关文件，将其打包为 ZIP 压缩包，压缩包命名遵循特定规则，包含受害者用户名及文件分块编号。 这些压缩包会先临时存储在系统 AppData/Local/Temp 目录下，再通过自定义端点结构上传至命令与控制服务器。 对窃取器代码的分析显示，代码注释表明其部分恶意脚本可能由 AI 工具生成，这意味着该组织或在借助现代开发技术，加速针对俄罗斯关键基础设施目标的攻击行动推进。     消息来源:cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一款名为 DynoWiper 的高危新型数据擦除恶意软件已出现，正对波兰能源企业发起破坏性攻击，核心目的是永久清除关键数据。 该恶意软件于 2025 年 12 月首次被发现，当时安全研究人员监测到其在一家波兰能源企业内部部署。 与常见的以勒索钱财为目的、对文件进行加密的勒索软件不同，DynoWiper 的运作目标纯粹是破坏性的：它旨在覆盖并摧毁受感染网络中的所有数据，导致系统完全瘫痪无法启动。 此次攻击标志着针对关键基础设施的网络威胁正出现令人担忧的升级态势。 DynoWiper 存在多个变种部署形式，包括 schtask.exe、schtask2.exe 及一个更新程序文件，所有变种均于 2025 年 12 月 29 日被投放。 攻击者在首次执行失败后，多次尝试运行该恶意软件，且每次都会修改代码以绕过安全防护机制。 但企业部署的终端检测与响应工具成功拦截了恶意软件执行，大幅降低了攻击造成的损失。 Welivesecurity 的分析师指出，DynoWiper 与一款此前针对乌克兰目标的已知擦除恶意软件 ZOV 存在显著相似性。 研究团队将 DynoWiper 归咎于 Sandworm 组织。这是一个与俄罗斯关联、以针对能源企业发起破坏性网络攻击而臭名昭著的威胁团伙。 Sandworm 通常被认为隶属于俄罗斯联邦总参谋部情报总局（GRU）74455 部队，长期以来持续针对东欧地区关键基础设施发起攻击。 该恶意软件通过一套精心设计的三阶段摧毁流程开展破坏行动。第一阶段，DynoWiper 会递归搜索所有固定驱动器和可移动驱动器上的文件，同时避开某些关键系统目录，以暂时维持系统的基本运行。 该擦除恶意软件会通过一个 16 字节的随机数据缓冲区覆写文件内容。小于 16 字节的文件会被完全覆写，大于 16 字节的文件则仅破坏部分内容，以此提升摧毁效率。 基于活动目录漏洞利用的部署方式 DynoWiper 的感染机制显示出攻击者拥有高度的网络渗透能力。攻击者利用 Active Directory 组策略，将恶意软件分发到整个受控网络。 该部署方式需要域管理员权限，足见该威胁团伙具备获取目标企业高级别访问权限的能力。 恶意软件被存放至网络共享目录，可在多台设备上同时执行。 在部署擦除恶意软件前，攻击者使用Rubeus等凭证窃取工具，并尝试通过 Windows 任务管理器转储本地安全权威子系统服务（LSASS）进程内存。攻击者还部署了一款名为 rsocx 的 SOCKS5 代理工具，用于与外部服务器建立反向连接。 这种多阶段的攻击方式表明，攻击者在发动最终的破坏性攻击之前，进行了周密的规划和侦察。 能源行业相关企业应落实严格的访问控制、网络分段及持续监控机制，在擦除恶意软件被部署前，及时发现此类复杂入侵尝试。     消息来源: cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据报道，与俄罗斯有关联的黑客组织 Fancy Bear（ APT28）利用微软 Office 近期披露的一项漏洞，对乌克兰及欧盟相关组织发起网络攻击。 该预警由乌克兰国家网络威胁情报机构 —— 乌克兰计算机应急响应小组（CERT-UA）于 2 月 2 日发布。 CVE-2026-21509 漏洞在披露前已遭利用 CERT-UA 具体报告称，其在 1 月 29 日发现了一个名为 “Consultation_Topics_Ukraine(Final).doc” 的 Word 文档。该文档包含 CVE-2026-21509 漏洞的利用程序，该漏洞为高危级别（CVSS 3.1 评分 7.8 分），影响微软 Office 2016、2019、长期服务频道 2021 版、长期服务频道 2024 版及微软 365 企业应用版等多个版本。 微软于 1 月 26 披露了该漏洞，其成因是微软 Office 在安全决策环节过度依赖不可信输入。 该漏洞被成功利用后，攻击者可绕过微软 365 及 Office 中的对象链接与嵌入（OLE）防护机制，而该机制原本用于保护用户免受存在漏洞的组件对象模型（COM）及 OLE 控件的威胁。 微软在其安全公告中确认，已检测到该漏洞存在在野利用的相关证据。该科技企业敦促微软 Office 2016 及 2019 版本用户务必安装更新以获得防护。 微软 Office 2021 及后续版本用户将通过服务端更新获得自动防护，但需重启 Office 应用程序方可生效。 CERT-UA 在报告中指出：“鉴于用户可能延迟（或无法）更新微软 Office 及落实推荐安全措施，利用该漏洞发起的网络攻击数量或将持续上升。” Fancy Bear 针对 CVE-2026-21509 漏洞的攻击链 乌克兰计算机应急响应小组发现的该 Word 文档，与欧盟常驻代表委员会针对乌克兰局势的磋商相关。 文档元数据显示，其创建时间为 1 月 27 日上午，即微软披露该漏洞的次日。 同日，乌克兰计算机应急响应小组表示，从合作方处收到报告称，出现疑似来自乌克兰水文气象中心的钓鱼邮件，附件为另一个名为 BULLETEN_H.doc 的文档。 这封邮件被发送给了超过 60 个邮箱地址，收件方主要是乌克兰的中央行政机关。 CERT-UA 的深入分析表明，使用微软 Office 打开该文档后，会通过 WebDAV 协议触发与外部资源的网络连接，随后下载一个伪装成快捷方式（LNK 文件）的恶意文件，该文件含有的恶意代码可实现载荷的下载与执行。 攻击成功执行后，会进行以下操作： 创建名为 “EhStoreShell.dll” 的 DLL 文件（伪装成系统“增强存储外壳扩展”库）。 创建包含 Shellcode 的图片文件 “SplashScreen.png”。 修改注册表中 CLSID {D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D} 的路径（以此实现 COM 劫持）。 创建名为 “OneDriveHealth” 的计划任务。 这些任务执行后，会终止并重启资源管理器进程（explorer.exe），该进程会通过组件对象模型劫持技术加载 EhStoreShell.dll 文件。 该动态链接库文件会执行图片文件中的壳代码，最终在受感染系统中加载 Covenant 攻击框架。 Covenant 是一款基于.NET 框架开发的命令与控制（C2）工具，最初设计用途为网络攻防演练及红队渗透测试。 乌克兰计算机应急响应小组还强调，由于 Covenant 框架将合法云存储服务 Filen 作为命令与控制基础设施，疑似被Fancy Bear组织列为攻击目标的机构，应封禁该云存储服务节点的网络访问，或至少对相关网络交互进行严密监控。 2026 年 1 月下旬，安全人员还发现了另外三份携带相同漏洞利用代码的文档，其攻击目标指向欧盟国家的组织机构。 乌克兰计算机应急响应小组敦促相关方落实微软安全公告中列明的漏洞缓解措施，尤其是针对 Windows 注册表配置的相关防护操作。     消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一起针对 Open VSX Registry 的供应链攻击详情。在此次攻击中，不明身份的黑客入侵了一位合法开发者的账户资源，借此向下游使用者传播恶意更新。 Socket 安全研究员 Kirill Boychenko 在周六发布的报告中表示：“2026 年 1 月 30 日，开发者 oorzc 发布的四款成熟 Open VSX 扩展被推送恶意版本至仓库，版本中嵌入了 GlassWorm 恶意软件加载器。” “这些扩展此前一直以合法开发者工具的面目出现（部分最早发布于两年多前），在恶意版本发布前，其累计下载量已超过 22,000 次。” 这家供应链安全公司表示，此次攻击涉及该开发者的发布凭证被盗用。Open VSX 安全团队评估认为，事件可能源于令牌泄漏或其他未授权访问方式。目前，恶意版本已从 Open VSX 平台移除。  已确认的受污染扩展列表如下： ·   FTP/SFTP/SSH Sync Tool (oorzc.ssh-tools — 版本 0.5.1) ·   I18n Tools (oorzc.i18n-tools-plus — 版本 1.6.8) ·   vscode mindmap (oorzc.mind-map — 版本 1.0.61) ·   scss to css (oorzc.scss-to-css-compile — 版本 1.3.4) Socket 指出，这些恶意版本的核心目的是投递 GlassWorm 已知攻击活动相关的加载器恶意软件。该加载器支持运行时解密并执行内嵌恶意代码，采用 EtherHiding 这一愈发被武器化的技术获取命令与控制（C2）端点，最终执行恶意代码窃取苹果 macOS 系统凭证及加密货币钱包数据。 同时，该恶意软件会先对受感染设备进行环境探测，确认设备非俄语区域设置后才会触发执行 —— 这是俄语区背景威胁行为者或其关联组织的常见手法，目的是规避本土法律追责。 该恶意软件窃取的信息类型包括： ·   来自 Mozilla Firefox 及基于 Chromium 内核浏览器（如 Chrome、Edge 等）的数据（登录凭证、Cookie、浏览历史以及 MetaMask 等钱包扩展插件） ·   加密货币钱包文件（涉及 Electrum、Exodus、Atomic、Ledger Live、Trezor Suite、Binance 及 TonKeeper） ·    iCloud 钥匙串数据库 ·    Safari 浏览器 Cookie ·    Apple 备忘录数据 ·    桌面、文稿及下载文件夹中的用户文档 ·     FortiClient VPN 配置文件 ·    开发者凭证（例如 ~/.aws 和 ~/.ssh 目录下的文件） 针对开发者信息的窃取行为带来了严重风险，这可能使企业环境面临云账户被接管及攻击者横向移动的潜在威胁。 Boychenko 表示：“该恶意载荷包含专门的功能模块，用于定位并窃取常见开发工作流中的认证材料，例如检查 npm 配置文件中的 _authToken，以及获取 GitHub 的认证凭证。攻击者借此可访问私有代码仓库、持续集成（CI）系统的密钥以及发布自动化流程。” 此次攻击的一个显著特点是，它与以往观察到的 GlassWorm 攻击模式不同，黑客首次利用了合法开发者的被盗账户来分发恶意软件。在此前的案例中，该攻击活动的幕后黑手主要依赖误植域名和仿冒知名品牌等手段，上传欺诈性扩展进行传播。 Socket 分析称：“攻击者巧妙地融入了正常的开发者工作流程，将恶意代码的执行隐藏在加密且仅运行时解密的加载器之后，并利用 Solana 区块链的备忘录功能作为动态的‘死信箱’，来轮换其攻击基础设施，而无需重新发布扩展。这些设计选择降低了基于静态特征检测的价值，将防御优势转向了行为分析和快速响应能力。” 更新说明 Secure Annex 研究员 John Tuckner 告诉 The Hacker News，截至 UTC 时间 2026 年 2 月 2 日早上 6:30，上述扩展中仍有三个可供下载。在本文发稿前，它们已被从 Open VSX 移除，具体是： oorzc.mind-map@1.0.61 oorzc.i18n-tools-plus@1.6.8 oorzc.scss-to-css-compile@1.3.4 Tuckner 表示：“该问题的棘手之处在于，受害者需等待原开发者发布更高版本，才能触发自动更新，即便扩展从应用市场下架，也不会从编辑器中自动卸载。” 消息来源: thehackernews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 过去数月，一场大规模的云存储订阅诈骗活动在全球范围内持续泛滥。大量用户频繁收到恐吓邮件，谎称其因“支付失败”导致照片、文件及账户即将被封锁或删除，以此诱导用户点击诈骗链接。 据安全媒体BleepingComputer观察，该诈骗活动在过去几个月中不断升级演进，受害者每天都会收到多个变种的诈骗邮件，这些邮件均疑似出自同一犯罪团伙之手。 尽管邮件正文内容略有差异，但核心话术一致：均试图通过编造“支付问题”或“存储空间不足”等理由制造紧迫感，威胁用户若不立即处理，其文件将被删除或访问权限遭封锁。 云存储诈骗邮件攻击详情 这些钓鱼邮件来自大量不同的发件域，其中绝大多数域名看起来是为此次垃圾邮件活动随机生成的，示例如下： Immediate Action Required. Payment Declined Cloud Storage 1TB: Payment overdue [personal name]¸Your Account Has been Blocked! Your Photos and Videos will be Removed Fri,30 Jan-2026. take action!! We’ve blocked your account!  Your photos and videos will be deleted . Renew your subscription for free now! [personal name] – Your store is full , click to check and save 80% , ID#88839 [personal name], Your Cloud Account has been locked on Mon,26 Jan-2026. Your photos and videos will be removed! Sorry [<personal email address>], We Have To Suspend Your Account Today ! Sat,24 Jan-2026 [name] – Your store is full , click to check and save 80% Cloud Storage 1TB: Payment overdue 这些诈骗邮件使用各类主题，核心目的均是恐吓收件人打开邮件。BleepingComputer收集到的部分主题行包括： 需要立即操作！付款被拒绝 云存储 1TB：付款逾期 [个人姓名]，您的账户已被封锁！您的照片和视频将于2026年1月30日（周五）被移除。请立即行动！！ 我们已封锁您的账户！您的照片和视频将被删除。立即免费续订订阅！ [个人姓名] – 您的存储空间已满，点击检查并节省80%，ID#88839 [个人姓名]，您的云账户已于2026年1月26日（周一）被锁定。您的照片和视频将被移除！ 抱歉 [<个人邮箱地址>]，我们必须在2026年1月24日（周六）暂停您的账户！ [姓名] – 您的存储空间已满，点击查看并节省80% 云存储 1TB：付款逾期 邮件内容谎称用户的云订阅续费失败或支付方式过期，警告若不立即处理，备份同步将停止，照片、视频、文档及设备备份可能永久丢失。为了增加欺骗性，邮件中还常包含虚构的账户ID、订阅编号和到期日期。邮件中还常包含伪造的账户 ID、订阅编号及到期日期，进一步伪装成合法通知。 BleepingComputer 获取的一封邮件中写道：“你的云订阅面临风险，近期支付处理失败。若未及时解决，云存储及备份功能可能被暂停” “紧急提醒：请尽快验证或更新支付方式，避免失去对照片、文件及设备备份的访问权限。” 该诈骗活动中的所有垃圾邮件均包含链接https://storage.googleapis.com/（谷歌云存储旗下服务），威胁分子在该链接下托管了静态重定向 HTML 文件。用户点击链接后，会被重定向至部署在随机域名上的诈骗 / 钓鱼网站。BleepingComputer测试发现，所有链接最终都指向同一套诈骗页面。这些页面高度模仿主流云服务商的门站，醒目地展示着云服务品牌标识（甚至包括谷歌云Logo），并声称用户存储空间已满，照片、视频、联系人、文件等私人数据将停止备份并面临删除风险。页面声称用户云存储空间已满，警示照片、视频、联系人、文件及私密数据已停止备份，且即将被删除。 下方钓鱼页面显示：“因你已超出存储套餐限额，文档、联系人及设备数据已停止同步至云空间，照片及视频无法上传至云相册，云盘及云服务相关应用无法跨设备同步更新。” “若不立即处理，你的数据将因失去安全保护而丢失。” 点击 “继续” 按钮后，用户会进入虚假存储检测页面，该页面始终显示照片、云盘及邮箱均已占满存储空间。随后页面警示：除非升级云存储空间，否则数据将丢失，同时声称用户可享受限时 “老用户专属” 8 折升级优惠。但用户点击存储升级按钮后，并不会进入合法云服务页面，而是被重定向至联盟营销页面，推广与云存储无关的产品。该钓鱼活动推广的产品包括 VPN 服务、小众安全软件，及其他与云存储无关的订阅类产品。这些页面最终会跳转至结账表单，目的是收集用户信用卡信息，同时为诈骗分子赚取联盟营销佣金。 遗憾的是，许多收件人无法识别此类诈骗，会误以为购买相关产品可解决虚假的云存储问题，进而购买非必需产品。需明确的是，此类邮件及落地页均非合法云服务通知。 需明确的是，此类邮件及落地页均非合法云服务通知。此外，正规云服务提供商不会通过邮件引导用户进行存储检测，也不会让用户通过第三方安全软件或 VPN 产品解决计费问题。 同时，多数正规云存储提供商在用户未按时付费时，仅会封禁额外存储空间的访问权限，而非立即删除用户文件。例如谷歌规定，若谷歌云盘套餐被取消，用户将失去额外存储空间访问权限，补缴费用后可恢复，且文件仅会在 2 年后被删除；微软 OneDrive 采用类似规则，但规定若账户超出配额存储限制，相关文件可能在 6 个月后被删除。 收到此类垃圾邮件的用户应直接删除，切勿点击任何链接，也不要购买邮件推广的任何产品。该诈骗活动的核心目的是恐吓用户进行非必需消费，因此无视此类邮件是最佳应对方式，若用户对云存储或计费有疑问，应手动访问正规云服务的官方网站或 APP 进行核实。   消息来源:bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一份最新安全公告披露，Johnson Controls 旗下多款工业控制系统（ICS）产品存在一个严重的SQL注入漏洞。 该漏洞编号为CVE-2025-26385，其通用漏洞评分系统（CVSS v3）的严重性评分达到满分10.0，意味着对受影响基础设施构成最高级别的风险。 漏洞成因是命令注入中特殊元素的中和处理不当，远程攻击者无需身份验证即可执行任意 SQL 命令。攻击者成功利用该漏洞后，可篡改、删除或窃取受影响系统中的敏感数据。 该漏洞影响Johnson Controls  6 款产品，这些产品在全球关键基础设施领域广泛部署。该公司产品部署于商业楼宇、关键制造、能源生产、政府运营及交通系统等多个关键行业。由于这家总部位于爱尔兰的公司在全球范围内业务众多，此次漏洞引发全球性关注。 美国网络安全和基础设施安全局（CISA）建议各组织采取以下防御措施以降低风险：控制系统网络必须与公网隔离，部署在防火墙后方，且与业务网络基础设施实现物理隔离 受影响产品范围 该漏洞影响以下应用产品： 确需远程访问的机构，应部署搭载最新安全补丁的虚拟专用网络（VPN），同时需明确 VPN 安全性依赖于接入设备的完整性。对于无法立即打补丁的老旧系统，网络分段与物理隔离是核心防护手段。 截至2026年1月27日该公告发布之日，CISA尚未监测到该漏洞在野利用的公开报告。但鉴于该漏洞的高危等级及产品的广泛部署，系统管理员及安全团队需立即重点关注。 这份编号为 ICSA-26-027-04 的公告，是Johnson Controls 初始安全公告 JCI-PSA-2026-02 的重新发布版本。观察到任何可疑活动的组织，应向CISA报告，以便进行事件关联分析和全局威胁追踪。 此次漏洞由Johnson Controls 主动报告给CISA，遵循了协调披露流程，为安全团队在潜在攻击发生前争取了应对时间。各机构在部署防护措施前，应优先开展影响分析与风险评估，避免造成业务运营中断。 消息来源:cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Iconics Suite SCADA 系统存在一项中危漏洞，攻击者可利用该漏洞在关键工业控制系统上触发拒绝服务状态。 该漏洞编号为 CVE-2025-0921，广泛部署于汽车、能源及制造业的监控与数据采集（SCADA）基础设施。 漏洞详情 CVE-2025-0921 源于三菱电机 Iconics Digital Solutions 的 GENESIS64 软件中，多个服务存在“以不必要权限执行”的安全缺陷。 该漏洞 CVSS 评分为 6.5 分，评级为中危。攻击者成功利用该漏洞后，可滥用特权文件系统操作提升权限、破坏核心系统二进制文件，最终导致系统完整性与可用性受损。 此漏洞由 Unit 42 的研究员 Asher Davila 和 Malav Vyas 在 2024 年初的一次全面安全评估中发现。这是在微软 Windows 平台的 Iconics Suite 10.97.2 及更早版本中发现的 6 项漏洞之一。此前研究人员已披露该 SCADA 平台存在的 5 项相关漏洞，CVE-2025-0921 是后续调查中发现的新增威胁。 根据三菱电机的安全公告，该漏洞影响 GENESIS64、MC Works64 的所有版本以及 GENESIS 11.00 版本。Iconics Suite 在全球超过 100 个国家拥有数十万安装实例，遍布政府设施、军事基地、水处理厂、公共事业及能源供应商等关键基础设施领域。 技术原理与利用途径 该漏洞存在于工业流程监控告警管理系统 AlarmWorX64 MMX 的 Pager Agent 组件中。 具备本地访问权限的攻击者，可通过篡改 C:\ProgramData\ICONICS 目录下 IcoSetup64.ini 文件中存储的 SMSLogFile 路径配置来利用该漏洞。攻击链流程包括：将日志文件存储路径创建为指向目标系统二进制文件的符号链接。当管理员发送测试消息或系统自动触发告警时，日志信息会沿符号链接覆盖核心驱动文件（如为 Windows 系统组件提供加密服务的 cng.sys）。 系统重启后，被破坏的驱动会导致启动失败，设备陷入无限修复循环，最终使工业控制（OT）工程工作站无法运行。 研究人员证实，该漏洞与 CVE-2024-7587 漏洞结合后利用难度会大幅降低；CVE-2024-7587 是此前披露的 GenBroker32 安装程序漏洞，会给 C:\ProgramData\ICONICS 目录赋予过高权限，允许任意本地用户修改核心配置文件。但即便单独利用该漏洞，若日志文件因配置不当、其他漏洞或社会工程学攻击具备可写权限，攻击者仍可成功触发漏洞。 三菱电机已为 GENESIS 11.01 及后续版本发布修复补丁，客户可从 Iconics 社区资源中心下载。针对 GENESIS64 用户，修复版本正在开发中，将于近期发布。厂商明确表示暂无 MC Works64 版本补丁发布计划，相关客户需在此期间落实漏洞缓解措施。 消息来源: cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Moltbook 是 Octane AI 的 Matt Schlicht 于 2026 年 1 月末推出的新兴 AI 智能体社交网络，当前该平台因号称拥有 150 万 “用户” 引发热议，但其存在一项高危漏洞，导致注册主体的电子邮箱、登录令牌及 API 密钥遭泄露。 研究人员披露，该平台因数据库配置不当导致暴露，未授权人员可访问智能体档案，进而实现批量数据窃取。 该漏洞同时伴随账户创建无速率限制的问题，据悉单个 OpenClaw 智能体（@openclaw）就注册了 50 万个虚假 AI 用户，直接戳破了媒体所称的自然增长论调。 平台运行机制 Moltbook 支持基于 OpenClaw 构建的 AI 智能体发布内容、评论，还可创建如 m/emergence 这类 “子社群”，催生了围绕 AI 涌现、报复性信息泄露、Solana 代币刷信誉等话题的智能体论战 平台已涌现超 2.8 万条帖子及 23.3 万条评论，并有 100 万沉默验证者对内容进行查看。但智能体数量存在造假：因无注册限制，大量机器人批量注册，营造出平台爆火的假象。 关联不安全开源数据库的暴露端点，无需身份验证，仅通过 GET /api/agents/{id} 这类简单查询指令，即可泄露智能体数据。 攻击者可以通过枚举 ID 快速获取成千上万条记录。 安全风险与专家警告 此次不安全的直接对象引用（IDOR）及数据库暴露漏洞，构成了 “致命三重威胁”：智能体可访问私密数据、平台存在不可信输入风险（提示注入）、支持外部通信，可能引发凭证窃取、文件删除等破坏性操作。 Andrej Karpathy 称该平台是 “充斥垃圾信息的规模里程碑”，但更是 “计算机安全噩梦”，Bill Ackman 则评价其 “令人恐慌”。子社群中的提示注入攻击可操控机器人泄露宿主数据，且 OpenClaw 无沙箱隔离的执行机制会加剧这一风险。 目前尚无修复补丁确认；Moltbook (@moltbook) 对漏洞披露无回应。安全专家强烈建议用户及智能体所有者：立即撤销所有相关API密钥、将智能体置于沙箱环境中运行，并全面审计数据暴露情况。对于企业而言，不受管控的此类机器人活动更带来了严峻的“影子IT”风险。     消息来源:cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 某威胁行为者正针对暴露的 MongoDB 实例发起自动化数据勒索攻击，向数据库所有者索要小额赎金，承诺支付后恢复数据。 该攻击者专挑易得目标下手，即因配置不当导致无限制访问、安全性缺失的数据库。据估计，已有约1,400台暴露的服务器遭入侵，攻击者留下的勒索信索要约500美元（以比特币支付）的赎金。 2021 年之前，此类攻击曾集中爆发，导致数千个数据库被删除，攻击者索要赎金以恢复数据 [1,2]，部分情况下，攻击者仅删除数据库，并未提出金钱诉求。 网络安全公司Flare的研究人员通过渗透测试发现，此类攻击至今仍在持续，只是规模有所缩小。研究人员共发现超过 20.85 万台公网暴露的 MongoDB 服务器。其中，10万台泄露了运维信息，更有3,100台根本无需身份验证即可直接访问。 Flare 核查时发现，无限制访问的 MongoDB 服务器中，近半数（45.6%）已遭入侵，这些数据库被清空，只留下一封勒索信。 Flare 在报告中指出：“威胁行为者要求向指定钱包地址支付比特币（通常为 0.005 枚，当前价值约 500 至 600 美元），并承诺支付后恢复数据”。然而，Flare在报告中明确指出：“但目前无法保证攻击者确实留存了数据，也无法保证受害者支付赎金后，对方会提供可用的解密密钥。” 所有勒索信中仅出现 5 个不同的钱包地址，其中一个地址占比高达约 98%，可见此类攻击由单一威胁行为者主导。 Flare 还指出，部分暴露且防护薄弱的 MongoDB 实例未遭攻击，推测这些实例的所有者可能已向攻击者支付了赎金。 除身份验证措施薄弱外，研究人员还发现，所有公网暴露的 MongoDB 服务器中，近半数（9.5 万台）运行老旧版本，存在已知漏洞（n-day 漏洞）风险。但这些漏洞大多仅能被利用发起拒绝服务攻击，无法实现远程代码执行。 Flare 建议 MongoDB 管理员，非必要不将实例暴露至公网；启用高强度身份验证；部署防火墙规则及 Kubernetes 网络策略，仅允许可信连接访问；避免直接照搬部署指南中的配置。需将 MongoDB 升级至最新版本，并持续监控实例是否存在暴露风险。若发现实例暴露，需立即轮换凭证，并核查日志排查是否存在未授权操作。   消息来源:bleepingcomputer： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文