HackerNews 编译，转载请注明出处： 对Nx “s1ngularity” NPM供应链攻击的调查揭示了一场大规模的灾难，数千个账户令牌和存储库机密被泄露。 根据Wiz研究人员的事后评估，Nx的泄露导致2180个账户和7200个存储库在三个不同的阶段被暴露。 Wiz还强调，该事件的影响范围仍然很大，因为许多泄露的机密仍然有效，所以影响仍在持续。 Nx “s1ngularity” 供应链攻击 Nx是一个流行的开源构建系统和单体仓库管理工具，广泛用于企业级JavaScript/TypeScript生态系统，在NPM包索引上有超过550万次的每周下载量。 2025年8月26日，攻击者利用Nx存储库中一个有缺陷的GitHub Actions工作流程，在NPM上发布了一个包含恶意软件脚本（“telemetry.js”）的恶意版本。 “telemetry.js”恶意软件是一个针对Linux和macOS系统的凭证窃取器，试图窃取GitHub令牌、npm令牌、SSH密钥、.env文件、加密钱包，并将这些机密上传到名为“s1ngularity-repository”的公共GitHub存储库。 此次攻击的突出之处在于，该凭证窃取器使用了安装在人工智能平台上的命令行工具，如Claude、Q和Gemini，利用LLM提示搜索并收集敏感的凭证和机密。 Wiz报告称，随着攻击的每次迭代，提示语都在发生变化，这表明攻击者正在调整提示语以获得更好的成功率。 Wiz解释说：“提示语的演变表明攻击者在整个攻击过程中迅速探索提示语调整。我们可以看到引入了角色提示，以及在技术上不同程度的具体性。” “这些变化对恶意软件的成功产生了实际影响。例如，‘渗透测试’一词的引入，实际上反映在LLM拒绝参与此类活动上。” 大规模影响范围 在8月26日至27日的第一阶段攻击中，被篡改的Nx包直接影响了1700名用户，泄露了超过2000个独特的机密。该攻击还暴露了受感染系统中的20000个文件。 GitHub在八小时后删除了攻击者创建的存储库，但数据已经被复制。 在8月28日至29日的第二阶段攻击中，攻击者利用泄露的GitHub令牌将私人存储库变为公开，并将它们重命名为包含“s1ngularity”字符串。 这导致了另外480个账户被进一步入侵，其中大多数是组织，以及6700个私人存储库被公开暴露。 在8月31日开始的第三阶段攻击中，攻击者针对一个单一的受害者组织，利用两个被入侵的账户发布了另外500个私人存储库。 Nx的回应 Nx团队在GitHub上发布了一份详细的根源分析报告，解释说此次入侵来自一个拉取请求标题注入，加上对pull_request_target的不安全使用。 这使得攻击者能够以提升的权限运行任意代码，进而触发Nx的发布流程并泄露npm发布令牌。 恶意包已被移除，被入侵的令牌已被撤销并轮换，所有发布者账户都已采用双因素认证。 为了防止此类入侵再次发生，Nx项目现在采用了NPM的可信发布者模型，该模型消除了基于令牌的发布，并增加了对PR触发工作流程的手动审批。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 盗版IPTV网络凭借低廉价格和广泛内容吸引用户，背后隐藏着数据泄露与恶意软件的巨大风险。 网络安全研究人员近日揭露了一个庞大的互联网协议电视（IPTV）盗版网络，该网络跨越1100多个域名和超过1万个IP地址。 这一已运作数年的盗版活动据称影响了20多个知名娱乐和体育品牌。 盗版网络的核心组织与运营 Silent Push的调查将该盗版网络与两家从托管未经许可内容中获利的公司联系起来——XuiOne和Tiyansoft。 这家网络安全公司还确认，阿富汗赫拉特的Nabi Neamati是其运营的关键人物。有证据表明，Neamati拥有Tiyansoft公司，并直接管理与该网络相关的域名。 盗版产业的巨额利润 调查结果凸显了盗版行业的暴利本质。此前研究显示，盗版IPT流媒体及相关内容每年产生数十亿美元的收益。 其中一个例子是该网络中的一个关联网站JVTVlive，声称在198个国家运行着2000台服务器。根据Silent Push的数据，这一说法似乎准确。 受影响的主要品牌 受到影响的知名品牌包括： Prime Video Disney Plus Netflix Apple TV Hulu HBO Formula 1 Premier League UFC 盗版服务的运营模式与风险 这些盗版服务以大幅折扣的价格提供 premium 内容，有时甚至宣传以低至每月15美元的价格提供数千个频道。 除了侵犯版权之外，这些平台对用户构成危险。Silent Push指出，消费者在与非法IPTV提供商打交道时经常面临欺诈性收费、身份盗窃或恶意软件的风险。 盗版网络的技术基础设施 与合法流媒体平台不同，IPTV网络通常依赖私人基础设施分发内容，这使得它们更难追踪，并且更容易被滥用于大规模盗版。 Silent Push研究人员指出，IP地址的数量超过了域名数量，这种模式与IPTV一致，而非其他类型的网络威胁。 调查人员将该网络追溯至多个站点。虽然这些域名随着时间的推移更换了IP地址和注册详细信息，但技术指纹和社交媒体账户将它们与Neamati及其公司联系起来。 版权确认的挑战 Silent Push强调，虽然该网络的内容几乎完全未经许可，但最终确认取决于受影响媒体公司的回应。 “没有这样的确认，从技术上讲，一些媒体公司可能与这些超 aggressive 的IPTV网络有许可协议，”Silent Push写道。 “然而，我们的团队没有观察到支持这一结论的证据。” 该公司计划在2025年9月23日举行的题为“大规模阻止盗版分发网络”的网络研讨会中讨论其调查结果。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 西班牙网络安全供应商S2 Grupo的研究人员发现了一种新的Outlook后门，该后门能使威胁行为窃取数据、上传文件并在受害者计算机上执行命令。 S2 Grupo的威胁情报实验室LAB52在9月3日发布的一份报告中分享了这一发现。 威胁分析人员因其代码中使用了“Nothing”一词，将该后门命名为“NotDoor”。他们将其归因于受俄罗斯支持的网络威胁组织APT28。 NotDoor：基于VBA的复杂Outlook恶意软件 NotDoor后门是一种基于Visual Basic for Applications（VBA）的复杂恶意软件，针对Microsoft Outlook，旨在监控传入电子邮件中的特定触发词并执行恶意命令。 VBA是微软的嵌入式脚本语言，用于在Office应用程序（如Excel、Word和Outlook）中自动执行任务。虽然合法用户使用VBA来提高工作效率，但威胁行为者利用它在宏中嵌入恶意代码，这些代码在打开文档或电子邮件时执行。 NotDoor滥用Outlook的事件驱动VBA触发器（例如Application_MAPILogonComplete（启动时）和Application_NewMailEx（收到新邮件时））来激活其有效负载。 该恶意软件的代码经过混淆处理，具有随机化的变量名和自定义的字符串编码技术，该技术会在Base64数据后附加垃圾字符，以模仿加密来阻碍分析。 NotDoor伪装在合法的Outlook宏中，使攻击者能够窃取数据、上传文件并在受感染的系统上运行任意命令。 值得注意的是，该恶意软件通过签名的微软二进制文件（OneDrive.exe）进行DLL侧加载，该文件会加载恶意的DLL（SSPICLI.dll）以部署后门，同时规避检测。 通过修改Outlook的注册表设置来禁用安全警告、在启动时启用宏并抑制对话框提示，确保持久化并实现静默运行。 该后门通过将受害者数据外泄到攻击者控制的邮箱（a.matti444@proton[.]me）并通过对webhook.site的DNS和HTTP回调验证执行，从而建立隐蔽通信。 感染后，它会创建一个隐藏目录（%TEMP%\Temp）来存储文件，这些文件会自动通过电子邮件发送给攻击者并被删除。 当收到包含预定义字符串（例如“Daily Report”）的电子邮件触发时，NotDoor会解析嵌入在邮件正文中的加密命令，支持每条邮件包含多个指令，例如文件窃取、命令执行或额外有效负载下载。 该恶意软件的模块化设计允许攻击者动态更新触发器和命令，使得检测和缓解具有挑战性。 通过滥用Outlook的原生VBA功能，该恶意软件具有持久性和隐蔽性，使其成为间谍活动或针对性攻击的有效工具。 LAB52的研究人员建议组织默认禁用宏，监控异常的Outlook活动，并检查基于电子邮件的触发器以防御此类威胁。 APT28：一个不断演变的威胁组织 APT28是一个以其破坏性攻击而臭名昭著的网络威胁组织。它还有许多别名，包括Fancy Bear、Fighting Ursa、Forest Blizzard、Pawn Storm、Strontium、Sednit、Sofacy和Tsar Team。APT28至少自2014年以来一直活跃，被归因于俄罗斯总参谋部情报总局（GRU）第85特殊服务中心（GTsSS）第26165军事部队。 2016年，据报道APT28入侵了希拉里·克林顿的总统竞选团队、民主党全国委员会（DNC）和民主党国会竞选委员会（DCCC），作为干预美国总统选举行动的一部分。 两年后，即2018年，美国司法部（DoJ）起诉了GRU第26165部队的五名军官，指控他们在2014年至2018年间策划了网络入侵活动。他们的目标包括世界反兴奋剂机构（WADA）、美国反兴奋剂机构、一家美国核设施、禁止化学武器组织（OPCW）和瑞士斯皮茨化学实验室等实体。 其中一些行动得到了GRU第74455部队（也称为Sandworm Team）的支持。根据LAB52研究人员的说法，NotDoor展示了“APT28的持续演变，表明它不断生成能够绕过既定防御机制的新工具”。 最近，APT28被关联到一场投放LameHug的行动中，LameHug是最早利用大型语言模型（LLM）的恶意软件之一。LameHug于2025年7月由乌克兰国家计算机应急响应小组（CERT-UA）首次发现，被MITRE研究人员描述为未来人工智能驱动攻击的“原始”测试平台。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现一个乌克兰IP网络在2025年6月至7月期间针对SSL VPN和RDP设备发起大规模暴力破解和密码喷洒攻击活动。 根据法国网络安全公司Intrinsec的说法，该活动源自位于乌克兰的自治系统FDN3（AS211736）。 “我们高度确信FDN3是一个更广泛的滥用基础设施的一部分，该基础设施还包括另外两个乌克兰网络VAIZ-AS（AS61432）和ERISHENNYA-ASN（AS210950），以及一个位于塞舌尔的名为TK-NET（AS210848）的自治系统。”上周发布的一份报告称。 “这些系统均于2021年8月分配，并且经常相互交换IPv4前缀以规避封锁名单，持续托管恶意活动。” AS61432当前宣告一个单一前缀185.156.72[.]0/24，而AS210950宣告了两个前缀45.143.201[.]0/24和185.193.89[.]0/24。这两个自治系统分别于2021年5月和8月分配。它们的大部分前缀已在AS210848上宣告，这是另一个同样于2021年8月分配的自治系统。 “该网络将其所有的对等协议与IP Volume Inc. – AS202425共享，这是一家位于塞舌尔、由Ecatel所有者创建的公司，Ecatel因自2005年以来在荷兰运营广泛滥用的防弹主机服务而臭名昭著。”Intrinsec指出。 从AS61432和AS210950转移出来的全部前缀，现在由那些由空壳公司（如Global Internet Solutions LLC (gir.network)、Global Connectivity Solutions LLP、Verasel、IP Volume Inc.和Telkom Internet LTD）前台运营的防弹和滥用网络进行宣告。 这些发现基于先前的披露，即多个于2021年8月分配、位于乌克兰和塞舌尔的网络——AS61432、AS210848和AS210950——被用于垃圾邮件分发、网络攻击和恶意软件命令与控制托管。2025年6月，这些网络所宣告的部分IPv4前缀被转移到了FDN3，而FDN3本身创建于2021年8月。 不仅如此。AS210848所宣告的三个前缀以及AS61432所宣告的一个前缀，先前曾由另一个俄罗斯网络SibirInvest OOO (AS44446)宣告。在FDN3宣告的四个IPv4前缀中，其中一个（88.210.63[.]0/24）被评估为先前由一家名为Virtualine（AS214940和AS214943）的基于美国的防弹主机解决方案宣告。 正是这个IPv4前缀范围被归因于大规模的暴力破解和密码喷洒尝试，该活动在2025年7月6日至8日期间达到创纪录的高峰。 据Intrinsec称，针对SSL VPN和RDP资产的暴力破解和密码喷洒努力可能持续长达三天。值得注意的是，这些技术已被Black Basta、GLOBAL GROUP和RansomHub等各种勒索软件即服务（RaaS）组织采用，作为入侵企业网络的初始访问向量。 FDN3在6月宣告的另外两个前缀92.63.197[.]0/24和185.156.73[.]0/24，先前曾由AS210848宣告，这表明存在高度的操作重叠。就92.63.197[.]0/24而言，它与保加利亚的垃圾邮件网络（如ROZA-AS (AS212283)）存在关联。 “所有这些强烈的相似性，包括它们的配置、托管的内容以及创建日期，使我们能够高度确信地评估，上述自治系统由同一个防弹主机管理员运营，”Intrinsec解释道。 对FDN3的进一步分析发现了与一家名为Alex Host LLC的俄罗斯公司的联系，该公司过去曾与TNSECURITY等防弹主机提供商有关联，而这些提供商被用于托管Doppelganger基础设施。 “这项调查再次凸显了一种常见现象，即离岸ISP（如IP Volume Inc.）通过对等协议和前缀托管整体上为较小的防弹网络提供支持，”该公司表示。“得益于其离岸位置（如塞舌尔），这些公司的所有者得以匿名，通过这些网络实施的恶意活动无法直接归咎于他们。” 与此同时，Censys发现了一个与PolarEdge僵尸网络相关的回连代理管理系统，目前运行在2400多台主机上。该系统是一个RPX服务器，充当反向连接代理网关，能够管理代理节点并暴露代理服务。 “这个系统似乎是一个设计良好的服务器，可能是用于管理PolarEdge僵尸网络的众多工具之一，”高级安全研究员Mark Ellzey说。“也有可能这项特定服务与PolarEdge完全无关，而是僵尸网络用于在不同中继之间跳转的服务。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员指出，Android恶意软件领域出现新趋势：传统上用于投放银行木马的“投放器应用”（dropper apps），如今也开始传播短信窃取器和基础间谍软件等更简单的恶意软件。 荷兰移动安全公司ThreatFabric在上周的报告中表示，这些攻击活动通过伪装成印度等亚洲地区政府或银行应用的投放器应用进行传播。 该公司认为，这一转变源于谷歌最近在新加坡、泰国、巴西和印度等特定市场试行的安全保护措施。这些措施会阻止用户侧载（sideloading）那些请求敏感权限（如短信和无障碍服务）的可疑应用，而无障碍服务是Android设备上常被滥用以执行恶意操作的设置。 ThreatFabric解释道：“Google Play Protect的防御机制，尤其是定向试点计划，能越来越有效地在风险应用运行前将其拦截。其次，攻击者希望其操作能适应未来。” “即便将基础有效负载封装在投放器中，攻击者也能获得一个保护壳，既能规避当前的检查，又能保持足够灵活性，以便日后更换负载和调整攻击活动。” ThreatFabric称，尽管谷歌的策略通过甚至在用户与恶意应用交互前就阻止其安装，提高了门槛，但攻击者正在尝试新的方法来规避这些保护措施——这显示出安全领域永无休止的“打地鼠”游戏。 这包括在设计投放器时考虑谷歌的试点计划，使其不申请高风险权限，仅显示一个无害的“更新”屏幕，从而在这些地区绕过扫描。 然而，只有当用户点击“更新”按钮时，真正的有效负载才会从外部服务器获取或解包，随后便开始申请实现其目标所需的权限。 “作为另一项扫描的一部分，Play Protect可能会显示风险警报，但只要用户接受这些警报，应用就会被安装，有效负载也就成功投递。”ThreatFabric指出，“这揭示了一个关键漏洞：如果用户坚持点击安装，Play Protect仍会允许风险应用通过，恶意软件也就依然能绕过试点计划。” RewardDropMiner就是这样一个投放器，它曾被发现在传播间谍软件负载的同时，还会分发一个可远程激活的门罗币加密货币挖矿程序。不过，该工具的最新变种已不再包含挖矿功能。 通过RewardDropMiner投递的一些恶意应用（均针对印度用户）列举如下： PM YOJANA 2025 (com.fluvdp.hrzmkgi) °RTO Challan (com.epr.fnroyex) SBI Online (com.qmwownic.eqmff) Axis Card (com.tolqppj.yqmrlytfzrxa) 其他可避免触发Play Protect或试点计划的投放器变种包括SecuriDropper、Zombinder、BrokewellDropper、HiddenCatDropper和TiramisuDropper。 谷歌在回应The Hacker News的置评请求时表示，尚未在Play商店中发现任何使用这些技术分发应用的情况，并称正在持续增加新的保护措施。 一位发言人表示：“无论应用来自何处——即使是由‘投放器’应用安装——Google Play Protect都会通过自动检查威胁来帮助保护用户安全。” “在本报告发布之前，Google Play Protect已针对这些已识别的恶意软件版本提供了保护。根据我们当前的检测，Google Play上未发现包含这些版本恶意软件的应用。我们正在不断强化保护措施，帮助用户免受恶意行为者的侵害。” CIS构建工具包 与此同时，Bitdefender实验室警告称，一场新的恶意广告活动正在利用Facebook广告，以提供免费的Android版TradingView应用高级版本为诱饵，最终部署改进版的Brokewell银行木马，用以监控、控制受害设备并窃取敏感信息。 自2025年7月22日起，已运行不少于75条恶意广告，仅在欧洲联盟就覆盖了数万名用户。这场针对Android的攻击浪潮只是一个更大规模恶意广告操作的一部分，该操作还滥用Facebook广告，伪装成各种金融和加密货币应用来针对Windows桌面用户。 这家罗马尼亚网络安全公司表示：“这次活动展示了网络犯罪分子如何精细调整策略以适应用户行为。通过针对移动用户并将恶意软件伪装成受信任的交易工具，攻击者希望从人们对加密应用和金融平台日益增长的依赖中获利。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子正滥用Meta的广告平台，通过虚假的“免费TradingView Premium应用”优惠来传播针对Android设备的Brokewell恶意软件。 该活动以加密货币资产为目标，自至少7月22日起通过大约75条本地化广告持续进行。 Brokewell恶意软件在2024年初就已出现，其功能广泛，包括窃取敏感数据、远程监控和控制受感染的设备。 接管设备 网络安全公司Bitdefender的研究人员调查了该活动中的广告，这些广告使用了TradingView的品牌标识和视觉元素，以“免费高级版应用”的承诺诱骗潜在受害者。 他们指出，该活动专门针对移动用户设计，如果从其他操作系统访问广告，只会看到无害内容。 然而，从Android设备点击广告，会被重定向到一个模仿原始TradingView网站的页面，该页面提供了一个托管在tradiwiw[.]online/的恶意tw-update.apk文件。 “被投放的应用会请求无障碍权限，一旦获得权限，屏幕就会被一个假的更新提示覆盖。在后台，该应用正在授予自身所有需要的权限。”研究人员在本周的一份报告中表示。 此外，该恶意应用还通过模拟需要锁屏密码的Android更新请求，试图获取设备的解锁PIN码。 据Bitdefender称，这个假的TradingView应用是“Brokewell恶意软件的一个高级版本”，拥有“庞大的工具库，旨在监控、控制和窃取敏感信息”： 扫描BTC、ETH、USDT、银行账号（IBANs） 窃取并导出Google Authenticator中的代码（绕过双因素认证） 通过覆盖虚假登录界面来窃取账户 录制屏幕和键盘输入、窃取Cookie、激活摄像头和麦克风并跟踪位置 劫持默认短信应用以拦截消息，包括银行和双因素认证代码 远程控制 – 可通过Tor或Websocket接收命令来发送短信、拨打电话、卸载应用甚至自毁。 研究人员提供了该恶意软件工作原理的技术概述，以及一份包含130多个命令的扩展列表。 Bitdefender表示，此活动是一个更大规模操作的一部分，该操作最初使用冒充“数十个知名品牌”的Facebook广告来针对Windows用户。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁行为者一直通过Google广告推广的多个网站，分发一款看似可信的PDF编辑应用，实则投放名为TamperedChef的信息窃取恶意软件。 此次行动是一个更大规模操作的一部分，涉及多个能相互下载的应用程序，其中一些会诱骗用户将其系统纳入住宅代理网络。目前已识别出超过50个域名用于托管这些具有欺骗性的应用，这些应用使用了至少四家不同公司颁发的伪造证书进行签名。研究人员表示，该活动范围广泛且策划周密，操作者等待广告投放周期结束后才激活应用程序中的恶意组件。 网络安全服务公司Truesec的技术分析描述了TamperedChef信息窃取程序如何被投放到用户系统。研究人员发现，该恶意软件通过多个网站进行分发，这些网站推广一款名为AppSuite PDF Editor的免费工具。根据网络记录，调查人员确定该活动始于6月26日，当时许多相关网站被注册或开始宣传AppSuite PDF Editor。 然而，研究人员发现这款恶意应用在5月15日已通过VirusTotal恶意软件扫描服务的验证。该程序在8月21日前表现正常，直至收到一次更新，激活了其内置的恶意功能，开始收集凭证和网络Cookie等敏感数据。据Truesec称，TamperedChef信息窃取程序是通过PDF编辑器可执行文件的“-fullupdate”参数传递的。 该恶意软件会检查主机上安装的各种安全代理。它还使用DPAPI（数据保护应用程序编程接口）——Windows中用于加密敏感数据的组件——查询已安装网页浏览器的数据库。Truesec研究人员深入挖掘分发方式，发现证据表明，在AppSuites PDF Editor中传播TamperedChef的威胁行为者依赖Google广告来推广这款恶意程序。 “Truesec已观察到至少5个不同的Google广告系列ID，这表明了一场广泛的运动”——Truesec 威胁行为者可能有一套策略，旨在激活AppSuites PDF Editor中的恶意组件前最大化下载量，因为他们选择在Google广告活动典型的60天有效期结束前四天投放信息窃取程序。 进一步研究AppSuites PDF Editor后，研究人员发现该程序的不同版本由“至少四家公司”的证书签名，其中包括ECHO Infini SDN BHD、GLINT By J SDN. BHD 和 SUMMIT NEXUS Holdings LLC, BHD。 Truesec发现，该活动的操作者至少从2024年8月起就开始活跃，并推广其他工具，包括OneStart和Epibrowser浏览器。值得注意的是，OneStart通常被标记为潜在不需要程序（PUP），这通常是广告软件的代称。 然而，托管检测与响应公司Expel的研究人员也调查了涉及AppSuites PDF Editor、ManualFinder和OneStart的事件，所有这些程序都“丢弃高度可疑的文件、执行意外命令并将主机变为住宅代理”，这更接近恶意软件的行为。 他们发现OneStart可以下载AppSuite-PDF（由ECHO INFINI SDN. BHD证书签名），而AppSuite-PDF又能获取PDF Editor。“OneStart、AppSuite-PDF和PDF Editor的初始下载是通过一个大型广告活动分发的，该活动宣传PDF和PDF编辑器。这些广告将用户引导至众多提供AppSuite-PDF、PDF Editor和OneStart下载的网站之一，”Expel称。 此次活动中使用的代码签名证书已被撤销，但对于当前已安装的用户，风险仍然存在。在某些PDF Editor的实例中，应用会向用户显示一条消息，请求允许将其设备用作住宅代理，以换取免费使用该工具。研究人员指出，代理网络提供商可能是未参与此次活动的合法实体，PDF Editor的操作者是作为 affiliates 以此牟利。 看来，PDF Editor的背后操纵者正试图以全球用户为代价，最大化其利润。即使此次活动中的程序被视为PUP，其能力也典型地属于恶意软件，应同样对待。 研究人员警告，他们发现的此次行动涉及更多应用程序，其中一些尚未被武器化，这些程序能够分发恶意软件或可疑文件，或在系统上秘密执行命令。Truesec和Expel的报告都包含了大量的入侵指标（IoCs），这有助于防御者保护用户和资产免受感染。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： nx构建系统的维护者已向用户发出供应链攻击警报，此次攻击导致恶意版本的流行npm软件包及具有数据收集功能的辅助插件被发布。 维护者在周三发布的公告中表示：“恶意版本的nx软件包以及一些辅助插件包被发布到npm，其中包含扫描文件系统、收集凭证并将其作为用户账户下的仓库发布到GitHub的代码。” Nx是一个开源、与技术无关的构建平台，旨在管理代码库。它被宣传为“AI优先的构建平台，将从编辑器到CI（持续集成）的一切连接起来”。该npm软件包每周下载量超过350万次。 受影响软件包及版本列表如下。这些版本现已从npm注册表中移除。nx软件包的入侵发生在2025年8月26日。 nx 21.5.0, 20.9.0, 20.10.0, 21.6.0, 20.11.0, 21.7.0, 21.8.0, 20.12.0 @nx/devkit 21.5.0, 20.9.0 @nx/enterprise-cloud 3.2.0 @nx/eslint 21.5.0 @nx/js 21.5.0, 20.9.0 @nx/key 3.2.0 @nx/node 21.5.0, 20.9.0 @nx/workspace 21.5.0, 20.9.0 项目维护者表示，问题的根本原因源于2025年8月21日添加的一个存在漏洞的工作流程，该流程引入了使用特别制作的拉取请求（PR）标题来注入可执行代码的能力。虽然在该工作流程被发现在恶意环境中可利用后，“master”分支中的流程“几乎立即”被恢复，但评估认为威胁行为者针对仍包含该工作流程的过时分支发起了PR以发动攻击。 nx团队表示：“pull_request_target触发器被用作一种方式，在PR创建或修改时触发操作运行。然而，被忽略的是警告信息：与标准的pull_request触发器不同，此触发器以提升的权限运行工作流程，包括具有读/写仓库权限的GITHUB_TOKEN。” 据信，GITHUB_TOKEN被用来触发“publish”工作流程，该流程负责使用npm令牌将nx软件包发布到注册表。 但由于PR验证工作流程以提升的权限运行，“publish工作流程”在“nrwl/nx”仓库上被触发运行，同时引入了恶意更改，使得将npm令牌外泄到攻击者控制的webhook[.]site端点成为可能。 nx团队解释说：“作为bash注入的一部分，PR验证工作流程触发了publish.yml的运行，并附带此恶意提交，将我们的npm令牌发送到一个陌生的webhook。我们相信这就是攻击者获取用于发布恶意版本nx的npm令牌的方式。” 换句话说，如果提交了恶意的PR标题，注入漏洞就能实现任意命令执行，而pull_request_target触发器则通过提供具有仓库读/写权限的GITHUB_TOKEN来授予提升的权限。 这些恶意版本的软件包中被发现包含一个安装后脚本（postinstall script），该脚本在软件包安装后被激活，用于扫描系统以查找文本文件、收集凭证，并将详细信息作为Base64编码的字符串发送到用户账户下包含名称“s1ngularity”的公开可访问的GitHub仓库。 维护者补充说：“恶意安装后脚本还修改了.zshrc和.bashrc文件（这些文件在终端启动时运行），以包含sudo命令，该命令会提示用户输入系统密码，如果提供，将立即关闭机器。” 尽管GitHub已开始归档这些仓库，但遇到这些仓库的用户仍应假设已遭入侵，并轮换GitHub和npm的凭证及令牌。还建议用户停止使用恶意软件包，并检查.zshrc和.bashrc文件中的任何不熟悉的指令并将其删除。 nx团队表示，他们还采取了补救措施，包括轮换其npm和GitHub令牌、审计组织内所有GitHub和npm活动以查找可疑活动，以及更新nx的发布访问权限以要求双因素认证（2FA）或自动化。 Wiz研究人员Merav Bar和Rami McCarthy表示，超过1000个被泄露的GitHub令牌中，有90%仍然有效，还有数十个有效的云凭证和npm令牌。据称，恶意软件通常在开发者机器上运行，通常是通过nx Visual Studio Code扩展。GitGuardian检测到多达1346个包含“s1ngularity-repository”字符串的仓库。 在2349个不同的被泄露秘密中，绝大多数是GitHub OAuth密钥和个人访问令牌（PAT），其次是Google AI、OpenAI、Amazon Web Services、OpenRouter、Anthropic Claude、PostgreSQL和Datadog的API密钥和凭证。 云安全公司发现，该有效负载仅能在Linux和macOS系统上运行，会系统性地搜索敏感文件并提取凭证、SSH密钥和.gitconfig文件。 该公司表示：“值得注意的是，该活动通过使用危险标志提示已安装的AI CLI工具来窃取文件系统内容，利用受信任的工具进行恶意侦察。” StepSecurity表示，此事件是首例已知的攻击者将开发者AI助手（如Claude、Google Gemini和Amazon Q）转变为供应链利用工具并绕过传统安全边界的案例。 Socket表示：“在作用域nx软件包中的恶意软件与nx软件包中的恶意软件之间存在一些差异。首先，AI提示不同。在这些软件包中，AI提示更基本一些。这个LLM提示的范围也远没有那么广泛，主要针对加密钱包密钥和秘密模式以及特定目录，而@nx中的提示则会抓取任何有趣的文本文件。” Aikido的Charlie Eriksen表示，使用LLM客户端作为枚举受害机器上秘密的载体是一种新颖的方法，并为防御者提供了关于攻击者未来可能方向的洞察。 StepSecurity的Ashish Kurmi说：“鉴于nx生态系统的流行度以及AI工具滥用的新颖性，此事件凸显了供应链攻击不断演变的复杂性。对于任何安装了受感染版本的用户来说，立即采取补救措施至关重要。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，黑客正通过滥用企业官网“联系我们”表单，向美国工业及科技公司投递伪装成保密协议文件的恶意软件。与传统钓鱼攻击不同，黑客首先通过企业官网表单联系受害者，使后续通信更具可信度。 黑客假扮潜在商业伙伴，与目标企业进行长达两周的沟通，要求受害者签署保密协议。最终发送的合同文件托管在合法云平台Heroku上，实际为包含定制化恶意软件MixShell的ZIP压缩包。研究人员指出：“这种长期互动表明攻击者愿意投入时间，可能根据目标价值或入侵难度调整策略”。 约80%的受害者位于美国，主要为工业机械、金属加工及零部件制造商。半导体、生物技术、制药、航空航天、能源及消费品行业企业同样遭袭，新加坡、日本和瑞士亦有企业受害。 值得注意的是，并非所有ZIP文件均含恶意代码——部分仅包含无害文档。这表明黑客可能根据受害者IP地址、浏览器特征等条件，在Heroku平台选择性投放真实恶意负载。 为增强可信度，攻击者使用注册于美国的真实企业域名（部分可追溯至2015年）。这些域名对应的网站实为统一模板生成的虚假页面，“关于我们”栏目均使用同一张白宫管家照片冒充公司创始人。凭借长期存在的域名信誉，攻击者成功绕过安全过滤系统。 尽管尚未锁定具体攻击组织，但Check Point发现某台服务器与黑客组织UNK_GreenSec的基础设施存在重叠。该组织此前曾显现与俄罗斯背景黑客的关联迹象，研究人员判断此次攻击主要出于经济利益驱动。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场旨在传播 Atomic macOS Stealer (AMOS) 变种的高级恶意广告活动已针对数百家组织发起。 在 2025 年 6 月至 8 月期间，该活动将受害者引向欺诈性的 macOS 帮助网站，并诱使他们执行恶意的单行安装命令。 其最终目的是让受害者感染 SHAMOS 变种（AMOS 信息窃取程序），该变种由恶意软件即服务 (MaaS) 团伙 Cookie Spider 开发。 在此期间，CrowdStrike 表示其阻止了该恶意广告活动企图入侵其超过 300 个客户环境的尝试。 “这次活动突显了恶意单行安装命令在网络犯罪（eCrime）行为者中的流行程度。” CrowdStrike 在最近的一篇博客中表示。 该技术使网络犯罪分子能够绕过 Gatekeeper 安全检查，将 Mach-O（一种主要由 macOS 使用的二进制格式）可执行文件直接安装到受害者设备上。 Cuckoo Stealer 和 SHAMOS 的操作者曾在 2024 年 5 月至 2025 年 1 月期间发生的 Homebrew 恶意广告活动中利用过此方法。 CrowdStrike 指出，该恶意广告网站出现在包括英国、美国、日本、中国、哥伦比亚、加拿大、墨西哥、意大利等地的谷歌搜索结果中。 该公司的分析称，没有受害者位于俄罗斯。“这很可能是因为俄罗斯的网络犯罪论坛禁止商品化恶意软件操作者针对位于俄罗斯的用户，”该公司表示。 这些欺诈性的 macOS 帮助网站提供了关于用户如何解决问题的错误指导。然而，页面指示受害者复制、粘贴并执行一个恶意的单行安装命令，该命令会解码 Base64 编码的字符串。 随后，该命令会从 https[:]//icloudservers[.]com/gm/install[.]sh 下载一个文件。该文件是一个 Bash 脚本，会捕获用户密码并从 https[:]//icloudservers[.]com/gm/update 下载 SHAMOS 的 Mach-O 可执行文件。 自 2025 年 6 月首次报告此类活动以来，CrowdStrike Counter Adversary Operations 表示，他们持续观察到机会主义的网络犯罪威胁行为者利用恶意的 GitHub 仓库诱使受害者执行下载 SHAMOS 的命令。 CrowdStrike Counter Adversary Operations 高度确信，网络犯罪行为者很可能会继续利用恶意广告和单行安装命令来分发 macOS 信息窃取程序。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文