HackerNews 编译，转载请注明出处： MongoDB 披露了一个高危安全漏洞，可能允许未认证用户读取未初始化的堆内存。 该漏洞编号为 CVE-2025-14847（CVSS 评分：8.7），被描述为“长度参数不一致处理不当”的问题。当程序未能正确处理长度字段与实际数据长度不一致的情况时，就会触发该漏洞。 根据 CVE.org 的描述：“Zlib 压缩协议头中的长度字段不匹配，可能允许未认证客户端读取未初始化的堆内存。” 受影响的数据库版本包括： MongoDB 8.2.0 至 8.2.3 MongoDB 8.0.0 至 8.0.16 MongoDB 7.0.0 至 7.0.26 MongoDB 6.0.0 至 6.0.26 MongoDB 5.0.0 至 5.0.31 MongoDB 4.4.0 至 4.4.29 所有 MongoDB Server v4.2 版本 所有 MongoDB Server v4.0 版本 所有 MongoDB Server v3.6 版本 该问题已在以下 MongoDB 版本中得到修复： 8.2.3、8.0.17、7.0.28、6.0.27、5.0.32、4.4.30 MongoDB 官方表示：“攻击者可在未认证的情况下，通过客户端利用服务器的 zlib 实现，返回未初始化的堆内存。我们强烈建议尽快升级至已修复版本。” 如果无法立即更新，建议通过启动 mongod 或 mongos 时设置 networkMessageCompressors 或 net.compression.compressors 参数，显式排除 zlib 来禁用 MongoDB 服务器的 zlib 压缩。MongoDB 支持的替代压缩算法包括 snappy 和 zstd。 安全公司 OP Innovate 指出：“CVE-2025-14847 允许远程、未认证的攻击者触发 MongoDB 服务器返回其堆中的未初始化内存。这可能导致敏感内存数据泄露，包括内部状态信息、指针或其他有助于进一步攻击的数据。”     消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：  一场名为 GhostPoster 的新活动被发现利用 17款 Mozilla Firefox 浏览器扩展程序的 标志文件，嵌入旨在劫持联盟链接、注入追踪代码以及实施点击和广告欺诈的恶意JavaScript代码。 据发现此次活动的 Koi Security 称，这些扩展程序已被累计下载 超过5万次。目前相关插件已不可用。 这些浏览器程序被宣传为VPN、截图工具、广告拦截器以及非官方版本的谷歌翻译等。其中最早上架的扩展程序 Dark Mode 发布于2024年10月25日，声称能为所有网站启用深色主题。受影响的浏览器扩展程序完整列表如下： Free VPN Screenshot Weather (weather-best-forecast) Mouse Gesture (crxMouse) Cache – Fast site loader Free MP3 Downloader Google Translate (google-translate-right-clicks) Traductor de Google Global VPN – Free Forever Dark Reader Dark Mode Translator – Google Bing Baidu DeepL Weather (i-like-weather) Google Translate (google-translate-pro-extension) 谷歌翻译 libretv-watch-free-videos Ad Stop – Best Ad Blocker Google Translate (right-click-google-translate) 安全研究人员 Lotan Sery 和 Noga Gouldman 表示：”它们实际交付的是一个多阶段恶意软件载荷，会监控你浏览的所有内容，剥离浏览器的安全防护，并打开一个用于远程代码执行的后门。“ 攻击链始于加载上述任一扩展程序时获取其标志文件。恶意代码会解析该文件，寻找包含”===”标记的特定部分，以提取出JavaScript代码——一个加载器。该加载器会联系外部服务器以获取主载荷，每次尝试之间等待 48小时。 为进一步逃避检测，加载器被设定为仅在 10% 的情况下才去获取载荷。这种随机性是蓄意设计，旨在规避网络流量监控。 获取的主载荷是一个经过自定义编码的全面工具包，能够在受害者不知情的情况下通过四种方式从其浏览器活动中牟利： 联盟链接劫持：拦截指向淘宝、京东等电商网站的联盟链接，剥夺合法联盟会员的佣金。 追踪代码注入：向受害者访问的每个网页插入谷歌分析追踪代码，默默收集其用户画像。 安全标头剥离：从HTTP响应中移除如内容安全策略和X-Frame-Options等安全标头，使用户面临点击劫持和跨站脚本攻击风险。 隐藏Iframe注入：向页面注入不可见的iframe，加载攻击者控制服务器上的URL，用于广告和点击欺诈。 验证码绕过：采用多种方法绕过验证码挑战，规避机器人检测防护。 研究人员解释道：”为什么恶意软件需要绕过验证码？因为其部分操作（如隐藏iframe注入）会触发机器人检测。恶意软件需要证明自己是’人’才能继续运行。“ 除了概率检查，这些扩展程序还采用了基于时间的延迟，确保在安装超过六天后恶意软件才会激活。这些分层规避技术使得发现其幕后活动更加困难。 需要强调的是，并非所有上述扩展程序都使用完全相同的隐写攻击链，但它们都表现出相同的行为，并与相同的命令与控制基础设施通信，这表明这很可能是同一威胁行为者或组织所为，他们尝试了不同的诱饵和方法。 就在几天前，一款流行的适用于谷歌Chrome和微软Edge的VPN扩展程序被发现秘密收集ChatGPT、Claude和Gemini的AI对话，并将其外泄给数据代理商。而在2025年8月，另一款名为FreeVPN.One的Chrome扩展被发现收集屏幕截图、系统信息和用户位置。 “免费VPN承诺隐私，但天下没有免费的午餐，” Koi Security 评论道，”一次又一次，它们带来的是监控。“ 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个名为“金狼”的全新巨型僵尸网络，其流量曾短暂超越谷歌，登上全球最热门网站榜首。研究人员警告，这个已控制约180万台安卓设备且仍在扩张的僵尸网络，有能力发动前所未有的网络攻击。 根据Cloudflare的数据，10月30日，一个奇怪的域名 14emeliaterracewestroxburyma02132[.]su 曾超越谷歌成为全球最受欢迎的网站。调查发现，这实际上是该僵尸网络用于协调数百万IP地址进行恶意活动的命令与控制服务器。 Xlab随后的调查揭露了这个被研究人员称为“金狼”的、“史上最疯狂”的僵尸网络。其规模已与迄今已知的最大僵尸网络“爱刷”相当甚至超越，而两者实际上共享部分代码库。研究人员通过抢先注册其中一个C2域名得以一窥其内部运作。在三天内，Xlab观测到了270万个不同的源IP地址。仅在12月4日一天，该僵尸网络就有183万个活跃IP地址。 Xlab保守估计，“金狼”由约180万台安卓设备组成，主要感染对象是部署在家庭网络中的电视盒子等安卓设备。这些设备很可能未经谷歌认证，因此缺乏Google Play保护。 获取的样本显示，“金狼”功能强大，除典型的DDoS攻击能力外，还集成了代理转发功能，使攻击者能隐藏真实位置并绕过基于IP的地理限制或黑名单。该恶意软件包含反向Shell，让攻击者能对受感染设备进行命令行访问，从而运行任意命令或部署额外恶意软件。此外，它还具备文件管理功能，能在设备间上传、下载和修改文件。 研究人员惊讶地发现，“金狼”与“爱刷”僵尸网络有关联，推测攻击者在早期阶段直接复用了“爱刷”的代码。但由于“爱刷”在安全产品中检测率较高，攻击者很可能因此重新设计了其隐匿和反检测能力。“金狼”使用了加密技术，并近期引入了利用区块链隐藏或动态获取恶意基础设施信息的“以太隐藏”技术。 该僵尸网络永不眠，受感染设备广泛分布于222个国家和地区的多个时区。按IP来源地统计，巴西约占14%，印度占12.71%，美国占9.58%，阿根廷占7.19%，南非占3.85%，菲律宾占3.58%，墨西哥占3.07%，中国占3.04%。 尽管无法直接测量，但通过观察两次大规模DDoS事件并与“爱刷”横向比较，研究人员认为“金狼”的攻击能力接近30Tbps。而当前的DDoS记录保持者“爱刷”单次攻击的最大吞吐量为29.7 Tbps。Xlab研究人员审查数据后确认“金狼”参与了攻击，并指出许多被归因于“爱刷”的攻击背后，可能并非其单独行动，“金狼”也参与其中，甚至可能是由“金狼”主导。这两个大型僵尸网络在9月至11月期间通过相同的感染脚本传播，共存于同一批设备中，实际上属于同一黑客组织。 尽管参与DDoS攻击，但发送给“金狼”僵尸网络的命令中，96.5%与提供代理服务相关。 对安全记者的“执念” “金狼”的运营者似乎有报复心理。他们甚至在Xlab研究人员调查期间发动了DDoS反制攻击，并在攻击载荷中嵌入针对中国人的攻击性信息。其他样本中还包含了硬编码的种族歧视言论、将金正恩称为最高领导人的政治观点、玩笑话，以及对知名安全记者布莱恩·克雷布斯的嘲讽。 Xlab指出，“金狼”经常在DDoS攻击载荷中包含各种嘲讽、挑衅甚至勒索信息。调查发现，“金狼”的作者对布莱恩·克雷布斯表现出近乎“偏执”的关注，在多个样本中留下了与其相关的“彩蛋”。连研究人员接管的域名中都包含了克雷布斯的名字。网络犯罪分子此前曾试图对其博客发动大规模DDoS攻击，但未成功。 打击行动进行中 Xlab接管攻击者C2服务器的行动似乎引发了后续ISP层面干预的“连锁反应”。其他第三方也处置了相关基础设施并停止了DNS解析。运营者被迫紧急升级C2基础设施，导致每日活跃僵尸设备数锐减至约20万台。然而，12月12日，“金狼”再次升级了基础设施，并傲慢地宣称：“我们有成百上千台服务器在持续尝试，哈哈！” Xlab研究人员敦促制造商改进整个供应链中安卓电视设备的安全性。用户应避免使用未经认证的低价杂牌安卓设备，设置强密码，及时应用固件更新，并避免下载来源不明的应用程序。 消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 根据最新研究，一种新发现的安卓恶意软件正在针对西班牙语用户发动攻击，能够将受害者锁在手机外并勒索赎金。 移动安全公司Zimperium的一份报告称，这种被命名为DroidLock的恶意软件，通过推送模仿合法安卓软件包的虚假应用程序的钓鱼网站进行传播。用户被诱骗安装一个投放器应用，该应用随后会部署包含实际恶意软件的次级有效载荷。 一旦激活，DroidLock可以完全控制受害者的手机，在屏幕上显示一条勒索软件风格的信息，威胁用户如果在24小时内不支付赎金就将删除所有文件。 该恶意软件并不加密数据，但研究人员警告，它有能力更改设备的PIN码、密码或生物识别设置——这实际上会使手机无法使用。该恶意软件还利用设备管理员权限来删除数据、静默通知，并利用手机前置摄像头拍摄图像。 此外，DroidLock会使用一个假的安卓更新界面来阻止用户交互，同时恶意活动在后台进行，并且它可以秘密记录受害者的屏幕活动并传输到远程服务器。 Zimperium没有说明有多少用户被感染或支付了赎金，也没有透露谁是这次攻击活动的幕后黑手。 随着黑客部署新技术来欺骗受害者和规避安全措施，移动恶意软件正在迅速发展。 今年10月，研究人员发现了一种名为Herodotus的新型安卓银行木马，它在受感染设备上进行远程控制操作时，通过模仿人类行为来规避检测。 另一种最近被观察到的恶意软件Sturnus，则可以拦截来自包括WhatsApp、Telegram和Signal在内的应用程序的解密信息。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 已观察到四个不同的威胁活动集群正在利用一种名为CastleLoader的恶意软件加载程序，这强化了先前的评估，即该工具是以恶意软件即服务模式提供给其他威胁行为者的。 CastleLoader背后的威胁行为者已被Recorded Future的Insikt Group命名为GrayBravo，该组织先前将其追踪为TAG-150。 这家万事达卡旗下的公司在今天发布的分析报告中表示，GrayBravo的特点是“快速的开发周期、技术复杂性、对公开报告的响应能力以及广泛且不断发展的基础设施”。 网络安全 该威胁行为者工具集中的一些显著工具包括一个名为CastleRAT的远程访问木马和一个被称为CastleBot的恶意软件框架，该框架包含三个组件：一个shellcode加载器/下载器、一个加载器和一个核心后门。 CastleBot加载器负责注入核心模块，该模块能够联系其命令与控制服务器以检索任务，使其能够下载并执行DLL、EXE和PE（可移植可执行文件）有效载荷。通过此框架分发的部分恶意软件家族包括DeerStealer、RedLine Stealer、StealC Stealer、NetSupport RAT、SectopRAT、MonsterV2、WARMCOOKIE，甚至包括Hijack Loader等其他加载程序。 Recorded Future的最新分析揭示了四个活动集群，每个集群采用不同的策略运作—— 集群1：使用网络钓鱼和ClickFix技术分发CastleLoader，以物流行业为目标（自2025年3月起活跃，被追踪为TAG-160）。 集群2：使用Booking.com主题的ClickFix攻击活动分发CastleLoader和Matanbuchus 3.0（自2025年6月起活跃，被追踪为TAG-161）。 集群3：使用冒充Booking.com的基础设施，结合ClickFix和Steam Community页面作为秘密情报点来通过CastleLoader分发CastleRAT（自2025年3月起活跃）。 集群4：使用恶意广告和伪装成Zabbix与RVTools的虚假软件更新诱饵来分发CastleLoader和NetSupport RAT（自2025年4月起活跃）。 TAG-160发起的攻击也因使用在DAT Freight & Analytics和Loadlink Technologies等货运匹配平台上创建欺诈或已泄露的账户来增强其网络钓鱼活动的可信度而引人注目。Recorded Future补充道，此活动说明其对行业运营有深刻理解，包括冒充合法物流公司、利用货运匹配平台以及模仿真实通信以增强其欺骗性和影响力。 目前评估认为（置信度较低），此活动可能与去年针对北美运输和物流公司分发各种恶意软件家族的另一个未归因集群有关。 Recorded Future表示：“GrayBravo已显著扩大了其用户群，越来越多利用其CastleLoader恶意软件的威胁行为者和运营集群就是明证。这一趋势凸显出，技术上先进且适应性强的工具，特别是来自像GrayBravo这样具有声誉的威胁行为者，一旦被证明有效，如何在网络犯罪生态系统中迅速扩散。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 加拿大组织已成为一个名为STAC6565的威胁活动集群策划的针对性网络攻击行动的焦点。 网络安全公司Sophos表示，其在2024年2月至2025年8月期间调查了与该威胁行为者相关的近40起入侵事件。该攻击行动被高度确信与一个名为Gold Blade的黑客组织存在重叠，该组织也被追踪为Earth Kapre、RedCurl和Red Wolf。 这个出于经济动机的威胁行为者据信自2018年底开始活跃，最初针对俄罗斯的实体，随后将其目标扩展到加拿大、德国、挪威、俄罗斯、斯洛文尼亚、乌克兰、英国和美国的实体。该组织有使用网络钓鱼邮件进行商业间谍活动的历史。 然而，最近的攻击浪潮发现RedCurl参与了使用一种名为QWCrypt的定制恶意软件家族进行的勒索软件攻击。该威胁行为者武器库中的一个显著工具是RedLoader，它将被感染主机的信息发送到命令与控制服务器，并执行PowerShell脚本来收集与受攻击的Active Directory环境相关的详细信息。 Sophos研究员Morgan Demboski表示：“这次攻击行动反映了该组织异常狭窄的地理关注点，近80%的攻击针对加拿大组织。曾经主要专注于网络间谍活动的Gold Blade，已将其活动演变为混合操作，通过一个名为QWCrypt的自定义加密程序，将数据盗窃与有选择的勒索软件部署结合起来。” 其他主要目标包括美国、澳大利亚和英国，在此期间，服务、制造、零售、技术、非政府组织和交通行业受到的影响最为严重。 据悉，该组织以“黑客雇佣兵”模式运作，代表客户进行定制化入侵，同时附带部署勒索软件以从入侵中获利。尽管Group-IB在2020年的一份报告提出了该组织可能是俄语组织的可能性，但目前没有迹象可以证实或否认这一评估。 Sophos将RedCurl描述为一个“专业化的行动”，称该威胁行为者因其完善和发展其攻击手法以及发起隐蔽勒索攻击的能力而与其他网络犯罪集团不同。也就是说，没有证据表明它是国家资助或有政治动机的。 该网络安全公司还指出，其行动节奏以一段时间的无活动为标志，随后是使用改进战术的突然攻击激增，这表明该黑客组织可能正在利用停工期来更新其工具集。 STAC6565始于针对人力资源人员的鱼叉式网络钓鱼电子邮件，诱骗他们打开伪装成简历或求职信的恶意文档。至少从2024年11月起，该活动就利用Indeed、JazzHR和ADP WorkforceNow等合法求职平台上传武器化的简历，作为求职申请过程的一部分。 Demboski解释说：“由于招聘平台使人力资源人员能够查看所有收到的简历，将有效载荷托管在这些平台上并通过一次性电子邮件域发送，不仅增加了文档被打开的可能性，而且还逃避了基于电子邮件的保护措施的检测。” 在一个事件中，发现上传到Indeed的一份虚假简历会将用户重定向到一个设有陷阱的URL，最终通过RedLoader链导致部署QWCrypt勒索软件。在2024年9月、2025年3月/4月和2025年7月，至少观察到了三种不同的RedLoader投递序列。投递链的某些方面此前已由Huntress、eSentire和Bitdefender详细描述过。 2025年7月观察到的主要变化涉及使用由虚假简历投放的ZIP存档。存档中存在一个冒充PDF的Windows快捷方式文件。该LNK文件使用“rundll32.exe”从托管在Cloudflare Workers域名后的WebDAV服务器获取重命名版本的“ADNotificationManager.exe”。 然后，攻击启动合法的Adobe可执行文件，从同一WebDAV路径侧加载RedLoader DLL。该DLL继续连接到外部服务器以下载并执行第二阶段有效载荷，这是一个独立的二进制文件，负责连接到不同的服务器，并检索第三阶段独立可执行文件以及一个恶意的DAT文件和一个重命名的7-Zip文件。 两个阶段都依赖微软的程序兼容性助手来执行有效载荷，这种方法在以前的攻击活动中也出现过。唯一的区别是，有效载荷的格式在2025年4月转变为EXE文件，而不是DLL文件。 Sophos表示：“该有效载荷解析恶意的.dat文件并检查互联网连接。然后它连接到另一个攻击者控制的C2服务器，创建并运行一个自动化系统发现的.bat脚本。该脚本解压Sysinternals AD Explorer并运行命令以收集主机信息、磁盘、进程和已安装的防病毒产品等详细信息。” 执行结果被打包成一个加密的、受密码保护的7-Zip存档，并传输到攻击者控制的WebDAV服务器。还观察到RedCurl使用开源反向代理RPivot和Chisel SOCKS5进行C2通信。 攻击中使用的另一个工具是Terminator工具的定制版本，该工具利用签名的Zemana AntiMalware驱动程序，通过所谓的自带易受攻击驱动程序攻击来结束与防病毒相关的进程。至少在2025年4月的一个案例中，威胁行为者在通过SMB共享将其分发到受害者环境中的所有服务器之前，对这两个组件都进行了重命名。 Sophos还指出，大多数这些攻击在安装QWCrypt之前就被检测到并得以缓解。然而，其中三起攻击——一起在4月，两起在2025年7月——导致了成功的部署。 它补充道：“在4月的事件中，威胁行为者手动浏览并收集了敏感文件，然后暂停活动超过五天，才部署加密程序。这种延迟可能表明攻击者在试图将数据货币化或未能找到买家后转向了勒索软件。” QWCrypt部署脚本针对目标环境进行了定制，通常在文件名中包含特定于受害者的ID。该脚本一旦启动，会检查Terminator服务是否正在运行，然后采取措施禁用恢复功能，并在网络中的终端设备（包括组织的虚拟机管理程序）上执行勒索软件。 在最后阶段，该脚本运行一个清理批处理脚本，删除现有的卷影副本和每个PowerShell控制台历史文件，以阻碍取证恢复。 Sophos表示：“Gold Blade对招聘平台的滥用、休眠与爆发的周期循环以及对投递方法的持续完善，展示了一种通常不与经济动机行为者相关的操作成熟度。该组织维护着一个全面且组织良好的攻击工具包，包括开源工具的修改版本和自定义二进制文件，以促进多阶段恶意软件投递链。” 此次披露之际，Huntress表示，它注意到针对虚拟机管理程序的勒索软件攻击大幅激增，从今年上半年的3%跃升至下半年迄今为止的25%，这主要是由Akira组织推动的。 研究人员Anna Pham、Ben Bernstein和Dray Agha写道：“勒索软件操作者直接通过虚拟机管理程序部署勒索软件有效载荷，完全绕过了传统的终端保护。在某些情况下，攻击者利用OpenSSL等内置工具对虚拟机卷进行加密，避免了上传自定义勒索软件二进制文件的需要。这种转变突显了一个日益增长且令人不安的趋势：攻击者正在瞄准控制所有主机的基础设施，并且通过访问虚拟机管理程序，对手极大地放大了其入侵的影响。” 鉴于威胁行为者对虚拟机管理程序的关注度提高，建议使用本地ESXi账户，实施多因素身份验证，执行强密码策略，将虚拟机管理程序的管理网络与生产和普通用户网络隔离，部署跳板机以审核管理员访问权限，限制对控制平面的访问，并将ESXi管理接口访问限制在特定的管理设备上。 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一种新型高精密语音钓鱼攻击活动已出现，该攻击将传统语音钓鱼与现代协作工具相结合，用以投放隐蔽性极强的恶意软件。 攻击者借助微软 Teams 通话功能以及远程支持工具 “快速助手”，实现对企业安全边界的突破。 他们通过冒充高级 IT 人员制造紧迫感，瓦解受害者的防备心理，进而启动多阶段感染流程，以此规避常规检测机制。 攻击的初始阶段，攻击者会使用外部账号发起 Teams 通话，并伪造显示名称，伪装成企业内部合法管理员。 随后，威胁行为者诱骗目标设备启动微软 “快速助手”（一款 Windows 系统原生工具），这一操作可绕过多数会标记第三方远程访问软件的常规安全管控。一旦建立远程访问连接，攻击者便会着手投放恶意载荷。 该攻击活动由 SpiderLabs 安全分析师率先发现，分析师指出，此类攻击已明显转向利用受信任的系统内置实用工具来实施入侵。 该攻击活动的危害性极大，原因在于其主要依赖社会工程学手段，而非软件漏洞发起攻击。 攻击者通过.NET 恶意软件封装器，可直接在内存中执行代码，最大程度减少在终端设备上留下的取证痕迹。 这种无文件攻击方式给传统的事件响应工作带来极大阻碍，因为磁盘上可供调查人员分析的攻击遗留痕迹极少。 感染机制技术分析 此次攻击的核心是一条复杂的感染链路，涉及一个.NET Core 8.0 可执行文件。名为 updater.exe 的恶意文件充当着嵌入式库 loader.dll 的封装载体。 该加载器在执行后，会先与位于 jysync [.] info 的命令与控制服务器建立连接，获取特定加密密钥。 这些密钥对后续阶段至关重要 —— 恶意软件会凭借密钥下载加密的载荷文件。 解密过程结合了 AES-CBC 算法与 XOR 运算，以此解锁恶意程序集。 尤为关键的是，解密后的代码绝不会写入磁盘，而是通过.NET 反射技术直接加载至系统内存中，从而实现极高的驻留性与隐蔽性。     消息来源：cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 新型 GhostFrame 钓鱼工具包 一款名为 GhostFrame 的新型高复杂度钓鱼工具包已被用于发起超 100 万次攻击。 该隐蔽工具由Barracuda安全研究员于 2025 年 9 月首次发现，是钓鱼即服务（phishing-as-a-service）技术的一次危险升级。 GhostFrame 之所以格外值得警惕，在于其兼具易用性与攻击有效性。 与传统钓鱼工具包不同，GhostFrame 会生成一个看似无害的 HTML 文件，并将所有恶意操作隐匿在隐形 iframe 框架中。这个嵌入式小窗口会从其他来源加载攻击内容，这种方式让安全工具极难检测到攻击行为。 攻击实施流程 该工具包的攻击分为两个阶段： 钓鱼邮件投递：受害者会收到带有欺诈性主题的钓鱼邮件，例如 “保密合同与提案通知”“密码重置请求” 等。 恶意页面诱导：用户点击邮件链接后，会进入一个看似安全的网页，而页面底层的 iframe 框架会从不断变更的子域名中加载真实的钓鱼内容。 为进一步规避检测，攻击者会为每个目标单独创建专属子域名。同时，工具包还内置反分析功能：禁用右键菜单、屏蔽快捷键、关闭开发者工具，让安全分析师或普通用户几乎无法对页面进行安全核查。 GhostFrame 工具包的核心特性 GhostFrame 搭载多项高隐蔽性功能： 钓鱼表单伪装：将钓鱼表单隐藏在为大文件设计的图像流功能中，以此绕过针对传统登录表单的安全扫描； 子域名动态轮换：可在攻击会话中实时切换子域名，且配备备用 iframe 框架，应对 JavaScript 被拦截的情况； 多目标灵活适配：攻击者无需修改主页面即可替换钓鱼内容，能够同时针对多个地区或机构发起攻击； 仿冒合法服务：通过修改页面标题和网站图标来模拟正规服务，增强伪装的真实性。 防护建议 Barracuda安全专家建议采用多层防御策略： 企业需强制浏览器定期更新，部署可检测可疑 iframe 的邮件安全网关，并对网站 iframe 使用权限进行管控； 员工安全培训至关重要，需养成核验网址后再输入凭据的习惯，及时上报可疑嵌入内容。 随着 GhostFrame 在全球范围持续扩散，保持警惕并部署全面的邮件安全解决方案，是抵御这类新型威胁的关键。   消息来源：cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一、WhatsApp 蠕虫传播银行木马攻击 威胁组织 Water Saci正不断升级攻击战术，采用复杂的多层级感染链，通过 HTML 应用程序文件和 PDF 文档，借助 WhatsApp 传播蠕虫病毒，向巴西用户投放银行木马。 此次攻击浪潮的显著特征是，攻击者将恶意代码从 PowerShell 迁移至 Python 变体，通过 WhatsApp Web 以蠕虫形式扩散恶意软件。 趋势科技研究员杰弗里・弗朗西斯・博纳奥布拉、莎拉・珀尔・卡米林、乔・苏亚雷斯、拜伦・赫莱拉、伊恩・克尼菲克及伊曼纽尔・帕诺皮奥指出：“他们新采用的多格式攻击链，以及可能利用AI将传播脚本从 PowerShell 转换为 Python 的做法，体现了分层攻击思路。这一策略使水萨西能够绕过传统安全控制，利用多渠道用户信任，显著提升感染率。” 攻击流程解析 钓鱼诱导：用户通过 WhatsApp 收到来自可信联系人的消息，诱导其打开恶意 PDF 或 HTA 附件，触发感染链。其中，PDF 诱饵会提示受害者点击嵌入式链接更新 Adobe Reader。 HTA 文件执行：接收 HTA 文件的用户打开后，会被诱骗立即执行 Visual Basic 脚本，该脚本随后运行 PowerShell 命令，从远程服务器获取下一阶段载荷 —— 木马的 MSI 安装程序和负责通过 WhatsApp Web 传播恶意软件的 Python 脚本。 Python 脚本优势：趋势科技表示，“这款新发现的变体具备更广泛的浏览器兼容性、面向对象的代码结构、增强的错误处理能力，以及通过 WhatsApp Web 实现更快的恶意软件自动化分发。这些改进使传播速度更快、抗故障能力更强，且更易于维护和扩展。” 恶意软件功能与靶向攻击 安装与持久化：MSI 安装程序通过 AutoIt 脚本投放银行木马，并检查名为 “executed.dat” 的标记文件，确保同一时间仅运行一个木马实例（若文件不存在则创建，并向攻击者控制的服务器 “manoelimoveiscaioba [.] com” 发送通知）。 地域靶向：脚本会验证 Windows 系统语言是否为巴西葡萄牙语，仅当满足该条件时才继续扫描受感染系统的银行相关活动，包括检测巴西主要银行应用、安全及反欺诈模块的文件夹（如布拉德斯科银行、华沙安全软件、Topaz OFD、西库银行、伊塔乌银行等）。 侦察行为：脚本还会分析用户的谷歌浏览器浏览历史，搜索预设的巴西银行网站（如桑坦德银行、巴西银行、联邦储蓄银行、西克雷迪银行、布拉德斯科银行）；同时检查已安装的杀毒软件和安全工具，收集详细的系统元数据。 核心攻击动作：木马监控打开的窗口并提取标题，与银行、支付平台、交易所及加密货币钱包的关键词列表进行匹配。若检测到目标窗口，脚本会查找安装程序释放的 TDA 文件，解密后注入 “空心化” 的 “svchost.exe” 进程，随后加载包含银行木马的 DMP 文件。趋势科技解释：“若存在 TDA 文件，AutoIt 脚本会将其解密并作为中间 PE 加载器（第二阶段）载入内存；若仅发现 DMP 文件（无 TDA），则跳过中间加载器和进程空心化步骤，直接将银行木马载入 AutoIt 进程内存，形成更简洁的两阶段感染。” 持久化机制：木马通过持续监控新生成的 “svchost.exe” 进程维持持久化，若进程被终止，会重新启动并等待受害者下次打开目标金融服务浏览器窗口时，重新注入载荷。 战术升级与威胁特征 此次攻击的重大战术转变在于，投放的银行木马并非该组织此前使用的 Maverick，而是与 Casbaneiro（又名 Metamorfo、Ponteiro）木马在结构和行为上存在连续性的恶意软件。这一判断基于其采用的 AutoIt 交付与加载机制、窗口标题监控、注册表持久化及基于 IMAP 的备用命令与控制（C2）机制 —— 类似特征早在 2019 年就已出现在针对拉丁美洲（LATAM）的银行木马中。 木马启动后，会执行 “激进的” 反虚拟化检查以规避分析和检测，通过 Windows 管理规范查询收集主机信息，修改注册表实现持久化，并与 C2 服务器 “serverseistemasatu [.] com” 建立连接，发送收集到的信息并接收后门命令，实现对受感染系统的远程控制。 其核心功能包括： 发送系统信息 启用键盘记录 启动 / 停止屏幕捕获 修改屏幕分辨率 模拟鼠标移动和点击 执行文件操作 上传 / 下载文件 枚举窗口 创建伪造银行界面（Overlay）捕获凭证和交易数据 此外，Python 脚本作为 PowerShell 版本的增强版，借助 Selenium 浏览器自动化工具，可通过 WhatsApp Web 会话向所有联系人分发恶意软件。趋势科技指出，“有充分证据表明，水萨西可能使用了大型语言模型（LLM）或代码转换工具将传播脚本从 PowerShell 迁移至 Python，两款版本功能高度相似，且控制台输出中包含表情符号。” 趋势科技总结：“水萨西攻击事件标志着巴西网络威胁进入新时代 —— 攻击者利用 WhatsApp 等热门即时通讯平台的信任度和覆盖范围，策划大规模、自传播的恶意软件攻击。通过将熟悉的通信渠道武器化，并运用高级社会工程学，威胁组织能够迅速攻陷受害者设备，绕过传统防御，维持银行木马的持久感染。此次攻击表明，合法平台可能被转化为强大的恶意软件传播载体，同时凸显了该地区网络犯罪活动的日益复杂化。” 二、RelayNFC 安卓恶意软件针对巴西发起 NFC 中继攻击 与此同时，巴西银行用户正遭受一款名为 RelayNFC 的新型安卓恶意软件攻击。该恶意软件此前未被公开记录，专门实施近场通信中继攻击，窃取非接触式支付数据。相关攻击活动始于 2025 年 11 月初。 Cyble 安全团队在分析报告中表示：“RelayNFC 实现了完整的实时 APDU 中继通道，使攻击者能够在受害者卡片未实际在场的情况下完成交易。该恶意软件基于 React Native 和 Hermes 字节码构建，增加了静态分析难度，有助于规避检测。” 攻击流程与技术细节 传播方式：主要通过钓鱼攻击传播，攻击者搭建葡萄牙语诱饵网站（如 “maisseguraca [.] site”），以 “保障支付卡安全” 为借口，诱骗用户安装恶意软件。 数据窃取：与 SuperCard X、PhantomCard 等其他 NFC 中继恶意软件家族类似，RelayNFC 扮演 “读卡器” 角色，指示受害者将支付卡轻触手机以收集卡片数据。读取完成后，恶意软件会提示用户输入 4 位或 6 位 PIN 码，捕获的信息通过 WebSocket 连接发送至攻击者服务器。 实时中继交易：Cyble 解释：“当攻击者通过其销售终端（POS）仿真设备发起交易时，C2 服务器会向受感染手机发送特制的‘apdu’类型消息，包含唯一请求 ID、会话标识符和编码为十六进制字符串的 APDU 命令。RelayNFC 接收指令后，解析数据包、提取 APDU 数据，并直接转发至受害者设备的 NFC 子系统，相当于物理支付卡的远程接口。” 潜在战术扩展 Cyble 的调查还发现了另一个钓鱼网站（“test.ikotech [.] online”），该网站分发的 APK 文件部分实现了主机卡模拟（HCE）功能，表明威胁组织正在测试不同的 NFC 中继技术。HCE 允许安卓设备模拟支付卡，使受害者的卡片交互能够在合法销售终端（PoS）与攻击者控制的设备之间传输，从而实现实时 NFC 中继攻击。目前该功能仍在开发中，因为 APK 文件未在包清单中注册 HCE 服务。 Cyble 指出：“RelayNFC 攻击事件凸显了针对支付系统的 NFC 中继恶意软件的快速演变，尤其是在巴西地区。威胁组织结合钓鱼传播、基于 React Native 的混淆技术，以及通过 WebSocket 实现的实时 APDU 中继，打造了一套高效的远程 EMV 交易欺诈机制。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 行车记录仪已成为全球驾驶员的必备设备，在发生交通事故或道路纠纷时，它能充当可靠的证据留存工具。 但新加坡网络安全研究团队在2025年安全分析师峰会上公布的研究结果显示，攻击者可绕过设备的身份验证机制，获取其中存储的高清视频片段、音频记录以及精准的GPS数据。 研究详情 此次研究以热门品牌Thinkware的行车记录仪为切入点，共对来自约15个品牌的24款行车记录仪展开了检测。 研究发现，多数行车记录仪即便未搭载蜂窝网络通信模块，也配置了内置Wi-Fi。用户可通过手机应用实现设备与手机的配对。 但这种联网特性恰好留下了较大的攻击空间，网络不法分子可借此远程下载设备中存储的数据。 卡巴斯基实验室的安全研究人员还指出，多数型号的行车记录仪采用硬编码默认密码，且硬件架构高度相似，这一缺陷使其极易成为黑客大规模攻击的目标。 一旦成功接入行车记录仪，攻击者便能获取其搭载的 ARM处理器的访问权限。该处理器运行着精简版Linux系统。这一突破为攻击者打开了方便之门，使其得以运用多种已验证有效的攻击手段 —— 这类手段此前在物联网设备攻击中极为常见。 身份验证绕过手段 研究人员发现了攻击者绕过厂商身份验证的多种方式，具体如下： 直接文件访问：黑客可直接发起视频下载请求，无需验证密码。因为设备的网络服务器仅在主入口处核验用户身份凭证； 媒体访问控制地址伪造：攻击者可拦截并复制行车记录仪主人的手机设备标识； 重放攻击：先录制设备与手机间正常的无线网络通信数据，待后续时机成熟时再利用这些数据实施攻击。 蠕虫式传播攻击风险 最值得警惕的是，研究人员测试得出这类攻击具备蠕虫式传播能力。 他们编写的恶意代码可在已被入侵的行车记录仪上直接运行，当被劫持设备的车辆与周边车辆以相近车速行驶时，受感染的行车记录仪会自动攻击附近车辆上的行车记录仪。 在城市环境中，一个能尝试多种密码组合与攻击方式的恶意程序，大约可成功入侵四分之一的行车记录仪。 攻击者获取这些设备中的数据后，能实现对车辆行驶轨迹的全程追踪、车内对话监听以及乘车人员身份识别。 通过提取全球定位系统的元数据、识别道路标识上的文字信息，并借助 OpenAI 模型转写音频内容，攻击者可生成详尽的行程报告。 再结合对用户行为模式的分析，就能精准锁定受害者的真实身份，彻底破解其匿名保护状态。   消息来源：cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文