HackerNews 编译，转载请注明出处： 微软于周六向 SharePoint Server 客户发出紧急警告，称攻击者正在利用该软件产品中的一个零日漏洞（CVE-2025-53770，CVSS 评分为 9.8）。 目前尚无针对该漏洞（被命名为“ToolShell”）的补丁，微软称其为 CVE-2025-49706 的变种。这家总部位于华盛顿州雷德蒙德的科技巨头表示，安全更新正在开发中，并提供了缓解措施和检测指导。安全团队应立即采取行动，在此期间实施缓解措施。 谷歌发言人告诉 SecurityWeek：“谷歌威胁情报小组观察到威胁行为者利用此漏洞安装 Webshell，并从受害者服务器窃取加密密钥。这会导致持续的、未经身份验证的访问，并对受影响的组织构成重大风险。” 安全公司 Eye Security 表示，他们发现“数十个系统遭到主动入侵”，入侵可能发生在 7 月 18 日 18:00 左右（中欧时间）和 7 月 19 日 07:30 左右（中欧时间）的攻击中。 Palo Alto Networks Unit42 团队周六表示，他们也观察到影响 Microsoft SharePoint 的漏洞 CVE-2025-49704 和 CVE-2025-49706 正被积极利用。 微软在其安全公告中解释道：“为保护本地 SharePoint Server 环境，建议客户在 SharePoint 中配置 AMSI 集成，并在所有 SharePoint 服务器上部署 Defender AV。这将阻止未经身份验证的攻击者利用此漏洞。” Mandiant Consulting – Google Cloud 首席技术官查尔斯·卡玛卡尔评论道：“各组织需要立即实施缓解措施（并在补丁可用时应用），假设系统已遭入侵，调查在补丁/缓解措施应用之前系统是否已被入侵，并采取补救措施。”       消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 里士满放射学协会（Radiology Associates of Richmond，简称RAR）披露了一起影响超过140万人的数据泄露事件。 该医疗机构在其官网上发布的《数据安全事件通告》显示，黑客在2024年4月的几天内入侵了该组织的系统。 超过一年后，里士满放射学协会确认，被入侵的系统中存储了包含可识别个人身份的健康及隐私信息的文件。 该机构目前没有证据表明泄露信息已被恶意使用，仅向社会保障号码（Social Security number）被包含在泄露文件中的患者提供免费的信用监控服务。 里士满放射学协会总部位于弗吉尼亚州里士满，在弗吉尼亚州中部多家医院、独立急诊中心和门诊影像中心提供医学影像服务。 美国卫生与公众服务部（HHS）的医疗数据泄露追踪系统显示，此次事件影响了1,419,091人。 目前没有已知的勒索软件组织宣称对此次攻击负责。 这并非近期披露的唯一重大医疗数据泄露事件。HHS追踪系统显示，马里兰州皮肤病服务提供商安妮阿伦德尔皮肤病学中心（Anne Arundel Dermatology）也遭遇了一起影响190万人的数据泄露。       消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Check Point Research 的数据显示，网络犯罪分子如今平均每周针对全球组织实施 1,984 次网络攻击，较四年前激增了 143%。 2025 年第二季度，全球各组织遭受的网络攻击数量较去年同期增长了 21%，较两年前增长了 58%，与四年前相比更是激增了 2.4 倍。 尽管每周网络攻击的平均数量达到了 1,984 次，但不同行业和地区之间存在显著差异。 教育机构位居榜首，平均每周遭受 4,388 次网络攻击，较上年增长 31%。Check Point 的报告指出，教育行业持续面临压力，原因在于其安全防御资金不足，且“拥有极具诱惑力的学生和教职员工凭证财富，极易被利用”。 研究人员表示：“政府组织因其敏感数据及其可提供地缘政治筹码的能力，仍然是极具吸引力的目标。与此同时，电信行业的攻击量显著增加，突显了其作为国家关键基础设施的重要角色，以及其掌握的敏感客户信息可能成为攻击目标。” 政府组织平均每周遭受 2,632 次网络攻击，而电信行业每周则遭受 2,612 次探测攻击。Check Point 的数据收集自超过 15 万个网络和数百万个端点。 按地区划分，欧洲的网络攻击增长最为显著（22%），北美次之（20%）。研究人员指出：“虽然欧洲的平均攻击量并非最高（1,669 次），但其年增长率（22%）却是最大的，表明该地区的威胁活动呈上升趋势，攻击者正利用该地区的地缘政治紧张局势、监管碎片化以及高度集中的高价值数据。” 非洲的组织每周遭受的攻击次数最多（3,365 次），其次是亚太地区（2,874 次）。 北美公司承受着最具破坏性的勒索软件攻击的最大份额。全球报告了约 1,600 起勒索软件事件，其中 53% 发生在该地区。四分之一的勒索软件攻击袭击了欧洲公司，而亚太地区的占比为 11%。 受经济利益驱动的勒索软件附属团伙主要针对以下行业： 商业服务（10.7%） 工业制造（9.8%） 建筑与工程（9.5%） 医疗保健（7.8%） 消费品和服务（7.6%） 预计情况不会缓解。Check Point 表示：“随着网络攻击在数量和影响范围上不断增长，各组织需要采取主动而非被动的策略。以预防为先的战略，辅以分层防御和持续可见性，仍然是关键。”       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 英国国家网络安全中心（NCSC）报告称，与俄罗斯军事情报局（GRU）有关的威胁行为者一直在使用以前未知的恶意软件对受害者的电子邮件账户进行间谍活动。 这种新的复杂恶意软件被命名为“真实假象”（Authentic Antics），NCSC表示，与GRU有关的威胁组织APT28（又名Fancy Bear、Pawn Storm、Sednit、Sofacy和Iron Twilight）一直在负责部署该恶意软件。 NCSC的分析显示，“真实假象”是专门设计的，旨在通过伪装成合法活动，实现对微软云账户的持久端点访问。该恶意软件的设计投入了“大量心思”，以实现看起来像真实的微软Outlook活动的效果。 它会定期显示一个登录窗口，提示用户输入凭证，这些凭证随后会被恶意软件拦截，同时被拦截的还有用于访问微软服务的OAuth身份验证令牌。该恶意软件还会通过从受害者的账户向攻击者控制的电子邮件地址发送邮件来窃取受害者的数据，这些邮件不会出现在“已发送”文件夹中。 对该恶意软件的分析表明，它没有采用传统的命令与控制（C&C）机制，这种机制可能会增加其被检测到的可能性。 俄罗斯网络威胁持续存在 NCSC行动总监保罗·奇切斯特（Paul Chichester）评论道：“‘真实假象’恶意软件的使用，证明了俄罗斯GRU构成的网络威胁具有持续性和复杂性。多年来NCSC对GRU活动的调查表明，网络防御者不应轻视这种威胁，监控和保护行动对于防御系统至关重要。” “真实假象”恶意软件是在2023年发生一起网络事件后被发现的，该事件由微软和NCSC认证的网络事件响应服务提供商NCC Group进行了调查。 6月17日，乌克兰国家计算机应急响应小组（CERT-UA）识别出一种名为“LameHug”的新恶意软件，该机构表示，有中等把握认为该软件可能与APT28针对乌克兰安全和国防部门的网络攻击有关。 2025年5月，美国国家安全局与包括NCSC在内的盟友发布了一份联合网络安全咨询，强调了一场由俄罗斯国家支持、针对西方物流实体和科技公司的网络活动。该活动同样与APT28有关联。 英国制裁俄罗斯GRU军官 在英国政府分享“真实假象”恶意软件分析的同一天，英国政府还宣布对三个GRU单位（26165、29155和74455）以及18名GRU军官和特工实施制裁，原因是他们参与了全球范围内的网络和信息干扰行动，以支持俄罗斯更广泛的地缘政治和军事目标。 英国外交大臣戴维·拉米（David Lammy）表示：“克里姆林宫应该毫无疑问：我们看清了他们在阴影中的企图，我们不会容忍这种行为。这就是为什么我们要采取果断行动，制裁俄罗斯间谍。保护英国免受伤害是本政府‘变革计划’（Plan for Change）的根本。”       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 加密货币交易所BigONE披露，黑客在昨日的攻击中窃取了价值2700万美元的各类数字资产。该平台宣布，私钥和用户数据在此次入侵中未受影响，所有遭受损失的客户都将从可用储备金中获得全额赔偿。 公告中写道：“7月17日凌晨，BigONE检测到涉及平台部分资产的异常流动。经调查确认，这是第三方攻击我们热钱包的结果。” 该公司向用户保证，攻击方式已被识别并得到完全控制。BigONE已与安全公司SlowMist合作，追踪被盗资金并监控其在各条区块链上的转移情况。交易所表示：“BigONE将全额承担本次事件造成的所有损失。用户资产不会受到任何实质影响。” 几小时后，BigONE管理员宣布，在遭受网络攻击后，存款和交易服务已全面恢复，提款和场外交易功能也将很快重新启用（截至撰写时尚未恢复）。 此外，尚未有关于攻击者具体如何入侵交易所并窃取资金的详细信息公布，但SlowMist表示交易所是供应链攻击的受害者。 与此同时，区块链观测站Lookonchain报告称，黑客已开始洗钱活动，将被盗资产兑换为120枚比特币（BTC）、1272枚以太坊（ETH）、2625枚Solana（SOL）和2330万枚波场币（TRX）。 区块链犯罪调查员ZachXBT对此事件发表了评论，强调BigONE在处理大量源自杀猪盘和投资诈骗的非法收益方面扮演的角色，并表示此类黑客攻击可能有助于为该领域带来“一次自然的净化”。 加密货币盗窃创纪录之年 今日早些时候，Chainalysis发布了其2025年年中加密货币犯罪报告，指出截至目前被盗金额已超过21.7亿美元，超过了2024年的全年总额。 ByJet交易所15亿美元的黑客事件在创下这一破纪录数字中起到了关键作用，也使朝鲜黑客组织成为今年迄今为止的头号盗窃者。 Chainalysis强调了一个显著趋势，即黑客如今更专注于攻击个人钱包，今年所有被盗资金中有23.35%来自个人钱包。 该区块链情报公司还列举了暴力抢劫加密货币的案例，这类案件也随着比特币价格上涨而呈上升趋势。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，恶意软件加载器Matanbuchus正通过Microsoft Teams的社会工程攻击传播。攻击者伪装成IT服务台发起外部通话，诱骗目标启动Windows内置的远程工具快速助手（Quick Assist），随后引导用户执行PowerShell脚本。该脚本下载ZIP压缩包，内含三个通过DLL劫持技术部署Matanbuchus加载器的文件。 Matanbuchus恶意即服务（MaaS）背景 该恶意软件自2021年初在暗网以2500美元/月的租赁价格推广，是可直接在内存中执行恶意载荷的Windows加载器，旨在规避安全检测。2022年6月，威胁分析师Brad Duncan报告其被用于大规模垃圾邮件攻击，分发Cobalt Strike信标。 技术演进：Matanbuchus 3.0新特性 终端防护公司Morphisec分析指出，3.0版本具备显著增强的隐匿与攻击能力： 通信协议升级：C2通信与字符串混淆从RC4加密更换为Salsa20算法 内存规避技术：所有载荷均在内存中启动，消除磁盘痕迹 反沙盒检测：新增区域验证机制，确保仅在指定地理区域运行 系统调用隐匿：通过自定义shellcode执行系统调用，绕过Windows API包装层及EDR监控钩子 静态分析对抗：使用MurmurHash3非加密哈希函数混淆API调用，增加逆向工程难度 攻击链与后期能力 信息收集：获取用户名、域名、操作系统版本、EDR/杀毒软件进程列表、进程权限状态（管理员/普通用户） 载荷执行：支持CMD命令、PowerShell脚本、EXE/DLL/MSI文件及shellcode载荷 自适应攻击：C2服务器根据受害者安全环境动态调整攻击方式 Microsoft Teams滥用趋势 该协作工具近年频遭攻击者滥用： 2023年：研究人员利用软件漏洞实现外部账号恶意投递 2024年：DarkGate恶意软件运营商通过宽松的“外部访问”设置传播加载器 当前：Matanbuchus 3.0运营商将Teams作为初始入侵首选渠道       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯酒类零售连锁品牌WineLab的2000余家门店因母公司遭勒索软件攻击，已停业三天。作为俄罗斯最大酒类生产商之一的诺瓦贝夫集团（Novabev Group）旗下门店张贴告示称，关店系“技术问题”所致。 此次攻击瘫痪了诺瓦贝夫集团部分基础设施，导致WineLab收银系统及在线服务中断。公司确认攻击者索要赎金，但明确拒绝谈判。 “公司坚持拒绝与网络犯罪分子进行任何接触的立场，不会满足其要求。”诺瓦贝夫集团周三声明中表示。该公司补充称，目前尚无客户数据泄露迹象，调查仍在进行中。 攻击者身份尚未明确。尚无勒索组织宣称对事件负责，诺瓦贝夫集团也未公开归因攻击来源。该集团是俄罗斯主要烈酒生产分销商，旗下拥有白鲸（Beluga）和白伦卡亚（Belenkaya）等伏特加品牌。 据俄媒《生意人报》（Vedomosti）援引当地零售商消息，此次网络攻击已导致诺瓦贝夫集团产品发货中断至少两天。消费者报告称无法从门店或自助提货柜提取订单，客服表示将延长线上订单存储期限。 根据Yandex地图位置数据，WineLab在莫斯科、圣彼得堡及周边地区的主要门店目前处于关闭状态。诺瓦贝夫官网及移动应用仍处于离线状态。 《福布斯》俄罗斯版估算，每日停业可能造成2亿至3亿卢布（约260万至380万美元）收入损失。受访网络安全专家表示，俄罗斯大型零售连锁因网络攻击全面停运的情况“前所未见”。 诺瓦贝夫集团称，其内部IT团队正与外聘专家全天候协作恢复系统，并加强防御以应对未来威胁。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子已被发现采用AI驱动的伪装工具，以绕过传统安全措施，并隐藏其钓鱼网站和恶意软件站点，使其难以被检测。 SlashNext的最新研究显示，诸如Hoax Tech和JS Click Cloaker等平台正在提供“伪装即服务”（CaaS），使威胁行为者能够将恶意内容隐藏在看似无害的网站背后。 这些工具利用先进的指纹识别、机器学习和行为定向技术，选择性地仅向真实用户展示诈骗页面，同时向自动化扫描程序提供安全内容。 “我认为这是技术和工具被恶意使用的明显例子，”Apollo Information Systems的首席信息安全官（CISO）安迪·贝内特（Andy Bennett）表示。“就像威胁行为者使用加密一样，他们采用这种原本旨在帮助机会主义营销人员的技术，并将其用于针对特定受害者或逃避检测，这并不令人惊讶。” 这种被称为“伪装”的技术并非新事物，但其对AI的应用代表了一次重大演进。Hoax Tech利用基于指纹的分析和自学习AI引擎，实时分析数百个访问者数据点。可疑流量会被重定向到无害页面，而真实用户则会看到预设的诈骗内容。 复杂的伪装服务商业化 JS Click Cloaker提供类似功能，通过评估每次点击的900多项特征来判断访问的合法性。尽管自称是基于JavaScript的工具，但据报道它避免依赖JavaScript，以应对Google等搜索引擎的检测。 两项服务都宣传提供诸如A/B测试、地理过滤和实时重定向等功能。 “这项研究揭示了网络威胁格局的关键性演进，”Qualys的安全研究经理马尤雷什·丹尼（Mayuresh Dani）先生表示。“像Hoax Tech和JS Click Cloaker这样的平台暴露了威胁行为者能力的显著升级。” 为了应对这些系统，丹尼建议： 实施行为和运行时分析工具 使用多视角和差异扫描 投资于自适应的、AI驱动的防御技术 在网络中全面采用零信任框架 制定针对基于AI威胁的事件响应计划 贝内特警告说，其风险远不止于逃避检测。“利用AI来区分一个检查电子邮件链接是否恶意的工具，和一个因为未检测到恶意活动而通过邮件过滤器、点击了链接的真实用户，这无疑是更高级别的操作，”贝内特说。他补充道，攻击者可能会越来越多地实时为每位访问者个性化定制内容，这进一步增加了检测难度。 安全专家敦促采取更广泛的防御措施 Bugcrowd的CISO特雷·福特（Trey Ford）指出了一些历史相似之处。“这是一个由来已久的问题。二十年前，攻击者使用FastFlux DNS来分析目标的风险并进行漏洞测绘——如今AI驱动的伪装服务就是该能力的现代化版本，”福特解释说。“检测与响应的军备竞赛不能只依赖单一的工具或层面。端点补丁管理、系统加固和浏览器保护仍然是关键的控制和监测点。” 随着伪装技术的演进，安全团队面临着日益增长的压力去适应。没有多层、行为感知的防御措施，恶意网站可能会继续逃避检测，毫无阻碍地触达用户。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软强调了Scattered Spider攻击组织不断演变的战术，并确认已观察到该组织使用新的手法来获取云环境访问权限。 通常，该被微软追踪为Octo Tempest的组织会利用云身份权限来获取本地访问权。但微软表示，最近的攻击活动在入侵初始阶段就涉及同时针对本地账户和基础设施，之后才转向云访问。该组织还被观察到部署DragonForce勒索软件。这家科技巨头的分析报告强调，此次勒索软件部署特别针对VMWare ESX虚拟机管理程序环境。 该组织继续使用激进的社工手段（如操控服务台支持人员）来获取初始访问权限，还部署了利用模仿合法组织的中间人(AiTM)域名的短信钓鱼(SMS) 攻击。 最近，该组织一直在积极针对航空公司实施勒索软件和数据勒索攻击。在2025年4月至7月间，其活动还针对了零售、餐饮服务、酒店组织和保险行业。 微软表示，随着Scattered Spider战术的不断演变，其安全产品将持续更新防护措施。 该公司特别强调了其Microsoft Defender和Microsoft Sentinel安全生态系统。 微软列举了Microsoft Defender中的广泛检测功能，可用于识别与Scattered Spider相关的活动。这些功能覆盖其安全组合的各个方面，包括端点、身份、软件即服务(SaaS)应用、电子邮件与协作工具、云工作负载等，以提供全面的防护覆盖。 攻击可通过利用Microsoft Defender内置的自防御能力（攻击中断）来阻断。攻击中断利用多个指标和行为，并在Microsoft Defender的各工作负载中将其关联为一个高保真事件。 微软表示，基于以往对常见Octo Tempest技术的研究，攻击中断将自动禁用Octo Tempest所使用的用户账户，并撤销该受损用户所有现有活跃会话。 然而，安全运营中心(SOC)团队仍需进行事件响应和事后分析，以确保在成功中断攻击后，威胁被完全遏制和清除。 微软强调了安全团队可通过其安全暴露管理(Security Exposure Management)解决方案采用的若干主动防护战术，以应对Scattered Spider。若部署得当，主动防御战术可以减少暴露面并减轻攻击者混合攻击战术的影响。这些战术包括关键资产防护、威胁行为者计划和攻击路径分析。 微软建议组织应通过（包括但不限于）多重身份验证(MFA)、基于风险的登录策略、用户和设备的最小特权访问等措施，来增强其身份、端点和云安全防护。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 亚马逊旗下Whole Foods（全食超市）的主要供应商——联合天然食品公司（United Natural Foods, Inc.，NYSE：UNFI）表示，2025年6月发生的导致业务运营中断的网络攻击，预计将使2025财年净销售额减少约3.5亿至4亿美元。 这家总部位于罗得岛州的天然食品巨头在周三的更新公告中表示，“预期保险赔款”将大幅抵消这些损失。该公司在7月16日的业务更新中称：“公司预估此次网络事件将使2025财年净销售额减少约3.5亿至4亿美元，净亏损扩大5000万至6000万美元（含预估税费影响），调整后EBITDA（息税折旧摊销前利润）减少约4000万至5000万美元。这些预估数据未反映预期保险赔款的收益，公司预计相关赔款足以覆盖事件损失。除保险理赔外，公司目前预计该事件不会对2025财年第四季度之后产生显著的运营或财务影响。” 该公司曾于6月9日向美国证券交易委员会（SEC）提交文件披露，其于6月5日检测到部分IT系统存在未经授权的活动。为应对入侵，公司关闭了部分系统，导致其履行和配送客户订单的能力受到影响。 UNFI自称是北美最大的全服务杂货供应商，为超过3万个地点配送商品，包括天然产品大型超市、传统连锁超市、电商平台和独立零售商。公司年收入超300亿美元，通过50多个配送中心提供逾25万种天然、有机及传统商品。 UNFI首席执行官桑迪·道格拉斯（Sandy Douglas）表示：“在共渡这段充满挑战的时期期间，我们感谢客户、供应商和员工的抗压能力与配合度。随着运营逐步恢复常态，我们继续专注于为客户和供应商创造附加值，努力成为更高效、更具协作价值的合作伙伴。” 公司更新了全年业绩展望，以反映其在2025财年前三季度的强劲表现，以及6月网络事件相关的预估成本和费用。公告未就该事件提供更多细节，亦未说明攻击是否涉及勒索软件。       消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文