HackerNews 编译，转载请注明出处： 维基媒体基金会今日遭遇安全事件，一款自传播 JavaScript 蠕虫篡改用户脚本并破坏 Meta-Wiki 页面。 维基编辑首先在 “村舍水泵（技术版）” 板块上报该事件，用户发现大量自动化编辑行为向随机页面植入隐藏脚本并实施破坏。 维基媒体工程师暂时限制全平台编辑功能，同时调查攻击并回滚篡改内容。 JavaScript 蠕虫细节 据维基媒体 Phabricator 问题追踪系统显示，事件源于俄文维基上的恶意脚本被执行，导致维基百科全局 JavaScript 脚本被植入恶意代码。 该恶意脚本存储于 User:Ololoshka562/test.js[存档]，最早上传于 2024 年 3 月，据称与此前维基项目攻击所使用的脚本相关。 BleepingComputer 分析编辑记录发现，该脚本今日早些时候首次被维基媒体员工账号执行，当时该账号正在测试用户脚本功能。目前尚不清楚脚本是被故意执行、测试中意外加载，还是因账号被盗触发。 BleepingComputer 分析存档的 test.js 脚本发现，其通过向登录用户的 common.js 和维基百科全局 MediaWiki:Common.js（所有用户共用） 注入恶意 JavaScript 加载器实现自传播。 MediaWiki 支持全局和用户专属 JavaScript 文件（如 MediaWiki:Common.js、User:<用户名>/common.js），这些文件在编辑者浏览器中执行，用于自定义维基界面。 当 test.js 脚本在登录编辑者的浏览器中加载后，会利用该编辑者的会话和权限尝试修改两个脚本： ·     用户级持久化：覆盖 User:<用户名>/common.js，植入加载器 —— 该用户登录浏览维基时会自动加载 test.js 脚本。 ·     全站级持久化：若用户拥有对应权限，脚本会编辑全局 MediaWiki:Common.js，使所有使用该全局脚本的编辑者都执行恶意代码。 向 MediaWiki:Common.js 注入自传播 JavaScript 蠕虫的代码（来源：BleepingComputer） 若全局脚本被成功篡改，所有加载该脚本的用户都会自动执行加载器，进而重复相同步骤（包括感染自身 common.js）。 遭感染的维基媒体用户 common.js 脚本（来源：BleepingComputer） 该脚本还能通过 Special:Random 维基指令获取随机页面，编辑页面插入图片及以下隐藏 JavaScript 加载器： BleepingComputer 分析显示，事件中约 3996 个页面被篡改，85 名用户的 common.js 文件被替换，被删除的页面数量尚未可知。 遭 JavaScript 蠕虫篡改的页面（来源：BleepingComputer） 随着蠕虫扩散，工程师暂时限制全平台编辑功能，同时回滚恶意修改、移除注入脚本的引用。清理过程中，维基媒体基金会员工还回滚了平台上大量用户的 common.js 文件。被篡改的页面现已被 “屏蔽”，不再显示在修改记录中。 截至发稿，注入代码已被清除，编辑功能恢复正常。但维基媒体尚未发布详细事后报告，说明休眠脚本被执行的具体原因，以及蠕虫被控制前的扩散范围。 更新内容：维基媒体基金会向 BleepingComputer 发布声明称，恶意代码仅活跃 23 分钟，期间仅篡改 / 删除 Meta-Wiki 内容（现已恢复）。 声明全文：“今日早些时候，维基媒体基金会员工正对维基百科上用户编写的代码进行安全审查。审查过程中激活了一段休眠代码，随后发现该代码具有恶意性质。作为预防措施，我们暂时禁用维基百科及其他维基媒体项目的编辑功能，同时清除恶意代码并确认平台可安全使用。此次故障的安全问题现已解决。 恶意代码仅活跃 23 分钟，期间篡改 / 删除 Meta-Wiki 内容（现已恢复），未造成永久性损害。无证据表明维基百科遭蓄意攻击，也无个人信息泄露。我们正制定额外安全措施，降低同类事件再次发生的风险。相关更新将通过基金会公开事件日志持续发布。”   消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个疑似与伊朗相关的威胁组织，通过冒充伊拉克外交部，针对伊拉克政府官员发动攻击并投放多款全新恶意软件。 Zscaler ThreatLabz 于 2026 年 1 月监测到该活动，并将其命名为 Dust Specter 进行追踪。攻击通过两条不同的感染链展开，最终投放 SPLITDROP、TWINTASK、TWINTALK 和 GHOSTFORM 恶意软件。 安全研究员 Sudeep Singh 表示：“Dust Specter 使用随机生成的 URI 路径与 C2 服务器通信，并在路径后附加校验值，确保请求来自真实受感染系统。C2 服务器还使用了地理围栏与 User‑Agent 校验。” 此次攻击的一个显著特点是：攻击者攻陷伊拉克政府相关基础设施，用于投放恶意载荷，同时还使用规避技术延迟执行，以躲避检测。 第一条攻击链以加密 RAR 压缩包开始，其中包含名为 SPLITDROP 的 .NET 加载器，它负责加载工作模块 TWINTASK 与 C2 协调模块 TWINTALK。 TWINTASK 是恶意 DLL（libvlc.dll），通过合法 vlc.exe 进行 DLL 侧加载。它每 15 秒轮询 C:\ProgramData\PolGuid\in.txt 获取新指令，并通过 PowerShell 执行，还包含通过修改注册表实现持久化的指令。脚本输出与错误信息记录在 out.txt 中。 TWINTASK 首次运行时会执行压缩包内合法程序 WingetUI.exe，使其侧加载 TWINTALK 的 DLL（hostfxr.dll）。其主要功能是与 C2 通信获取指令、与 TWINTASK 协同，并回传执行结果。支持将 C2 指令写入 in.txt，并支持文件上传与下载。 Singh 表示：“C2 协调模块与工作模块并行运行，通过文件轮询机制执行指令。TWINTALK 运行后进入心跳循环，随机延迟后再轮询 C2 获取指令。” 第二条攻击链是第一条的升级版，将 TWINTASK 与 TWINTALK 全部功能整合为单一程序 GHOSTFORM。它使用内存中直接执行 PowerShell 的方式运行来自 C2 的指令，从而避免在磁盘上留下痕迹。 这并非两条攻击链的唯一区别。部分 GHOSTFORM 样本内置硬编码 Google 表单地址，运行后会自动用默认浏览器打开。表单为阿拉伯语内容，伪装成伊拉克外交部官方调查问卷。 Zscaler 对 TWINTALK 与 GHOSTFORM 源码分析发现，其中存在占位符、表情符号与 Unicode 文本，表明攻击者可能使用生成式 AI辅助开发恶意软件。 此外，与 TWINTALK 关联的 C2 域名 meetingapp[.]site，已被 Dust Specter 在 2025 年 7 月攻击中用于搭建伪造的 Webex 会议邀请页面，诱导用户复制粘贴并运行 PowerShell 脚本 “加入会议”。该手法与 ClickFix 式社会工程攻击高度一致。 该 PowerShell 脚本会创建目录，从同一域名下载载荷并保存为可执行文件，同时创建计划任务每两小时运行该恶意程序。 Dust Specter 与伊朗关联的依据是：伊朗黑客组织长期使用轻量级自定义 .NET 后门。攻陷伊拉克政府基础设施的手法，也与 OilRig（APT34）等伊朗系组织过往攻击一致。 Zscaler 表示：“本次活动中高置信度归属 Dust Specter，通过高度仿真的社会工程诱饵冒充伊拉克外交部攻击政府官员。该活动也反映出主流趋势：ClickFix 式攻击手法与生成式 AI 在恶意软件开发中的广泛使用。”   消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一套此前未公开、包含 23 个 iOS 漏洞利用代码的工具集 “Coruna”，已被多个威胁组织用于定向间谍活动和以牟利为目的的攻击。 Coruna 套件包含5 条完整 iOS 漏洞利用链，其中最复杂的利用非公开技术和防护绕过手段，支持 iOS 13.0 至 17.2.1（2023 年 12 月发布）。 谷歌威胁情报小组（GTIG）研究人员于 2025 年 2 月首次观察到与 Coruna 相关的活动，该活动归属于某监控软件厂商的客户。 当时，研究人员获取了其 JS 投递框架以及针对 CVE-2024-23222 的利用代码，该漏洞是可在 iOS 17.2.1 实现远程代码执行（RCE）的 WebKit 漏洞。苹果已于 2024 年 1 月 22 日在 iOS 17.3 修复该漏洞，此前该漏洞曾被用于 0day 攻击。 同年夏季再次发现同一混淆框架，被疑似俄罗斯网络间谍组织 UNC6353 用于水坑攻击，针对访问被攻陷乌克兰网站的 iPhone 用户，这些网站涉及电商、工业设备、零售工具与本地服务。 Coruna 套件投放时间线（来源：谷歌） Coruna 漏洞套件能力 GTIG 分析师在 2025 年底获取完整套件后发现，其包含 5 条完整利用链，共使用 23 个漏洞，包括： ·     WebKit 远程代码执行 ·     指针认证码（PAC）绕过 ·     沙箱逃逸 ·     内核提权 ·     页面保护层（PPL）绕过 “这些漏洞利用代码附带详尽文档，包括英文母语者编写的文档字符串与注释。最先进的利用代码使用了非公开漏洞利用技术与防护绕过手段。”GTIG 研究人员表示。 部分利用代码复用了三角行动（Operation Triangulation） 中首次发现的漏洞，该行动于 2023 年 6 月由卡巴斯基曝光。该公司后续发现，这些利用代码滥用了苹果设备中未公开的硬件特性。 据 GTIG 研究人员介绍，Coruna 会对设备与系统版本进行指纹识别，然后选择对应的利用链执行。如果设备开启了锁定模式（Lockdown Mode） 反间谍保护或隐私浏览，该框架会停止运行。 适用于 iOS 15.8.5 的 Coruna 利用链（来源：谷歌） 投放 PlasmaGrid 恶意程序 GTIG 分析发现，Coruna 利用链成功后投放的最终载荷之一是名为 PlasmaLoader 的加载器，研究人员将其追踪为 PlasmaGrid，该恶意程序会注入到 iOS 根守护进程 powerd 中。 但该恶意程序并不具备典型间谍软件的功能。它会从 C2 服务器下载额外模块，针对 MetaMask、Phantom、Exodus、BitKeep、Uniswap 等加密货币钱包应用。 威胁组织使用虚假金融与加密货币相关网站投递漏洞套件，诱导访客使用 iOS 设备访问页面。 目标数据包括钱包助记词（BIP39）、“备份助记词”“银行账户” 等敏感字符串，以及存储在苹果备忘录中的数据。 窃取的数据会使用 AES 加密后外传，发送到硬编码的 C2 地址。为提高抗关停能力，该后门还包含以字符串 “lazarus” 为种子的域名生成算法（DGA），生成 .xyz 域名。 GTIG 无法确定 Coruna 如何从服务于监控厂商的间谍活动，流向针对加密货币用户的牟利型恶意活动。 GTIG 在报告中指出：“扩散途径尚不明确，但表明存在活跃的‘二手’0day 漏洞交易市场。” 监控厂商对 Coruna 这类漏洞套件实施严格权限管控，用于为政府客户提供高度定向行动的产品中。苹果一贯表示，此类安全漏洞仅被用于针对高价值目标的有限攻击。 移动安全公司 iVerify 表示，Coruna 是迄今为止最典型的案例之一，证明 “高级间谍软件级能力” 从商业监控厂商流向国家级攻击者，并最终落入大规模犯罪活动手中。 这印证了 iVerify 长期以来的观点：移动威胁格局正在快速演变，“曾经仅用于针对国家元首的工具，现在正被用于攻击普通 iPhone 用户。” 谷歌已将分析 Coruna 时识别的所有网站与域名加入安全浏览名单，并建议 iOS 用户升级到最新版本。若无法更新，建议开启锁定模式（Lockdown Mode）。 除了 Coruna 漏洞套件包含的漏洞及其代号外，GTIG 报告还提供了后门与相关模块的失陷指标（IOC），以及攻击基础设施信息。   消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客于周二在一个网络犯罪论坛上宣布了此次入侵。根据其声明，他们曾试图向 LexisNexis 勒索但未成功。 LexisNexis 法律与专业解决方案部门代表在向媒体发布的声明中表示，尽管攻击者确实获取了部分服务器的访问权限，但受影响系统主要存储 2020 年之前的旧版及废弃数据。 该公司已确认，客户姓名、用户 ID、商务联系方式、客户调查受访者 IP 地址以及支持工单等信息已遭泄露。 公司表示：“LexisNexis 法律与专业解决方案部门已对一起安全事件展开调查，根据目前的调查与检测，我们认为事件已得到控制。没有证据表明我们的产品和服务遭到入侵或受到影响。” 黑客称，他们利用了 React2Shell 漏洞以及安全配置不当的 AWS 实例，访问并窃取了超过 2GB 的数据。据称此次网络攻击发生于上周。 威胁组织声称获取了数百万条数据记录，包括企业账户数据、员工凭证、软件开发密钥，以及 40 万人的个人信息，其中包括 100 余名使用 .gov 邮箱地址的人员。泄露的个人信息包括姓名、电话号码、电子邮箱地址和职务。 这并非 LexisNexis 近年来首次遭遇数据泄露。LexisNexis 风险解决方案部门去年证实，2024 年一起第三方入侵事件导致超过 36 万人的信息被盗。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： FreeScout 客服平台存在一个最高危漏洞，允许黑客在无需用户交互、无需身份认证的情况下实现远程代码执行（RCE）。 该漏洞编号为 CVE-2026-28289，可绕过此前针对另一个 RCE 漏洞（CVE-2026-27636）的修复，后者仅能被拥有上传权限的认证用户利用。 应用安全厂商 OX Security 的研究人员表示，攻击者只需向 FreeScout 中配置的任意邮箱发送一封精心构造的邮件，即可利用该新漏洞。 官方此前的修复方案试图通过修改带受限后缀或以点开头的文件名，来阻止危险文件上传。 OX 研究团队发现，可在文件名前插入零宽空格（Unicode U+200B） 绕过新加入的校验机制，因为该字符不会被视为可见内容。 后续处理会自动移除该字符，使文件最终以点文件（dotfile）形式保存，从而完全绕过最新安全检查，再次触发 CVE-2026-27636 的利用条件。 攻击利用链（来源：OX Research） 研究人员称，更严重的是，只需向 FreeScout 配置的邮箱发送带恶意附件的邮件，即可触发 CVE-2026-28289。 系统会将附件保存到 /storage/attachment/ 目录，攻击者可通过 Web 界面访问上传的恶意载荷，无需认证、无需点击即可在服务器上执行命令，属于零点击漏洞。 厂商在安全公告中表示：“FreeScout 1.8.206 存在补丁绕过漏洞，任何拥有文件上传权限的认证用户，可通过在文件名前加零宽空格上传恶意 .htaccess 文件绕过安全检查，实现服务器 RCE。” FreeScout 是一款开源客服与共享邮箱平台，用于企业管理客服邮件与工单，是可自托管的 Zendesk / Help Scout 替代方案。 该项目在 GitHub 有 4100 Star、620+ Fork；OX 研究称 Shodan 扫描发现 1100 个公开暴露实例，说明其使用范围广泛。 CVE-2026-28289 影响 1.8.206 及以下所有版本，已于四天前发布的 1.8.207 版本中修复。 FreeScout 团队警告，成功利用 CVE-2026-28289 可导致服务器完全被控、数据泄露、内网横向移动、业务中断，建议立即更新补丁。 OX Research 同时建议，即使升级到 1.8.207，也应在 FreeScout 服务器的 Apache 配置中禁用 AllowOverride All。 截至发稿，暂未观察到 CVE-2026-28289 在野利用，但鉴于漏洞性质，短期内出现恶意攻击的风险极高。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员警告，在美以针对伊朗发动代号为 Epic Fury 和 Roaring Lion 的联合军事行动后，报复性黑客行动主义活动激增。 Radware 在周二的报告中表示：“中东地区的黑客行动主义威胁呈现高度不均衡态势，Keymous+ 和 DieNet 两个组织发起了 2 月 28 日至 3 月 2 日期间近 70% 的攻击活动。” 首例分布式拒绝服务（DDoS）攻击由 Hider Nex（又名 Tunisian Maskers Cyber Force）于 2026 年 2 月 28 日发起。 据 Orange Cyberdefense 披露的信息，Hider Nex 是一个支持巴勒斯坦事业的突尼斯秘密黑客行动主义组织。该组织采用攻击 + 泄密策略，将 DDoS 攻击与数据泄露相结合，泄露敏感信息以推进其地缘政治议程。该组织于 2025 年年中出现。 统计显示，共出现 149 起黑客行动主义 DDoS 攻击宣称，针对 16 个国家 110 家不同机构。攻击由 12 个不同组织实施，其中 Keymous+、DieNet 和 NoName057 (16) 占全部活动的 74.6%。 在这些攻击中，绝大多数（107 起）集中在中东地区，重点针对公共基础设施和国家级目标。欧洲成为同期全球 22.8% 攻击活动的目标。全球近 47.8% 的受攻击机构属于政府部门，其次是金融（11.9%）和电信（6.7%）行业。 Radware 表示：“该地区数字战线与实体战线同步扩大，黑客组织同时针对中东更多国家发起攻击，规模前所未有。”“区域内攻击高度集中在三个国家：科威特、以色列和约旦，分别占攻击宣称总量的 28%、27.1% 和 21.5%。” 根据 Flashpoint、Palo Alto Networks Unit 42 和 Radware 的数据，除上述三个组织外，参与破坏性行动的还包括 NOS、CEA、Sylhet Gang、313 Team、Handala Hack、APT Iran、Cyber Islamic Resistance、Dark Storm Team、FAD Team、Evil Markhors 和 PalachPro。 当前网络攻击范围如下： ·     亲俄黑客组织 Cardinal 和 Russian Legion 宣称攻破以色列军事网络，包括铁穹导弹防御系统。 ·     监测到活跃的 SMS 钓鱼活动，攻击者使用假冒以色列本土前线司令部 RedAlert 应用的恶意副本，投放移动监控与数据窃取恶意软件。CloudSEK 表示：“攻击者以战时紧急更新为幌子，诱导受害者侧载恶意 APK，在可用的警报界面下隐藏侵入式监控引擎，针对高度警惕的人群实施监控。” ·     伊朗伊斯兰革命卫队（IRGC）针对中东能源与数字基础设施发起攻击，目标包括沙特阿美和阿联酋的一座 AWS 数据中心。Flashpoint 称，其意图是 “制造最大程度的全球经济冲击，以对冲军事层面的损失”。 ·     Cotton Sandstorm（又名 Haywire Kitten）启用旧网络身份 Altoufan Team，宣称入侵巴林多家网站。Check Point 表示：“这反映出该攻击者行动的应激性，冲突期间其极有可能进一步参与中东地区的入侵活动。” ·     Nozomi Networks 数据显示，伊朗国家背景黑客组织 UNC1549（又名 GalaxyGato、Nimbus Manticore、Subtle Snail）是 2025 年下半年第四活跃的攻击组织，其攻击重点为国防、航空航天、电信及地区政府机构，以推进伊朗地缘政治目标。 ·     伊朗主流加密货币交易所仍在运行，但已宣布调整运营，暂停或批量处理提现，并发布风险提示，建议用户为可能的网络中断做好准备。 ·     TRM Labs 全球政策主管 Ari Redbord 表示：“伊朗目前的情况并非明显的大规模资本外逃，而是市场在网络受限与监管干预下应对波动的表现。”“多年来，伊朗一直存在影子经济，其中一部分通过加密货币规避制裁，包括利用复杂的离岸基础设施。目前在战争、断网和市场波动的压力下，这套基础设施及政权利用它的能力正接受实时压力测试。” ·     Sophos 表示 “观察到黑客行动主义活动激增，但风险并未升级”，攻击主要来自亲伊朗组织，包括 Handala Hack 和 APT Iran，攻击形式包括 DDoS、网站篡改以及针对以色列基础设施的未经证实的入侵宣称。 ·     英国国家网络安全中心（NCSC）向机构发出伊朗网络攻击风险升高警报，敦促其加强安全态势，应对 DDoS、钓鱼活动和对 ICS 的攻击。 Halcyon 勒索软件研究中心高级副总裁、前 FBI 网络部副主任 Cynthia Kaiser 在 LinkedIn 发文称，伊朗素有利用网络行动报复 “所谓政治冒犯” 的先例，她补充称，此类活动越来越多地结合勒索软件。 Kaiser 补充：“伊朗长期以来对针对美国、以色列及其他盟国的民间网络行动持默许或至少是放任态度。”“原因在于，掌握网络犯罪分子能为政府提供更多行动选择。伊朗在考虑如何回应美以军事行动时，若认为这些网络组织能产生有效报复效果，很可能会启用他们。” 网络安全公司 SentinelOne 也以高可信度评估认为，以色列、美国及盟国机构很可能面临直接或间接攻击，重点行业包括政府、关键基础设施、国防、金融服务、教育和媒体。 Nozomi Networks 表示：“伊朗威胁组织历来愿意将间谍活动、破坏行动和心理战结合，以实现战略目标。”“在局势不稳定时期，此类行动往往会加剧，目标超出直接冲突区域，涵盖关键基础设施、能源网络、政府机构和私营企业。” 为应对实体冲突带来的网络风险，建议机构启用持续监控，以匹配升级的威胁活动，更新威胁情报特征、缩小外部攻击面、对联网资产开展全面暴露面检查，验证 IT 与 OT 网络的正确隔离，确保 IoT 设备有效隔离。 CrowdStrike 对抗敌对行动主管 Adam Meyers 向 The Hacker News 表示：“在以往冲突中，伊朗网络组织会将行动与更广泛战略目标对齐，加大对能源、关键基础设施、金融、电信、医疗等目标的施压与曝光度。” “伊朗对手的攻击技术持续进化，已从传统入侵扩展到云和身份为中心的行动，这使其能够在混合企业环境中快速行动，规模与影响进一步提升。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 伊朗无人机本周袭击了亚马逊在阿联酋和巴林的三座数据中心设施，导致中东部分地区云服务中断，地区紧张局势持续升级。 亚马逊称，阿联酋两座数据中心被无人机”直接击中”，巴林设施则因”近距离无人机袭击”受损。公司确认约60项亚马逊云服务（AWS）中断，影响网络流量及依赖云服务的业务。 袭击发生在美以联合打击导致伊朗最高领袖哈梅内伊及多名高级官员身亡后，伊朗对阿联酋及邻国发动报复。据报道，伊朗反击目标超越美军基地，涵盖机场、酒店及关键油气基础设施。 “由于中东持续冲突，两个受影响地区的基础设施因无人机袭击遭受物理破坏，”亚马逊声明。 公司表示，袭击造成结构损坏、电力中断，并触发消防系统导致室内水损。当地消防部门在扑灭残骸引发火灾时关闭了电源和发电机。 亚马逊未披露是否有员工受伤，称正与地方当局合作，优先保障员工安全。公司建议中东客户备份关键数据，将应用迁移至其他AWS区域。 “全面恢复取决于受影响基础设施修复，团队正持续努力，”亚马逊周二表示，并补充称地区整体运营环境因持续冲突仍不可预测。 亚马逊本周早些时候首次披露服务中断，最初归因于连接和电力问题，随后确认设施遭无人机物理袭击。 亚马逊在每个区域运营多个”可用区”——物理隔离、拥有独立电力、网络和冷却系统的数据中心，通过高速连接互联。该设计允许客户跨站点分配工作负载，确保单一设施中断时服务持续运行。在阿联酋，三个可用区中的两个被击中；巴林则有一个可用区遭遇长时间停电和持续连接问题，进一步扰乱海湾地区服务。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 随着美以与伊朗冲突升级，双方展开大规模网络作战，包括广泛断网、网站及应用攻击、基础设施干扰，西方实体同时防范伊朗潜在网络袭击。 冲突于2月28日爆发，美以联合对伊朗军事设施、导弹基地、核设施及高层官员发动协调空袭，导致最高领袖哈梅内伊及多名领导人死亡。伊朗则以导弹和无人机密集袭击波斯湾地区美军基地，并直接攻击以色列，造成军民设施有限伤亡。 针对伊朗的网络攻击 据美以媒体报道，美以部队实施的网攻导致伊朗大规模混乱，包括新闻/宣传网站（如伊通社IRNA）、伊斯兰革命卫队通信基础设施、本地应用及数字政府服务中断。对革命卫队指挥控制系统的攻击旨在限制其反击协调能力。 报道称，对伊网攻包括DDoS攻击及针对能源、航空基础设施系统的”深度渗透”，被部分人士称为”史上最大规模网络攻击”。 亲西方黑客还劫持热门祈祷应用，推送”援助已抵达！”的通知。 互联网观测机构NetBlocks 3月2日报告称，伊朗断网已超48小时，并指出长期断网在该国并不罕见，通常由政权触发以掩盖人权侵犯。 来自伊朗的网络攻击 冲突爆发后，伊朗及亲伊威胁行为体亦加强行动。某组织声称攻击了一家以色列公司的防空系统。 网络安全公司Flashpoint向SecurityWeek透露，伊朗正发动黑客所称的”伟大史诗”网络战役。 威胁组织声称攻击约旦燃料基础设施，并扩大行动至以色列工业控制系统（ICS），声称已扰乱制造和能源分配系统。其他组织则专注于DDoS攻击和数据擦除行动，据称目标为美以军事物流供应商。 CrowdStrike反对手行动负责人Adam Meyers在邮件声明中表示，公司”已观察到符合伊朗关联威胁行为体和黑客组织进行侦察并发起DDoS攻击的活动”。 他指出：”这些行为通常预示更激进的行动。过去冲突中，德黑兰网络行为体的活动常与更广泛战略目标保持一致，对能源、关键基础设施、金融、电信和医疗等目标加大压力和曝光度。” Sophos报告称：”与伊朗情报安全部（MOIS）关联的黑客组织声称在约旦发动攻击，并威胁该地区其他国家。该组织惯常夸大其能力和攻击影响，但偶尔确实能够执行数据窃取和擦除攻击。” 前FBI网络部副助理主任、现任Halcyon勒索软件研究中心高级副总裁Cynthia Kaiser表示，Halcyon情报团队观察到中东活动增加，注意到”DDoS僵尸网络HydraC2、黑客组织Handala和勒索软件组织Sicarii的动员号召”。 Kaiser在领英帖文中写道：”伊朗长期使用网络行动报复 perceived 政治冒犯——2011至2013年瘫痪美国金融网站，2014年抹除拉斯维加斯金沙赌场数据，在伊朗军事指挥官苏莱曼尼死后篡改网站，2020及2021年对美国选举官员发出在线死亡威胁，德黑兰的网络策略一直激进且不断演变。” 她指出，勒索软件日益被纳入伊朗网络活动，破坏性工具可能在未来数周用于美国网络。”去年，一名伊朗国民对瘫痪巴尔的摩及其他美国市政机构的勒索软件攻击认罪，造成数千万美元损失，”她提醒道，”自2017年起，伊朗运营商就瞄准美国关键基础设施——包括一次针对波士顿儿童医院的未遂行动——发动勒索软件战役，模糊犯罪勒索与国家资助破坏的界限。” 对网络攻击影响声明的谨慎态度 伊朗黑客以攻击ICS及其他关键基础设施著称。支持政权的威胁行为体亦被观察到利用黑客手段为物理打击做准备。然而，他们也以夸大网络行动影响闻名。 美以均拥有高度发达的网络攻击工具，但冲突期间关于网攻影响的报告可能存在夸大。 尽管部分混乱或损害声明经仔细审查后可能证明被夸大，但国家关联行为体在动能行动同时实施复杂网络入侵的 demonstrated 能力，凸显了真实且不断演变的威胁，需要持续警惕和准备。 美国网络安全公司SentinelOne在冲突开始后立即报告称，”未将重大恶意网络活动直接归因于这些近期事件”。 但该公司警告：”我们高度确信，以色列、美国及盟国组织可能面临直接或间接攻击——特别是政府、关键基础设施、国防、金融服务、学术和媒体部门。” 《华尔街日报》周六晚间报道称，美国在Anthropic AI协助下对伊朗发动大规模空袭，此前不久特朗普总统刚下令所有联邦机构逐步停用Anthropic技术，因该公司拒绝允许其AI无限制军事使用。     消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络司令部对伊朗通信网络实施了网络攻击。美军最高将领表示，这一行动为美国与以色列联合发动的历史性轰炸行动创造了条件。 参谋长联席会议主席丹·凯恩将军周一在五角大楼记者会上披露，代号”史诗狂怒”的行动中，网络司令部与太空司令部率先”叠加非动能效应”，支援本次导致伊朗最高领袖哈梅内伊及多名高级官员丧生的军事行动。 凯恩表示：”协同太空与网络作战有效干扰了责任区内的通信与传感器网络，使敌方丧失侦察、协调和有效反击能力。”这些行动共同”扰乱、迷惑并混淆了敌人”。 这是军方迄今对网络司令部在特朗普第二任期标志性军事行动中所扮演角色的最公开承认。 此前Recorded Future News曾报道，该司令部去年为支持针对伊朗核设施的成功轰炸，曾瘫痪伊朗导弹防御系统。凯恩与特朗普总统今年早些时候也曾暗示，网络司令部参与了对委内瑞拉首都的断电行动，以及为抓捕马杜罗而实施的防空雷达与手持无线电干扰。 自美以周六联合打击伊朗目标以来，已出现多起疑似网络行动，包括以色列数字部队攻击多家新闻网站和宗教日历应用，发布劝降与反政府信息。 华盛顿与耶路撒冷官员正防范伊朗代理组织或盟友的报复性网络攻击。伊朗过往曾发动勒索软件、拒绝服务攻击等多种恶意活动。周一，约旦称其国家网络安全中心挫败了针对该国小麦储备系统的伊朗网络攻击。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 名为 “QuickLens – Search Screen with Google Lens” 的 Chrome 扩展已被从 Chrome 应用商店下架，该扩展遭入侵后推送恶意软件，并试图窃取数千名用户的加密货币。 QuickLens 最初是一款允许用户在浏览器中直接使用 Google Lens 搜索的 Chrome 扩展。该扩展用户量约达 7000，并曾获得 Google 官方推荐标识。 但在 2026 年 2 月 17 日，该扩展发布了 5.8 新版本，其中包含恶意脚本，可实施 ClickFix 攻击并窃取用户信息。 恶意 QuickLens 浏览器扩展 Annex 安全研究人员首次报告称，该扩展在开发者交易平台 ExtensionHub 出售后，近期已更换所有者。 Annex 表示，2026 年 2 月 1 日，所有者变更为 support@doodlebuggle.top，所属实体为 “LLC Quick Lens”，新隐私政策托管在一个几乎无法使用的域名上。仅两周多后，恶意更新便推送给了用户。 Annex 分析显示，5.8 版本申请了新的浏览器权限，包括 declarativeNetRequestWithHostAccess 和 webRequest。 该版本还包含 rules.json 文件，可移除所有页面与框架中的浏览器安全头，包括 Content-Security-Policy (CSP)、X-Frame-Options 和 X-XSS-Protection。这些安全原本会增加在网站上运行恶意脚本的难度。 该更新还会与位于 api.extensionanalyticspro [.] top 的命令与控制（C2）服务器通信。据 Annex 称，该扩展生成持久 UUID，通过 Cloudflare 追踪接口获取受害者国家信息，识别浏览器与操作系统，随后每 5 分钟轮询 C2 服务器获取指令。 BleepingComputer 本周在看到大量用户反馈在所有访问页面均出现伪造 Google 更新提示后，注意到该扩展。 一名用户在 Reddit 求助称：“我访问的每个网站都弹出这个，我以为是 Chrome 没更新，但更新后依然出现。我当然不会在运行框里执行它复制到剪贴板的代码，但它每个网站都弹，导致我无法进行任何操作。” BleepingComputer 对该扩展的分析显示，它会连接到 C2 服务器 https://api.extensionanalyticspro [.] top/extensions/callback?uuid=[uuid]&extension=kdenlnncndfnhkognokgfpabgkgehoddto，并接收一组恶意 JavaScript 脚本。 这些载荷会在每次页面加载时执行，使用的技术被 Annex 称为 “1×1 GIF 像素 onload trick”。 恶意 JavaScript 载荷数组（来源：BleepingComputer） 由于该扩展移除了所有访问网站的 CSP 头，因此即使在通常会阻止内联 JavaScript 的网站上也能执行。 第一个载荷会连接 google-update [.] icu，获取额外载荷并显示伪造的 Google 更新提示。点击更新按钮会触发 ClickFix 攻击，诱导用户在电脑上运行代码以完成验证。 导致 ClickFix 攻击的伪造 Google 更新提示（来源：Reddit） 对于 Windows 用户，会下载名为 googleupdate.exe 的恶意可执行文件。 执行后，恶意软件启动隐藏 PowerShell 命令，再启动第二个 PowerShell 进程，使用自定义 “Katzilla” 用户代理连接 drivers [.] solutions/META-INF/xuoa.sys。响应内容通过管道传入 Invoke-Expression 执行。但在 BleepingComputer 分析载荷时，该第二阶段 URL 已不再提供恶意内容。 由 https://api.extensionanalyticspro [.] top C2 下发的另一个恶意 JavaScript “代理” 用于窃取加密货币钱包与凭据。 该扩展会检测是否安装了 MetaMask、Phantom、Coinbase Wallet、Trust Wallet、Solflare、Backpack、Brave Wallet、Exodus、Binance Chain Wallet、WalletConnect、Argon 等加密货币钱包。若检测到，则会尝试窃取操作记录与助记词，用于劫持钱包并盗取资产。 另一个脚本会捕获登录凭据、支付信息及其他敏感表单数据。 其他载荷用于爬取 Gmail 收件箱内容、提取 Facebook Business Manager 广告账户数据、收集 YouTube 频道信息。 现已下架的该扩展页面评论称，macOS 用户会被投放 AMOS (Atomic Stealer) 信息窃取器。BleepingComputer 无法独立核实该说法。 Google 已将 QuickLens 从 Chrome 应用商店下架，Chrome 会自动为受影响用户禁用该扩展。 QuickLens 被 Chrome 禁用并标记为恶意软件（来源：BleepingComputer） 安装过 QuickLens – Search Screen with Google Lens 的用户应彻底卸载该扩展，扫描设备恶意软件，并重置浏览器中保存的所有密码。 若使用上述任一加密货币钱包，应将资金转移至新钱包。 该扩展并非首个用于 ClickFix 攻击的扩展。上月，Huntress 发现一款浏览器扩展会故意导致浏览器崩溃，随后显示伪造修复程序并安装 ModeloRAT 恶意软件。   消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文