HackerNews 编译，转载请注明出处： 据Sekoia报道，臭名昭著的朝鲜 Lazarus 黑客组织已采用“ClickFix”战术，针对加密货币行业的求职者部署恶意软件，尤其是集中化金融（CeFi）领域。 这种发展被视为 Lazarus “Contagious Interview” 活动的演变，该活动同样针对 AI 和加密货币领域的求职者。 ClickFix 是一种相对较新但日益常见的战术，威胁行为者利用网站或文档中的虚假错误提示，声称内容无法查看。页面随后提示用户通过运行 PowerShell 命令来“修复”问题，从而在系统上下载并执行恶意软件。 Sekoia 表示，在最新的活动中，Lazarus 假冒了多家知名公司，包括 Coinbase、KuCoin、Kraken、Circle、Securitize、BlockFi、Tether、Robinhood 和 Bybit，这些公司最近被朝鲜黑客窃取了创纪录的15亿美元。 “通过收集我们在所有虚假面试网站中识别出的数据（即 JSON 对象），我们能够确定哪些公司被无意中用作这些虚假面试的诱饵，”Sekoia 解释道。 “我们的分析基于从虚假面试网站检索到的184份不同的邀请。在这些邀请中，我们发现有14家公司的名称被用来诱使受害者完成申请流程。” Lazarus 采用 ClickFix 在2023年11月首次记录的“Contagious Interview”活动中，Lazarus 在 LinkedIn 或 X 上接近目标，向他们提供就业机会。 然后，他们利用托管在 GitHub 和 Bitbucket 等协作平台上的软件和编码测试项目，诱骗目标下载并在其系统上运行恶意软件加载程序，投放信息窃取器。 从2025年2月开始，Sekoia 表示 Lazarus 开始使用所谓的“ClickFake”活动，采用 ClickFix 战术来实现自我感染步骤，而攻击的早期阶段保持不变。 然而，研究人员指出，“Contagious Interview” 活动仍在进行中，这表明朝鲜人可能在并行运行这两种技术时评估其有效性。 在 ClickFake 攻击中，Lazarus 将重点从针对开发人员和程序员转向 CeFi 公司中担任非技术职务的人员，例如业务开发人员和市场经理。 这些人被邀请通过链接进入一个看似合法的网站进行远程面试，该网站使用 ReactJS 构建，包含联系表单、开放式问题，并要求提供视频介绍。 当目标尝试使用网络摄像头录制视频时，会出现一个虚假错误，声称驱动程序问题阻止了摄像头访问，并生成了解决问题的说明。 根据浏览器的用户代理，网站提供特定于操作系统的指令，支持 Windows 或 macOS。 受害者被指示在 CMD（Windows）或终端（macOS）中运行一个 curl 命令，这会使他们感染一个名为“GolangGhost”的基于 Go 的后门，并通过注册表修改和 LaunchAgent plist 文件建立持久性。 一旦部署，GolangGhost 会连接到其命令和控制（C2）服务器，用唯一机器 ID 注册新感染的设备，并等待命令。 该恶意软件可以执行文件操作、shell 命令执行、窃取 Chrome Cookie、浏览历史和存储的密码，以及收集系统元数据。 随着 Lazarus 多样化其攻击方法，潜在目标必须保持警惕，及时了解最新动态，并在下载或执行任何内容之前始终验证面试邀请。 切勿在 Windows 命令提示符或 macOS 终端中执行从互联网复制的任何内容，尤其是如果您不完全了解其功能。 Sekoia 还分享了组织可以用来检测和阻止 ClickFake 活动的 Yara 规则，以及与最新 Lazarus 活动相关的完整妥协指标列表。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软开始测试一款名为“快速设备恢复”的新Windows 11工具，该工具旨在远程部署修复程序，解决因故障驱动程序和配置导致操作系统无法启动的问题。 该工具是微软Windows弹性计划的一部分，该计划旨在通过引入自动化工具和功能，检测、诊断和修复Windows 11中的关键故障，从而增强系统稳定性，减少停机时间。 微软解释称：“当系统出现故障时，设备有时会陷入Windows恢复环境（Windows RE），严重影响生产力，通常需要IT团队花费大量时间进行故障排查和恢复受影响的设备。” “借助快速设备恢复，当大规模故障导致设备无法正常启动时，微软可以通过Windows RE向受影响的设备广泛部署针对性修复方案，自动修复故障，迅速使用户恢复到可工作状态，无需复杂的手动干预。” 3月28日，微软将“快速设备恢复”发布至Windows内部预览版Beta通道，供内部测试人员开始测试该工具。 当启用该工具且新的驱动程序或配置更改导致Windows 11无法正常启动时，操作系统将进入Windows恢复环境并自动启动“快速设备恢复”工具。该工具将通过以太网或Wi-Fi连接到互联网，并将崩溃数据发送至微软服务器。根据对这些数据的分析，微软可以远程应用修复程序，例如移除有问题的驱动程序或更新以及更改配置设置。 这款新工具是为应对2024年7月CrowdStrike故障更新而推出的。当时，该更新导致全球数百万台Windows设备突然出现蓝屏死机（BSOD）并陷入重启循环。为移除该故障更新，Windows管理员不得不进入Windows恢复环境或安全模式，手动删除驱动程序，以使Windows设备恢复正常启动。 有了“快速设备恢复”这样的工具，微软本可以更轻松、更快速地推送修复程序，移除驱动程序并使设备重新上线。 微软表示，该功能最终将在Windows 11家庭版中默认启用。企业用户可以通过RemoteRemedation CSP或直接在设备上通过reagentc.exe，在Windows 11专业版和企业版中自定义该工具的工作方式。 该工具还可以预先配置网络凭据，以便更容易地部署修复程序，并配置故障设备多久向微软服务器请求一次修复。 微软将在几天内发布一个测试修复包，供内部测试人员进行实时测试。   消息来源：Bleeping Computer 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个与巴基斯坦有关的高级持续性威胁（APT）组织被归因于创建一个伪装成印度公共部门邮政系统的虚假网站，旨在感染印度国内的Windows和Android用户。 网络安全公司CYFIRMA将此次攻击归因于名为APT36（也称为Transparent Tribe）的威胁行为者。 该伪造的印度邮政网站名为postindia[.]site。来自Windows系统的用户访问该网站时会被提示下载一个PDF文档，而来自Android设备的用户则会下载一个恶意的应用程序包（“indiapost.apk”）。 CYFIRMA表示：“当从桌面访问时，网站会提供一个包含‘ClickFix’攻击技巧的恶意PDF文件。该文档要求用户按下Win + R键，将提供的PowerShell命令粘贴到运行对话框中并执行，这可能会危及系统安全。” 对与该PDF文件关联的EXIF数据进行分析显示，该文件由一个名为“PMYLS”的作者创建，这可能是指巴基斯坦总理青年笔记本计划。伪装成印度邮政的域名在2024年11月20日注册。 PowerShell代码的目的是从一个远程服务器（“88.222.245[.]211”）下载下一阶段的有效载荷，但该服务器当前处于不活跃状态。 另一方面，当同一个网站从Android设备访问时，它会鼓励用户安装他们的移动应用程序以获得“更好的体验”。一旦安装，该应用程序会请求大量权限，允许它窃取和导出敏感数据，包括联系人列表、当前位置以及外部存储中的文件。 公司表示：“该Android应用程序会将其图标更改为模仿不引人怀疑的Google帐户图标，以掩盖其活动，使用户在想要卸载应用时很难找到它。该应用还具备强制要求用户接受权限的功能，即使第一次被拒绝。” 该恶意应用还设计为即使在设备重启后，也会持续在后台运行，并明确请求忽略电池优化的权限。 CYFIRMA补充道：“‘ClickFix’这一技巧被网络犯罪分子、诈骗者和APT组织广泛利用，正如其他研究人员在野外观察到的那样。这种新兴的攻击手段构成了重大威胁，因为它可以攻击那些不了解或不熟悉此类方法的用户，甚至包括一些技术精通的用户。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 尽管Oracle否认其Oracle Cloud联合SSO登录服务器被入侵以及600万人的账户数据被盗，但BleepingComputer已与多家公司确认，威胁行为者分享的数据样本是有效的。 上周，一个名叫“rose87168”的人声称入侵了Oracle Cloud服务器，并开始出售据称属于600万用户的认证数据和加密密码。该威胁行为者还表示，被盗的SSO和LDAP密码可以利用被盗文件中的信息进行解密，并愿意与能够帮助恢复这些密码的人分享部分数据。 威胁行为者发布了多个文本文件，包含一个数据库、LDAP数据以及140,621个公司和政府机构域的列表，这些域据称受到了此次入侵的影响。需要注意的是，其中一些公司域看起来像是测试用的，而且每个公司有多个域。 威胁行为者正在出售据称被盗的Oracle Cloud数据 来源：BleepingComputer 除了数据之外，“rose87168”还与BleepingComputer分享了一个Archive.org网址，该网址指向一个托管在“login.us2.oraclecloud.com”服务器上的文本文件，其中包含他们的电子邮件地址。这个文件表明威胁行为者可以在Oracle的服务器上创建文件，这表明实际发生了入侵。 然而，Oracle否认其Oracle Cloud遭受了入侵，并拒绝回答关于此次事件的任何进一步问题。 “Oracle Cloud没有被入侵。发布的凭据不是用于Oracle Cloud的。没有Oracle Cloud客户遭受入侵或丢失任何数据，”该公司上周五对BleepingComputer表示。 然而，这一否认与BleepingComputer的调查结果相矛盾，后者从威胁行为者那里获得了更多泄露数据的样本，并联系了相关公司。 这些公司的代表在承诺匿名的情况下同意确认数据，他们确认了信息的真实性。这些公司表示，相关的LDAP显示名称、电子邮件地址、名字和其他身份信息都是正确的，并且属于他们。 威胁行为者还与BleepingComputer分享了据称是他们与Oracle之间的电子邮件交流。 一封电子邮件显示威胁行为者联系了Oracle的安全电子邮件（secalert_us@oracle.com），报告他们入侵了服务器。 “我已经深入研究了你们的云仪表板基础设施，发现了一个巨大的漏洞，让我获得了600万用户信息的完全访问权限，”BleepingComputer看到的电子邮件中写道。 另一封与BleepingComputer分享的电子邮件显示了威胁行为者与一个使用ProtonMail电子邮件地址的人之间的交流，该人声称来自Oracle。BleepingComputer已对这个人的电子邮件地址进行了遮盖，因为我们无法验证他们的身份或电子邮件交流的真实性。 在这封电子邮件交流中，威胁行为者表示，一个使用@proton.me电子邮件地址的Oracle人告诉他们：“我们收到了你的电子邮件。从现在起，我们使用这个电子邮件进行所有通信。你收到后告诉我。” 网络安全公司Cloudsek还发现了一个Archive.org网址，显示“login.us2.oraclecloud.com”服务器在2025年2月17日之前一直在运行Oracle融合中间件11g。在有关此次据称入侵的报道之后，Oracle已将这台服务器下线。 该软件版本受到一个被追踪为CVE-2021-35587的漏洞的影响，该漏洞允许未认证的攻击者入侵Oracle访问管理器。威胁行为者声称在此次据称入侵Oracle服务器时使用了这个漏洞。 BleepingComputer已多次就这些信息向Oracle发送电子邮件，但尚未收到任何回复。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一项新调查发现，一种名为Raspberry Robin的恶意软件与近200个独特的命令与控制（C2）域名相关联。 “Raspberry Robin（也被称为Roshtyak或Storm-0856）是一个复杂且不断演变的威胁行为者，为众多犯罪团伙提供初始访问代理（IAB）服务，其中许多团伙与俄罗斯有联系，”Silent Push在一份与The Hacker News共享的报告中表示。 自2019年出现以来，该恶意软件已成为SocGholish、Dridex、LockBit、IcedID、BumbleBee和TrueBot等恶意软件的传播渠道。它还被称为QNAP蠕虫，因为它利用被攻破的QNAP设备来获取有效载荷。 多年来，Raspberry Robin的攻击链增加了一种新的分发方式，即通过Discord消息服务发送的附件中的存档和Windows脚本文件下载，此外还获取了一天漏洞来实现本地权限提升，这些漏洞在公开披露之前就被利用。 也有证据表明，该恶意软件作为按安装付费（PPI）的僵尸网络提供给其他行为者，以分发下一阶段的恶意软件。 此外，Raspberry Robin感染还纳入了一种基于USB的传播机制，即使用包含伪装成文件夹的Windows快捷方式（LNK）文件的被攻破的USB驱动器来激活恶意软件的部署。 美国政府已经透露，被追踪为Cadet Blizzard的俄罗斯国家级威胁行为者可能使用Raspberry Robin作为初始访问促进器。 Silent Push在其与Team Cymru共同进行的最新分析中发现了一个用于连接所有被攻破的QNAP设备的数据中继IP地址，最终发现了超过180个独特的C2域名。 “这个单一IP地址通过Tor中继连接，这可能是网络运营商发布新命令并与被攻破设备交互的方式，”该公司表示。“用于此中继的IP位于一个欧盟国家。” 对基础设施的深入调查表明，Raspberry Robin的C2域名很短，例如q2[.]rs、m0[.]wf、h0[.]wf和2i[.]pm，并且它们在被攻破的设备和IP之间快速轮换，使用一种称为快速通量的技术，以使它们难以被关闭。 Raspberry Robin的一些顶级域名（TLD）包括.wf、.pm、.re、.nz、.eu、.gy、.tw和.cx，域名使用Sarek Oy、1API GmbH、NETIM、Epag[.]de、CentralNic Ltd和Open SRS等小众注册商注册。大多数已识别的C2域名的域名服务器位于一家名为ClouDNS的保加利亚公司。 “Raspberry Robin被俄罗斯政府威胁行为者使用，与其与无数其他严重威胁行为者合作的历史相符，其中许多与俄罗斯有联系，”该公司表示。“这些包括LockBit、Dridex、SocGholish、DEV-0206、Evil Corp（DEV-0243）、Fauppod、FIN11、Clop Gang和Lace Tempest（TA505）。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 乌克兰国家铁路运营商Ukrzaliznytsia遭受大规模网络攻击，导致通过移动应用和网站购买车票的在线服务中断。 事件迫使人们前往售票亭购买纸质车票，造成拥挤、延误、长时间排队和不满。 由于火车是乌克兰国内和国际旅行中唯一可靠且相对安全的交通方式，此次网络攻击影响重大，Daryna Antoniuk报道。 Ukrzaliznytsia在多个通信渠道的官方声明中确认，中断始于昨日，并为造成的不便道歉。 该组织已增加售票点工作人员以应对突然增加的服务需求，但队伍仍很长。 军事人员可在列车上向列车长购票，以免影响其行动。 网络攻击前已在线购票但无法下载的乘客，建议使用发送到邮箱的PDF副本，或在发车前20分钟到火车站向工作人员说明情况。 明天出行的乘客被要求不要在今天涌向售票处，工作人员正在努力满足今天出行乘客的需求。 Ukrzaliznytsia网站上的公告 尽管在线售票平台出现问题，Ukrzaliznytsia在公告中指出，网络攻击并未影响列车运营。 该组织强调，过去几年遭受的多次网络攻击增强了其应对协议和韧性。 “敌人的主要目标失败了：列车运行稳定，准点运行无延误，所有运营流程已切换到备份模式，”Ukrzaliznytsia的最新更新写道。 “尽管铁路基础设施遭受物理攻击，铁路仍在继续运营，即使是最狡猾的网络攻击也无法阻止它。” “由于Ukrzaliznytsia以前曾是敌方网络攻击的目标，公司内部已实施了备份协议。” 该组织称此次攻击“高度系统化且多层”，并保证正在与SBU网络安全部门和政府计算机应急响应小组（CERT-UA）的专家合作，以填补安全漏洞并恢复受影响的系统。然而，目前尚未提供具体的恢复时间表。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 近期一项研究显示，已root的设备遭移动恶意软件攻击的可能性超过普通设备的3.5倍，这凸显了它们给组织机构带来的风险。 root和越狱曾是用于定制移动设备的流行方法，如今主要被高级用户使用。 尽管制造商已引入更多定制选项和更严格的安全协议来减少这些行为，但已root和已越狱的设备在企业环境中仍构成严重安全威胁。 root（针对安卓）和越狱（针对iOS）使用户能获得设备操作系统的特权访问权限，可进行通常受限的修改。然而，这些行为也使设备面临重大漏洞风险。 研究发现，已root设备在企业总设备中仅占0.1%，但遭受恶意软件和其他安全威胁攻击的比例却不成比例地高。 恶意软件攻击在已root设备上发生的频率是普通设备的3.5倍。 检测到的被攻破应用数量增加12倍。 系统被攻破事件数量高出250倍。 文件系统被攻破事件数量激增3000倍。 安全增强型Linux禁用次数增加90多倍。 这些数据凸显了在可访问敏感企业数据的环境中使用已root或已越狱设备的严重风险。 报告还研究了流行root和越狱工具的演变。对于安卓，广泛使用的框架有Magisk、APatch和KernelSU；iOS用户则依赖Dopamine、Checkra1n和Roothide等工具。 这些工具不断更新，以规避检测并在新的操作系统版本中保持功能。 例如，Magisk采用“无系统”root方法，避免修改系统分区，使应用和操作系统更难检测到root访问。 同样，Checkra1n利用旧苹果设备的硬件漏洞，确保持续的越狱能力。 已root和已越狱的设备在全球范围内被检测到，美国和马来西亚等国家尤为突出。 这些工具的开发社区非常活跃，全球贡献者合作改进绕过安全措施的技术。 研究追踪了Magisk和KernelSU等主要框架的开发活动，发现新的分支出现与安卓和iOS的更新或安全措施加强相吻合。 这种动态开发态势凸显了安全厂商与root工具开发者之间持续的“猫鼠游戏”。 一台被攻破的设备可能成为更大规模攻击的入口，使整个组织面临风险。 安全专家强调，先进的检测方法至关重要，不仅要能识别已root设备，还要能识别用于获得root访问权限的具体工具。 这些技术利用机器学习和行为分析，以领先于不断演变的威胁。 企业必须对这些复杂风险保持警惕，实施强大的安全措施，以保护敏感数据和系统免遭攻破。   消息来源：Cybersecurity News； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一起大规模供应链攻击涉及 GitHub Action “tj-actions/changed-files”，起初是针对 Coinbase 一个开源项目的精准攻击，之后发展为更大范围的攻击。 帕洛阿尔托网络公司 42 号单元在报告中指出：“攻击载荷专注于利用他们一个开源项目的公共 CI/CD 流程——agentkit，可能目的是利用它进行进一步的攻击行为。然而，攻击者未能使用 Coinbase 的机密信息或发布软件包。” 2025 年 3 月 14 日，人们发现 “tj-actions/changed-files” 被攻破，注入了泄露运行该工作流的仓库敏感机密信息的代码，该事件被赋予 CVE 编号 CVE-2025-30066（CVSS 评分：8.6）。 据恩多尔实验室估计，218 个 GitHub 仓库因此次供应链攻击泄露了机密信息，大部分泄露信息包括 “几十个” DockerHub、npm 和亚马逊网络服务（AWS）的凭证，以及 GitHub 安装访问令牌。 安全研究员亨里克・普拉特表示：“考虑到有数万个仓库依赖 GitHub Action，此次供应链攻击的初始规模听起来令人恐惧。然而，深入研究工作流、运行情况和泄露的机密信息会发现，实际影响比预期小：只有 218 个仓库泄露了机密信息，其中大部分是短生命周期的 GITHUB_TOKEN，一旦工作流运行完成就会过期。” 此后，另一个 GitHub Action “reviewdog/action-setup” 的 v1 标签也被攻破，该 Action 通过 “tj-actions/eslint-changed-files” 作为依赖项被 “tj-actions/changed-files” 依赖，在 tj-actions 事件发生前，带有类似的攻击载荷。 “reviewdog/action-setup” 的漏洞被跟踪为 CVE-2025-30154（CVSS 评分：8.6）。 据称，利用 CVE-2025-30154 的漏洞，未被识别的威胁者能够获取与 “tj-actions/changed-files” 相关联的个人访问令牌（PAT），从而允许他们修改仓库并推送恶意代码，进而影响每一个依赖该 Action 的 GitHub 仓库。 当 “tj-actions/eslint-changed-files” Action 被执行时， “tj-actions/changed-files” CI 运行器的机密信息被泄露，允许攻击者窃取运行器中使用的凭证，包括属于 tj-bot-actions GitHub 用户账户的个人访问令牌（PAT）。 目前怀疑攻击者以某种方式获取了具有写入权限的令牌，从而能够访问 reviewdog 组织并进行恶意修改。不过，攻击者获取该令牌的方式目前尚不清楚。 此外，对 “reviewdog/action-setup” 的恶意提交是通过首先分叉相应仓库，向其提交更改，然后向原始仓库创建分叉拉取请求，最终引入任意提交来完成的——这种情况被称为悬垂提交。 “攻击者采取了重大措施来掩盖他们的踪迹，使用了各种技术，例如利用悬垂提交，创建多个临时 GitHub 用户账户，以及在工作流日志中模糊他们的活动（尤其是在最初的 Coinbase 攻击中），”帕洛阿尔托网络公司高级研究经理吉尔告诉《黑客新闻》，“这些发现表明攻击者技术高超，对 CI/CD 安全威胁和攻击战术有深入了解。” 42 号单元推测，分叉拉取请求背后的用户账户 “iLrmKCu86tjwp8” 可能被隐藏，因为攻击者在注册时从提供的合法电子邮件地址切换到了一次性（或匿名）电子邮件，违反了 GitHub 的政策。 这可能导致用户的所有交互和操作都被隐藏。然而，当被要求置评时，GitHub 既未确认也未否认这一假设，但表示正在积极审查情况并根据需要采取行动。 “目前没有证据表明 GitHub 或其系统被攻破。所强调的项目是用户维护的开源项目，”GitHub 一位发言人告诉《黑客新闻》。 “GitHub 继续根据《可接受使用政策》审查并采取行动，处理用户关于仓库内容的报告，包括恶意软件和其他恶意攻击。用户在更新到新版本之前，应始终审查 GitHub Actions 或他们代码中使用的任何其他软件包。这一点在此处和其他使用第三方代码的情况中都是真实的。” 对 tj-actions/changed-files 的 GitHub 分叉的深入搜索导致发现了另外两个账户 “2ft2dKo28UazTZ” 和 “mmvojwip”，这两个账户都已被从平台上删除。这两个账户也被发现创建了 Coinbase 相关仓库的分叉，如 onchainkit、agentkit 和 x402。 进一步检查发现，这些账户通过分叉拉取请求修改了 agentkit 仓库中的 “changelog.yml” 文件，指向使用 PAT 更早发布的恶意版本的 “tj-actions/changed-files”。 据信，攻击者获取了具有写入权限的 GitHub 令牌，从而能够访问 agentkit 仓库——这是由执行 tj-actions/changed-files GitHub Actions 促成的——以便进行未经授权的更改。 另一个值得强调的重要方面是两种情况下使用的攻击载荷的差异，这表明攻击者试图保持低调。 “攻击者在攻击的不同阶段使用了不同的攻击载荷。例如，在广泛攻击中，攻击者转储了运行器的内存，并将存储为环境变量的机密信息打印到工作流的日志中，无论运行的是哪个工作流，”吉尔说。 “然而，在针对 Coinbase 的攻击中，攻击者专门获取了 GITHUB_TOKEN，并确保攻击载荷只在仓库属于 Coinbase 时执行。” 目前尚不清楚此次行动的最终目标是什么，但 “强烈” 怀疑其意图是为了经济利益，很可能是试图进行加密货币盗窃，考虑到对 Coinbase 的高度针对性，吉尔指出。截至 2025 年 3 月 19 日，加密货币交易所已经修复了此次攻击。 此外，目前也不清楚是什么促使攻击者改变策略，将最初的目标攻击转变为大规模且不太隐蔽的行动。 “一种假设是，在意识到他们无法利用其令牌来污染 Coinbase 仓库——并且在得知 Coinbase 已经检测并缓解了攻击之后——攻击者担心失去对 tj-actions/changed-files Action 的访问权限。”吉尔说。 “由于攻破此 Action 可以提供对许多其他项目的访问权限，他们可能决定迅速采取行动。这可以解释为什么他们在 Coinbase 在其端点缓解了暴露风险仅 20 分钟后就发起了广泛攻击，尽管这增加了被发现的风险。”   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 瑞士全球解决方案提供商 Ascom 确认其 IT 基础设施遭到网络攻击，黑客组织 Hellcat 正在利用被盗凭据攻击全球的 Jira 服务器。 该公司在一份新闻稿中宣布，黑客在周日入侵了其技术工单系统，目前公司正在调查此次事件。Ascom 是一家电信公司，在 18 个国家设有子公司，专注于无线现场通信。 黑客组织 HellCat 声称对此次攻击负责，并告诉 BleepingComputer，他们窃取了大约 44GB 的数据，可能会影响该公司所有部门。Ascom 表示，黑客入侵了其技术工单系统，但此次事件并未影响公司的业务运营，客户和合作伙伴无需采取任何预防措施。 “针对此类犯罪行为的调查已立即启动，并正在进行中。Ascom 正在与相关当局密切合作。”—— Ascom HellCat 黑客组织成员 Rey 告诉 BleepingComputer，他们从 Ascom 窃取了多个产品的源代码、各种项目的详细信息、发票、机密文件以及工单系统中的问题。尽管瑞士公司没有提供有关此次入侵的技术细节，但攻击 Jira 工单系统已经成为 HellCat 黑客的常见攻击手段。 HellCat 的 Jira 攻击狂潮 Jira 是一种常用于软件开发和 IT 团队的项目管理和问题跟踪平台，用于跟踪和管理项目。该平台通常包含敏感数据，例如源代码、身份验证密钥、IT 计划、客户信息以及与这些项目相关的内部讨论。 此前，HellCat 声称对施耐德电气（Schneider Electric）、西班牙电信（Telefónica）和法国电信集团（Orange Group）的攻击负责，这些公司均证实了相关事件。在这三起事件中，黑客都是通过入侵 Jira 服务器进入系统。 最近，该黑客组织还声称对英国跨国汽车制造商捷豹路虎（Jaguar Land Rover，JLR）的攻击负责，并窃取和泄露了约 700 份内部文件。 据该威胁行为者描述，泄露内容包括“开发日志、跟踪数据、源代码”以及一名员工的数据，暴露了“用户名、电子邮件、显示名称、时区等敏感信息”。 HellCat 勒索软件泄露捷豹路虎数据 威胁情报公司 Hudson Rock 的联合创始人兼首席技术官 Alon Gal 表示，捷豹路虎事件符合 HellCat 黑客的特定模式。 “此次事件的核心是一种已经成为 HELL CAT 标志的技术：利用从被信息窃取器感染的员工那里收集到的 Jira 凭据。”—— Alon Gal 该研究人员表示，捷豹路虎事件是通过使用 LG 电子员工的第三方凭据入侵 JLR 的 Jira 服务器实现的。Gal 指出，这些被盗凭据并非新近泄露，而是多年前就已经曝光，但一直有效，黑客因此得以利用。 HellCat 的活动并未止步于这些入侵事件。该威胁行为者今天宣布，他们入侵了汽车行业的营销公司 Affinitiv 的 Jira 系统。该公司为原始设备制造商（OEM）和经销商提供数据分析平台。 该威胁行为者向 BleepingComputer 确认，他们通过 Jira 系统入侵了 Affinitiv，并公开披露称，他们窃取了一个包含超过 47 万个“唯一电子邮件”和超过 78 万条记录的数据库。 当 BleepingComputer 就此次攻击联系 Affinitiv 时，该公司表示已经开始展开调查。为了证明入侵，黑客发布了两张截图，其中包含姓名、电子邮件地址、邮政地址和经销商名称。 Alon Gal 警告称，由于 Jira 在企业工作流程中的核心地位以及其存储的大量数据，“Jira 已成为攻击者的首要目标”，此类访问权限可用于“横向移动、提升权限以及提取敏感信息”。 由于信息窃取器收集的凭据很容易找到，且其中一些凭据多年来一直未更改，因为公司未能将其纳入定期轮换流程，此类攻击可能会变得更加频繁。 消息来源：BleepingComputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场精心策划的网络钓鱼活动正在悄然改变其攻击目标，从 Windows 系统转向 macOS，引发了网络安全领域的高度关注。据以色列网络安全公司 LayerX 的最新报告，这场以窃取用户登录凭证为目的的恐吓软件攻击活动，近期调整了攻击策略，将矛头指向了 macOS 用户。 在 2024 年及 2025 年初，该攻击活动主要针对 Windows 用户，通过入侵合法网站并植入恶意代码，制造虚假的微软安全警报。这些警报声称用户的计算机已被入侵并锁定，随后网页会被恶意代码冻结，制造出系统故障的假象。受害者在恐慌中被诱导输入 Windows 用户名和密码，攻击者借此获取敏感信息。 为了增加攻击的可信度，攻击者将钓鱼页面托管在微软旗下的合法 Azure 应用托管平台 Windows.net 上。由于该平台的高信誉度，攻击者成功绕过了许多基于顶级域名（TLD）声誉检查的反钓鱼防御机制。LayerX 指出：“Windows.net 是一个知名且被广泛使用的平台，由信誉良好的微软公司运营。因此，这些钓鱼页面能够轻易绕过传统的安全防护机制。” 此外，攻击者还利用随机化、快速变形的子域名来托管恶意代码，并精心设计钓鱼页面，使其看起来极为专业。他们甚至加入了反机器人和验证码验证机制，以延缓自动化检测系统的识别。 然而，随着 Chrome、Firefox 和 Microsoft Edge 浏览器近期新增了反恐吓软件功能，针对 Windows 系统的攻击成功率大幅下降，攻击活动减少了 90%。这迫使攻击者将注意力转向 macOS 用户，因为 macOS 系统并未受到这些新防御机制的保护。 LayerX 表示，在针对 Windows 的攻击活动进行期间，并未观察到对 macOS 的攻击。但在新的反钓鱼防御措施推出后的两周内，针对 macOS 用户的攻击便迅速展开。这些钓鱼页面与之前用于攻击 Windows 的页面几乎完全相同，但布局和信息已被调整以适应 macOS 用户，恶意代码也经过修改以针对 Safari 浏览器。 据 LayerX 报告，攻击者利用用户错误输入合法网站 URL 的机会，将其引导至被入侵的域名“托管”页面，随后通过多个域名重定向，最终将用户带到钓鱼页面。在一个具体案例中，一名 LayerX 企业客户的 macOS 和 Safari 用户成为攻击目标。尽管该组织部署了安全网络网关（SWG），但攻击仍然成功绕过了这一防护措施。 LayerX 认为，攻击者可能会在将 macOS 上的 Safari 用户作为主要攻击目标后，对现有基础设施进行最小限度的修改，以进一步调整其攻击策略。LayerX 产品营销主管 Eyal Arazi 强调：“个人非企业账户被入侵通常仅限于暴露该个人用户的信息，而企业账户被入侵可能导致组织层面的数据泄露，使威胁变得更加严重。” 这场从 Windows 到 macOS 的攻击向量转变表明，攻击者正在不断调整和优化其攻击策略，以寻找新的漏洞和目标。这场攻击活动不仅高度专业、持续性强，还具有很强的适应性，对企业用户构成了重大威胁。随着攻击手段的不断演变，企业和个人用户必须保持警惕，及时更新安全防护措施，以应对日益复杂和隐蔽的网络攻击。 消息来源：SecurityWeek； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文