HackerNews 编译，转载请注明出处： 一种手法娴熟老练的骗局正在针对PayPal用户展开。与大多数骗局一样，它也存在一些容易识破的欺骗迹象，只要你仔细审视。 Malwarebytes的研究人员发现了一个针对PayPal用户的高度复杂的网络钓鱼骗局。该骗局使用了多种技术，在外行看来，这些技术会令人警觉并迫使用户采取行动，使得受害者很容易直接落入恶意行为者的陷阱。此骗局的幕后操纵者成功伪造了PayPal的电子邮件地址，这为欺骗增添了一层额外的伪装。 据Malwarebytes称，电子邮件欺骗是指威胁行为者通过发送带有虚假发件人地址的电子邮件来冒充他人。通过这样做，受害者更可能相信电子邮件来自真实来源而非骗子。通过伪造此电子邮件，用户更可能相信它来自PayPal，并且可能更倾向于点击邮件中的链接或联系相关的电话号码。 研究人员注意到的另一个迹象是奇怪的收件人地址，该地址与受害者的地址没有直接关联。这是因为骗子设置了一个分发列表来批量 targeting 人群，而非针对单个受害者。更简单且或许更能说明这是网络钓鱼骗局的迹象来自电子邮件的内容。 尽管骗子成功复制了PayPal通常发送的电子邮件布局，但邮件的主题和要求采取的行动却大相径庭。例如，这封邮件要求受害者设置他们的PayPal账户 profile。但下面的文字却显示有一笔新的扣款已处理。 文字称检测到一笔新的 profile 扣款，金额超过900美元，这会让任何未曾有意通过PayPal花费如此多金额的人感到震惊。虽然它看起来可能很 legitimate，但有多种警告迹象表明这是一个网络钓鱼骗局。 首先，是信息中透露的紧迫感。PayPal声称链接将在24小时后失效，这意味着收到电子邮件的人将无法在此时间点之后解决这个虚假问题。 其次，金额超过900美元，这 specifically 是为了“吸引你的注意力”，Malwarebytes 说道。 第三，是加密货币的引入。据称从受害者账户中扣除的900美元是由加密货币交易平台Kraken.com收取的。 当受害者收到非预期的、要求他们通过加密货币进行支付的电子邮件时，这通常是一个骗局。最后，研究人员表示，邮件中列出的电话号码被国际公认的商业监督机构“Better Business Bureau”认定为与诈骗有关联的电话号码。 更令人担忧的是，邮件内的链接按钮实际上指向了PayPal官方网站。但是，这个链接并非将用户引导至支付争议部分或让他们设置账户 profile，而是允许恶意行为者被添加到他们的PayPal账户中。通过向你的PayPal账户添加一个次级用户，你实质上允许第二个人访问你的账户，随后账户资金可能会被迅速转移一空。 虽然网络钓鱼攻击可用于窃取凭证，但在这种情况下，它显然被用来对用户进行财务剥削。PayPal拥有超过4.34亿的庞大用户群，这使其成为试图利用脆弱用户的犯罪分子巨大的攻击面。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个与伊朗有关联的组织被指参与了一场针对欧洲及世界其他地区大使馆和领事馆的“协同”且“多波次”的鱼叉式网络钓鱼活动。 以色列网络安全公司 Dream 将此活动归因于与伊朗结盟的操作者，这些操作者与一个名为“Homeland Justice”（国土正义）的组织所进行的更广泛的攻击性网络活动有关。该公司称：“这些邮件被发送给全球多个政府收件人，伪装成合法的外交通信。有证据表明，在地缘政治紧张局势加剧时期，针对外交和政府实体的地区性间谍活动范围扩大了。” 该攻击链涉及使用与伊朗和以色列之间地缘政治紧张局势相关的鱼叉式网络钓鱼邮件来发送恶意 Microsoft Word 文档。该文档在打开后会催促收件人“启用内容”以执行内嵌的 Visual Basic for Applications (VBA) 宏，该宏负责部署恶意软件负载。 据 Dream 称，这些邮件被发送至中东、非洲、欧洲、亚洲和美洲的大使馆、领事馆和国际组织，这表明此次活动撒下了一张广泛的钓鱼网。据称，欧洲各国大使馆和非洲机构是遭受攻击最严重的对象。 这些数字邮件来自 104 个被入侵的独特地址，这些地址属于官员和伪政府实体，以此增添一层可信度。至少部分邮件来源于阿曼外交部在巴黎的一个被入侵邮箱（*@fm.gov.om）。 Dream 表示：“诱饵内容持续提及紧急的外交部通讯、传达权威性，并利用了启用宏来访问内容的常见做法，这是一场精心策划的间谍行动的标志， deliberately 掩盖了攻击来源。” 攻击的最终目的是利用 VBA 宏部署一个可执行文件，该文件能够建立持久性、联系命令与控制 (C2) 服务器并收集系统信息。 网络安全公司 ClearSky 在上个月底也详细说明了此次活动的某些方面，称这些网络钓鱼邮件被发送至多个外交部。 ClearSky 在 X 上的一篇帖子中表示：“伊朗威胁行为者在 2023 年针对阿尔巴尼亚的穆哈黑丁（Mojahedin-e-Khalq）时使用了类似的混淆技术。我们以中等把握评估，此次活动与相同的伊朗威胁行为者有关联。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场针对韩国政府及情报工作人员的大规模鱼叉式网络钓鱼活动，利用了一份国家情报通讯刊物来诱骗受害者。 网络安全公司Seqrite在8月29日发布的新报告中披露，APT37——一个被认为有朝鲜背景的国家级黑客组织——是此次大规模鱼叉式网络钓鱼活动的幕后黑手。 这项被称为“韩国幻影行动”（Operation HanKook Phantom）的行动包含两波活动，期间APT37武器化了一些能引起韩国政府官员和情报人员兴趣的文档。 以首尔情报为诱饵的鱼叉式钓鱼 第一波活动利用名为“国家情报研究学会通讯-第52期”（韩语：국가정보연구회 소식지 (52호)）的文档作为诱饵。 《国家情报研究学会通讯》是由韩国研究团体“国家情报研究协会”发布的月度或定期内部通讯刊物。它为会员提供最新及即将举办的研讨会、研究计划和组织发展的概述，并重点介绍有关国家安全、劳动力动态、当前地缘政治变化、技术进步（如人工智能）和韩朝关系的 ongoing 讨论。 根据Seqrite研究人员的说法，攻击者分发这份看起来合法的PDF文件的同时，还附带了一个恶意的LNK（Windows快捷方式）文件，该文件被命名为“国家情报研究学会通讯(52期).pdf.LNK”。 一旦LNK文件被执行，便会触发载荷下载或命令执行，使得攻击者能够入侵系统。其入侵链包含多种混淆恶意载荷和逃避检测的方法，包括内存执行、伪装诱饵和隐藏的数据渗出例程。 通过分析攻击链，Seqrite研究人员发现其最终载荷是RokRAT，这是一个通常作为编码后的二进制文件分发的后门程序，在利用武器化文档后由shellcode下载并解密。APT37在过去的攻击活动中也被观察到分发RokRAT。 此鱼叉式钓鱼活动的主要目标包括该通讯刊物的接收者，他们通常是以下一个或多个韩国机构的成员： 国家情报研究协会 光云大学 高丽大学 国家安全战略研究院 中央劳动经济研究所 能源安全与环境协会 救国精神振兴会 养志会（纪念会议主办方） 韩国整合战略 以朝鲜官方通讯为诱饵的鱼叉式钓鱼 第二波活动使用了朝鲜劳动党中央委员会副部长、朝鲜最高领导人金正恩的妹妹金与正于7月28日发表的声明作为诱饵。 Seqrite报告指出，根据平壤的朝鲜中央通讯社（KCNA）报道，该声明表明了朝鲜拒绝韩国任何和解努力的立场。研究人员称：“它强烈批评韩国改善朝韩关系的尝试，称其毫无意义或虚伪。”文件还提到，朝鲜断然拒绝未来与韩国的任何对话或合作，宣布结束和解努力，并将在未来采取敌对、基于对抗的立场。 此攻击链与第一波活动相似，从一个恶意的LNK文件开始，该文件在部署混淆组件（tony33.bat, tony32.dat, tony31.dat）到%TEMP%目录的同时，会释放一个诱饵文档。LNK文件会自行删除，随后批处理脚本触发无文件攻击：tony32.dat在内存中解码，用XOR解密（密钥0x37）tony31.dat，并通过API调用（VirtualAlloc+CreateThread）将其注入。 投放器通过伪造的HTTP请求从命令与控制（C2）服务器获取次要载荷（abs.tmp），通过PowerShell（-EncodedCommand）执行它并删除痕迹。同时，它通过在删除前通过伪装的POST请求（模仿PDF上传）来渗出%TEMP%文件，并使用合法系统工具（LOLBins）、内存执行和流量混合来逃避检测。 第二波活动的目标包括： 李在明政府（韩国政府内阁） 统一部 美韩军事同盟 亚太经合组织（APEC） APT37使用高度定制的鱼叉式钓鱼攻击 Seqrite将这两波结合的活动命名为“韩国幻影行动”（Operation HanKook Phantom），“HanKook”是一个通常用于指代韩国的韩语词，而“Phantom”（幻影）则代表了在整个感染链中使用的隐蔽且规避的技术。 APT37是一个网络间谍组织，拥有许多别名，包括InkySquid、ScarCruft、Reaper、Group123、RedEyes和Ricochet Chollima。该组织至少自2012年以来一直活跃，并被认为与朝鲜政权有关联。其主要焦点是韩国的公共和私营部门，近期的鱼叉式钓鱼活动涉及利用有关朝鲜士兵在乌克兰战争中帮助俄罗斯的文档作为诱饵。 2017年，APT37将其目标范围扩展到朝鲜半岛以外，包括日本、越南和中东，并瞄准了更广泛的行业领域，包括化工、电子、制造、航空航天、汽车和医疗保健组织。 Seqrite研究人员总结道：“对此次行动的分析凸显了APT37如何持续采用高度定制的鱼叉式钓鱼攻击，利用恶意的LNK加载器、无文件的PowerShell执行和隐蔽的渗出机制。”       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Noodlophile恶意软件背后的威胁行为者正在利用鱼叉式钓鱼邮件和更新的传播机制，针对位于美国、欧洲、波罗的海国家和亚太（APAC）地区的企业部署信息窃取程序。 Morphisec研究员Shmuel Uzan在分享给The Hacker News的报告中表示：“Noodlophile攻击活动已持续一年以上，目前采用伪装成版权侵权通知的高级鱼叉式钓鱼邮件，这些邮件通过侦察获取的细节（如特定Facebook页面ID和公司所有权信息）进行定制化伪装。” 网络安全供应商曾在2025年5月详细披露过Noodlophore恶意软件，揭露攻击者使用虚假人工智能（AI）工具作为诱饵传播该恶意软件。这些伪造程序被发现在Facebook等社交媒体平台上投放广告。 需要说明的是，采用版权侵权诱饵并非新手段。早在2024年11月，Check Point就曾发现一场大规模钓鱼行动，该行动以虚假的版权侵权违规为由针对个人和组织投放Rhadamanthys窃取程序。 但最新迭代的Noodlophile攻击展现出显著差异，尤其是在合法软件漏洞利用、通过Telegram进行混淆分阶段部署以及动态载荷执行方面。 整个过程始于钓鱼邮件——通过声称特定Facebook页面存在版权侵权行为来制造虚假紧迫感，诱骗员工下载并运行恶意载荷。这些邮件源自Gmail账户以规避怀疑。 邮件内含有的Dropbox链接会释放ZIP或MSI安装程序。该安装程序随后利用与海海软件（Haihaisoft）PDF阅读器相关的合法二进制文件侧载恶意DLL，最终启动混淆的Noodlophile窃取程序。在此之前，攻击者会通过运行批处理脚本利用Windows注册表建立持久化机制。 攻击链的显著特点是利用Telegram群组描述作为“死投解析器”（dead drop resolver）来获取托管窃取程序载荷的实际服务器（“paste[.]rs”），此举增加了检测和清除难度。 Uzan指出：“该方法延续了先前攻击活动的技术（例如Base64编码压缩包、滥用certutil.exe等LOLBin工具），但新增了基于Telegram的命令控制层和内存执行层，以规避基于磁盘的检测。” 身份安全风险评估 Noodlophore是一款功能完善的窃取程序，能够捕获网络浏览器数据并收集系统信息。对该窃取程序源代码的分析表明，其开发工作持续进行以扩展功能，包括实现屏幕截图捕获、键盘记录、文件窃取、进程监控、网络信息收集、文件加密和浏览器历史记录提取。 Morphisec强调：“对浏览器数据的广泛窃取表明该活动针对具有重要社交媒体足迹（尤其是Facebook等平台）的企业。这些尚未实现的功能表明窃取程序开发者正积极扩展其能力，可能将其转变为更通用且危险的威胁。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 诈骗者伪装成Netflix招聘人员，正通过新的钓鱼攻击活动针对社交媒体和营销经理，意图劫持其公司的Facebook账户。以下是需要警惕的迹象。 关键要点： 冒充Netflix招聘人员的钓鱼邮件，以虚假高端职位引诱营销人员。 钓鱼网站诱骗受害者实时提交其Facebook商业账户凭证。 被劫持的账户可能用于投放恶意广告、勒索赎金或传播更多诈骗。 Malwarebytes的新研究指出，诈骗者向营销员工发送钓鱼邮件，冒充Netflix招聘人员，声称提供高薪职位。 “初始邮件看似来自猎头或人力资源（HR）招聘专家，”Malwarebytes恶意软件情报研究员Pieter Arntz表示。 邮件内容声称：“我希望这封邮件能恰当地传达给您。您作为远见卓识的营销领袖的声誉引起了我们的注意，我想与您分享Netflix的一个非凡机会。” 用高薪职位引诱受害者 该研究指出，这些钓鱼活动专门设计用于窃取营销经理、社交媒体运营人员（尤其是管理公司Facebook主页或商业账户者）的凭证。 钓鱼邮件中提供的职位包括“营销副总裁”“数字营销经理”和“社交媒体总监”等。 研究强调，攻击者获取Facebook商业账户权限后，可“利用公司的支付方式投放恶意广告、勒索赎金以归还账户控制权，或利用公司声誉传播更多诈骗”。 Arntz指出，诈骗者似乎对目标进行了开源情报（OSINT）收集，提供的职位级别与求职者的资历相匹配。 攻击流程 若求职者点击邮件中的链接，会被导向伪造的Netflix网站，要求创建“职业档案”，并提供关联Facebook账户的选项。 黑客设计的虚假网站混合了真实Netflix内容和钓鱼活动的内容。 “此时所有危险信号都应被触发，”Arntz称。无论求职者选择“通过Facebook继续”或“通过邮箱继续”，都会弹出新页面要求登录Facebook账户。 “第三方网站提供Facebook登录选项是常见做法，因此求职者点击该链接可以理解，”他解释道。 实时窃取凭证 受害者输入登录信息后，页面会自动弹出提示：“您输入的密码错误！请重试。” Arntz强调，这一登录页面证明攻击“非常复杂”：诈骗者通过WebSocket技术实时拦截凭证，能在“几秒内登录受害者的真实Facebook账户”，甚至可能“在需要时触发多因素认证（MFA）验证”。 此外，由于攻击实时发生，受害者无法察觉账户正被入侵。攻击者可利用这段时间“强制用户退出账户、向好友发送垃圾信息或进行其他任意操作”。 防护措施 Malwarebytes建议求职者采取以下防护步骤： 对未主动申请的职位邀约保持警惕； 仔细检查网站URL和邮件地址是否存在拼写错误或不一致； 确认浏览器地址栏的域名与预期一致，并核对网站内容真实性。 该机构还建议公众学习识别钓鱼攻击，尤其需警惕黑客日益使用AI生成的钓鱼邮件和虚假网站。此外，需确保浏览器、软件和操作系统及时更新，并启用具备网页防护功能的实时反恶意软件解决方案。 若怀疑遭受钓鱼攻击，应“立即更改密码、启用多因素认证，并通知公司的IT/安全团队”。 Malwarebytes表示，此次钓鱼活动通过CloudFlare服务托管，Netflix与CloudFlare均已获知研究结果。         消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场活跃的网络钓鱼活动正在通过冒充英国内政部（Home Office）来攻击持有英国担保执照（sponsor licence）、负责担保外籍员工和学生的机构。 这项复杂的攻击活动高度模仿英国政府官方通信及网页，旨在窃取担保执照持有者的担保管理系统（Sponsorship Management System, SMS）登录凭证。网络安全公司Mimecast的调查显示，被窃取的凭证被用于实施一系列精心策划的移民欺诈、勒索及其他牟利活动。其中最复杂的骗局涉及伪造工作邀约和签证担保计划，攻击者向受害者收取15,000至20,000英镑（约合16万至22万元人民币），以换取根本不存在的就业机会。 攻击目标涵盖持有担保执照的所有行业和领域的英国机构，尤其针对积极管理签证担保项目且频繁使用SMS系统的公司。研究人员指出：“攻击者展现出对英国移民系统内政府通信模式及用户期望的深入理解。” Mimecast威胁研究工程师萨曼莎·克拉克（Samantha Clarke）透露，2025年7月上半月监测到约8000封相关钓鱼邮件。攻击在8月初升级，仅当月前六天就发送了约2500封邮件。值得注意的是，英国内政部已于7月10日通过SMS系统及向担保机构关键联系人的直接通信发出警告，提醒防范可能危及SMS账户安全的钓鱼诈骗。 组织收到伪造的政府警告 攻击始于向目标机构发送包含紧急通知的电子邮件，声称涉及SMS系统警报或通知，要求收件人立即处理。SMS是担保方用于管理执照并履行向英国内政部通报情况变更义务的在线工具。这些邮件内含链接，会将用户导向伪造的登录页面，诱导其输入SMS认证凭证。 Mimecast于8月12日发布的报告列举了钓鱼邮件的常见主题，包括“您担保管理系统收到新消息”和“来自SMS的消息通知”。用户点击邮件链接后，首先跳转至设有CAPTCHA验证的页面（作为过滤机制），随后被重定向至高度模仿真实SMS界面的钓鱼页面。研究人员表示，该页面通过直接复制官方登录页HTML代码、引用官方资源及对表单提交过程进行关键篡改实现伪装。用户输入的凭证最终被发送至攻击者控制的脚本，而非合法认证系统。 后续移民欺诈与勒索活动 攻击者获取凭证后，实施多种牟利计划： 在暗网论坛出售被入侵账户的访问权； 对受影响机构进行勒索； 协助签发虚假担保证明（Certificate of Sponsorship, CoS）； 利用伪造签证文件创建虚假工作邀约及签证担保计划。 Mimecast建议持有担保执照的英国机构部署能识别政府仿冒行为及可疑链接模式的防钓鱼工具。此外，企业应实施链接重写（URL rewriting）及沙盒分析技术，以便在用户互动前检测链接安全性。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Proofpoint安全研究人员发现一种新型凭证钓鱼攻击手段，黑客通过恶意OAuth应用结合多重重定向链劫持Microsoft账户，成功率超50%。2025年至今，该攻击已影响超900个Microsoft 365环境中的近3000个账户。 攻击流程解析 钓鱼邮件启动：攻击者利用被入侵邮箱发送伪装成商业合作请求的钓鱼邮件（如报价申请、合同协议），内容针对目标行业定制化设计，曾仿冒RingCentral、DocuSign等企业服务，甚至伪装小型航空企业ILSMart。 恶意应用授权陷阱：邮件内链接导向真实的Microsoft登录授权页面，诱导用户批准伪装成Adobe、DocuSign等合法服务的恶意OAuth应用请求。这些应用仅申请基础权限（如查看个人资料），以降低用户警惕性。 多重重定向劫持：无论用户点击“接受”或“取消”授权，均被重定向至验证码中间页，随后跳转至伪造的Microsoft登录页面。该页面实时窃取输入的凭证及双重认证会话令牌。 技术特征与规模 攻击链依赖钓鱼即服务（PhaaS）平台Tycoon构建，已发现超50个恶意应用参与攻击，其中4个仿冒Adobe、5个仿冒DocuSign，其余使用无关名称混淆视听。 恶意应用在授权后配置重定向规则，通过中间域名隐藏最终钓鱼页面，利用CAPTCHA页面增强欺骗性，诱使用户误认为处于合法流程中。 防御措施与行业响应 微软宣布调整Microsoft 365默认设置：普通用户向第三方应用授予账户权限需经管理员审批，以阻断恶意应用的权限获取路径。Proofpoint强调用户需时刻验证当前域名真实性，避免在重定向过程中提交敏感信息。 趋势警示：此类结合合法OAuth框架与社交工程的攻击链正成为犯罪团伙新标准，未来或将持续演化以绕过检测机制。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 网络安全研究人员正在关注一项持续进行的攻击活动，该活动通过分发假冒加密货币交易应用来传播名为JSCEAL的编译型V8 JavaScript（JSC）恶意软件，该软件可窃取凭证和钱包数据。 根据Check Point公司的分析，此活动利用在Facebook上投放的数千条恶意广告，试图将毫无戒心的受害者重定向至虚假网站，诱导他们安装这些伪造应用。这些广告通过被盗账户或新创建的账户分享发布。 “攻击者将安装程序的功能拆分成不同的组件，尤为显著的是，将部分功能转移到了受感染网站内部的JavaScript文件中，”该公司在分析报告中指出，“这种模块化、多层次的感染流程使攻击者能在行动的每个阶段灵活调整战术和负载。” 值得注意的是，该活动的某些方面曾在2025年4月由微软以及本月早些时候由WithSecure记录在案，后者将其追踪为WEEVILPROXY。据这家芬兰安全供应商称，此活动自2024年3月就持续活跃。 研究发现，攻击链在最终投放JSC恶意负载之前，采用了一些新型反分析机制，这些机制依赖于基于脚本的指纹识别技术。 “威胁攻击者实现了一种独特的机制，要求恶意网站和安装程序必须同时运行才能成功执行，这显著增加了分析和检测的难度。”这家以色列网络安全公司指出。 点击Facebook广告中的链接会触发一系列重定向，最终根据目标的IP地址是否在期望范围或来源是否非Facebook，将受害者带至模仿TradingView等合法服务的虚假登录页或诱饵网站。 该网站还包含一个尝试与本地主机端口30303通讯的JavaScript文件，此外还托管另外两个JavaScript脚本，负责追踪安装进度以及发起由MSI安装包内组件处理的POST请求。 而从该网站下载的安装文件会解压若干DLL库，同时会在localhost:30303上启动HTTP监听器来处理来自虚假网站的传入POST请求。这种相互依赖性也意味着，如果其中任何组件失效，感染链将无法继续推进。 “为确保受害者不会怀疑异常活动，安装程序会使用msedge_proxy.exe打开一个Webview，将受害者引导至应用的官方网站。”Check Point表示。 DLL模块旨在解析来自网站的POST请求，收集系统信息并启动指纹识别过程，之后通过PowerShell后门将捕获的信息以JSON文件的形式外泄给攻击者。 如果判断受害主机有价值，感染链将进入最终阶段，通过利用Node.js执行JSCEAL恶意软件。 该恶意软件除建立与远程服务器的连接以接收进一步指令外，还会设置一个本地代理，目的是拦截受害者的网络流量，并向银行、加密货币和其他敏感网站注入恶意脚本，以实时窃取其凭证。 JSCEAL的其他功能包括收集系统信息、浏览器Cookie、自动填充密码、Telegram帐户数据、截取屏幕截图、记录按键操作、实施中间人（AitM）攻击以及操控加密货币钱包。它还可以充当远程访问木马（RAT）。 “这款复杂的恶意软件旨在完全控制受害机器，同时能抵抗常规安全工具的检测，”Check Point指出，“结合编译代码与高度混淆，同时展现出广泛的功能性，使得分析工作充满挑战且耗时。使用JSC文件使得攻击者能够简单有效地隐藏代码，助其躲避安全机制，并增加了分析难度。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全威胁组织Patchwork被指针对土耳其国防承包商发起新一轮鱼叉钓鱼攻击，旨在窃取战略情报。 Arctic Wolf实验室本周发布的技术报告指出：“攻击者通过伪装成会议邀请函的恶意LNK文件实施五阶段攻击链，目标锁定对无人载具系统感兴趣的机构。”该行动还锁定了某未具名的精确制导导弹系统制造商，攻击时机正值巴基斯坦与土耳其深化防务合作、印巴军事冲突升级之际，显示其地缘政治动机。 Patchwork（亦名APT-C-09、APT-Q-36、白象组织等）被评估为印度背景的国家级黑客组织。该组织自2009年活跃至今，长期针对中国、巴基斯坦等南亚国家发动攻击。 一年前，Knownsec 404团队曾披露该组织通过不丹相关实体投递Brute Ratel C4攻击框架及新版PGoShell后门。2025年初至今，其持续攻击中国高校，近期更利用电网主题诱饵投放基于Rust语言的加载器，最终解密执行名为Protego的C#木马以窃取Windows系统数据。 此次对土耳其的攻击标志着该组织行动版图扩张。攻击始于钓鱼邮件中的恶意LNK文件，触发多阶段感染流程： LNK文件调用PowerShell命令，从2025年6月25日注册的域名“expouav[.]org”获取载荷 服务器托管仿冒国际无人载具系统会议的PDF诱饵（正版会议信息存于waset[.]org） “该PDF文档作为视觉诱饵分散用户注意力，攻击链在后台静默运行” 关键载荷包括通过计划任务启动的恶意DLL，采用DLL侧加载技术执行shellcode，最终实现： 主机深度侦察 屏幕截图 数据回传至C2服务器 这标志着该威胁组织能力显著升级：从2024年11月的x64 DLL变种，发展为当前具备增强命令结构的x86 PE可执行文件。Patchwork通过架构多样化及仿冒合法网站的C2协议，持续投入攻击能力开发。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全专家揭露了一波新的利用Microsoft 365的OAuth工作流程进行精准钓鱼攻击的活动。 自2025年3月以来，Volexity观察到这些活动涉及与俄罗斯有关联的威胁行为者，他们冒充欧洲外交官和乌克兰官员。 这些电子邮件试图诱使人权工作者和非政府组织（NGO）工作人员交出能授予访问其Microsoft账户权限的身份验证代码。 攻击背后的复杂社会工程 被Volexity追踪为UTA0352和UTA0355的威胁行为者，采用了高度个性化的策略来操控目标。受害者通常会通过Signal或WhatsApp收到看似来自欧洲官员的外联信息，提议就与乌克兰相关的事务举行会议。 这些对话最终会引导受害者收到攻击者发送的Microsoft OAuth登录链接，并被要求提供用户在身份验证后看到的一个代码。 这些钓鱼链接会将用户重定向至合法的Microsoft登录页面。然而，一旦受害者（通常通过同一即时通讯平台）返回所显示的代码，攻击者就会用它来生成一个访问令牌，从而解锁受害者的Microsoft 365数据。 在其中一个案例中，UTA0352引导目标访问一个在线托管的Visual Studio Code版本。在那里，受害者在不知情的情况下触发了OAuth流程，并被提示发回授权代码。这些代码有效期长达60天，授予了访问用户Microsoft Graph数据的权限，实际上暴露了其电子邮件和文件。 在另一次活动中，Volexity发现UTA0355使用一个被入侵的乌克兰政府电子邮件账户发送虚构会议的邀请函。后续通过即时通讯应用发送的信息要求用户通过Microsoft URL进行身份验证。 一旦完成身份验证，攻击者就会将一个新设备注册到用户的Entra ID（原Azure AD）中，通过社会工程绕过安全设置并下载电子邮件数据。 关键入侵迹象 Volexity强调了几点组织可以监控的潜在入侵迹象，包括： 使用Visual Studio Code客户端ID进行的OAuth登录活动 重定向到insiders.vscode.dev或vscode-redirect.azurewebsites.net的URL 新注册的、链接到代理IP地址的设备 异常的双重身份验证审批请求 与用户典型电子邮件客户端不匹配的应用程序ID 根据该安全公司的分析，这些活动专门针对与乌克兰有联系的非政府组织、智库和个体。 “基于此，以及2025年2月观察到的类似战术，Volexity以中等可信度评估认为UTA0352和UTA0355均为俄罗斯威胁行为者。”报告指出。 该公司还警告称，由于这些策略完全依赖微软可信赖的基础设施和第一方应用程序，传统的安全控制措施可能效果不佳。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文