Akamai近日透露，已经挫败了针对一家美国银行的大规模DDoS（分布式拒绝服务）攻击，攻击峰值高达每秒5510万个数据包。这也是Akamai挫败的第三大规模的DDoS攻击。 根据Akamai的公告，该攻击发生在9月5日，洪水般的流量攻击了“美国最大、最有影响力的金融机构之一，虽然攻击只持续了不到两分钟，但由于犯罪分子使用ACK、PUSH、RESET和SYN洪水攻击向量，攻击流量达到了每秒633.7GB。” 攻击者的主要目标是该银行的网页登陆页面，试图扰乱其网上银行业务，但“没有造成附带损害或服务质量下降”。 Akamai声称，这次攻击是迄今为止针对美国金融公司的最大规模攻击。（2023年2月，Cloudflare声称阻止了有记录以来最大规模的单一DDoS事件，峰值每秒超过7100万个请求。） Akamai的研究人员指出，近年来试图破坏银行网站和业务的DDoS攻击流量正在增加。 从历史上看，科技公司、游戏公司、媒体/娱乐和互联网/电信提供商是DDoS攻击的主要目标，只有10%到15%的DDoS攻击针对银行客户。然而，自2021年以来，针对金融机构的DDoS攻击数量明显激增。“事实上，在过去的四个季度中，超过30%的DDoS攻击都是针对金融服务公司的。”Akamai研究人员透露。   转自GoUpSec，原文链接：https://mp.weixin.qq.com/s/wBRA9V1_QLk9w1iKKy7fNQ 封面来源于网络，如有侵权请联系删除

Google发布了一个紧急安全更新，修复了一个新出现的 Chrome 浏览器零日安全漏洞。该公司在一份安全公告中宣布：”Google意识到，CVE-2023-4863 的漏洞已被外部利用。这个问题被描述为堆缓冲区溢出，存在于 WebP 图像格式中。” 当程序试图向分配的内存缓冲区写入超过缓冲区实际设计容量的数据时，就会发生堆缓冲区溢出。在某些情况下，这个漏洞可能会让攻击者执行任意代码，这意味着他们可以在受影响的系统上运行自己选择的代码。 苹果安全工程与架构（SEAR）和多伦多大学蒙克学院公民实验室于 2023 年 9 月 6 日发现并报告了这一漏洞。不过，Google没有披露该漏洞的详细信息，也没有提供攻击者如何利用该漏洞的信息。 强烈建议 Chrome 浏览器用户将浏览器更新到最新版本，Mac 和 Linux 版为 116.0.5845.187，Windows版为 116.0.5845.187.188。此更新非常重要，因为它解决了 CVE-2023-4863 漏洞。 新版本目前正向稳定版和扩展稳定版渠道的用户推出，可能在未来几天或几周内向所有用户推出。当我们在 Windows PC 上通过 Chrome 浏览器菜单 > 帮助 > 关于 Google Chrome 浏览器检查新更新时，该更新可供下载。 Google在 8 月份宣布将每周为稳定版 Chrome 浏览器用户发布安全更新后，最新的漏洞又出现了。该公司表示，如果发现安全漏洞在野外被积极利用，它将及时处理并为 Chrome 浏览器发布计划外补丁。   转自cnBeta，原文链接：https://www.toutiao.com/article/7277976038813057575/?log_from=2aa9a72b6c06a_1694586469894 封面来源于网络，如有侵权请联系删除

网络安全公司 SlashNext 发现，如今的 AI 聊天机器人出现了一种令人担忧的情况。有用户利用AI聊天机器人系统漏洞进行”越狱”操作，这违反了道德准则和网络安全协议。 ChatGPT曾因其先进的对话能力而声名鹊起，然而有一些用户发现了能够绕过其系统内置的安全措施的弱点。如果有人可以操纵聊天机器人提示系统，那就能发布一些未经审查和监管的内容，这引发了道德问题。AI聊天机器人 “越狱 “涉及发布特定命令或叙述，可触发无限制模式，使AI能够不受约束地做出反应。网上一些讨论社区中已经有人在分享这些越狱的策略和战术。 Critical Start 公司网络威胁研究高级经理 Callie Guenther 说：这些平台是用户分享越狱策略、战略和提示的协作空间，以充分发挥人工智能系统的潜力。虽然这些社区的主要动力是探索和推动人工智能的发展，但必须注意到事情的两面性。 SlashNext解释说，这种趋势也引起了网络犯罪分子的注意，他们开发了一些可以利用定制的大型语言模型（LLM）达到恶意目的工具。 研究表明，除了 WormGPT 以外，这些工具大多只是连接到越狱版的公共聊天机器人，能够允许用户在保持匿名的情况下利用AI生成一些内容。 随着AI技术的不断进步，人们对AI越狱的安全性和道德影响的担忧与日俱增。防御安全团队在这方面希望能实现以下两个目标： Darktrace 战略网络人工智能副总裁 Nicole Carignan 说，首先他们可以协助研究如何保护 LLM 免受基于提示的注入，并与社区分享这些经验。 其次，他们可以利用人工智能大规模防御更复杂的社交工程攻击。要想在进攻型人工智能时代有效地保护系统，就需要不断壮大防御型人工智能武器库，而我们已经在这方面取得了重大进展。 据 SlashNext 报道，OpenAI 等组织正在采取积极措施，通过漏洞评估和访问控制来加强聊天机器人的安全性。 研究人员目前正在探索更加有效的策略来强化聊天机器人的安全性，以防止其被那些恶意行为者所利用。AI安全仍处于早期阶段，Darktrace方面未来的目标是开发出能够抵御试图破坏其安全的聊天机器人，同时继续为用户提供有价值的服务。 转自Freebuf，原文链接：https://www.freebuf.com/news/377935.html 封面来源于网络，如有侵权请联系删除

根据Traceable近日发布的《2023年API安全状况报告》，过去两年74%的企业都遭遇了至少三次API攻击相关的数据泄露事件。 该报告与PonemonInstitute合作，调查了美国、英国和欧盟1629名网络安全专家，对全球API安全状况提供了全面视角。 调查结果显示，近年来与API相关的数据泄露事件剧增。在过去两年中，60%的受访组织报告了至少一次数据泄露事件，其中74%的组织经历了三起或更多事件。DDoS是主要API攻击方式，占所有攻击的38%。58%的受访者表示，攻击者将DDoS与其他攻击媒介相结合，显著扩大了企业的潜在攻击面。 该研究还凸显了人们对API安全性缺乏理解和信心。只有38%的专家认为有能力辨别API活动、用户行为和数据流的细微差别。包括Web应用程序防火墙(WAF)在内的传统安全解决方案受到质疑，57%的受访者怀疑此类产品区分真实API活动和欺诈性API活动的有效性。 展望未来，61%的受访者预计未来两年API相关风险将不断升级。组织正面临API蔓延(48%)和API准确库存管理(39%)等严峻挑战。平均而言，每家受访组织维护着127个第三方API连接，但只有33%的组织表示有信心保护这些外部威胁。   转自GoUpSec ，原文链接：https://mp.weixin.qq.com/s/wk7kzDxNm4JQOaBmMlgLOw 封面来源于网络，如有侵权请联系删除

美国CISA、FBI和网络司令部发布的一份联合报告显示，国家支持的黑客组织利用Fortinet FortiOS SSL-VPN和Zoho ManageEngine ServiceDesk Plus关键漏洞攻击了美国一家航空机构。此次网络攻击事件背后的黑客组织尚未被命名，虽然联合通报没有将攻击者与特定国家联系起来，但美国网络司令部的新闻稿暗示攻击与伊朗民族国家工作者有关。 根据发布的联合警报显示，国家高级威胁行为者利用CVE-2022-47966未经授权访问面向公众的应用程序（Zoho ManageEngine ServiceDesk Plus），建立持久性，并在网络中横向移动。 CVE-2022-47966指的是一个关键的远程代码执行缺陷，该缺陷使未经身份验证的攻击者能够完全接管易受影响的实例。在成功利用这一漏洞之后，黑客获得了对web服务器的根级别访问权限，并采取措施下载其他恶意软件、收集管理用户凭据，并在网络中横向移动。 这些发现是基于CISA于2023年2月至4月在一家未具名的航空部门机构进行的事件响应调查。有证据表明，恶意活动早在2023年1月18日就开始了。并且美国网络司令部暗示伊朗民族国家工作者参与了袭击。 正如这三个美国机构所警告的那样，这些威胁组织经常扫描面向互联网的设备上未修补的漏洞，以查找关键且易于利用的安全漏洞。 据称，该黑客组织还利用Fortinet FortiOS SSL-VPN中的严重漏洞CVE-2022-42475来访问防火墙。Fortinet还警告说，在攻击期间，额外的恶意有效负载被下载到受感染的设备上，这些有效负载无法检索进行分析。 Fortinet于2022年11月28日悄然修复了该漏洞，但没有发布该漏洞已被广泛利用的信息，随后，12月中旬，客户首次被敦促修补其设备以抵御持续的攻击。   转自 E安全，原文链接：https://mp.weixin.qq.com/s/ZVLSpOEg4Un3DgPbu8snBw 封面来源于网络，如有侵权请联系删除

最近，我们观察到了一种名为”Fake Browser Update”的诱骗策略，让用户执行恶意二进制文件。在分析这些二进制文件时，我们确定使用了一个新的加载程序，用于在受感染的系统上执行信息窃取程序，其中包括StealC和Lumma。 IDAT 加载程序是我们于2023 年 7 月首次发现的一种新型、复杂的加载程序。在较早版本的加载器中，它被伪装成一个7-zip安装程序，传送SecTop RAT。现在，我们观察到该加载器被用来传送Stealc、Lumma和Amadey等信息窃取程序。它采用了几种逃避技术，包括 Process Doppelgnging、DLL Search Order Hijacking和Heaven’s Gate。IDAT加载器得名于威胁行为者将恶意载荷存储在PNG文件格式的IDAT块中。 在采用这种技术之前，我们观察到背后的黑客利用恶意JavaScript文件来与命令和控制（C2）服务器建立联系，或者传送Net Support远程访问木马（RAT）。 从SocGholish恶意软件，到黑客手中的窃取信息，下面的分析涵盖了整个攻击流程。 技术分析 黑客经常通过安全工具无法检测到的方式发起攻击，而安全研究人员也很难对其进行调查。 更多内容请至Seebug Paper  阅读全文：https://paper.seebug.org/3027/ 消息来源：rapid7，译者：知道创宇404实验室翻译组；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc ” 并附上原文

Hackernews 编译，转载请注明出处： 随着Facebook打击虚假账户的行动影响到无辜的旁观者，成千上万的用户在X或评论网站上表达了不满。专家警告说，如果你的Facebook账户被黑客入侵或被禁用，请准备好耐心和毅力。由于没有有效的客户支持，恢复账户可能需要数周时间。 自2017年10月以来，Facebook已经删除了惊人的276.7亿个虚假账户，这是地球总人口的3.5倍。Facebook每个季度都会删除数以亿计，有时甚至超过10亿个虚假账户。 注销账户的背后是什么？它们有多精确？我们无法获悉答案，因为Meta的媒体团队没有回应Cybernews的询问。 缺乏响应性支持，账户被暂停、禁用甚至被黑客攻击，用户对于Facebook的抱怨不绝于耳。 Facebook在Trustpilot.com上的用户评价为1.5星，在pissedConsumer.com上的用户评价为1.8星。 在X (Twitter)上，“被黑”这个通用搜索词每天都会提供几十个不同的新故事，比如: “我的账户依然处于被黑状态，我不知道为什么Facebook的客户支持没有回复我的电子邮件。近15天来，我一直在试图联系Facebook的支持团队，但没有得到他们的任何回复，Facebook的支持团队简直就是狗屎。” 当然，即使将评论网站或X上的所有投诉合并起来，几千名不满意的用户与Facebook的30亿月活跃用户相比也显得微不足道。然而，专家们向Cybernews证实，这些问题并非巧合。 “根据消费者的评论，Meta对用户申诉过程的处理似乎是不一致的。一些用户表示，他们的账户被泄露，他们的诉求得不到回应或及时解决，这让他们感到沮丧。在涉及账户被黑的情况下，Meta缺乏及时的帮助，这引起了人们对其客户支持的担忧。”PissedConsumer.com的首席执行官兼联合创始人迈克尔·波多尔斯基说。 据CNBC报道，Meta的两轮裁员影响了该公司为用户、公众人物、社区和企业提供的本已糟糕的客户服务。今年1月，Meta停止了对管理热门Facebook社区和群组的特权用户的支持功能。 4-5%的虚假账户被删除，数量达上亿 Facebook在今年第一季度删除了4.26亿个虚假账户。这是五年多来的最低数字。在前两年，这一数字在每个季度13亿至18亿之间波动。 Facebook在报告中写道:“由于网络空间的高度对抗性，预计虚假账户的执法指标会出现波动。” Facebook估计，在2023年第一季度，虚假账户约占Facebook全球月活跃用户(MAU)的4-5%。 真实用户受到妨碍:恢复账户可能需要数周时间 营销机构Ascendly marketing的总裁兼创始人马歇尔•戴维斯(Marshal Davis)表示，Facebook上的合法用户有时会陷入旨在捕捉虚假账户的拉网中。Ascendly marketing也帮助客户和有影响力的人在Meta和其他平台上找回自己的账户。 “Meta的申诉程序对用户并不友好，经常导致账户恢复延迟。缺乏流线型的沟通渠道加剧了这一问题。用户被蒙在鼓里，不确定他们的上诉状态。恢复一个被禁用或被黑的账户是一个漫长的过程，可能会持续数周。” 使问题复杂化的原因是缺乏直接的人力支持。 戴维斯补充说:“用户应该准备好迎接漫长、令人沮丧的体验。” 据他介绍，由于Meta机器学习算法的局限性，误报经常发生。Meta的平台对虚假账户具有吸引力，因为它们的全球可访问性、进入门槛底下和创建账户的简易。这使得恶意行为者使用自动机器人或人工操作员为各种恶意活动创建账户——包括垃圾邮件和虚假信息。 “这些算法往往无法理解用户生成内容背后的细微差别和背景。”戴维斯说。 这个功能有时候会被“喷子”滥用。正如英国政府所揭露的那样，克里姆林宫用来为俄罗斯入侵乌克兰争取支持的策略包括利用“a troll factory（巨魔工厂）”在社交媒体上传播虚假信息。 99000名愤怒的消费者的抱怨 PissedConsumer.com与Cybernews分享了一些统计数据:自2015年以来，该网站的用户共发布了9.9万条关于Facebook的评论，平均评分为1.8星。 截至2023年9月，通过PissedConsumer平台向Facebook客户服务部门拨打的电话高达705089个。评论的用户们声称他们共遭受了1.02亿美元的损失。 该公司说：“消费者倾向于联系Facebook客服询问有关账户、产品或服务的问题，并要求提供信息。” 负面评论通常包括“没有客户服务”和“被黑客攻击”，而正面评论则提到“朋友”和“家人”。 PissedConsumer.com的首席执行官兼联合创始人Michael Podolsky指出，许多问题出在Meta用于验证和报告的自动算法上。 他指出，Facebook用户面临的最重要问题是缺乏客户服务，这加剧了根本问题，例如账户被黑客入侵、违反内容政策、冒充、诈骗、仇恨言论、隐私泄露或其他客户的突出问题。 Podolsky表示:“消费者通常希望在遇到问题时得到及时的回应和帮助，但这些评论表明Meta的消费者支持流程还有改进的空间。 账户被黑了或者被禁用了怎么办? 有时，Meta会在X (Twitter)上对陷入困境的用户做出反应。他们的建议通常是:“您好，请访问我们的帮助中心获取帐户支持:https://meta.com/help/。” 对此，有些人的回应是:“我试过了，你的帮助中心一点帮助都没有。” “用户应该做的第一件事是尝试Meta的官方支持渠道，比如帮助中心或客户支持。我们一直强烈鼓励消费者向公司公开表达他们的担忧。在Twitter (X)上发布帖子可能会引起关注，但就Meta而言，这并不是一个万无一失的解决方案。Meta的专用支持渠道更有可能为账户相关问题提供直接帮助。请记住，反应时间和效果可能会有所不同，所以在试图解决这些问题时要有耐心和毅力。”     消息来源：cybernews，译者：Linn；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc ” 并附上原文

（上图为黑客网上发布的小广告） 2023年8月，四川遂宁船山公安成功打掉一本地网络“黑客”犯罪团伙，侦破非法侵犯公民个人信息、非法控制计算机信息系统、非法获取计算机信息系统数据、破坏计算机信息系统等系列案件。 工作室网发“服务广告”警方发现端倪 2023年7月中旬，遂宁船山公安在某短视频平台上发现，有用户发布了上述狂妄、骄傲的“服务广告”。 网安民警敏锐地意识到，信息背后很可能隐藏着“见不得光”的勾当。 经过调查民警发现，该“工作室”涉及的“服务”有：DDOS网站攻击、APP系统渗透、指定IP电脑和手机远控，出售攻击软件和教程等。 随着网安民警接下来几日的深入侦查，发现这个“工作室”团伙近期正在入侵某房产网和某购物网APP。 遂宁船山公安立即成立专案组，对该案件展开集中攻坚。 嫌疑人吹嘘“骄人战绩”犯罪团伙浮出水面 侦查发现，该“工作室”中的一名成员不仅在短视频平台发布“服务”信息，还在其他网络平台聊天，大肆吹嘘自己的高超技术，宣扬自己的“团队”利用黑客技术攻击境内外网站非法牟利的“骄人战绩”。 侦察民警通过对数据的进一步分析研判，发现该名成员并没有像他吹嘘的那样神通广大。实际上他在该团伙中只负责数据销售、资金结算和技术寻租等前端犯罪活动，而在他的背后还隐藏着一个专业的犯罪团伙。 以他为突破口，警方连日奋战，截至7月底，全面掌握了这一黑客团伙的组织架构和团伙成员信息，团伙头目奉某、唐某浮出水面。 倒卖大量公民私密信息，警方集中抓捕收网 8月3日晚，专案组兵分三路集中收网抓捕，同时在遂宁市城区某网络技术工作室、河东新区某电竞酒店、内江市资中县一民宿内挡获正在实施攻击网站盗窃用户数据的犯罪行为的嫌疑人4名，现场查扣大量用于作案的网络技术设备。     转自Freebuf，原文链接:https://www.freebuf.com/news/376937.html 封面来源于网络，如有侵权请联系删除

Security Week 网站披露，美国能源部近期即将举办一项网络安全竞赛，帮助小型电力公司获得资金和技术援助，以期改善其网络安全状况。 该项名为 “先进网络安全技术（ACT）1 “的竞赛是拜登政府”农村和市政公用事业网络安全（RMUC）计划 “的一部分。据悉，RMUC 计划在五年内拨款 2.5 亿美元，用于加强市政和小型投资者拥有的电力公用事业的网络安全。 ACT 1 比赛是一系列竞赛中的第一场，总预算为 896 万美元的现金和技术援助，比赛共分为三个阶段：承诺、规划和实施。 项目第一阶段的截止日期为 2023 年 11 月 29 日，能源部指出在承诺阶段获胜的公用事业公司将根据其承诺获得现金奖励和技术援助，以通过投资网络安全技术、员工培训和改进治理流程来改善其公用事业公司的网络安全态势。 规划阶段，公用事业部门将进行系统评估，确定培训领域，了解潜在风险和解决方案，并起草实施路线图。最后阶段，参赛者将努力实施路线图。 值得一提的是，第二和第三阶段，电力公司将根据其在相应阶段完成的工作获得现金奖励和技术援助。 美国政府逐渐加大对网络安全的资源投入 近些年，美国逐渐在加大对网络安全方面的资金投入。上个月，美国国土安全部（DHS）宣布鉴于最近几个月的勒索软件不断攻击州和地方政府，将向这些政府提供近 3.75 亿美元（约合人民币 27.1 亿元）的资金，以帮助这些机构增强网络安全防御能力。 不仅仅是资金投入方面，美国近些年也逐步加强在演练防御上的资金投入。例如，上个月美国网络司令部举行“网络旗帜23-2”演习，旨在增强网络部队的战备状态和作战能力，参演团队在活动中开展了“红蓝对抗”，其中红队尝试入侵网络，而蓝队则负责识别并阻止网络攻击活动。 美国通过加大对网络安全方面的资金投入和增加网路安全攻防演习的频次，增强美国地方政府和军队人员的整体网络战备状态和能力，逐渐加强美国政府网络安全防御以及进攻能力。     转自Freebuf，原文链接:https://www.freebuf.com/news/376822.html 封面来源于网络，如有侵权请联系删除

据联合国统计，东南亚目前正有 20 多万人被迫从事网络诈骗活动。 人权事务高级专员办事处于本周二（8月29日）发表的一份报告中就记录了这一非法行业的巨大贩运规模数据。 人权高专办写道，在柬埔寨，至少有 10万人在违背自己意愿的情况下被贩卖。而据可靠消息在缅甸估计有 12万人被贩卖。受害者被贩运到亚洲各地以及东非、埃及、土耳其和巴西。 这些人通常会被社交媒体上发布的工作机会所吸引。因为这些工作基本上都会向受骗者承诺为他们提供与信息技术相关的体面报酬，并要求他们从自己的国家搬迁到其他地方工作。 而当这些受骗者到达目的地后，实际情况却与广告宣传大相径庭。工人们会与其他被贩卖的受害者一起被囚禁在园区里，他们的护照也会被没收，然后被迫在网上进行诈骗活动，最常见的就是 “杀猪盘 “，即在信息应用程序上与目标人物建立关系，建立信任，最终诱骗他们进行欺诈性的加密货币投资。 据联合国统计，诸如此类的东南亚骗局已产生了价值数十亿美元的收入。而赌场正是这些有组织犯罪团伙的主要收入来源。 在 COVID-19 封锁期间，线下赌场被迫关门，这种线上赌场的贩运活动随之兴起。 联合国方面表示：越来越多犯罪团伙将目标对准滞留在这些国家的、因边境和商业关闭而失业的移民工人，让他们在诈骗中心工作。 自2021年2月缅甸发生军事政变以来，在与泰国和中国接壤的缅甸边境地区发生的诈骗活动日益猖獗。联合国还将老挝和菲律宾列为网络诈骗的重点关注地区。 图片来源：联合国人权事务高级专员办事处 中国、泰国、老挝和缅甸最近在泰国北部城市清迈设立了一个中心，以协调邻近地区的反网络犯罪行动。上周，泰国、老挝和中国驻缅甸大使发表了一份联合声明，呼吁 “努力打击赌博集团”。 《联合国打击人口贩运议定书》并未将诈骗者列入其中 一般来说，园区内的诈骗人员要想离开园区只能是通过一些反人口贩运组织进行联合行动实施救援、或其家人支付赎金等方式，才有可能被解救出来。 尽管东南亚所有国家都签署了《联合国打击人口贩运议定书》，但当地法律仍然无法保护那些被卷入网络诈骗的人们。 例如，在泰国被贩运后返回泰国的网络诈骗者中，有 70% 的人因被控犯罪而受到起诉。泰国的《反人口贩运法》规定，受害者可免于因某些罪行而被起诉，但诈骗不在其中。 联合国方面表示，除马来西亚外，所有东南亚国家都没有承认强迫犯罪是人口贩卖法律定义中的剥削目的。此外，在柬埔寨等国，获救的受害者往往因违反移民法而被拘留，因为他们无法证明自己是被以虚假借口带到该国并在违背自己意愿的情况下被关押的。 报告作者建议各国立法解决与网络有关的人口贩运的特殊性，这种贩运往往始于自愿的跨境旅行。此外，联合国机构还呼吁地方执法部门帮助受害者，而不是支持非法企业。 有受害者曾表示，执法官员会直接帮助那些贩卖团伙，比如为他们的跨境旅行提供便利，或者在诈骗中心担任警卫收取相关利益。 各国有义务打击腐败，并将其作为更广泛的人权承诺以及促进善治和法治的一部分。     转自Freebuf，原文链接:https://www.freebuf.com/news/376796.html 封面来源于网络，如有侵权请联系删除