HackerNews 编译，转载请注明出处： 朝鲜威胁行为体Konni近期被发现使用AI工具生成的PowerShell恶意软件，针对区块链领域的开发者和工程团队发起攻击。该钓鱼活动已瞄准日本、澳大利亚和印度用户。 根据Check Point研究团队报告，Konni的恶意活动已超越其常规攻击范围，显示出在亚太地区更广泛的攻击目标。该黑客组织通常攻击韩国、俄罗斯、乌克兰及欧洲的机构。 此次攻击主要针对具备区块链相关资源和基础设施专业知识或访问权限的软件开发人员及工程团队。Konni使用伪装成合法项目文档的诱饵内容，这些内容通常与区块链及加密货币项目相关。 具体而言，攻击活动通过Discord内容分发网络投放模仿项目需求文档的ZIP文件，从而展开多阶段攻击链。诱饵文档包含架构、技术栈、开发时间表等技术细节，部分甚至包含预算和交付里程碑。 研究人员在技术报告中指出：“这种模式表明其意图是渗透开发环境，从而获取包括基础设施、API凭证、钱包访问权限乃至加密货币资产在内的敏感资产。” 为实现攻击目的，攻击者部署了AI生成的PowerShell后门程序。该脚本具有异常精巧的结构，但代码中直接嵌入了注释：”# <– 您的永久项目UUID”。 Check Point解释称：”这种措辞是LLM生成代码的典型特征，模型会明确指示用户如何自定义占位符数值。此类注释常见于AI生成的脚本和教程中。” 研究人员表示，所有这些都凸显了包括朝鲜组织在内的威胁行为体对AI技术的使用日益增多。 Check Point强调：”与针对个人终端用户不同，此次攻击活动的目标似乎是在开发环境中建立据点，通过渗透开发环境可获得跨多个项目和服务的更广泛下游访问权限。AI辅助工具的引入表明攻击者正试图在继续依赖成熟传播手段和社会工程学的同时，加速开发进程并实现代码标准化。” 该组织至少自2014年开始活跃，通常依靠鱼叉式钓鱼攻击传播围绕朝鲜半岛地缘政治议题制作的武器化文档。Konni以针对韩国的机构和个人而闻名，重点关注外交渠道、国际关系、非政府组织、学术界和政府机构，也被追踪为Earth Imp、Opal Sleet、Osmium、TA406和Vedalia。 去年11月，Konni曾被发现通过利用谷歌资产跟踪服务Find Hub攻击Android设备，远程重置受害者设备并清除其个人数据。 消息来源: cybernews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Crunchbase近日确认发生数据泄露事件。此前，名为ShinyHunters的网络犯罪组织声称从其系统中窃取了超过200万条个人记录。 由于勒索失败，ShinyHunters已在相关网站上公开泄露了一个容量为402 MB的压缩数据包。 Crunchbase表示，此次事件未影响公司正常运营，且安全漏洞现已得到遏制。公司已通报美国联邦当局，并正借助外部专家力量调查此事。目前，Crunchbase正在评估被泄露的数据内容，以确定是否需要依法发布通知。 Crunchbase在给SecurityWeek的声明中称：“Crunchbase检测到一起网络安全事件，有威胁行为者从公司内部网络窃取了某些文件。此事件未造成业务运营中断。我们已控制住事态，系统是安全的。” 声明进一步指出：“在发现事件后，我们立即聘请了网络安全专家协助处理，并联系了联邦执法机构。我们已知悉威胁行为者在网上公开了部分信息。根据事件响应流程，我们正在审查受影响的信息，并将依据相关法律要求决定是否需发布通知。” ShinyHunters团伙最近重启了其数据泄露网站，列出的受害者包括SoundCloud、Betterment以及本次的Crunchbase，前两家公司此前也已承认遭遇数据泄露。 ShinyHunters是一个以牟利为目的的网络犯罪组织，自2020年起持续活跃。它从大型企业窃取海量个人及公司数据，若赎金要求未被满足，便在地下论坛出售或公开泄露这些数据。该组织常利用窃取的凭证、云服务漏洞及社交工程手段实施攻击，并曾宣称对Tokopedia等知名平台及其他高价值目标的大规模数据泄露事件负责。 消息来源:securityaffairs.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 2025年12月下旬一场针对波兰电网的网络攻击，已被证实与受俄罗斯政府支持的黑客组织“沙虫”有关。该组织在攻击中试图部署一种名为”DynoWiper”的新型破坏性数据擦除恶意软件。 沙虫组织（亦被追踪为UAC-0113、APT44和Seashell Blizzard）是一个俄罗斯国家级黑客组织，自2009年以来持续活跃。该组织被认为隶属于俄罗斯总参谋部情报总局（GRU）第74455部队，并以实施破坏性和毁灭性网络攻击而闻名。 几乎正好在十年前，沙虫曾对乌克兰能源电网发动了一次破坏性数据擦除攻击，导致约23万人断电。 根据ESET公司的调查，沙虫组织现已被证实与12月29日至30日针对波兰能源基础设施的攻击有关，此次攻击使用了名为“DynoWiper”的数据擦除器。 当数据擦除器被执行时，会遍历文件系统并删除文件。操作完成后，操作系统将无法使用，必须通过备份恢复或重新安装。 波兰官方在声明中表示，此次攻击的目标是两座热电联产厂以及一个用于控制风电机组和光伏农场等可再生能源发电的管理系统。 波兰总理唐纳德·图斯克在新闻发布会上表示：“一切迹象表明，这些攻击是由与俄罗斯情报部门直接相关的团体策划的。” ESET尚未公布关于DynoWiper的详细技术细节，仅表示该防病毒公司将其检测为Win32/KillFiles.NMO，其SHA-1哈希值为4EC3C90846AF6B79EE1A5188EEFA3FD21F6D4CF6。 BleepingComputer未能在VirusTotal、Triage、Any.Run等其他恶意软件提交平台找到该擦除器的样本。 虽然目前尚不清楚攻击者在波兰系统内潜伏了多长时间，也不确定其入侵方式，但Team Cymru的高级威胁情报顾问威尔·托马斯建议防御者参阅微软2025年2月发布的关于沙虫组织的报告。 不久前，沙虫组织还被证实与2025年6月和9月针对乌克兰教育、政府和粮食部门的破坏性数据擦除攻击有关。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 区块链情报公司 TRM Labs 最新调查显示，2022 年 LastPass 数据泄露事件中被窃的加密备份文件，因部分用户主密码强度不足，至今仍在被黑客离线破解，导致加密货币资产持续失窃，最近一次盗币发生在 2025 年 10 月。 链上证据显示，俄罗斯网络犯罪集团深度参与：相关资金多次与俄罗斯关联基础设施交互，混币前后控制权一致，且持续使用高风险俄系交易所套现。TRM Labs 指出，评估结论“基于完整的链上证据链”。 2022 年，LastPass 遭重大入侵，攻击者获取大量客户加密密码库，内含加密货币私钥、助记词等敏感信息。英国信息专员办公室（ICO）本月早些时候以“未采取足够技术和安全措施”为由，对 LastPass 处以 160 万美元罚款。事发后 LastPass 曾警告，黑客可能用暴力破解手段还原主密码；TRM Labs 证实这一预言已成现实。 “任何主密码薄弱的密码库都可能被离线爆破，2022 年的一次入侵为攻击者打开了持续数年的盗窃窗口。由于用户未更换密码或加固库文件，黑客在数年后仍能破解并转走资产，最晚一批盗币发生在 2025 年底。” 资金流向凸显俄罗斯背景：混币后主要通过 Cryptomixer.io 洗白，再经 Cryptex、Audia6 两家俄系交易所套现。其中 Cryptex 已于 2024 年 9 月被美国财政部制裁，理由是其接收逾 5120 万美元勒索软件赃款。TRM Labs 目前已追踪到 3500 万美元被盗数字资产：2800 万美元在 2024 年末至 2025 年初通过 Wasabi Wallet 混币并换成比特币；另 700 万美元于 2025 年 9 月的新一轮盗币中被发现。 尽管攻击者采用 CoinJoin 混币技术，TRM Labs 仍通过聚类提款与“剥皮链”手法还原资金路径，将混合后的比特币锁定至上述两家交易所。 TRM Labs 全球政策主管 Ari Redbord 表示：“这是单一泄露演变为多年盗窃的典型案例。即便使用混币器，操作习惯、基础设施复用及套现行为仍会暴露幕后黑手。高风险俄系交易所仍是全球网络犯罪的核心出口，此案再次证明‘去混币’与生态级分析对追踪和执法至关重要。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据媒体报道，本月早些时候一名俄罗斯黑客嫌犯在泰国被捕，据悉此人与一个新兴的、与克里姆林宫立场一致的黑客组织存在关联。该组织曾针对欧洲和北美多国的政府及关键基础设施网络发起攻击。 泰国警方上周证实，已拘留一名遭美国通缉的 “世界知名黑客”，此人涉嫌对美国政府机构发动网络攻击。随后，俄罗斯国家媒体今日俄罗斯电视台确认该嫌犯为 35 岁的丹尼斯・奥布列佐科，他是斯塔夫罗波尔人，此前曾任职于俄罗斯多家大型信息技术企业，负责 “为国内产业研发高科技系统”。 当地媒体援引执法部门消息称，此次逮捕行动由美国联邦调查局与泰国警方联合开展，奥布列佐科于 11 月 6 日落网。他入境泰国仅一周，警方便突袭了其位于普吉岛度假胜地的酒店房间，并查扣了笔记本电脑、手机及数字钱包等物品。 上周有报道显示，该嫌犯被捕后被关押在曼谷，等待引渡至美国。今日俄罗斯电视台称，嫌犯家属已确认其被捕一事，并表示正聘请律师，试图阻止将其移交美国当局。俄罗斯驻曼谷大使馆也已提出领事探视要求。 泰国官方尚未公开披露该嫌犯的身份信息，但当地警方知情人士向美国有线电视新闻网透露，奥布列佐科据称是 “Void Blizzard” 组织（又名 “洗衣熊”）的成员。这个与俄罗斯有关联的黑客组织，最早由微软公司在今年发布的报告中详细曝光。 新兴的 “暴雪” 势力 微软在 5 月发布的一份报告中指出，“Void Blizzard” 是一个新兴的间谍性质高级持续性威胁组织，其行动始终服务于俄罗斯政府的相关利益（微软公司会用 “暴雪” 为所有与俄罗斯有关联的黑客组织命名）。该黑客组织的攻击目标涵盖政府、国防、交通、媒体、非政府组织及医疗等多个领域的机构，攻击重点集中在欧洲和北美地区。 微软方面称，“Void Blizzard” 通常借助购买或窃取的账户凭证侵入目标网络，进而窃取大量电子邮件与内部文件。 2024 年 9 月，荷兰情报部门透露，该组织曾入侵包含荷兰国家警察部门在内的多家荷兰机构，并窃取了大量 “工作相关联络信息”。 微软表示：“该黑客组织频繁针对关键领域网络发动攻击，这不仅给北约成员国，也给乌克兰的一众盟友带来了日益严峻的安全风险。” 消息来源： therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全和基础设施安全局（CISA）披露，威胁行为者利用 GeoServer 中一个未修补的漏洞，攻破了一家美国联邦民用机构的网络。 攻击者利用的漏洞编号为 CVE-2024-36401（CVSS 评分 9.8），这是一个严重的远程代码执行（RCE）漏洞。该漏洞于 2024 年 6 月 30 日被公开，多名研究人员随后在网上发布了概念验证（PoC）利用代码。[1, 2] GeoServer 是一款开源服务器，允许用户共享和编辑地理空间数据。2024 年 7 月中旬，CISA 已将该漏洞列入其“已知被利用漏洞”（KEV）目录。 在一起事件中，该联邦文职机构的终端检测与响应（EDR）工具在 7 月 11 日检测到潜在恶意活动，CISA 随后展开应急响应调查。结果发现，攻击者早在三周前就通过该漏洞入侵了机构的 GeoServer。 根据 CISA 公布的通告：“CISA 在该联邦机构展开事件响应工作，是因为其 EDR 工具发现了潜在的恶意活动。调查发现，网络威胁行为者通过利用 CVE-2024-36401 攻陷了一个 GeoServer。在随后的三周时间里，黑客再次利用该漏洞攻入第二个 GeoServer，并横向移动至另外两台服务器。” 攻击者横向扩散至一台 Web 服务器和一台 SQL 服务器，部署了 WebShell，以及用于持久化、远程访问和提权的脚本。同时，他们还使用 “以合法工具作恶”（LOTL） 技术来规避检测。 调查显示，攻击者先用 Burp 工具扫描对外开放的 GeoServer，然后通过虚拟专用服务器（VPS）和公开工具利用该漏洞，在两台 GeoServer 上实现远程代码执行。他们通过 eval 注入上传 WebShell，创建定时任务（cron）和新账户以维持持久化，并尝试使用公开的 dirtycow 提权工具提升权限。 CISA 分享了他们总结的经验教训： 第一，漏洞未能及时修复； 第二，机构未对事件响应计划（IRP）进行测试或演练，IRP 也未能确保能及时引入第三方并授予必要权限； 第三，EDR 警报未被持续监控，部分对外系统缺乏终端防护。   消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 自 2025 年 4 月起，一个此前未被记录的黑客组织 ComicForm 发起了钓鱼攻击活动，白俄罗斯、哈萨克斯坦和俄罗斯的多家机构成为其攻击目标。 网络安全公司 F6 在上周发布的分析报告中指出，此次攻击活动主要针对工业、金融、旅游、生物技术、科研及贸易行业。 该攻击链的具体流程如下：首先发送主题为 “等待签署文件”“付款发票” 或 “待签署对账单” 的电子邮件，诱导收件人打开一个 RR 压缩文件；压缩文件内包含一个伪装成 PDF 文档的 Windows 可执行文件（例如 “Акт_сверки pdf 010.exe”，俄语 “对账单” 相关文件名）。这些邮件分别以俄语或英语撰写，发送邮箱地址的顶级域名为.ru（俄罗斯）、.by（白俄罗斯）和.kz（哈萨克斯坦）。 上述可执行文件是一个经过混淆处理的.NET 加载器，其作用是启动恶意动态链接库（DLL）“MechMatrix Pro.dll”；随后，该动态链接库会运行第三阶段有效载荷 —— 另一个名为 “Montero.dll” 的动态链接库，该文件实为 Formbook 恶意软件的投放器。在投放恶意软件前，“Montero.dll” 会先创建计划任务，并配置微软防御者（Microsoft Defender）的排除项，以躲避检测。 有趣的是，研究人员发现该可执行文件中还包含指向 Tumblr 平台的链接，这些链接指向蝙蝠侠等漫画超级英雄的完全无害 GIF 动图，黑客组织 “ComicForm” 的名称也正源于此。F6 公司研究员弗拉季斯拉夫・库甘（Vladislav Kugan）表示：“这些图片并未用于任何攻击行为，仅作为恶意软件代码的一部分存在。” 对 ComicForm 组织基础设施的分析显示，2025 年 6 月该组织曾向哈萨克斯坦某未具名企业发送钓鱼邮件，2025 年 4 月则针对白俄罗斯某银行发起过类似攻击。 F6 公司还透露，就在 2025 年 7 月 25 日，他们检测到并拦截了一批钓鱼邮件：这些邮件伪装成来自哈萨克斯坦某工业企业的邮箱地址，发送给俄罗斯的制造企业。邮件诱导潜在目标点击内置链接 “验证账户”，以避免账户 “可能被冻结”。 用户点击链接后，会被重定向至一个伪造的登录页面 —— 该页面模仿当地某文档管理服务的登录界面。一旦用户输入账户信息，这些信息就会通过 HTTP POST 请求发送至黑客控制的域名，从而实现账号窃取。 库甘解释道：“此外，研究人员在该钓鱼页面的代码中发现了一段 JavaScript 脚本，其功能包括：从 URL 参数中提取用户邮箱地址，并自动填充到 ID 为‘email’的输入框中；从邮箱地址中提取域名；通过 screenshotapi [.] net 接口获取该域名官网的截图，并将其设为钓鱼页面的背景（以增强伪装性）。” 针对白俄罗斯某银行的攻击则采用了 “发票主题诱饵”：黑客发送钓鱼邮件，诱导用户在一个表单中输入邮箱地址和手机号，这些信息随后会被捕获并发送至外部黑客域名。 F6 公司指出：“该组织针对俄罗斯、白俄罗斯和哈萨克斯坦多国不同行业的企业发起攻击；而英语版本钓鱼邮件的存在表明，攻击者还将目标拓展到了其他国家的机构。攻击者采用的手段包括两种：一是通过钓鱼邮件分发 FormBook 恶意软件，二是搭建伪装成正规网络服务的钓鱼平台，以窃取账号凭证。” 亲俄组织针对韩国发起攻击，部署 Formbook 恶意软件 与此同时，新加坡网络安全公司 NSHC 的 ThreatRecon 团队披露了另一起事件：一个亲俄网络犯罪组织针对韩国的制造、能源及半导体行业发起了攻击。该攻击活动被归因于名为 SectorJ149（又称 UAC-0050）的黑客集群。 2024 年 11 月，研究人员观测到了上述攻击活动。其流程始于针对企业高管及员工的鱼叉式钓鱼邮件，邮件以 “生产设备采购” 或 “报价请求” 相关内容作为诱饵；收件人一旦打开邮件附件，会触发一个伪装成微软压缩包（CAB 格式）的 Visual Basic 脚本（VBScript），该脚本进而执行 Lumma Stealer（ Lumma 窃取器）、Formbook（Formbook 恶意软件）和 Remcos RAT（Remcos 远程访问木马）等常见恶意软件。 该 Visual Basic 脚本被设计为执行一条 PowerShell 命令，通过访问 Bitbucket 或 GitHub 代码仓库获取一个 JPG 图片文件 —— 该图片中隐藏着一个加载器可执行文件，最终由该加载器启动窃取器和远程访问木马（RAT）等恶意有效载荷。 NSHC 公司表示：“在内存区域直接执行的可移植可执行文件（PE 格式）恶意软件属于加载器类型。它会通过预设参数中包含的 URL，下载伪装成文本文件（.txt 格式）的额外恶意数据，对其进行解密后，生成并执行新的 PE 格式恶意软件。” “过去，SectorJ149 组织的活动主要以获取经济利益为目的，但近期针对韩国企业的黑客活动则被认为具有强烈的黑客行动主义（hacktivist）属性 —— 攻击者通过黑客技术传递政治、社会或意识形态相关信息。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 研究人员发现，朝鲜黑客利用OpenAI的ChatGPT生成伪造的军事证件，作为针对韩国国防相关机构的网络钓鱼活动的一部分。 2024年7月的攻击被归因于Kimsuky组织，也被称为APT43。该组织因通过情报收集行动支持平壤的外交政策和规避制裁的努力，已被华盛顿及其盟友制裁。 据韩国网络安全公司Genians称，黑客利用ChatGPT创建韩国政府和军事人员证件的样本图像。这些图像被嵌入到网络钓鱼邮件中，这些邮件被设计得看起来像是来自韩国国防部处理军事官员证件服务的合法机构。 这些邮件附带了一张伪造的身份证和恶意软件，使攻击者能够窃取数据并远程访问受害者的系统。 研究人员表示，通过对图像的元数据分析确认这些图像是使用ChatGPT生成的。尽管ChatGPT通常会拒绝复制官方证件的请求，但报告称，攻击者可能通过将请求表述为模拟或样本设计，从而操纵提示词来生成图像。 “这是一个真实案例，展示了Kimsuky组织应用深度伪造技术的情况。”Genians警告说，生成式人工智能可能会被滥用，以很少的技术技能就能创造出逼真的伪造品。 Kimsuky自2012年以来一直活跃，目标是韩国、日本、美国、欧洲和俄罗斯的政府、学者、智库、记者和活动家。其主要关注对象是从事与朝鲜相关问题的个人，包括人权和制裁问题。 Genians和其他研究人员还记录了朝鲜IT工作者利用人工智能生成虚假简历和在线身份以获得海外工作，以及在受雇后协助技术面试和任务的情况。 韩国外交部警告说，平壤的工作人员“使用各种技术伪装成非朝鲜IT工作者，使用虚假身份和地点，包括利用人工智能工具以及与外国协助者合作。”       消息来源： therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一项新发现的网络攻击通过冒充可信软件提供商，对毫无戒心的用户实施侵害。FortiGuard实验室研究人员表示，威胁行为者通过SEO插件和注册仿冒域名操纵搜索算法。受害者访问这些网站后，会被诱骗下载木马化安装程序。被冒用的知名平台包括：Signal、WhatsApp、Deepl、Chrome、Telegram、Line、VPN服务商、WPS Office等。 这些欺诈网站会分发多种恶意软件家族，最值得注意的是Hiddengh0st和Winos新变种。攻击者将恶意组件捆绑在看似提供真实应用程序的安装包中。 安装程序一旦启动，便会将恶意DLL文件释放到隐藏目录，获取管理员权限，并执行旨在规避检测的功能。该恶意软件使攻击者能够收集详细的系统与受害者信息、枚举杀毒软件和安全工具、记录键盘输入和剪贴板数据、捕获前景窗口标题和屏幕活动、加载额外插件以扩展监控与控制能力等。 恶意软件投放的插件还表明，攻击者可能截获Telegram通信。 此次攻击活动加剧了SEO投毒技术的泛滥，该技术通过操纵搜索引擎将欺诈网站推至搜索结果前列。即使坚持查看”可信”搜索排名的警惕用户，也可能因此类攻击措手不及。 报告显示，该活动主要针对中文用户。FortiGuard实验室研究人员表示，“安装包同时包含合法应用程序和恶意载荷，使用户难以察觉感染”，“即使高排名搜索结果也以这种方式被武器化，这凸显了下载软件前仔细检查域名的重要性”。 思科、Talos此前研究已发现多起SEO投毒活动，攻击者使用流行AI应用引诱受害者。多个勒索软件团伙曾通过ChatGPT、InVideo等平台伪装恶意软件。另一起欺诈活动则冒用PayPal、苹果、美国银行、Netflix和微软名义，网络罪犯通过购买谷歌赞助广告伪装成大品牌，将受害者诱导至虚假网站以下载恶意软件。   消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 这是NPM生态系统历史上最大的供应链妥协事件，大约影响了10%的云环境，但攻击者几乎没有从中获利。 此次攻击发生在本周早些时候，维护者Josh Junon（qix）中了一个密码重置网络钓鱼诱饵，导致多个非常受欢迎的NPM软件包被入侵，其中包括每周下载量超过26亿次的chalk和debug-js。 在入侵Junon的账户后，攻击者推送了带有恶意模块的恶意更新，该模块通过将交易重定向到威胁行为者那里来窃取加密货币。 开源软件社区迅速发现了这次攻击，所有恶意软件包在两小时内被移除。 根据云安全公司Wiz的研究人员称，被入侵的软件包之一或多个是几乎所有JavaScript/Node项目的基石，在99%的云环境中被使用。 在它们可供下载的两小时窗口期内，大约10%的云环境下载了这些被入侵的软件包。 Wiz解释说：“在恶意版本在npm上可用的短短两小时内，恶意代码成功地进入了10%的云环境。” “这表明在像这样的供应链攻击中，恶意代码传播的速度有多快。” 10%的比例是基于Wiz对客户云环境的可见性以及公开来源得出的。虽然它可能不是一个具有代表性的比例，但它仍然表明了攻击的快速传播和覆盖范围。 攻击者获利不到1000美元 尽管这次攻击造成了显著的干扰，需要公司花费大量时间进行清理、重建和审计，但安全影响微不足道，就像威胁行为者的利润一样。 根据安全联盟的分析，注入的代码针对浏览器环境，拦截以太坊和索拉纳的签名请求，将加密货币钱包地址替换为攻击者控制的地址（加密劫持）。 这种类型的恶意负载拯救了那些下载了被入侵设备的公司，使它们免于更严重的安全事件，因为威胁行为者本可以利用他们的访问权限植入反向shell，在网络中横向移动，或者植入破坏性恶意软件。 尽管攻击规模巨大，受害者众多，但攻击者只转移了价值五美分的ETH和价值20美元的几乎无人知晓的meme币。 昨天，Socket研究人员发布了一份报告，提醒说，同样的网络钓鱼活动也影响了DuckDB维护者账户，用同样的加密货币窃取代码入侵了该项目的软件包。 根据他们的说法，追踪到攻击者钱包的利润大约是429美元的以太坊，46美元的索拉纳，以及少量的比特币、波场、比特币现金和莱特币，总计600美元。 还指出，持有任何显著金额的攻击者钱包地址已经被标记，限制了他们转换或使用他们赚到的少量钱的能力。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文