HackerNews 编译，转载请注明出处： 美国顶级鸡蛋生产商Rose Acre Farms已被一个知名网络犯罪集团控制，攻击者声称他们已加密该公司的数据。过去针对主要农产品生产商的攻击导致产品短缺和价格上涨。 臭名昭著的勒索软件集团Lynx声称对此次攻击负责，并在其暗网博客上发布了该公司的相关信息。这个特定的地下网站专门用于展示Lynx的最新受害者。 Red Acre Farms 是美国一家大型鸡蛋生产商，在多个州设有工厂。该公司预计营收接近 7 亿美元，员工人数超过 2000 人。过去，该公司的鸡蛋在美国零售巨头沃尔玛 (Walmart) 销售，现在很可能在奥乐齐 (Aldi) 销售。 与此同时，攻击者声称Rose Acre Farms数据泄露事件发生在上周晚些时候，当时他们入侵了该公司的网络。与Lynx勒索软件的惯常做法一样，他们没有立即提供被盗数据样本，只是指出该公司的数据已被加密，并将稍后提供证据。 勒索软件可能会扰乱价格 Cybernews 研究团队指出，此类攻击对于缺乏可用备份的公司而言，可能造成毁灭性打击。在最坏的情况下，加密可能导致运营和生产中断。对于像 Rose Acre Farms 这样的食品生产商而言，风险尤其高，因为未送达的食品可能会迅速变质，造成严重的经济损失。 我们的研究人员解释说：“此类攻击可能会给受害者造成经济损失，在这种情况下，还可能因供应减少而导致市场波动。进而影响最终用户的产品供应和定价。” “此类攻击可能会给受害者造成经济损失，在这种情况下，还可能因供应减少而引发市场波动。进而可能影响最终用户的产品供应和定价。”研究人员解释道。 例如，2021年，全球最大的肉类加工公司JBS遭受勒索软件攻击，导致价格上涨，并威胁到美国整个肉类供应链。2021年，美国最大的燃油管道——殖民输油管道也遭遇攻击，导致其停产近一周，进而引发价格上涨。 与此同时，上周对豪华汽车制造商捷豹路虎的攻击迫使这家英国汽车制造商关闭其系统，导致“其零售和生产活动严重中断”。 玫瑰农场 (Rose Acre Farms) 数据泄露事件的幕后黑手是谁？ Lynx 勒索软件团伙于 2024 年年中首次被发现，是典型的勒索软件即服务 (RaaS) 操作。RaaS 团伙通过出售所谓的关联公司部署的加密恶意软件的访问权限来运营。攻击成功后，关联公司会与恶意软件开发者瓜分赎金。 攻击者通过入侵公司系统窃取并加密数据。如果受害者不满足赎金要求，恶意攻击者就会威胁交出被盗数据并保持系统加密——这对于依赖按时交付产品的企业来说，是一项代价高昂的举措。 一些研究人员认为，Lynx 勒索软件集团是臭名昭著的 INC Ransom 集团相关人员的一个分支或品牌重塑尝试。 据 Cybernews 的暗网监控工具 Ransomlooker 称，Lynx 在过去 12 个月内已经攻击了超过 200 个组织。     消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国家具品牌Lovesac警告称，该公司遭受了一起数据泄露事件，影响了数量不详的个人，其个人数据在一次网络安全事件中被泄露。 Lovesac是一家家具设计、制造和零售商，在美国运营着267家展厅，年净销售额为7.5亿美元。 该公司以其模块化沙发系统“sactionals”和被称为“sacs”的豆袋而闻名。 根据发送给受影响个人的通知，2025年2月12日至3月3日期间，黑客未经授权访问了该公司的内部系统，并窃取了存储在这些系统上的数据。 Lovesac在2025年2月28日发现了这一漏洞，这意味着他们花了三天时间才完全修复了这一问题，并阻止了威胁行为者对其网络的访问。 被盗数据包括全名和其他在通知样本中未披露的个人信息。该公司尚未澄清此次事件是否影响了客户、员工或承包商，也未披露受影响个人的确切数量。 在通知信中，收件人将找到有关如何通过Experian注册24个月信用监控服务的说明，该服务可兑换至2025年11月28日。 该公司指出，目前没有迹象表明被盗信息已被滥用，但敦促受影响的个人保持警惕，提防网络钓鱼企图。 勒索软件团伙声称对Lovesac发起攻击 尽管Lovesac没有指明攻击者，并且在信中没有提到数据加密，但RansomHub勒索软件团伙在2025年3月3日声称对Lovesac发起了攻击。 威胁行为者将Lovesac添加到他们的勒索门户上，宣布了这一漏洞，并表示如果不在支付赎金的情况下，他们计划泄露被盗数据。我们无法确定他们是否继续执行了这一威胁。 RansomHub勒索软件即服务（RaaS）行动于2024年2月出现，并自此积累了包括人力资源公司Manpower、油田服务巨头Halliburton、Rite Aid药房连锁店、川崎欧洲分公司、佳士得拍卖行、美国电信提供商Frontier Communications、Planned Parenthood医疗保健非营利组织以及意大利博洛尼亚足球俱乐部在内的一系列高调受害者。 该勒索软件行动在2025年4月悄然关闭，其许多附属机构转向了DragonForce。 BleepingComputer已联系Lovesac，以了解有关此次事件及其影响的更多信息，以及有多少客户受到影响，并将在收到回复后更新此报道。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，黑客正通过滥用企业官网“联系我们”表单，向美国工业及科技公司投递伪装成保密协议文件的恶意软件。与传统钓鱼攻击不同，黑客首先通过企业官网表单联系受害者，使后续通信更具可信度。 黑客假扮潜在商业伙伴，与目标企业进行长达两周的沟通，要求受害者签署保密协议。最终发送的合同文件托管在合法云平台Heroku上，实际为包含定制化恶意软件MixShell的ZIP压缩包。研究人员指出：“这种长期互动表明攻击者愿意投入时间，可能根据目标价值或入侵难度调整策略”。 约80%的受害者位于美国，主要为工业机械、金属加工及零部件制造商。半导体、生物技术、制药、航空航天、能源及消费品行业企业同样遭袭，新加坡、日本和瑞士亦有企业受害。 值得注意的是，并非所有ZIP文件均含恶意代码——部分仅包含无害文档。这表明黑客可能根据受害者IP地址、浏览器特征等条件，在Heroku平台选择性投放真实恶意负载。 为增强可信度，攻击者使用注册于美国的真实企业域名（部分可追溯至2015年）。这些域名对应的网站实为统一模板生成的虚假页面，“关于我们”栏目均使用同一张白宫管家照片冒充公司创始人。凭借长期存在的域名信誉，攻击者成功绕过安全过滤系统。 尽管尚未锁定具体攻击组织，但Check Point发现某台服务器与黑客组织UNK_GreenSec的基础设施存在重叠。该组织此前曾显现与俄罗斯背景黑客的关联迹象，研究人员判断此次攻击主要出于经济利益驱动。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 朝鲜黑客正通过伪造Zoom软件更新，诱使Web3和加密货币相关组织的员工安装Nim编译的macOS恶意软件——SentinelOne报告。 观察到的攻击遵循了近期归因于平壤APT组织BlueNoroff的感染链：黑客冒充受害者的可信联系人，通过Telegram邀请受害者使用流行的Calendly日程安排平台安排会议。 受害者随后会收到一封包含Zoom会议链接的电子邮件，并被指示运行一个伪装成Zoom SDK更新的恶意脚本。脚本的执行会触发一个多阶段感染链，最终导致SentinelOne统称为NimDoor的恶意二进制文件的部署。 对攻击的分析揭示了该黑客组织使用的新技术，例如： – 使用Nim编程语言构建macOS二进制文件 – 滥用wss进行进程注入和远程通信 – 依赖特定的信号处理程序实现持久化 Nim是一种静态类型的编译型系统编程语言，融合了Python、Ada和Modula等语言的概念。 “Nim阶段包含一些独特功能，包括加密配置处理、围绕Nim原生运行时构建的异步执行，以及一种在macOS恶意软件中前所未见的基于信号的持久化机制，” SentinelOne在技术报告中指出。 AppleScript在整个感染链中被广泛使用，既用于初始访问，也用于入侵后的操作，如信标通信和系统后门植入。Bash脚本被部署用于Keychain、浏览器和Telegram数据的外泄。 根据SentinelOne的说法，攻击者使用了两个Mach-O二进制文件来触发两个独立的执行链： 其中一个用C++编写，会导致执行用于数据外泄的bash脚本；另一个从Nim源代码编译，用于设置持久化并投放两个Nim编译的二进制文件，分别是’GoogIe LLC’（使用拼写错误欺骗，用小写字母”l”替换大写字母”I”）和’CoreKitAgent’。 GoogIe LLC用于设置配置文件并执行CoreKitAgent，这是一个复杂的Nim二进制文件，”作为使用macOS kqueue机制的事件驱动应用程序运行”，SentinelOne表示。 这两个载荷共同建立了持久访问和恢复机制，依靠信号处理程序拦截来自SIGINT和SIGTERM的终止信号，并重新部署核心组件。 “Nim相当独特的在编译时执行函数的能力，使攻击者能够将复杂行为融入二进制文件中，且控制流不那么明显，导致编译后的二进制文件中开发者代码和Nim运行时代码甚至在函数级别都相互交织，” SentinelOne指出。     消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 哥伦比亚大学官员周二表示，一名带有“政治议程”的黑客近期入侵该校IT系统，并“针对性”窃取了学生数据。 目前尚不清楚黑客在系统内潜伏了多长时间，但哥伦比亚大学发言人称自6月24日起未再检测到威胁活动。上周，该校表示正在调查一起网络攻击事件，导致大学网站及其他系统间歇性瘫痪。 “我们的调查显示，这些黑客技术高超，在窃取文件时目标非常明确，”该校官员表示。“他们入侵系统并窃取学生数据，显然是为了推进其政治议程。” 该官员称，大学未收到勒索要求，也未发现“任何勒索软件的迹象”。 据报道，黑客向彭博社提供了1.6GB的数据，声称这些数据是从哥伦比亚大学窃取的，其中包括可追溯数十年的250万份申请信息。 彭博社审查的被盗数据据称包含申请人是否被拒或录取、国籍状态、大学ID号码以及他们申请的具体学术项目等详细信息。 尽管黑客的说法尚未得到独立核实，但彭博社将黑客提供的数据与8名2019年至2024年间申请哥伦比亚大学的申请人信息进行了比对，发现两者相符。 据报道，该威胁行为者告诉彭博社，他正在寻找证据，以证明哥伦比亚大学是否在招生中继续使用平权行动，尽管最高法院在2023年已禁止该做法。 黑客告诉彭博社，他总共窃取了460GB的数据——在花费两个月时间针对并渗透大学服务器中权限越来越高的层级后——并称他获取了有关财务援助方案、员工薪资以及至少180万份属于员工、申请人、学生及其家属的社会安全号码的信息。 彭博社未查看更大规模的数据集，且这些信息无法独立核实。 哥伦比亚大学发言人表示，在调查进行期间，他们无法证实彭博社关于数据泄露规模的报道。 黑客从“我们网络的有限部分”窃取了数据，他们说道。 官员表示，一旦意识到入侵事件，哥伦比亚大学迅速恢复了大部分系统，并补充称该校已聘请一家“黄金标准”的网络取证公司来应对此次攻击。 他们补充说，确定被盗内容可能需要数月时间。 “我们正在调查此次明显数据盗窃的范围，并将调查结果与大学社区以及个人信息遭泄露的任何人分享，”哥伦比亚大学的新闻稿称。“自6月24日以来，我们未在网络中观察到威胁行为者的活动，并将继续密切监控系统中的任何进一步非法活动。”   消息来源： therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国政府警告称，在美国对伊朗核设施实施打击后，伊朗可能继续发动网络攻击。 据路透社报道，亲伊朗黑客威胁将公开据称从特朗普总统身边人手中窃取的电子邮件，美国联邦当局称此举是“精心策划的抹黑行动”。 美国网络安全和基础设施安全局（CISA）周一晚间表示，这些针对特朗普的邮件威胁“不过是数字宣传”，目的是损害特朗普及其他联邦官员的形象。 CISA发言人玛西·麦卡锡在社交媒体发文称：“敌对的外国势力威胁非法利用所谓被盗且未经核实的材料，企图转移注意力、抹黑和分裂美国。这些犯罪分子将被追查并绳之以法。” 路透社报道称，他们通过在线渠道联系了这些所谓的黑客。对方声称掌握大量邮件，包括特朗普幕僚长苏西·威尔斯、其他高级顾问以及色情演员斯托米·丹尼尔斯（特朗普因向其支付“封口费”而被定罪）的通信记录。 去年，联邦检察官指控三名伊朗人入侵特朗普总统竞选团队。黑客还针对拜登和哈里斯的民主党竞选团队发动攻击，并曾试图将所谓窃取的特朗普材料泄露给民主党人和媒体记者，但未成功。 就在CISA、FBI和国家安全局发布公开警告的同一天，出现了这一新的邮件泄露威胁。三家机构警告称，尽管伊朗与以色列达成脆弱停火，但支持德黑兰的黑客组织仍可能攻击美国利益。 当局警告，这些黑客可能试图破坏或瘫痪关键基础设施，如公用事业、交通和经济枢纽，还可能针对与以色列有关联的美国国防承包商或其他企业。 公告建议采取防御措施，包括定期更新软件和使用强密码管理系统。 在美国打击伊朗核设施后，支持德黑兰的黑客曾针对美国银行、国防承包商和能源公司发动攻击，但尚未造成大规模破坏。     消息来源： securityweek ； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客在蓝牙范围内可监视数百万耳机用户。研究人员在索尼、Bose、Marshall、Jabra、JBL、拜亚动力等知名品牌，以及使用Airoha Systems芯片的其他设备中，发现了重大安全漏洞。 德国网络安全公司ERNW披露，这些漏洞影响了数十款知名耳机型号，包括市场上最好的降噪耳机。研究人员警告称，在大多数情况下，攻击者无需身份验证或配对，仅需处于蓝牙信号范围内，即可完全接管耳机。黑客可利用这些漏洞实时监听用户、劫持设备间的信任关系，甚至冒充耳机向手机发送恶意指令（如拨打电话、访问通讯录），还能提取联系人信息并重写固件以植入恶意代码。研究人员表示：“我们已证明可轻易监听耳机麦克风当前录制的内容。”用户可能仅会注意到蓝牙连接短暂中断，因为耳机通常仅支持单一连接。 所有未修复的Airoha Systems芯片（SoC）设备均受影响。Airoha是蓝牙音频芯片的主要供应商，尤其在真无线立体声耳机领域。蓝牙芯片暴露了强大的自定义协议，允许通过读写RAM或闪存来操控设备，缺少身份验证使攻击者无需配对即可使用该协议。由于大多数设备尚未修复，研究人员未披露过多细节、概念验证代码或暴露协议的名称。 SoC被用于耳机、耳塞、适配器、音箱和无线麦克风等设备，但全面排查和识别所有受影响产品难度较大。部分受影响的设备包括： 索尼：WH-1000XM4/5/6、WH-CH520、WH-XB910N等 Marshall：ACTON III、MAJOR V等 Bose：QuietComfort消噪耳塞 拜亚动力：Amiron 300 EarisMax：Bluetooth Auracast Sender Jabra：Elite 8 Active JBL：Endurance Race 2、Live Buds 3 Jlab：Epic Air Sport ANC MoerLabs：EchoBeatz Teufel：Tatws2 “同款蓝牙SoC被用于数十或数百种不同产品，通常在不同品牌下销售。”部分厂商未披露所用芯片，增加了识别所有受影响设备的难度。 主要漏洞被标记为“自定义协议的关键能力”，编号为CVE-2025-20702。另外两个漏洞CVE-2025-20700和CVE-2025-20701，均涉及蓝牙协议中缺失的身份验证。研究人员后续会发布详细信息。 用户需等待厂商修复设备。目前耳机用户几乎无法防范攻击者的窃听或操控。ERNW研究人员表示：“终端用户需要更新耳机固件，但在此之前，必须有可用的补丁。”尽管Airoha已于6月初向厂商提供修复SDK，但不同设备制造商分发固件更新的速度未知，部分产品可能永远无法获得修复。研究人员警告：“目前我们尚未知晓任何已修复的固件发布。”即使存在补丁，也不是所有设备制造商都会推送更新，尤其是对于低成本或已停产的产品。 幸运的是，现实攻击门槛较高：攻击者必须非常接近用户，通常在10米内，因为蓝牙仅适用于短距离。攻击还需高技术能力以不被察觉。这类攻击最可能针对高价值个体，如记者、外交官、政治活动家、敏感行业从业者和其他VIP。这些用户建议在补丁发布前，解除耳机与手机的配对。     消息来源：cybernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 全球第二大汽车制造商大众汽车表示，其正在调查一起数据泄露声明。截至目前，该公司尚未发现任何系统被入侵或客户数据暴露的迹象。 黑客组织声称的大众汽车集团数据泄露事件可能只是虚张声势，因为未检测到任何未经授权的访问。虽然公司知晓相关声明，但迄今没有迹象表明攻击者访问了其任何系统。 “就目前情况而言，根据内部调查的现有认知，没有发生外部第三方对客户个人数据或敏感公司数据的未经授权访问。因此，也未发现此类数据被滥用，”大众汽车集团发言人告诉Cybernews。 该汽车制造商表示将继续调查所有可用信息，以排除对公司或其客户造成任何损害的可能性。大众发言人补充说，“如果证明有助于进一步的全面澄清”，公司将让执法部门参与调查。 “我们非常严肃地对待任何关于数据被未经授权访问的报告。我们会立即跟进实质性报告并仔细调查。如果未经授权访问和使用数据的嫌疑得到证实，我们始终会联系相关当局，”发言人表示。 本周早些时候，Stormous勒索软件团伙在其用于展示最新受害者的暗网泄密网站上列出了大众集团。该威胁行为者声称他们获取了用户账户数据、身份验证令牌、身份与访问控制数据以及其他各种详细信息。 根据Cybernews的暗网追踪器Ransomlooker，Stormous在过去12个月中攻击了34个组织。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 联邦网络防御部门发出警告，称黑客正瞄准数据管理巨头Commvault客户的云环境。这家总部位于新泽西的公司此前披露，微软在2月通报了一起由某未具名国家背景威胁组织引发的数据泄露事件，该事件导致“部分客户用于验证M365环境的应用程序凭证”遭窃取。 周四晚间，美国网络安全和基础设施安全局（CISA）发布通告称，Commvault正在“监测针对其微软Azure云托管应用的网络威胁活动”，认为“该活动可能是针对多家SaaS厂商云应用的大规模攻击行动组成部分，攻击者利用默认配置与高权限设置实施入侵”。 CISA指出，威胁组织可能“窃取了Commvault旗下Metallic微软365备份SaaS解决方案托管的客户密钥”。此处密钥指代连接应用与服务器的唯一验证代码。Commvault在3至5月间的多篇博客中解释称，此次泄露“影响少量与微软存在业务交集的客户”，但强调黑客从未触及该公司存储保护的客户备份数据，并表示正与CISA及FBI协作处理，已对受影响客户实施凭证轮换等处置措施。 CISA在公告中同步给出防护建议清单，包括监控日志、更换凭证等操作指引。该机构特别提到，近期已将Commvault漏洞CVE-2025-3928纳入已知被利用漏洞目录，并“持续联合合作机构调查恶意活动”。Commvault早前透露，取证调查发现攻击者“利用零日漏洞实施入侵”，并附有该漏洞的公告链接。 针对为何选择周四发布公告的质询，CISA拒绝置评。Commvault发言人回应称：“CISA此次警示内容无新增信息，所有情况均已在5月4日公告中披露，当前仅为情况重申。”微软则未回应关于攻击方国家归属、具体受害企业及数据风险等问询。 曾调查类似事件的BeyondTrust现场首席技术官詹姆斯·莫德指出，此类事件凸显第三方特权访问的风险隐患：“他们的漏洞终将成为你的漏洞。”       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Check Point披露，黑客利用伪造的Kling AI社交媒体页面及广告，诱导用户下载恶意软件。Kling AI是快手科技2024年6月推出的AI生成图像与视频平台，截至2025年4月用户超2200万。攻击者仿冒官网（如klingaimedia[.]com）设置钓鱼网站，宣称支持浏览器端生成多媒体内容，实则提供藏匿恶意代码的ZIP压缩包。 恶意文件采用双重扩展名（如.jpg.exe）及韩语填充符（0xE3 0x85 0xA4）伪装。压缩包内嵌加载器程序，可植入远程访问木马PureHVNC，并窃取浏览器凭证、会话令牌等数据。该加载器具备反分析能力： 监测Wireshark、OllyDbg等安全工具进程 修改注册表实现持久化驻留 通过注入CasPol.exe等系统进程规避检测 第二阶段载荷PureHVNC RAT使用.NET Reactor混淆，连接C2服务器185.149.232[.]197，具备窃取Chromium浏览器加密货币钱包插件数据、捕捉含特定关键词（银行/钱包名称）窗口截屏等功能。 Check Point已发现至少70个仿冒Kling AI的推广帖，部分广告显示攻击者可能来自越南。这种利用Facebook广告分发窃密软件的手法，与越南黑客组织近年活动模式高度吻合——例如2025年4月Morphisec曾曝光越南团伙通过虚假AI工具传播Noodlophile窃密程序。 《华尔街日报》指出，Meta旗下Facebook和Instagram正面临“诈骗泛滥”，虚假促销、投资骗局及赠品欺诈内容多源自斯里兰卡、越南及菲律宾。另据Rest of World调查，东南亚人口贩卖集团通过Telegram和Facebook发布虚假招聘广告，诱骗印尼青年至诈骗园区从事跨国投资欺诈。 Check Point警告，此类攻击结合社会工程与高阶恶意软件技术，标志着社交媒体定向攻击趋向精准化、复杂化。安全团队建议用户警惕AI工具类广告，下载前验证域名真实性，并启用实时文件扫描防护。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文