HackerNews 编译，转载请注明出处： 网络安全研究人员发现了一场冒充加密货币经纪商 Bitpanda 的精密钓鱼攻击活动。 Cofense 在一份新通告中详细介绍了该行动，该行动结合了凭证窃取与大规模个人数据收集，使用与合法平台几乎完全一致的仿冒页面欺骗用户。 随着加密货币的普及，犯罪分子的兴趣也随之增加。 Cofense 分析师表示，此次最新攻击活动超越了常规的登录信息窃取，通过引导受害者经历分步式伪造多因素认证（MFA）流程，专门收集多种形式的个人可识别信息。 Cofense 解释称，观察到的攻击始于一封格式模仿 Bitpanda 官方通知的邮件，包含熟悉的品牌标识与布局。 邮件告知收件人，更新后的安全标准要求其重新确认信息，否则账户可能被封禁。 该警告营造了紧迫感。这也是一种常见的恐吓手段。 一个 “开始更新” 按钮会将用户导向欺诈网站。 尽管登录页面高度模仿真实的 Bitpanda 登录界面，甚至通过二维码链接到合法应用下载页面，但仔细检查会发现这是一个伪造域名。 据报告，该恶意域名在分析前几天才刚刚注册。 多步骤数据收集 输入凭证后，受害者会被引导进入更多验证页面，要求提供以下信息： ·     姓名 ·    电话号码 ·    居住地址 ·    出生日期 每一步都被包装成多因素认证流程的一部分。 收集到的信息可使攻击者重置密码、提交伪造的支持工单，或访问其他使用个人数据进行验证的账户。 填写完表单后，用户会看到一条验证成功的确认信息，随后被重定向至真实的 Bitpanda 登录页面。 如何防御此类攻击 “恶意攻击活动可分为大范围散布与高度定向两类。本例属于后者，其页面高度仿真真实服务，使用伪造域名，并且措辞让受害者产生虚假的安全感。它不仅窃取登录凭证，还收集用户敏感信息。”Cofense 写道。 “此类攻击活动可通过专门检测并隔离绕过安全电子邮件网关（SEG）威胁的工具进行防范。” 用户应将鼠标悬停在链接上检查目标网址，确认发件人地址与公司官方域名一致，并对威胁不立即操作就封禁账户的邮件保持警惕。 通过收藏夹或手动输入地址直接访问经纪平台，而非点击邮件内嵌链接，也能降低风险。 即使是域名或格式上的微小不一致，也可能表明这是欺诈网站。   消息来源：infosecurity-magazine.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一场利用搜索引擎优化（SEO）投毒技术传播恶意软件加载器Oyster（亦称Broomstick或CleanUpLoader）的攻击活动。据Arctic Wolf分析，该恶意广告活动通过伪造托管合法工具（如PuTTY和WinSCP）木马化版本的网站，诱骗搜索这些程序的技术人员下载安装。报告指出：“程序执行后会植入Oyster/Broomstick后门。攻击者创建每三分钟运行一次的计划任务实现持久化，通过rundll32.exe调用恶意DLL文件（twain_96.dll）的DllRegisterServer导出函数，表明其采用DLL注册机制维持控制。” 已发现的欺诈网站包括： updaterputty[.]com zephyrhype[.]com putty[.]run putty[.]bet puttyy[.]org 攻击者可能还针对其他IT工具传播恶意软件，用户必须严格依赖可信渠道和官方供应商站点下载软件。 当前黑帽SEO投毒技术正被用来操纵人工智能（AI）相关关键词的搜索结果，散布Vidar、Lumma和Legion加载器。这些网站嵌入了检测广告拦截器的JavaScript代码，在收集受害者浏览器信息后启动重定向链，最终导向包含ZIP压缩包的钓鱼页面。“最终下载页面提供受密码保护的ZIP压缩包（内含Vidar/Lumma窃密程序），密码直接显示在下载页面上，”Zscaler ThreatLabz分析称，“解压后出现800MB的NSIS安装包，攻击者刻意设置超大体积以绕过文件大小检测机制。”该安装包通过AutoIt脚本激活窃密载荷。而Legion加载器则采用MSI安装包配合批处理脚本进行部署。 同类SEO投毒活动还通过伪造热门网络应用的搜索结果，将用户导向虚假Cloudflare验证页面，运用臭名昭著的“点击修复”（ClickFix）策略，借助Hijack加载器传播RedLine窃密程序。卡巴斯基数据显示，2025年1至4月期间，约8500家中小企业遭遇伪装成ChatGPT、DeepSeek、Cisco AnyConnect等AI/协作工具的恶意攻击。Zoom仿冒文件占比达41%，Outlook与PowerPoint各占16%，ChatGPT恶意文件数量同比激增115%。 尽管滥用虚假搜索列表是常见手段，但近期攻击出现新变种：劫持苹果、美国银行、微软等品牌技术支持页面的赞助搜索结果。用户会被导向品牌官网帮助中心，但页面显示的电话号码已被替换为攻击者控制的号码。该技术通过“搜索参数注入”实现——在网址栏注入伪造号码使其看似官方结果，而实际参数在搜索结果中不可见，极具迷惑性。 攻击者还在Facebook平台投放虚假广告：以“Pi Network桌面版更新”为诱饵传播窃密程序，盗取凭证与加密钱包密钥；通过4000余个仿冒电商网站（GhostVendors网络）投放短期广告实施金融欺诈。安全公司Bitdefender指出这可能是同一攻击者为最大化收益开展的并行欺诈计划。 同时，针对macOS系统的Poseidon窃密程序及Windows平台的PayDay加载器（最终投递Lumma窃密程序）活动被命名为“黑暗伙伴”（Dark Partners）。PayDay加载器利用Google日历事件隐藏C2服务器地址，其使用的邮箱echeverridelfin@gmail[.]com亦关联到恶意npm包“os-info-checker-es6”，表明攻击者持续测试不同传播方式。该加载器通过Node.js模块配合ADM-ZIP库，定位加密钱包数据并外传到硬编码C2服务器。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 邮轮旺季正式到来，不法分子正虎视眈眈地瞄准粗心游客展开诈骗。如果您计划今年或明年夏季乘坐邮轮，务必警惕诈骗者的新伎俩，避免假期被毁。 诈骗者近期频繁针对预订热门目的地（如美国、英国、巴哈马群岛）邮轮行程的游客。为此，三大邮轮巨头——嘉年华邮轮、皇家加勒比邮轮和挪威邮轮——联合发布旅行警报，提醒乘客防范欺诈陷阱。 骗子手段多样。例如，他们伪造看似正规的预订网站，以“难以置信的优惠”为饵，诱骗计划预订酒店、机票或邮轮的网民。此外，当旅客尝试联系邮轮公司、酒店或航司咨询已有预订时，诈骗者会通过谷歌搜索结果中的恶意广告（Malvertising）劫持通话。一旦受害者使用该渠道联系，电话将被转接至冒充邮轮公司客服的骗子，进而兜售听似诱人实则欺诈的“优惠方案”。 一位嘉年华邮轮乘客在Reddit分享亲身经历：她在处理常规登船问题时，通过谷歌搜索拨打了虚假客服电话。对方声称提供“限时促销”，要求她立即重新预订即可享受1000美元折扣。心生疑虑的她挂断电话后直接联系嘉年华官方，证实遭遇诈骗，邮轮公司随即冻结其账户防止资金损失。 皇家加勒比和挪威邮轮乘客也报告类似事件。诈骗者常伪装成邮轮公司代理，以“限时优惠”为由催促交易，或要求重新确认个人信息及支付凭证。 邮轮公司敦促旅客：通过官网核实联系方式，避免使用第三方渠道，全程保持警惕。谷歌信任与安全团队在夏季旅行预警中指出：“虚假旅游网站常以‘过于优惠’的价格、体验或折扣诱骗用户。这些欺诈网站通常模仿知名酒店或伪装成正规旅行社，在节假日等预订高峰期尤其活跃，并通过即时通讯软件或电话实施诈骗。”       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文