HackerNews 编译，转载请注明出处： 欧洲网络安全公司Modat研究发现，全球超过120万台配置错误的联网医疗设备和系统暴露在互联网上，使黑客能够在患者获知诊断结果前访问敏感数据。某些情况下，攻击者甚至能篡改医疗记录。 Modat通过互联网扫描发现70多种不同类型的易受攻击设备，包括MRI（磁共振成像）、CT（计算机断层扫描）、X光机、DICOM查看器、血液检测系统、医院管理系统等。攻击者可轻易访问全球医院患者的机密医学影像（如MRI扫描、X光片）、血液检测结果及其他隐私数据。 “为何存在缺乏适当安全措施的MRI扫描仪连接至互联网？”Modat首席执行官Soufian El Yadmani在报告中质问道，“主要风险在于不必要的网络暴露。除非存在合理的临床远程访问需求，否则这些医疗系统只应接入安全且正确配置的网络。” 暴露设备数量最多的国家是美国（超过17.4万台），其次是南非（17.2万+）和澳大利亚（11.1万+）。另有六个国家的暴露设备超过7万台：巴西、德国、爱尔兰、英国、法国和瑞典。日本暴露设备超过4.8万台，其他国家也有数万台设备暴露。 许多系统缺乏身份验证或使用极弱凭证（如出厂默认设置或“admin”“123456”等弱密码）。其他案例中，配置错误和过时/未修补的软件包含存在已知漏洞利用途径的关键缺陷。“部分设备仅是仍在使用但已停止支持的遗留系统，”报告指出。 研究人员使用Modat Magnify平台扫描互联网易受攻击设备，通过“HEALTHCARE”设备DNA标签进行识别。这120多万台设备中可能包含诱骗系统（honeypot），但结果仍令人担忧。 分析人员提供的截图证实，他们能够访问MRI脑部扫描、包含患者生命体征和生物特征的血液检测结果、脑部/胸部/肺部/腿部等部位的机密扫描图像及个人信息。部分系统暴露了编辑功能，记录甚至可追溯至多年前。 研究人员警告称，最坏情况包括数据泄露导致不知情的受害者遭受欺诈和勒索。此外，配置错误的医疗设备可能成为勒索软件攻击入侵网络的跳板，构成实际威胁。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一台配置错误的Elasticsearch服务器暴露了包含数亿条高度详细记录的商业情报数据金矿，这些记录关联瑞典个人及组织。 Cybernews研究人员发现了这个未加密的数据库，它不需要任何身份验证即可访问，且完全暴露在公共互联网上。 泄露数据包含超过1亿条记录，时间跨度为2019至2024年，共分布在25个独立索引中，部分数据集体积超过200GB。 哪些数据被泄露？ 许多泄露记录包含高度敏感的个人和组织信息，包括： 完整法定姓名（含曾用名历史） 瑞典个人身份证号 出生日期和性别 瑞典境内及海外的地址历史 婚姻状况及已故人员信息 移民者的海外地址 债务记录、付款备注、破产历史、房产所有权指标 跨越数年的所得税数据（2019–2023） 活动及事件日志（包括收入申报提交、移民状态和地址更新） 这些记录实质上描绘了瑞典公民和组织长达五年的财务与行为画像。泄露数据提供了关于个人及组织运作方式的详细时间戳快照，追踪了从地址变更、收入变动到债务、税务申报及商业关联等一切信息。 信息的庞大规模和精确度使该数据集极具价值和危险性。银行、贷款机构和合规团队可利用其进行风险评估和信用分析。然而对威胁行为者而言，此类数据为各种形式的利用打开了大门——攻击者可将其武器化，用于企业监控、竞争对手画像、高精准钓鱼攻击、社会工程攻击或勒索。 与Risika商业情报的关联 对数据库结构及字段名的分析表明，暴露数据源自北欧领先的商业情报数据分析公司Risika。内部“dwh*”（数据仓库）标签及产品导向的索引命名方式与已知Risika产品规范吻合。 但进一步调查显示，该Elasticsearch集群并非由Risika自身运营，而是由一个尚未确认的第三方操作。命名惯例和元数据模式表明其为下游客户。 研究人员认为，这些数据可能是在商业许可下合法提供给该运营方的，但因配置错误而被公开暴露。 Cybernews已于5月10日向Risika发送负责任的披露通知，但未收到回应。该集群于次日下线。 披露时间线 2025年5月9日：发现数据泄露 2025年5月10日：发送首次披露通知 2025年5月11日：泄露通道关闭       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

威胁行为者正在利用Selenium Grid的配置错误来部署修改版的XMRig工具，用于挖掘Monero（门罗币）加密货币。 Selenium Grid是一个流行的开源Web应用测试框架，它允许开发者在多台机器和浏览器上自动化测试。它在云环境中使用，并且在Docker Hub上的下载量超过1亿次。 Selenium测试概述（来源：Wiz） 测试任务通过API交互从中央集线器分发到服务的各个节点上执行，这些节点具有不同的操作系统、浏览器和其他环境变化，以提供全面的测试结果。 云安全公司Wiz的研究人员发现，他们正在跟踪的恶意活动“SeleniumGreed”已经运行了一年多。这个活动利用了服务在默认配置中缺乏认证机制的弱点。 根据Wiz的研究，Selenium Grid默认情况下没有激活的身份验证机制。对于公开的服务，任何人都可以访问应用程序测试实例、下载文件和执行命令。 Selenium 在其文档中警告了互联网暴露实例的风险，建议那些需要远程访问的人通过设置防火墙来防止未经授权的访问。然而，这个警告不足以防止更大规模的错误配置。 Wiz提到，威胁行为者正在利用Selenium WebDriver API来更改目标实例中Chrome的默认二进制路径，使其指向Python解释器。然后，它们使用“add_argument”方法将base64编码的Python脚本作为参数传递。当WebDriver发起启动Chrome的请求时，它会使用提供的脚本执行Python解释器。 攻击中使用的漏洞利用脚本（来源：Wiz） Python脚本建立了一个反向shell，使攻击者几乎可以远程访问实例。接下来，攻击者依靠Selenium用户（seluser），可以在没有密码的情况下执行sudo命令，在被破坏的实例上放置自定义XMRig矿工，并将其设置为在后台运行。 为了逃避检测，攻击者经常使用受损的Selenium节点工作负载作为后续感染的中间命令和控制服务器（C2），以及作为采矿池代理。 Wiz公司使用FOFA搜索引擎对公开网络上暴露的网络资产进行了扫描，结果显示至少有30,000个Selenium实例目前可以通过公共网络访问到。 Wiz在报告中说：“任何缺乏适当身份验证和网络安全策略的Selenium Grid服务版本都容易受到远程命令执行的攻击。” “根据我们的数据，本博客中描述的威胁针对的是Selenium v3.141.59，但它也可能演变为利用更高版本，其他威胁行为者可能已经这样做了，”研究人员指出。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/oygRvBpVcyd-nuYYRbR6aQ 封面来源于网络，如有侵权请联系删除