HackerNews 编译，转载请注明出处： 美国联邦调查局（FBI）表示，全美多地出现受害者，遭一场网络钓鱼活动侵害。犯罪分子冒充政府官员，以土地使用许可为由索要欺诈性费用。 联邦调查局在周一发布的公告中称，正在申请相关许可的个人和企业成为钓鱼邮件的攻击目标。这些邮件通常包含详细、准确的信息，“包括房产地址、案件编号，以及市县官员的真实姓名”。 网络犯罪分子冒充市政官员或规划委员会成员，以欺诈发票为由，要求受害者通过电汇或加密货币支付款项。 联邦调查局提醒民众在回复前务必核实邮件地址，指出已发现多封恶意邮件使用 @usa.com 地址，而非政府官方的 .gov 域名。 犯罪分子利用公开可获取的许可信息，使钓鱼邮件看起来真实可信。 许多邮件使用市政信头，措辞专业，看上去如同真实的规划文件。部分钓鱼邮件详细提及审批流程、规划委员会程序、合规要求及相关条例。 多数邮件要求在线支付，并以威胁口吻制造紧迫感。联邦调查局给出的建议是：务必查询当地县或市政府官网，拨打网站公布的电话核实任何收费信息。 此类欺诈邮件是近期针对美国受害者的新型诈骗手段之一。2024 年，网络犯罪分子从美国人手中窃取超过 120 亿美元。美国近期宣布多项措施，不仅旨在捣毁背后的犯罪组织，还要追回赃款并返还给受害者。 人工智能公司也发出警告，称网络犯罪分子正利用其工具，让非英语母语的诈骗者能更轻松地撰写通顺、逼真的钓鱼邮件。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：  密码管理器 LastPass 警告称，当前正发生一起冒充该服务的钓鱼攻击活动，攻击者试图窃取用户的主密码（Master Password）。 LastPass 表示，这一钓鱼活动大约始于 2026 年 1 月 19 日。攻击者通过冒充 LastPass 官方发送电子邮件，声称系统即将进行紧急维护，并要求用户在 24 小时内备份其密码库。 这些邮件使用了涉及基础设施更新、密码库安全以及“错过截止期限”等主题词，诱骗受害者泄露主密码。 LastPass 在警告中写道： “LastPass 威胁情报、缓解与升级团队提醒客户注意一项于 2026 年 1 月 19 日左右开始的活跃钓鱼活动。这些钓鱼邮件来自多个电子邮箱地址，使用不同的主题行，声称 LastPass 即将进行维护，并敦促用户在接下来的 24 小时内备份其密码库。已知的发件地址和主题行列表如下。” 钓鱼攻击手法 该活动通过钓鱼邮件中的链接，声称可帮助用户备份 LastPass 密码库。 链接首先指向一个托管在 Amazon S3 上的钓鱼页面： group-content-gen2.s3.eu-west-3.amazonaws[.]com/5yaVgx51ZzGf 随后重定向至一个伪造的 LastPass 网站： mail-lastpass[.]com 攻击者特意选择在美国假期周末发起攻击，以利用人员配置不足的时机，延缓安全团队的发现和响应。 LastPass 的应对与提醒 LastPass 强调，官方绝不会要求用户提供主密码，并敦促用户对任何可疑邮件保持警惕。公司正在努力关闭恶意域名，并请求用户将可疑邮件转发至 abuse@lastpass.com。 此外，LastPass 还分享了相关的入侵指标，包括： 伪造域名 IP 地址 发件人信息 钓鱼邮件主题行 报告总结称： “该活动发生在美国假期周末，这是威胁行为者常用的策略，目的是利用人员减少的情况，延迟被发现并拉长应对时间。” 消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子正越来越多地使用一种隐蔽的”浏览器套浏览器”攻击技术，企图窃取Facebook用户的登录凭证。 根据Trellix网络安全研究人员的分析，攻击者分发钓鱼邮件的数量激增，这些邮件诱使用户访问看似可信的认证界面，意图窃取用户名和密码。 据认为，攻击目的是为了劫持账户、窃取个人数据、实施身份欺诈或向用户的联系人传播诈骗。拥有超过30亿用户的Facebook，对网络罪犯来说仍然是进行攻击和诈骗的诱人目标。 这些活动通常始于钓鱼邮件：研究人员指出，攻击者通常会分发声称来自律师事务所的诱饵邮件，警告潜在受害者需要立即采取行动以避免版权侵权索赔。攻击者已知分发的其他诱饵还包括发送有关未授权登录尝试的虚假通知，或警告账户因可疑活动即将被关闭。 这些手段的设计目的都是迫使用户惊慌失措，并按照被告知的”必要步骤”操作，以防止账户被关闭。钓鱼邮件敦促用户点击看起来像是Facebook的链接以采取必要行动——尽管这些是经过伪装的虚假短链接，目的是让其看起来更可信。 令这些攻击看似可信的是，”浏览器套浏览器”弹窗看起来非常逼真，完全符合用户对Facebook登录页面的预期。弹出的浏览器窗口包含了真实的Facebook登录页面URL，这是攻击者硬编码到认证窗口中的。此外，攻击者还会在此之前部署一个虚假的验证码窗口。这两种策略都旨在诱骗受害者相信他们正在访问真正的Facebook登录页面。 这些”申诉”页面首先要求用户提供个人信息，包括姓名、电子邮件地址、电话号码和出生日期——随后在第二个页面要求用户”确认”密码。通过这些虚假页面，攻击者获得了敏感的个人信息、用户名和密码，可用于以受害者为代价实施进一步的欺诈。 “通过在受害者浏览器内创建自定义的虚假登录弹窗，此方法利用了用户对认证流程的熟悉度，使得凭据窃取在视觉上几乎无法察觉，”Trellix表示。 为帮助防范此类钓鱼攻击，建议用户为账户启用双因素认证：即使网络犯罪分子窃取了合法的登录凭证，2FA也能自动阻止账户被接管。同时，建议用户对突然出现的、意料之外的此类请求邮件保持警惕——如果担心账户通知的真实性，应直接通过浏览器登录Facebook官网，而不是点击不熟悉的链接。 消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员近日披露了一场针对酒店业的大规模钓鱼攻击活动。攻击者通过仿冒Booking.com的钓鱼邮件，诱骗酒店经理点击伪造的验证页面，进而部署名为PureRAT的远程访问木马。 据法国安全公司Sekoia分析，该活动至少自2025年4月持续至10月初。攻击者首先入侵合法邮箱账户，向多家酒店发送精心伪造的邮件，将受害者引导至伪装成reCAPTCHA验证的ClickFix社交工程页面。该页面通过复杂重定向机制，最终诱使用户执行恶意PowerShell命令。 攻击链最终下载的ZIP压缩包内含通过DLL旁加载技术激活的PureRAT恶意软件。这款模块化木马具备键盘记录、远程控制、摄像头捕获、文件窃取等全方位监控功能，并通过.NET Reactor进行混淆保护，还通过注册表实现持久化驻留。 更严重的是，攻击得手后，犯罪分子会利用窃取的酒店预订平台账户，通过WhatsApp或邮件联系真实客户，以”确认预订信息”为名诱导其进入仿冒的Booking.com或Expedia页面，进而窃取银行卡信息。 调查发现，犯罪团伙从LolzTeam等黑客论坛购买Booking.com管理员账户信息，甚至按利润分成招募分销专家。Sekoia观察到专门用于交易预订平台日志的Telegram机器人，以及提供人工验号服务的黑产供应商。 值得注意的是，ClickFix攻击页面近期持续升级，新增嵌入式视频、倒计时器和”近期验证用户”计数器等元素，还能根据受害者操作系统自动显示对应指令，并采用剪贴板劫持技术自动复制恶意代码。 Push安全公司警告称：”ClickFix页面正变得日益精密，有效提升了社交工程攻击的成功率。其攻击载荷不仅更加多样，还不断演化出规避安全检测的新手法。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现了一场协同攻击活动：131 款经重新包装的谷歌 Chrome 浏览器 WhatsApp 网页版自动化扩展程序克隆体，正针对巴西用户进行大规模垃圾邮件发送。 据供应链安全公司 Socket 透露，这 131 款垃圾软件扩展共享相同的代码库、设计模式和基础设施，这些浏览器插件的活跃用户总计约 20,905 人。 安全研究员基里尔・博伊琴科（Kirill Boychenko）表示：“它们并非传统意义上的恶意软件，但属于高风险垃圾信息自动化工具，违反了平台规则。其代码直接注入 WhatsApp 网页版页面，与 WhatsApp 自身脚本一同运行，通过特定方式实现批量 outreach 和定时发送，目的是绕过 WhatsApp 的反垃圾邮件机制。” 该活动的最终目标是通过 WhatsApp 大量发送出站消息，且能绕过该消息平台的发送频率限制和反垃圾邮件管控。 据悉，该活动已持续至少 9 个月，截至 2025 年 10 月 17 日，仍能观察到新的扩展上传及版本更新。部分已识别的扩展包括： YouSeller（10,000 名用户） performancemais（239 名用户） Botflow（38 名用户） ZapVende（32 名用户） 这些扩展虽名称和图标各异，但幕后绝大多数由 “WL Extensão” 及其变体 “WLExtensao” 发布。据信，这种品牌差异源于一种特许经营模式 —— 该运营活动的分销商可将 DBX Tecnologia 公司提供的原始扩展克隆后，以不同品牌名称大量上传至 Chrome 应用商店。 这些插件还伪装成 WhatsApp 的客户关系管理（CRM）工具，宣称能帮助用户通过该应用的网页版提升销售额。 ZapVende 在 Chrome 应用商店的描述中写道：“将你的 WhatsApp 转变为强大的销售和联系人管理工具。借助 Zap Vende，你将获得直观的 CRM 系统、消息自动化、批量发送、可视化销售漏斗等多种功能。轻松高效地管理客户服务、跟踪潜在客户并定时发送消息。” Socket 指出，DBX Tecnologia 公司推出了经销商白标计划，允许潜在合作伙伴对其 WhatsApp 网页版扩展进行重新品牌包装并销售。该公司宣称，投资 12,000 雷亚尔（巴西货币），可获得每月 30,000 至 84,000 雷亚尔的 recurring revenue。 值得注意的是，这种行为违反了谷歌 Chrome 应用商店的《垃圾信息与滥用政策》，该政策禁止开发者及其关联方提交功能重复的多个扩展程序。此外，还发现 DBX Tecnologia 在 YouTube 上发布视频，传授使用其扩展时如何绕过 WhatsApp 的反垃圾邮件算法。 博伊琴科指出：“这一系列扩展本质上是几乎相同的复制品，分散在不同的发布者账户下，主打批量非邀约 outreach，且能在无需用户确认的情况下，在web.whatsapp.com内自动发送消息。其目的是让大规模垃圾邮件活动持续进行，同时规避反垃圾邮件系统的检测。” 此次披露正值趋势科技（Trend Micro）、Sophos 和卡巴斯基（Kaspersky）曝光另一场大规模攻击活动 —— 该活动针对巴西用户，利用名为 SORVEPOTEL 的 WhatsApp 蠕虫病毒分发一款代号为 Maverick 的银行木马。 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一场新型攻击活动，该活动疑似通过一款此前未被记录的.NET 恶意软件（代号 “CAPI 后门程序”），针对俄罗斯汽车行业与电子商务领域发起攻击。 根据 Seqrite 实验室的调查，此次攻击链的核心环节是发送钓鱼邮件，邮件中包含一个 ZIP 压缩包，攻击者通过该压缩包触发感染流程。该网络安全公司的分析基于 2025 年 10 月 3 日上传至 VirusTotal 平台的一个 ZIP 样本。 该 ZIP 压缩包内包含两个关键文件： 一份俄语诱饵文档，伪装成与所得税法规相关的通知； 一个 Windows 快捷方式（LNK 文件）。 这份 LNK 文件与 ZIP 压缩包同名（即 “Перерасчет заработной платы 01.10.2025”，俄语意为 “2025 年 10 月 1 日薪资重算”），其作用是借助微软合法二进制文件 “rundll32.exe” 执行.NET 植入程序（“adobe.dll”）。这种技术被称为 “living-off-the-land（LotL，就地取材）”，是网络攻击者常用的手段之一。 Seqrite 指出，该后门程序具备多项核心功能： 检查自身是否以管理员权限运行； 收集已安装的杀毒软件列表； 打开诱饵文档作为伪装，同时秘密连接远程服务器（地址：91.223.75 [.] 96）以接收后续执行指令。 通过这些指令，CAPI 后门程序可实现以下恶意操作： 从谷歌 Chrome、微软 Edge、火狐（Mozilla Firefox）等浏览器中窃取数据； 截取屏幕截图； 收集系统信息； 枚举文件夹内容； 将获取的结果回传至远程服务器。 此外，该后门程序还会执行一系列检测，判断当前运行环境是合法主机还是虚拟机。它通过两种方式实现持久化： 创建计划任务； 在 Windows “启动” 文件夹中生成 LNK 文件，确保复制到 Windows Roaming 文件夹的后门 DLL 文件能随系统自动启动。 Seqrite 判断攻击者瞄准俄罗斯汽车行业的依据是：与此次攻击活动相关的一个域名 “carprlce [.] ru”，疑似仿冒合法域名 “carprice [.] ru”（“carprice [.] ru” 通常与汽车价格查询、汽车行业服务相关）。 研究人员普里亚・帕特尔（Priya Patel）与苏巴吉特・辛格（Subhajeet Singha）表示：“该恶意载荷是一款.NET DLL 文件，既具备窃取功能，又能为后续恶意活动建立持久化机制。”   消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子正针对美国高校及其他机构发起攻击活动，将员工的薪资款项转移至由攻击者控制的账户中。 微软表示，这些被称为 “工资单海盗” 的黑客通过钓鱼邮件获取 Workday等第三方平台的访问权限。微软称：“自 2025 年 3 月以来，我们发现 3 所高校中有 11 个账户被成功入侵，这些账户被用于向 25 所高校的近 6000 个邮箱账户发送钓鱼邮件。” 该公司研究人员在 2025 年上半年全程追踪到了这一攻击活动，并指出，尽管威胁行为体的目标是 Workday 账户，但其他多个存储员工人力资源或支付信息的系统也可能面临风险。 微软透露，黑客通过包含恶意链接的钓鱼邮件窃取多因素认证（MFA）验证码。获取验证码后，攻击者便能劫持受害者的 Workday 账户资料。侵入员工账户后，黑客会创建一条收件箱规则，自动删除所有来自 Workday 的预警邮件，从而在修改银行账户信息时不被发现。微软将这些威胁 actors 命名为 “Storm-2657”，并表示已联系部分受影响客户，为其提供应对该攻击活动的建议。 Workday 的一位发言人表示：“我们鼓励客户启用防钓鱼的多因素认证方式，并在薪资发放等敏感操作环节增加额外验证步骤，以防范此类威胁。” “报告疑似新冠病例”—— 钓鱼邮件的伪装形式 这些钓鱼邮件形式多样，针对多所高校发送。其中多封邮件包含谷歌文档（Google Docs）链接，主题通常围绕新冠疫情或课堂不当行为指控展开。 部分邮件的主题栏内容包括 “报告疑似新冠病例 —— 请确认您的接触状态” 或 “教职员工合规通知 —— 课堂不当行为报告”。曾出现过这样一起案例：某机构向 500 人发送了一封关于 “疾病接触状态” 的钓鱼邮件，仅有 10% 的收件人将其举报为钓鱼邮件。 微软解释道：“最新发现的攻击手法中，钓鱼邮件会伪装成来自正规高校或高校关联机构的信息。为了让邮件看起来更可信，Storm-2657 会根据收件人所在的机构定制邮件内容。”有些邮件被伪装成校长办公室的官方通知，或人力资源部门发送的薪酬调整相关邮件。除了删除受害者收件箱中所有来自 Workday 的邮件外，攻击者还会将自己的设备注册到受害者的多因素认证系统中，以便长期维持账户访问权限。 与 “商业邮件妥协” 攻击的关联 此类攻击是 “商业邮件妥协”（BEC）攻击的一种变体。在这类攻击中，黑客会接管邮件对话或账户，并将合法账户替换为自己控制的账户。 “商业邮件妥协” 仍是最棘手且造成损失最严重的网络犯罪类型之一。美国联邦调查局（FBI）报告显示，2024 年此类攻击造成的损失超过 20 亿美元。 大多数此类攻击的目标是涉及电汇或自动清算所（ACH）支付业务的企业，最终目的是诱骗受害者将资金误转入黑客控制的账户。 去年，某领先碳产品供应商的一名员工被诱骗向网络犯罪分子进行了多次电汇，导致约 6000 万美元被盗。美国田纳西州的一个学区也遭遇类似骗局，被骗走数百万美元。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 近期发现一场新的钓鱼攻击活动，攻击者伪装成乌克兰政府机构，通过钓鱼邮件分发 CountLoader 恶意程序，进而植入 Amatera Stealer（窃取程序）与 PureMiner（挖矿程序）。 “钓鱼邮件中包含恶意可缩放矢量图形（SVG）文件，目的是诱骗收件人打开有害附件。”Fortinet 公司 FortiGuard 实验室研究员 Yurren Wan 在一份提交给《The Hacker News》的报告中表示。 根据该网络安全公司记录的攻击链，SVG 文件会触发下载一个受密码保护的 ZIP 压缩包，包内包含一个编译型 HTML 帮助文件（CHM 文件）。运行该 CHM 文件后，会触发一系列操作，最终部署 CountLoader 恶意程序。而钓鱼邮件则谎称是 “乌克兰国家警察局” 发出的通知。 CountLoader 此前已被安全公司 Silent Push 分析过，当时发现它可植入多种恶意载荷（如 Cobalt Strike、AdaptixC2、PureHVNC 远程访问木马（RAT））。但在本次攻击链中，它被用作 “分发载体”，专门传播 Amatera Stealer（ACRStealer 的变种，一款信息窃取程序）与 PureMiner（一款隐蔽的.NET cryptocurrency 挖矿程序）。 PureCoder 威胁 actor 的恶意软件套件 值得注意的是，PureHVNC RAT 与 PureMiner 均来自一个名为PureCoder的威胁 actor 开发的恶意软件套件。该开发者还开发了以下多款恶意工具： PureCrypter：针对原生程序（Native）与.NET 程序的加密工具，用于隐藏恶意代码以躲避检测； PureRAT（又称 ResolverRAT）：PureHVNC RAT 的升级版，功能更完善的远程访问木马； PureLogs：兼具信息窃取与日志记录功能的恶意程序； BlueLoader：可作为僵尸网络（botnet）的恶意软件，能远程下载并执行其他恶意载荷； PureClipper：剪贴板劫持恶意程序，会将用户复制的 cryptocurrency 钱包地址替换为攻击者控制的地址，从而窃取转账资金。 根据 Fortinet 的研究，Amatera Stealer 与 PureMiner 均以 “无文件（fileless）威胁” 形式部署 —— 这类恶意软件不依赖本地文件存储，而是通过两种方式执行： 借助.NET 提前编译（AOT）技术，结合 “进程注入（process hollowing）” 技术执行； 通过 PythonMemoryModule 工具直接加载到内存中运行。 Amatera Stealer 运行后会执行以下操作： 收集受感染设备的系统信息； 搜索并窃取符合 “预定义扩展名列表” 的文件； 从基于 Chromium 内核（如 Chrome、Edge）与 Gecko 内核（如 Firefox）的浏览器中窃取数据； 窃取多款应用程序的敏感信息，包括 Steam 游戏平台、Telegram 即时通讯软件、FileZilla FTP 工具，以及各类 cryptocurrency 钱包。 Fortinet 指出：“此次钓鱼活动表明，恶意 SVG 文件可作为 HTML 文件的替代品，触发完整的感染链。” 在本次攻击中，攻击者以乌克兰政府机构为目标，发送包含 SVG 附件的钓鱼邮件，而 SVG 文件中嵌入的 HTML 代码会将受害者重定向至恶意下载站点。 另一波传播 PureRAT 的钓鱼活动 与此同时，安全公司 Huntress 还发现一个疑似以越南语为母语的威胁团伙，正通过 “版权侵权通知” 主题的钓鱼邮件实施攻击：诱骗收件人打开 ZIP 压缩包，进而部署 PXA Stealer；随后 PXA Stealer 会启动多层感染流程，最终植入 PureRAT。 安全研究员 James Northey 分析称：“该攻击活动呈现出清晰且有预谋的递进逻辑 —— 从简单的钓鱼诱饵开始，逐步升级为内存加载器、防御规避技术、凭证窃取，最终达成目标。作为攻击终点的 PureRAT，是一款模块化、专业化开发的后门程序，能让攻击者完全控制受攻陷的主机。” “该团伙的技术演进也值得关注：从最初对 Python 恶意载荷的‘业余级混淆’，到如今滥用 PureRAT 这类成熟的商品化恶意软件，这不仅体现了他们的持续活跃，更标志着其已成为一个‘严肃且不断成熟’的攻击组织。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全专家发现，与朝鲜有关的黑客组织正试图系统性地利用网络威胁情报（CTI）平台。这项调查由SentinelLabs和互联网情报公司Validin共同完成，并将该活动与被称为“传染性面试”（Contagious Interview）的黑客集群联系起来，该集群以通过带有恶意软件的招聘诱饵针对求职者而闻名。 报告显示，在2025年3月至6月期间，该组织试图访问Validin的基础设施情报门户网站。在Validin发布了一篇详细描述与Lazarus集团相关活动的博客文章后数小时内，黑客便注册了多个账户。他们使用了此前行动中关联过的Gmail邮箱地址，不过Validin迅速封锁了这些账户。尽管如此，黑客又使用了新注册的域名创建了新账户回来。 持续尝试与策略调整 这些威胁行为者表现出极强的持久性，在数月内反复创建账户并尝试登录。SentinelLabs有意允许其中一个账户保持活跃状态以观察其战术。调查人员发现了团队协作的证据，包括疑似使用Slack即时共享搜索结果。 黑客并未对其基础设施进行大规模更改以避免被发现，而是专注于部署新系统来替代被服务提供商关闭的旧系统。这一策略使得他们在即使被曝光后，仍能维持较高的受害者接触频率。 基础设施侦察与操作安全（OPSEC）失误 研究人员观察到，该组织使用Validin不仅是为了追踪自身被发现的迹象，还会在购买新基础设施之前对其进行侦察。他们对诸如skillquestions[.]com和hiringassessment[.]net等招聘主题域名的搜索表明，其正努力避免使用已被标记的资产。 然而，一些操作安全上的失误暴露了日志文件和目录结构，为了解其工作流程提供了罕见视角。 调查还揭示了“ContagiousDrop”应用——这些嵌入招聘网站的恶意软件交付系统。当受害者执行恶意命令时，这些应用会发送电子邮件警报，并记录姓名、电话号码和IP地址等详细信息。在2025年1月至3月期间，主要来自加密货币行业的230多人受到影响。 活动目标与更广泛的影响 根据SentinelLabs的说法，“传染性面试”活动主要服务于朝鲜获取收入的需求，通过社会工程学手段针对全球的加密货币专业人士。尽管该组织未采取系统性的措施来屏蔽其基础设施，但其韧性来自于快速的重新部署和持续的受害者获取。 SentinelLabs解释称：“鉴于其活动在接触目标方面持续成功，对威胁行为者而言，部署新基础设施可能比维护现有资产更务实、更高效。” 报告强调，求职者保持警惕仍然至关重要，尤其是在加密货币领域。基础设施提供商也扮演着关键角色，快速的查封能显著干扰这些操作。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一种手法娴熟老练的骗局正在针对PayPal用户展开。与大多数骗局一样，它也存在一些容易识破的欺骗迹象，只要你仔细审视。 Malwarebytes的研究人员发现了一个针对PayPal用户的高度复杂的网络钓鱼骗局。该骗局使用了多种技术，在外行看来，这些技术会令人警觉并迫使用户采取行动，使得受害者很容易直接落入恶意行为者的陷阱。此骗局的幕后操纵者成功伪造了PayPal的电子邮件地址，这为欺骗增添了一层额外的伪装。 据Malwarebytes称，电子邮件欺骗是指威胁行为者通过发送带有虚假发件人地址的电子邮件来冒充他人。通过这样做，受害者更可能相信电子邮件来自真实来源而非骗子。通过伪造此电子邮件，用户更可能相信它来自PayPal，并且可能更倾向于点击邮件中的链接或联系相关的电话号码。 研究人员注意到的另一个迹象是奇怪的收件人地址，该地址与受害者的地址没有直接关联。这是因为骗子设置了一个分发列表来批量 targeting 人群，而非针对单个受害者。更简单且或许更能说明这是网络钓鱼骗局的迹象来自电子邮件的内容。 尽管骗子成功复制了PayPal通常发送的电子邮件布局，但邮件的主题和要求采取的行动却大相径庭。例如，这封邮件要求受害者设置他们的PayPal账户 profile。但下面的文字却显示有一笔新的扣款已处理。 文字称检测到一笔新的 profile 扣款，金额超过900美元，这会让任何未曾有意通过PayPal花费如此多金额的人感到震惊。虽然它看起来可能很 legitimate，但有多种警告迹象表明这是一个网络钓鱼骗局。 首先，是信息中透露的紧迫感。PayPal声称链接将在24小时后失效，这意味着收到电子邮件的人将无法在此时间点之后解决这个虚假问题。 其次，金额超过900美元，这 specifically 是为了“吸引你的注意力”，Malwarebytes 说道。 第三，是加密货币的引入。据称从受害者账户中扣除的900美元是由加密货币交易平台Kraken.com收取的。 当受害者收到非预期的、要求他们通过加密货币进行支付的电子邮件时，这通常是一个骗局。最后，研究人员表示，邮件中列出的电话号码被国际公认的商业监督机构“Better Business Bureau”认定为与诈骗有关联的电话号码。 更令人担忧的是，邮件内的链接按钮实际上指向了PayPal官方网站。但是，这个链接并非将用户引导至支付争议部分或让他们设置账户 profile，而是允许恶意行为者被添加到他们的PayPal账户中。通过向你的PayPal账户添加一个次级用户，你实质上允许第二个人访问你的账户，随后账户资金可能会被迅速转移一空。 虽然网络钓鱼攻击可用于窃取凭证，但在这种情况下，它显然被用来对用户进行财务剥削。PayPal拥有超过4.34亿的庞大用户群，这使其成为试图利用脆弱用户的犯罪分子巨大的攻击面。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文