HackerNews 编译，转载请注明出处： 以色列间谍软件公司 Paragon Solutions 在领英的一条帖子中，不慎暴露了其高度保密的 Graphite 间谍软件控制面板，此举遭到网络安全专家的严厉批评。这一失误让外界得以罕见窥见这款工具针对加密通信的监控运作方式。 2026 年 2 月 11 日，网络安全研究员 Jurre van Bergen 发现，Paragon 公司的总法律顾问在领英发布了一张截图。该截图显示，控制面板界面中出现了标注为 “Valentina” 的捷克手机号码、2026 年 2 月 10 日的实时拦截日志，还有通过零点击漏洞监控 WhatsApp 等加密应用的操作界面。 Paragon 的总法律顾问今日在领英上传了一张图片，曝光了 Paragon 间谍软件的控制面板。 该面板可查看捷克的手机号、设备中的应用与账户、手机媒体文件、拦截状态，以及从各类应用中提取的号码信息。 ——Jurre van Bergen（账号 @DrWhax）2026 年 2 月 11 日 公民实验室研究员 John Scott-Railton 将此次事件称作 “操作安全的重大失误”，并强调这类疏忽会严重破坏间谍软件行业的操作安全。尽管 Paragon 迅速删除了该帖子，但截图仍在网络上快速传播，外界对该公司隐秘运作行为的审视也进一步升级。 Paragon 公司 2019 年创立于以色列，其对外将 Graphite 软件宣传为高端监控工具，可实现对手机的远程访问。这款软件被称作 “商业间谍软件”，可在无需用户任何操作的情况下入侵设备，窃取 WhatsApp、Signal 等应用的消息、设备存储数据及实时通信内容。 与以色列 NSO Group 的 Pegasus 间谍软件不同，Paragon 将 Graphite 软件定位为 “更合规” 的替代产品，但外界仍不断指控该软件被用于监控记者和活动人士。 2025 年初，WhatsApp 指控 Paragon 利用零点击漏洞，对 90 名记者和民间社会人士实施监控，其中包括意大利 Fanpage.it 网站的编辑 Francesco Cancellato。公民实验室证实，Graphite 软件的运作基础设施与以色列相关，且在受感染的安卓设备中检测到了 “BIGPRETZEL” 等该软件的取证痕迹。 据公民实验室的分析，Paragon 的客户包括澳大利亚、加拿大、塞浦路斯、丹麦、以色列和新加坡等国的政府。2025 年 1 月，特朗普政府公开证实，美国政府曾采购 Graphite 软件，为移民与海关执法局（ICE）的行动提供支持。 民权组织记录到，加拿大安大略省等地区也部署了 Graphite 软件，此举因涉及对活动人士的监控引发了人权方面的强烈警示。意大利等国因与 Paragon 签订相关合同、利用该软件监控批评者，遭到了民众的强烈反对。 此次信息暴露凸显了这个以高度保密著称的行业，始终存在着操作安全（OPSEC）层面的隐患。尽管 Paragon 声称其软件仅合规出售给经过严格审核的政府机构，但 WhatsApp 监控事件与此次领英操作失误等事件，让这一说法不攻自破。   消息来源：cybersecuritynews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全监督组织公民实验室（Citizen Lab）披露，美国监控公司Paragon制造的间谍软件近期锁定了第二名意大利记者，这使已导致意大利总理焦尔吉娅·梅洛尼政府与Paragon终止合作的监控丑闻再添新疑点。 公民实验室在周四发布的报告中指出，调查记者西罗·佩莱格里诺（Ciro Pellegrino）的iPhone存在遭Paragon精密间谍软件攻击的证据。佩莱格里诺供职于网络媒体Fanpage，该媒体主编弗朗切斯科·坎切拉托（Francesco Cancellato）此前已公开表示，他是2025年1月收到WhatsApp间谍软件攻击警报的数十名用户之一。 Fanpage持续发布针对梅洛尼政府的批评性报道，尤其曾揭露其政党青年分支与新纳粹活动关联的独家新闻。该媒体记者遭监控的指控在意大利国内引发巨大争议。本周一，意大利政府与Paragon宣布终止合作，但双方对解约责任各执一词。 面对质询，Paragon援引其向以色列媒体《国土报》提供的声明称，曾向意大利当局提供验证系统是否被滥用的方案，但遭政府拒绝。 意大利政府未回应路透社就公民实验室报告提出的置评请求。佩莱格里诺在那不勒斯通过短信向路透社表示，发现自己成为间谍软件目标的感觉“极其可怕”，并强调手机是“存储个人健康数据、新闻来源等一切信息的生命黑匣子”。 意大利议会安全委员会（COPASIR）6月9日报告称，情报部门曾在执法工作中使用Paragon工具截获移民海上救援活动人士的通信，但“未发现针对Fanpage主编坎切拉托实施监控的证据”。人权组织“现在访问”（Access Now）高级律师纳塔利娅·克拉皮瓦指出：“佩莱格里诺的受害事实，严重质疑了议会调查的充分性。”该委员会未回应质询，仅表示保留进一步调查权。 公民实验室报告同时提到一名遭Paragon间谍软件攻击的欧洲记者（匿名），但以“保护隐私”为由拒绝透露其身份及攻击细节。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据公民实验室（The Citizen Lab）的一份新报告称，澳大利亚、加拿大、塞浦路斯、丹麦、以色列和新加坡政府很可能是以色列公司 Paragon Solutions 开发的间谍软件的客户。 Paragon 由 Ehud Barak 和 Ehud Schneorson 于 2019 年创立，该公司开发了一种名为 Graphite 的监控工具，能够从设备上的即时通讯应用中收集敏感数据。 公民实验室表示，通过梳理与该间谍软件相关的服务器基础设施，已将上述六国政府识别为“疑似 Paragon 部署”对象。 这一发现距离 Meta 旗下的 WhatsApp 声明其通知约 90 名记者和民间社会组织成员（称其为 Graphite 攻击目标）还不到两个月。这些攻击已于 2024 年 12 月被阻断。 这些攻击的目标人群遍布 20 多个国家，包括欧洲的比利时、希腊、拉脱维亚、立陶宛、奥地利、塞浦路斯、捷克共和国、丹麦、德国、荷兰、葡萄牙、西班牙和瑞典等国。 当时，一位 WhatsApp 发言人对《黑客新闻》表示：“这是最新例证，说明为何间谍软件公司必须为其非法行为负责。WhatsApp 将继续保护人们私下交流的能力。” 在这些攻击中，目标对象被添加到 WhatsApp 群组中，随后收到一份 PDF 文档。该文档会被自动解析，触发现已修复的零日漏洞，从而加载 Graphite 间谍软件。最终阶段是突破安卓沙盒，入侵目标设备上的其他应用。 对被入侵的安卓设备的进一步调查发现了一种名为 BIGPRETZEL 的取证痕迹，据信该痕迹可用于唯一识别 Paragon 的 Graphite 间谍软件感染。 此外，证据还表明，2024 年 6 月，意大利难民在利比亚组织的一名创始人所使用的 iPhone 可能遭到 Paragon 感染。苹果公司随后通过发布 iOS 18 解决了这一攻击途径。 苹果公司在一份声明中表示：“此类雇佣间谍软件攻击极为复杂，开发成本高达数百万美元，使用寿命通常较短，且专门针对特定个体，因其身份或行为而成为攻击目标。” “在检测到相关攻击后，我们的安全团队迅速开发并在 iOS 18 初始版本中部署了修复程序，以保护 iPhone 用户，并向可能被单独针对的用户发送苹果威胁通知，以告知并协助他们。”     消息来源：TheHackerNews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子正在利用 Paragon 分区管理器的 BioNTdrv.sys 驱动程序中的安全漏洞发动勒索软件攻击，以提升权限并执行任意代码。 这一零日漏洞（CVE-2025-0289）是微软发现的五个漏洞之一，据CERT协调中心（CERT/CC）表示。 “这些漏洞包括任意内核内存映射和写入漏洞、空指针解引用、不安全的内核资源访问以及任意内存移动漏洞。”CERT/CC 说道。 在一种假设的攻击场景中，本地访问 Windows 机器的攻击者可以利用这些漏洞提升权限或通过利用 ‘BioNTdrv.sys’ 由微软签名的事实来引发拒绝服务（DoS）状况。 这还为所谓的自带漏洞驱动程序（BYOVD）攻击铺平了道路，在这些攻击中，驱动程序未安装的系统会受到攻击，从而使威胁行为者能够获得提升的权限并执行恶意代码。 影响 BioNTdrv.sys 1.3.0 和 1.5.1 版本的漏洞列表如下： CVE-2025-0285：由于未验证用户提供的数据长度，7.9.1 版本中存在任意内核内存映射漏洞。攻击者可以利用此漏洞提升权限。 CVE-2025-0286：由于对用户提供的数据长度验证不当，7.9.1 版本中存在任意内核内存写入漏洞。此漏洞允许攻击者在受害者的机器上执行任意代码。 CVE-2025-0287：由于输入缓冲区中缺少有效的 MasterLrp 结构，7.9.1 版本中存在空指针解引用漏洞。这允许攻击者执行任意内核代码，从而提升权限。 CVE-2025-0288：由于 memmove 函数未能净化用户控制的输入，7.9.1 版本中存在任意内核内存漏洞。这允许攻击者写入任意内核内存并实现权限提升。 CVE-2025-0289：由于在将 MappedSystemVa 指针传递给 HalReturnToFirmware 之前未进行验证，17 版本中存在不安全的内核资源访问漏洞。这允许攻击者破坏受影响的服务。 Paragon 软件公司已经通过 2.0.0 版本的驱动程序解决了这些漏洞，易受攻击的驱动程序版本已被添加到微软的驱动程序阻止列表中。 这一事件发生在 Check Point 揭示了一起大规模恶意软件活动的几天后，该活动利用了与 Adlice 产品套件相关的另一个易受攻击的 Windows 驱动程序（“truesight.sys”）来绕过检测并部署 Gh0st RAT 恶意软件。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软发现了 Paragon 分区管理器的五个 BioNTdrv.sys 驱动程序漏洞，其中一个被勒索软件团伙利用进行零日攻击，以在 Windows 系统中获取 SYSTEM 权限。 这些易受攻击的驱动程序被用于 “自带易受攻击驱动程序”（BYOVD）攻击，威胁行为者将内核驱动程序放到目标系统上以提升权限。 “具有本地访问权限的攻击者可以利用这些漏洞提升权限或在受害者的机器上造成拒绝服务（DoS）场景，”CERT/CC 的警告中解释道。 “此外，由于攻击涉及一个微软签名的驱动程序，攻击者可以利用自带易受攻击驱动程序（BYOVD）技术来利用系统，即使未安装 Paragon 分区管理器。” 由于 BioNTdrv.sys 是内核级驱动程序，威胁行为者可以利用漏洞以与驱动程序相同的权限执行命令，绕过保护和安全软件。 微软研究人员发现了所有五个漏洞，并指出其中一个是 CVE-2025-0289，被勒索软件团伙利用进行攻击。然而，研究人员并未披露哪些勒索软件团伙将此漏洞作为零日漏洞利用。 “微软观察到威胁行为者（TAs）在 BYOVD 勒索软件攻击中利用这一弱点，特别是使用 CVE-2025-0289 来实现 SYSTEM 级权限提升，然后执行进一步的恶意代码，”CERT/CC 的公告中写道。 “Paragon Software 已经修复了这些漏洞，并且易受攻击的 BioNTdrv.sys 版本已被微软的易受攻击驱动程序阻止列表阻止。” 微软发现的 Paragon 分区管理器漏洞如下： CVE-2025-0288：由于 ‘memmove’ 函数处理不当导致的任意内核内存写入，允许攻击者写入内核内存并提升权限。 CVE-2025-0287：由于输入缓冲区中缺少对 ‘MasterLrp’ 结构的验证，导致空指针解引用，启用任意内核代码执行。 CVE-2025-0286：由于用户提供的数据长度验证不当导致的任意内核内存写入，允许攻击者执行任意代码。 CVE-2025-0285：由于未验证用户提供的数据，导致任意内核内存映射，通过操纵内核内存映射实现权限提升。 CVE-2025-0289：由于在传递给 ‘HalReturnToFirmware’ 之前未验证 ‘MappedSystemVa’ 指针，导致不安全的内核资源访问，可能会导致系统资源被攻陷。 前四个漏洞影响 Paragon 分区管理器 7.9.1 及更早版本，而 CVE-2025-0298（正在被积极利用的漏洞）影响 17 及更早版本。 建议该软件的用户升级到最新版本，其中包含 BioNTdrv.sys 版本 2.0.0，解决了上述所有漏洞。 然而，需要注意的是，即使未安装 Paragon 分区管理器的用户也并非安全无虞。BYOVD 战术并不依赖于软件在目标机器上存在。 相反，威胁行为者将易受攻击的驱动程序包含在他们自己的工具中，允许他们将其加载到 Windows 中并提升权限。 微软已更新其 “易受攻击驱动程序阻止列表”，以阻止该驱动程序在 Windows 中加载，因此用户和组织应确认保护系统已激活。 您可以通过进入 “设置”→“隐私和安全”→“Windows 安全”→“设备安全”→“核心隔离”→“微软易受攻击驱动程序阻止列表”，并确保该设置已启用，来检查阻止列表是否已启用。 Windows 易受攻击驱动程序阻止列表设置 来源：BleepingComputer Paragon Software 网站上的一则警告也指出，用户必须在今天之前升级 Paragon 硬盘管理器，因为它使用了相同的驱动程序，而该驱动程序将在今天被微软阻止。 虽然目前尚不清楚哪些勒索软件团伙正在利用 Paragon 漏洞，但 BYOVD 攻击在网络犯罪分子中越来越受欢迎，因为它允许他们轻松获得 Windows 设备的 SYSTEM 权限。 已知利用 BYOVD 攻击的威胁行为者包括 Scattered Spider、Lazarus、BlackByte 勒索软件、LockBit 勒索软件等。 因此，启用微软易受攻击驱动程序阻止列表功能非常重要，以防止易受攻击的驱动程序在您的 Windows 设备上被利用。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文