HackerNews 编译，转载请注明出处： 日本国家警察厅（NPA）和国家网络安全战略中心（NISC）发布安全通告，警告针对日本组织的高级持续性威胁（APT）攻击活动。 此次攻击由“MirrorFace”组织实施，该组织是 APT10 旗下的一个分支。他们利用 Windows Sandbox 和 Visual Studio Code 执行恶意操作，同时规避宿主系统上的安全检测。 攻击者使用了经过修改的开源远程访问木马（RAT）Lilith RAT，命名为 “LilimRAT”，该恶意软件专门针对 Windows Sandbox 运行环境进行优化。 Windows Sandbox 作为独立的虚拟环境，与宿主系统隔离。MirrorFace 组织正是利用这一特性，在受感染系统上保持持久性，同时减少攻击痕迹，降低被发现的可能性。 据 ITOCHU Cyber & Intelligence 研究人员分析，该恶意软件包含专门的代码，用于检测其是否运行在 Windows Sandbox 中。它会检查 WDAGUtilityAccount 用户文件夹的存在，这是 Windows Sandbox 默认的用户配置。 如果 WDAGUtilityAccount 文件夹未被检测到，恶意软件会立即终止运行。代码示例如下：   FileAttributesA = GetFileAttributesA(“C:\\Users\\WDAGUtilityAccount”); if (FileAttributesA != -1 && (FileAttributesA & 0x10) != 0) {     c_GetModuleFileNameA();     c_WSAStartup();     v29 = 1;     // 其他初始化代码 } 攻击者首先在目标系统上启用 Windows Sandbox（默认情况下该功能是禁用的），并创建自定义的 Windows Sandbox 配置文件（WSB）。然后，在这个隔离环境中执行恶意软件，以避免安全工具的检测。 完整的攻击流程包括： 在受感染主机上放置三个关键文件： 批处理脚本（.bat） 压缩工具 包含恶意软件的存档文件 创建 Windows Sandbox 配置文件（WSB），其中包含： 启用网络连接 在宿主系统和沙箱之间共享文件夹 设定在 Windows Sandbox 启动时自动执行命令 WSB 配置示例如下：   <Configuration>     <Networking>Enable</Networking>     <MappedFolders>         <MappedFolder>             <HostFolder>C:\{Host-side folder}</HostFolder>             <SandboxFolder>C:\{Sandbox-side folder}</SandboxFolder>             <ReadOnly>false</ReadOnly>         </MappedFolder>     </MappedFolders>     <LogonCommand>         <Command>C:\{Sandbox-side folder}\{random}.bat</Command>     </LogonCommand>     <MemoryInMB>1024</MemoryInMB> </Configuration>   通过此配置，恶意软件可在 Windows Sandbox 内部运行，同时仍可访问宿主系统的文件。 攻击流程启动后，批处理文件会提取档案并安排任务来执行恶意软件。 然后，恶意软件通过 Tor 网络与命令和控制服务器建立通信，以掩盖其活动。 这次攻击之所以特别隐蔽，是因为 Windows Sandbox 默认禁用了 Windows Defender，这就为攻击者提供了一个无安全威胁的操作环境。 此外，当 Windows Sandbox 以 SYSTEM 权限通过任务调度程序启动时，它会在后台运行而不显示窗口，这使得检测更具挑战性。 安全专家建议，除非特别需要，否则应禁用 Windows Sandbox，监控相关进程，限制管理权限，并实施 AppLocker 策略，以防止在企业环境中未经授权执行 Windows Sandbox。 消息来源：Cybersecurity News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：   微软宣布将从 Windows 中移除位置历史功能，该功能曾允许像 Cortana 虚拟助手这样的应用程序获取设备的位置历史。 微软在公告中表示：“我们正在弃用并移除位置历史功能，这是一个允许 Cortana 在位置启用时访问设备 24 小时历史的 API。” 弃用该功能意味着数据将不再本地保存，相关设置也将从操作系统（Windows 10 和 11）中消失。 该功能背后的 API ‘Geolocator.GetGeopositionHistoryAsync’ 为应用程序提供本地存储的数据，这些数据是位置服务在过去 24 小时内收集的。 “位置服务仅在应用程序或服务查询用户位置时收集位置信息，但每秒不超过一次，”微软解释道。 设备位置数据本地存储，只有在应用程序或服务主动请求时才会填充列表。 BleepingComputer 已联系微软，询问弃用位置历史 API 的原因，我们将在收到回复后更新此文章。 开发者应审查使用 Windows.Devices.Geolocation API 的应用程序，并迁移到其他方法，否则其工具的核心功能可能在未来出现故障。 位置服务选项也将从 Windows 设置 > 隐私与安全 > 位置中移除。 用户可以完全停用该设置，以阻止所有应用程序和服务访问位置数据。 停用后，用户应点击 “清除” 按钮，以删除过去 24 小时内的任何位置数据。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：   微软在 2025 年 2 月 11 日披露了一个 Windows 轻量级目录访问协议（LDAP）实现中的关键安全漏洞，允许攻击者远程执行任意代码。 这个被指定为 CVE-2025-21376 的“蠕虫式”漏洞被分类为远程代码执行（RCE）问题，无需任何用户交互或权限即可被利用。 该漏洞涉及多个弱点，包括竞争条件（CWE-362）、整数下溢（CWE-191）和基于堆的缓冲区溢出（CWE-122）。 攻击者可以通过向易受攻击的 LDAP 服务器发送特制请求来利用此漏洞。 成功利用可能导致缓冲区溢出，进而实现远程代码执行。 通用漏洞评分系统（CVSS）为此漏洞分配了 8.1 的基础分和 7.1 的时间分。 微软专家指出，该漏洞的攻击向量是网络-based（AV:N），攻击复杂度高（AC:H），无需权限（PR:N），无需用户交互（UI:N）。 影响范围未变（S:U），对机密性、完整性和可用性的影响均为高（C:H, I:H, A:H）。 利用性和影响 尽管目前尚无公开的利用代码，但可利用性评估表明，利用此漏洞的可能性较大。目前该漏洞尚未公开披露或被利用。 然而，由于其蠕虫式特性，即无需用户干预即可在网络中快速传播，因此潜在的利用风险显著。 为了缓解此漏洞，建议用户应用微软提供的最新安全更新。 截至 2025 年 2 月的补丁星期二，受影响的系统（包括 Windows Server 2019 和 Windows 10 Version 1809）的更新已经可用。 用户应优先应用最新的安全补丁，以防止此漏洞被利用。因此，及时了解最新的漏洞和更新对于维护强大的网络安全防御至关重要。   消息来源：CyberSecurity News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软已扩大Windows 11管理员保护功能的测试范围，允许内部人员通过Windows安全设置启用该安全功能。 该功能最初于去年10月在面向Canary频道的Windows 11内部人员预览版中推出。管理员保护采用隐藏的即时提升机制和Windows Hello身份验证提示，仅在需要访问关键系统资源时解锁管理员权限，以阻止对它们的访问。 启用后，该功能可确保登录的管理员用户仅拥有标准用户权限，并在安装新应用或尝试更改注册表时，要求通过PIN码或生物识别方法使用Windows Hello进行身份验证。 与Windows用户帐户控制（UAC）安全功能相比，这些身份验证提示更难绕过，以防止恶意软件和攻击者通过访问关键资源来破坏系统。 “启用管理员保护后，请求用户授权以提升不受信任和未签名应用程序的提示现在包含扩展的颜色编码区域，这些区域将向下延伸至应用程序描述部分，”Windows内部人员团队周四表示。 管理员保护身份验证提示 管理员保护默认处于关闭状态，必须通过IT管理员通过组策略或Intune等移动设备管理（MDM）工具启用，同时根据Windows内部人员团队今日分享的信息，用户也可以通过Windows安全设置启用。 “现在可以在‘帐户保护’选项卡下的Windows安全设置中启用管理员保护。这允许用户在不需要IT管理员帮助的情况下启用此功能，”Windows内部人员团队补充道。 “这也允许Windows家庭用户通过Windows安全设置启用管理员保护。更改此设置需要重新启动Windows。” 目前，已安装Windows 11 Insider Preview Build 27774的Canary频道内部人员可以使用这一新的安全功能。 Windows安全设置中的管理员保护 近几个月来，微软还宣布将于2025年初向Windows 11内部人员计划社区推出新的“快速机器恢复”功能，该功能将帮助系统管理员通过Windows更新的“目标修复”功能远程修复无法启动的设备。 此外，该公司还计划为Windows 11添加对配置刷新（允许管理员将PC设置恢复到预设配置）和零信任DNS（旨在将所有DNS查询重定向到受信任的DNS服务器）的支持。 自去年11月以来，微软还开始在Windows 365和Windows 11 Enterprise 24H2客户端设备上测试热补丁功能，该功能使Windows能够在后台下载安全更新并安装它们，而无需重新启动。 自2023年11月微软启动“安全未来倡议”（SFI）网络安全工程工作以来，已推出部分功能。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁行为者正在分发伪装成针对近期Windows LDAP漏洞的概念验证（PoC）利用代码的信息窃取恶意软件。 该安全缺陷被追踪为CVE-2024-49113（CVSS评分7.5），可导致拒绝服务（DoS）攻击，并于12月10日与其他70多个漏洞（包括可能导致远程代码执行（RCE）的关键LDAP漏洞CVE-2024-49112）一同得到修复。 在针对这两个问题的补丁发布不到一个月后，SafeBreach发布了针对CVE-2024-49113的PoC代码，并称其重要性不亚于RCE漏洞。 SafeBreach将CVE-2024-49113称为“LDAP噩梦”，指出如果存在可访问互联网的DNS服务器，该漏洞可被利用来崩溃任何未打补丁的Windows服务器，即使这些服务器不是域控制器。 现在，趋势科技警告称，一款伪造的PoC利用代码诱使安全研究人员在其系统上执行信息窃取恶意软件。 “尽管使用PoC诱饵作为恶意软件传播手段的策略并非新鲜事，但此次攻击仍引发重大担忧，尤其是它利用了可能影响更多受害者的热门问题，”趋势科技指出。 该PoC通过从原始仓库分叉的仓库进行分发，并将原始Python文件替换为使用UPX打包的可执行文件。 执行后，伪造的PoC会在系统的临时文件夹中释放一个PowerShell脚本。该脚本创建一个计划任务，执行一个编码后的脚本，该脚本旨在从Pastebin下载另一个脚本。 第二个脚本收集系统信息，如进程列表、目录列表、IP地址、网络适配器信息和已安装更新，将其压缩成ZIP归档文件，并上传到外部FTP服务器。   消息来源：Security Week, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

网络安全公司 ESET 敦促 Windows 10 用户升级到 Windows 11 或 Linux，以避免出现“安全灾难”，因为这款已有 10 年历史的操作系统将于 2025 年 10 月停止支持。 ESET 安全专家 Thorsten Urbanski 解释道：“现在距离 2025 年的安全灾难只有五分钟的差距了。” “强烈建议所有用户不要等到 10 月，而是立即切换到 Windows 11，或者如果他们的设备无法更新到最新的 Windows 操作系统，则选择其他操作系统。否则，用户将面临相当大的安全风险，并容易受到危险的网络攻击和数据丢失。” 2025 年 10 月 14 日，除非用户购买扩展安全更新，否则 Windows 10 将不再获得操作系统的免费安全更新。意味着 Windows 10 用户将面临任何新发现的漏洞风险，这可能会导致严重漏洞利用和恶意软件传播。 据 ESET 称，德国约有 3200 万台计算机运行 Windows 10，约占家庭所有设备的 65%。相比之下，只有 33% 的德国设备运行 Windows 11，即约 1650 万台设备。 StatCounter 支持这些数据，截至 2024 年 12 月，全球几乎 63% 的 Windows 用户都在使用 Windows 10，而使用 Windows 11 用户约 34%。 Steam硬件和软件调查为 Windows 11 游戏玩家描绘了一幅更好的图景，截至 2024 年底，54.96% 的游戏玩家使用 Windows 11，而只有 42.39% 的游戏玩家使用 Windows 10。 游戏玩家往往站在硬件的最前沿，经常升级他们的组件和设备，以便以良好的性能玩最新的游戏。 企业和其他消费者往往落后，因为他们的旧电脑仍然运行良好，而且还没有真正的升级需要。 这次 Windows 版本过渡比用户从 Windows 7 迁移时的情况更糟，因为在 Windows 7 终止支持之前，几乎 70% 的用户都在使用 Windows 10。 “现在的情况比 2020 年初结束对 Windows 7 的支持时更加危险。” Urbanski 解释道：“ 2019 年底，只有大约 20％ 的用户仍在使用 Windows 7，超过 70％ 的用户已经在使用新版 Windows 10。当前的情况极其危险。网络犯罪分子非常了解这些数字，只是在等待支持结束的那一天。” 许多 Windows 10 用户一直犹豫是否升级到 Windows 11，因为新操作系统缺少流行功能、性能问题以及 TPM（可信平台模块）TPM 硬件要求，这阻碍了某些旧设备升级。 问题变得更加严重的是，许多旧设备运行 Windows 10 和 Windows 11 都没有问题，但由于缺少 TPM 而无法使用。 微软表示，Windows 11 TPM 要求是“不可协商的”，因为它支持许多安全功能，例如操作系统如何存储加密密钥和保护凭据，并与安全启动和 Windows Hello for Business 集成。 对于无法将设备升级到 Windows 10 的用户，微软向企业和消费者提供了扩展安全更新 (ESU)。不过，这些更新并不便宜。 希望获得延长安全更新的企业可以享受三年的优惠，第一年收费 61 美元，第二年收费 122 美元，第三年收费 244 美元。三年内 Windows 10 设备上的 ESU 总价为 427 美元。 微软还为消费者提供为期一年的 ESU 计划，每台设备售价 30 美元。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/FH_aPEmcpKM8-AEhZFaTGw 封面来源于网络，如有侵权请联系删除

HackerNews 编译，转载请注明出处： 针对一个已修复、影响Windows轻量级目录访问协议（LDAP）的安全漏洞，现已发布了一个概念验证（PoC）攻击代码，该漏洞可能触发拒绝服务（DoS）状况。 该越界读取漏洞被追踪为CVE-2024-49113（CVSS评分：7.5）。微软已在2024年12月的“补丁星期二”更新中修复了该漏洞，同时修复的还包括CVE-2024-49112（CVSS评分：9.8），后者是该组件中的一个关键整数溢出漏洞，可能导致远程代码执行。 独立安全研究员Yuki Chen（@guhe120）发现并报告了这两个漏洞。 SafeBreach Labs设计的CVE-2024-49113概念验证攻击代码，代号为LDAPNightmare，旨在使任何未打补丁的Windows服务器崩溃，“除受害者域控制器的DNS服务器具有互联网连接外，无需任何前提条件”。 具体而言，该攻击涉及向受害服务器发送DCE/RPC请求，最终当发送一个“lm_referral”字段为非零值的特制CLDAP引用响应包时，会导致本地安全机构子系统服务（LSASS）崩溃并强制重启。 更糟糕的是，这家位于加利福尼亚州的网络安全公司发现，通过修改CLDAP数据包，还可以利用相同的攻击链实现远程代码执行（CVE-2024-49112）。 微软关于CVE-2024-49113的公告在技术细节上较为简略，但该公司已透露，CVE-2024-49112可通过从不受信任的网络发送RPC请求来利用，从而在LDAP服务的上下文中执行任意代码。 微软表示：“在针对LDAP服务器的域控制器进行攻击的情况下，为了成功，攻击者必须向目标发送特制的RPC调用，以触发对攻击者域的查找。在针对LDAP客户端应用程序进行攻击的情况下，为了成功，攻击者必须说服或诱骗受害者执行对攻击者域的域控制器查找，或连接到恶意的LDAP服务器。然而，未经身份验证的RPC调用将不会成功。” 此外，该公司指出，攻击者还可以使用到域控制器的RPC连接来触发针对攻击者域的域控制器查找操作。 为减轻这些漏洞带来的风险，组织必须应用微软发布的2024年12月补丁。在无法立即打补丁的情况下，建议“实施检测以监控可疑的CLDAP引用响应（具有特定的恶意值集）、可疑的DsrGetDcNameEx2调用和可疑的DNS SRV查询”。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

上周，在混沌通信大会（CCC）上出现的一个新发现动摇了 Windows 可信赖的 BitLocker 加密技术的基础。安全研究员托马斯-兰伯茨（Thomas Lambertz）在其题为 “Windows BitLocker：没有螺丝刀也能拧紧 ”的演讲中暴露了一个明显的漏洞，该漏洞允许攻击者绕过 BitLocker 加密并访问敏感数据，即使是在据称已针对该漏洞打了补丁的系统上也是如此。 这个被称为 “bitpixie”（CVE-2023-21563）的漏洞最初于 2022 年 11 月被微软解决。然而，Lambertz 演示了攻击者如何利用过时的 Windows 引导加载器通过安全启动来提取加密密钥。这种攻击只需要对设备进行瞬间物理访问和网络连接，无需使用螺丝刀或硬件黑客。 其根本原因在于 UEFI 中的证书存储空间有限，而 UEFI 是启动过程中的一个关键组件。新的安全启动证书预计在 2026 年前无法获得。作为临时措施，Lambertz 建议用户为 BitLocker 设置自定义 PIN 或通过 BIOS 禁用网络访问。不过，即使是基本的联网 USB 设备也有可能为攻击提供便利。 虽然普通用户可能不是主要攻击目标，但对企业、政府和其他高安全环境的影响却很大。只需短暂的物理访问就能完全解密设备，这引起了人们对数据保护的严重关注。 对于那些希望进一步探讨这一话题的人，CCC 媒体中心网站上有兰伯特 56 分钟演讲的完整录音。它深入探讨了错综复杂的技术问题，并解释了为什么解决这一漏洞会带来如此艰巨的挑战。   转自安全KER，原文链接：https://www.anquanke.com/post/id/303246 封面来源于网络，如有侵权请联系删除

HackerNews 编译，转载请注明出处： 微软警告称，在使用介质支持工具安装Windows 11版本24H2时，操作系统可能无法接受后续的安全更新。 该问题发生在使用CD和USB闪存驱动器安装Windows 11版本时，且包含了2024年10月8日至11月12日之间发布的安全更新。 “当使用安装介质安装Windows 11版本24H2时，设备可能会保持在无法接受后续Windows安全更新的状态。” 微软警告称。 “此问题仅在创建的介质中包含了2024年10月或2024年11月的安全更新时发生。” 微软解释道。 该漏洞不会影响通过Windows Update或Microsoft Update Catalog网站应用的安全更新，并且在使用2024年12月的最新安全更新时不会发生此问题。 微软目前正在着手修复此问题，并建议使用安装介质安装Windows 11 24H2时，使用2024年12月10日发布的最新安全更新，以避免遇到后续的更新问题。 Windows 11 24H2问题 这个安装介质问题是Windows 11 24H2版本一系列问题中的一部分，该版本是微软今年发布的最新重要功能更新，旨在提供增强的安全性、可用性和性能。 此前，Windows 11 24H2用户已经遭遇了多个问题，包括Dirac设备或USB DAC音响系统的音频问题、使用过时的Google Workspace同步时的Outlook启动问题、Auto HDR导致的游戏卡顿和颜色不正确的问题，以及支持eSCL协议的USB扫描仪的功能问题。 特别需要注意的是，这次主要的Windows更新在多个Ubisoft游戏上导致了性能问题、崩溃、冻结和音频故障，包括《刺客信条》、《星球大战：流亡者》和《阿凡达：潘多拉边境》等热门游戏。 Windows 11 24H2更新甚至在特定的华硕硬件以及其他一些软件/硬件配置上被暂时阻止，因为这些配置会引发问题。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

一种新近开发的技术，利用了Windows的一个辅助功能框架——UI Automation（UIA），来执行多种恶意活动，同时巧妙地避开了端点检测和响应（EDR）解决方案的监控。 Akamai的安全研究员Tomer Peled在一份与The Hacker News分享的报告中指出：“要利用这项技术，必须说服用户运行一个利用UI Automation的程序。”这可能导致隐蔽的命令执行，进而窃取敏感数据、将浏览器重定向至网络钓鱼网站等。 更糟糕的是，本地攻击者可能会利用这一安全漏洞执行命令，从Slack和WhatsApp等消息应用中读取或发送消息。此外，这种技术还可能被用来通过网络操控用户界面元素。 UI Automation最初随Windows XP和Microsoft .NET Framework一同推出，旨在提供对各种用户界面（UI）元素的程序化访问，并帮助用户通过辅助技术产品（如屏幕阅读器）来操作这些元素，它也可用于自动化测试场景。 微软在一份支持文件中提到：“辅助技术应用通常需要访问受保护的系统UI元素，或者可能以更高权限运行的其他进程。因此，辅助技术应用必须获得系统的信任，并以特殊权限运行。” “要访问更高权限级别的进程，辅助技术应用必须在应用的清单文件中设置UIAccess标志，并由具有管理员权限的用户启动。” 与其他应用中的元素进行UI交互，是通过组件对象模型（COM）作为进程间通信（IPC）机制来实现的。这使得创建UIA对象成为可能，通过设置事件处理程序，在检测到特定UI变化时触发，从而与焦点应用进行交互。 Akamai的研究发现，这种方法也可能被滥用，允许恶意行为者读取或发送消息、窃取在网站（如支付信息）中输入的数据，并在浏览器中当前显示的网页刷新或更改时执行命令，将受害者重定向至恶意网站。 Peled指出：“除了我们可以在屏幕上与之交互的UI元素外，还有更多的元素被预先加载并存储在缓存中。我们也可以与这些元素交互，比如阅读屏幕上未显示的消息，甚至在屏幕上不显示的情况下设置文本框并发送消息。” 需要指出的是，这些恶意场景都是UI Automation的预期功能，类似于Android的辅助服务API已经成为恶意软件从受感染设备中提取信息的常用手段。 Peled补充说：“这归根结底是应用程序的预期用途：这些权限级别必须存在才能使用它。这就是为什么UIA能够绕过Defender——应用程序没有发现任何异常。如果某功能被视为特性而非缺陷，机器的逻辑就会遵循这一特性。” Deep Instinct披露，分布式COM（DCOM）远程协议允许软件组件通过网络通信，可能被利用来远程编写自定义有效载荷，创建嵌入式后门。 安全研究员Eliran Nissan表示：“这种攻击允许在目标机器上编写自定义DLL，将它们加载到服务中，并使用任意参数执行它们的功能。”这种后门式攻击滥用了IMsiServer COM接口。 Nissan说：“到目前为止，DCOM横向移动攻击的研究主要集中在基于IDispatch的COM对象上，因为它们可以被脚本化。”新的“DCOM上传和执行”方法“远程将自定义有效载荷写入受害者的[全局程序集缓存]，从服务上下文执行它们，并与它们通信，有效地充当嵌入式后门。这里的研究证明，许多意想不到的DCOM对象可能被用于横向移动，应该对齐适当的防御措施。”     转自Freebuf，原文链接：https://www.freebuf.com/news/417529.html 封面来源于网络，如有侵权请联系删除