HackerNews 编译，转载请注明出处： 网络安全研究人员披露一起“大规模的活动”，该活动系统地针对云原生环境，搭建恶意基础设施以实施后续攻击。 该活动于 2025 年 12 月 25 日左右被发现，属于 “蠕虫式传播” 攻击，利用暴露的 Docker API、Kubernetes 集群、Ray 面板、Redis 服务器，以及近期披露的 React2Shell（CVE-2025-55182，CVSS 评分 10.0）漏洞。该行动由威胁集群 TeamPCP（别名 DeadCatx3、PCPcat、PersyPCP、ShellForce）实施。 TeamPCP 至少自 2025 年 11 月起活跃，其首个 Telegram 活动记录可追溯至 2025 年 7 月 30 日。该组织的 Telegram 频道目前拥有超 700 名成员，用于发布从加拿大、塞尔维亚、韩国、阿联酋、美国等多国受害者处窃取的数据。安全研究机构 Beelzebub 于 2025 年 12 月首次以 Operation PCPcat 为代号记录了该威胁组织的详细信息。 Flare 安全研究员 Assaf Morag 在上周发布的报告中表示：“该行动的目标是大规模搭建分布式代理与扫描基础设施，进而攻陷服务器、窃取数据、部署勒索软件、实施敲诈并挖掘加密货币。” TeamPCP 以云原生网络犯罪平台为运作模式，利用配置错误的 Docker API、Kubernetes API、Ray 面板、Redis 服务器及存在漏洞的 React/Next.js 应用作为主要感染入口，攻破现代化云基础设施实施数据窃取与敲诈。 此外，遭攻陷的基础设施还被用于多种非法用途，包括加密货币挖矿、数据托管、代理转发与命令与控制（C2）中继。 TeamPCP 并未使用新型攻击手法，而是依托成熟的攻击技术 —— 包括现有工具、已知漏洞和常见配置错误 —— 搭建自动化、批量化的攻击平台。Flare 指出，这一模式将暴露的基础设施转化为 “自我传播的犯罪生态系统”。 漏洞成功利用后，攻击者会从外部服务器部署下一阶段恶意载荷，包括基于 Shell 和 Python 的脚本，用于搜寻新目标以扩大攻击范围。核心组件之一为 proxy.sh，该脚本用于安装代理、点对点（P2P）与隧道工具，并投放各类扫描器，持续在互联网中搜寻存在漏洞与配置错误的服务器。 Morag 表示：“值得注意的是，proxy.sh 在执行时进行环境指纹识别。在运行早期，它会检查自己是否在 Kubernetes 集群内运行。如果检测到 Kubernetes 环境，脚本会转入一个独立的执行路径，并投放一个针对集群的二级有效载荷，这表明 TeamPCP 为云原生目标维护着不同的工具和技术，而不是仅仅依赖通用的 Linux 恶意软件。” 其他有效载荷的简要说明如下： ·     scanner.py：旨在通过从一个名为“DeadCatx3”的 GitHub 账户下载无类别域间路由（CIDR）列表，来查找配置不当的 Docker API 和 Ray 仪表板，同时提供运行加密货币矿工（“mine.sh”）的选项。 ·    kube.py：包含针对 Kubernetes 的功能，以进行集群凭据窃取和基于 API 的资源（如 Pod 和命名空间）发现，然后向可访问的 Pod 中投放“proxy.sh”以进行更广泛的传播，并通过在每个挂载了主机目录的节点上部署特权 Pod 来建立持久后门。 ·    react.py：旨在利用 React 漏洞（CVE-2025-29927）实现大规模的远程命令执行。 ·    pcpcat.py：旨在发现大范围 IP 地址段内暴露的 Docker API 和 Ray 仪表板，并自动部署执行 Base64 编码有效载荷的恶意容器或作业。 ·    Flare 表示，位于 67.217.57[.]240 的 C2 服务器节点也与 Sliver 的运作相关联，Sliver 是一个已知被威胁行为者滥用于攻击后目的的开源 C2 框架。 该安全公司的数据显示，攻击者主要针对亚马逊云（AWS）和微软云（Azure）环境。此类攻击属于机会主义攻击，核心瞄准能支撑其犯罪目标的基础设施，而非特定行业。这导致运行此类云基础设施的机构成为攻击中的 “附带受害者”。 Morag 称：“PCPcat 行动展现了专为现代化云基础设施设计的完整攻击生命周期，涵盖扫描、漏洞利用、持久化、隧道搭建、数据窃取与非法牟利。TeamPCP 的威胁性并非源于技术创新，而是其攻击流程的整合度与攻击规模。” 深度分析显示，该组织的大部分漏洞利用程序与恶意软件均基于已知漏洞和轻度修改的开源工具开发。  “与此同时，TeamPCP 将基础设施攻击、数据窃取与敲诈勒索相结合。窃取的简历数据库、身份信息与企业数据通过 ShellForce 渠道泄露，用于支撑勒索软件、网络诈骗等犯罪活动，并树立其网络犯罪影响力。” 这种混合模式使该组织可同时通过算力与信息非法牟利，形成多元收入来源，提升对抗平台关停的能力。 消息来源: thehackernews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 被称为 Bloody Wolf 的威胁行为者被确认参与了一场针对乌兹别克斯坦和俄罗斯的攻击行动，旨在使用名为 NetSupport RAT 的远程访问木马感染系统。 网络安全供应商 Kaspersky 以 Stan Ghouls 为代号追踪此次活动。据知，该威胁行为者至少自 2023 年以来一直活跃，针对俄罗斯、吉尔吉斯斯坦、哈萨克斯坦和乌兹别克斯坦的制造业、金融业和 IT 行业组织鱼叉式钓鱼攻击。 据估计，此次行动已导致乌兹别克斯坦约 50 名受害者受损，俄罗斯也有 10 台设备受到影响。在哈萨克斯坦、土耳其、塞尔维亚和白俄罗斯也发现了其他感染案例，但程度较轻。政府组织、物流公司、医疗机构和教育机构的设备上也记录到了感染企图。 Kaspersky 指出：“鉴于 Stan Ghouls 以金融机构为目标，我们认为其主要动机是经济利益。也就是说，他们大量使用远程访问木马也可能暗示其进行网络间谍活动。” 滥用 NetSupport（一款合法的远程管理工具）对该威胁行为者而言是一种转变，其先前在攻击中利用的是 STRRAT（又名 Strigoi Master）。2025年11月，Group-IB 记录了针对吉尔吉斯斯坦实体以分发该工具的钓鱼攻击。 攻击链相当直接，即使用携带恶意 PDF 附件的钓鱼邮件作为触发感染的跳板。PDF 文档中嵌有链接，点击后会下载一个执行多项任务的恶意加载器： ·     显示虚假错误信息，让受害者误以为应用程序无法在其计算机上运行。 ·     检查此前的远程访问木马安装尝试次数是否少于三次。 ·     若次数达到或超过限制，加载器会抛出错误信息：“尝试次数已达上限。请尝试另一台计算机。” ·     从多个外部域名之一下载 NetSupport 远程访问木马并启动它。 ·     通过以下方式确保 NetSupport 远程访问木马的持久性：在启动文件夹中配置自启动脚本，在注册表的自启动项中添加 NetSupport 启动脚本 (“run.bat”)，并创建一个计划任务来触发执行同一个批处理脚本。 Kaspersky 表示，还在与 Bloody Wolf 相关的基础设施上发现了暂存的 Mirai 僵尸网络载荷，这增加了该威胁行为者可能已扩展其恶意软件库以针对物联网设备的可能性。 该公司总结道：“此次行动已攻击超过 60 个目标，对于一个复杂的定向攻击活动而言，数量非常庞大。这表明这些行为者愿意为其行动投入大量资源。” 此次披露恰逢多起针对俄罗斯组织的网络攻击活动，其中包括 ExCobalt 发起的攻击。ExCobalt 利用已知的安全漏洞和从承包商处窃取的凭证来获取对目标网络的初始访问权限。Positive Technologies 将该对手描述为攻击俄罗斯实体的“最危险组织”之一。 这些攻击的特点是使用各种工具，并试图从受感染的主机窃取 Telegram 凭证和消息历史记录，以及通过向登录页面注入恶意代码来窃取 Outlook Web Access 凭证： ·     CobInt，该组织使用的已知后门。 ·     勒索软件，如 Babuk 和 LockBit。 ·     PUMAKIT，一个用于提升权限、隐藏文件和目录、以及隐藏自身不被系统工具发现的内核级 Rootkit，其早期版本包括 Facefish（2021年2月）、Kitsune（2022年2月）和 Megatsune（2023年11月）。BI.ZONE 将 Kitsune 的使用与一个被称为 Sneaky Wolf（又名 Sneaking Leprechaun）的威胁集群联系起来。 ·     Octopus，一个基于 Rust 的工具包，用于在受感染的 Linux 系统中提升权限。 Positive Technologies 表示：“该组织改变了初始访问的策略，将关注重点从利用互联网上可访问的企业服务（例如 Microsoft Exchange）中的 1-day 漏洞，转移到通过承包商渗透主要目标的基础设施。” 俄罗斯的国家机构、科学企业和 IT 组织也成为了一个此前未知的、被称为 Punishing Owl 的威胁行为者的目标，该组织采取窃取数据并在暗网上泄露的手段。该组织疑似具有政治动机的黑客行动主义实体，自 2025 年 12 月以来一直活跃，其一个社交媒体账户由来自哈萨克斯坦的管理员操作。 攻击使用带有密码保护 ZIP 压缩包的钓鱼邮件，打开后内含一个伪装成 PDF 文档的 Windows 快捷方式（LNK）文件。打开 LNK 文件会导致执行 PowerShell 命令，从远程服务器下载一个名为 ZipWhisper 的窃密程序，以收集敏感数据并将其上传到同一服务器。 另一个将目标对准俄罗斯和白俄罗斯的威胁集群是 Vortex Werewolf。攻击的最终目标是部署 Tor 和 OpenSSH，以便于实现持久的远程访问。该活动此前于 2025 年 11 月由 Cyble 和 Seqrite Labs 曝光，后者称此活动为 Operation SkyCloak。 消息来源: thehackernews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： BeyondTrust 警告客户修复其 Remote Support（RS）和 Privileged Remote Access（PRA）软件中的一个严重安全漏洞，该漏洞可能允许未经身份验证的攻击者远程执行任意代码。 该漏洞编号为 CVE-2026-1731，是一个认证前远程代码执行漏洞，源于由 Harsh Jaiswal 和 Hacktron AI 团队发现的操作系统命令注入缺陷。它影响 BeyondTrust Remote Support 25.3.1 或更早版本以及 Privileged Remote Access 24.3.4 或更早版本。 无特权的威胁行为者可通过精心构造的恶意客户端请求来利用此漏洞，此类攻击复杂度低，且无需用户交互。 BeyondTrust 指出：“成功利用可能允许未经身份验证的远程攻击者以站点用户身份执行操作系统命令。”“成功利用无需身份验证或用户交互，并可能导致系统被攻陷，包括未经授权的访问、数据窃取和服务中断。” 截至 2026 年 2 月 2 日，BeyondTrust 已完成对所有 RS/PRA 云系统的安全加固，并已建议所有未启用自动更新的本地客户通过手动升级到 Remote Support 25.3.2 或更高版本以及 Privileged Remote Access 25.1.1 或更高版本来修补其系统。 Hacktron 团队在周五的一份报告中警告：“大约有 11,000 个实例暴露在互联网上，包括云部署和本地部署。”“其中约有 8,500 个是本地部署，如果未应用补丁，这些实例可能仍然存在漏洞。” 2025 年 6 月，BeyondTrust 修复了 RS/PRA 中一个高严重性的服务器端模板注入漏洞，该漏洞同样可能允许未经身份验证的攻击者实现远程代码执行。 在本文发布后，BeyondTrust 告诉 BleepingComputer，目前没有已知的针对 CVE-2026-1731 的在野利用。 曾被用作零日漏洞的 BeyondTrust 历史漏洞 尽管 BeyondTrust 表示 CVE-2026-1731 漏洞尚未在野被利用，但近年来威胁行为者已利用了其他 BeyondTrust RS/PRA 安全漏洞。 例如，两年前，攻击者利用两个 RS/PRA 零日漏洞（CVE-2024-12356 和 CVE-2024-12686）入侵 BeyondTrust 系统后，使用窃取的 API 密钥成功攻击了 17 个 Remote Support SaaS 实例。 CISA 于 12 月 19 日将 CVE-2024-12356 添加到其已知被利用漏洞目录中，并命令美国政府机构在一周内确保其网络安全。 BeyondTrust 为全球 100 多个国家的超过 20,000 家客户提供身份安全服务，其中包括全球 75% 的财富 100 强公司。Remote Support 是该公司的企业级远程支持解决方案，可帮助 IT 支持团队远程解决问题，而 Privileged Remote Access 则作为安全网关，对特定系统和资源强制执行授权规则。 消息来源:bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客正利用 SolarWinds 网络帮助台（WHD）漏洞，将合法工具用于恶意用途，其中包括 Zoho ManageEngine 远程监控与管理工具。 攻击者针对至少三家机构发起攻击，同时利用 Cloudflare 隧道实现持久化驻留，并使用 Velociraptor 网络应急响应工具作为命令与控制（C2）信道。 该恶意活动由 Huntress Security 研究人员于上周末发现，研究人员认为这是自 1 月 16 日起、利用近期公开的 SolarWinds WHD 漏洞发起的攻击行动的一部分。 Huntress Security 表示：“2026 年 2 月 7 日，公司安全运营中心分析师 Dipo Rodipe 调查了一起 SolarWinds 网络帮助台被利用的案件，威胁攻击者快速部署Zoho Meetings 与 Cloudflare tunnels 实现持久化驻留，并使用 Velociraptor 工具实施命令与控制。” 该网络安全公司称，攻击者利用了 CVE-2025-40551 与 CVE-2025-26399 两处漏洞，其中 CVE-2025-40551 已于上周被美国网络安全和基础设施安全局（CISA）标记为遭在野攻击利用。 这两处安全漏洞均被评定为高危等级，攻击者可利用其在目标主机上实现无需认证的远程代码执行。 值得注意的是，微软安全研究人员也 “观测到威胁攻击者利用暴露在公网的 SolarWinds Web Help Desk（WHD）实例实施多阶段入侵”，但未证实是否利用了上述两处漏洞。 攻击链与工具部署 攻击者获取初始访问权限后，通过从 Catbox 文件托管平台获取的 MSI 安装包，安装了 Zoho ManageEngine Assist 代理程序。 攻击者将该工具配置为无人值守访问模式，并将受攻陷主机注册至绑定匿名质子邮箱的Zoho Assist 账号。 该工具被用于直接操控主机键盘操作及活动目录（AD）侦察。 攻击者还通过该工具部署Velociraptor ，其 MSI 安装包从 Supabase 存储桶获取。 Velociraptor 是一款合法的数字取证与应急响应（DFIR）工具，Cisco Talos 团队近期曾发出警示，称该工具正被滥用于勒索软件攻击。 在 Cisco Talos 观测到的攻击中，该数字取证与应急响应平台被用作命令与控制（C2）框架，通过 Cloudflare 边缘计算节点与攻击者通信。 研究人员指出，攻击者使用了过时的 0.73.4 版 Velociraptor ，该版本存在权限提升漏洞，可被用于提升主机操作权限。 威胁攻击者还从 Cloudflare 官方 GitHub 仓库安装了 Cloudflared 客户端，将其作为备用隧道访问通道，实现命令与控制信道冗余。 在部分攻击场景中，攻击者还通过名为 TPMProfiler 的计划任务实现持久化驻留，该任务可借助 QEMU 虚拟机开启 SSH 后门。 攻击者还通过修改注册表禁用 Windows Defender 杀毒软件与防火墙，确保后续恶意载荷的下载不会被拦截。 研究人员称：“在禁用 Defender 约一秒后，威胁攻击者便下载了全新的 VS Code 可执行文件。” 来源：Huntress 安全更新与缓解措施 建议系统管理员将 SolarWinds 网络帮助台升级至 2026.1 及以上版本，关闭该产品管理界面的公网访问权限，并重置与该产品相关的所有凭证。 Huntress Security 还公布了 Sigma 规则与攻击指标，可用于 Zoho Assist、Velociraptor、Cloudflared、VS Code 隧道活动、静默 MSI 安装及编码 PowerShell 执行。 微软与 Huntress 均未将此次攻击归为特定威胁组织，除微软将受攻陷环境描述为 “高价值资产” 外，双方均未披露目标相关信息。 消息来源:bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一起影响塞内加尔政府的网络安全事件，已迫使该国一个负责管理国民身份证、护照及其他生物识别数据等敏感信息的办公室关停。 塞内加尔档案自动化管理局（DAF）上周发布通知，警告该国1950万居民，一起网络攻击已迫使政府暂时中止该办公室的业务。 一名高级警官表示，他们正试图恢复系统，并声称公民个人数据的“完整性”“保持完好”。DAF未回应置评请求。 该通知发布前，一个名为Green Blood Group的勒索软件团伙声称已入侵该组织，并窃取了139 GB数据，其中包括公民数据库记录、生物识别数据及移民文件。 黑客分享了被盗数据的样本，以及来自IRIS Corporation Berhad高级总经理Quik Saw Choo的一封电子邮件——这家马来西亚公司近期受委托为塞内加尔制作新的数字身份证。 在这封日期为1月20日的邮件中，Choo警告DAF及塞内加尔其他部委的官员，黑客于1月19日入侵了两台DAF服务器，并窃取了其中一台服务器上的卡片个性化数据。Choo的团队已在其端采取多项措施，包括切断通往一台服务器的网络连接，并更改了另一台服务器的密码。他们还切断了通往所有外国使领馆及其他办公室的网络连接。 Choo表示，IRIS正与马来西亚网络安全专家合作，并计划于 1 月 22 日前往塞内加尔首都达喀尔，开展进一步调查并落实整改措施。 文件自动化管理局与 IRIS 公司均未回应置评请求。 一家当地新闻媒体报告称，截至2月5日，DAF的业务已中断至少五天，且塞内加尔与 IRIS 公司正处于款项纠纷中。截至周一下午，DAF网站仍处于瘫痪状态。 Green Blood Group于今年1月出现，宣称除 DAF 外还攻陷了另外 4 家目标机构。 高级黑客长期将政府身份数据库作为攻击目标，阿根廷、爱沙尼亚等国均曾遭遇类似安全事件。   消息来源: therecord.media： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Flickr 表示，一家第三方邮件服务提供商存在一处漏洞，可能导致用户姓名、邮箱地址、IP 地址及账户活动信息泄露。Flickr 是 SmugMug 旗下的图片分享平台，拥有超过 1 亿注册用户及数百万活跃摄影师。 Flickr 就一起可能由第三方邮件服务漏洞引发的数据泄露事件向用户发出警告。该问题可能泄露了姓名、邮箱地址、IP 地址及账户活动信息。公司指出，此次安全漏洞未导致密码或支付数据外泄。Flickr 在数小时内便切断了受影响系统的访问。 发送给受影响用户的数据泄露通知中写道：“我们特此告知您一起涉及我方某第三方服务提供商的安全事件，该事件可能影响了您的部分个人信息。以下是需要了解的内容。”“2026年2月5日，我们获悉由我方一家邮件服务提供商运营的系统存在一处漏洞。此漏洞可能允许未授权方访问部分 Flickr 会员信息。我们在得知此事后数小时内，便切断了对该受影响系统的访问。”该公司未说明涉及哪家提供商，亦未透露受影响用户数量。 Flickr 表示，在发现问题后已迅速做出反应。他们立即切断了对受影响系统的访问、移除了指向存在漏洞端点的链接，并警示了该第三方提供商，要求其进行全面调查。与此同时，公司启动了更广泛的安全审查，并开始加强围绕第三方服务的管控措施。公司也已通知相关数据保护机构。 公司建议用户保持警惕，注意防范伪装成与账户相关的钓鱼邮件，检查账户设置中是否存在异常活动，如果在其他服务中重复使用了相同密码，应及时更新。 “对于此次事件及其可能引起的担忧，我们深表歉意。我们极度重视您数据的隐私与安全，目前正在采取立即行动，通过进行彻底调查、强化系统架构及进一步加强对第三方服务提供商的监控，以防止任何类似问题再次发生。”通知最后总结道。     消息来源:securityaffairs.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 人工智能公司 Anthropic 公布，其最新大语言模型 Claude Opus 4.6 在 Ghostscript、OpenSC、CGIF 等开源库中发现了 500 余个此前未知的高危安全漏洞。 于周四发布的 Claude Opus 4.6 升级了代码能力，涵盖代码审查与调试功能，同时在金融分析、研究、文档生成等任务上也有所优化。 Anthropic 表示，该模型在无需专用工具、自定义框架或特定提示词的情况下，发现高危漏洞的能力“显著提升”，目前已将其用于开源软件漏洞的发现与修复辅助工作。 该公司补充道：“Opus 4.6 能像人类研究员一样阅读和推理代码——通过查看过往修复记录寻找未解决的同类漏洞，识别易引发问题的代码模式，或充分理解程序逻辑，精准判断何种输入会导致程序异常。” 正式发布前，Anthropic 的前沿红队在虚拟化环境中对该模型进行了测试，并为其配备调试器、模糊测试器等必要工具，用于发现开源项目中的漏洞。公司称，测试目的是评估模型的开箱即用能力，全程不提供工具使用指导，也不提供任何有助于漏洞识别的额外信息。 该公司还表示，已对所有发现的漏洞进行验证，确保其并非模型虚构（即幻觉生成），并利用该大模型对已识别的最严重内存破坏漏洞进行优先级排序。 以下为 Claude Opus 4.6 识别出的部分安全漏洞，相关维护方已完成修复： ·     通过解析 Git 提交记录，发现 Ghostscript 中一处因缺失边界检查可导致程序崩溃的漏洞 ·     通过检索 `strrchr()`、`strcat()` 等函数调用，发现 OpenSC 中的缓冲区溢出漏洞 ·     CGIF 中的堆缓冲区溢出漏洞（已在 0.5.1 版本修复） 谈及 CGIF 漏洞时，Anthropic 表示：“该漏洞尤为特殊，触发它需要理解 LZW 算法及其与 GIF 文件格式的关联逻辑。传统模糊测试器（甚至覆盖引导式模糊测试器）很难触发此类漏洞，因为其需要特定的分支执行路径。” “事实上，即便 CGIF 实现 100% 行覆盖与分支覆盖，该漏洞仍可能无法被发现——其需要极为特定的操作序列才能触发。” 该公司将 Claude 等 AI 模型定位为网络防御方“实现力量平衡”的关键工具。但同时强调，会根据潜在威胁的发现调整并更新安全防护机制，增设额外约束以防范模型滥用。 此次披露发布的数周前，Anthropic 曾表示，其现有 Claude 模型仅通过标准开源工具，就能发现并利用已知安全漏洞，对包含数十台主机的网络实施多阶段攻击。 该公司称：“这表明 AI 在自主化网络安全工作流程中的应用门槛正快速降低，也凸显出及时修复已知漏洞等安全基础工作的重要性。”     消息来源:thehackernews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现一起新型供应链攻击事件：npm 和 Python 包索引（PyPI）仓库中的合法包遭攻陷，攻击者推送恶意版本以窃取钱包凭证并实现远程代码执行。 两款遭攻陷的包及其受影响版本如下： ·     @dydxprotocol/v4-client-js (npm) – 3.4.1, 1.22.1, 1.15.2, 1.0.31 ·     dydx-v4-client（PyPI）——1.1.5post1 版本 “@dydxprotocol/v4-client-js（npm）和 dydx-v4-client（PyPI）包为开发者提供与 dYdX v4 协议交互的工具，包括交易签名、下单及钱包管理功能。” Socket 安全研究员 Kush Pandya 指出。“使用这些包的应用会处理高敏感的加密货币相关操作。” dYdX 是一个非托管、去中心化的加密货币交易所，用于交易保证金和永续掉期，同时允许用户完全控制其资产。该 DeFi 交易所在其网站上称，其累计交易量已超过 1.5 万亿美元。 虽然目前尚不清楚这些被下毒的更新是如何被推送的，但怀疑是开发者账户被盗用所致，因为这些恶意版本是使用合法的发布凭证发布的。 研究发现，威胁攻击者针对 JavaScript 和 Python 生态系统植入了不同的恶意载荷。其中 npm 包中的恶意代码为加密货币钱包窃取器，会窃取助记词和设备信息。而 Python 包除钱包窃取功能外，还植入了远程访问木马（RAT）。 该 RAT 组件在包被导入时立即运行，会连接外部服务器（dydx.priceoracle [.] site/py）获取指令，随后在主机上执行。在 Windows 系统中，其利用 “CREATE_NO_WINDOW”  标记确保执行过程中不弹出控制台窗口。 Pandya 说。“攻击者对包的内部结构了如指掌，将恶意代码植入核心注册表文件（registry.ts、registry.js、account.py），这些代码会在包正常使用过程中执行。” “PyPI 版本中采用了 100 轮混淆处理，且跨生态系统的攻击部署高度协同，这表明攻击者直接获取了发布基础设施的访问权限，而非利用仓库自身的技术漏洞。” 2026 年 1 月 28 日研究人员依规披露该事件后，dYdX 在 X 平台发布多篇帖子确认此事，并敦促下载过遭攻陷版本的用户隔离受影响设备、在安全系统中将资产转移至新钱包，同时更换所有 API 密钥和凭证。 “托管在 dydxprotocol Github 中的 dydx-v4-clients 版本不包含恶意软件，” 他补充道。 这并非 dYdX 生态系统首次成为供应链攻击的目标。2022年9月，Mend 和 Bleeping Computer 曾报道过一个类似案例，dYdX 一名员工的 npm 账户被劫持，用于发布多个 npm 软件包的新版本，其中包含窃取凭证和其他敏感数据的代码。 两年后，该交易所还披露，与其现已停止的 dYdX v3 平台相关的网站遭到入侵，将用户重定向到一个旨在清空其钱包的钓鱼网站。 “结合 2022 年的 npm 供应链入侵事件和 2024 年的 DNS 劫持事件来看，这次攻击突显了对手通过受信任的分发渠道瞄准 dYdX 相关资产的持久模式，” Socket 表示。 “跨语言近乎相同的凭证窃取实现表明攻击者进行了周密的计划。威胁行为者保持了一致的数据外传端点、API 密钥和设备指纹逻辑，同时部署了针对特定生态系统的攻击向量。npm 版本专注于凭证窃取，而 PyPI 版本则增加了对系统的持久访问权限。” 不存在的软件包带来的供应链风险 此次披露之际，Aikido 详细说明了 README 文件和脚本中引用但从未实际发布的 npm 软件包如何构成了一个有吸引力的供应链攻击载体，允许威胁行为者以这些名称发布软件包来分发恶意软件。 这一发现是软件供应链威胁日益复杂化的最新体现，攻击者利用与开源仓库相关的信任，可以一次性危害大量用户。 “复杂的攻击者正在向软件供应链的上游移动，因为它为进入下游环境提供了一条深入、低噪声的初始访问路径，” Sygnia 的 Omer Kidron 说。 “同样的方法既支持精准入侵（特定的供应商、维护者或构建身份），也支持通过广受信任的生态系统进行大规模的机会主义攻击——这使得它与所有组织都相关，无论它们是否认为自己是主要目标。” Aikido 的分析发现，在 2025 年 7 月至 2026 年 1 月期间，这 128 个幽灵软件包总共获得了 121,539 次下载，平均每周 3,903 次下载，上个月达到了 4,236 次下载的峰值。下载量最大的软件包列表如下 – ·     openapi-generator-cli (48,356 次下载)，模仿 @openapitools/openapi-generator-cli ·     cucumber-js (32,110 次下载)，模仿 @cucumber/cucumber ·     depcruise (15,637 次下载)，模仿 dependency-cruiser ·     jsdoc2md (4,641 次下载) ·     grpc_tools_node_protoc (4,518 次下载) ·     vue-demi-switch (1,166 次下载) “仅在过去七天，openapi-generator-cli 就获得了 3,994 次下载，” 安全研究员 Charlie Eriksen 说。“这相当于在一周内，有近 4,000 次有人试图运行一个不存在的命令。” 这些发现凸显了 npm 在仿冒域名保护方面的一个盲点。npm 虽然会主动阻止注册与现有软件包名称拼写相似的企图，但不会阻止用户创建那些原本就未曾注册过的名称的软件包，因为根本没有任何东西可以比对。 为了降低由 npx 混淆带来的这种风险，Aikido 建议采取以下步骤： ·     使用 “npx –no-install” 来阻止回退到仓库下载，如果本地找不到软件包，则安装失败 ·     明确安装 CLI 工具 ·     如果文档要求用户运行某个软件包，请验证该软件包是否存在 ·     注册明显的别名和拼写错误的名称，以防止攻击者抢占 “npm 生态系统有数百万个软件包，” Eriksen 说。“开发者每天运行数千次 npx 命令。‘便捷的默认设置’与‘任意代码执行’之间，只差一个未被认领的软件包名称。” 消息来源:thehackernews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一名 27 岁的伊利诺伊州男子对涉及入侵约 600 名女性 Snapchat 账号的多项黑客相关指控认罪。 伊利诺伊州奥斯威戈市的 Kyle Svara 在承认犯有严重身份盗窃、电信诈骗、计算机欺诈、共谋实施计算机欺诈以及与儿童色情制品相关的虚假陈述等罪名后，面临数十年的监禁。 他的量刑定于5月18日进行，这些指控累计最高可判处32年监禁。 Svara 于去年12月被指控使用社会工程学攻击和其他方法，获取年轻女性和女童的 Snapchat 账户访问权限。 2020 至 2021 年，他伪装成 Snapchat 工作人员，联系 570 名女性索要其初步入侵时触发的安全访问码。他使用这些验证码入侵至少 59 名女性的账号，并下载其裸照或半裸照。随后，他在网上出售这些图像，并在互联网论坛上与其他人交换。 Svara 在网上向他人兜售其攻击手段，提供付费入侵他人 Snapchat 账号的服务。 至少有一次，他受雇于东北大学前田径教练 Steve Waithe，入侵该队女性成员或个人认识的其他女性的Snapchat账户。Waithe 此后已被定罪，并因电信诈骗和网络跟踪罪被判处五年监禁。 Svara 还被其他几人雇用入侵女性账户，同时也针对伊利诺伊州普莱恩菲尔德市及缅因州沃特维尔市科尔比学院的女性和女童下手。 当调查人员追问他的行为时，Svara 最初撒谎，否认访问或出售儿童性虐待材料。联邦调查局和司法部敦促任何可能受到 Svara 行为影响的受害者主动报案。 去年，美国司法部起诉一名密歇根大学前橄榄球助理教练，其入侵超 100 所高校的学生运动员数据库，获取约 15 万人的医疗信息。 检方称，韦斯入侵了 2000 余名目标运动员的社交媒体、邮箱及 / 或云存储账号，还入侵了全美高校另外 1300 名学生及校友的相关账号。 起诉书显示：“韦斯主要针对大学女运动员，其根据院校归属、运动经历及外貌特征筛选并锁定目标。”“其作案目的是获取仅愿与亲密伴侣分享的私密照片和视频。” 消息来源:therecord.media： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全和基础设施安全局（CISA）警告称，勒索软件攻击者正利用 SmarterMail 中的高危漏洞 CVE-2026-24423，该漏洞可实现无认证远程代码执行。 SmarterMail 是 SmarterTools 公司推出的一款基于 Windows 系统的自托管邮件服务器与协作平台。该产品提供 SMTP/IMAP/POP 邮件服务，同时搭载网页邮箱、日历、通讯录及基础群件功能。 该产品普遍部署于托管服务提供商（MSP）、中小企业及提供邮件服务的托管公司。据 SmarterTools 公司数据，其产品在全球 120 个国家拥有约 1500 万用户。 CVE-2026-24423漏洞影响SmarterTools SmarterMail版本9511之前的构建版本，成功利用可通过ConnectToHub API导致远程代码执行（RCE）。 该漏洞由watchTowr、CODE WHITE和VulnCheck网络安全公司的安全研究人员发现并负责任地披露给了SmarterTools。 供应商于1月15日在SmarterMail Build 9511中修复了该漏洞。 CISA现已将该漏洞纳入已知被利用漏洞（KEV）目录，并标记其在勒索软件攻击活动中遭积极利用。 该联邦机构警示称：“SmarterTools SmarterMail 的 ConnectToHub 接口方法存在关键功能未做身份认证的漏洞。” “该漏洞可使攻击者将 SmarterMail 实例指向搭载恶意操作系统指令的恶意 HTTP 服务器，进而引发指令执行风险。” CISA要求受 22-01 号强制性运营指令约束的联邦机构及实体，需在 2026 年 2 月 26 日前完成安全更新部署、落实厂商建议的缓解措施，或停止使用该产品。 就在 SmarterTools 公司修复 CVE-2026-24423 漏洞同期，watchTowr 研究人员发现另一处身份认证绕过漏洞，内部编号为 WT-2026-0001。 该未分配公开编号的漏洞可实现无验证重置管理员密码，且在厂商发布补丁后不久便遭黑客利用。 研究人员依据匿名线索、受攻陷系统日志中的特定调用记录，以及与漏洞代码路径完全匹配的端点得出该结论。 此后，SmarterMail 又修复了多项标注为 “高危” 的安全漏洞，建议系统管理员将产品升级至最新版本，即 1 月 30 日发布的 9526 版本。 消息来源:bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文