HackerNews 编译，转载请注明出处：

趋势科技（Trend Micro）报告称，一款新型信息窃取程序正通过由 100 多个 GitHub 代码仓库组成的网络进行分发。

...

HackerNews 编译，转载请注明出处：

微软近日披露了一款名为 “SesameOp” 的新型后门恶意软件细节，该后门创新性地将 OpenAI Assistants 应用程序接口（API）用作指挥与控制（C2）通信通道。

微软事件响应部门的检测与响应团队（DART）在周一发布的技术报告中指出：“该后门的威胁行为者并未依赖传统手段，而是滥用 OpenAI 作为指挥与控制通道，以此在受入侵环境中秘密通信并协调恶意活动。” 报告进一步解释：“后门的某个组件会将 OpenAI Assistants API 用作存储或中继机制，获取恶意指令后由恶意软件执行。”

这家科技巨头透露，该植入式恶意软件于 2025 年 7 月在一次复杂安全事件调查中被发现。在该事件中，不明身份的威胁行为者已在目标环境中维持持久访问长达数月，但微软未披露受影响受害者的具体信息。

深入调查显示，此次入侵活动包含一套 “复杂配置” 的内部网页木马（Web Shell），这些木马专门用于执行来自 “持久化、战略性部署” 的恶意进程所中继的指令。而这些恶意进程又借助了被恶意库篡改的微软 Visual Studio 实用程序，这种技术手段被称为 AppDomainManager 注入 —— 一种通过劫持.NET 应用加载过程来执行恶意代码的隐蔽技术，比传统的 DLL 旁加载更易实施。

SesameOp 是一款定制化后门，核心设计目标是维持持久访问权限，让威胁行为者能够秘密控制受感染设备，这表明此次攻击的核心目的是实现长期潜伏以开展间谍活动。

OpenAI Assistants API 原本旨在帮助开发者将人工智能驱动的代理直接集成到应用程序和工作流程中，但该 API 已被 OpenAI 列入弃用计划，将于 2026 年 8 月停止服务，取而代之的是全新的 Responses API，后者在灵活性、性能和功能上均有提升。

根据微软披露的攻击链，SesameOp 包含一个加载器组件（“Netapi64.dll”）和一个基于.NET 的后门程序（“OpenAIAgent.Netapi64”）。后门程序利用 OpenAI API 作为指挥与控制通道，获取加密后的恶意指令，解密后在本地执行，执行结果则以消息形式回传至 OpenAI 平台，形成完整的隐蔽通信闭环。

微软表示：“该动态链接库（DLL）通过Eazfuscator.NET进行高度混淆处理，专为隐蔽性、持久化及利用 OpenAI Assistants API 实现安全通信而设计。Netapi64.dll 会根据宿主可执行文件附带的特制.config 文件指令，通过.NET AppDomainManager 注入技术在运行时加载到宿主程序中。” 为规避安全扫描，其恶意载荷还采用了 AES 和 RSA 双重加密结合 GZIP 压缩的防护机制。

从 OpenAI 获取的助手列表中，消息描述字段支持三种指令类型：

...

HackerNews 编译，转载请注明出处：

与朝鲜有关联的威胁行为体 “金 Suky”（Kimsuky），已分发一款此前未被记录的后门程序，其代号为 “HttpTroy”。此次攻击很可能是针对性钓鱼攻击，目标为韩国的一名单独受害者。

披露该活动细节的 Gen Digital 公司，未透露事件发生的具体时间，但指出钓鱼邮件中包含一个 ZIP 压缩文件（文件名：“250908_A_HK이노션_SecuwaySSL VPN Manager U100S 100user_견적서.zip”）。该文件伪装成 VPN 账单，用于分发恶意软件，此恶意软件可实现文件传输、截屏以及执行任意命令的功能。

安全研究员亚历山德鲁 - 克里斯蒂安・巴尔达什（Alexandru-Cristian Bardaș）表示：“该攻击链包含三个步骤：一个小型投放程序、一个名为 MemLoad 的加载程序，以及最终的后门程序‘HttpTroy’。”

ZIP 压缩包内包含一个与压缩包同名的 SCR 文件（屏幕保护程序文件）。打开该文件会触发执行链，首先运行的是一个 Go 语言（Golang）二进制文件，该文件包含三个嵌入文件，其中包括一个伪装 PDF 文档。此文档会向受害者展示，以避免引起任何怀疑。

与此同时，后台会同步启动 MemLoad 程序。该程序负责在受感染主机上建立持久化机制，具体方式是创建一个名为 “AhnlabUpdate” 的计划任务。这一命名是为了伪装成韩国网络安全公司安博士（AhnLab）的程序，进而解密并执行 DLL 格式的后门程序 “HttpTroy”。

该植入程序能让攻击者完全控制受感染系统，支持的操作包括文件上传 / 下载、截屏、以高权限执行命令、在内存中加载可执行文件、建立反向 shell、终止进程以及清除痕迹。它通过 HTTP POST 请求与命令控制（C2）服务器（域名：“load.auraria [.] org”）进行通信。

巴尔达什解释道：“HttpTroy 采用多层混淆技术，以阻碍对其的分析和检测。API 调用通过自定义哈希技术隐藏，字符串则通过异或（XOR）运算与单指令多数据（SIMD）指令相结合的方式进行混淆。值得注意的是，该后门程序不会重复使用 API 哈希值和字符串，而是在运行时通过各种算术运算和逻辑运算的组合动态重构它们，这进一步增加了静态分析的难度。”

除上述发现外，这家网络安全厂商还详细介绍了 “拉撒路集团”（Lazarus Group）的一起攻击事件。该攻击导致 “Comebacker” 恶意程序以及其 “BLINDINGCAN” 远程访问木马（又称 AIRDRY 或 ZetaNile）的升级版被部署。厂商补充称，此次攻击针对加拿大的两名受害者，且在 “攻击链中段” 被检测到。

目前尚不清楚该攻击所使用的具体初始访问途径，但基于未发现可被利用以获取立足点的已知安全漏洞，研究人员判断初始途径应为钓鱼邮件。

攻击中使用了 “Comebacker” 的两个不同变体，一个是 DLL 格式，另一个是 EXE 格式。前者通过 Windows 服务启动，后者通过 “cmd.exe” 命令行启动。无论采用何种执行方式，该恶意软件的最终目标一致：解密嵌入的有效载荷（即 BLINDINGCAN），并将其作为服务部署。

BLINDINGCAN 的设计目的是与远程 C2 服务器（域名：“tronracing [.] com”）建立连接，并等待进一步指令。这些指令支持的操作包括：

...

HackerNews 编译，转载请注明出处：

网络安全研究人员警告称，针对WooCommerce用户的大规模钓鱼活动正在蔓延。攻击者通过伪造“关键安全补丁”警报，诱骗用户下载后门程序。

...