HackerNews

HackerNews 编译，转载请注明出处： IT巨头英迈科技（Ingram Micro）正经历全球性系统中断，其网站和内部系统均受影响。由于该公司对故障原因保持沉默，客户担忧这可能是网络攻击所致。 英迈科技是全球最大的企业对企业（B2B）技术分销商和服务提供商之一，向全球范围内的经销商和托管服务提供商提供硬件、软件、云服务、物流和培训解决方案。 该公司拥有约24,000名员工，2024年营收约为480亿美元。 系统中断始于上周四上午，网站下线，客户无法下单。BleepingComputer网站获悉，部分英迈科技的内部系统员工也无法访问。 目前访问 ingrammicro.com 网站，会显示其使用的网络服务商Akamai的通用访问受限提示，或如下图所示维护信息。 英迈客户在 Reddit 上表示，该公司对中断原因三缄其口，员工同样被蒙在鼓里。部分人称被告知中断背后可能是网络攻击（潜在勒索软件），但BleepingComputer网站尚未能证实这些说法的真实性。 然而，长时间中断及关闭内部系统通常是某种入侵的常见迹象。 BleepingComputer网站已就中断事件联系英迈科技，若收到回复将更新报道。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软表示已暂停了3,000个Outlook和Hotmail电子邮件账户，该公司认为这些账户是由朝鲜IT工作者创建的，这是其为帮助企业应对这一高成本计划所做努力的一部分。 微软称，多年来其一直监控朝鲜让其公民受雇于美国公司IT职位的活动，并最近观察到该活动的运作方式发生了变化。朝鲜IT工作者现在大量使用人工智能（AI）技术来“替换窃取的就业和身份证明文件中的图像，并增强朝鲜IT工作者的照片，使其看起来更专业”。 “我们还观察到他们一直在使用变声软件，”微软在一篇博客文章中解释道，该文章发布的同时，美国司法部公布了两份起诉书，指控数名朝鲜人和至少两名美国公民参与了此项IT工作者计划。 去年10月，微软的威胁情报部门发现了一个公共存储库，其中包含疑似朝鲜IT工作者的真实照片和经过AI增强处理的照片。该存储库还包含这些人员的简历、使用的电子邮件账户、关于如何使用VPN账户开展工作的指南、实施身份盗用的操作手册、关于如何在自由职业网站上获取工作的指导手册，以及向协助者付款的信息。 “根据我们对该存储库的审查，朝鲜IT工作者似乎会先进行身份盗用，然后使用像Faceswap这样的人工智能工具将他们的照片移植到窃取的就业和身份证明文件上，”微软研究人员表示。“攻击者还使用这些AI工具拍摄工作者的照片，并将其移植到看起来更专业的背景环境中。然后，这些工作者在申请工作时，将使用这些AI生成的照片制作一份或多份简历或资料。” 该活动的幕后人员正在大量试验变声软件和其他AI技术——这印证了其他几家监控此类计划的网络安全公司所做的评估。微软警告说，虽然尚未发现这些IT工作者使用AI语音和视频产品，但这种手段“可能允许朝鲜IT工作者直接进行面试，不再依赖协助者代替他们面试或向他们出售账户访问权限”。 美国司法部于本周早些时候公布的起诉书进一步揭露了朝鲜计划的巨大规模。联邦调查局（FBI）在16个州执行了搜查行动，目标是29个“笔记本电脑农场”——即由美国居民接收公司笔记本电脑并安装软件，从而让朝鲜人能够远程访问这些设备的地点。 法庭文件中已确认有多名美国公民共谋者参与其中，包括一名持有安全许可的现役美军士兵。 为了说明朝鲜通过该计划所获经济利益的规模，知名加密货币调查员Zachary Wolk（又名ZachXBT）表示，近期一项调查发现，自1月1日以来，向已知朝鲜IT工作者控制的账户发送的加密货币付款已超过1,650万美元，平均每月近300万美元（约合人民币2,190万元）。“为便于理解，每月付款范围在3,000至8,000美元之间，这意味着他们已渗透进入了至少345个（按最高薪酬计算）至多920个（按最低薪酬计算）工作岗位。”他在社交媒体帖子中写道。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 随着亚马逊Prime Day临近，各种优惠承诺令人期待，网络犯罪分子也如秃鹫般盘旋伺机而动。 今年的亚马逊Prime Day定于7月8日，当购物者们为折扣和优惠摩拳擦掌时，黑客们正忙于炮制虚假网站、钓鱼邮件和域名陷阱。大型购物节日往往潜藏着混乱的可能，而犯罪分子深知混乱有利可图。 仅在六月的头几周，Check Point的安全研究人员就发现了超过1,230个试图冒充亚马逊的新域名。其中约87%的域名充其量可疑，往坏了说则完全是恶意的。近1/81的这些域名包含了“Amazon Prime”字眼，旨在诱骗用户点击并泄露其登录凭证。 研究人员警告，骗子们正在发送看似亚马逊客服的钓鱼邮件，主题行涉及“退款错误”或“账户问题”。这些邮件经过精心设计，意在触发受害者的紧迫感。一旦点击链接，用户会被带到一个几可乱真的虚假亚马逊登录页面。结果不是更新了所需信息，而是将亚马逊凭证拱手送给了威胁行为者。 在此活动中观察到的一些欺诈网站示例： Amazon02atonline51[.]online amazon-2025[.]top 此类攻击一旦成功，可能导致未经授权的购物、身份盗用或礼品卡滥用。在黑色星期五、网络星期一或情人节前夕，也曾观察到类似的诈骗威胁激增，专家警告购物者需保持高度警惕。 如何在亚马逊Prime Day期间保证安全？ 警惕可疑网址：如果你要点击一个以 .top 或 .online 结尾、或者带有连字符和额外数字的链接，请停手。计划好购物，直接访问亚马逊官网或应用。如果使用浏览器，务必手动输入 amazon.com。 避免点击邮件链接：如果收到关于账户问题的紧急邮件，请新开标签页手动访问亚马逊。不要跟随骗子设下的数字陷阱。 检查锁标，但仍需验证：HTTPS 和挂锁图标有帮助，但虚假网站也能伪造这些。真正的关键点在于域名本身。如果它看起来可疑，那很可能就是钓鱼。 启用双重认证并使用强密码：在亚马逊上设置双重认证。同时，使用密码管理器，因为重复使用密码会大大增加被入侵的风险。 紧急=诈骗套路：如果信息尖叫着要你立即行动，请先深呼吸。骗子总是利用紧迫感设局。如果是真的，十分钟后它依然还在。 难以置信的优惠？那很可能就是骗局：如果某款iPhone在一个非亚马逊的随机网站上打85折，那是个陷阱。你唯一可能拆箱的只有后悔。 使用安全支付方式：虚拟卡、支付应用等任何提供额外保护的方式，都是在线购物的好选择。避免电汇或直接银行转账。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 人人都信任PDF——而这正是网络犯罪分子如此痴迷于它们的原因。 便携式文档格式（Portable Document Format），更常被称为PDF，每天被分发数百万次。从税务文件、简历到发票、数字手册或任何其他信息，都通过电子邮件以PDF附件的形式发送。 PDF简单、跨平台且普遍受信任。它们可以包含图像、可点击链接和看似官方的标识。这使它们成为攻击者想要混入其中的完美载体，也正是黑客们当前痴迷于它们的原因。 过去几个月，网络安全分析师观察到通过PDF文件发起的钓鱼攻击急剧增加。这些PDF被设计成模仿科技巨头和服务提供商的合法通信，以诱骗受害者泄露凭证或下载恶意软件。 根据思科Talos的洞察，在2025年5月5日至6月5日期间，使用PDF附件进行品牌冒充的行为激增。被冒充最多的品牌是微软（Microsoft）和DocuSign。而NortonLifeLock、PayPal和Geek Squad则属于包含PDF附件的电话导向攻击（TOAD）邮件中最常被冒充的品牌之列。 这些钓鱼活动是全球性的，许多源自美国和欧洲的IP地址。 攻击者如何利用PDF？ 最近的一次攻击冒充了微软，使用了诸如“薪资调整”之类的诱饵主题行，时间点特意选在各组织可能发生晋升或绩效变动的时期。 该PDF看起来像一份标准的人力资源文件，足以让受害者相信并扫描其中的二维码，该二维码会将他们重定向到一个窃取凭证的网站。Dropbox也常被用作分发恶意PDF的平台。 然后是电话导向攻击（TOAD）。这些钓鱼PDF的目的不是让受害者简单地点击链接——而是通过电话对他们进行钓鱼。骗子通常会发送关于账单错误、可疑活动或订阅续费的信息，并包含一个“客服”电话号码。 这些邮件诈骗中使用的大多数电话号码是网络电话（VoIP）号码，追踪到真实个人或物理位置的难度远高于普通固话。 骗子还滥用Adobe电子签名服务等合法平台。2025年4月至5月期间，Talos发现了通过Adobe系统发送的PDF，冒充PayPal等品牌。 PDF也是二维码钓鱼的绝佳载体，而二维码钓鱼当下正大行其道。这些二维码通常冒充微软或Adobe等公司。 此外，还有一种危险策略是滥用PDF文件中的注释功能。PDF可以在评论、便签或表单域等地方隐藏链接。所有这些区域都会被许多扫描器忽略。 攻击者还会在文件中填充无关文本来混淆检测引擎。在某些情况下，他们会嵌入两个URL：一个看起来是干净的（用于建立信任），另一个隐藏的URL则会将你带到真正的钓鱼页面。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： BMW金融服务公司（BMW Financial Services）被卷入一起影响少量人群的第三方数据泄露事件，但具体细节仍不明确。 BMW金融服务公司因第三方公司AIS遭受入侵而间接受影响。总部位于得克萨斯州的金融科技公司AIS在事件发生时，正为BMW金融服务公司及其账户持有人提供监控处理服务及法律监控服务。 该第三方公司在其网络内发现可疑活动后，在取证专家的协助下启动了调查。调查显示，恶意行为者入侵了AIS的系统并窃取了少量数据。 从AIS（进而间接涉及BMW金融服务公司）窃取的数据内容尚不清晰，违规通知函中仅提及姓名这一数据要素，未提及其他信息。不过已知该事件影响人数有限，仅超过1,950人，其中仅有两名缅因州居民受影响。 黑客可能在AIS系统内潜伏了两天，因入侵发生于2025年2月16日，而发现时间为2月18日。该金融科技公司明确表示，此次泄露未波及BMW金融服务公司自身的系统和数据库。 AIS将为受影响个人提供为期12个月的Equifax信用监控及身份盗窃预防服务。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客正在利用一个危险的漏洞针对“氛围开发者”（vibe coders）。Cursor、Windsurf 和其他 AI 驱动的代码编辑器无法访问 VS Code Marketplace（Visual Studio 市场），转而依赖风险更高的第三方平台，这些平台上恶意扩展和关键漏洞盛行。 安全公司 Secure Annex 的研究员 John Tuckner 发现了一个已被开发者下载 20 万次的恶意扩展。该扩展针对 Solidity 开发者，他们使用这种编程语言在以太坊和其他区块链上实现智能合约。 该扩展没有任何实用功能，反而运行 PowerShell 脚本，使攻击者能够远程访问受感染的计算机。“它甚至没有为用户做任何有意义的事情，只是安装了远程访问工具，”该研究员在一篇博客文章中说。 Tuckner 警告氛围开发者，他们目前使用的平台缺乏基本的安全扫描和审核机制。“分析这个扩展并不需要什么高深技术。这些扩展本应被最基本的安全扫描拦截，根本不该出现在市场中。如果连这些都没被拦住，对于那些稍微复杂一点的恶意扩展还能有什么希望？”该研究员质问道。 该恶意软件是在 Open VSX 注册表上发现的，这是一个第三方市场，随着 AI 代码编辑器的兴起而大幅流行。“我们最喜欢的大多数氛围编辑器都在使用 Open VSX，”该研究员指出。Open VSX 拥有超过 800 万开发者用户，为氛围开发者提供了他们原本无法获取的扩展。 氛围开发者无法为 Cursor 使用微软的 Visual Studio Marketplace 由于法律条款的细微差别，基于开源 VS Code 项目构建的替代代码编辑器被禁止访问官方的微软 Visual Studio Marketplace，而后者是 VS Code 开发者的首选来源。该市场仅限微软自家产品使用。“这意味着像 Cursor、Windsurf 和其他 VS Code 分支版编辑器因此默认转向其他市场，”Tuckner 解释道。这些限制使替代编辑器在为用户提供扩展时面临艰难选择。 Open VSX 应运而生，成为一个没有微软限制的替代市场，为氛围开发者提供了生命线。在这里，任何人都可以不受限制地发布或下载扩展。但不可避免地，黑客试图利用这一点。该研究员警告说，开放性带来了微软更严格管理的市场所没有的风险。“虽然微软的市场也有自身的问题，但它受益于企业监督、自动化扫描和审核流程，这些有助于在恶意扩展到达用户之前将其拦截。” 然而，Open VSX 对披露反应迅速：在三个小时内，它移除了被报告的恶意扩展（solidityai.solidity 和 soliditysupport.solid），并采取了额外措施停用了其发布者账号。 重大 Open VSX 漏洞曝光 2025年6月26日，一个影响 Open VSX 自动发布系统的关键漏洞被发现。Koi Security 披露，潜在攻击者可能滥用该漏洞来完全控制市场，并向任何扩展发布有害更新。这可能会危及数百万氛围开发者。“一个简单的漏洞就将数百万开发者置于前所未有的巨大风险之中，”Koi Security 研究人员在一份报告中表示。 存在缺陷的自动发布机制暴露了特权凭证，“包括一个属于 @open-vsx 服务账户的秘密令牌，该令牌拥有在市场中发布（或覆盖）任何扩展的权限。”“此令牌是 Open VSX 注册表的超级管理员凭证——它可以发布新扩展，更新或覆盖现有扩展。从攻击者的角度来看，那就是控制了一个完整生态系统的供应链。” 提供的时间线显示，修复该问题用了六轮修复和超过三个月的时间。维护该市场的 Eclipse 基金会虽未发现实际入侵证据，但作为预防措施主动停用了 81 个扩展。 Koi Security 敦促开发者默认将从市场、应用商店或注册表下载的任何软件视为不可信。“我们的研究团队每天都在 Open VSX、微软自家的 VSCode Marketplace，甚至私有企业市场中，发现存在漏洞和真实世界中的恶意扩展。问题具有普遍性：只要是代码，并且在你的环境中运行，它就是你的攻击面的一部分。”研究人员表示。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 欧盟推出了一项量子战略，重点在于开发覆盖整个区域的量子安全通信和数据共享基础设施。 该战略旨在使欧盟在2030年前成为全球量子领域的领导者，释放创新和经济价值。战略部分内容着眼于应对未来量子计算发展带来的网络安全风险。 超过1万个量子比特的量子计算机将能破解现有加密协议，使组织使用的所有数据、连接和组件面临风险。预计这一情景将在未来7到15年内发生。 欧盟的新战略包含多项举措，旨在开发覆盖全欧洲的量子安全解决方案。 战略的一个方面是欧洲量子通信基础设施（EuroQCI）倡议，旨在开发覆盖整个欧盟（包括其海外领土）的安全量子通信基础设施。 目前，26个欧盟成员国正在部署国家地面量子通信网络。这些网络将用于测试一颗计划于2026年发射的安全通信量子密钥分发（QKD）卫星。 这些地面量子通信网络正被用于在实际环境中实施和测试QKD。试点项目包括医院间医疗数据的安全传输以及政府机构间的加密通信。 欧盟表示，它正在利用完全欧洲本土的量子组件、设备和系统供应链来支持这一部署。到2030年，将建成一个完全互联的欧盟实验性地面和空间安全通信网络。 量子互联网倡议将作为EuroQCI的补充，开发用于分布式量子计算和传感以及超安全数据共享的架构。该倡议将建立在已启动的用例框架基础上，并依托量子互联网联盟（QIA）技术论坛的启动，这是首个致力于量子互联网的全球开放论坛。 2026年，该倡议将支持启动一个欧洲量子互联网试点设施，用于测试关键的量子安全组件和早期用例，包括安全量子云服务、分布式计算以及连接研究与部署的先进验证环境，为全面运营做准备。目标是在2030年部署一个完全可运行的量子安全通信网络，作为迈向联邦式量子互联网的第一步。 欧盟此次宣布之际，正值各方日益关注在“Q日”（量子计算机强大到足以破解RSA和AES等常见加密协议之时）到来前应对量子安全风险。 2024年8月，美国国家标准与技术研究院（NIST）正式确立了全球首个后量子密码学标准。这包含三种后量子加密算法，为不同类型的系统和用例提供抗量子解决方案，包括用于身份认证的数字签名和用于在公共通道上建立共享密钥的密钥封装机制。这些标准为组织提供了一个框架，以保护其系统和数据免受未来量子威胁。NIST敦促组织开始准备使用这些算法将其系统过渡到量子安全解决方案。 2025年3月，英国国家网络安全中心（NCSC）发布了一份路线图，指导组织在2035年前将其系统、服务和产品完全迁移到后量子密码学（PQC）。 尽管有这些政府举措，研究表明，组织在实施量子安全过渡计划方面迄今进展缓慢。 2025年4月，ISACA报告称，仅有5%的组织制定了明确的战略来防御量子威胁。只有3%的IT专业人士认为这是其组织在近期内的首要业务重点。 2025年5月，DigiCert对网络安全经理进行的一项调查发现，在美国、英国和澳大利亚，迄今为止仅有5%的企业部署了后量子密码学（PQC）。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国加利福尼亚州的一家法院已下令谷歌支付3.14亿美元，原因是其被指控在安卓设备用户手机空闲时滥用其蜂窝数据，被动地向该公司发送信息。这一判决标志着最初于2019年8月提起的法律集体诉讼告一段落。 原告在其诉讼中辩称，谷歌的安卓操作系统利用用户的蜂窝数据，在未经用户许可的情况下传输“各种信息给谷歌”，即使他们的设备处于空闲状态也不例外。 原告表示：“尽管谷歌可以设计成仅在手机连接Wi-Fi时进行这些传输，但它却将这些传输设计为也可以在蜂窝网络上进行。” “谷歌未经授权使用他们的蜂窝数据违反了加州法律，并要求谷歌就其未经许可、为自身利益而使用的蜂窝数据价值向原告作出补偿。” 原告辩称，这些传输发生在谷歌产品在后台打开并运行时，即使用户已关闭所有谷歌应用程序且设备处于休眠状态也不例外，从而滥用了用户的数据流量配额。 在一个实例中，原告发现，一台采用默认设置、装有标准预装应用程序并连接了新谷歌账户的三星Galaxy S7设备，每天发送和接收8.88 MB的蜂窝数据，其中94%的通信发生在谷歌与设备之间。 这种信息交换在24小时内大约发生了389次。传输的信息主要包括包含操作系统指标、网络状态和已打开应用列表的日志文件。 根据法庭文件：“日志文件通常不是时间敏感的，其传输可以轻易延迟至有Wi-Fi时再进行，谷歌也可以对安卓进行编程，允许用户仅在连接Wi-Fi时启用被动传输，但显然它选择不这样做。相反，谷歌选择直接利用原告的数据流量配额。” 这还不是全部。该法庭诉讼还引用了2018年的另一项实验，该实验发现，一部“外表处于休眠且静止不动”但打开了Chrome网络浏览器应用程序并将其置于后台的安卓设备，在24小时内导致了约900次被动传输。 相比之下，一部同样静止未动、Safari浏览器在后台打开的iPhone则发送了“明显少得多的信息”，并且指出苹果的操作系统在被动信息传输方面给予用户更大的控制权。 在2025年6月2日开始的审判之后，陪审团支持了原告，称这家科技巨头应对进行这些被动数据传输并导致用户承担其所称的“强制且不可避免的负担[…]以利于谷歌的便利和利益”负责。 谷歌在给路透社的一份声明中表示将对裁决提出上诉，并辩称这些数据传输与“对安卓设备的安全性、性能和可靠性至关重要的服务”有关。该公司还指出，其在用户使用条款协议中披露了这些传输行为并获得了用户的同意。 该陪审团裁决是在谷歌同意支付近14亿美元以和解德克萨斯州两起诉讼近两个月后作出的，这两起诉讼指控谷歌在未经同意的情况下追踪用户的个人位置信息并保存其人脸识别数据。 这一进展也紧随Meta之后，该公司表示正在对欧盟委员会2025年4月的一项决定提出上诉，该决定认为其“付费或同意”模式违反了该地区的《数字市场法案》(DMA)，并处以2亿欧元（2.27亿美元）的罚款。 “该决定强制要求Meta必须免费提供个性化程度较低的广告服务，而忽略了成本、影响或有效性，并强加了一种可能不可行的商业模式，”该公司表示。 “这忽视了市场经济中的商业现实，即Meta理应为其用户选择使用的有价值且创新的服务获得公平补偿——这一原则对于维持创新和经济增长至关重要。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 全球数百万台Linux系统（包括运行关键服务的系统）现存在一个易于利用的新型sudo漏洞，可能允许未经授权的用户在Ubuntu、Fedora等服务器上以root权限执行命令。 sudo是Linux系统中允许用户以root或超级用户身份运行命令的实用程序。Stratascale网络安全研究单元（CRU）团队发现了两个影响sudo的关键漏洞。 安全研究人员警告称，任何用户都能快速获取无限制的系统访问权限。攻击者可利用此漏洞以root身份执行任意命令，完全接管系统。 该漏洞首次出现在2023年6月发布的1.9.14版本中，已在2025年6月30日发布的最新sudo版本1.9.17p1中修复。漏洞利用已在Ubuntu和Fedora服务器上验证成功，但可能影响更多系统。 报告指出：“这些漏洞可能导致受影响系统的权限提升至root级别。” 研究人员敦促管理员尽快安装最新sudo软件包，因为目前没有其他解决方案。 “默认sudo配置存在漏洞，”Stratascale网络安全研究单元的Rich Mirch解释道。 研究人员已公开概念验证代码，其他团队也成功复现了该漏洞。 漏洞涉及sudo的chroot功能 关键漏洞存在于sudo中较少使用的chroot选项中。该选项用于修改特定进程的根工作目录，限制其对文件系统的访问。 虽然本意是将用户限制在其主目录内，但漏洞允许用户突破限制并提升权限。利用此漏洞不需要为用户定义任何sudo规则。 研究人员表示：“因此，如果安装了易受攻击的版本，任何本地非特权用户都可能将权限提升至root。” 要利用此漏洞，攻击者需要在用户指定的根目录下创建文件，并欺骗sudo加载任意共享库。该文件定义了系统如何解析用户账户、组、主机名、服务等。 sudo维护者已确认该问题，并在1.9.17p1版本中弃用了chroot选项。 他们在公告中表示：“攻击者可利用sudo的chroot选项以root身份运行任意命令，即使他们未被列入sudoers文件。” Mirch的脚本演示了非特权攻击者如何创建临时目录、添加授予root权限的函数文件、编译恶意共享库，然后通过chroot选项欺骗sudo以提升的权限执行它。这样，攻击者就能完全控制系统。 由于chroot选项会降低环境安全性，建议管理员避免使用该功能。 数百万系统可能受此漏洞影响。德国媒体heise.de甚至发现，德国某大型云托管提供商新安装的Ubuntu虚拟机仍然存在漏洞，尽管补丁已经发布。 消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 思科公司已发布安全更新，修复其统一通信管理器（Unified Communications Manager，简称Unified CM）和统一通信管理器会话管理版（Unified CM SME）中的一个最高严重级别安全漏洞。该漏洞可能允许攻击者以root用户身份登录受影响的设备，从而获得权限提升。 该漏洞编号为CVE-2025-20309，CVSS评分为10.0。 思科在周三发布的公告中表示：“此漏洞源于为开发阶段预留的root账户静态用户凭证。攻击者可能利用该账户登录受影响系统。成功利用漏洞后，攻击者能够以root用户身份登录系统并执行任意命令。” 此类硬编码凭证通常源自开发阶段的测试或临时修复，但绝不应出现在生产环境中。对于处理企业语音通话和通信的Unified CM等工具而言，root权限可能使攻击者进一步渗透网络、窃听通话或篡改用户登录方式。 这家网络设备巨头表示，目前尚未发现该漏洞在野外被利用的证据，且漏洞是在内部安全测试期间发现的。 CVE-2025-20309影响Unified CM和Unified CM SME的15.0.1.13010-1至15.0.1.13017-1版本，与设备配置无关。 此次漏洞修复距思科修复身份服务引擎（ISE）和ISE被动身份连接器中的两个安全漏洞（CVE-2025-20281和CVE-2025-20282）仅数日。后两个漏洞可能允许未经身份验证的攻击者以root用户身份执行任意命令。   消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 朝鲜黑客正通过伪造Zoom软件更新，诱使Web3和加密货币相关组织的员工安装Nim编译的macOS恶意软件——SentinelOne报告。 观察到的攻击遵循了近期归因于平壤APT组织BlueNoroff的感染链：黑客冒充受害者的可信联系人，通过Telegram邀请受害者使用流行的Calendly日程安排平台安排会议。 受害者随后会收到一封包含Zoom会议链接的电子邮件，并被指示运行一个伪装成Zoom SDK更新的恶意脚本。脚本的执行会触发一个多阶段感染链，最终导致SentinelOne统称为NimDoor的恶意二进制文件的部署。 对攻击的分析揭示了该黑客组织使用的新技术，例如： – 使用Nim编程语言构建macOS二进制文件 – 滥用wss进行进程注入和远程通信 – 依赖特定的信号处理程序实现持久化 Nim是一种静态类型的编译型系统编程语言，融合了Python、Ada和Modula等语言的概念。 “Nim阶段包含一些独特功能，包括加密配置处理、围绕Nim原生运行时构建的异步执行，以及一种在macOS恶意软件中前所未见的基于信号的持久化机制，” SentinelOne在技术报告中指出。 AppleScript在整个感染链中被广泛使用，既用于初始访问，也用于入侵后的操作，如信标通信和系统后门植入。Bash脚本被部署用于Keychain、浏览器和Telegram数据的外泄。 根据SentinelOne的说法，攻击者使用了两个Mach-O二进制文件来触发两个独立的执行链： 其中一个用C++编写，会导致执行用于数据外泄的bash脚本；另一个从Nim源代码编译，用于设置持久化并投放两个Nim编译的二进制文件，分别是’GoogIe LLC’（使用拼写错误欺骗，用小写字母”l”替换大写字母”I”）和’CoreKitAgent’。 GoogIe LLC用于设置配置文件并执行CoreKitAgent，这是一个复杂的Nim二进制文件，”作为使用macOS kqueue机制的事件驱动应用程序运行”，SentinelOne表示。 这两个载荷共同建立了持久访问和恢复机制，依靠信号处理程序拦截来自SIGINT和SIGTERM的终止信号，并重新部署核心组件。 “Nim相当独特的在编译时执行函数的能力，使攻击者能够将复杂行为融入二进制文件中，且控制流不那么明显，导致编译后的二进制文件中开发者代码和Nim运行时代码甚至在函数级别都相互交织，” SentinelOne指出。     消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： IdeaLab正在通知受去年10月数据泄露事件影响的个人，当时黑客访问了敏感信息。 尽管该组织未描述攻击类型，但Hunters International勒索软件组织已声称对此次入侵负责，并在暗网上泄露了被盗数据。 IdeaLab是一家总部位于加利福尼亚的技术创业孵化器，自1996年以来已孵化了150多家公司，包括GoTo.com、CitySearch、eToys、Authy、Pets.com、Heliogen和Energy Vault。 作为美国历史最悠久、最具影响力的风险投资公司之一，该公司创造了可观的经济影响、就业机会和投资价值。 2024年10月7日，IdeaLab检测到其网络上的可疑活动。经调查确定，威胁行为者已于三天前未经授权访问其系统。 该公司聘请第三方服务协助调查，调查于2025年6月26日完成。 结果证实系统数据被盗，影响现任和前任员工、现任和前任支持服务承包商及其家属。 在向监管机构提供的样本通知中，IdeaLab未描述事件中暴露的所有信息，仅表示黑客访问了姓名与其他类型数据组合的信息。 2024年10月23日（勒索企图失败后），Hunters International公布了从IdeaLab窃取的数据。 IdeaLab数据遭泄露于Hunters International网站 此次泄露包含137,000个文件，总计262.8 GB。截至发稿时，下载链接已失效，但很可能多个威胁行为者此前已下载这些文件。 今天早些时候，威胁行为者宣布关闭Hunters International，并从其勒索门户网站删除了所有公司条目和文件。黑客提出为所有受害者提供免费解密密钥。 然而，这可能是品牌重组的一部分，因为网络安全公司Group-IB的研究人员4月表示，该威胁行为者推出了一个名为World Leaks的新勒索平台，专注于勒索。 为应对此事件带来的风险，通知接收者可通过IDX免费获得24个月的信用保护、身份盗窃和暗网监控服务。受影响个人须在2025年10月1日前注册。     消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 欧洲刑警关闭Archetyp Market——运营时间最长的暗网毒品网站，警方在西班牙逮捕管理员，瑞典打击顶级供应商。 由德国当局主导的国际执法行动，在欧洲刑警组织和欧洲司法机构的支持下，成功关闭了运营时间最长的暗网毒品市场Archetyp Market。此次协调行动跨越六个国家，在西班牙逮捕了该市场的管理员，并在瑞典打击了顶级供应商。 “6月11日至13日期间，德国、荷兰、罗马尼亚、西班牙、瑞典等国开展了一系列协调行动，针对平台管理员、版主、主要供应商和技术基础设施。约300名执法人员被部署执行执法行动并保护关键证据，”欧洲刑警组织在新闻稿中表示。“Archetyp Market作为毒品市场运营超过五年，全球用户超过60万，总交易额至少2.5亿欧元。该市场拥有超过1.7万种商品列表，是少数允许销售芬太尼和其他高纯度合成阿片类药物的暗网市场之一，加剧了这些药物在欧洲及其他地区构成的日益严重的威胁。” 现在，该网站已被查封页面取代，更多信息和一个针对暗网的视频信息已发布在www.operation-deepsentinel.com。 由德国当局主导的行动关闭了Archetyp Market，在西班牙逮捕了其管理员，并查获了780万欧元资产。该市场实现了大规模的匿名毒品交易，包括可卡因和合成阿片类药物，并与Dream Market和Silk Road等主要暗网平台齐名。 欧洲刑警组织报告称，Archetyp Market的取缔是多年调查的结果。当局追踪资金流向，分析数字证据，并进行国际合作。欧洲刑警组织和欧洲司法机构协调了各方努力，促成了逮捕行动和资产扣押。 “通过这次取缔行动，执法部门摧毁了暗网运行时间最长的毒品市场之一，切断了世界上最危险物质的主要供应线。通过摧毁其基础设施并逮捕关键人物，我们发出了一个明确的信息：那些从伤害中获利的人没有安全避风港。”欧洲刑警组织行动副主任Jean-Philippe Lecouffe表示。     消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一款伪装成家长监控软件的安卓间谍软件Catwatchful存在漏洞，导致超过6.2万用户账户凭证泄露。安全研究员Eric Daigle透露，这款号称具备”实时监控”功能的应用实际上是一款功能强大的间谍软件（也称跟踪软件），它能在后台持续运行并隐藏自身图标，防止受害者卸载。 开发者虽然在宣传中将其包装为”安卓家长控制应用”，却毫不掩饰其隐蔽特性：”您可以在对方不知情的情况下监控手机——软件在手机上是完全隐形且不可检测的，它会在隐藏和静默模式下运行。”Daigle证实，Catwatchful确实如宣传所言：潜伏在受害者设备中，将数据上传至Firebase数据库，注册用户可通过网页控制面板访问这些内容。 用户注册后会获得一个预配置好凭证的APK文件，需要物理接触目标设备才能完成安装。一旦运行，间谍软件就会启动实时监控功能。在研究其内部机制时，Daigle发现该软件存在SQL注入漏洞，攻击者可通过用户控制面板提取存储个人信息的Firebase数据库。 据Daigle分析，泄露的数据库包含全部62,050个Catwatchful账户的明文登录凭证，以及关联设备信息和管理数据。研究员指出，这些信息足以接管服务中的任何账户。TechCrunch进一步报道称，这次泄露还曝光了乌拉圭开发者Omar Soca Charcov——该间谍软件运营的管理员身份，包括其电话号码、电子邮箱和Firebase数据库地址。 作为应对措施，谷歌已为Play Protect新增防护功能，当检测到设备存在Catwatchful时会向用户发出警报。托管Catwatchful API的网络公司已暂停违规账户，但该API已迁移至其他服务商。Firebase数据库目前尚未被移除，谷歌仍在调查其是否违反相关政策。 虽然Catwatchful号称”不可检测”，但安卓用户可通过拨打”543210″并按下通话键来检查设备是否被安装——这是软件内置的后门功能，会强制间谍软件显示自身图标以便卸载。     消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据攻击者声称，俄罗斯军事技术公司NPO Mars的系统被窃取了数百GB敏感数据，其中可能包含国防相关信息。Cybernews研究团队调查的数据样本显示，部分文件更新至今年3月。 攻击者在知名数据泄露论坛发帖称，已从俄罗斯主要国防承包商NPO Mars获取250GB数据，其中包括俄海军使用的软件。 NPO Mars是“联邦科研生产中心”，为俄军提供自动化控制系统、舰艇作战信息与指挥系统、装甲运兵车、坦克等装备。2022年2月俄乌冲突爆发后，该公司遭美国、欧盟、加拿大、日本等多国制裁。 Cybernews团队分析攻击者提供的部分数据样本发现： 部分PDF扫描件来自2017-2018年； 多数技术手册为2024年更新； 部分文件显示2025年3月更新或创建。 但样本外数据的时效性尚不明确。 研究团队指出：“网络空间已成为关键战场，黑客行动主义者和国家支持的黑客会竭尽所能打击对手。此类泄露可能暴露敏感军事信息，而攻击可能始于针对政客、技术支持人员或普通员工的钓鱼行动。” 泄露的俄军数据详情： 数据样本包含大量PDF和技术手册，涉及NPO Mars为俄军开发的系统，部分文件名暗示为协议、证书等文件，其他文件使用军事技术术语命名。 攻击者制作宣传视频，声称获取俄海军多个系统权限，其中包括： SIGMA系统：据俄军事媒体TopWar报道，SIGMA-20385是负责“机动控制、反潜防御（ASD）与导弹武器管理、通信”的作战信息与指挥系统。 TRASSA系统：NPO Mars CEO Vladimir Maklaev 2016年向俄新社表示，SIGMA和TRASSA为俄海军巡逻舰、导弹舰、护卫舰、大型登陆舰和核动力导弹巡洋舰开发。 DIEZ系统：扫雷舰自动化控制系统。攻击者视频显示其试图修改俄海军军官接收的扫雷舰速度与坐标数据，并警告：“那艘不友好的潜艇可能不像系统显示的那样慢，甚至可能比你想象的更近。” 攻击者还声称访问了其他俄海军系统，但未提供证据。 NPO Mars成立于1961年（前身为莫斯科海洋研究所），现有员工超1100人。本文发布前已联系该公司置评，收到回复后将更新内容。     消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 哥伦比亚大学官员周二表示，一名带有“政治议程”的黑客近期入侵该校IT系统，并“针对性”窃取了学生数据。 目前尚不清楚黑客在系统内潜伏了多长时间，但哥伦比亚大学发言人称自6月24日起未再检测到威胁活动。上周，该校表示正在调查一起网络攻击事件，导致大学网站及其他系统间歇性瘫痪。 “我们的调查显示，这些黑客技术高超，在窃取文件时目标非常明确，”该校官员表示。“他们入侵系统并窃取学生数据，显然是为了推进其政治议程。” 该官员称，大学未收到勒索要求，也未发现“任何勒索软件的迹象”。 据报道，黑客向彭博社提供了1.6GB的数据，声称这些数据是从哥伦比亚大学窃取的，其中包括可追溯数十年的250万份申请信息。 彭博社审查的被盗数据据称包含申请人是否被拒或录取、国籍状态、大学ID号码以及他们申请的具体学术项目等详细信息。 尽管黑客的说法尚未得到独立核实，但彭博社将黑客提供的数据与8名2019年至2024年间申请哥伦比亚大学的申请人信息进行了比对，发现两者相符。 据报道，该威胁行为者告诉彭博社，他正在寻找证据，以证明哥伦比亚大学是否在招生中继续使用平权行动，尽管最高法院在2023年已禁止该做法。 黑客告诉彭博社，他总共窃取了460GB的数据——在花费两个月时间针对并渗透大学服务器中权限越来越高的层级后——并称他获取了有关财务援助方案、员工薪资以及至少180万份属于员工、申请人、学生及其家属的社会安全号码的信息。 彭博社未查看更大规模的数据集，且这些信息无法独立核实。 哥伦比亚大学发言人表示，在调查进行期间，他们无法证实彭博社关于数据泄露规模的报道。 黑客从“我们网络的有限部分”窃取了数据，他们说道。 官员表示，一旦意识到入侵事件，哥伦比亚大学迅速恢复了大部分系统，并补充称该校已聘请一家“黄金标准”的网络取证公司来应对此次攻击。 他们补充说，确定被盗内容可能需要数月时间。 “我们正在调查此次明显数据盗窃的范围，并将调查结果与大学社区以及个人信息遭泄露的任何人分享，”哥伦比亚大学的新闻稿称。“自6月24日以来，我们未在网络中观察到威胁行为者的活动，并将继续密切监控系统中的任何进一步非法活动。”   消息来源： therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国政府警告称，在美国对伊朗核设施实施打击后，伊朗可能继续发动网络攻击。 据路透社报道，亲伊朗黑客威胁将公开据称从特朗普总统身边人手中窃取的电子邮件，美国联邦当局称此举是“精心策划的抹黑行动”。 美国网络安全和基础设施安全局（CISA）周一晚间表示，这些针对特朗普的邮件威胁“不过是数字宣传”，目的是损害特朗普及其他联邦官员的形象。 CISA发言人玛西·麦卡锡在社交媒体发文称：“敌对的外国势力威胁非法利用所谓被盗且未经核实的材料，企图转移注意力、抹黑和分裂美国。这些犯罪分子将被追查并绳之以法。” 路透社报道称，他们通过在线渠道联系了这些所谓的黑客。对方声称掌握大量邮件，包括特朗普幕僚长苏西·威尔斯、其他高级顾问以及色情演员斯托米·丹尼尔斯（特朗普因向其支付“封口费”而被定罪）的通信记录。 去年，联邦检察官指控三名伊朗人入侵特朗普总统竞选团队。黑客还针对拜登和哈里斯的民主党竞选团队发动攻击，并曾试图将所谓窃取的特朗普材料泄露给民主党人和媒体记者，但未成功。 就在CISA、FBI和国家安全局发布公开警告的同一天，出现了这一新的邮件泄露威胁。三家机构警告称，尽管伊朗与以色列达成脆弱停火，但支持德黑兰的黑客组织仍可能攻击美国利益。 当局警告，这些黑客可能试图破坏或瘫痪关键基础设施，如公用事业、交通和经济枢纽，还可能针对与以色列有关联的美国国防承包商或其他企业。 公告建议采取防御措施，包括定期更新软件和使用强密码管理系统。 在美国打击伊朗核设施后，支持德黑兰的黑客曾针对美国银行、国防承包商和能源公司发动攻击，但尚未造成大规模破坏。     消息来源： securityweek ； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 澳大利亚旗舰航空公司澳航（Qantas）正通知客户，其呼叫中心使用的第三方平台遭网络攻击，可能导致客户个人信息被窃取。 该航空公司表示，此次事件于6月30日被发现，当时黑客入侵了呼叫中心使用的第三方平台。 尽管澳航系统未被入侵且航班运营未受影响，但攻击者成功从被入侵平台窃取了数据。 “该平台存有600万客户的服务记录。我们仍在调查具体有多少数据被盗，但预计数量可能相当可观。”该公司声明称。 可能被泄露的信息包括姓名、电子邮箱、电话号码、出生日期及常旅客会员号。该平台未存储信用卡、财务或护照信息。 “常旅客账户未被入侵，密码、PIN码或登录信息也未被访问。”澳航补充道。 澳航表示已立即封锁被入侵系统，通知执法机构及相关部门，并开始向客户通报事件。公司还设立了专门的客户支持热线及网页，持续更新信息。 “我们真诚地向客户致歉，并理解此事带来的不确定性。客户信任我们保护其个人信息，我们对此高度重视。今天起我们将联系所有受影响客户，全力提供必要支持。”澳航集团首席执行官Vanessa Hudson表示。 澳航未透露攻击者信息，但此次事件发生在阿拉斯加航空集团子公司夏威夷航空披露网络攻击数日后。网络安全公司Mandiant警告称，臭名昭著的黑客组织Scattered Spider正瞄准航空及运输行业。 “尽管Scattered Spider有针对全球组织（包括澳大利亚企业）的历史，但目前尚无证据表明其已将澳大利亚航空公司纳入当前攻击目标。”Mandiant咨询首席技术官Charles Carmakal向SecurityWeek表示。 “包括我们称为UNC6040的金融动机威胁组织在内，多种黑客利用电话社交工程手段入侵企业。”Carmakal补充道。     消息来源： securityweek ； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 未知威胁行为者被发现正在武器化v0——Vercel的一款生成式人工智能（AI）工具——来设计仿冒合法网站的虚假登录页面。 “这一观察标志着威胁行为者在生成式AI武器化方面的新进化，他们已展示出仅凭简单文本提示就能生成功能完整的钓鱼网站的能力，”Okta威胁情报研究人员Houssem Eddine Bordjiba和Paula De la Hoz表示。 v0是Vercel推出的AI驱动产品，允许用户使用自然语言提示创建基础落地页和全栈应用。 这家身份服务提供商表示，他们观察到诈骗者利用该技术开发了多个品牌登录页面的高仿版本，包括Okta自己的一位未具名客户。在负责任披露后，Vercel已屏蔽了这些钓鱼网站的访问。 该活动背后的威胁行为者还被发现利用Vercel基础设施托管其他资源，如仿冒的公司标志，可能是为了滥用开发者平台的信任关系并规避检测。 与传统需要一定设置工作的钓鱼工具包不同，像v0及其GitHub上的开源克隆工具这样的工具，允许攻击者只需输入提示就能快速生成虚假页面。这种方式更快、更简单，且不需要编码技能。这使得即使技术不熟练的威胁行为者也能大规模构建令人信服的钓鱼网站。 “观察到的活动证实，当今的威胁行为者正在积极试验并武器化领先的生成式AI工具，以简化和增强他们的钓鱼能力，”研究人员表示。 “使用Vercel的v0.dev等平台，新兴威胁行为者可以快速制作高质量、欺骗性的钓鱼页面，提高其行动的速度和规模。” 这一发展正值恶意行为者继续利用大语言模型（LLMs）协助其犯罪活动之际，他们正在构建这些模型的无审查版本，这些版本明确设计用于非法目的。其中一个在犯罪领域获得欢迎的LLM是WhiteRabbitNeo，它自称“专为（开发）安全运营团队设计的无审查AI模型”。 “网络犯罪分子正越来越倾向于无审查LLM、专为犯罪分子设计的LLM，以及越狱合法LLM，”Cisco Talos研究员Jaeson Schultz表示。 “无审查LLM是未对齐的模型，运行时不受护栏约束。这些系统乐于根据用户提示生成敏感、有争议或潜在有害的内容。因此，无审查LLM非常适合网络犯罪使用。” 这符合我们正在看到的更大趋势：钓鱼活动正在以前所未有的方式被AI赋能。伪造邮件、克隆语音，甚至深度伪造视频都出现在社会工程学攻击中。这些工具帮助攻击者快速扩大规模，将小骗局变成大规模自动化活动。这不再仅仅是欺骗用户——而是构建整个欺骗系统。     消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，近期出现大量冒充微软、DocuSign等知名品牌的钓鱼邮件，其附件PDF中包含恶意二维码或链接，诱导受害者拨打攻击者控制的电话。这种新型攻击手法被称为“电话导向攻击投递”（Telephone-Oriented Attack Delivery，简称TOAD，也称“回拨式钓鱼”）。 思科Talos研究员Omid Mirzaei向The Hacker News透露，2025年5月5日至6月5日期间的分析显示，微软和DocuSign是PDF附件钓鱼邮件中最常被冒充的品牌，而NortonLifeLock、PayPal和Geek Squad也频繁出现在此类攻击中。 这些攻击利用用户对知名品牌的信任，通过PDF附件嵌入看似合法的二维码或链接，将受害者重定向至伪造的微软登录页面或Dropbox等服务的钓鱼网站。部分攻击甚至利用PDF注释功能隐藏恶意URL，伪装成便签、评论或表单字段，同时链接到真实网页以增强可信度。 在TOAD攻击中，受害者会被诱导拨打邮件中的“客服电话”，攻击者则冒充品牌客服代表，诱骗受害者泄露敏感信息或安装恶意软件。攻击者通常通过伪造紧迫感、播放虚假等待音乐、甚至伪造来电显示等手段，增强欺骗效果。 美国联邦调查局（FBI）2025年5月曾警告，一个名为“Luna Moth”的金融犯罪集团利用类似手法，冒充IT部门人员入侵企业网络。Mirzaei指出：“攻击者通过语音通话直接操控受害者情绪，利用人们对电话沟通的天然信任实施社会工程学攻击。” 大多数攻击者使用VoIP号码隐藏身份，部分号码甚至连续使用四天，以便通过同一号码实施多阶段社会工程学攻击。思科Talos强调：“品牌冒充是最常见的社会工程学手段之一，建立品牌冒充检测引擎对防御此类攻击至关重要。” 近期，攻击者还利用微软365（M365）的“Direct Send”功能发送钓鱼邮件。该功能允许攻击者无需入侵账户，即可伪造内部用户身份发送邮件。自2025年5月以来，已有超过70家组织成为此类攻击的目标。 这些伪造邮件不仅看似来自组织内部，还利用智能主机地址的可预测性（如“<tenant_name>.mail.protection.outlook.com”）绕过身份验证。攻击者有时会诱导受害者安装AnyDesk或TeamViewer等远程控制软件，或通过伪造支付页面窃取信用卡信息。 例如，2025年6月17日的一封钓鱼邮件伪装成语音邮件通知，附件PDF中的二维码指向伪造的微软365登录页面。安全研究员Tom Barnea指出：“攻击者利用M365 Direct Send功能发送内部邮件，这类邮件比外部邮件更容易绕过审查，成为低门槛的钓鱼载体。” 与此同时，Netcraft的最新研究发现，当用户向大型语言模型（LLM）询问50个不同品牌的登录网址时，模型有三分之一的时间会返回错误结果：近30%的域名未注册或闲置，5%指向完全无关的网站。这意味着用户可能因AI聊天机器人的错误引导而访问钓鱼网站。 Netcraft还发现，攻击者试图通过GitHub发布包含恶意功能的虚假API来“污染”AI编程助手（如Cursor）。安全研究员Bilaal Rashid表示：“攻击者不仅发布代码，还创建博客教程、论坛问答和数十个GitHub仓库进行推广。他们使用精心设计的虚假账户，伪装成可信开发者，诱导AI训练模型收录恶意代码。” 此外，攻击者还通过名为“Hacklink”的非法市场，向被入侵的政府（.gov）或教育（.edu）网站注入JavaScript或HTML代码，操纵搜索引擎优先展示钓鱼网站。安全研究员Andrew Sebborn解释：“Hacklink允许犯罪分子购买数千个被入侵网站的权限，插入指向钓鱼或非法网站的链接。这些链接与特定关键词关联，当用户搜索相关内容时，被入侵网站会出现在搜索结果中。” 更令人担忧的是，攻击者无需完全控制网站，即可篡改搜索结果中的文本内容，进一步损害品牌信誉和用户信任。     消息来源： thehackernews ； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文