嘶吼

13 hours 11 minutes ago

6、往期回顾：「深蓝洞察」2024年度最悲剧的后门

7、往期回顾：「深蓝洞察」2024年度最难以阻挡的攻防趋势

8、往期回顾：「深蓝洞察」2024年度最“安全”的防线

在网络安全领域，漏洞披露一直被视为保护用户的重要环节，但在现实中，这一过程却充满了争议和矛盾。究竟什么才算得上“负责任的披露”？当厂商在信息公开和补丁发布上占据主导地位，而安全研究者则需要耗费大量精力进行沟通与博弈，这一模式是否还能真正实现保护用户安全的初衷？在技术快速演进、网络威胁不断升级的今天，传统的漏洞披露机制是否已跟不上时代的步伐？

本报告将以近期引发广泛讨论的漏洞披露事件为切入点，探讨当前责任披露过程中存在的问题，试图寻找一种更为公平、高效且能平衡各方利益的解决路径。

以下为本期《深蓝洞察 | 2024 年度安全报告》的第九篇。

对于一个严重的安全漏洞来说，通常只有在厂商率先发布漏洞的修复并将其推送给用户一段时间之后，漏洞发现者才会开始披露漏洞的细节，公开漏洞的PoC或者Exp，这也就是在计算机安全研究中所谓的CVD（coordinated vulnerability disclosure，协调漏洞披露）漏洞披露模型，也被称为负责任的漏洞披露。

24年9月末，在安全研究界发生了一件怪事，一个“足以影响所有Linux系统”的远程代码执行漏洞详细披露与各大Linux发行版厂商的安全声明在同一天内相继发布。而在这之前，漏洞的发现者还在社交媒体上抱怨Redhat等厂商已经给漏洞打了9.9分的评分，但是相关组件的开发人员毫不重视他所提交的漏洞。他在推文的最后抱怨道："responsible disclosure: no more"。

Simon称其发现了影响所有Linux的远程代码执行漏洞

漏洞披露风波

这个故事的主人公是著名的安全研究员Simone Margaritelli，他在24年9月初开始研究Linux系统中的CUPS组件，并于9月5日将他发现的漏洞披露给了相关的厂商以及OpenPrinting开发人员，Redhat给予这个漏洞了9.9的评分，但是OpenPrinting的开发者并不理解evilsocket所进行的研究，Simone与OpenPrinting进行了长达22天的交流，直到3周之后，OpenPrinting方才承认evilsocket研究的正确性。

在这期间，9月23日，Simone在社交媒体上发表了那篇引起轩然大波的推文。Simone在推文中并没有指明漏洞所在的具体组件，令人啼笑皆非的是，仅仅在1天之后的9月24日，BreachForums黑客论坛就出现了Simone提交给CERT's VINCE的原始漏洞报告以及漏洞利用。

BreachForums论坛上泄漏的漏洞报告及利用

9月26日，OpenPrinting下的libppd、libcupsfilters、cups-browsed推送了漏洞的修复版本以及临时的漏洞修复方案，Ubuntu、Redhat等Linux发行厂商也开始推送漏洞公告以及漏洞修复方案。同一天，Simone在自己的博客上公开披露了漏洞细节与利用。最终这些漏洞被给予了最高9.0的CVSS漏洞评分。

OpenPrinting发布漏洞公告

漏洞披露：理想与现实

在安全研究漏洞披露的过程中，安全研究者一般会遵循CVD模型，即负责任的漏洞披露的准则，这一准则旨在为相关的组织或者机构留出足够的时间指定漏洞修复或者缓解方案，尽可能快的减少漏洞造成的影响，同时用户有权利对自己使用的产品中的漏洞知情。

但是，这种模型在现实实践中展现出了一定的局限性：厂商在漏洞披露过程中占据主导权，安全研究者需要花费大量的时间与精力与厂商沟通漏洞的细节。就本次事件而言，第三方安全研究人员即Simone与开发者OpenPrinting之间的沟通过程并不是那么顺利。在Simone的博客中提到双方的沟通记录内容多达50页，时间跨度长达3周，消耗了双方大量的时间与精力，最终Simone违反了“负责任的披露”的准则，提前进行了漏洞披露。

漏洞评价标准的缺失是厂商在漏洞披露过程中占据主导权的原因之一，目前常用的CVSS漏洞评价体系对于漏洞评价的指标过于单一，无法准确评估漏洞的攻击难度与影响范围，安全研究员与厂商很难通过这套体系达成一致。

安全研究员、GEEKCON评委古河对现行CVSS的评价

对于这种困境，P0、ZDI、CERT等组织在CVD模型的基础上加入了Deadline机制，以Google Project Zero为例，其提出了90天漏洞披露机制，即安全研究员第一时间将漏洞细节通报给厂商，并且在90天之后或者漏洞安全补丁发布之后，向公众公布漏洞细节以及缓解方案。

Deadline机制作为CVD模型的现实补充，有效的提高了漏洞修复的效率以及最终用户的安全性。但是Deadline机制终究只是一种被动的警告机制，并没有对漏洞披露过程中厂商的权力进行有效的限制，厂商仍然占据着绝对的主导权。事实上，即使一些安全研究员声明将在漏洞报告90天之后披露漏洞细节，部分厂商仍然没有积极推进漏洞修复的流程，从而导致在野漏洞流出，在P0的报告中不乏这样的例子。

P0对其提交给三星的漏洞逾期后发布的漏洞公告

现有漏洞披露模型下，厂商在漏洞披露过程中的主导地位、评价标准的单一性、以及信息共享的滞后，往往导致漏洞修复的效率低下，甚至影响用户的安全保障。虽然Deadline机制和其他补充措施在一定程度上提升了漏洞修复的速度，但漏洞披露体系仍然存在显著的改进空间。在这个快速发展的数字世界里，建立一个更加高效、公正的漏洞披露机制，依旧是各方共同的目标。

深蓝洞察

在这个高度信息化的时代，在野的高危漏洞利用所造成的影响正在越来越广泛与复杂，安全研究者对于漏洞的披露、厂商的及时响应与推送、用户尽早的知悉与更新，才能共同缩小漏洞所带来的危害。

负责任的披露在这种背景下显得有些理想化，由于漏洞评价机制CVSS缺陷等原因，厂商/开发者占据了漏洞披露过程中的主导权，第三方安全研究者以及用户对漏洞修复的作用十分有限。安全研究员需要花大量的时间与精力与厂商就漏洞的评价达成一致。

Deadline机制的加入，有效的提高了漏洞修复的效率以及最终用户的安全性。但是这套机制对厂商仍然无法起到足够的约束作用，一套更加完善的漏洞披露制度仍然需要三方的共同努力。

参考：

[1] https://x.com/evilsocket/status/1838169889330135132

[2] https://www.akamai.com/blog/security-research/guidance-on-critical-cups-rce

[3] https://www.evilsocket.net/2024/09/26/Attacking-UNIX-systems-via-CUPS-Part-I

[4] https://googleprojectzero.blogspot.com/2015/02/feedback-and-data-driven-updates-to.html

[5] https://github.com/OpenPrinting/cups-browsed/security/advisories/GHSA-rj88-6mr5-rcw8

[6] https://github.com/OpenPrinting/cups-filters/security/advisories/GHSA-p9rh-jxmq-gq47

[7] https://project-zero.issues.chromium.org/issues/368695689

[8] https://x.com/guhe120/status/1856844617846817004

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第十篇。

企业资讯

超过12000个KerioControl防火墙暴露于被利用的RCE漏洞

15 hours 7 minutes ago

KerioControl是一款面向中小企业的网络安全套件，主要用于vpn、带宽管理、报表监控、流量过滤、反病毒防护、入侵防御等。安全研究员发现，超过12000个GFI KerioControl防火墙实例暴露于一个关键的远程代码执行漏洞，跟踪为CVE-2024-52875。

这个漏洞是由安全研究员Egidio Romano （EgiX）在12月中旬发现的，他向人们展示了一键式RCE攻击的潜在危险。

GFI软件公司于2024年12月19日发布了9.4.5版本补丁1的安全更新，但三周后，根据Censys的说法，超过23800个实例仍然容易受到攻击。

上个月初，Greynoise透露，它已经检测到利用Romano的概念验证（PoC）漏洞的活跃利用尝试，旨在窃取管理CSRF令牌。

尽管有关于主动利用的警告，威胁监控服务Shadowserver表示，有12229台KerioControl防火墙暴露在利用CVE-2024-52875的攻击中。

这些实例大多数位于伊朗、美国、意大利、德国、俄罗斯、哈萨克斯坦、乌兹别克斯坦、法国、巴西和印度。

由于CVE-2024-52875的公共PoC的存在，利用的要求很低，即使是不熟练的黑客也可以加入恶意活动。

Egidio Romano解释说：“在302 HTTP响应中用于生成“Location”HTTP头之前，通过“dest”GET参数传递到这些页面的用户输入没有得到正确的处理。”

具体来说，应用程序不能正确过滤/删除换行（LF）字符。这可以用来执行HTTP响应分裂攻击，这反过来可能允许执行反射跨站脚本（XSS）和其他可能的攻击。”

反射XSS向量可能被滥用来执行一键式远程代码执行（RCE）攻击。如果用户还没有进行安全更新，强烈建议安装2025年1月31日发布的KerioControl版本9.4.5 Patch 2，其中包含额外的安全增强功能。

胡金鱼

国家计算机病毒应急处理中心监测发现14款违规移动应用

15 hours 47 minutes ago

依据《网络安全法》《个人信息保护法》《App违法违规收集使用个人信息行为认定方法》等法律法规及相关国家标准要求，近期国家计算机病毒应急处理中心通过互联网监测，发现14款移动应用存在隐私不合规行为。

一、个人信息处理者在处理个人信息前，未以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名、联系方式、个人信息的保存期限等。涉及6款移动应用如下：

1、《艾乐游》（版本1.3.3，百度手机助手）

2、《江子为民》（版本1.1.54，应用宝）

3、《元气桌面壁纸》（版本3.52.4324，vivo应用商店）

4、《易念》（版本3.0.2，应用宝）

5、《同城酒库》（版本3.2.9，vivo应用商店）

6、《乐山商业银行》（版本3.31.6，应用宝）

二、隐私政策未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等。涉及10款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《艾乐游》（版本1.3.3，百度手机助手）

3、《鲸鱼爱学》（版本3.1.0，应用宝）

4、《华龙智信恒生版》（版本7.1.3.0，应用宝）

5、《江子为民》（版本1.1.54，应用宝）

6、《元气桌面壁纸》（版本3.52.4324，vivo应用商店

7、《易念》（版本3.0.2，应用宝）

8、《乐山商业银行》（版本3.31.6，应用宝）

9、《普益基金》（版本7.0.3，应用宝）

10、《i音乐》（版本10.5.2.0，vivo应用商店）

三、个人信息处理者向其他个人信息处理者提供其处理的个人信息的，未向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。涉及4款移动应用如下：

1、《鲸鱼爱学》（版本3.1.0，应用宝）、

2、《江子为民》（版本1.1.54，应用宝）

3、《乐山商业银行》（版本3.31.6，应用宝）

4、《i音乐》（版本10.5.2.0，vivo应用商店）

四、未提供有效的注销用户账号功能。涉及1款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

五、未向用户提供撤回同意收集个人信息的途径、方式；基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者未提供便捷的撤回同意的方式。涉及7款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《天利测亩仪》（版本2.0.23，vivo应用商店）

3、《艾乐游》（版本1.3.3，百度手机助手）

4、《易念》（版本3.0.2，应用宝）

5、《同城酒库》（版本3.2.9，vivo应用商店）

6、《乐山商业银行》（版本3.31.6，应用宝）

7、《i音乐》（版本10.5.2.0，vivo应用商店）

六、处理敏感个人信息未取得个人的单独同意。涉及3款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《乐山商业银行》（版本3.31.6，应用宝）

3、《i音乐》（版本10.5.2.0，vivo应用商店）

七、个人信息处理者处理不满十四周岁未成年人个人信息的，未制定专门的个人信息处理规则；收集未成年人信息未取得监护人单独同意。涉及3款移动应用如下：

1、《元气桌面壁纸》（版本3.52.4324，vivo应用商店）

2、《同城酒库》（版本3.2.9，vivo应用商店）

3、《i音乐》（版本10.5.2.0，vivo应用商店）

八、个人信息处理者未根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取相应的加密、去标识化等安全技术措施。涉及2款移动应用如下：

1、《贝壳找房 | 二手房新房租房装修》（版本9.91.2，微信小程序）

2、《微医健康平台》（版本1.04，微信小程序）

针对上述情况，国家计算机病毒应急处理中心提醒广大手机用户首先谨慎下载使用以上违规移动应用，同时要注意认真阅读其用户协议和隐私政策说明，不随意开放和同意不必要的隐私权限，不随意输入个人隐私信息，定期维护和清理相关数据，避免个人隐私信息被泄露。

文中所列移动应用检测时间为2024年12月18日至2025年2月8日。

文章来源自：国家计算机病毒应急处理中心

胡金鱼

Fortinet重磅发布全新下一代防火墙，助力分布式企业实现安全性和高效网络性能

1 day 10 hours ago

专注推动网络与安全融合的全球性综合网络安全解决方案供应商 Fortinet®（NASDAQ：FTNT）今日宣布，全新推出 G 系列下一代防火墙（NGFW）FortiGate 70G、FortiGate 50G 和 FortiGate 30G，旨在满足当今分布式企业不断演进的技术和业务需求。FortiGate G 系列搭载 Fortinet 专研 ASIC 芯片技术，并由 Fortinet 统一操作系统 FortiOS 提供强劲支撑，为用户提供行业领先的安全性和无与伦比的性能。凭借与高级组网技术支持和 FortiGuard AI 驱动安全服务的深度融合，FortiGate G 系列助力用户打造面向未来的 IT 基础设施，大幅降低网络威胁入侵风险。同时，帮助用户大幅削减运营成本，减少对环境的消极影响。

Fortinet 产品和解决方案高级副总裁 Nirav Shah 表示： “近二十五年来，我们始终致力于为广大企业筑牢网络安全防线树立标杆。此次，凭借全新 ASIC 自研芯片和统一操作系统 FortiOS 的创新功能和服务，我们成功推出全新 FortiGate G 系列，专为分布式企业量身打造尖端工具，包括 AI 驱动的安全服务，以及专为网络和安全运营中心设计的生成式人工智能（GenAI）助手，确保卓越性能并满足可持续性需求的同时，为用户交付出色的防护效能。展望未来，Fortinet 将持续引领技术创新，以卓越的安全效能、更出色的能源效率以及无与伦比的性能表现，矢志成为业内下一代防火墙标准的革新者，而这一切，离不开全球用户长久以来给予的深厚信赖与坚定支持！”

FortiGate G 系列：行业领先的性能和 AI 驱动的安全性

当今商业环境充满挑战，企业不断面临多方面考验，包括扩展运营、保护日益扩大的攻击面以及管理日益复杂的各类网络威胁，同时还需竭力降低成本并保持高效运营。FortiGate G 系列重点聚焦此类核心需求，致力于为您提供：在产品增长方面，Fortinet同样表现出色。年度账单金额和盈利能力持续强劲增长，复合年增长率高达23%。此外，公司的各项业务增长速度均高于市场增速。三大战略核心领域“安全组网”“统一SASE”“AI赋能安全组网”过去三年同比平均增长了14.6%、21.7%、22.3%，远超行业同期的9%、19%、14%的增长率。

• 卓越的安全性和无与伦比的能效：FortiGate G 系列可确保出色性能的同时，提供卓越的安全防护。例如，全新 FortiGate 70G 表现亮眼，与业内平均水平相比，IPsec VPN 吞吐量高 11 倍，防火墙吞吐量高 7 倍，同时，在能耗方面，每 Gbps IPsec VPN 吞吐量能耗降低 62 倍，每 Gbps 防火墙吞吐量能耗降低 42 倍。

• 加速识别、遏制和缓解威胁：搭载 FortiGuard AI 驱动的安全服务，提供实时、自动化威胁检测和响应，高效抵御各类高级勒索软件、恶意软件和零日漏洞攻击。

• 借助 FortiAI 优化网络安全运营：Fortinet 生成式 AI 助手 FortiAI，可自动执行安全任务、提供可操作威胁洞察并优化威胁检测流程。部署 FortiGate 的用户可借助 FortiAI 快速进行事件分析、威胁修复和剧本（Playbook）创建，有效简化威胁响应流程，增强网络安全态势。

下一代防火墙助您构建高效智能的网络安全平台

自创立以来，Fortinet 始终秉持创新理念，专注于将网络与安全融合至统一网络安全平台，并基于一套操作系统运行。Fortinet Security Fabric 安全平台，是 Fortinet 二十多年来打造统一安全平台愿景以及产品有机开发和创新不懈努力的成果，旨在为全球用户提供端到端可视化、统一管理和自动化威胁情报共享服务。FortiGate G 系列等所有 FortiGate NGFW，均可无缝集成至 Fortinet Security Fabric 安全平台，助力用户奠定稳固的安全基石，通过引入安全访问服务边缘（SASE）解决方案全面推动安全防护措施的升级，并结合 FortiAI 人工智能助手提升防御能力和应急响应效率。Fortinet 赋能组织加速网络安全战略演进，确保每一个演进阶段都能获得全面保护和持续高效运营。

企业资讯

「深蓝洞察」2024年度最“安全”的防线

1 day 12 hours ago

6、往期回顾：「深蓝洞察」2024年度最悲剧的后门

7、往期回顾：「深蓝洞察」2024年度最难以阻挡的攻防趋势

在攻防对抗日益激烈的2024年，安全软件一直被视为企业安全防线的重要基石。然而，这些安全软件本身也可能存在漏洞，甚至被攻击者利用作为入侵的跳板来对用户造成危害。多年来，因为安全软件而导致的事故不禁让人产生一个疑问——安全软件真的可信吗？

以下为本期《深蓝洞察 | 2024 年度安全报告》的第八篇。

安全软件被滥用为攻击工具

在当前APT（高级持续性威胁）组织频繁活动的环境下，EDR/XDR已成为企业安全防御体系的核心组件，负责监控数百万端点和服务器。然而，权力越大，责任也越大。这些承担重任的安全软件一旦存在安全漏洞，便可能成为攻击者手中的利器，用于部署勒索软件、窃取敏感信息，并且难以被察觉或移除。

近日，SCRT的安全研究人员通过逆向工程与动态分析，发现Palo Alto Networks Cortex XDR产品中存在一个权限提升漏洞（CVE-2024-5907）。用户用受Cortex XDR保护的设备请求Cortex服务（cyserver.exe）生成日志，管理员可以使用这些日志来排除代理的潜在问题。

漏洞触发版本

CVE-2024-5907漏洞的核心在于利用Cortex XDR的日志生成机制实现权限提升。攻击者通过非特权用户身份请求生成日志，触发以SYSTEM权限运行的cyserver.exe服务。该服务在处理日志生成时，会在C:\Windows\Temp目录下创建临时文件夹，其名称遵循可预测的tmp<进程pid>

创建临时文件夹

由于这些临时文件夹继承了C:\Windows\Temp的宽松访问控制列表，所有用户均拥有写入权限，攻击者便可预先在预测路径下创建恶意的NTFS Junction软链接，将该目录重定向至高权限敏感位置，例如C:\Config.msi。具体攻击过程如下：

首先，当cyserver.exe服务执行临时文件清理操作时，会对临时目录进行递归删除，但其在处理Junction链接时，并未进行充分的路径合法性校验，直接以SYSTEM权限对Junction链接指向的目标目录执行删除操作，从而错误地删除了系统关键目录C:\Config.msi下的文件。
其次，攻击者进一步利用Windows Installer服务在处理C:\Config.msi文件夹时存在的竞争条件漏洞，通过反复触发日志生成与目录删除操作，干扰系统对Config.msi资源的锁定机制。
最终，在服务尝试重建该目录时，劫持文件写入流程，从而以SYSTEM权限执行操作，达成本地权限提升的目的。

此漏洞的成功利用高度依赖于多个竞争条件，如临时目录名称预测的准确性、软链接植入时机与文件删除操作时序的精确同步，虽然漏洞利用过程可能需要多次尝试，但这个漏洞依然危害严重。这意味着，在用户权限受限的情况下，攻击者也能如入无人之境，绕过XDR的层层保护，直接威胁到企业内网的敏感数据和关键基础设施，使安全软件的防护形同虚设。

一次全球性的防护软件灾难

2024年7月19日，美国知名网络安全公司CrowdStrike因分发异常更新，导致全球数百万台计算机崩溃，严重影响航空、银行和媒体等行业的运作，预计在全球范围内造成数十亿美元的损失。

CrowdStrike提供一系列安全防护软件帮助客户保护计算机抵御网络攻击，旗下的Falcon Sensor（猎鹰传感器）产品在个人电脑Windows操作系统的内核层面安装传感器，用来检测和预防网络攻击，而这种高级别的防护恰恰成为造成本次事件的重要原因。当安全软件拥有内核权限之后它的防护能力大大提升，但同时风险也随之提高——一旦出现问题，对用户造成的影响异常严重。

尽管CrowdStrike官方宣称此事件并非安全漏洞，而是驱动程序错误，但这次事件无疑给用户敲响了警钟：纵然是顶尖的安全软件，也可能因其自身的缺陷引发难以预料的灾难。

纽约拉瓜地亚机场行李输送带软件更新错误，导致蓝屏死机事件

防线上的“后门”

2024年Fortinet公司旗下的FortiManager（用于集中管理FortiGate设备的工具）产品中又出现了严重的CVSS 9.8漏洞（"FortiJump" CVE-2024-47575）该漏洞是 FortiManager和FortiManager Cloud中的FortiGate到FortiManager (FGFM) 守护进程 (fgfmsd) 中缺少的身份验证漏洞。

利用FortiJump漏洞，未经身份验证的远程攻击者可以使用有效的FortiGate证书在 FortiManager中注册未授权的设备，攻击者可通过特制请求执行任意代码或命令。

Fortinet官方公告中也承认：“FortiManager fgfmd守护进程存在一个严重的功能认证缺失漏洞，可能允许远程未认证的攻击者通过特制请求执行任意代码或命令。”根据 Mandiant的一份最新报告显示，FortiJump漏洞自2024年6月以来，已在0Day攻击中被广泛利用，涉及不同行业的 50 多台可能被入侵的FortiManager设备。

这并不是Fortinet公司的产品第一次出现漏洞，在此之前Fortinet FortiOS目录遍历漏洞(CVE-2018-13379)、Fortinet防火墙身份认证绕过漏洞（CVE-2022-40684）、Fortinet FortiGate SSL VPN存在格式化字符串漏洞（CVE-2024-23113）等漏洞。这次的FortiJump漏洞再次让人思考，安全软件真的安全吗？

安全软件的脆弱性

安全软件的漏洞屡见不鲜，这不仅是技术层面的偶发问题，更是一种持久存在的安全挑战。在攻防技术螺旋上升的趋势下，厂商虽致力于对安全产品进行更新与优化，但攻击者的漏洞挖掘也从未停止。以下这些漏洞不仅体现了安全产品在技术复杂性上的脆弱性，也反映出攻防对抗的长期性和动态性的现实：

2015年，有史以来唯一获得100次VB100的产品ESET NOD32中的存档支持模块中的基于堆的缓冲区溢出允许远程攻击者通过大量语言在类型为SIS_FILE_MULTILANG的EPOC安装文件中执行任意代码。（CVE-2015-8841）
2017年，俄罗斯的一家拥有25年以上安全行业经验的公司——Kaspersky，其用于保护嵌入式系统安全的产品Kaspersky Embedded Systems Security(KESS)被发现了一个内存破坏类型的缺陷，攻击者可以利用其中一个驱动程序实现本地权限提升。（CVE-2017-12823）
2021年，McAfee Agent for Windows的maconfig中存在权限管理不当漏洞，允许本地用户访问敏感信息。该程序可由低权限用户在文件系统上的任何位置运行。（CVE-2021-31836）
2025年初，Ivanti公司的Connect Secure产品存在堆栈缓冲区溢出问题，允许远程未经身份验证的攻击者实现远程代码执行。（CVE-2025-0282）

历史上曾经出现过漏洞的部分安全软件厂商

安全防护软件为实现更好的防护效果深入操作系统底层，拥有系统权限。然而，这种高权限的安全软件一旦被攻破，攻击者即可利用其权限执行任意操作。

这些安全事件并非孤立个案，而是引出了一个深层次的问题：为何作为防御核心的安全软件，反而频频成为攻击者的突破口？

随着技术的不断发展，安全防护逐渐从单点防御转向多层次、多维度的综合体系，但这也必然导致安全软件复杂度的增加。安全软件作为防御体系的重要一环，其本身的安全性直接关系着整个系统的安全性，未来安全软件的发展需要在功能性与安全性之间实现更好的平衡。

深蓝洞察

作为安全防护的工具，这些安全软件原本是为抵御威胁而设计，但在复杂多变的网络环境中，它们却可能反过来成为攻击者的突破口。从历史漏洞到新挖掘的漏洞利用，无不反映出攻防对抗螺旋上升的动态现实。

这一现象不仅揭示了安全软件在特定情况下的脆弱性，也表明这绝非一时之患，而是一个贯穿整个行业的持久挑战，提醒我们必须以更全面、更深入的视角重新审视网络安全的防御策略。

参考：

[1] https://blog.scrt.ch/2024/12/05/attacking-cortex-xdr-from-an-unprivileged-user-perspective/

[2] https://zh.wikipedia.org/wiki/2024年CrowdStrike大规模蓝屏事件

[3] https://www.anquanke.com/post/id/301285

[4] https://security.paloaltonetworks.com/CVE-2024-5907

[5] https://www.fortiguard.com/psirt/FG-IR-24-423

[6] https://www.tenable.com/blog/cve-2024-47575-faq-about-fortijump-zero-day-in-fortimanager-fortimanager-cloud

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第九篇。

企业资讯

Steam下架带恶意软件的免费游戏——PirateFi 游戏安装窃取密码的恶意软件

1 day 15 hours ago

最新发现，Steam商店中一款名为PirateFi的免费游戏一直在向用户传播Vidar信息窃取恶意软件。

在2月6日至2月12日期间，这款游戏在Steam目录中出现了近一周的时间，并被多达1500名用户下载。分发服务正在向可能受到影响的用户发送通知，建议他们重新安装Windows。

Steam上的恶意软件

上周，Seaworth Interactive在Steam上发布了《PirateFi》，并获得了积极评价。它被描述为一款以低多边形世界为背景的生存游戏，涉及基地建设、武器制作和食物收集。

PirateFi的Steam页面

本周，Steam发现这款游戏含有恶意软件，但并未指明具体类型。通知中写道：“这款游戏开发者的Steam账户上传了包含可疑恶意软件的构建。”

用户在Steam上玩PirateFi（3476470）时，这些构建是活跃的，所以这些恶意文件很可能在用户的计算机上启动。Steam建议用户使用最新的防病毒软件运行完整的系统扫描，检查他们不认识的新安装的软件，并考虑操作系统格式。

Steam对受影响用户的通知

受影响的用户还在游戏的Steam社区页面上发布了安全提醒，通知其他人不要启动该游戏，因为他们的杀毒软件将其识别为恶意软件。

SECUINFRA Falcon Team的Marius Genheimer获得了通过PirateFi传播的恶意软件样本，并将其识别为Vidar伪造软件的一个版本。

SECUINFRA建议：“如果你是下载这个“游戏”的玩家之一：考虑保存在浏览器、电子邮件客户端、加密货币钱包等中的凭据、会话cookie和秘密被泄露。”建议用户更改所有可能受影响帐户的密码，并在可能的情况下激活多因素身份验证保护。

基于动态分析和YARA签名匹配，该恶意软件被识别为Vidar，隐藏在一个名为Pirate.exe的文件中，作为有效载荷（Howard.exe），与InnoSetup安装程序打包在一起。

攻击者多次修改游戏文件，使用各种混淆技术，并更改命令和控制服务器以获取凭据。研究人员认为，PirateFi名称中提到的web3/ b区块链/加密货币是有意为之，目的是吸引特定的玩家群体。

Steam并没有公布有多少用户受到了PirateFi恶意软件的影响，但游戏页面上的统计数据显示，可能有多达1500人受到了影响。

恶意软件渗透Steam商店并不常见，但也不是没有先例。在2023年2月，Steam用户受到了恶意Dota 2游戏模式的攻击，该模式利用Chrome n-day漏洞在玩家的计算机上执行远程代码执行。

2023年12月，当时很受欢迎的独立策略游戏《Slay the Spire》的一个mod被黑客入侵，黑客将“Epsilon”信息传输器注入其中。

目前Steam已经引入了其他措施，如开启短信验证等，以保护玩家免受未经授权的恶意更新，但PirateFi的案例表明，目前这些措施还远远不够。

胡金鱼

DeepSeek崛起引发安全挑战，企业如何应对邮件数据风险？

1 day 15 hours ago

2025年1月，国产AI大模型DeepSeek横空出世，以媲美同性能模型的性能和不足其1/10的训练成本，一举打破国际技术垄断。然而，这场技术狂欢的背后暗流涌动——DeepSeek的崛起迅速成为全球黑客的“靶心”，从DDoS攻击到数据窃取，网络威胁持续升级这一事件不仅揭示了AI技术的双刃剑效应，也折射出数字化浪潮下企业安全的严峻挑战：数据防泄露。

作为企业日常沟通的核心载体，邮件系统既是高效协同的纽带，也是数据泄露的“重灾区”。针对企业邮件数据安全泄露问题，Coremail旗下的CACTER邮件数据防泄露系统（以下简称“EDLP”）基于深度内容识别技术，根据不同安全级别采用不同算法和策略，支持多种响应规则，对敏感数据通过邮件系统外发的行为，提供事后审计和提醒，以及事中审批和拦截，预防并阻止有意或无意的邮件数据泄露行为，保障企业数据安全。

邮件数据安全危机暗涌，数据保护急不可待

Verizon公司发布的《2024年数据泄露调查报告》显示，68%的数据泄露事件与人为因素直接相关，而邮件因其开放性成为内部误操作、外部攻击的首选载体。从高精尖制造业的机密图纸外流，到金融机构的客户隐私泄露，每一起事件都可能让企业付出数亿损失与信任崩塌的代价。

传统的邮件数据防泄露技术虽能通过规则引擎、内容检测等手段拦截风险，却在AI驱动的攻击面前力不从心。例如，ChatGPT生成的钓鱼邮件可精准模仿高管话术绕过过滤，而员工误发含敏感数据的附件等无意识泄露行为，更让风险防不胜防。当攻击手段智能化，防御体系必须同步进化——企业亟需一套既能精准识别风险，又能动态适配业务场景的解决方案。

CACTER EDLP通过加密协议技术、数据深度分析、智能学习模型、邮件附件拆解与识别等，对企业内部用户，通过邮件系统外发的邮件进行解析和内容提取，识别敏感数据，依据预定义的策略，实时响应，进而达到对邮件数据防泄露的目的。

CACTER邮件数据防泄露系统的智能防御

面对AI驱动的攻击，CACTER EDLP基于深度内容识别技术，根据不同安全级别采用不同算法和策略，支持多种响应规则，对敏感数据通过邮件系统外发的行为，提供事后审计和提醒，以及事中审批和拦截的防护体系，预防并阻止有意或无意的邮件数据泄露行为，为企业筑起邮件安全防线，保障企业数据安全。

CACTER EDLP的分区管控功能通过“用户标签”对不同区域员工的邮件进行精准管理，满足企业对不同敏感级别邮件的管理需求。系统支持多级审批，灵活配置审批层级和审批人，确保敏感邮件发送前经过严格审核。智能审批流程通过邮件交互完成审批操作，提高效率并保持透明。自动抄送与密送功能确保敏感邮件自动抄送或密送指定人员，提升邮件通信的安全性和合规性。

CACTER EDLP在邮件精准检测方面表现也十分出色。CACTER EDLP支持对邮件的收发件人、附件、关键字等进行全面检测，确保敏感信息无处遁形。系统内置智能模型和相似度查重能力，精准识别和管控敏感信息，如通讯录泄露、手机号码泄露等，提高检测准确性。CACTER EDLP还支持全检模式和效率模式，灵活选择以确保检测效率和准确性。详细的事件留痕功能记录敏感事件，为企业信息安全提供有力保障。

在数字化时代，人工智能技术的快速发展为网络安全带来了新的解决方案，企业既要抓住机遇，也要警惕数据安全风险，如何应对邮件数据泄露风险，筑牢邮件数据安全防线？答案将在“2月26日15:00，EDLP：邮件多场景管控，为企业审批减负”的直播中揭晓！

2月26日15:00-16:00

EDLP：邮件多场景管控，为企业审批减负

Deepseek：邮件数据防泄露领域的新机遇

数据防护：多场景邮件的全面管控

精准检测：EDLP邮件检测能力提升

立马扫码预约直播

抽取惊喜豪礼

Coremail邮件安全

官方机构提示仿冒DeepSeek手机木马病毒肆虐！梆梆安全为您的移动应用保驾护航！

1 day 16 hours ago

近段时间，国产AI DeepSeek无疑是市场上最火的话题之一。随着DeepSeek的现象级爆火，网上涌现出大量仿冒DeepSeek的病毒木马App。国家计算机病毒协同分析平台近日在我国境内捕获发现仿冒DeepSeek官方App的安卓平台手机木马病毒。

图片来源：央视新闻

仿冒APP名称、图标与正版应用几乎没有差别，普通用户很难分辨真假。当用户点击运行仿冒App时，该App会提示用户“需要应用程序更新”，并诱导用户点击“更新”按钮。用户点击后，会提示安装所谓的“新版”DeepSeek应用程序，实际上是包含恶意代码的子安装包，并会诱导用户授予其后台运行和使用无障碍服务的权限。

图片来源：央视新闻

同时，该恶意App还包含拦截用户短信、窃取通讯录、窃取手机应用程序列表等侵犯公民个人隐私信息的恶意功能和阻止用户卸载等恶意行为。

经分析，该恶意App为金融盗窃类手机木马病毒的新变种。网络犯罪分子很可能将该恶意App用于电信网络诈骗活动，诱使用户从非官方渠道安装仿冒DeepSeek的手机木马，从而对用户的个人隐私和经济利益构成较大威胁。

梆梆安全关于防范攻击的安全建议

企业应做好针对类似木马风险的排查工作

·排查App是否具备对开启无障碍功能的监测与提示能力，例如监测到无障碍功能被打开，可以提示“您手机无障碍功能已开启，如非本人开启，请关闭无障碍功能后再进行App操作"；

·排查App是否在关键信息录入页面具备截屏、录屏、屏幕共享的检测和响应能力；

·排查App是否使用了安全的密码键盘，是否具备按键随机化、输入内容隐匿等能力，避免被木马应用窃取密码信息；

·排查App是否具备远程操控的检测和响应能力。

企业应做好对相关安全风险的持续监测

企业应当对APP在运行期间的特定行为进行重点监测，梆梆安全移动应用安全监测平台可针对移动应用上线运行后的动态运行安全问题及运行稳定性问题进行持续监测，通过在移动应用中植入安全监测探针，利用应用运行过程中设备、系统、应用、行为四个维度数据，结合后端大数据分析平台的各种模型规则，实时监测移动应用中各种运行时攻击。同时在服务端提供威胁数据查询、推送接口，可与用户企业系统对接，帮助用户快速建立事前、事中、事后的移动应用安全态势感知体系，及时发现各种危险行为。

企业还可以针对APP应用进行加固处理，防止关键页面被截屏/录屏，防止关键信息外泄。同时，企业还可以通过梆梆安全键盘对数据进行加密处理，实现按键随机、按键内容隐匿，充分保护用户隐私数据安全。

梆梆安全

仿冒DeepSeek的手机木马病毒被捕获！

1 day 16 hours ago

近日，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台在我国境内捕获发现仿冒DeepSeek官方App的安卓平台手机木马病毒。

微软：黑客在设备代码钓鱼攻击中窃取电子邮件

2 days 15 hours ago

据安全研究员观察发现，一个可能与俄罗斯有关联的威胁者发起的活跃攻击活动，正利用设备代码钓鱼手段针对个人微软 365 账户进行攻击。

这些攻击目标涉及欧洲、北美、非洲和中东地区的政府、非政府组织、信息技术服务和科技、国防、电信、医疗以及能源/石油和天然气行业。

微软威胁情报中心将此次设备代码钓鱼活动背后的威胁者追踪为“风暴-237”。基于受害者特征和作案手法，研究人员认为，该活动与符合俄罗斯利益的国家行为有关。

设备代码钓鱼攻击

输入受限设备——那些缺少键盘或浏览器支持的设备，比如智能电视和某些物联网设备，依靠代码认证流程让用户通过在另一台设备（如智能手机或电脑）上输入授权码来登录应用程序。

微软研究人员发现，自去年 8 月以来，Storm-2372 通过诱骗用户在合法的登录页面输入攻击者生成的设备代码，滥用这种身份验证流程。

这些特工人员首先通过在 WhatsApp、Signal 和 Microsoft Teams 等消息平台上“冒充与目标有关的知名人士”与目标建立联系，然后才发起攻击。

Storm-2372发送到目标的消息

威胁者会在通过电子邮件或短信发送虚假的在线会议邀请之前，与受害者逐渐建立起一种融洽的关系。根据研究人员的说法，受害者收到一个团队会议邀请，其中包括攻击者生成的设备代码。

微软表示：“这些邀请会引诱用户完成设备代码认证请求，模拟消息传递服务，这为Storm-2372提供了对受害者账户的初始访问权限，并启用了Graph API数据收集活动，如电子邮件收集。”

只要被盗的令牌有效，黑客就可以在不需要密码的情况下访问受害者的微软服务（电子邮件、云存储）。

设备代码网络钓鱼攻击概述

然而，微软表示，攻击者现在正在设备代码登录流中使用Microsoft Authentication Broker的特定客户端ID，这允许他们生成新的令牌。

这开启了新的攻击和持久化可能性，因为攻击者可以使用客户端ID将设备注册到微软基于云的身份和访问管理解决方案Entra ID。

使用相同的刷新令牌和新的设备标识，Storm-2372能够获得主刷新令牌（PRT）并访问其资源。目前已经观察到Storm-2372使用连接的设备收集电子邮件。

防御风暴2372

为了对抗Storm-2372使用的设备代码钓鱼攻击，微软建议在可能的情况下阻止设备代码流，并在微软Entra ID中执行条件访问策略，以限制其对可信设备或网络的使用。

如果怀疑设备代码网络钓鱼，立即使用‘revokeSignInSessions’撤销用户的刷新令牌，并设置条件访问策略来强制受影响的用户重新认证。

最后，使用Microsoft Entra ID的登录日志来监视并快速识别短时间内大量的身份验证尝试、来自无法识别的ip的设备代码登录，以及发送给多个用户的设备代码身份验证的意外提示。

胡金鱼

「深蓝洞察」2024年度最难以阻挡的攻防趋势

2 days 16 hours ago

6、往期回顾：「深蓝洞察」2024年度最悲剧的后门

近年来，漏洞攻防不断演进。从多年前仅需一个栈溢出就能攻破系统，到如今需要运用各种精妙的手法来突破系统的层层防御。“盾”与“矛”始终处于动态对抗：每当新的防御措施出现，新的攻击手段随之而来。防御机制的升级促使攻击者寻找新的突破口，而攻击方法的创新又推动着防御技术的进一步发展。

以下为本期《深蓝洞察 | 2024 年度安全报告》的第七篇。

愈发坚韧的“盾”

每个防御机制的提出都是对内存漏洞利用的精准打击。多年前，ASLR的引入显著提高了漏洞利用的难度和复杂性。时至今日，绕过ASLR仍然是大多数漏洞利用的首要步骤。到了2024年，针对内存破坏的防御机制更是层出不穷。

2023年推出的Google Pixel 8支持了被称为“内存问题终极武器”的Memory Tagging Extension（MTE）特性，其是ARM v8.5新增的一个硬件特性，MTE将指针与其内存利用tag进行匹配，以此来阻止内存的非法访问。同时，这也是MTE首次走入消费者群体。2024年的1月，DARKNAVY的安全研究员发布了关于MTE对软件安全性影响的研究。研究表明，MTE有效缓解了堆内存漏洞（如UAF、堆越界读写等），在线性溢出场景下几乎完全消除了漏洞利用的可能性。作为UAF漏洞的长期受害者，Google也为Chrome提出了MiraclePtr机制，更是自信地宣称：受MiraclePtr保护的UAF不再视为安全漏洞。

Linux作为使用最广泛的操作系统之一，其内核近几年也引入了各种防御措施以阻止内存破坏的利用。为了缓解内核中的堆内存破坏问题，Linux Kernel中引入 "SLAB VIRTUAL"、"RANDOM_KMALLOC_CACHES"、"AUTOSLAB"等一系列防御机制。为了加强用户态程序的安全性，Linux Kernel 6.10新增系统调用mseal（memory seal），允许开发人员在程序运行时保护内存区域免受非法修改。

那么如此多的防御机制是否阻止了某些利用呢？

2024年11月，苹果披露了两个针对WebKit的在野利用，但这些利用仅限于Intel芯片的Mac设备。为什么2024年的漏洞只在较早的系统版本上被利用？这很可能与M系列芯片的先进防御机制有关，这些机制阻止了攻击者的利用。

WebKit 漏洞披露

从软件到硬件，从用户态到内核态，在防御机制的层层铁壁下，内存漏洞已难以突出重围。种种迹象表明，内存漏洞似乎正走向终结。

未来之“矛”

漏洞不会消失，安全问题依然存在，那么在内存漏洞式微的时代，一个"powerful"的漏洞及其利用又是什么样呢？

2024年6月，Meta Red Team披露了漏洞CVE-2024-31317，该漏洞允许攻击者以任意应用身份执行任意代码，并可在Android 9及更高版本上实现利用，实现Android通杀。

值得一提的是，CVE-2024-31317并不是一个内存破坏漏洞，而是发生在Zygote的命令注入漏洞。Zygote是Android系统上的核心组件之一，它会孵化出Android中Java世界的所有进程，system_server也不例外。

Zygote 功能展示

(https://dawnslab.jd.com/the_return_of_mystique/)

实际上，Zygote是通过command socket从system_server中接收指令，并根据指令孵化出子进程。然而，Zygote只是盲目地去解析从system_server接收到的buffer，而不做额外的二次校验。因此，如果能够通过某种方式操纵system_server在command socket中写入攻击者可控的内容，就可以实现命令注入！

研究人员分析发现，denylistexemptions 就提供这种能力。在该机制中，当hidden_api_blacklist_exemptions 被修改后，新写入的值会在解析后直接写入到Zygote command socket中。因此，只要控制该值即可实现命令注入。

下图展示了该漏洞的利用效果之一，启动一个可调试注入的settings进程：

CVE-2024-31317 的利用效果之一：启动一个可调试注入的settings进程

(https://dawnslab.jd.com/the_return_of_mystique/)

可以看到该漏洞并不涉及内存破坏，依然影响了众多的安卓系统，这种漏洞本质是程序逻辑层面出现了问题，其影响力不亚于甚至超过传统的内存漏洞。随着内存漏洞利用门槛的持续攀升，非内存破坏类漏洞逐渐成为攻击者实现目标的“捷径”：

2024年2月，著名的“XZ Utils backdoor”事件曝光，一位别有用心的开发者在社区潜伏多年，最终成为核心维护者后在项目中植入了隐蔽后门。
2024年4月，全球知名防火墙软件PAN-OS被发现存在命令注入漏洞CVE-2024-3400，攻击者可对运行该系统的设备进行未授权RCE，并获取系统root权限。
2024年6月，DEVCORE披露了漏洞CVE-2024-4577，揭示Windows环境下运行的PHP-CGI存在参数注入漏洞。
2024年11月，watchTowr Labs披露了"FortiJump"漏洞，指出网络管理平台FortiManager存在命令注入漏洞。
2024年12月，DEVCORE的Orange Tsai在Black Hat EU 2024揭示了Windows ANSI API中潜藏的安全隐患。众多软件未能正确处理Windows的"Best-fit"特性，导致路径/文件名、命令行和环境变量的注入问题，并且几乎影响到全球所有Windows系统版本。

大胆猜测，内存漏洞难以利用后，未来之“矛”或许就隐藏在各种逻辑漏洞、供应链攻击之下。

深蓝洞察

当内存安全防御构建起层层壁垒，攻击者的“矛”已悄然转向更隐蔽的战场。“没有绝对安全的系统”，内存安全逐渐成为基础设施的“及格线”，安全防御面临更深层的体系化挑战：如何构建覆盖软件供应链的信任验证机制？如何实现业务逻辑的自动化安全建模？这些问题将是下一代安全对抗的重点。
安全对抗从未终结，只是在不断升级的维度中重塑对抗格局。安全研究者需要以更立体的视角审视安全边界——当内存漏洞走向黄昏时，逻辑漏洞的迷雾正在黎明中显现。

参考：

[1] https://en.wikipedia.org/wiki/Address_space_layout_randomization

[2] https://source.android.com/docs/security/test/memory-safety/arm-mte

[3] https://www.darknavy.org/blog/strengthening_the_shield_mte_in_memory_allocators/

[4] https://blog.trailofbits.com/2024/10/25/a-deep-dive-into-linuxs-new-mseal-syscall/

[5] https://lore.kernel.org/lkml/[email protected]/

[6] https://chromium.googlesource.com/chromium/src/+/ddc017f9569973a731a574be4199d8400616f5a5/base/memory/raw_ptr.md

[7] https://webkitgtk.org/security/WSA-2024-0007.html

[8] https://support.apple.com/en-us/121752

[9] https://en.wikipedia.org/wiki/XZ_Utils_backdoor

[10] https://security.paloaltonetworks.com/CVE-2024-3400

[11] https://rtx.meta.security/exploitation/2024/06/03/Android-Zygote-injection.html

[12] https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-vulnerability-en/

[13] https://labs.watchtowr.com/hop-skip-fortijump-fortijumphigher-cve-2024-23113-cve-2024-47575/

[14] https://worst.fit/

[15] https://blog.flanker017.me/the-new-mystique-bug-cve-2024-31317/

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第八篇。

企业资讯

中电安科|万事俱备，“职”等你来

3 days 11 hours ago

一里春风，只为“聘”你

万事俱备，“职”等你来

公司介绍：

中电安科成立于2016年，是国内工业互联网安全行业领军者，自2021年起，公司相继获中国电科、中国中车、国家电网、长江资本等国资基金战略投资，正式进入网络安全“国家队”。

凭借突出的技术创新优势，中电安科在行业内率先入选国家级“专精特新‘小巨人’企业”。公司始终坚持与国内生态伙伴共同打造工业互联网安全产品的国产化赛道，融合可信计算体系，凭借覆盖审计检测、边界防护、终端防护、安全管理、攻防演练等全域工业网络安全产品体系，以创新赋能大交通、电力、石油石化、智能制造、矿业开采、港口码头、军队军工等重要关键信息基础设施行业用户，为工业自主化、智能化转型保驾护航。

中电安科多个岗位热招中，期待你的加入，一起追梦前行！

招聘岗位：

电力行业销售经理/总监（北京、西安、银川、沈阳、南京、成都）

岗位职责：

1、负责工控安全产品的市场拓展及销售工作，达成全年销售任务指标；

2、根据电力行业的项目特点及要求对所跟踪签约项目进行全周期管理；

3、负责行业市场信息收集及销售策略的分析；

4、负责行业内渠道的拓展及管理工作。

任职要求：

1、5年以上工作经验，具备电力行业销售经验，能够独立开拓行业市场；

2、具备一定IT基础知识，有ToB、ToG销售模式以下大客户销售经验或者同业渠道建设经验者优先；

3、具备良好的关系建立能力，优秀的思维能力和成就导向意识，能承受较高的工作压力，上进心强；

4、网络安全/信息安全/自动化等行业背景加分。

交通行业销售经理/总监（北京、广州、杭州、南京、郑州）

岗位职责：

1、负责地铁、高铁等轨道交通行业网络安全产品的市场拓展及销售工作，保证按季度完成回款及达成全年销售任务指标；

2、根据轨道交通行业的项目特点及要求对所跟踪签约项目进行全周期管理；

3、负责行业市场信息收集及销售策略的分析；

4、负责行业内渠道的拓展及管理工作。

任职要求：

1、3年以上工作经验，具备轨道交通行业产品销售（交换机、服务器、UPS、传输等）或弱电集成项目（信号、综合监控、电力SCADA、通信、AFC、PIS等）销售经验，能够独立开拓行业市场；

2、具备一定IT基础知识，有ToB、ToG销售模式以下大客户销售经验或者同业渠道建设经验者优先；

3、具备良好的关系建立能力，优秀的思维能力和成就导向意识，能承受较高的工作压力，上进心强；

4、网络安全/信息安全/自动化等行业背景加分

渠道销售经理/总监（杭州、北京、济南、成都、西安）

岗位职责：

1、根据公司的业务需求进行完成渠道拓展、管理等日常工作，完成业绩考核目标，对渠道销售的结果负责；

2、负责开拓和维护渠道客户，建立长期而稳定的合作关系，完成各渠道资源分配，以支持各渠道能正常完成销售任务；

3、负责渠道体系建设和日常管理工作，包括但不限于制定渠道政策及举办渠道大会；

4、负责根据公司整体渠道战略在所负责区域内落地执行。

任职要求：

1、3年以上渠道销售或渠道管理经验，有独立渠道拓展经验者优先；

2、熟悉渠道体系的建设熟悉网络安全产品，有安全厂商、华为、自动化厂商等相关销售经验者优先考虑；

3、具备良好的创新能力、人际沟通能力、应变能力和团队协作能力。

高级实施工程师（深圳）

岗位职责：

1、负责区域内项目的网络方案规划与制定工作；

2、协助项目经理对区域内项目的实施质量进行管理，提升产品运营价值和客户满意度；

3、负责客户的现场产品培训；

4、负责产品的POC测试；

5、负责区域内技术人员管理以及能力培养；

6、负责现场应急故障分析与处置工作。

任职资格：

1、具有计算机或相关专业统招本科及以上学历，5年以上网络集成类和软件实施类项目经验。

2、精通主流厂商的网络安全产品，如防火墙、上网行为、IPS、WAF、DDoS、VPN等安全防护设备，可独立进行安装、调试及故障排除。

3、精通广域网、互联网架构设计建设，熟悉大中型企业网络架构及网络安全设计方案，具备现场实施配置能力，拥有丰富的实施经验，熟悉SDWAN技术。

4、精通路由交换技术，熟悉BGP、NAT、OSPF、静态路由协议，对局域网技术QOS、VLAN、VXLAN、STP等有深刻的了解。

5、具备分析、解决复杂网络问题和故障的能力，有丰富的现场问题处理经验。

6、了解等保相关要求，对网络安全主流产品有实施经验者优先。

7、有轨道交通、能源电力、大型制造业工业系统网络集成项目经验者优先；

8、有HCIE、H3CIE、CCIE等高级网络技术资质认证、PMP、软考高级项目管理师等高级项目管理资质认证者优先。

采购经理（北京）

岗位职责：

1、熟悉供应商寻源流程，熟悉工控机，服务器产品参数，有相应的供应商资源；

2、负责采购合同签订，付款及发票审核及提交，负责发货跟踪管理；

3、负责对供应商进行评价与管理；

4、具备委外加工经验，熟悉生产体系，对组装生产过程了解；

5、具备计划管理能力，对库存管理，生产排单，发货跟进具备管理能力；

6、具备产品选型能力，通过对需求分析给出硬件产品选型建议。

任职要求：

1、本科及以上学历；

2、具有优秀的沟通、谈判能力，良好的逻辑分析、数据分析能力；

3、熟悉网安市场，了解硬件厂商，具备硬件选型能力；

4、工作认真、积极主动，责任心强，有良好的团队合作精神。善于跨部门协作，有良好的沟通技巧，善于倾听，团队合作精神强；

5、具有委外加工经验，有相应资源优先。

人力资源部主管（北京）

岗位职责：

1、制定和完善企业人力资源管理方针、政策和制度；

2、制定和把控人力预算及支出，降本增效；

3、制定和完善公司薪酬绩效管理和人才发展体系；

4、负责公司人才招聘和人才储备，为各岗位交付并配置人才；

5、负责企业文化建设的开展和推进；

6、负责公司培训体系的建设；

7、统筹部门日常管理工作。

任职资格：

1、人力资源及相关专业，统招本科及以上学历；

2、五年及以上人力资源部门管理经验，两年及以上网络安全行业经验；

3、具备人力资源全模块专业能力；

4、责任心、组织和沟通能力、工作落实推动力、亲和力、共情力等；

5、理解并认同公司价值观，并能够在工作及团队管理中践行。

联系方式：

王女士：13315958610（同微信）

联系邮箱：[email protected]

邮件主题请注明：姓名+学历+应聘岗位

企业资讯

喜报 | 梆梆安全荣获“湖南省委网信办2025-2026年度网络安全技术支撑单位”

3 days 11 hours ago

近日，湖南省委网信办举行2024年网络安全技术支撑单位年度工作会议暨2025-2026年度网络安全技术支撑单位授牌仪式。会上，梆梆安全被正式授予“湖南省委网信办2025-2026年度网络安全技术支撑单位”，表彰梆梆安全在湖南省网络安全技术支撑工作中的突出贡献。湖南省2025-2026年度网络安全技术支撑单位遴选工作由湖南省委网信办联合国家互联网应急中心湖南分中心，面向社会公开遴选。评审专家组对申报单位的综合实力、技术能力、服务能力、合作情况及支撑规划等方面进行综合评审，最终选取2025-2026年度网络安全技术支撑单位。梆梆安全以突出的技术实力和专业的服务能力通过严格评审，成功入选湖南省委网信办2025-2026年度网络安全技术支撑单位。

梆梆安全一直极配合国家网络安全工作，连续多年入选 CNCERT 网络安全应急服务（省级）支撑单位，连续多年获评国家信息安全漏洞库（CNNVD）技术支撑单位，连续多年入选工信部移动互联网APP产品安全漏洞库（CAPPVD）技术支撑单位，是国家网络安全重要的技术支撑力量。同时，梆梆安全还积极参与湖南省以及各地市各类网络安全技术交流与研讨活动，为各地数字化转型和发展新质生产力赋能。

在二十大、冬奥会、冬残奥会、建党节、国庆节等系列重要活动期间，梆梆安全坚守岗位，提供7X24小时网络安全保障服务，凭借丰富的网络安全保障经验屡获嘉奖。与此同时，梆梆安全持续为各省市的重要信息系统进行日常安全检查、监测、风险评估，协助突发网络安全事件进行应急处置，并提供日常技术培训，助力提升各省市网络安全事件综合应对能力。

本次荣获湖南省委2025-2026年度网络安全技术支撑单位，是湖南省委网信办与国家互联网应急中心湖南分中心对梆梆安全移动安全防护能力和应急支撑服务能力的高度肯定。面向未来，梆梆安全将进一步增强网络安全责任担当，提升网络安全支撑能力，充分发挥技术人才优势，积极参与各项支撑工作，助力湖南省网信事业高质量发展。

梆梆安全

利用旧的ThinkPHP和ownCloud漏洞的攻击激增

3 days 15 hours ago

威胁监测平台GreyNoise报告称，越来越多的黑客正试图破坏维护不善的设备。攻击者利用CVE-2022-47945和CVE-2023-49103攻击ThinkPHP框架和开源ownCloud文件共享和同步解决方案。

这两个漏洞都具有临界严重性，可以被利用来执行任意操作系统命令或获取敏感数据（例如管理员密码、邮件服务器凭据、许可密钥）。

第一个漏洞是6.0.14之前的ThinkPHP框架语言参数中的本地文件包含（LFI）问题。未经身份验证的远程攻击者可以利用它在启用了语言包特性的部署中执行任意操作系统命令。

根据威胁监测平台GreyNoise的说法，CVE-2022-47945目前正受到大量利用，攻击的源ip越来越多。

该公告警告说：“GreyNoise已经观察到572个独特的ip试图利用这个漏洞，并且最近几天活动不断增加。”

尽管它的漏洞预测评分系统（EPSS）评级很低，只有7%，而且该漏洞没有被包括在CISA的已知被利用漏洞（KEV）目录中。

日常开发活动

第二个漏洞影响了流行的开源文件共享软件，它源于应用程序对第三方库的依赖，该库通过URL公开了PHP环境细节。

在开发者于2023年11月首次披露该漏洞后不久，黑客就开始利用它从未打补丁的系统中窃取敏感信息。

一年后，CVE-2023-49103被FBI、CISA和NSA列为2023年被利用最多的15个漏洞之一。

尽管自供应商发布解决安全问题的更新以来已经过去了2年多，但许多实例仍然未打补丁并暴露在攻击之下。GreyNoise最近观察到CVE-2023-49103的利用增加，恶意活动来自484个唯一的ip。

每天针对ownCloud的ip

为了保护系统免受主动利用，安全研究员建议用户升级到ThinkPHP 6.0.14或更高版本，并将ownCloud GraphAPI升级到0.3.1或更高版本。并建议将潜在易受攻击的实例离线或放置在防火墙后面，以减少攻击面。

胡金鱼

「深蓝洞察」2024年度最悲剧的后门

3 days 16 hours ago

[1] https://github.com/kobolabs/liblzma/blob/87b7682ce4b1c849504e2b3641cebaad62aaef87/doc/history.txt

“看到了软件的源码，就意味着没有后门吗？”

1983年的图灵奖颁奖仪式上，Ken Thompson抛出了这个问题。作为历史上唯三在40岁以下获得图灵奖的传奇之一，他在获奖演讲中向听众展示了如何通过在编译器中植入后门来骇入由无害源码编译得到的Unix系统。Ken的演讲为整个开源世界敲响了信任的警钟，并且直至今日仍为年轻黑客们所津津乐道。

2024年，XZ backdoor事件横空出世，将Ken的问题重新拉回了大众的视野。开源社区众目睽睽之下，攻击者成功将带有后门程序的xz-utils 5.6.1软件包更新到了Debian(Sid)/Fedora(Rawhide)等发行版的官方软件源中。万幸的是，工程师Andres Freund及时发现了xz-utils 5.6.1的异常行为。尽管在社区共同努力下后门程序的传播被及时阻断，但这场惊心动魄的危机仍然在敲打着每一个开源软件的使用者，提醒我们重新审视开源世界中的开发模式和信任传递问题。

在本报告中，我们将试图从技术角度还原xz backdoor从植入到被发现的整个过程，希望能够帮助读者更好地理解和应对开源代码所面临的安全威胁。

以下为本期《深蓝洞察 | 2024 年度安全报告》的第六篇。

XZ backdoor：开源世界的信任崩塌

xz项目由Lasse Collin等人于2005年发起，因其优异的性能和压缩比逐渐成为了Linux Kernel，FreeBSD等开源软件的默认压缩方式，并且以liblzma依赖库的方式被openssh-server（部分发行版，如Debian）等关键程序引用，使用极为广泛。然而，早在2013年的文档中[1]就有提到：Lasse因“个人原因”导致项目更新缓慢。这样一个应用极为广泛但欠缺维护的开源软件无疑是攻击者的首选目标。

锁定目标后，攻击者有组织地展开行动，试图获取XZ仓库代码修改权限并植入后门。

2021年10月，网名Jia Tan的开发者向xz-devel邮件列表提交补丁，积极参与讨论。Jia Tan在邮件中将自己包装成一个善意的帮助者（“a helper elf”）[2]，并同时在wasmtime，cpp-docs等项目中提交补丁，逐步取得了管理员Lasse的初步信任。
2022年5月，攻击者多次通过Dennis Ens和Jigar Kumar两个账号在邮件列表中抱怨项目进展缓慢，向Lasse施压，促使其将更多任务交给“乐于助人”的Jia Tan。
2022年12月，Jia Tan合并了一些补丁到xz仓库中，证明攻击者已经取得了直接修改xz源码的权限。
2023年6月，名为Hans Jansen的账号发送了使用glibc间接函数IFUNC机制来选择crc函数的补丁，为后续后门植入做了准备。
2024年2月，Jia Tan合并了藏有后门的二进制测试文件，并发布带触发脚本的xz-5.6.0版本，被Debian纳入unstable版本软件源中。同时Jia Tan向Fedora 40维护者发送邮件申请升级xz软件包。
2024年3月4日，RedHat社区报告[3]liblzma运行时异常，其中Valgrind提供的调试信息指向了后门入口函数_get_cpuid。攻击者迅速反应，在新的xz-5.6.1中添加了两个补丁来修复这一BUG，分别是声称修复BUG的伪装补丁和实际修复后门中BUG的二进制文件补丁。对于后者，Jia Tan声称修改理由是改用确定性的随机种子生成的新测试数据。
2024年3月28日，以Jia Tan为首的多名攻击者在Debian/Ubuntu bug list中发声，推动了Debian升级xz软件包到xz-5.6.1。同日，工程师Andres Freund发现该版本中liblzma的异常行为并向Debian社区报告。

从以上复盘可以看出，攻击者为了在XZ这样一个广泛使用的开源软件中植入后门而不被发现，在攻击的非技术层面做了精心设计和准备，包括：

1. 长期渗透：以半年为周期推进计划，降低怀疑与曝光概率。

2. 社会工程学攻击：利用Jia Tan的开源贡献者身份取得信任，同时以伪造多个用户身份对开源软件维护者维护者心理施压。

3. 分布式投毒：将恶意代码拆解为多个部分，不经意地夹杂在日常的无害代码贡献中，由不同身份分阶段提交。

4. 心理弱点利用：抓住了维护者长年以来的疲惫心理，也抓住了使用者对二进制文件与源码匹配性的疏忽心理。

可以看到，对以社区合作形式开展的开源项目的攻击，可能不仅仅局限在狭义的技术层面。无论是可重现构建还是零信任架构，我们不仅需要设计如何保护数据与系统，更需要思考人与人之间，人与技术之间，甚至技术与技术之间如何重新构建一种更有韧性，更可持续的信任体系。

XZ backdoor攻击者的这盆冷水，并没有浇灭开源社区众人拾柴的火焰。然而，信任问题并没有得到根本解决的情况下，倘若未来第二个，第三个Jia Tan出现，我们还能否有现在的自信和乐观？

“功败垂成”——是运气使然还是skill issue？

时间过去9个月，网络上已经有大量深入的对XZ后门程序的逆向工程分析[4,5,6]。回过头来，我们想探究的问题是：攻击者耗费了2年时间精心隐藏植入的后门，为什么会在如此短的时间内就被发现？从攻击者的角度出发，这其中存在的缺陷是否还能够进一步优化？从防御者角度出发，又如何更好的及时发现和定位类似的问题？

Andres Freund在社交媒体上的评论表示，他一开始只是发现有恶意攻击者在爆破服务器ssh密码，但是造成了异常高的CPU占用。随后他对sshd进行了性能分析，发现更新过liblzma.so后其处理每个ssh连接的时间从0.3秒增加到了0.8秒。联想到之前偶然看到的Valgrind报错，Andres对xz-5.6.1中的liblzma.so和源码构建脚本进行了深入分析并得出了其内部被植入后门的结论。

Andres对发现过程的描述

然而，根据先前研究人员逆向工程的结果[4]，xz 5.6.1中后门程序的主要原理是拦截RSA解密函数后，根据ssh客户端发送证书中的字段进行解密，验签和执行命令操作。我们调试过程中发现，对于通过密码来登录的方式，并不会触发到后门代码的执行。也就是说按照现有的理解（或者说攻击者的设计思路），Andres应该无法从密码爆破这个现象观察到有明显的时间差异。

为了重现Andres的发现过程，我们使用perf对sshd进行了性能分析，显然带有后门的liblzma.so明显消耗了异常的计算资源。

使用有(左)/无(右)后门的liblzma.so的sshd进程在处理ssh密码登录时的性能分析结果

经过进一步分析perf报告的热点指令liblzma.so:0x2bbb0处的代码，我们发现其位于后门代码中的一处x86_64指令反汇编器中。该反汇编器的主要作用是从给定地址处开始解析一条x86_64指令，配合其他上层函数实现基于汇编模式来匹配无符号的sshd和ld中的目标函数和结构体的偏移地址。

例如，在初始化阶段，XZ后门程序需要将dl_audit全局变量改为伪造的audit_iface结构体从而劫持symbind64函数调用，进而劫持RSA_public_decrypt等函数。为了找到dl_audit的地址，后门程序使用反汇编器扫描ld的内存，找到dl_main函数中满足模式MOV reg，DWORD PTR [RIP+imm]的指令，并进行解析其内存操作数。

后门通过解析指令获取dl_audit全局变量地址

我们进一步分析发现，在重复调用反汇编器进行汇编模式搜索时，攻击者在一些上层函数中会让搜索的内存地址向后移动解析出来的指令长度，从而直接反汇编下一条指令。

然而，在反汇编器的内部实现中，解析出的“指令长度”却永远是0。这导致了后门代码事实上是在逐字节对每一个目标代码区间进行反汇编。此外，还有一些上层函数调用反汇编器时直接逐字节扫描目标内存:

一些上层函数调用反汇编器时直接逐字节扫描目标内存

这无疑为后门代码的运行带来了大量运行时开销。动态分析表明，该反汇编器函数的调用次数多达944万次。而每次调用中，仅仅是函数开头初始化解析结果结构体的liblzma.so:0x2bbb0: rep stosd指令就会被重复执行22次，也就是说仅仅这一行代码就执行了超过2亿次，导致liblzma.so在perf的输出报告中鹤立鸡群。因此我们推定，该反汇编器和相关的汇编匹配函数的实现缺陷是导致这一后门程序在运行中消耗了大量资源的根本原因。我们大胆猜测，负责开发这部分代码的攻击者可能认为该反汇编器的大规模调用只会在ld运行期间发生一次，因此只会一次性地影响sshd服务初始化时的性能开销。然而，openssh-server从3.9版本开始便默认采取了re-exec模式，即每个fork得到的子进程都会调用execv来重新初始化进程地址空间[6]：

static int rexec_flag = 1; ... /* This is the child processing a new connection. */ setproctitle("%s", "[accepted]"); /* * Create a new session and process group since the 4.4BSD * setlogin() affects the entire process group. We don't * want the child to be able to affect the parent. */ ... if (rexec_flag) { ... execv(rexec_argv[0], rexec_argv); // Make sshd(8) re-execute itself on accepting a new connection.

也就是说，每当有1个新的ssh连接, sshd都会重新执行整个后门代码的初始化过程，消耗0.5s的CPU时间。我们在本地分别对带有后门和没有后门的sshd进行了ssh爆破测试，发现后门版本的CPU使用率远远超过无后门版本(9.6% v.s. 0.7%)：

因此当Andres在使用期间有另外一组攻击者试图爆破其ssh密码时，sshd对于CPU资源的消耗便上升到了无法忽视的地步。

Andres本人对500ms meme的澄清

至此，我们才真正确认了XZ backdoor在短时间内被发现的根本原因。作为近年来最（接近）成功的开源供应链攻击，XZ后门的“翻车式”退场给所有潜在攻击者上了一课：后门代码植入，不光要藏得深，还得经得起“压力测试”。

这一次运气站在了我们这边，但如果攻击者有足够的耐心进一步测试和优化攻击代码，结果是否已经不同？我们又需要通过什么样的方法来发现它？

深蓝洞察

2024年，除XZ backdoor外，CrowdStrike的全球蓝屏事故，黎巴嫩寻呼机爆炸等事件也向我们传统认知里系统安全的定义和边界发起了挑战。

与往年的永恒之蓝、Log4j等安全大事件相比，这些“后起之秀”们并非起源于技术层面上的软件漏洞，而是在信任传播的供应链中最薄弱的一环悄然发生，便能轻易撬动整个生态系统的安全性。

另一方面，内存破坏等传统二进制漏洞的利用由于各种软硬件安全机制的普及而变得愈发困难，也进一步加强了安全研究向新的领域和形态迁移的进程。

在敌暗我明，攻守易势的时代，如何继续实现安全，保护价值，已成为每位安全研究人员面临的共同机遇与挑战。

参考：

[2] https://www.mail-archive.com/[email protected]/msg00518.html

[3] https://bugzilla.redhat.com/show_bug.cgi?id=2267598

[4] https://securelist.com/xz-backdoor-story-part-1/112354/

[5] https://gist.github.com/smx-smx/a6112d54777845d389bd7126d6e9f504

[6] https://sources.debian.org/src/openssh/1%3A9.2p1-2%2Bdeb12u4/sshd.c/#L2200

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第七篇。

企业资讯

中国联通沙特分公司与盛邦安全达成战略合作，共拓区域网络安全市场新机遇

3 days 16 hours ago

2月12日，LEAP2025展会期间，中国联通沙特分公司总经理吴静弦与盛邦安全海外业务负责人方伟代表双方企业在展会上正式签署战略合作协议，将围绕沙特地区网络安全领域展开深度合作，共同拓展区域市场，助力沙特地区数字化发展与网络安全能力提升。

强强联合，共筑沙特地区网络安全新防线

随着全球数字化转型的加速，沙特地区作为新兴市场，网络安全需求日益增长。中国联通沙特分公司是首个在沙特获得商业注册证书（Commercial Registration Certificates）的中国通信运营商，也是中国联通在中东地区成立的首个分支机构。中国联通着力发挥网络安全现代产业链链长的主体支撑和融通带动作用，此次战略合作标志着盛邦安全与中国联通沙特分公司在网络安全领域的强强联合，双方将结合各自优势，在沙特市场共同开拓新机遇，深化业务合作。

紧跟AI技术发展的潮流，盛邦安全将AI技术深度融入产品体系与应用中。凭借在威胁检测、漏洞管理、资产识别、应用防护等方面的丰富技术积累，结合中国联通沙特分公司在通信服务与本地化运营方面的丰富经验，双方将为沙特用户提供更加高效、智能的全栈式网络安全解决方案。

此次与中国联通沙特分公司的战略合作，是盛邦安全全球化战略的重要一步。盛邦安全海外业务负责人方伟表示：“沙特是中东地区数字化发展的重要市场，我们期待通过与中国联通沙特分公司的合作，将中国先进的网络安全技术和经验带到中东，为当地客户提供更优质的网络安全产品与服务，助力沙特数字经济的蓬勃发展。”

原文链接

盛邦安全

多国联合制裁Lockbit Ransomware的防弹托管提供商

6 days 15 hours ago

近期，美国、澳大利亚和英国制裁了俄罗斯防弹主机（BPH）服务提供商Zservers，原因是该公司为LockBit勒索软件团伙提供必要的攻击基础设施。

该公司的两名主要管理人员是俄罗斯公民，他们也因指导Lockbit虚拟货币交易和支持该团伙的攻击而被指控。

美国外国资产控制办公室（OFAC）表示，加拿大当局在2022年对一家已知的LockBit附属公司的突袭中发现了一台运行虚拟机的笔记本电脑，该虚拟机与Zservers转租的IP地址相连，并运行LockBit恶意软件控制面板。

2022年，一名俄罗斯黑客从Zservers获得了IP地址，这些地址可能与LockBit聊天服务器一起用于协调勒索软件活动，而在2023年，Zservers向LockBit附属公司提供了包括俄罗斯IP地址在内的基础设施。

美国财政部负责恐怖主义和金融情报的代理副部长表示：“勒索软件攻击者和其他网络犯罪分子依靠第三方网络服务提供商（如Zservers）来攻击美国和国际关键基础设施。”并称这些托管服务提供商‘刀枪不入’是一种虚假的营销噱头。网络犯罪分子认为他们有这些服务提供商的保护，然而，一次大规模行动打开并破坏了基础设施。

像ZSERVERS这样的BPH提供商提供一系列可购买的工具来掩盖网络犯罪分子的位置、身份和活动，从而保护和支持网络犯罪分子。以这些供应商为目标可以同时挫败数百或数千名罪犯。

英国外交、联邦和发展办公室还制裁了Zservers在英国的幌子公司XHOST Internet Solutions LP和四名员工，同样因为他们支持LockBit勒索软件攻击。

在这些制裁之后，这三个国家的公民被禁止与被指认的个人和公司进行交易。与他们有关的所有资产也将被冻结，与他们有交易的金融机构和外国实体也可能面临处罚。

在制裁之前，美国国务院为LockBit勒索软件管理员提供了高达1000万美元的奖赏，并为LockBit勒索软件所有者、运营商、管理员和附属机构提供了高达1500万美元的悬赏。

LockBit被逮捕和指控

去年12月，美国司法部还指控一名俄罗斯-以色列双重国籍人士涉嫌开发恶意软件并管理LockBit勒索软件的基础设施。

此前与Lockbit勒索软件有关的网络罪犯的指控和逮捕包括：2023年5月的Mikhail Pavlovich Matveev（又名Wazawaka）， 2024年2月的Artur Sungatov和Ivan Gennadievich Kondratiev（又名Bassterlord），以及2024年5月的Dmitry Yuryevich Khoroshev（又名LockBitSupp和putinkrab）。

今年7月，一俄罗斯公民和加拿大公民也承认，他们作为LockBit的附属机构参与了至少12起勒索软件攻击。

LockBit于2019年9月浮出水面，此后声称与针对全球许多知名实体的攻击有关，包括美国银行、波音公司、大陆汽车巨头、英国皇家邮政和意大利国税局等。

2024年2月，Cronos行动关闭了LockBit的基础设施，并查封了34台服务器，其中包含2500多个解密密钥，后来用于创建免费的LockBit 3.0黑色勒索软件解密器。

胡金鱼

大规模暴力破解密码攻击使用280万个IP地址

6 days 15 hours ago

暴力破解攻击是指威胁者尝试使用大量用户名和密码反复登录一个账户或设备，直到找到正确的组合。一旦他们获取到正确的凭证，就可以利用这些凭证劫持设备或访问网络。

据悉，一场动用了近 280 万个 IP 地址的大规模暴力破解密码攻击正在进行，该攻击试图验证包括Palo Alto Networks，Ivanti和Sonicwall在内的众多网络设备的登录凭证。

根据威胁监控平台Shadowserver基金会的说法，自上个月以来，一直有暴力破解攻击在进行，每天使用近 280 万个源 IP 地址来实施这些攻击。这 110 万人中，大多数来自巴西，其次是土耳其、俄罗斯、阿根廷、摩洛哥和墨西哥，但参与该活动的原籍国数量总体上非常多。

这些边缘安全设备，如防火墙、vpn、网关和其他安全设备，通常暴露在互联网上以方便远程访问。进行这些攻击的设备主要是MikroTik、Cisco、Boa的路由器和物联网，这些设备通常会受到大型恶意软件僵尸网络的攻击。

据Shadowserver基金会证实，该活动已经持续了一段时间，但最近捕捉到数量大幅增加。据了解，攻击IP地址分布在许多网络和自治系统中，可能是僵尸网络或与住宅代理网络相关的某些操作。

住宅代理是分配给互联网服务提供商（isp）的消费者的IP地址，这使得它们在网络犯罪、抓取、绕过地理限制、广告验证、倒卖球鞋或门票等方面受到高度追捧。

这些代理通过住宅网络路由互联网流量，使用户看起来像是普通的家庭用户，而不是机器人、数据抓取器或黑客。

网关设备（例如那些被此活动作为目标的设备）可以用作住宅代理操作中的代理出口节点，通过企业网络路由恶意流量。这些节点被认为是“高质量的”，因为有良好的声誉，攻击更难以检测和阻止。

保护边缘设备免受强制攻击的步骤包括将默认管理密码更改为强大且唯一的密码，实施多因素身份验证（MFA），使用受信任ip的允许列表，以及禁用不需要的web管理界面。

最后，在这些设备上应用最新的固件和安全更新对于消除漏洞至关重要，威胁者可以利用这些漏洞获得初始访问权限。

去年4月，Cisco就针对Cisco、CheckPoint、Fortinet、SonicWall和Ubiquiti等全球设备的大规模凭证强制破解活动发出了警告。12月，Citrix还警告了针对Citrix NetScaler设备的密码喷雾攻击。

胡金鱼

美亚柏科“星火”平台深度融合DeepSeek，点燃AI燎原之火

6 days 15 hours ago

在电子数据取证分析领域，传统人工智能大模型应用存在明显的短板：仅呈现最终分析结果，忽略展示背后的推理过程。这就如同患者去看病，医生只说 “你患热病了”，却不解释病因和诊断依据，患者难免会对诊断结果心生疑虑，难以完全信任。

2024年，“星火”平台全面应用AI大模型技术，开启智能取证新纪元。随着国产大模型DeepSeek R1的问世，其低成本和高性能的开源特性，不仅引领了技术平权的新浪潮，更为产业生态的革新注入了新动力。美亚柏科“星火”研发团队快速跟进，“星火”平台深度集成DeepSeek-R1先进推理技术，实现精准挖掘关键线索，并完整、清晰地展示整个推理过程。该过程就像资深办案专家抽丝剥茧，一步步揭示案事件真相，大大地增强了分析结果的专业性与可信度。

“星火”平台xDeepSeek=1+1＞2

解锁新技能，Get新能力！

一、功能亮点

01 线索推荐：精准洞察数据，论证有理有据

“星火”平台凭借卓越的大模型分析能力，能够自动挖掘涉案线索，并对关键线索进行智能打标，但未明确解释标签背后的依据。融入 DeepSeek-R1 技术后，用户只需将鼠标悬停在标签上，每个标签背后的推理过程便会自动展示。这种高透明度和可解释性的设计，让用户能够更有好地理解、验证分析结果，真正做到心中有数。

02 群聊分析：模拟专家思维，深度解析对话

“星火”平台基于DeepSeek-R1全方位优化和拓展分析能力，每个群分析平均耗时6.36秒，速度提升28.5% 。在 Chat 模式下，不再局限于表面的内容分析，而是能够模拟资深办案专家的思维方式，深入理解和解析群聊中的对话信息，为案事件调查提供更有价值的线索。

二、实战案例

在某市一起涉赌博事件中，通过“星火”平台挖掘到多个疑似赌博群，其中某个群记录多达上万条。若依靠执法人员人工逐一审阅这些记录，不仅工作量巨大，逐条筛选的效率也极为低下。

“星火”平台融合DeepSeek-R1大模型技术，助力执法人员进行更加快速的阅读与推理分析，深入参与内容概括与分析、人物主从结构关系、涉案线上线下活动分析、涉赌暗语挖掘与理解、敏感网址挖掘等工作，显著提升了执法效率，助力后续勘查工作的开展，展现了“星火”平台赋能执法的巨大优势。

“星火”平台全面融合先进的DeepSeek-R1大模型技术，能够有效解决传统电子数据取证分析中的诸多难题，提高取证分析的效率和准确性。如想详细了解，欢迎联系当地区域销售~

企业资讯

「深蓝洞察」2024年度最“隐”人注目的安全趋势