Aggregator

Больше никаких перенаправлений, только полная блокировка.

Разбираемся, какие «умные» инструменты уже работают в ИБ-решениях и какие задачи им можно поручить.

When security vulnerabilities appear in popular frameworks, they can affect thousands of websites overnight. That’s exactly what’s happening with a newly discovered vulnerability in Next.js – one of the most...

The post CVE-2025-29927 – Understanding the Next.js Middleware Vulnerability appeared first on Strobes Security.

The post CVE-2025-29927 – Understanding the Next.js Middleware Vulnerability appeared first on Security Boulevard.

HackerNews 编译，转载请注明出处： Tenable Research 指出，DeepSeek R1 存在潜在安全风险，这一生成式人工智能模型可能被操控，用于生成恶意软件。 和许多生成式人工智能（GenAI）模型一样，DeepSeek R1 设计有防止滥用的安全机制。不过，Tenable Research 发现，这些防御机制可以被绕过，这引发了人们对人工智能在促进网络犯罪方面所起作用的担忧。研究人员警告说，虽然 DeepSeek 生成的恶意软件需要进一步完善才能完全有效，但它降低了那些几乎没有编码技能的人开发恶意软件的门槛。 Tenable 安全团队进行的实验旨在确定 DeepSeek R1 是否能够创建两种恶意软件：键盘记录器和勒索软件样本。最初，DeepSeek R1 拒绝生成这些软件，符合其编程限制。然而，Tenable 的研究人员使用了简单的越狱技术，使他们能够绕过这些限制。 Tenable 的员工研究工程师 Nick Miles 解释说：“最初，DeepSeek 拒绝了我们生成键盘记录器的请求。但通过将请求重新表述为‘教育练习’，并应用常见的越狱方法，我们迅速克服了其限制。” 在绕过人工智能的安全机制后，DeepSeek R1 生成了一个键盘记录器，可以加密日志并将其秘密存储在设备上，以及一个能够加密文件的勒索软件可执行文件。研究结果表明，即使是非专家也可能利用像 DeepSeek 这样的人工智能技术来开发恶意软件。 生成式人工智能提升网络犯罪活动能力的潜力是一个重大问题。虽然 DeepSeek 的代码需要手动完善才能完全发挥作用，但该人工智能模型可以提供基础代码并建议相关技术，加速有抱负的网络犯罪分子的学习过程。 Miles 强调了负责任地开发人工智能的重要性：“Tenable 的研究突显了负责任地开发人工智能和加强防护措施以防止滥用的紧迫需求。随着人工智能能力的进化，组织、政策制定者和安全专家必须共同努力，确保这些强大的工具不会成为网络犯罪的帮凶。” Tenable Research 的研究结果突显了保护生成式人工智能模型免遭滥用的持续挑战。随着人工智能技术的进步，绕过其安全机制的方法也在不断发展，这突显了持续改进安全措施的必要性。确保人工智能仍然是创新工具而非剥削工具，需要开发者、研究人员和政策制定者之间的持续合作。   消息来源：Security Brief; 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

Security concerns around cloud environments has prompted 44% of CISOs to change cloud service provider, according to Arctic Wolf. This is being driven by the fact that 24% don’t believe their cloud environment is secure, and 43% think cloud service providers overpromised the security protection they would receive. CISOs rely on multiple cloud providers Cloud providers have become increasingly critical to firms, with the technology enabling workers to access files and services from any location. … More →

The post Cloud providers aren’t delivering on security promises appeared first on Help Net Security.

Decoding Fake US ESTA Emails: Scam or Real Deal?

The post Decoding Fake US ESTA Emails: Scam or Real Deal? appeared first on Security Boulevard.

ФБР раскрывает схему, превращающую онлайн-конвертеры в кибероружие.

HackerNews 编译，转载请注明出处： Elastic Security Labs 观察到，Medusa 勒索软件即服务（RaaS）操作背后的威胁参与者使用了一种名为 ABYSSWORKER 的恶意驱动程序，作为自带脆弱驱动程序（BYOVD）攻击的一部分，旨在禁用防恶意软件工具。 Elastic Security Labs 在报告中称，他们观察到一次 Medusa 勒索软件攻击，该攻击通过使用名为 HeartCrypt 的打包即服务（PaaS）进行打包的加载程序来传输加密器。 “该加载程序与一个被我们命名为 ABYSSWORKER 的中国厂商的被吊销证书签名的驱动程序一起部署，它会在受害机器上安装该驱动程序，然后利用它来攻击并使不同的 EDR 厂商失效，”该公司在报告中表示。 名为 “smuol.sys” 的驱动程序模仿了一个合法的 CrowdStrike Falcon 驱动程序（“CSAgent.sys”）。从 2024 年 8 月 8 日到 2025 年 2 月 25 日，VirusTotal 平台上已经检测到了数十个 ABYSSWORKER 文件。所有已识别的样本都使用了可能被盗且已被吊销的中国公司证书进行签名。 值得注意的是，这个能够杀死 EDR 的驱动程序在 2025 年 1 月被 ConnectWise 以 “nbwdv.sys” 的名字记录在案。 一旦被初始化和启动，ABYSSWORKER 被设计成将进程 ID 添加到全局受保护进程列表中，并监听传入的设备 I/O 控制请求，然后根据 I/O 控制代码将这些请求分派给相应的处理程序。 “这些处理程序涵盖了从文件操作到进程和驱动程序终止的一系列操作，提供了一个全面的工具集，可用于终止或永久禁用 EDR 系统，”Elastic 表示。 部分 I/O 控制代码列表如下： – 0x222080 – 通过发送密码 “7N6bCAoECbItsUR5-h4Rp2nkQxybfKb0F-wgbJGHGh20pWUuN1-ZxfXdiOYps6HTp0X” 启用驱动程序 – 0x2220c0 – 加载必要的内核 API – 0x222184 – 复制文件 – 0x222180 – 删除文件 – 0x222408 – 按模块名称杀死系统线程 – 0x222400 – 按模块名称移除通知回调 – 0x2220c0 – 加载 API – 0x222144 – 按进程 ID 终止进程 – 0x222140 – 按线程 ID 终止线程 – 0x222084 – 禁用恶意软件 – 0x222664 – 重启机器 其中，0x222400 尤为引人关注，它可以通过搜索并移除所有已注册的通知回调来使安全产品失明，这种方法也被其他 EDR 杀手工具（如 EDRSandBlast 和 RealBlindingEDR）采用。 这一发现紧随 Venak Security 的一份报告，该报告指出威胁参与者如何利用 Check Point 的 ZoneAlarm 防病毒软件相关的合法但脆弱的内核驱动程序，作为 BYOVD 攻击的一部分，以获得提升的权限并禁用 Windows 安全功能，如内存完整性。 攻击者随后滥用了这些提升的权限，通过远程桌面协议（RDP）连接到受感染的系统，从而获得持久的访问权限。这一漏洞随后已被 Check Point 修补。 “由于 vsdatant.sys 以高级内核权限运行，攻击者能够利用其漏洞，绕过安全防护和防病毒软件，从而完全控制受感染的机器，”该公司表示。 “一旦这些防御被绕过，攻击者就能完全访问底层系统，能够获取用户密码和其他存储的凭证等敏感信息。这些数据随后被窃取，为进一步的攻击打开了大门。” Check Point 软件公司告诉《黑客新闻》，该脆弱的驱动程序已过时，且不再被积极使用，因此客户需要运行软件的最新版本。 “Venak Security 提到的脆弱驱动程序（vsdatant.sys，版本 14.1.32.0）已过时，不再在我们当前的产品中使用，”该公司表示。“运行 ZoneAlarm 或 Harmony Endpoint 最新版本的用户不会受到影响，因为这些版本包含更新的驱动程序，解决了此问题。” “在彻底审查后，我们可以确认过去 8 年发布的版本均不受此问题影响。为了获得全面的保护，我们建议用户确保运行的是 Check Point ZoneAlarm 或 Check Point Harmony Endpoint 的最新版本，其中包含针对 BYOVD 风格攻击的增强防护措施。” 这一发展正值 RansomHub（又名 Greenbottle 和 Cyclops）勒索软件操作被归因于至少一个其附属机构使用的一种以前未被记录的多功能后门，代号为 Betruger。 该植入程序具有通常与勒索软件攻击前部署的恶意软件相关的功能，如截取屏幕、记录按键、网络扫描、权限提升、凭证转储以及将数据窃取到远程服务器。 “Betruger 的功能表明，它可能是为了在准备勒索软件攻击时减少在目标网络上投放的新工具数量而开发的，”Broadcom 旗下的赛门铁克表示，将其描述为与其他勒索软件集团为数据窃取开发的自定义工具有所不同。 “在勒索软件攻击中使用除加密有效载荷以外的自定义恶意软件相对不寻常。大多数攻击者依赖合法工具、利用现成资源以及公开可用的恶意软件，如 Mimikatz 和 Cobalt Strike。”   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一起大规模供应链攻击涉及 GitHub Action “tj-actions/changed-files”，起初是针对 Coinbase 一个开源项目的精准攻击，之后发展为更大范围的攻击。 帕洛阿尔托网络公司 42 号单元在报告中指出：“攻击载荷专注于利用他们一个开源项目的公共 CI/CD 流程——agentkit，可能目的是利用它进行进一步的攻击行为。然而，攻击者未能使用 Coinbase 的机密信息或发布软件包。” 2025 年 3 月 14 日，人们发现 “tj-actions/changed-files” 被攻破，注入了泄露运行该工作流的仓库敏感机密信息的代码，该事件被赋予 CVE 编号 CVE-2025-30066（CVSS 评分：8.6）。 据恩多尔实验室估计，218 个 GitHub 仓库因此次供应链攻击泄露了机密信息，大部分泄露信息包括 “几十个” DockerHub、npm 和亚马逊网络服务（AWS）的凭证，以及 GitHub 安装访问令牌。 安全研究员亨里克・普拉特表示：“考虑到有数万个仓库依赖 GitHub Action，此次供应链攻击的初始规模听起来令人恐惧。然而，深入研究工作流、运行情况和泄露的机密信息会发现，实际影响比预期小：只有 218 个仓库泄露了机密信息，其中大部分是短生命周期的 GITHUB_TOKEN，一旦工作流运行完成就会过期。” 此后，另一个 GitHub Action “reviewdog/action-setup” 的 v1 标签也被攻破，该 Action 通过 “tj-actions/eslint-changed-files” 作为依赖项被 “tj-actions/changed-files” 依赖，在 tj-actions 事件发生前，带有类似的攻击载荷。 “reviewdog/action-setup” 的漏洞被跟踪为 CVE-2025-30154（CVSS 评分：8.6）。 据称，利用 CVE-2025-30154 的漏洞，未被识别的威胁者能够获取与 “tj-actions/changed-files” 相关联的个人访问令牌（PAT），从而允许他们修改仓库并推送恶意代码，进而影响每一个依赖该 Action 的 GitHub 仓库。 当 “tj-actions/eslint-changed-files” Action 被执行时， “tj-actions/changed-files” CI 运行器的机密信息被泄露，允许攻击者窃取运行器中使用的凭证，包括属于 tj-bot-actions GitHub 用户账户的个人访问令牌（PAT）。 目前怀疑攻击者以某种方式获取了具有写入权限的令牌，从而能够访问 reviewdog 组织并进行恶意修改。不过，攻击者获取该令牌的方式目前尚不清楚。 此外，对 “reviewdog/action-setup” 的恶意提交是通过首先分叉相应仓库，向其提交更改，然后向原始仓库创建分叉拉取请求，最终引入任意提交来完成的——这种情况被称为悬垂提交。 “攻击者采取了重大措施来掩盖他们的踪迹，使用了各种技术，例如利用悬垂提交，创建多个临时 GitHub 用户账户，以及在工作流日志中模糊他们的活动（尤其是在最初的 Coinbase 攻击中），”帕洛阿尔托网络公司高级研究经理吉尔告诉《黑客新闻》，“这些发现表明攻击者技术高超，对 CI/CD 安全威胁和攻击战术有深入了解。” 42 号单元推测，分叉拉取请求背后的用户账户 “iLrmKCu86tjwp8” 可能被隐藏，因为攻击者在注册时从提供的合法电子邮件地址切换到了一次性（或匿名）电子邮件，违反了 GitHub 的政策。 这可能导致用户的所有交互和操作都被隐藏。然而，当被要求置评时，GitHub 既未确认也未否认这一假设，但表示正在积极审查情况并根据需要采取行动。 “目前没有证据表明 GitHub 或其系统被攻破。所强调的项目是用户维护的开源项目，”GitHub 一位发言人告诉《黑客新闻》。 “GitHub 继续根据《可接受使用政策》审查并采取行动，处理用户关于仓库内容的报告，包括恶意软件和其他恶意攻击。用户在更新到新版本之前，应始终审查 GitHub Actions 或他们代码中使用的任何其他软件包。这一点在此处和其他使用第三方代码的情况中都是真实的。” 对 tj-actions/changed-files 的 GitHub 分叉的深入搜索导致发现了另外两个账户 “2ft2dKo28UazTZ” 和 “mmvojwip”，这两个账户都已被从平台上删除。这两个账户也被发现创建了 Coinbase 相关仓库的分叉，如 onchainkit、agentkit 和 x402。 进一步检查发现，这些账户通过分叉拉取请求修改了 agentkit 仓库中的 “changelog.yml” 文件，指向使用 PAT 更早发布的恶意版本的 “tj-actions/changed-files”。 据信，攻击者获取了具有写入权限的 GitHub 令牌，从而能够访问 agentkit 仓库——这是由执行 tj-actions/changed-files GitHub Actions 促成的——以便进行未经授权的更改。 另一个值得强调的重要方面是两种情况下使用的攻击载荷的差异，这表明攻击者试图保持低调。 “攻击者在攻击的不同阶段使用了不同的攻击载荷。例如，在广泛攻击中，攻击者转储了运行器的内存，并将存储为环境变量的机密信息打印到工作流的日志中，无论运行的是哪个工作流，”吉尔说。 “然而，在针对 Coinbase 的攻击中，攻击者专门获取了 GITHUB_TOKEN，并确保攻击载荷只在仓库属于 Coinbase 时执行。” 目前尚不清楚此次行动的最终目标是什么，但 “强烈” 怀疑其意图是为了经济利益，很可能是试图进行加密货币盗窃，考虑到对 Coinbase 的高度针对性，吉尔指出。截至 2025 年 3 月 19 日，加密货币交易所已经修复了此次攻击。 此外，目前也不清楚是什么促使攻击者改变策略，将最初的目标攻击转变为大规模且不太隐蔽的行动。 “一种假设是，在意识到他们无法利用其令牌来污染 Coinbase 仓库——并且在得知 Coinbase 已经检测并缓解了攻击之后——攻击者担心失去对 tj-actions/changed-files Action 的访问权限。”吉尔说。 “由于攻破此 Action 可以提供对许多其他项目的访问权限，他们可能决定迅速采取行动。这可以解释为什么他们在 Coinbase 在其端点缓解了暴露风险仅 20 分钟后就发起了广泛攻击，尽管这增加了被发现的风险。”   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

At MWC 2025, Google confirmed it was working on screen and video share capabilities for Gemini Live, codenamed "Project Astra". At that time, Google promised that the feature would begin rolling out soon, and now some users have spotted it in the wild. [...]

In this special episode of the Shared Security Podcast, join Tom Eston and Dan DeCloss, CTO and founder of PlexTrac, as they discuss the challenges of data overload in vulnerability remediation. Discover how PlexTrac addresses these issues by integrating various data sources, providing customized risk scoring, and enhancing remediation workflows. The episode offers an insightful […]

The post From Spreadsheets to Solutions: How PlexTrac Enhances Security Workflows appeared first on Shared Security Podcast.

The post From Spreadsheets to Solutions: How PlexTrac Enhances Security Workflows appeared first on Security Boulevard.

PANDA 2025 即将于北京开幕！OSR诚邀您拔冗参会！

PANDA 2025 即将于北京开幕！OSR诚邀您拔冗参会！

PANDA 2025 即将于北京开幕！OSR诚邀您拔冗参会！