Aggregator

欧盟推出本土漏洞数据库，替代美国主导的 CVE 系统

HackerNews
3 months ago
HackerNews 编译，转载请注明出处：  欧盟全新的全球漏洞编号分配系统正式上线运行。该系统为欧洲网络安全从业者提供了一个替代方案，以应对美国主导的 CVE 项目可能因资金不足而停摆的潜在风险。 该漏洞预警数据库项目，自 2025 年 4 月启动筹备，并于同年 5 月与欧盟漏洞数据库（EUVD）一同对外公布，最终在 2026 年 1 月 7 日正式面向公众开放。 该系统的核心目标是终结欧洲对美国漏洞数据库的依赖，强化欧洲数字主权。 Closed Door Security首席执行官威廉・赖特表示，GCVE 项目的落地，无论对欧盟本土还是全球的科技与网络安全行业而言，都是一项积极举措。 他指出：“倘若美国政府运营的 CVE 项目突然终止，整个行业将陷入混乱…… 公共与私营部门会因急于寻找替代方案而陷入信息盲区，这将给威胁攻击者留下巨大的可乘之机。” 赖特补充道：“尽管我们期望 CVE 项目能够持续运营，但拥有一个替代方案，将从整体上提升网络与科技领域的抗风险能力。”  对标米特雷 CVE 系统的去中心化替代方案  面向公众开放的 GCVE 系统，是由卢森堡计算机事件响应中心主导推出的去中心化漏洞追踪平台。 据 GCVE 官网介绍，这个以漏洞编号分配为核心的框架，最大的独特性在于它是真正意义上的“社区驱动型项目”。该平台整合并关联了来自 25 个公共数据源的漏洞信息，其中就包括米特雷公司运营的 CVE 项目。 官网指出：“通过整合来自去中心化发布方及现有漏洞数据库的数据，GCVE 有助于减少漏洞信息碎片化问题，提升全球漏洞态势的整体可见度。” 安全分析人士表示，欧盟推出这一系统，也是为了降低单一全球漏洞基础设施依赖所带来的风险。 整合 25 个公共数据源的 GCVE 平台 赖特进一步提及，外界对现有 CVE 项目的漏洞收录效率的担忧正在不断加剧。 他表示：“目前有大量漏洞等待在 CVE 平台上进行集中验证和收录，部分观点认为，米特雷公司已难以跟上当代威胁环境的演变速度与规模。” 赖特解释称，这款全新的去中心化系统设计之初就考虑了与 CVE 系统的交叉兼容性——“它能够整合并标准化来自多个数据源的信息，授权指定的 GCVE 编号机构（GNA）自主完成漏洞信息的记录与发布，无需经过中央机构审批。” 他补充道：“我们期望这一机制能够加快漏洞信息的记录流程，提升流程的稳健性，帮助政府与企业更快速地应对高危安全威胁。” 资金担忧催生欧洲自主方案 尽管欧盟漏洞数据库已在欧盟网络安全局的推动下研发近一年，但 GCVE 与 EUVD 两大数据库几乎同期落地，这一时间节点并非偶然。 2025 年 4 月 16 日，美国国土安全部在最后时刻才续签了美国本土 CVE 项目的资金，这一举措引发了全球首席信息安全官的恐慌 —— 他们高度依赖这个实时更新的数据库来保障自身机构的安全。 美国国家标准与技术研究院主导的行业标准漏洞编号项目，是由联邦政府资助、米特雷公司负责运营的项目。米特雷是一家非营利网络安全机构，总部位于华盛顿特区郊野及马萨诸塞州。 通用漏洞披露 CVE 数据库通过集中化管理，对已公开披露的安全漏洞进行识别、定义与分类编目，帮助信息技术团队及时掌握高危威胁动态及相应的修复方案。 这套统一的漏洞编号规则、严重程度分级标准以及详细的漏洞描述，能够助力各类机构及全球各地的从业者，实现专业技术信息的高效互通。 正因如此，为避免未来可能出现的服务中断风险，欧洲网络安全领域的负责人决定开发自主的替代系统。 除了支持批量开放数据下载及离线分析外，这个由欧盟资助的数据库还设立了专属的GCVE 编号机构。这些机构 “有权自主分配和发布漏洞标识符，同时通过通用协议与最佳实践，确保与其他系统的互操作性”。 兼容性问题仍存争议 不过，尽管 GCVE 系统有助于降低全球对美国 CVE 项目的依赖，Talion威胁情报主管娜塔莉・佩奇指出，欧盟的这套数据库系统 “应致力于实现与美国 CVE 项目的兼容，采用相似的术语体系与评级标准”。 她强调，该系统的目标 “不应是给各机构的漏洞追踪工作造成困扰，或是导致与 CVE 体系的脱节”。 GCVE 的定位并非彻底取代米特雷的 CVE 项目，而是在未来若因资金问题或政治因素，导致全球漏洞追踪服务面临中断风险时，为欧洲提供一个备选方案。 GCVE 官网表示：“通过授权 GNA 及其他发布方自主贡献数据，同时实现全球范围内的数据关联，GCVE 旨在减少漏洞管理体系中的单点故障，推动漏洞管理领域的创新发展。” 消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
hackernews

【动态】重庆信通设计院郑重签署：商用密码应用安全性评估行业自律公约

嘶吼
3 months ago


为规范商用密码应用安全性评估行业秩序、营造公平诚信市场环境，中国密码学会密评联委会发起《商用密码应用安全性评估行业自律公约》签约倡议。公约以独立公正、科学客观为核心，划定自律红线，筑牢行业发展制度根基。重庆信通设计院积极响应并签署践行，携手提升行业公信力，助力商用密码应用安全事业高质量发展。




来源：重庆信通设计院天空实验室

网络伍豪

SILENTDRIFT：利用动作分块实现对视觉-语言-动作模型的隐蔽后门攻击

Seebug Paper
3 months ago
作者：Bingxin Xu, Yuzhang Shang, Binghui Wang, Emilio Ferrara 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2601.14323v1 摘要 视觉-语言-动作（VLA）模型正日益部署于安全关键型机器人应用中，但其安全漏洞尚未得到充分研究。我们发现现代VLA系统存在一个根本性安全缺陷：动作分块与增...

2025年国内外网络安全法规政策年鉴

嘶吼
3 months ago

2025 年全球网络安全法规政策聚焦数据安全、AI 治理、关键信息基础设施保护等核心领域，我国持续完善网络安全法律体系，细化合规要求与责任界定，欧美等国强化监管规则与技术落地标准，形成了兼具地域特色与全球共识的治理格局。下面将盘点国内外发布的主要法规政策，梳理全年网络安全监管的发展脉络与核心方向。

国内网络安全法规政策：

《网络安全法》修正

2025年10月28日，全国人大常委会通过修改决定，2026年1月1日起施行。新增第三条明确网络安全工作坚持党的领导，贯彻总体国家安全观；增加 AI 相关条款，支持 AI 技术研发与安全监管；完善个人信息保护关联条款，明确网络运营者处理个人信息需遵守《个人信息保护法》等规定，同时调整部分处罚额度中央网信办。

《个人信息出境认证办法》

2025年10月14日由国家网信办、市场监管总局联合公布，2026年1月1日起施行，规范个人信息出境认证活动，明确认证条件、流程及专业机构要求，完善数据跨境流动合规体系中央网信办。

《网络数据安全管理条例》

自2025年1月1日起，《网络数据安全管理条例》正式实施。围绕网络数据处理活动的安全与规范，明确了总则、一般规定、个人信息保护、重要数据安全、数据跨境安全管理、网络平台服务提供者义务、监督管理及法律责任等内容，坚持总体国家安全观，实行数据分类分级保护，细化各方主体责任，规范数据处理全流程，兼顾数据利用与安全，同时明确违法处罚标准，保障个人、组织合法权益及国家安全和公共利益。

《个人信息保护合规审计管理办法》

自2025年5月1日起，《个人信息保护合规审计管理办法》正式实施。规范境内个人信息保护合规审计活动，明确了审计开展主体、频次、触发情形及专业机构资质与义务，细化了个人信息处理者的审计责任、整改要求及监督机制，附件《个人信息保护合规审计指引》则从合法性基础、处理规则、权利保障、技术措施、应急处置等多方面，明确了合规审计的重点审查事项，违规行为将依法追究法律责任，国家机关及相关公共事务组织的审计不适用本办法。

《人脸识别技术应用安全管理办法》

自2025年6月1日起，《人脸识别技术应用安全管理办法》正式实施。规范我国境内人脸识别技术处理人脸信息的活动（研发、算法训练除外），明确处理活动需遵循合法、正当、必要及最小影响原则，要求以显著方式充分告知个人相关事项并取得单独同意，对未成年人、特殊群体人脸信息保护作出专门规定，限定人脸信息存储传输要求、保存期限与备案流程，禁止将人脸识别作为唯一验证方式，严禁在私密空间安装相关设备，同时明确了事前评估、安全防护、监督检查及违规追责等要求，以此保护个人信息权益，维护国家安全与公共利益。

《关键信息基础设施商用密码使用管理规定》

自2025年8月1日起《关键信息基础设施商用密码使用管理规定》正式实施。明确监管职责分工，要求关键信息基础设施运营者落实商用密码 “三同步” 建设、定期开展应用安全性评估，规范人员、经费、产品技术管理，设定违规处罚机制，保障关键信息基础设施安全。

《国家网络身份认证公共服务管理办法》

自2025年7月15日起，《国家网络身份认证公共服务管理办法》正式实施。推进国家网络身份认证公共服务建设，明确网号、网证的定义与用途，规范申领规则（未成年人需监护人同意或代办）。鼓励部门、行业及平台推广应用，同时保留其他合法核验方式，禁止平台强制索要明文身份信息。强调公共服务平台的信息安全与隐私保护义务，明确违规处罚依据，保障公民信息安全，支撑数字经济健康发展。

《人工智能拟人化互动服务管理暂行办法（征求意见稿）》

2025年12月27日，为了促进人工智能拟人化互动服务健康发展和规范应用，依据《中华人民共和国民法典》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规，国家互联网信息办公室起草了《人工智能拟人化互动服务管理暂行办法（征求意见稿）》。

国外主要网络安全法规政策

欧盟《人工智能法案》

欧盟《人工智能法案》（AI Act）全面生效：2025年正式落地，对高风险 AI 系统实施严格监管，算力超 10^25 FLOPS 的基础模型需完成全流程安全认证，要求训练数据可追溯、模型可解释，且高风险 AI 系统需每季度提交更新报告并附第三方评估结论，同时衔接 GDPR，强化欧盟公民数据保护。

欧盟《网络安全蓝图提案》

2025年2月，欧盟委员会公布提案，明确各主体在网络危机生命周期中的角色，加强民事与军事实体（含北约）合作，提升大规模网络事件响应能力。

美国《AI 数据安全联合指南》

2025年5月，NSA、CISA 联合澳、新、英等国发布《AI 数据安全：保障用于训练和运行 AI 系统的数据的最佳实践》，强调 AI 全生命周期数据保护策略，提供数据供应链、恶意数据篡改等风险缓解措施。

美国《人工智能立法》

美国38个州通过了人工智能立法，其中最重要的法律于2026年1月1日生效。涵盖算法透明度、自动决策告知、训练数据标注等内容，构建联邦与州两级 AI 监管体系。

结语：

2025年，全球网络安全法规政策的发展方向十分明确，数据安全与跨境流动规则在不断完善，中国、欧盟等主要经济体都在强化个人信息和重要数据的保护，推动数据合规跨境流动。此外，AI 安全治理成为各国监管的重点，相关法规陆续出台，目的就是规范技术研发和应用，在创新和安全之间找到平衡点。同时，关键信息基础设施的保护力度持续加大，通过立法明确了各方责任主体，对技术防护和合规管理都提出了更严格的要求。

参考及来源：

https://www.cac.gov.cn/2025-12/31/c_1768823198284221.htm?f_link_type=f_linkinlinenote&flow_extra=eyJpbmxpbmVfZGlzcGxheV9wb3NpdGlvbiI6MCwiZG9jX3Bvc2l0aW9uIjowLCJkb2NfaWQiOiIzYjNkZDgwYTY5Yjc0ZjI1LTE0MmU2Y2ZiMzkyYTJkNGIifQ%3D%3D

https://www.gov.cn/zhengce/zhengceku/202409/content_6977767.htm

https://www.cac.gov.cn/2025-02/14/c_1741233507681519.htm

https://www.gov.cn/zhengce/zhengceku/202503/content_7016075.htm

https://www.cac.gov.cn/2025-07/01/c_1753083518894995.htm

https://www.cac.gov.cn/2025-05/23/c_1749711107835487.htm

https://www.cac.gov.cn/2025-12/27/c_1768571207311996.htm

https://www.twobirds.com/-/media/new-website-content/pdfs/capabilities/artificial-intelligence/eu-ai-act-guide-chinese-version.pdf

https://ecas.cas.cn/xxkw/kbcd/201115_147064/ml/xxhzlyzc/202503/t20250324_5059696.html

https://ecas.cas.cn/xxkw/kbcd/201115_147878/ml/xxhzlyzc/202506/t20250618_5073693.html

https://introl.com/zh/blog/federal-state-ai-law-showdown-trump-executive-order

山卡拉

纽约州公务员工会遭黑客攻击：2025 年 5 月数据泄露致 4.7 万名会员社保号外泄

HackerNews
3 months ago
HackerNews 编译，转载请注明出处： 美国纽约州 公务员工会的系统被恶意攻击者侵入并潜伏近一个月，数万名会员的个人信息或已遭访问。 该工会已向数千名会员发送通知，告知 2025 年发生的这起数据泄露事件。据泄露事件通知函显示，攻击者在2025 年 5 月 3 日至 5 月 31 日期间，持续在工会系统内活动。 纽约州公务员工会是代表该州州及地方政府雇员利益的劳工组织，目前拥有约 30 万名会员。而该工会提交给缅因州总检察长办公室的信息显示，此次数据泄露导致超过 4.7 万名人员的个人信息外泄。 通知函指出，纽约州公务员工会于 2025 年 5 月下旬发现系统存在未授权访问行为，并立即启动调查。在调查期间，工会采取了下线相关系统、重置密码、部署高级安全检测软件等一系列措施。 该工会解释称：“经核查，我们确认在此期间，一份包含你个人信息的文件被未授权人员获取。不过，目前的调查尚未发现任何与本次事件相关的、利用这些信息实施欺诈或身份盗用的证据。” 调查结果显示，攻击者可能获取了工会会员的姓名及社会保险号码。这些外泄的信息可能会被恶意攻击者用于身份盗用犯罪。 理论上，攻击者可利用这些信息，以受害者的名义开设虚假信贷账户、提交纳税申报单、申领各类福利补贴。最令人担忧的是，社会保险号码具有终身唯一性，无法更改，这会给相关受害者带来长期的网络安全风险。 工会在通知中表示：“我们已与顶尖的网络安全及隐私保护机构合作，协助开展调查与应急处置工作。在确认系统存在未授权活动后，我们立即着手分析涉事数据，以确定潜在受影响人员的身份，并及时向他们发出通知。” 官方建议受影响人员保持警惕，定期查看信用报告、核对账户账单明细，密切留意任何可疑活动。个人可通过多种方式防范身份盗用风险，Cybernews 团队已在此处列出了多项防护措施。 纽约州公务员工会是美国规模较大的劳工组织之一，同时也是美国州、县、市雇员联合会的最大成员单位。该联合会是美国最大的公共部门雇员工会，而纽约州公务员工会的会员人数约占其总人数的四分之一。   消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
hackernews

韩国制药巨头超 800 万条内部信息及员工档案遭泄露

HackerNews
3 months ago
HackerNews 编译，转载请注明出处： 高科技企业通常会不遗余力地保护自身知识产权，但在其他敏感数据的防护上，却往往有所疏漏。例如，Cybernews 研究团队就发现了一个暴露在外的 MongoDB 数据库，其中存储着保宁制药的数百万条聊天记录。 Boryung制药及医疗企业在本土市场知名度颇高，拥有近 1500 名员工。 研究团队指出，此次暴露的 MongoDB 数据库中，包含超 800 万条来自企业内部通讯工具GW 即时通讯软件的聊天记录。 GW 即时通讯软件是一款韩国本土企业级通讯系统，被多家企业采用。研究团队判断，此次泄露大概率是企业员工内部通讯平台的后端数据库被意外暴露所致。 此外，除聊天记录外，研究团队还在该数据库中发现了近 3500 份员工用户档案。 研究人员表示：“此次数据泄露属于严重的企业安全事件，外泄的内部通讯内容、组织架构信息、设备元数据及身份信息，都可能被用于发起定向网络攻击。” 尽管Boryung尚未对相关问询作出回应，但该暴露的数据库现已被关闭，不再对外开放访问。 Boryung数据泄露事件详情  此次暴露的 MongoDB 数据库完全处于无防护状态，无需任何授权即可访问。此外，该数据库直接面向公共互联网开放完整读取权限，任何发现该数据库的人员均可查看其中内容。 总体而言，外泄数据可分为三大类： 员工身份数据 具体包含： 员工全名 企业邮箱 用户名 哈希加密密码 设备元数据 攻击者利用此类数据最直接的方式是实施身份盗用，冒用信息泄露用户的身份行事。不过在本次事件中，恶意攻击者更有可能将这些数据用于社会工程学攻击。 攻击者甚至可能在该通讯平台上注册账号，辅助实施社会工程学攻击；或直接修改用户密码，达成相同目的。 尽管泄露的密码经过哈希加密处理，但研究团队认为，动机明确的攻击者可通过离线破解的方式，花费时间算力破译这些密码。一旦破解成功，攻击者不仅能够入侵企业系统，还可能利用这些密码发起撞库攻击—— 毕竟许多用户存在多个账号复用同一密码的习惯。 内部通讯记录 这部分数据包含 800 万条聊天记录，内容大概率涉及： 商业洽谈内容 人力资源相关议题 财务沟通信息 内部链接、文档及附件 项目管理沟通记录 员工私人对话 此类信息泄露的危害极大，企业内部聊天记录往往包含各类商业机密，其中不乏对竞争对手极具价值的内容。 研究团队解释道：“内部聊天记录中通常会包含网址、内部 IP 地址或参考资料，这些信息能帮助攻击者进一步深入渗透企业系统。” 此外，内部通讯内容还可能泄露从研发动态到合规监管讨论等各类信息。恶意攻击者可利用这些信息伪装成企业员工，凭借聊天记录中的细节获取他人信任。 系统元数据 具体包含： 时间戳 消息渠道 / 群组信息 用户 – 渠道对应关系 内部路由标识符 研究人员建议Boryung立即重置全体员工密码、作废现有身份验证令牌，并强制移动端通讯软件用户下线重新登录。 他们还强调：“该公司应当立即开展数字取证调查，确认这个暴露的数据库是否已被未授权人员访问。” 消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  
hackernews

约旦利用Cellebrite手机入侵工具，针对加沙战争批评者实施监控

HackerNews
3 months ago
HackerNews 编译，转载请注明出处： 一份最新报告显示，2023 年末至 2025 年年中期间，约旦当局使用以色列Cellebrite公司的数字取证软件，从至少七名约旦活动人士和人权捍卫者的手机中提取数据。 加拿大Citizen Lab于周四发布这份报告，其结论依据来源于该研究所对 4 起案件中被扣押手机开展的数字取证分析，以及另外 3 起案件的约旦法庭记录。报告指出，公民实验室取证分析的设备中，有 3 部为苹果手机，1 部为安卓手机。 公民实验室强调，所有被曝光的数据提取行为，均发生在这些活动人士因发表批评以色列加沙军事行动的言论，遭到约旦当局审讯或拘留期间。 总部位于以色列的赛取证公司，主营产品为供全球执法机构使用的手机解锁取证软件。该公司曾协助美国联邦调查局，从多起重大案件嫌疑人的设备中提取数据，其中就包括 2024 年被控图谋刺杀唐纳德・特朗普的嫌疑人的手机。 尽管报告仅详细披露了 7 起案件，但公民实验室表示，其已掌握数十起约旦当局使用赛取证工具针对公民社会人士的相关案例。该研究所此前曾对约旦活动人士的手机进行检测，并认为约旦当局至少自 2020 年起就已开始使用Cellebrite软件。 约旦对活动人士的打压最早可追溯至 2015 年，该国于当年出台一部网络犯罪法，将部分网络言论列为刑事犯罪行为。2023 年，该国对这部法律进行修订，进一步扩大了非法言论的界定范围，将 “诋毁、诽谤或蔑视他人” 的表述也纳入其中。 Cellebrite软件能够提取手机中的各类数据，包括聊天记录、文件、照片、视频、位置轨迹、保存的密码、无线网络连接记录、通话记录、电子邮件、网页浏览历史、社交媒体账户信息、第三方应用数据，甚至是手机用户已尝试删除的数据。 该平台会采用暴力破解及更高级的漏洞利用两种方式，绕过设备的安全防护与加密机制。报告还指出，即便无需破解锁屏密码，各国政府也会借助赛取证工具 “协助完成数据提取与可视化呈现”。 约旦并非首个被曝出滥用Cellebrite工具的国家。2024 年 12 月，国际特赦组织曾公布证据，证实塞尔维亚当局在扣押一名记者和一名活动人士期间，使用赛取证工具秘密解锁二人的手机，并在设备中植入间谍软件。 公民实验室还援引多份报告指出，俄罗斯、尼日利亚、博茨瓦纳、缅甸和意大利等国政府，均存在滥用赛取证工具监视公民社会人士的行为。报告称，Cellebrite还曾向白俄罗斯、孟加拉国、中国、中国香港地区和委内瑞拉的独裁政权出售其软件。 公民实验室已联系Cellebrite公司发言人要求置评，并向记者分享了该公司的一份声明。 该发言人未否认公民实验室关于约旦的相关调查结论，仅表示 “作为一项政策，我们不会对具体个案发表评论”。 声明称：“公司会依据内部人权标准对潜在客户进行审核，基于此，我们历史上已在多个被判定为风险与企业价值观不符的司法管辖区终止业务。我们的技术授权仅用于合法用途，要求客户在使用前必须明确证明其拥有合法授权。” “对于任何可能违反终端用户协议中明确及隐含条款的技术滥用指控，我们均会严肃对待。” 公民实验室表示，其在所有 4 部接受取证分析的手机中，均发现了与Cellebrite工具相关的苹果 iOS 系统和安卓系统入侵痕迹。 这些活动人士均被强迫通过人脸识别或输入密码的方式，向当局解锁自己的手机。报告提到一个案例：一名活动人士在被拘留后取回手机时，发现自己的锁屏密码被写在一张贴在手机背面的胶带上 —— 而这名活动人士从未向当局提供过自己的密码。 公民实验室获取的法庭记录，均与约旦当局依据该国网络犯罪法起诉活动人士的案件相关。 公民实验室指出，每份法庭记录中都附有一份 “由约旦刑事侦查部门出具的技术报告，其中包含对被扣押设备开展取证数据提取的总结内容”。 公民实验室建议赛取证公司考虑为其目标设备添加水印标记，为每台设备附上与特定客户绑定的唯一识别码，以此提高责任追溯效率，让技术滥用行为更易被察觉。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
hackernews

新型 Osiris 勒索软件借助 POORTRY 驱动发起攻击

HackerNews
3 months ago
HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一个名为 Osiris的新型勒索软件家族的相关细节，该勒索软件于 2025 年 11 月针对东南亚一家大型餐饮服务加盟商发起攻击。 赛门铁克与炭黑威胁狩猎团队指出，此次攻击利用了一款名为POORTRY的恶意驱动程序，采用的是一种名为自带易受攻击驱动程序的已知攻击技术，以此破坏安全软件的防御功能。 值得注意的是，此次发现的Osiris被判定为全新勒索软件变种，与 2016 年 12 月出现的同名称变种并无关联 —— 后者是Locky勒索软件的衍生版本。目前，该勒索软件的开发者身份尚不明确，也无法确定其是否以勒索软件即服务的模式对外提供。 不过，这家隶属于博通公司的网络安全部门表示，他们已发现相关线索，表明部署该勒索软件的威胁攻击者，此前可能与INC 勒索软件存在关联。 该公司在向thehackernews提供的一份报告中指出：“攻击者在此次攻击中使用了各类原生工具与双用途工具，同时还部署了 POORTRY 恶意驱动程序。这款驱动程序很可能是作为自带易受攻击驱动程序攻击的一部分，用于禁用安全软件。” “攻击者将窃取的数据上传至Wasabi 云存储桶，且使用的Mimikatz 工具版本及文件名（kaz.exe），均与此前 INC 勒索软件攻击者所使用的一致，这些都表明此次攻击与部分 INC 勒索软件攻击事件存在潜在关联。” Osiris被描述为一种高效的加密载荷，推测是由经验丰富的攻击者开发使用。该勒索软件采用混合加密方案，会为每个文件生成唯一的加密密钥。其功能具备灵活性，可实现停止服务、指定待加密的文件夹与文件扩展名、终止进程以及投放勒索信等操作。 默认情况下，奥西里斯被设计用于终止一系列进程与服务，涉及范围包括微软办公套件、Exchange 邮件服务器、火狐浏览器、写字板、记事本、卷影副本以及威联通备份软件等。 目标网络中出现恶意活动的首个迹象，是攻击者在部署勒索软件前，通过Rclone 工具将敏感数据窃取至 Wasabi 云存储桶。此外，攻击者还使用了多款双用途工具，如Netscan 网络扫描工具、Netexec 渗透测试工具和 MeshAgent 远程管理工具，同时还有一款定制版本的向日葵远程控制软件。 POORTRY 驱动程序与传统的自带易受攻击驱动程序攻击所使用的驱动有所不同，它并非向目标网络部署 “合法但存在漏洞” 的驱动程序，而是一款专门用于提升权限和终止安全工具的定制驱动。 赛门铁克与炭黑威胁狩猎团队强调：“攻击者还在目标网络中部署了KillAV 工具，该工具的作用是投放存在漏洞的驱动程序，进而终止安全进程。此外，目标网络的远程桌面协议（RDP）被启用，这很可能是为了方便攻击者获取远程访问权限。” 当前，勒索软件仍是企业面临的重大安全威胁，其攻击态势也在不断变化 —— 部分攻击团伙销声匿迹，而新的团伙则迅速崛起或趁机填补空缺。赛门铁克与炭黑对数据泄露网站的分析数据显示，2025 年勒索软件攻击者共宣称发动了4737 起攻击，相较于 2024 年的 4701 起，同比增长 0.8%。 2025 年最为活跃的勒索软件团伙包括Akira、Qilin、Play、INC、SafePay、RansomHub、DragonForce、Sinobi、Rhysida以及CACTUS。该领域其他值得关注的动态如下： 2025 年中后期观测到的攻击事件显示，使用Akira勒索软件的威胁攻击者，借助存在漏洞的Throttlestop 驱动程序，并结合Windows CardSpace 用户界面代理与微软媒体基础保护管道，实现 Bumblebee loader的侧载执行。 Akira勒索软件团伙还利用SonicWall SSL VPN的漏洞发起攻击，针对处于并购阶段的中小企业环境实施入侵，最终获取对规模更大的收购方企业的访问权限。另有一起阿基拉攻击事件显示，攻击者通过类 ClickFix 人机验证钓鱼诱饵，投放一款名为SectopRAT的.NET 远程访问木马，以此作为远程控制和勒索软件投递的通道。 LockBit勒索软件虽在 2024 年初遭遇执法部门的打击行动，但其基础设施仍在持续运作，并于 2025 年 10 月与DragonForce、Qilin达成合作。该团伙还推出了LockBit 5.0 变种，可针对多种操作系统和虚拟化平台发起攻击。LockBit 5.0 的一项重大更新是采用双阶段勒索软件部署模式，将加载器与主载荷分离，同时最大限度提升攻击的隐蔽性、模块化程度和破坏效果。 Sicarii的新型勒索软件即服务运营团伙于 2025 年末首次出现，截至目前仅宣称攻击了一名受害者。该团伙公开宣称自己具有以色列 / 犹太背景，但分析发现，其地下网络活动主要使用俄语，且发布的希伯来语内容存在语法和语义错误。这一现象引发外界猜测，该团伙可能是一次虚假旗标操作。西卡里团伙的主要操作者使用的电报账号为 “@Skibcum”。 有观测显示，名为Storm-2603的威胁攻击者，将合法的迅猛龙数字取证与事件响应工具作为前置攻击手段，为后续投放Warlock、Babuk勒索软件铺路。在攻击过程中，该团伙还利用两款驱动程序（“rsndispot.sys” 和 “kl.sys”）以及 “vmtools.exe” 工具，通过自带易受攻击驱动程序攻击手段破坏安全防护方案。 Makop针对印度、巴西和德国的目标发起攻击，利用暴露且存在安全隐患的远程桌面协议系统，投放用于网络扫描、权限提升、禁用安全软件、凭据窃取和勒索软件部署的各类工具。此次攻击中，除了使用 “hlpdrv.sys” 和 “ThrottleStop.sys” 驱动程序实施自带易受攻击驱动程序攻击外，攻击者还通过GuLoader 加载器投递勒索软件载荷。这是首次有文献记载马科普勒索软件通过加载器进行分发的案例。 另有勒索软件攻击事件显示，攻击者利用已泄露的远程桌面协议凭据获取初始访问权限，随后开展侦察、权限提升、借助远程桌面协议横向移动等操作；在入侵的第六天，将窃取的数据上传至temp [.] sh 平台，并在三天后投放Lynx。 研究发现，Obscura的加密流程存在安全缺陷，这一缺陷会导致大型文件无法被恢复。Coveware指出：“当隐匿者勒索软件加密大型文件时，无法将加密临时密钥写入文件尾部。对于超过 1GB 的文件，其尾部信息根本不会生成 —— 这意味着用于解密的密钥永久丢失，此类文件将彻底无法恢复。” 一个名为01flip的新型勒索软件家族，针对亚太地区的特定目标发起攻击。该勒索软件由Rust 语言编写，可同时针对 Windows 和 Linux 系统发起攻击。其攻击链的核心环节，是利用已知安全漏洞（如CVE-2019-11580 漏洞）获取目标网络的初始立足点。该勒索软件被归因于一个名为CL-CRI-1036的牟利型威胁攻击者。 为防范定向攻击，安全机构建议企业采取以下防护措施：监控双用途工具的使用情况、限制远程桌面协议服务的访问权限、强制启用多因素认证、合理部署应用程序白名单策略、并实施备份数据的异地存储方案。 赛门铁克与炭黑公司表示：“尽管加密型勒索软件攻击的猖獗程度不减，依然构成严重威胁，但新型无加密勒索攻击的出现进一步加剧了风险，催生了一个更为庞大的敲诈勒索生态系统 —— 在这个生态系统中，勒索软件或许只是其中一个组成部分。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
liuwq

Pwn2Own Automotive 2026 - Day Three Results and the Master of Pwn

Zero Day Initiative
3 months ago

The last day of Pwn2Own Automotive 2026 saw the world’s top security researchers take their final shots at the latest automotive systems. Over three days of intense competition, $1,047,000 USD was awarded for 76 unique 0-day vulnerabilities, with bold exploits, clever techniques, and collisions keeping the action thrilling throughout.

By the end, Tobias Scharnowski (@ScepticCtf), Felix Buchmann (@diff_fusion), and Kristian Covic (@SeTcbPrivilege) of Fuzzware.io claimed the title of Master of Pwn, earning 28 points and $215,500 USD.

Follow the final updates on Twitter, Mastodon, LinkedIn, and Bluesky, and join the conversation using #Pwn2OwnAutomotive and #P2OAuto.

SUCCESS / COLLISON - Tobias Scharnowski (@ScepticCtf), Felix Buchmann (@diff_fusion), and Kristian Covic (@SeTcbPrivilege) of Fuzzware.io targeted the Alpine iLX-F511, demonstrating one vulnerability previously used by another contestant, earning $2,500 USD and 1 Master of Pwn point. #Pwn2Own #P2OAuto

SUCCESS / COLLISON - Slow Horses of Qrious Secure (@qriousec) targeted the Grizzl-E Smart 40A but encountered two bug collisions, still earning $5,000 USD and 2 Master of Pwn points.

SUCCESS / COLLISON - Team MST targeted the Kenwood DNR1007XR, demonstrating one bug but running into a collision, earning $2,500 USD and 1 Master of Pwn point.

SUCCESS - PetoWorks (@petoworks) targeted the Grizzl-E Smart 40A, exploiting one buffer overflow bug, and earned $10,000 USD and 4 Master of Pwn points.

SUCCESS - Bongeun Koo (@kiddo_pwn) and Evangelos Daravigkas (@freddo_1337) of Team DDOS targeted the Alpine iLX‑F511, exploiting a stack‑based buffer overflow to earn $5,000 USD and 2 Master of Pwn points.

SUCCESS - Viettel Cyber Security (@vcslab) targeted the Sony XAV‑9500ES, exploiting a heap‑based buffer overflow to achieve arbitrary code execution, earning $10,000 USD and 2 Master of Pwn points. #Pwn2Own #P2OAuto

SUCCESS / COLLISON - Qrious Secure (@qriousec) targeted the Kenwood system, demonstrating three bugs - one n-day and two unique vulnerabilities (incorrect permission assignment and a race condition), earning $4,000 USD and 1.75 Master of Pwn points.

SUCCESS - Boom! or shall we say Doom? Game On! Aapo Oksman, Elias Ikkelä-Koski and Mikael Kantola of Juurin Oy exploit the Alpitronic HYC50 with a TOCTOU bug - and installed a playable version of Doom to boot. They earn $20,000 and 4 Master of Pwn points. #Pwn2Own #P2OAuto

SUCCESS / COLLISON - Nguyen Thanh Dat (@rewhiles) of Viettel Cyber Security (@vcslab) targeted the Kenwood DNR1007XR, demonstrating one bug but encountering a collision, earning $2,500 USD and 1 Master of Pwn point.

SUCCESS / COLLISON - Autocrypt (Hoyong Jin, Jaewoo Jeong, Chanhyeok Jung, Minsoo Son, and Kisang Choi) targeted the Alpine iLX-F511, demonstrating two vulnerabilities to gain root access. One collided with a previously known issue, earning $3,000 USD and 1.25 Master of Pwn points.

SUCCESS - Elias Ikkelä-Koski and Aapo Oksman of Juurin Oy targeted the Kenwood DNR1007XR, demonstrating a link-following vulnerability to earn $5,000 USD and 2 Master of Pwn points.

SUCCESS - Nam Ha Bach and Vu Tien Hoa of the FPT NightWolf Team targeted the Alpine iLX-F511, exploiting one unique vulnerability to gain root access and earning $5,000 USD and 2 Master of Pwn points.

SUCCESS / COLLISON - Ryo Kato (@Pwn4S0n1c) targeted the Autel MaxiCharger AC Elite Home 40A, demonstrating a three-bug chain but encountering one collision, still earning $16,750 USD and 3.5 Master of Pwn points.

Dustin Childs

Managed ad