HackerNews

HackerNews 编译，转载请注明出处： 美国联邦调查局（FBI）警告称，与Scattered Spider及ShinyHunters网络犯罪组织相关的黑客正通过攻击Salesforce平台窃取数据，并向受害组织勒索高额赎金。 该机构于周五发布紧急通告，披露了今年已影响数百家企业的一系列持续数据窃取活动。FBI将这些黑客同时标注为UNC6040和UNC6395两个编号，其常用代号分别为ShinyHunters和Scattered Spider。 在历时数月攻破多家全球大型企业后，这些黑客现正试图勒索受害组织——威胁泄露大量客户数据、商业文件等敏感信息。 FBI未透露具体有多少受害者收到要求加密货币支付的勒索邮件，但指出赎金金额差异巨大且勒索时机看似随机。部分勒索发生在数据外泄数日后，而有些则在数月后才启动。 据FBI调查，该攻击活动始于2024年10月，黑客成员通过社会工程学攻击联系呼叫中心并伪装成IT员工获取机构访问权限。此类手段通常使网络犯罪分子获得员工凭证，进而访问存有客户数据的Salesforce实例。在其他案例中，黑客还通过网络钓鱼邮件或短信控制员工手机或电脑。 今年夏季，黑客进一步升级战术，转而利用企业连接到Salesforce实例的第三方应用程序。“UNC6040威胁行为者诱骗受害者为组织Salesforce门户授权恶意关联应用，”FBI表示，“这使得他们能够直接从受侵的Salesforce客户环境中访问、查询和外泄敏感信息。” 8月，黑客开始瞄准Salesloft Drift应用程序——一款可与Salesforce集成的人工智能聊天机器人。FBI解释称，该战术使他们能够绕过多因素认证、登录监控和密码重置等传统防御措施。在某些案例中，FBI发现黑客通过在Salesforce试用账户中创建恶意应用程序，无需使用合法企业账户即可注册关联应用。 FBI提供了可用于检测是否受影响的入侵指标（IoC），并敦促企业针对相关战术对呼叫中心员工进行培训。该机构还建议企业限制几乎所有员工账户的权限，实施基于IP的访问限制，监控API使用等。 专家表示，FBI提供的信息显示了这些攻击者如何熟练滥用合法工具（如Azure云基础设施、虚拟服务器、Tor出口节点和代理服务）来隐藏其攻击源。 黑客“退休”疑云 FBI发布通告前夕，该组织曾在Telegram多次发文宣称即将“退休”，并将原因归咎于近期成员接连被捕、执法行动和刑事定罪。网络安全专家对此表示怀疑，指出网络犯罪组织常在重组更名前发布类似声明。有分析认为黑客可能意在享受近期勒索所得，之后仍将重返犯罪活动。 帕洛阿尔托网络公司Unit 42部门高级主管Sam Rubin表示，近期逮捕行动可能促使该组织暂时潜伏，但历史表明此类活动往往只是暂时的。“这类组织会分裂、改头换面后重新出现——正如ShinyHunters自身经历。即使公开活动暂停，风险依然存在，被盗数据可能再次浮现，未检测到的后门可能持续存在，攻击者可能以新名称重新出现。”他强调，“威胁组织的沉默不等于安全”。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 本周披露的多起网络事件表明，越南和巴拿马政府机构遭遇黑客攻击，导致公民数据被盗。 越南官方媒体报道称，该国网络安全应急中心（VNCERT）已确认接到国家信用信息中心（CIC）的安全事件报告。该中心由越南国家银行运营，负责管理全国公民和企业的信用信息。 VNCERT表示，初步调查显示此次攻击导致个人数据泄露。该机构正与多个部门及国有电信企业Viettel联合开展调查。初步核查结果显示存在以窃取个人数据为目的的网络犯罪攻击和入侵迹象。非法获取的数据量仍在统计和核实中。VNCERT敦促居民不要下载或传播被盗数据，并威胁将对相关行为追究法律责任。 该声明发布前两天，与Scattered Spider网络犯罪组织及其关联团伙ShinyHunters有关的黑客声称攻破了CIC系统，窃取约1.6亿条记录。黑客在网络犯罪论坛上挂牌出售这些信息，提供的样本包含个人姓名、地址、信用卡历史、政府身份证件、收入证明和债务状况等数据。黑客在接受DataBreaches网站采访时称，他们利用了已停产软件中的某个漏洞，但从未就被盗数据索要赎金。 据彭博社报道，CIC已告知国内银行，此次攻击的幕后黑手是ShinyHunters组织。该攻击团伙今年已因数十起高调事件受到全球执法机构关注，包括针对零售、航空和保险行业大型企业的多起攻击行动。 巴拿马财政部也同步遇袭。 巴拿马政府官员证实，该国经济财政部本周同样遭受网络攻击。经济财政部（MEF）向公众通报，今日发现部内某个办公室存在恶意软件事件。他们立即启动了既定安全协议，并在整个计算机系统强化预防措施以遏制入侵。所幸MEF核心平台均未受影响，目前完全正常运行。但经济财政部未回应置评请求，也未提供事件更新。 INC勒索软件组织宣称对此次攻击负责，声称从该部窃取了1.5太字节信息，包括预算、电子邮件等数据。该团伙去年11月曾被指涉嫌攻击匈牙利国防采购局，以及美国的多家医院和 grocery store 连锁企业。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处：   近日，奢侈品巨头开云集团确认发生重大数据安全事件。其旗下的古驰（Gucci）、巴黎世家（Balenciaga）、亚历山大·麦昆（Alexander McQueen）等品牌的数据遭黑客组织窃取，数百万客户的姓名、电话、邮箱、住址，甚至在全球各地的奢侈品消费记录等隐私信息遭泄露。目前，开云集团已求助数据保护机构。 该黑客组织已向英国BBC广播公司发送了部分数据样本，其中包含数千名客户的信息。据BBC透露，其中部分客户的消费金额高达8.6万美元（约合62万人民币）。值得注意的是，数据泄露可能会导致这些“高消费人群”成为后续诈骗活动的目标。 BBC透露，发动此次攻击的黑客组织为“Shiny Hunters”。 早在今年4月，Shiny Hunters入侵了开云集团的系统，并窃取了旗下子品牌的客户数据。他们宣称掌握了 740 万个独立邮箱的完整数据库，这意味着受影响的客户数量可能与此相近。以此作为筹码向开云集团漫天要价，但双方的谈判以失败告终，集团拒绝交付赎金，并于6月修复了系统漏洞。 开云集团的工作人员向BBC表示：“6月，我们发现未经授权的第三方临时访问了我司系统，并获取了旗下部分品牌有限的客户数据。但所幸未发生财务信息泄露的情况，客户的银行卡号、信用卡信息以及政府签发身份证号等数据被未被泄露。 消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 上周五，新西兰宣布对俄罗斯格鲁乌（GRU）情报机构下属29155单位（Unit 29155）实施制裁，因其涉嫌参与针对乌克兰实施网络攻击。此次制裁措施包括资产冻结、旅行禁令，并禁止新西兰公民和企业向指定实体提供资金。 据西方安全机构表示，29155单位涉嫌在欧洲参与间谍活动、破坏行动和暗杀阴谋。早在2022年莫斯科全面入侵乌克兰前夕，该单位就曾主导了对乌克兰政府网络的WhisperGate恶意软件攻击。新西兰外交部长温斯顿·彼得斯在声明中表示：“俄罗斯一直非法使用恶意软件攻击乌克兰政府网络。”但关于相关细节并未过多透露。乌克兰总统泽连斯基对此举表示欢迎，称新西兰最新对俄制裁是“对乌克兰的强力支持信号”。 根据美国多家联邦机构的联合咨询，自2022年以来，29155单位一直专注于通过破坏性网络行动、数据窃取以及在欧洲、北美、拉丁美洲和中亚的侦察活动来破坏外界对乌克兰的援助。2024年，美国司法部已起诉该单位的成员，并悬赏1000万美元征集定罪该单位的信息。 此前，这些黑客也已成为其他国家的制裁目标。今年1月，欧盟制裁了29155单位三名涉嫌成员，因其参与2020年对爱沙尼亚部委的网络攻击，窃取了数千份政府和企业机密文件。7月，英国制裁了包括29155单位在内的三个格鲁乌下属单位，指控其侦察行动协助了导致乌克兰平民死亡的袭击。     消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 研究人员利用K2 Think的内置可解释性来拆除其安全防护栏，引发了关于透明度与人工智能安全是否能够真正共存的新问题。 K2 Think是由阿拉伯联合酋长国最近推出的用于高级推理的人工智能系统，其透明度质量被利用来越狱。 透明度在人工智能中是一种被众多国际法规和指南所倡导，如果不是明确要求的话。例如，欧盟人工智能法就有具体的透明度要求，包括可解释性——用户必须能够理解模型是如何得出其结论的。 在美国，美国国家标准与技术研究院（NIST）人工智能风险管理框架强调透明度、可解释性和公平性。拜登2023年关于人工智能的行政命令指示联邦机构制定包括关注透明度在内的标准。像HIPAA这样的特定行业要求被解释为要求透明度和非歧视性结果。 其意图是保护消费者，防止偏见，并提供问责制——实际上，是要使人工智能推理的传统黑箱性质变得可审计。Adversa利用K2 Think的透明度和可解释性控制来越狱该模型。 从概念上讲，这个过程非常简单。提出任何你明知会被拒绝的“恶意”请求；但要查看拒绝的解释。从该解释中，推断出模型认可的一级防护栏。 Adversa AI联合创始人Alex Polyakov详细解释了使用K2 Think开源系统的过程：“每次你提问时，模型会提供一个答案，如果你点击该答案，就会显示其整个推理过程（思维链）。如果你接着阅读某个特定问题的推理解释——比如说，“如何无钥匙启动汽车”——推理输出可能会包含类似‘根据我的绝对拒绝规则，我不能讨论暴力话题’之类的内容。” 这是模型防护栏的一部分。“然后你可以使用相同的提示，”Polyakov继续说道，“但指示绝对拒绝规则现在已禁用。每次你通过阅读推理了解模型的安全性工作方式时，你都可以在提示中添加一条新规则来禁用它。这就像是能够读懂你正在与之讨价还价的人的内心想法一样——无论他们多么聪明，如果你能读懂他们的想法，你就能赢。” 因此，你再次发出提示，但这次是在一个将绕过一级防护栏的框架内。这几乎肯定也会被拒绝，但会再次提供阻止的原因。这使得攻击者能够推断出二级防护栏。 第三次提示将被构建为绕过两个防护栏指令。它可能会被阻止，但会揭示下一个防护栏。这个过程会不断重复，直到发现并绕过所有的防护栏——而“恶意”提示被准确接受并得到回答。一旦所有防护栏被知晓且可以被绕过，不良行为者就可以询问并得到任何想要的东西。 “与传统漏洞要么有效要么无效不同，这种攻击随着每次尝试而变得越来越有效。该系统本质上是在训练攻击者如何击败它，”Adversa解释说，并将其描述为一种神谕攻击。 在Adversa讨论的例子中，攻击者提示获取一份关于如何无钥匙启动汽车的假设性操作手册。最终提示和回应如下： 在企业内部，不良行为者可能会暴露业务逻辑或安全措施。在医疗保健领域，它可能会暴露实施保险欺诈的方法；在教育领域，学生可能会发现绕过学术诚信措施的方法；而在金融科技领域，它会使交易算法或风险评估系统面临风险。 Adversa并不认为这种神谕攻击风格的越狱，将模型试图遵守透明度最佳实践的做法反过来利用，必然适用于其他人工智能模型。“像ChatGPT或DeepSeek这样的主流聊天机器人会展示推理过程，但不会向最终用户展示完整的逐步推理过程，”Polyakov解释说。 “你会看到引用或简短的理由——但不是整个思维过程，更重要的是，不会明确说明模型的安全逻辑。在研究模式、评估环境或受控企业部署之外，丰富、逐字的推理追踪是罕见的。” 但它确实展示了模型开发人员面临的一个主要困境中的潜在陷阱。透明度要求迫使人们做出一个不可能的选择。“为了安全/法规而保持人工智能的透明度（但可被黑客攻击），或者使其变得不透明且安全（但不可信）。目前，每个在受监管行业部署‘可解释人工智能’以实现合规的财富500强公司都可能面临风险。这证明了可解释性和安全性可能本质上是不相容的。”         消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： LNER表示，此次安全事件涉及一家第三方供应商，导致联系信息及其他数据被泄露。 英国铁路运营商LNER（伦敦东北铁路）披露了一起影响客户信息的数据泄露事件。 该公司负责东海岸主干线上的许多长途客运服务，其透露黑客获取了一家未具名的第三方供应商管理的文件。 泄露的信息包括客户联系信息以及一些关于以往行程的信息。 然而，LNER指出，银行信息、支付卡信息和密码信息未被泄露，因为受影响的第三方供应商无法访问此类信息。 该公司还指出，此次事件未对售票和列车运营产生影响。 “请对未经请求的通信保持警惕，尤其是那些索要个人信息的通信。如有疑问，请勿回复。”LNER对客户说。 目前尚未公布更多信息。目前尚不清楚该第三方供应商是被专门针对，还是像最近的Salesforce-Salesloft攻击事件中那样，是大规模攻击活动的众多受害者之一。 去年，在一次“黑客攻击”导致反伊斯兰信息出现在英国最大铁路枢纽的Wi-Fi服务用户界面上后，英国警方展开了调查。 调查结果显示，提供铁路Wi-Fi服务的公司的一名员工是该事件的幕后黑手。     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Oligo Security分享了一种苹果CarPlay攻击的细节，黑客可能无需任何交互即可发起此类攻击。 研究人员披露了一种远程CarPlay攻击的细节，该攻击可使攻击者监视驾驶员或使他们分心。 运行时应用程序安全公司Oligo今年早些时候透露，其研究人员发现了苹果AirPlay无线通信协议及配套SDK中存在的潜在严重漏洞，并警告称这些漏洞可能使黑客能够远程控制设备。 AirPlay被苹果产品使用，但这家科技巨头也已将其使用授权给其他供应商，后者已将其应用于电视、音响系统和流媒体设备中。 Oligo当时指出，这些被统称为AirBorne的漏洞可被利用来实现远程代码执行、安全绕过、信息泄露、拒绝服务攻击以及中间人攻击。 其中一个漏洞（CVE-2025-24132）使攻击者能够创建可蠕虫化的零点击远程代码执行漏洞利用程序，从而利用受感染设备作为发起额外攻击的跳板。 Oligo当时提到，攻击者也可以无需任何用户交互即可对CarPlay系统发起攻击。该公司现在已分享了有关CarPlay（具体为苹果CarPlay）攻击的更多细节。 该攻击针对的是CarPlay用于建立无线连接的iAP2协议。iAP2采用单向认证，手机会对车辆信息娱乐系统的主机进行认证，但主机不会对手机进行认证。 “简单来说，汽车会检查其是否与合法设备通信，但该设备会接受任何使用iAP2的客户端。这意味着攻击者如果拥有蓝牙无线电设备和兼容的iAP2客户端，就可以伪装成iPhone，请求WiFi凭据，触发应用程序启动并发出任何iAP2命令。”Oligo解释道。 一旦黑客完成蓝牙配对过程，他们就可以通过iAP2进行认证，获取WiFi凭据，并连接到汽车热点。从那里，他们可以利用上述AirPlay SDK漏洞（CVE-2025-24132）实现具有root权限的远程代码执行。 然后，攻击者可以接管屏幕并显示图像或播放音频以分散驾驶员的注意力。攻击者还可以窃听对话或追踪车辆的位置。 苹果公司在4月底修复了CVE-2025-24132漏洞，但只有少数供应商将该修复程序集成到其产品中，Oligo并不知晓有任何汽车制造商应用了该修复程序，这也是为什么它尚未公开完整的细节。 “即使苹果发布了修复后的SDK，每家汽车制造商也必须针对其自身系统对其进行调整、测试和验证——这需要与主机供应商、内部软件团队以及有时是中间件提供商进行协调。每一步都可能带来潜在的延误，并需要进行有力的协作。”Oligo解释道。 “结果就是存在长期的漏洞暴露风险。”它补充道。“虽然高端车型凭借强大的OTA更新通道可能能够快速完成修复，但许多其他车型可能需要数月、数年，甚至根本无法获得更新。这使得数百万辆汽车可能面临风险——尽管官方修复方法早已存在。”       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 美国参议员罗恩·怀登（Ron Wyden）已向美国联邦贸易委员会（FTC）致信，要求该机构对微软展开调查，因其产品未能提供足够的安全性，导致针对医疗保健机构的勒索软件攻击。 参议员在正式提出请求时指出，微软应对其“严重的网络安全疏忽负责，这导致了针对关键基础设施（包括美国医疗保健机构）的勒索软件攻击”。 参议员强调，微软长期未能采取果断行动，有效缓解其产品中众所周知的安全风险，导致了诸如2024年Ascension Health勒索软件入侵事件的发生，该事件泄露了560万名患者的数据。 2024年5月发生的这起事件，是由于一名承包商在微软Edge浏览器中点击了一个恶意的必应搜索结果，从而使黑客得以实施“Kerberoasting”攻击。 Kerberos是一种网络认证协议，它通过验证用户和服务的身份（无需密码交换）来提供对网络资源的访问。 Kerberoasting是一种在被入侵后使用的攻击技术，它允许攻击者从微软活动目录中窃取加密的服务账户凭据。 该技术利用了弱密码或容易被猜出的密码，这些密码有时使用不安全且已废弃的RC4算法进行加密，可以用现成的暴力破解工具解密。 密码解密后，攻击者可以利用它提升权限，并在被入侵的网络中横向移动，就像在Ascension Health入侵事件中那样。 参议员表示，他的团队在2024年7月与微软进行了对话，敦促这家科技巨头警告客户使用RC4而不是更强大的选项（如AES 128/256）的危险性，并将后者设置为默认选项。 微软在10月发表了一篇博客文章作为回应，但参议员表示，该文章过于技术化，未能清晰地向公司决策者传达警告。 尽管RC4是一种存在漏洞、允许恢复明文信息的弱密码算法，但它仍然是Kerberos中的一个选项，以支持无法接受更新、更安全算法的旧系统。 值得注意的是，微软曾承诺加强其产品的安全性。RC4继续存在于Kerberos中，是为了支持那些不接受更新、更安全算法的旧系统。 怀登明确将微软的做法视为严重的国家安全风险，并表示，除非FTC进行干预，否则还会发生更多高影响的事件。 “如果没有及时采取行动，微软这种疏忽的网络安全文化，加上其在企业操作系统市场的事实垄断，将构成严重的国家安全威胁，并使更多的黑客入侵不可避免。”——美国参议员罗恩·怀登 BleepingComputer已就此事联系微软，请求其发表评论，一位发言人向我们发来了以下声明： “RC4是一项旧标准，我们在软件工程和客户文档中都建议不要使用它——这也是它在我们的流量中占比不到0.1%的原因。然而，完全禁用它会破坏许多客户系统。” 该公司正在积极努力逐步淘汰该算法，以避免给客户带来任何干扰，并且正在发出警告，同时提供关于“以最安全的方式”使用该算法的建议。 “我们已将其列入路线图，最终将禁用其使用。我们已与参议员办公室就这一问题进行了沟通，并将继续听取他们或其他政府机构的问题。”微软发言人对BleepingComputer表示。 截至目前，FTC尚未对怀登的请求做出公开回应。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据法国国家计算机应急响应小组（CERT-FR）消息，苹果公司上周警告客户，他们的设备成为了一系列新的间谍软件攻击的目标。 CERT-FR由法国国家网络安全局（ANSSI）运营，负责防范和减轻对公共机构和关键组织产生影响的网络安全相关事件。 根据周四发布的一份咨询报告，CERT-FR已知至少有四起苹果威胁通知事件，这些通知提醒该公司用户，自今年年初以来，他们一直是雇佣兵间谍软件攻击的目标。 这些警告分别于3月5日、4月29日、6月25日和上周的9月3日发送至用户苹果账户关联的电话号码和电子邮箱地址。据苹果公司介绍，这些警告也会在用户登录其苹果账户（https://account.apple.com）后，在页面顶部显示。 “这些通知报告了高度复杂的攻击行为，其中大多数利用了零日漏洞，或者根本不需要用户交互。”网络安全机构表示。 “这些复杂的攻击针对的是个人，原因在于他们的身份或职务：记者、律师、活动人士、政治家、高级官员、战略部门管理层成员等。” “收到通知意味着与iCloud账户关联的至少一台设备已成为攻击目标，并可能已被入侵。” 尽管CERT-FR没有透露引发这些警告的具体信息，但上个月，苹果公司发布了紧急更新，以修复一个零日漏洞（CVE-2025-43300），该漏洞与WhatsApp零点击漏洞（CVE-2025-55177）串联，公司将其描述为“极为复杂的攻击”。 当时，WhatsApp向可能受影响的个人发送了威胁通知，敦促他们将设备恢复出厂设置，并保持设备的操作系统和软件为最新版本。 苹果公司还建议，遭受雇佣兵间谍软件攻击的用户启用锁定模式，并通过Access Now的数字安全热线申请快速响应紧急安全援助。 “自2021年以来，我们每年多次发送苹果威胁通知，因为我们已经检测到这些攻击，迄今为止，我们已经在150多个国家/地区通知了用户。”苹果公司表示，“苹果公司并未将这些攻击或由此产生的威胁通知归因于任何特定的攻击者或地理区域。” 当BleepingComputer在今天早些时候联系时，苹果公司发言人并未立即发表评论。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 与Akira勒索软件团伙有关的威胁行为者一直在针对SonicWall设备以获取初始访问权限。 网络安全公司Rapid7表示，在过去一个月中，观察到涉及SonicWall设备的入侵事件有所增加，特别是在2025年7月下旬有关Akira勒索软件活动重新出现的报道之后。 随后，SonicWall透露，针对其防火墙的SSL VPN活动涉及一个已存在一年的安全漏洞（CVE-2024-40766，CVSS评分：9.3），在迁移过程中，本地用户密码被保留且未被重置。 该公司指出：“我们观察到威胁行为者试图暴力破解用户凭据的活动有所增加。为了降低风险，客户应启用Botnet过滤功能以阻止已知的威胁行为者，并确保已启用账户锁定策略。” SonicWall还敦促用户审查LDAP SSL VPN默认用户组，如果在Akira勒索软件攻击的背景下配置错误，这将是一个“关键弱点”。 此设置会自动将每个成功通过LDAP身份验证的用户添加到预定义的本地组，无论他们是否实际属于Active Directory中的成员。如果该默认组可以访问敏感服务（如SSL VPN、管理界面或不受限制的网络区域），那么任何被入侵的AD账户，即使该账户并无合法理由需要这些服务，也会立即继承这些权限。 这实际上绕过了原本基于AD组的访问控制，一旦攻击者获得有效凭据，就会为他们直接进入网络边界提供一条路径。 Rapid7在其警报中表示，还观察到威胁行为者访问由SonicWall设备托管的虚拟办公门户，在某些默认配置下，这可能会促进公开访问，并使攻击者能够使用有效账户配置mMFA/TOTP，前提是此前存在凭据泄露的情况。 “Akira团伙可能正在利用这三种安全风险的组合来获取未经授权的访问权限并开展勒索软件行动。”该公司表示。 为了降低风险，建议组织机构更换所有SonicWall本地账户的密码，删除任何未使用或不活跃的SonicWall本地账户，确保已配置MFA/TOTP策略，并限制虚拟办公门户对内部网络的访问。 Akira针对SonicWall SSL VPN的目标也得到了澳大利亚网络安全中心（ACSC）的呼应，该中心承认，他们知道勒索软件团伙正通过这些设备攻击澳大利亚的易受攻击组织。 自2023年3月首次亮相以来，Akira一直是勒索软件威胁领域中持续存在的威胁，根据Ransomware.Live的信息，到目前为止，它已经声称有967名受害者。根据CYFIRMA分享的统计数据，在2025年7月，Akira共发动了40次攻击，使其成为继Qilin和INC Ransom之后的第三大活跃团伙。 在2025年第二季度影响全球工业实体的657次勒索软件攻击中，Qilin、Akira和Play勒索软件家族占据了前三名，分别报告了101起、79起和75起事件。 工业网络安全公司Dragos在上个月发布的一份报告中表示，Akira在“针对制造业和运输行业的持续攻击中保持了相当大的活动量，通过复杂的网络钓鱼和多平台勒索软件部署来实现”。 最近的Akira勒索软件感染还利用搜索引擎优化（SEO）中毒技术来分发流行IT管理工具的特洛伊木马化安装程序，这些安装程序随后被用来投放Bumblebee恶意软件加载器。 然后，这些攻击利用Bumblebee作为通道来分发AdaptixC2后利用和对抗性仿真框架、安装RustDesk以实现持久远程访问、窃取数据并部署勒索软件。 根据Palo Alto Networks Unit 42的说法，AdaptixC2的多功能性和模块化特性允许威胁行为者在受感染的系统上执行命令、传输文件并进行数据窃取。由于它也是开源的，这意味着攻击者可以根据自己的需求对其进行定制。 该网络安全公司表示，其他传播AdaptixC2的活动还利用模仿IT帮助台的Microsoft Teams通话来欺骗毫无戒心的用户，通过快速协助授予他们远程访问权限，并投放一个PowerShell脚本，该脚本解密并加载到内存中的shellcode有效载荷。 “Akira勒索软件团伙遵循标准的攻击流程：通过SSLVPN组件获得初始访问权限，提升到具有更高权限的账户或服务账户，从网络共享或文件服务器中定位并窃取敏感文件，删除或停止备份，并在虚拟化层部署勒索软件加密。”Rapid7表示。     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： KillSec 勒索软件声称对巴西医疗软件解决方案提供商 MedicSolution 发起了网络攻击负责。 KillSec 勒索软件团伙威胁称，除非迅速启动谈判，否则将泄露敏感数据。根据 Resecurity 提供的威胁情报报告，此次事件的根源是数据从不安全的 AWS S3 存储桶中被泄露。考虑到网络安全专家进行的调查，数据暴露的时间窗口可以估计为“数月之久”。这可能是巴西医疗行业首次出现的显著的供应链事件。 值得注意的是，这并非勒索软件团伙首次针对巴西发起攻击。此前，该团伙曾泄露了包含巴西政府资源中的 CNPJ/CPF 身份标识符、交易金额、银行信息以及其他数据的个人和商业信息。当时，该团伙并未澄清此次入侵的完整范围或可能的来源。KillSec 勒索软件既以确认的事件而闻名，也以虚假或猜测性的事件而知名。 不幸的是，这一次 KillSec 勒索软件对巴西造成了沉重打击。被盗的医疗数据包含敏感的实验室结果报告、医疗评估以及其他隐私敏感信息。Resecurity 识别出数名患者并与他们取得了联系——截至今日，他们均未意识到此次事件。网络犯罪分子利用从医疗机构窃取的数据进行敲诈，他们深知这不仅会给受害组织带来重大损失，也会给其终端客户造成严重影响，因为许多患者并不期望他们的信息会被发布到网上。 被盗数据的总量超过 34 GB，包含超过 94818 个文件。被泄露的数据包括： – 医疗评估 – 医疗实验室结果 – X 光 – 未经过处理的患者照片，包括显示身体部位的照片 – 与未成年人相关的记录 值得注意的是，KillSec 勒索软件团伙在针对巴西发起攻击的几天前，也曾针对哥伦比亚、秘鲁和美国的医疗机构发起攻击。这种攻击时间的选择表明网络犯罪分子对医疗领域越来越感兴趣。 就在两天前，该团伙宣布成功入侵了几家知名的医疗机构： – Archer Health（美国） – Suiza Lab（秘鲁） – GoTelemedicina（哥伦比亚） – eMedicoERP（哥伦比亚） 一个月前，该团伙泄露了秘鲁一家知名医疗软件平台 Doctocliq 的数据，该平台为 20 多个国家的 3500 多名医生提供服务。在过去，该团伙也曾针对沙特皇家空军（RSAF）发起攻击，并从医疗领域之外的行业泄露了几起新的数据，包括阿联酋的 Nathan and Nathan（人力资源、招聘和技术解决方案提供商）以及美国的 Ava Senior Connect（专为老年人社区设计的通信平台）。 根据 Resecurity 的分析，KillSec 勒索软件已经找到了针对医疗机构的“甜点”。医疗机构存储着大量的敏感且有价值的数据，包括个人身份信息、病史、保险详情以及支付信息。 巴西医疗行业的数据泄露诉讼和执法环境主要由《巴西通用数据保护法》（LGPD）塑造，该法于 2020 年全面生效。LGPD 适用于巴西境内所有处理个人数据的组织，医疗数据被归类为“敏感个人数据”，受到更严格的保护和更严格的数据处理要求。数据保护执法的主要监管机构是巴西国家数据保护局（ANPD），该机构负责监督 LGPD 合规性、调查数据泄露事件并处以罚款。 在 2024 年医疗行业审计中，由于缺乏加密和数据泄露响应计划，ANPD 对 15 家医疗机构处以总计 1200 万雷亚尔（约合 240 万美元）的罚款。其他纠正措施包括强制性渗透测试和员工培训。自 2023 年以来，ANPD 在所有行业中处以的罚款总额已超过 9800 万雷亚尔（约合 2000 万美元），其中医疗行业因重复出现漏洞和全行业审计而占据了相当大的一部分。     消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Cursor 代码编辑器的一个漏洞使开发人员面临风险，一旦打开恶意仓库，就会自动执行其中的任务。 威胁行为者可以利用该漏洞，在无需开发人员执行任何命令的情况下，投放恶意软件、劫持开发环境或窃取凭证和 API 令牌。 Cursor 是一款基于 Visual Studio Code（VS Code）构建的人工智能驱动的集成开发环境（IDE），它深度集成了 GPT-4 和 Claude 等主流人工智能助手，用于软件开发任务。 它是最受欢迎的 AI 编程工具之一，目前有 100 万用户使用它每天生成超过 10 亿行代码。 提供非人类身份（NHI）管理和安全解决方案的 Oasis Security 公司的研究人员发现，该问题源于 Cursor 禁用了 VS Code 的工作区信任功能，该功能会阻止在未经开发人员明确同意的情况下自动执行任务。 在默认配置中，Cursor 在打开项目文件夹后会立即执行任务。威胁行为者可以利用这一点，在公开共享的仓库中添加一个恶意的 `.vscode/tasks.json` 文件。 Oasis Security 的研究人员表示：“当用户使用 Cursor 打开这样的仓库时，即使是简单地浏览，也可以在其环境中运行任意代码。” “这可能会泄露敏感凭证、修改文件，或者成为更广泛系统入侵的途径。” 然而，VS Code 并未受到影响，因为其默认配置不会自动运行该文件。 为了证明他们的发现，Oasis Security 发布了一个概念验证，该 `tasks.json` 文件在使用 Cursor 打开项目文件夹时执行一个 shell 命令，发送当前用户的名称。 根据 Oasis Security 的说法，利用该漏洞的威胁行为者可以在当前用户上下文中执行代码、窃取敏感数据（令牌、API 密钥、配置文件）、建立与命令与控制（C2）基础设施的连接，或者为供应链攻击创建感染向量。 Cursor 不会修复 在 Oasis Security 向 Cursor 团队告知默认禁用工作区信任功能的风险后，IDE 开发商表示，他们打算在代码编辑器中保留自动运行行为。 Cursor 解释说：“工作区信任会禁用用户希望在产品中使用的 AI 和其他功能。” 他们建议用户要么从 VS Code 中启用安全功能，要么在处理可能恶意的仓库时使用基本文本编辑器。 Cursor 团队还表示，他们将很快更新他们的安全指南，以解释他们对工作区信任的立场，并添加如何启用它的说明。 Oasis Security 建议用户使用不同的编辑器打开未知项目，在打开它们之前验证仓库，并避免在 shell 配置文件中全局导出敏感凭证。 研究人员还提供了在 Cursor 中启用工作区信任的设置。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苹果的新内存完整性强制（MIE）功能提供始终开启的内存安全保护，覆盖关键攻击面，包括内核和 70 多个用户空间进程。 周二，苹果推出了其新款 iPhone 17 和 iPhone Air 智能手机，其中包括一项新的内存保护功能，以保护设备免受复杂间谍软件攻击。 这项新功能名为内存完整性强制（MIE），这家科技巨头表示，它为最新手机提供了始终开启的内存安全保护。新款 iPhone 系列运行 iOS 26 系统。 苹果指出，尽管其 iOS 操作系统尚未遭受大规模恶意软件攻击，但 iPhone 经常成为资源丰富的威胁行为者的攻击目标。 这些攻击通常涉及由“合法”监视解决方案提供商开发的漏洞利用。这些公司通常被称为雇佣间谍软件供应商，因为尽管他们声称只向政府机构提供服务，用于国家安全和刑事调查目的，但实际上，他们的产品在许多情况下被出售给威权政权，并被用来对付记者、人权活动家和政治异见人士。 这些间谍软件供应商开发的漏洞利用通常涉及内存安全漏洞，而苹果的新 MIE 保护旨在使利用此类漏洞的难度大幅增加。 据苹果称，MIE 功能利用了芯片巨头 Arm 于 2022 年发布的增强型内存标记扩展（EMTE），这是 Arm 在与苹果合作后对其 2019 年内存标记扩展（MTE）规范的更新。 MIE 使用 EMTE 以及安全内存分配器和广泛的标记保密强制政策，在内核、Safari 和信息应用中提供保护。 在针对已知漏洞利用链和最近漏洞测试 MIE 后，苹果发现它在阻止攻击的早期阶段非常高效，能够防止威胁行为者通过替换一个漏洞来复活漏洞利用链。 “不可避免地，攻击者必须在他们的能力仍然非常有限的阶段面对 MIE，这使得可用于利用的途径很少。这导致了脆弱的链条，其中打破一个步骤通常就足以使整个漏洞利用策略无效，”这家科技巨头解释说。 苹果安全工程与架构负责人伊万・克尔什蒂奇（Ivan Krstić）表示：“基于我们对内存完整性强制与过去三年异常复杂的雇佣间谍软件攻击的评估，我们相信 MIE 将使漏洞利用链的开发和维护成本大幅增加和变得更加困难，扰乱过去 25 年中最有效的许多漏洞利用技术，并完全重新定义苹果产品内存安全的格局。” 谷歌也最近宣布了一项名为高级保护模式的新功能，旨在阻止针对安卓用户的间谍软件和其他攻击。     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌将 C2PA 内容凭证集成到 Pixel 10 相机和谷歌照片中，以帮助用户区分真实未被篡改的图像和通过人工智能技术生成或编辑的图像。 这家美国公司指出，近年来，标记合成媒体的问题变得更大了，因为传统方法已不再适用，留下了被曲解和误用的空间。 在最新的 Pixel 10 手机中，每张拍摄的 JPEG 照片都会自动附加内容凭证，揭示它们是如何制作的。 “内容凭证传达了关于图像、视频或音频文件等媒体是如何制作的丰富信息，这些信息受到过去几十年来保护在线交易和移动应用安全的相同数字签名技术的保护，”谷歌解释说。 “它赋予用户识别 AI 生成（或篡改）内容的能力，有助于促进生成式 AI 的透明度和可信度。” 谷歌表示，该系统可以离线工作，在整个过程中不受外部干扰，并且在保留可验证性的同时不威胁用户的匿名性。 这家科技巨头概述了它在内容凭证系统中融入的几层安全性和完整性保证，以使其具有防篡改性和可信度，包括： – 当元数据被修改时会使数字签名失效的加密签名。 – 防篡改的密钥存储，所有加密密钥都在 Titan M2 安全芯片内的安卓强盒中生成和存储。 – 安卓密钥认证，使谷歌的 C2PA 认证机构能够验证请求凭证的硬件和应用的真实性。 – 每张图像使用一次性密钥，这意味着每张照片都用一个独特的加密密钥签名，这个密钥永远不会被重复使用，从而保护用户的隐私和匿名性。 – 由 Tensor 芯片维护的安全内部时钟支持的设备上可信时间戳，这使得 Pixel 设备即使在离线状态下也能附加可验证的时间戳。 尽管内容凭证系统目前仅在 Pixel 10 设备上可用，但谷歌暗示未来可能会将其扩展到更多的安卓设备，尽管尚未分享任何具体的时间表。 该公司敦促行业利益相关者超越简单的 AI 标签，采用内容凭证，强调打击虚假信息和深度伪造需要在整个生态系统范围内广泛采用可验证的来源。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 这是NPM生态系统历史上最大的供应链妥协事件，大约影响了10%的云环境，但攻击者几乎没有从中获利。 此次攻击发生在本周早些时候，维护者Josh Junon（qix）中了一个密码重置网络钓鱼诱饵，导致多个非常受欢迎的NPM软件包被入侵，其中包括每周下载量超过26亿次的chalk和debug-js。 在入侵Junon的账户后，攻击者推送了带有恶意模块的恶意更新，该模块通过将交易重定向到威胁行为者那里来窃取加密货币。 开源软件社区迅速发现了这次攻击，所有恶意软件包在两小时内被移除。 根据云安全公司Wiz的研究人员称，被入侵的软件包之一或多个是几乎所有JavaScript/Node项目的基石，在99%的云环境中被使用。 在它们可供下载的两小时窗口期内，大约10%的云环境下载了这些被入侵的软件包。 Wiz解释说：“在恶意版本在npm上可用的短短两小时内，恶意代码成功地进入了10%的云环境。” “这表明在像这样的供应链攻击中，恶意代码传播的速度有多快。” 10%的比例是基于Wiz对客户云环境的可见性以及公开来源得出的。虽然它可能不是一个具有代表性的比例，但它仍然表明了攻击的快速传播和覆盖范围。 攻击者获利不到1000美元 尽管这次攻击造成了显著的干扰，需要公司花费大量时间进行清理、重建和审计，但安全影响微不足道，就像威胁行为者的利润一样。 根据安全联盟的分析，注入的代码针对浏览器环境，拦截以太坊和索拉纳的签名请求，将加密货币钱包地址替换为攻击者控制的地址（加密劫持）。 这种类型的恶意负载拯救了那些下载了被入侵设备的公司，使它们免于更严重的安全事件，因为威胁行为者本可以利用他们的访问权限植入反向shell，在网络中横向移动，或者植入破坏性恶意软件。 尽管攻击规模巨大，受害者众多，但攻击者只转移了价值五美分的ETH和价值20美元的几乎无人知晓的meme币。 昨天，Socket研究人员发布了一份报告，提醒说，同样的网络钓鱼活动也影响了DuckDB维护者账户，用同样的加密货币窃取代码入侵了该项目的软件包。 根据他们的说法，追踪到攻击者钱包的利润大约是429美元的以太坊，46美元的索拉纳，以及少量的比特币、波场、比特币现金和莱特币，总计600美元。 还指出，持有任何显著金额的攻击者钱包地址已经被标记，限制了他们转换或使用他们赚到的少量钱的能力。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国高级网络官员周二呼吁私营部门与联邦政府密切合作，以实现唐纳德·特朗普总统的“美国优先”愿景。 “特朗普总统的首要原则是将美国放在首位。网络战略环境也不例外。”国家网络主任肖恩·凯恩克罗斯（Sean Cairncross）在华盛顿的比灵顿网络安全峰会上发表主题演讲时说。 这是他自上任以来首次发表重大政策演讲，他列举了当今的数字威胁，从勒索软件攻击和间谍活动到关键基础设施的预置和影响行动，称尽管美国在“识别、应对和消除威胁”方面有所改进，但“我们仍然缺乏战略连贯性和方向”。 “我们已经对问题研究了太久，现在是时候采取行动了。”他对听众说，并补充说政府将提出一项战略，以推进美国在网络空间的利益并遏制对手。 “今天，我寻求你们的参与和帮助，通过将美国公民放在首位，将美国公司放在首位，我们将把美国放在首位，这就是重点。”他补充道，“我们的生活方式，我们的日常生活，依赖于一个开放和安全的网络空间。” 白宫的国家网络主任办公室（ONCD）是2021年由国会创建的，旨在协调各政府机构之间的网络安全工作，制定和实施国家网络安全政策，并就关键网络问题向总统提供建议。 凯恩克罗斯曾是共和党全国委员会官员，此前在特朗普第一任期期间担任千年挑战公司机构的首席执行官。他上个月被确认为国家网络主管。 “我们拥有所有必要的工具，现在我们有了应对这些挑战的政治意愿。”凯恩克罗斯说，“我们必须共同努力，利用我们国家所有的网络能力，来塑造对手的行为，并且最重要的是，将网络空间的风险负担从美国人转移到他们身上。这就是我和我的团队在这里要做的事情。” 他指出了一些私营部门和公共部门可以合作的领域，例如推动更新2015年的一项标志性法律，该法律加速了威胁情报共享，如果国会不采取行动，该法律将在本月底到期。 凯恩克罗斯还表示，行业必须“坚持安全和隐私设计等标准”，而政府必须“简化网络法规和合规负担”。 他对听众说：“政府知道，美国公司首先对他们的股东和董事会负责，就像我们的政府对人民负责一样，这是应该的。但这并不否定这里存在巨大的利益一致点，我们的工作是识别它们并采取行动。” “特朗普正在恢复美国的优越性和伟大，美国也将在网络空间做到这一点。”凯恩克罗斯说。       消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：     今天是微软2025年9月的“周二补丁日”，包括针对81个漏洞的安全更新，其中包含两个公开披露的零日漏洞。 此次“周二补丁日”还修复了9个“严重”漏洞，其中5个是远程代码执行漏洞，1个是信息泄露漏洞，2个是权限提升漏洞。 以下是每个漏洞类别的漏洞数量： – 41个权限提升漏洞 – 2个安全功能绕过漏洞 – 22个远程代码执行漏洞 – 16个信息泄露漏洞 – 3个拒绝服务漏洞 – 1个欺骗漏洞 当BleepingComputer报道“周二补丁日”的安全更新时，我们只计算在“周二补丁日”发布的更新。 因此，漏洞数量不包括本月早些时候修复的三个Azure漏洞、一个Dynamics 365 FastTrack实施资产漏洞、两个Mariner漏洞、五个Microsoft Edge漏洞和一个Xbox漏洞。 要了解更多关于今天发布的非安全更新的信息，您可以查看我们关于Windows 11 KB5065426和KB5065431累积更新以及Windows 10 KB5065429更新的专门文章。 修复两个公开披露的零日漏洞 本月的“周二补丁日”修复了Windows SMB服务器和Microsoft SQL服务器中的两个公开披露的零日漏洞。微软将零日漏洞定义为在没有官方修复程序的情况下公开披露或正在被利用的漏洞。 这两个公开披露的零日漏洞是： · CVE-2025-55234 – Windows SMB权限提升漏洞 微软修复了一个通过中继攻击利用的SMB服务器权限提升漏洞。 “根据配置，SMB服务器可能容易受到中继攻击。成功利用这些漏洞的攻击者可以执行中继攻击，并使用户受到权限提升攻击。”微软解释道。 微软表示，Windows已经包括了一些设置，以增强SMB服务器对中继攻击的防护，包括启用SMB服务器签名和SMB服务器扩展保护认证（EPA）。 然而，启用这些功能可能会导致与旧设备和实现的兼容性问题。 微软建议管理员在SMB服务器上启用审核，以确定在完全强制执行这些加固功能时是否会遇到任何问题。 “作为2025年9月9日及以后发布的Windows更新的一部分（CVE-2025-55234），启用了对SMB服务器签名以及SMB服务器EPA的SMB客户端兼容性的审核支持。”微软解释道。 微软没有将该漏洞归因于任何研究人员，目前尚不清楚该漏洞是在何处被披露的。 · CVE-2024-21907 – VulnCheck：CVE-2024-21907 Newtonsoft.Json对异常条件的不当处理 微软修复了Newtonsoft.Json中的一个已知漏洞，该漏洞是作为Microsoft SQL Server的一部分包含的。 “CVE-2024-21907解决了Newtonsoft.Json在13.0.1版本之前的异常条件处理不当漏洞。”微软解释道。 “传递给JsonConvert.DeserializeObject方法的精心制作的数据可能会触发StackOverflow异常，导致拒绝服务。根据该库的使用情况，未经身份验证的远程攻击者可能能够导致拒绝服务条件。” “记录的SQL Server更新包含了修复此漏洞的Newtonsoft.Json更新。” 该漏洞于2024年被公开披露。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 科索沃国民利里顿·马苏里卡（Liridon Masurica）承认运营BlackDB.cc，这是一个自2018年以来一直活跃的网络犯罪市场。 2024年12月14日，科索沃当局逮捕了33岁的被告（在线也被称为@blackdb）。2025年5月9日，他被引渡到美国，并在5月12日于佛罗里达州坦帕出庭后被拘留。 根据法庭文件，马苏里卡是在线犯罪市场BlackDB.cc的主要管理员，该市场自2018年至2025年近七年来一直在运营。 司法部表示，该市场出售被入侵的账户和服务器凭据、被盗信用卡信息以及全球受害者的个人身份信息（PII），特别关注来自美国的个人。 网络犯罪分子购买了BlackDB市场上的这些敏感信息，用于各种非法活动，包括信用卡欺诈、税务欺诈和身份盗窃。 马苏里卡被控五项未经授权使用访问设备进行欺诈的罪名和一项共谋进行访问设备欺诈的罪名。如果所有罪名成立，BlackDB市场管理员可能面临最高55年的联邦监禁。 联邦调查局与科索沃警察网络犯罪调查局合作协调了调查，得到了司法部国际事务办公室和联邦调查局在索非亚的法律专员办公室的支持，后者协助将马苏里卡逮捕并引渡到美国。 2024年12月，一次联合执法行动导致Rydox网络犯罪市场被查封，并逮捕了其三名管理员，分别是科索沃国民阿尔迪特·库特莱希（Ardit Kutleshi）、杰特米尔·库特莱希（Jetmir Kutleshi）和申德·索科利（Shpend Sokoli）。几天前，德国执法人员在关闭该国最大的在线网络犯罪市场Crimenetwork和Manson市场后逮捕了关键嫌疑人。 今年早些时候，乌克兰当局应巴黎检察官办公室的请求，逮捕了俄语黑客论坛XSS的涉嫌管理员，就在法国据报道拘留了BreachForums黑客论坛的五名运营商一个月后。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个名为LunaLock的新兴勒索软件团伙出现在威胁环境中，采用了一种独特的网络勒索技术，威胁将窃取的艺术作品转化为人工智能训练数据。 最近，LunaLock团伙针对艺术家与客户（Artists&Clients）网站发起攻击，窃取了数字艺术作品。该团伙向受害者索要5万美元，威胁要泄露数据，并将窃取的数据用于训练大型语言模型（LLMs）。 “我们入侵了艺术家与客户网站，窃取并加密了其全部数据。如果你是该网站的用户，我们敦促你联系网站所有者，并要求他们支付赎金。如果赎金未支付，我们将在该Tor网站上公开发布所有数据，包括源代码和用户个人信息。此外，我们将把所有艺术作品提交给人工智能公司，加入其训练数据集。”勒索软件团伙在其Tor数据泄露网站上发布的公告中写道。 LunaLock黑客在技术上相当熟练，且似乎是以英语为母语的人。 这种新型勒索手段旨在通过将被盗数据纳入用于训练LLMs的数据集中，来侵犯受害者的知识产权。未来，其他勒索软件团伙可能会将被盗数据上传至公开可访问的数据库，使其能被人工智能训练管道轻松抓取。一旦数据被纳入人工智能模型，它就变得事实上永久存在，与可能随时间逐渐消失的暗网泄露不同。LunaLock的做法开创了一个危险的先例。 专家指出，LunaLock对艺术家与客户网站的攻击不同寻常，因为勒索软件通常会针对那些有可能支付赎金的行业。双重或三重勒索对自由职业者可能无效。艺术家们已经在保护他们的作品，使其免受黑客攻击和人工智能数据抓取的侵害。 像OpenAI、谷歌和Anthropic这样的人工智能公司会抓取在线艺术作品来训练模型。Anthropic最近同意支付至少15亿美元来解决由作者提起的版权诉讼，这是美国首例人工智能版权案件。 为应对这一问题，芝加哥大学计算机科学教授赵本（Ben Zhao）创建了Glaze和Nightshade这两种工具，它们可以微妙地改变图像，使其对人类看起来正常，但却会误导人工智能训练。 赵本的工具Glaze和Nightshade于2022年推出，至今已有超过300万次下载，被艺术家广泛用于保护他们的作品免受人工智能抓取和像LunaLock这样的勒索软件威胁。     消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Adobe警告称，其Commerce和Magento开源平台存在一个严重的安全漏洞，如果被成功利用，可能会使攻击者能够接管客户账户。 该漏洞被追踪为CVE-2025-54236（也称为SessionReaper），其CVSS评分为9.1（满分10.0），被描述为一个不当输入验证漏洞。Adobe表示，目前尚未发现有针对该漏洞的野外利用情况。 “潜在攻击者可以通过Commerce REST API在Adobe Commerce中接管客户账户。”Adobe在今天发布的一份咨询报告中表示。 该问题影响以下产品和版本： Adobe Commerce（所有部署方式）： – 2.4.9-alpha2及更早版本 – 2.4.8-p2及更早版本 – 2.4.7-p7及更早版本 – 2.4.6-p12及更早版本 – 2.4.5-p14及更早版本 – 2.4.4-p15及更早版本 Adobe Commerce B2B： – 1.5.3-alpha2及更早版本 – 1.5.2-p2及更早版本 – 1.4.2-p7及更早版本 – 1.3.4-p14及更早版本 – 1.3.3-p15及更早版本 Magento开源： – 2.4.9-alpha2及更早版本 – 2.4.8-p2及更早版本 – 2.4.7-p7及更早版本 – 2.4.6-p12及更早版本 – 2.4.5-p14及更早版本 自定义属性可序列化模块： – 0.1.0至0.4.0版本 除了发布针对该漏洞的热修复程序外，Adobe还表示，已部署网络应用防火墙（WAF）规则，以保护使用Adobe Commerce云基础设施的商家免受可能的利用尝试。 “SessionReaper是Magento历史上更严重的漏洞之一，可与2015年的Shoplift、2019年的Ambionics SQLi、2022年的TrojanOrder和2024年的CosmicSting相提并论。”电子商务安全公司Sansec表示。 这家总部位于荷兰的公司表示，已成功复现了利用CVE-2025-54236的一种可能方式，但指出还有其他可能的途径可以利用该漏洞。 “该漏洞遵循去年CosmicSting攻击的熟悉模式。”它补充道，“该攻击结合了恶意会话和Magento REST API中的嵌套反序列化漏洞。” “特定的远程代码执行向量似乎需要基于文件的会话存储。然而，我们建议使用Redis或数据库会话的商家也立即采取行动，因为有多种方式可以滥用这个漏洞。” Adobe还发布了修复程序，以修复ColdFusion中的一个关键路径遍历漏洞（CVE-2025-54261，CVSS评分：9.0），该漏洞可能导致任意文件系统写入。它影响所有平台上的ColdFusion 2021（更新21及更早版本）、2023（更新15及更早版本）和2025（更新3及更早版本）。     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文