Aggregator

91手机助手将于2025年9月28日关停并清空数据，曾是越狱必备软件并被百度以19亿美元收购。届时所有功能将无法使用，官网及客服渠道同步关闭。

HackerNews 编译，转载请注明出处： 威胁行为者一直通过Google广告推广的多个网站，分发一款看似可信的PDF编辑应用，实则投放名为TamperedChef的信息窃取恶意软件。 此次行动是一个更大规模操作的一部分，涉及多个能相互下载的应用程序，其中一些会诱骗用户将其系统纳入住宅代理网络。目前已识别出超过50个域名用于托管这些具有欺骗性的应用，这些应用使用了至少四家不同公司颁发的伪造证书进行签名。研究人员表示，该活动范围广泛且策划周密，操作者等待广告投放周期结束后才激活应用程序中的恶意组件。 网络安全服务公司Truesec的技术分析描述了TamperedChef信息窃取程序如何被投放到用户系统。研究人员发现，该恶意软件通过多个网站进行分发，这些网站推广一款名为AppSuite PDF Editor的免费工具。根据网络记录，调查人员确定该活动始于6月26日，当时许多相关网站被注册或开始宣传AppSuite PDF Editor。 然而，研究人员发现这款恶意应用在5月15日已通过VirusTotal恶意软件扫描服务的验证。该程序在8月21日前表现正常，直至收到一次更新，激活了其内置的恶意功能，开始收集凭证和网络Cookie等敏感数据。据Truesec称，TamperedChef信息窃取程序是通过PDF编辑器可执行文件的“-fullupdate”参数传递的。 该恶意软件会检查主机上安装的各种安全代理。它还使用DPAPI（数据保护应用程序编程接口）——Windows中用于加密敏感数据的组件——查询已安装网页浏览器的数据库。Truesec研究人员深入挖掘分发方式，发现证据表明，在AppSuites PDF Editor中传播TamperedChef的威胁行为者依赖Google广告来推广这款恶意程序。 “Truesec已观察到至少5个不同的Google广告系列ID，这表明了一场广泛的运动”——Truesec 威胁行为者可能有一套策略，旨在激活AppSuites PDF Editor中的恶意组件前最大化下载量，因为他们选择在Google广告活动典型的60天有效期结束前四天投放信息窃取程序。 进一步研究AppSuites PDF Editor后，研究人员发现该程序的不同版本由“至少四家公司”的证书签名，其中包括ECHO Infini SDN BHD、GLINT By J SDN. BHD 和 SUMMIT NEXUS Holdings LLC, BHD。 Truesec发现，该活动的操作者至少从2024年8月起就开始活跃，并推广其他工具，包括OneStart和Epibrowser浏览器。值得注意的是，OneStart通常被标记为潜在不需要程序（PUP），这通常是广告软件的代称。 然而，托管检测与响应公司Expel的研究人员也调查了涉及AppSuites PDF Editor、ManualFinder和OneStart的事件，所有这些程序都“丢弃高度可疑的文件、执行意外命令并将主机变为住宅代理”，这更接近恶意软件的行为。 他们发现OneStart可以下载AppSuite-PDF（由ECHO INFINI SDN. BHD证书签名），而AppSuite-PDF又能获取PDF Editor。“OneStart、AppSuite-PDF和PDF Editor的初始下载是通过一个大型广告活动分发的，该活动宣传PDF和PDF编辑器。这些广告将用户引导至众多提供AppSuite-PDF、PDF Editor和OneStart下载的网站之一，”Expel称。 此次活动中使用的代码签名证书已被撤销，但对于当前已安装的用户，风险仍然存在。在某些PDF Editor的实例中，应用会向用户显示一条消息，请求允许将其设备用作住宅代理，以换取免费使用该工具。研究人员指出，代理网络提供商可能是未参与此次活动的合法实体，PDF Editor的操作者是作为 affiliates 以此牟利。 看来，PDF Editor的背后操纵者正试图以全球用户为代价，最大化其利润。即使此次活动中的程序被视为PUP，其能力也典型地属于恶意软件，应同样对待。 研究人员警告，他们发现的此次行动涉及更多应用程序，其中一些尚未被武器化，这些程序能够分发恶意软件或可疑文件，或在系统上秘密执行命令。Truesec和Expel的报告都包含了大量的入侵指标（IoCs），这有助于防御者保护用户和资产免受感染。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

文章描述了error code 521的含义及其常见原因和解决方法。

HackerNews 编译，转载请注明出处： WhatsApp已修复其iOS和macOS消息客户端中的一个安全漏洞，该漏洞在针对性的零日攻击中被利用。 公司表示，此零点击漏洞（编号为CVE-2025-55177）影响2.25.21.73之前版本的iOS版WhatsApp、2.25.21.78之前版本的iOS版WhatsApp Business，以及2.25.21.78之前版本的Mac版WhatsApp。 WhatsApp在一份周五发布的安全公告中称：“WhatsApp中关联设备同步消息的授权机制不完整……可能允许无关用户触发目标设备处理来自任意URL的内容。” “我们评估认为，此漏洞与苹果平台的操作系统级漏洞（CVE-2025-43300）结合，可能已被用于针对特定目标用户的复杂攻击。” 苹果本月早些时候发布紧急更新以修补CVE-2025-43300零日漏洞时，也曾表示该漏洞已被用于“极其复杂的攻击”。 尽管两家公司尚未发布有关此次攻击的进一步信息，国际特赦组织安全实验室负责人Donncha Ó Cearbhaill表示，WhatsApp已向部分用户发出警告，称他们在过去90天内已成为一项高级间谍软件活动的目标。 警告中写道：“我们已通过更改防止此特定攻击通过WhatsApp发生。然而，您的设备操作系统可能仍受恶意软件危害，或可能遭受其他方式的攻击。” 在向可能受影响的个人发送的安全威胁通知中，WhatsApp建议他们将设备恢复出厂设置，并保持设备操作系统和软件为最新状态。 今年三月，WhatsApp在收到多伦多大学公民实验室安全研究人员的报告后，修复了另一个被用于安装Paragon的Graphite间谍软件的零日漏洞。 当时一位WhatsApp发言人表示：“WhatsApp已挫败由Paragon发起的间谍软件活动，该活动针对多名用户，包括记者和公民社会成员。我们已直接联系了我们认为受影响的人士。”       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

error code: 521

文章描述了错误代码521的原因及解决方法。该错误通常由Cloudflare引起，可能由于服务器配置问题、连接超时或IP被屏蔽导致。解决方法包括检查服务器设置、联系管理员、更换网络或等待问题恢复。

HackerNews 编译，转载请注明出处： 黑客组织Lab Dookhtegan据称扰乱了60艘伊朗船只的通信。此次攻击至少影响了39艘油轮和25艘货轮，这些船只由受美国制裁的伊朗海运企业——国家伊朗油轮公司和伊朗伊斯兰共和国航运公司运营。 黑客攻破了卫星通信公司Fannava，禁用“猎鹰”通信系统并清除了核心数据。攻击致使伊朗船只陷入“失明”状态。 该组织发布的截图显示，他们已获取运行iDirect卫星软件（版本2.6.35）的Linux终端根权限。该软件版本陈旧，不符合基本网络安全标准。 黑客通过逐个调制解调器测绘伊朗船队，控制了“猎鹰”通信系统，并持续潜伏五个月后，于8月使船只陷入瘫痪。 “一旦入侵成功，黑客便瞄准名为‘猎鹰’的核心系统——正是这套软件维持着卫星链路的运行。它如同船舶通信系统的心脏。停止‘猎鹰’系统，船只便陷入黑暗：无法与岸上邮件往来，收不到气象更新，失去港口协调能力，彻底与世隔绝。”博客作者Nariman Gharib报道称。 “但邮件日志实际揭示的内容更为惊人：时间戳可追溯至五月和六月。这意味着Lab-Dookhtegan并非仅在三月实施突击后就撤离。他们持续潜伏在伊朗海事网络中长达五个月，始终保持着访问权限，可随时启停系统，很可能监控了所有往来通信。” 攻击者以造成永久性破坏为目标，用零值覆盖六个存储分区，清除了日志、配置和恢复数据，彻底摧毁了船舶通信系统。 “我正查看一份包含电话号码、IP地址的电子表格——最令人难堪的是——密码竟以明文存储。诸如‘1402@Argo’‘1406@Diamond’这类弱密码随处可见。”博客文章继续指出，“凭借这些数据，攻击者理论上可监听船港间通话，冒充船舶身份，甚至通过切断语音通信制造更大混乱。” 这是Lab-Dookhtegan今年发起的第二次攻击，此前曾在三月导致116艘船只通信中断。本次袭击恰逢美国对伊朗石油实施新制裁，使得破坏程度尤为严重。黑客不仅造成临时中断，每艘受影响船舶现在都需要完全重装系统，这个过程可能导致船只停运数周甚至数月。对于本就承受压力、依赖持续通信协调以避免被扣押的伊朗船队而言，这无疑是灾难性打击。失去导航能力、通信功能甚至求救手段，整个船队已实际陷入瘫痪。此次攻击绝非意外，而是经过精密策划、瞄准伊朗最脆弱时刻的精准打击，所有证据表明，这场行动取得了成功。       消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

拿到域控之后，我们要做的不是继续"攻击"，而是要成为这个网络环境中的"业务大水坑"。通过深度的用户行为分析和情报融合，我们可以构建出比任何自动化工具都要精准的攻击路径。

文章描述了错误代码521的含义及其在网络连接中的作用。

HackerNews 编译，转载请注明出处： 攻击者声称泄露的详细信息包括从医疗从业者的姓名到家庭住址的一切信息。Cybernews研究团队认为，这些数据可能源自第三方服务提供商的漏洞。 该帖子被发布在一个流行的数据泄露论坛上，此类论坛常被用来分享被盗数据。攻击者并未明确说明数据的具体来源，但他们声称数据包含了43.3万名美国医疗从业者的信息。 Cybernews研究团队查看了攻击者提供的数据样本，并得出结论认为，其中的信息混合了个人和工作账户。包含的数据类型表明，这些信息可能是从多次数据泄露中整理而来，或是某个被黑的特定第三方服务提供商泄露的。 （攻击者在数据泄露论坛上发布的帖子图片，由Cybernews提供。） “其中一些电子邮件此前并未出现在数据泄露事件中，这进一步增加了以下可能性：数据可能来自不同来源，或者此次漏洞尚未公开。”我们的团队解释道。 据称，该数据库包含了大量关于医生、外科医生和医疗保健专业人员的个人敏感信息，包括： 全名 电话号码 职称 专业领域 医院信息 电子邮件 地址 其他数据 团队注意到，该帖子的作者此前曾发布过按地点、行业和泄露细节数量分类的类似数据库。“换句话说，该帖文的作者可能是从许多不同来源收集数据，并且对其来源秘而不宣。”团队解释道。 与此同时，恶意行为者可以通过多种邪恶途径利用这些泄露的详细信息。最明显的是身份盗窃，即攻击者冒充个人建立欺诈账户。 然而，由于泄露的数据揭示了特定人群的信息，网络犯罪分子更可能利用这些信息进行定向钓鱼攻击。在这种情况下，攻击者会精心制作信息，其中包含能吸引（例如）医疗从业者的内容。 “其中一些电子邮件此前并未出现在数据泄露事件中，这进一步增加了数据可能来自不同来源，或者此次漏洞尚未公开的可能性。” Cybernews研究团队解释道。 攻击者的主要目标是让受害者透露更多个人信息，或诱骗他们下载恶意软件。医疗数据是网络犯罪地下市场中最有价值的战利品之一，因为它通常能使网络犯罪分子提交欺诈性医疗索赔，从而用于非法购买处方药。 此外，攻击者会以医护人员为目标投放恶意软件，因为这可能促成针对医疗保健提供商的勒索软件攻击。勒索软件团伙专注于攻击医院，因为此类组织无法允许系统宕机，并且在攻击者看来，它们更有可能支付赎金。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

Villain Villain is a Windows & Linux backdoor generator and multi-session handler that allows users to connect with

The post Villain: Windows & Linux backdoor generator and multi-session handler appeared first on Penetration Testing Tools.

近年来，Citrix NetScaler ADC与Gateway持续爆发高危漏洞，引发全球网络安全领域关注。本文从CVE-2025-7775切入，深度剖析其技术原理与影响，并追溯相关历史漏洞演化历程，分析高级威胁行为体利用此类漏洞的攻击链路

文章介绍了Cloudflare错误代码521的原因及其解决方法。该错误通常因源服务器超时或网络连接问题导致。常见原因包括服务器过载或配置错误。建议检查服务器状态并联系托管服务提供商以解决问题。

HackerNews 编译，转载请注明出处： 一场针对韩国政府及情报工作人员的大规模鱼叉式网络钓鱼活动，利用了一份国家情报通讯刊物来诱骗受害者。 网络安全公司Seqrite在8月29日发布的新报告中披露，APT37——一个被认为有朝鲜背景的国家级黑客组织——是此次大规模鱼叉式网络钓鱼活动的幕后黑手。 这项被称为“韩国幻影行动”（Operation HanKook Phantom）的行动包含两波活动，期间APT37武器化了一些能引起韩国政府官员和情报人员兴趣的文档。 以首尔情报为诱饵的鱼叉式钓鱼 第一波活动利用名为“国家情报研究学会通讯-第52期”（韩语：국가정보연구회 소식지 (52호)）的文档作为诱饵。 《国家情报研究学会通讯》是由韩国研究团体“国家情报研究协会”发布的月度或定期内部通讯刊物。它为会员提供最新及即将举办的研讨会、研究计划和组织发展的概述，并重点介绍有关国家安全、劳动力动态、当前地缘政治变化、技术进步（如人工智能）和韩朝关系的 ongoing 讨论。 根据Seqrite研究人员的说法，攻击者分发这份看起来合法的PDF文件的同时，还附带了一个恶意的LNK（Windows快捷方式）文件，该文件被命名为“国家情报研究学会通讯(52期).pdf.LNK”。 一旦LNK文件被执行，便会触发载荷下载或命令执行，使得攻击者能够入侵系统。其入侵链包含多种混淆恶意载荷和逃避检测的方法，包括内存执行、伪装诱饵和隐藏的数据渗出例程。 通过分析攻击链，Seqrite研究人员发现其最终载荷是RokRAT，这是一个通常作为编码后的二进制文件分发的后门程序，在利用武器化文档后由shellcode下载并解密。APT37在过去的攻击活动中也被观察到分发RokRAT。 此鱼叉式钓鱼活动的主要目标包括该通讯刊物的接收者，他们通常是以下一个或多个韩国机构的成员： 国家情报研究协会 光云大学 高丽大学 国家安全战略研究院 中央劳动经济研究所 能源安全与环境协会 救国精神振兴会 养志会（纪念会议主办方） 韩国整合战略 以朝鲜官方通讯为诱饵的鱼叉式钓鱼 第二波活动使用了朝鲜劳动党中央委员会副部长、朝鲜最高领导人金正恩的妹妹金与正于7月28日发表的声明作为诱饵。 Seqrite报告指出，根据平壤的朝鲜中央通讯社（KCNA）报道，该声明表明了朝鲜拒绝韩国任何和解努力的立场。研究人员称：“它强烈批评韩国改善朝韩关系的尝试，称其毫无意义或虚伪。”文件还提到，朝鲜断然拒绝未来与韩国的任何对话或合作，宣布结束和解努力，并将在未来采取敌对、基于对抗的立场。 此攻击链与第一波活动相似，从一个恶意的LNK文件开始，该文件在部署混淆组件（tony33.bat, tony32.dat, tony31.dat）到%TEMP%目录的同时，会释放一个诱饵文档。LNK文件会自行删除，随后批处理脚本触发无文件攻击：tony32.dat在内存中解码，用XOR解密（密钥0x37）tony31.dat，并通过API调用（VirtualAlloc+CreateThread）将其注入。 投放器通过伪造的HTTP请求从命令与控制（C2）服务器获取次要载荷（abs.tmp），通过PowerShell（-EncodedCommand）执行它并删除痕迹。同时，它通过在删除前通过伪装的POST请求（模仿PDF上传）来渗出%TEMP%文件，并使用合法系统工具（LOLBins）、内存执行和流量混合来逃避检测。 第二波活动的目标包括： 李在明政府（韩国政府内阁） 统一部 美韩军事同盟 亚太经合组织（APEC） APT37使用高度定制的鱼叉式钓鱼攻击 Seqrite将这两波结合的活动命名为“韩国幻影行动”（Operation HanKook Phantom），“HanKook”是一个通常用于指代韩国的韩语词，而“Phantom”（幻影）则代表了在整个感染链中使用的隐蔽且规避的技术。 APT37是一个网络间谍组织，拥有许多别名，包括InkySquid、ScarCruft、Reaper、Group123、RedEyes和Ricochet Chollima。该组织至少自2012年以来一直活跃，并被认为与朝鲜政权有关联。其主要焦点是韩国的公共和私营部门，近期的鱼叉式钓鱼活动涉及利用有关朝鲜士兵在乌克兰战争中帮助俄罗斯的文档作为诱饵。 2017年，APT37将其目标范围扩展到朝鲜半岛以外，包括日本、越南和中东，并瞄准了更广泛的行业领域，包括化工、电子、制造、航空航天、汽车和医疗保健组织。 Seqrite研究人员总结道：“对此次行动的分析凸显了APT37如何持续采用高度定制的鱼叉式钓鱼攻击，利用恶意的LNK加载器、无文件的PowerShell执行和隐蔽的渗出机制。”       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

本月推荐的游戏包括治愈系模拟经营作品《小小书店》，休闲益智的座位安排游戏《这个座位有人坐吗？》，经典重制的潜行动作游戏《潜龙谍影 Δ：食蛇者》，以及收录多款经典弹幕射击作品的合集《宇宙巡航机 起源精选集》。

本文分析了在中文Windows环境下进行数据库提权时遇到的字符集问题。通过MSSQL盲注提权和MySQL UDF提权两个实际案例进行分析

本文介绍了http2指纹实现的一些构想，用于代理检测

A vulnerability, which was classified as problematic, was found in Apple tvOS up to 14.6. Affected by this vulnerability is an unknown functionality of the component Message Handler. Executing manipulation can lead to denial of service. This vulnerability is tracked as CVE-2024-44297. The attack can be launched remotely. No exploit exists. You should upgrade the affected component.

A vulnerability classified as problematic has been found in Apple macOS up to 14.6. This affects an unknown function of the component Message Handler. This manipulation causes denial of service. The identification of this vulnerability is CVE-2024-44297. It is possible to initiate the attack remotely. There is no exploit available. It is recommended to upgrade the affected component.

A vulnerability classified as problematic was found in Apple visionOS up to 14.6. This impacts an unknown function of the component Message Handler. Such manipulation leads to denial of service. This vulnerability is referenced as CVE-2024-44297. It is possible to launch the attack remotely. No exploit is available. Upgrading the affected component is advised.