嘶吼专业版

尽管这封钓鱼邮件的诱饵内容并无特别之处，但攻击者通过滥用iCloud日历邀请这一合法功能，并借助苹果邮件服务器及官方邮箱地址，为邮件增添了可信度，且因其发自可信来源，有可能绕过垃圾邮件过滤器。

快速浏览！2025.9.8—9.14安全动态周回顾。

在针对Salesloft的 data theft 攻击中，威胁者的主要目标是窃取Salesforce实例中的支持工单，进而从工单中收集凭据、身份验证令牌及其他敏感信息。

大家好，我是Hacking Group创始人、安全客负责人、08sec创始人TNT，平时的爱好除了网安技术，就是开锁和摄影，很高兴和大家交流分享。

据显示，8月末出现两次显著的扫描高峰，多达2.5万个独立IP地址对ASA登录入口及思科IOS的Telnet/SSH服务进行探测。

分析显示，多个软件包生态系统的令牌均遭泄露，包括Rust crate和npm包。

此次钓鱼攻击与植入的恶意软件均表明，网页浏览器已成为窃取凭据、篡改流量及入侵网络的巨大攻击面。

在TP-Link明确受影响设备清单并发布修复程序前，用户应采取以下措施。

HexStrike-AI本是网络安全研究员开发的合法红队工具，可集成AI代理，自主运行150多种网络安全工具，实现自动化渗透测试与漏洞发现。

Truesec发现，该活动的操作人员至少从2024年8月起就开始活跃，并推广了其他工具，包括OneStart和Epibrowser浏览器。

快速浏览！2025.9.1—9.7安全动态周回顾。

需要明确的是，该漏洞并非ASP.NET本身的问题，而是因复用公开文档中，本不应用于生产环境的密钥所导致的配置错误漏洞。

知名云基SaaS（软件即服务）提供商Workiva已通知其客户，攻击者通过入侵第三方客户关系管理（CRM）系统

这款仿冒TradingView的应用是“Brokewell恶意软件的高级版本”，配备了“旨在监控、控制和窃取敏感信息的庞大工具库”。

该恶意软件借助Lua脚本，可在Windows、macOS及Linux系统上实施数据窃取与加密操作。

基于YASA的智能代码审计，实现了从“能检出”到“稳定检出”的跃升。

由于勒索软件加密程序在对设备进行加密前被拦截的情况日益增多，我们可能会看到其他威胁者也从本地加密转向基于云的数据窃取和加密。

本报告剖析了夏季影响最严重的几起事件，以及安全团队在面对攻击浪潮来临时需要采取的措施。

该安全问题属于服务器端请求伪造（SSRF）漏洞，目前已被编号为CVE-2025-9074，其严重等级被评定为9.3分。

快速浏览！2025.8.25—8.31安全动态周回顾。