HackerNews

HackerNews 编译，转载请注明出处： 尽管这是一项科学突破，该技术仍引发关于隐私与道德监控的争议。 罗马第一大学的研究团队发现，人体扰动WiFi信号形成的独特模式如同无形指纹——每个人的特征均独一无二。然而，这与手机人脸识别或健身房指纹扫描等传统生物识别技术截然不同：该方法既无需摄像头，也无需被识别者主动配合。 该系统依赖于WiFi信号模式的细微变化，具体而言是信道状态信息（CSI）的变化。当电磁波穿透人体或经人体反射时，人体体型、动作姿态等特性会引发信号幅度与相位的独特“印记”。 为解析这些“印记”，团队基于标准数据集NTU-Fi训练了Transformer深度神经网络模型。结果显示，该模型能以高达95.5%的准确率跨空间重识别个体。 相较于固定位置的摄像头或生物扫描仪，该系统可在任何存在WiFi信号的区域运作，潜在将住宅、办公室等场所转化为被动识别场域。虽然系统不存储图像或传统个人数据，但其在无需知情或同意的情况下追踪人员的能力，已引发重大伦理质疑——尤其在WiFi网络日益密集的当下。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全威胁组织Patchwork被指针对土耳其国防承包商发起新一轮鱼叉钓鱼攻击，旨在窃取战略情报。 Arctic Wolf实验室本周发布的技术报告指出：“攻击者通过伪装成会议邀请函的恶意LNK文件实施五阶段攻击链，目标锁定对无人载具系统感兴趣的机构。”该行动还锁定了某未具名的精确制导导弹系统制造商，攻击时机正值巴基斯坦与土耳其深化防务合作、印巴军事冲突升级之际，显示其地缘政治动机。 Patchwork（亦名APT-C-09、APT-Q-36、白象组织等）被评估为印度背景的国家级黑客组织。该组织自2009年活跃至今，长期针对中国、巴基斯坦等南亚国家发动攻击。 一年前，Knownsec 404团队曾披露该组织通过不丹相关实体投递Brute Ratel C4攻击框架及新版PGoShell后门。2025年初至今，其持续攻击中国高校，近期更利用电网主题诱饵投放基于Rust语言的加载器，最终解密执行名为Protego的C#木马以窃取Windows系统数据。 此次对土耳其的攻击标志着该组织行动版图扩张。攻击始于钓鱼邮件中的恶意LNK文件，触发多阶段感染流程： LNK文件调用PowerShell命令，从2025年6月25日注册的域名“expouav[.]org”获取载荷 服务器托管仿冒国际无人载具系统会议的PDF诱饵（正版会议信息存于waset[.]org） “该PDF文档作为视觉诱饵分散用户注意力，攻击链在后台静默运行” 关键载荷包括通过计划任务启动的恶意DLL，采用DLL侧加载技术执行shellcode，最终实现： 主机深度侦察 屏幕截图 数据回传至C2服务器 这标志着该威胁组织能力显著升级：从2024年11月的x64 DLL变种，发展为当前具备增强命令结构的x86 PE可执行文件。Patchwork通过架构多样化及仿冒合法网站的C2协议，持续投入攻击能力开发。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 俄罗斯航空航天及国防工业正成为一场网络间谍活动的目标，该活动通过名为“EAGLET”的后门程序窃取数据。 这项代号为“货物利爪行动”（Operation CargoTalon）的活动被归因于一个追踪编号为UNG0901（Unknown Group 901的缩写）的威胁组织。 Seqrite实验室研究员苏布哈吉特·辛哈在本周发布的分析报告中表示：“该行动旨在针对俄罗斯主要飞机制造实体之一——沃罗涅日飞机制造厂（VASO）的员工，利用对俄罗斯物流运营至关重要的文件——货物运输单（TTN）实施攻击。” 攻击始于携带货运主题诱饵的鱼叉式钓鱼邮件。邮件包含一个ZIP压缩包，其中是一个Windows快捷方式（LNK）文件。该文件利用PowerShell显示一个诱饵性的Microsoft Excel文档，同时在主机上部署EAGLET的DLL植入程序。 诱饵文档引用了奥布转运码头（Obltransterminal），这是一家俄罗斯铁路集装箱码头运营商，已于2024年2月遭到美国财政部海外资产控制办公室（OFAC）的制裁。 EAGLET被设计用于收集系统信息，并连接到硬编码的远程服务器“185.225.17[.]104”，以处理服务器的HTTP响应，提取需在受感染的Windows机器上执行的命令。 该植入程序支持Shell访问以及文件上传/下载功能。不过，由于命令控制（C2）服务器目前处于离线状态，通过此方法传递的下一阶段攻击载荷的确切性质尚不清楚。 Seqrite表示，他们还发现了该组织使用相同后门程序EAGLET针对俄罗斯军事领域的类似活动，其源代码和攻击目标与另一个以俄罗斯实体为目标的威胁组织“头号种马”（Head Mare）存在重叠。 这包括EAGLET与基于Go语言的“幻影之门”（PhantomDL）后门在功能上的相似性（两者均具备Shell和文件下载/上传功能），以及钓鱼邮件附件命名规则的相似性。 与此同时，具有俄罗斯国家背景的黑客组织UAC-0184（又名Hive0156）被指认为本月针对乌克兰受害者发起新一波攻击的源头，攻击中使用了Remcos远程访问木马（RAT）。 虽然该威胁行为者自2024年初以来就有传播Remcos木马的历史，但新近发现的攻击链已经简化：通过武器化的LNK文件或PowerShell脚本加载诱饵文件及Hijack Loader（又名IDAT Loader）载荷，最终释放Remcos木马。 IBM X-Force团队指出：“Hive0156投放武器化的微软LNK和PowerShell文件，可触发Remcos木马的下载执行”，并补充说明“关键诱饵文件主题显示其攻击焦点已从乌克兰军方扩展到更广泛目标。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究人员确认，新型Coyote银行木马成为首个在真实攻击中滥用微软UI自动化框架（UIA）的恶意软件。该木马锁定75家银行及加密货币平台用户，主要针对巴西地区，通过UIA技术窃取登录凭证，验证了Akamai在2024年12月提出的技术预警。 攻击流程剖析 目标识别 木马首先比对活动窗口标题与预设的75家金融机构/交易所地址列表。若未匹配，则启动UIA框架深度扫描浏览器标签页及地址栏内容。 凭证窃取 UIA技术滥用：利用微软为辅助工具设计的合法框架，解析其他应用程序的UI子元素，无需了解目标程序内部结构即可提取隐藏数据。 离线下操作：即使无网络连接，仍可持续执行检测流程，大幅提升攻击成功率。 攻击升级 除窃取数据外，攻击者可操纵UI元素实施隐蔽攻击，例如篡改浏览器地址栏诱导用户跳转钓鱼网站，或通过最小化视觉痕迹实施定向重定向。 技术演变与影响 历史背景：2024年2月首次发现的Coyote木马原以键盘记录和钓鱼覆盖层攻击拉美金融机构，新变种则通过UIA绕过端点检测与响应（EDR）工具的监控。 攻击范围扩展：目标金融机构从今年1月的73家增至75家，涵盖传统银行与加密货币平台。 多重窃密手段：同步采用键盘记录、屏幕截图及覆盖虚假界面等传统手法，形成复合攻击链。 防御建议 监控异常行为：检测陌生进程加载UIAutomationCore.dll的行为，追踪以UIA_PIPE_开头的命名管道活动。 威胁狩猎：使用osquery工具标记与UIA框架交互的可疑进程，部署专业威胁监测服务识别异常UIA活动。 风险认知：Akamai强调UIA滥用可能成为新型攻击向量，需警惕其被广泛利用的趋势。       消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 新型网络威胁：暗网社区（The Com） 非传统犯罪团伙的“暗网社区”（简称The Com）正快速蔓延至11-25岁青少年群体。该去中心化网络犯罪组织潜伏在Discord、Telegram及私人论坛，融合黑客技术、暴力行为与剥削活动。 美国联邦调查局（FBI）将其列为对青少年最紧迫的网络威胁之一，指出其行为动机仅为金钱、知名度、报复和剥削，而非任何正义诉求。 过去四年间，该组织犯罪手段持续升级，成员涉足性勒索、报假警（swatting）、儿童剥削及雇凶施暴等恶性犯罪，具体攻击手段包括： 分布式拒绝服务（DDoS）攻击 SIM卡劫持 勒索软件攻击 知识产权窃取 加密货币盗窃 成员通过屏幕共享炫耀犯罪所得（部分加密货币盗窃案值超百万美元），但内部相互倾轧严重，常沦为同伙作案目标。该组织无核心领袖或统一意识形态，但维持着邪教式帮派运作模式，预估有数千名活跃/前成员。FBI单日连发三份警报揭示其三大分支： 1. 黑客分支（Hacker Com） 专精技术犯罪，掌握远控木马、钓鱼工具包、VOIP电话、加密货币洗钱等技术，实施： 大规模数据窃取 政府邮箱账户倒卖 勒索软件部署 高调网络入侵 成员以技术实力和账户余额确立地位，频发内斗导致自身成为SIM劫持、加密货币盗窃目标。 2. 现实犯罪分支（IRL Com） 从SIM劫持拓展至实体暴力服务，明码标价提供： 枪击/绑架/抢劫 持刀伤人/暴力袭击 设备损毁（bricking） 通过社交媒体招募打手，并将报假警作为管控成员手段——违抗命令者及其家人可能成为目标。 3. 勒索分支（Extortion Com） 系统化剥削未成年女性及心理脆弱者，胁迫受害者： 制作自残/虐宠/色情内容 直播自杀行为 使用人肉搜索（doxxing）、报假警及现实暴力操控受害人，犯罪素材在组织内传播以持续勒索。主要通过青少年常用社交平台/游戏应用锁定10-17岁目标。 FBI安全建议 监督未成年人网络活动 避免公开隐私信息/含未成年人影像 启用多重验证及隐私设置 拒付勒索赎金（可能加剧侵害） 警惕行为突变、自残倾向、隐蔽网络关系等风险信号。立即通过FBI网络犯罪投诉中心或国家失踪与受虐儿童中心（NCMEC）举报，紧急情况拨打911。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 荷兰司法系统遭黑客入侵事件中，俄罗斯背景的黑客被列为重点嫌疑对象。据荷兰《AD报》援引知情人士消息，有强烈迹象表明荷兰公共检察署（OM）的系统入侵事件系俄罗斯黑客所为。攻击者潜伏在司法部系统内数周未被察觉。 风险预警始于6月17日，当时检察署远程办公使用的第三方软件Citrix NetScaler被发现存在严重漏洞。该漏洞在通用漏洞评分系统（CVSS）中被评为9.3分，属于最高风险级别。检察署向《 Volkskrant 》报证实，虽已按建议更新系统，但有理由认为漏洞在修补前已被利用。 为阻断攻击，检察署主动断开内部计算机的互联网连接。据信黑客可能已潜伏数周，接触了包括在办警方调查案卷、未审结刑事案件卷宗及员工个人信息在内的高度敏感数据。目前尚不明确具体泄露的数据范围。 历史关联 此次并非荷兰首次遭俄罗斯黑客锁定。2024年5月，荷兰情报安全局（AIVD）已确认俄罗斯黑客窃取了数万名警察的个人数据。2024年9月，荷兰国家警察披露超过65,000名警员的联系方式通过“Cookie传递攻击”从服务器被盗——该技术通过伪造用户会话凭证实施入侵。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 罗马尼亚与英国执法机构在欧洲刑警组织（Europol）和欧盟司法合作组织（Eurojust）支持下，成功捣毁一个通过ATM欺诈获利约58万欧元（约合68.1万美元）的犯罪网络。 欧洲刑警组织7月24日声明显示，两国调查人员首先收集了该犯罪团伙及其活动的证据，相关数据经欧洲刑警组织分析后，通过联合调查组（JIT）在行动会议中共享。在掌握充分证据后，执法人员于2024年12月在英国、2025年7月23日在罗马尼亚展开两次协同突袭，共搜查18处住所，逮捕两名嫌犯，并查获房产、豪华汽车、电子设备及现金。 此次行动参与机构包括罗马尼亚国家警察及检察署、英国皇家检察署及东区特别行动组。欧洲刑警组织派遣分析师赴罗马尼亚提供现场支持，欧盟司法合作组织则协助组建联合调查组、提供跨境司法协作，并协调罗马尼亚的行动部署。 欺诈手法解析 调查发现，犯罪团伙采用“交易撤销欺诈”（TRF）技术窃取ATM现金： 操作流程：拆除ATM屏幕→插入银行卡发起取款→现金即将吐出前取消交易→手动截留现金； 其他犯罪：涉及侧录设备盗刷、伪造支付卡与交通卡，以及通过“撞库攻击”软件识别卡号实施未授权交易获利。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 移动安全研究人员发现一场大规模恶意活动，攻击者通过伪造的约会和社交应用窃取用户敏感数据。该行动被命名为“SarangTrap”，同时针对Android和iOS平台，利用超过250个恶意应用和80余个钓鱼域名实施攻击，韩国用户为主要目标。 安全公司Zimperium本周三发布的报告指出，该活动采用情感操纵策略：通过虚假用户资料、专属“邀请码”及仿真的应用界面诱骗受害者。这些应用伪装成合法服务，实则专门用于窃取用户联系人、私人照片、短信内容及设备标识符等数据。 攻击流程： 用户安装应用后，界面显示正常但会索要不必要的权限。输入攻击者提供的邀请码后，隐藏的间谍程序即被激活。获取权限后，应用将静默上传敏感数据至攻击者控制的服务器。 策略升级与跨平台特性 Zimperium实验室的最新分析显示，恶意软件策略持续演变： Android端：新样本已从清单文件中移除短信权限，但保留窃取短信的代码，表明攻击者正尝试规避安全扫描。 iOS端：改用恶意移动配置描述文件替代传统应用安装。用户授权后，攻击者无需应用即可获取联系人、照片及设备信息。 攻击基础设施 攻击者注册了88个独立域名，其中70余个用于分发恶意软件。至少25个域名被谷歌等搜索引擎收录，并通过“约会”“文件共享”等常见关键词提升排名，使钓鱼页面更具欺骗性。目前累计发现250余个Android恶意样本，部分样本甚至完全省略关键权限以躲避检测，但仍持续窃取数据。 技术与社会工程的结合 该活动将技术手段与社会工程深度融合。典型案例中，一名经历分手的男性用户被虚假约会资料诱导，通过钓鱼链接下载应用并输入邀请码后设备遭入侵。攻击者利用窃取的私密视频对其进行敲诈，威胁向家人公开内容。 Zimperium建议用户：警惕索要邀请码或非常规权限的应用，避免使用第三方应用商店，并定期检查设备配置描述文件与安全设置。 SarangTrap行动目前仍处于活跃进化状态，使得用户保持警惕变得尤为重要。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁组织EncryptHub（又名Larva-208）通过入侵Steam平台游戏《Chemia》，向不知情用户分发信息窃取类恶意软件。 近日，该黑客组织将恶意二进制文件植入由“Aether Forge Studios”开发的生存制作类游戏《Chemia》中。该游戏目前以“抢先体验”形式登陆Steam，尚未公布正式发行日期。 据威胁情报公司Prodaft分析，攻击始于7月22日。EncryptHub在游戏文件中添加了恶意软件HijackLoader（文件名CVKRUTNP.exe），该程序在受害设备上建立持久化机制，并下载信息窃取程序Vidar（文件名v9d9d.exe）。研究人员发现，恶意软件通过某Telegram频道获取命令与控制（C2）服务器地址。 三小时后，攻击者再次通过DLL文件（cclib.dll）植入第二款恶意软件Fickle Stealer。该文件利用PowerShell脚本（worker.ps1）从域名soft-gets[.]com获取主载荷。Fickle Stealer专门窃取浏览器存储数据，包括账户凭证、自动填充信息、Cookie及加密货币钱包数据。该恶意软件去年曾被EncryptHub用于大规模鱼叉式钓鱼攻击，导致全球超六百家组织沦陷。 此威胁组织在黑客领域行为特殊：既恶意利用Windows零日漏洞，又曾向微软负责任的披露关键漏洞。Prodaft在报告中指出：“被篡改的可执行文件对Steam用户显示为合法程序，这种攻击依赖平台信任而非传统欺骗手段，形成高效的社会工程陷阱。当用户在免费游戏中点击《Chemia》的‘测试版’时，实际下载的是恶意软件。” 恶意软件在后台静默运行，不影响游戏性能，玩家难以察觉异常。目前尚不清楚EncryptHub如何将恶意文件植入游戏项目，推测可能有内部人员协助。游戏开发商未在Steam页面或社交媒体发布任何声明。 截至发稿，《Chemia》仍可于Steam下载，无法确认最新版本是否已清除恶意代码。建议用户等待Steam官方公告前避免接触该游戏。 此为Steam平台2025年第三起恶意软件事件：此前3月《Sniper: Phantom’s Resolution》与2月《PirateFi》均曾中招。三款游戏均为“抢先体验”阶段作品，表明Steam对此类内容的审核机制可能存在疏漏。用户下载开发中游戏时需保持警惕。 本次攻击的入侵指标（IOC）已公开。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 新型Linux恶意软件Koske疑似利用人工智能技术开发，通过看似无害的熊猫JPEG图片将恶意代码直接部署到系统内存中。 网络安全公司AquaSec的研究人员分析后，将Koske描述为“一种复杂的Linux威胁”。基于其表现出的自适应行为，研究人员认为该恶意软件可能是利用大型语言模型（LLM）或自动化框架开发的。 Koske的主要目的是部署针对CPU和GPU优化的加密货币挖矿程序，利用主机计算资源挖掘超过18种不同的加密货币。 AquaSec在攻击中发现了塞尔维亚的IP地址、脚本中的塞尔维亚语短语，以及托管挖矿程序的GitHub仓库中的斯洛伐克语，但无法据此确认攻击者身份。 熊猫攻击 攻击者首先利用暴露在公网的JupyterLab实例配置错误实现命令执行。获取初始访问权限后，攻击者从OVH images、freeimage和postimage等合法图床下载两张熊猫JPEG图片。这些图片隐藏了恶意载荷。 AquaSec强调，攻击者并未使用隐写术在图片中隐藏恶意软件，而是依赖多态文件（同一文件可被不同应用解析为多种格式）。尽管熊猫图片包含有效的JPEG文件头，但文件尾部同时附加了恶意Shell脚本和C代码，使同一文件既能显示为正常图片，又能被脚本解释器执行。 攻击中使用的两张图片分别隐藏不同载荷，且同时启动： 载荷一：直接写入内存的C代码，编译后作为共享对象（.so文件）执行，充当rootkit。 载荷二：在内存中执行的Shell脚本，利用系统工具实现隐蔽运行和持久化，几乎不留痕迹。 Shell脚本通过滥用Linux原生工具在内存中直接执行，通过每30分钟运行的cron任务和自定义systemd服务实现持久化。其功能包括： 网络加固与代理规避 代理暴力破解 这种自适应行为使AquaSec研究人员怀疑恶意软件由LLM或自动化平台开发。 加密货币挖矿部署 建立网络访问和持久化后，Shell脚本从GitHub下载挖矿程序。部署前会评估主机的CPU和GPU性能，以选择最优矿工。Koske支持挖掘18种加密货币，包括难以追踪的Monero、Ravencoin、Zano、Nexa和Tari。若某个币种或矿池不可用，恶意软件会自动切换备用选项，展现出高度自动化能力。 AquaSec警告，虽然此类AI驱动的恶意软件已构成严重威胁，但未来变种可能具备实时自适应能力，演变成更危险的威胁类型。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 清洁用品巨头高乐氏（Clorox）已起诉其委托运营IT服务热线的承包商高知特（Cognizant），指控后者直接导致了2023年造成数亿美元损失的网络攻击事件。 本周二在加利福尼亚州高等法院提交的诉讼文件显示，为高乐氏提供服务的高知特承包商多次向黑客移交关键登录信息，致使公司系统遭入侵并引发运营瘫痪。高知特作为协助企业实施业务流程技术化的大型专业服务公司，尚未回应置评请求。 高乐氏指控高知特“其失职行为直接引发了2023年8月的网络攻击，并对公司业务运营造成重大破坏”。公司宣称因此遭受3.8亿美元损失，要求高知特承担该赔偿金额及惩罚性损害赔偿。高乐氏指出，其明确规定的密码重置政策屡遭高知特客服人员无视。 “高乐氏将保护企业系统的关键职责托付给高知特——而他们彻底搞砸了，”高乐氏外部法律顾问玛丽·罗斯·亚历山大表示，“高知特不仅玩忽职守，更是将企业网络密钥拱手交给臭名昭著的网络犯罪团伙，公然漠视高乐氏的政策与长期建立的网络安全标准。通话录音完整记录了整个过程，这种行为无可辩驳。” 高知特发言人则将责任归咎于高乐氏，称“像高乐氏这种规模的企业竟拥有如此低效的内部网络安全系统来抵御攻击，令人震惊”。该发言人强调：“高知特仅承担有限的热线服务范畴，且已合理履行义务。我们并未负责高乐氏的网络安全事务。” 诉讼文件中，高乐氏提供了黑客与客服热线的通话记录文本——显示网络犯罪分子曾多次致电要求重置密码，却始终无需身份验证或证明其员工身份。2023年8月，高乐氏因网络攻击被迫关闭系统，并向联邦监管机构报告称业务运营受阻，不得不采取变通方案维持客户产品供应。 该公司遭遇持续数月的运营故障，部分IT基础设施遭破坏导致“大规模瘫痪”。依靠旗下明星清洁产品及Pine Sol、Burt’s Bees等品牌创造数十亿美元收入的高乐氏，在攻击后被迫恢复人工订单处理流程。由于订单处理效率骤降，其产品在零售渠道持续缺货。攻击事件后六个月内，公司出货量减少导致销售额下降6%，同时需斥资聘请咨询机构、IT恢复团队及取证专家进行事件调查与修复。高乐氏声称已投入4900万美元修复损失，并蒙受数亿美元业务损失。最新财报显示，公司近期获得与网络攻击相关的1亿美元保险理赔。 社会工程攻击全流程还原 诉讼文件描绘了高知特员工的重大失职行为（该公司运营高乐氏热线逾十年），同时详述了网络安全专家指出的、犯罪分子日益猖獗的社会工程手段。高乐氏员工通常通过高知特服务台进行密码找回或账户设备重置。公司明确要求服务商“重置凭证前必须严格验证身份”，但2023年8月11日，犯罪分子致电索取网络访问凭证时，“高知特直接交出了权限”。 “录音显示，高知特在未验证身份的情况下，将高乐氏企业网络密钥交给了网络罪犯，”高乐氏律师控诉，“犯罪分子利用当日通过类似通话获取的凭证发动攻击，致使高乐氏企业网络瘫痪、业务运营陷入困境。” 高乐氏透露，其内部服务台经理每周与印孚瑟斯团队管理人员开会强调规则制度。2023年1月，公司更新指引要求客服人员使用身份验证工具MyID；若该工具不可用，则需核实致电者直属经理姓名及账户名。 黑客当时要求重置某员工的Okta账户密码。客服人员虽建议其连接公司虚拟专用网络（VPN），但在黑客声称忘记VPN密码后，该人员直接重置了两套系统密码，“完全违反高乐氏凭证支持流程”。当黑客声称微软多因素认证（MFA）失效时——高乐氏认为这应触发警报——客服却在未验证身份的情况下直接重置了MFA。同日，黑客二次致电要求重复重置微软MFA，该要求再度获准。第三次通话中，黑客再次要求重置Okta凭证，客服仍无任何身份核验即执行操作。黑客进而要求将账户MFA验证手机号变更，客服依旧照办。 “整个过程中，客服从未验证致电者确系该员工本人，也从未遵守高乐氏的凭证支持流程——无论是2023年前旧规还是新规，”公司律师指出，“客服既未向员工及其经理发送密码重置通知邮件，也未执行任何身份核验程序。” 犯罪分子利用重置凭证登录网络窃取信息，进而锁定另一名IT安全部门员工故技重施。通过两次致电，黑客再度获取该员工Okta及微软系统的MFA密码重置权限。此账户使黑客获得高乐氏网络特权访问权限。公司三小时后察觉入侵并试图遏制，但最终被迫全面关闭系统、暂停生产线，转为依赖人工处理订单。 诉讼文件关键部分经编辑处理，高乐氏未确认是否遭受勒索软件攻击。目前尚无网络犯罪组织宣称对此事件负责。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 研究人员发现，俄罗斯正越来越多地利用吉尔吉斯斯坦快速增长的加密货币行业规避国际制裁，并为乌克兰战争输送资金。 区块链情报公司TRM Labs新报告显示，受制裁的俄罗斯实体多次使用在吉尔吉斯斯坦注册的交易所。这些虚拟资产服务提供商（VASP）大多以空壳公司形式运作，常在不同实体间重复使用相同住址、联系方式和创始人身份。 报告指出，部分吉尔吉斯注册的VASP既无可见业务运营，也无面向公众的用户平台。有些与物流公司共享电话号码，另一些则列名毫无商业或加密货币经验的创始人。 某些实体还与高风险俄罗斯加密交易所Garantex共享钱包基础设施和行为模式——该平台于2022年被美国制裁并下线。研究人员认为部分吉尔吉斯注册企业可能由原平台的同一批人操控。 自2022年俄罗斯全面入侵乌克兰以来，克里姆林宫日益依赖替代性金融网络资助战事并获取敏感技术。吉尔吉斯斯坦已成为莫斯科的重要物流和金融枢纽。据报道，半导体、无人机部件和反无人机设备等常被视为军民两用的商品，从中国等国家出口后经吉尔吉斯斯坦转运至俄罗斯。 吉尔吉斯斯坦的加密友好政策进一步助长了此类活动。该国2022年通过法律承认虚拟资产的合法地位，并为加密企业建立许可制度，将其纳入正式监管框架。 吉尔吉斯的加密漏洞是俄罗斯重构经济体系以抵御西方制裁的整体战略一环。克里姆林宫还在本土将规避制裁行为制度化：莫斯科知名高等经济学院近期开设硕士课程，专门教授学生如何应对西方贸易和金融限制，表明俄政府将构建制裁抵御型经济视为长期战略。 西方国家日益关注俄罗斯不断扩张的制裁规避体系。今年6月，美国当局指控一名纽约居住的俄罗斯公民利用其加密公司为受制裁俄银行转移敏感美国技术和资金。 TRM Labs研究人员强调：“寻求遏制俄罗斯制裁规避手段的各国政府及执法机构，需紧急与吉尔吉斯当局直接沟通合规事宜。若放任不管，俄罗斯可能在邻国复制相同模式。”       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国最大造船企业海军集团（Naval Group）据称遭遇重大黑客攻击。研究人员认为攻击者在网上分享的数据样本包含真实细节。该公司深度参与法国国防领域。 一名威胁行为者在知名数据泄露论坛上宣布了据称的海军集团数据泄露事件。攻击者声称已获取法国潜艇和护卫舰使用的作战管理系统（CMS）访问权限。 值得注意的是，攻击者似乎无意出售数据（数据泄露论坛用户常采取此做法），而是试图通过威胁泄露数据来勒索海军集团。 泄露数据样本内容 海军集团是欧洲国防领域的重要参与者，员工超15,000人，年收入超50亿美元（43亿欧元）。其主要股东为法国政府和泰雷兹集团。 我们已联系该公司寻求置评，收到回复后将更新本文内容。 泄露数据涉及哪些内容？ 根据攻击者在数据泄露论坛的帖子，网络犯罪分子据称获取了以下内容： 军用舰艇CMS的源代码 网络数据 标注不同限制级别的技术文档 开发人员虚拟机访问权限 机密通信记录 若得到证实，此次数据泄露将对该公司及法国国家安全构成重大威胁。潜艇和护卫舰CMS源代码的泄露将引起法国所有对手的兴趣，且需投入资金缓解问题。 网络安全研究团队分析了攻击者帖子中附带的13GB数据样本，认定泄露细节似乎真实可信。样本包含各类合同、据称来自CMS的信息，以及疑似潜艇监控系统的视频（但视频时间戳显示为2003年）。 然而，出于经济动机的攻击者常夸大所获数据的实际影响以胁迫受害者满足勒索要求。目前尚不清楚数据泄露的真实程度。 总部位于巴黎的海军集团是法国海军防务设计、开发和建造的关键角色。该公司历史可追溯至17世纪末，自成立以来一直是法国海军防务不可或缺的一部分。例如，法国唯一的核动力航空母舰“夏尔·戴高乐”号即由海军集团（当时名为DCN“法国舰艇建造局”）建造。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一台配置错误的Elasticsearch服务器暴露了包含数亿条高度详细记录的商业情报数据金矿，这些记录关联瑞典个人及组织。 Cybernews研究人员发现了这个未加密的数据库，它不需要任何身份验证即可访问，且完全暴露在公共互联网上。 泄露数据包含超过1亿条记录，时间跨度为2019至2024年，共分布在25个独立索引中，部分数据集体积超过200GB。 哪些数据被泄露？ 许多泄露记录包含高度敏感的个人和组织信息，包括： 完整法定姓名（含曾用名历史） 瑞典个人身份证号 出生日期和性别 瑞典境内及海外的地址历史 婚姻状况及已故人员信息 移民者的海外地址 债务记录、付款备注、破产历史、房产所有权指标 跨越数年的所得税数据（2019–2023） 活动及事件日志（包括收入申报提交、移民状态和地址更新） 这些记录实质上描绘了瑞典公民和组织长达五年的财务与行为画像。泄露数据提供了关于个人及组织运作方式的详细时间戳快照，追踪了从地址变更、收入变动到债务、税务申报及商业关联等一切信息。 信息的庞大规模和精确度使该数据集极具价值和危险性。银行、贷款机构和合规团队可利用其进行风险评估和信用分析。然而对威胁行为者而言，此类数据为各种形式的利用打开了大门——攻击者可将其武器化，用于企业监控、竞争对手画像、高精准钓鱼攻击、社会工程攻击或勒索。 与Risika商业情报的关联 对数据库结构及字段名的分析表明，暴露数据源自北欧领先的商业情报数据分析公司Risika。内部“dwh*”（数据仓库）标签及产品导向的索引命名方式与已知Risika产品规范吻合。 但进一步调查显示，该Elasticsearch集群并非由Risika自身运营，而是由一个尚未确认的第三方操作。命名惯例和元数据模式表明其为下游客户。 研究人员认为，这些数据可能是在商业许可下合法提供给该运营方的，但因配置错误而被公开暴露。 Cybernews已于5月10日向Risika发送负责任的披露通知，但未收到回应。该集群于次日下线。 披露时间线 2025年5月9日：发现数据泄露 2025年5月10日：发送首次披露通知 2025年5月11日：泄露通道关闭       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 根据NCC Group的最新研究结果，2025年第二季度全球勒索软件攻击数量较第一季度下降43%，执法行动与内部冲突对威胁态势产生了重大影响。 4月至6月期间共记录了1180次攻击，而第一季度为2074次。 该公司还观察到，2025年6月声称发动的勒索软件攻击连续第四个月下降，较5月减少6%，降至371次。 第二季度的放缓紧随今年前三个月攻击量的急剧上升，这一上升主要由Clop、RansomHub和Akira等主导团伙的激进攻击活动驱动。 然而，近期的执法行动已打击了一些关键勒索软件运营者，包括针对Clop和RansomHub的附属组织。值得注意的是，Clop和RansomHub在第二季度已从活跃勒索软件团伙前十名单中消失。 NCC Group研究人员指出：“这些打击可能在勒索软件团伙生态系统中产生了连锁反应，迫使附属组织重新集结或转向新兴勒索软件团伙。” 这份发布于7月23日的报告还强调，内部信息泄露及不同勒索软件行为者之间的冲突可能是攻击放缓的因素之一。5月，臭名昭著的LockBit团伙的内部信息遭泄露。 同时，研究人员观察到DragonForce在与竞争对手勒索软件运营者进行“地盘争夺战”，以图确立其在网络犯罪市场的主导地位。DragonForce似乎对2025年3月下旬RansomHub的基础设施中断负有责任，此举遏制了其运作。 攻击量下降的另一个可能因素是第二季度受复活节和斋月等全球性假期影响导致的季节性放缓。 Qilin领跑碎片化市场 Qilin（麒麟）是第二季度最活跃的勒索软件团伙，声称发动了151次攻击，占总量的13%。这一数字高于第一季度的95次攻击。 排名第二的是Akira（131次攻击），其次是Play（115次）和SafePay（108次）。SafePay在5月因声称发动70次攻击而引发广泛关注。该组织首次被发现于2024年9月，研究人员指出关于该团伙的公开信息相对较少。 专家将SafePay与其他知名行为者（如LockBit、BlackCat、INC Ransom和Play）联系起来。 NCC Group透露，2025年已追踪到86个新的和现有的活跃攻击组织，数量有望超过2024年的纪录。NCC Group全球威胁情报主管马特·赫尔（Matt Hull）评论道：“攻击者数量的增加意味着企业需要防范更广泛的攻击手法。” 行业目标分布 第二季度遭受攻击最多的行业是工业领域，共353次攻击，占总量的30%。紧随其后的是非必需消费品行业，251次攻击占总量21%。该行业包括零售业，后者在第二季度成为重点攻击目标。 信息技术（10%）、医疗保健（8%）和金融服务（6%）位列本季度前五大受攻击行业。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国就业局（France Travail）遭遇数据泄露事件，可能影响数十万求职者。 该机构于7月22日向其用户发送电子邮件，警告称其“就业”门户网站（供合作伙伴使用）在7月13日发现数据泄露。 此次泄露可能暴露34万用户的个人数据，包括姓名、邮政地址和电子邮件地址、电话号码、France Travail标识符以及求职者状态。该机构保证用户的密码和银行详细信息未受影响。 “但我们建议对网络钓鱼风险保持警惕。”该就业局在公开声明中警告道。 通过信息窃取程序实施的网络攻击凸显双因素认证（2FA）安全漏洞 据法国科技新闻媒体Next报道，此次泄露由法国网络安全机构（ANSSI）的计算机应急响应小组（CERT-FR）在7月12日发现。 据信，泄露的发生是由于位于伊泽尔省的一个培训组织的关联用户账户，通过信息窃取恶意软件（infostealer malware）遭到入侵。攻击者随后设法获得了对Kairos应用程序的访问权限，该应用程序使培训组织能够追踪求职者的培训进度。 一位France Travail发言人告诉Next：“该服务（指就业门户）连同所有其他为合作伙伴托管的服务被立即关闭。” France Travail已向法国当局提出投诉，通知了法国数据保护局（CNIL），并告知了受影响的个人。 作为预防措施而关闭的服务，包括该机构的就业门户和Kairos，预计将于7月24日重新启用。 France Travail表示已加强安全措施，并加速了为Kairos部署双因素认证（2FA）的进程，该部署原定于2026年10月进行。 这是France Travail两年内第二次遭遇数据泄露。2024年3月，恶意行为者攻击了该机构及Cap Emploi（一个支持残疾人的政府就业服务机构）的IT系统。那次事件影响了过去20年内注册用户的个人数据，意味着高达4300万潜在用户的数据被泄露。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一名涉嫌管理俄语网络犯罪论坛 XSS 的男子于 7 月 22 日在乌克兰被捕。 法国检察官洛尔·贝科（Laure Beccuau）在 7 月 23 日的一份官方声明中表示，该个体是在法国警方和欧洲刑警组织（Europol）的合作下，被乌克兰当局拘留的。 此次逮捕是巴黎警察总局网络犯罪部门自 2021 年 7 月 2 日开始、历时四年调查的结果。 作为调查的一部分，法国警方截获了 Jabber 服务器 thesecure.biz 上的通信记录。该服务器伴随 XSS 论坛运行，旨在为网络犯罪分子之间的匿名交流提供便利。 这些截获的信息显示，被捕者据信与众多非法网络犯罪和勒索软件活动有关联，并确定其已从中获利至少 700 万美元。 2021 年 11 月 9 日，司法调查正式启动，指控罪名包括串谋攻击自动化数据处理系统、有组织团伙勒索以及参与犯罪团伙。 2024 年 9 月，案件进入在乌克兰的实战阶段。法国警方调查人员被部署到当地，欧洲刑警组织通过建立虚拟指挥所提供支持。随后于 2025 年 7 月 21 日开始了另一项行动，最终在基辅逮捕了主要嫌疑人。 欧洲刑警组织部署了一个移动办公室，为法国和乌克兰团队提供现场协调和证据收集支持。 根据欧洲刑警组织在 7 月 23 日发布的另一份声明，该论坛的疑似管理员不仅是一名技术操作员，据信还在促成犯罪活动方面发挥了核心作用。声明指出：“他扮演着可信第三方的角色，仲裁犯罪分子之间的纠纷，并担保交易的安全。” 贝科的声明还显示，参与行动的乌克兰和法国执法机构已查获了 XSS 论坛的相关域名，尽管在撰写本文时该网站似乎仍在运行。查获的数据现将被分析，以支持欧洲及其他地区正在进行的调查。 XSS：网络犯罪活动的重要暗网论坛 XSS 自 2013 年开始活跃，拥有超过 50,000 名注册用户。在俄语网络犯罪圈内，它是讨论网络攻击和恶意软件开发的主要论坛之一。 贝科指出，XSS 允许出售恶意软件、被入侵系统的访问权限、被盗数据以及勒索软件相关服务。 网络安全公司 Flare 的网络威胁情报分析师、俄语网络犯罪圈专家奥列格·利克波（Oleg Lykpo）认为，XSS 和另一个臭名昭著的犯罪论坛 Exploit，是俄语高级网络犯罪生态系统的支柱。 参与此次逮捕行动的乌克兰机构包括：国家网络部门、乌克兰安全局（SBU）和乌克兰总检察长办公室。 信息安全媒体 Infosecurity 联系了巴黎警察总局，该局目前拒绝就案件提供更多细节。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 纽约州发布了一系列针对全州供水和废水处理系统的网络安全法规提案。 州长凯茜·霍楚（Kathy Hochul）在7月22日的公开声明中宣布了这些提案。提案包含由纽约州卫生部（DOH）和纽约州环境保护部（DEC）分别制定的、针对水务管理公司的运营技术（OT）安全要求。 同时，纽约州公共服务部（DPS）发布了针对自来水公司、其他公用事业公司及有线电视公司的信息技术安全法规提案。 这些现已开放公众评议的拟议规则，旨在加强关键水务系统的网络弹性，以应对该领域日益增多的攻击。 各机构共同努力，协调统一了每套要求中的定义和条款，并尽量减少重复和冲突的规则。 这些法规旨在与包括美国环境保护署（EPA）和网络安全与基础设施安全局（CISA）在内的联邦机构发布的相关指南保持一致。 除法规外，环境设施公司（EFC）将建立一个新的资助项目，并为保障水务系统安全提供技术援助。 霍楚州长评论道：“针对关键基础设施的网络攻击可能对社区造成毁灭性影响，我们必须立即行动起来，以应对其他关键领域同样的紧迫性和严谨性来保卫我们的供水和废水处理系统。”她接着说：“这些新法规和资助项目反映了我们的承诺，即在帮助资源不足的实体实现现代化的同时，保护公众健康和安全。” 公众可在以下截止日期前提交评议：DEC的评议期至2025年9月3日，DOH至9月14日，DPS至9月14日。 一旦采用，受监管实体须在2027年1月1日前遵守DEC和DOH的法规，并在2026年1月1日前遵守公共服务委员会（PSC）的法规。 新要求内容概要 卫生部 (DOH) DOH规则适用于服务超过3300人的社区供水系统，其中对服务5万人的系统有特定条款。 提案包括建立网络安全漏洞分析的要求。 规则还概述了网络安全计划的基线要求。该计划必须能够履行监管报告要求、提供身份验证和访问管理、维护网络资产清单以及监控和记录网络活动等功能。 所有适用的供水系统必须制定网络安全事件响应计划，并在事件发生后24小时内向DOH报告。此外，相关人员必须每三年至少接受一小时的网络安全培训。 环境保护部 (DEC) DEC条款适用于全州的废水处理设施。它们包含多项基线网络安全控制措施，包括符合最小权限原则的访问控制和身份验证程序。 其他控制措施涉及密码安全、多因素认证（MFA）以及实施网络安全漏洞管理流程。 废水处理设施还必须将OT系统与IT系统分离。 必须制定事件响应计划，在24小时内口头向区域水务工程师报告事件，并在30天内提交书面报告。 公共服务部 (DPS) DPS规则适用于所有服务5万或以上客户的公用事业公司和有线电视公司。 这些组织必须制定网络安全政策，该政策应实施数据屏蔽、多因素认证（MFA）和访问控制等措施，并包含应对网络攻击和从中恢复的计划。 此外，受监管实体必须聘用一名首席信息安全官（CISO），由其每年向公司领导层报告网络安全准备状况。 水务领域威胁上升 专家近年来强调了水务领域日益增长的网络安全风险，威胁范围涵盖出于经济动机的组织到国家支持组织的破坏性攻击。 Semperis在2025年4月的一份报告发现，过去一年中，超过五分之三的美国和英国水电企业成为网络攻击的目标，其中大多数遭受了严重干扰。 2024年8月，美国政府问责署（GAO）敦促环境保护署（EPA）解决供水和废水处理系统面临的网络风险。GAO强调了该领域存在的重大安全风险，包括普遍存在的难以更新网络安全防护的老旧技术，以及OT与IT系统之间日益增长的连接性。 影响供水服务的重大事件包括2024年10月对泽西岛运营商American Water的攻击，该攻击扰乱了计费系统。 2024年9月，堪萨斯州阿肯色城报告其水处理设施遭遇网络安全事件，促使该设施暂时切换为手动操作模式。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌宣布推出一项名为“OSS Rebuild”的新计划，旨在增强开源软件包生态系统的安全性，防范软件供应链攻击。 谷歌开源安全团队（GOSST）的Matthew Suozzo在本周的博客文章中表示：“随着供应链攻击持续针对广泛使用的依赖库，OSS Rebuild能为安全团队提供强大的数据来避免遭受入侵，同时无需增加上游维护者的负担。” 该项目旨在为Python Package Index (Python)、npm (JS/TS) 和 Crates.io (Rust) 软件包注册表提供构建溯源（build provenance），并计划将其扩展到其他开源软件开发平台。 OSS Rebuild 的核心思路是结合利用声明式构建定义（declarative build definitions）、构建工具（build instrumentation）和网络监控能力，生成可信的安全元数据。这些元数据随后可用于验证软件包的来源，并确保其未被篡改。 谷歌表示：“通过自动化和启发式方法，我们确定目标软件包的预期构建定义并重建它。我们将结果与现有的上游制品进行语义比较，对两者进行归一化处理，以消除导致比特级（bit-for-bit）比较失败的不稳定因素（例如，归档压缩差异）。” 成功复现软件包后，构建定义和结果将通过 SLSA Provenance 作为证明机制发布。这使用户能够可靠地验证其来源、重复构建过程，甚至从已知功能基线定制构建。 在自动化无法完全复现软件包的情况下，OSS Rebuild 提供了可替代使用的手动构建规范。 谷歌指出，OSS Rebuild 有助于检测不同类别的供应链入侵事件，包括： 包含公共源代码仓库中不存在代码的已发布软件包（例如 @solana/web3.js 事件） 可疑的构建活动（例如 tj-actions/changed-files 案例） 通过人工审查难以识别的、嵌入在软件包中的异常执行路径或可疑操作（例如 XZ Utils 后门） 除了保护软件供应链，该方案还能改进软件物料清单（SBOM）、加速漏洞响应、增强软件包的可信度，并消除组织依赖 CI/CD 平台负责其软件包安全性的需要。 谷歌解释道：“重建工作通过分析已发布的元数据和制品来推导，并与上游软件包版本进行评估。成功后，将为上游制品发布构建证明，验证上游制品的完整性，并消除许多可能的入侵来源。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： Lumma信息窃取恶意软件（Infostealer）行动在5月遭受大规模执法打击后正逐步恢复活动。此前执法行动查获了2300个域名及部分基础设施，但该恶意软件即服务（MaaS）平台并未关闭。 运营商随即在XSS论坛发布声明，承认执法行动的影响，但声称其核心服务器未被查获（尽管已遭远程擦除），且恢复工作已在进行中。趋势科技（Trend Micro）报告显示，Lumma的基础设施在打击后数周内迅速重建，活动水平已接近行动前状态。该组织为规避进一步打击，已从Cloudflare转向俄罗斯服务商Selectel等替代云设施来伪装恶意流量。 当前Lumma主要通过四类渠道传播恶意软件： 虚假破解工具/密钥生成器：通过恶意广告和篡改的搜索结果推广，诱导用户访问欺诈网站。这些网站先用流量检测系统（TDS）分析用户环境，再分发Lumma下载器。 ClickFix技术：入侵网站植入虚假验证码页面，诱骗用户执行PowerShell命令，直接将Lumma载入内存以规避文件检测机制。 GitHub仓库：攻击者创建含AI生成内容的仓库，以虚假游戏外挂为诱饵（如“TempSpoofer.exe”），通过可执行文件或ZIP压缩包分发恶意负载。 YouTube/Facebook平台：利用视频和帖子推广破解软件，将用户引流至托管Lumma的第三方站点（甚至滥用Google协作平台等可信服务提升可信度）。 趋势科技指出，Lumma的复苏印证了缺乏逮捕或起诉的执法行动难以阻止高利润的MaaS运营者，其核心成员仅将此类打击视为“需规避的常规障碍。”       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文