<![CDATA[极客安全网]]> http://ihacker.cn/ zh-cn .icu后缀域名全部被污染 http://ihacker.cn/?post=162 .icu 后缀顶级域名出现DNS污染。中国地区全部无法访问

用户访问 .icu 域名站点时，出现无法打开、解析超时等异常情况 。

 .icu 是全球通用后缀，本次污染波及该后缀下全部站点，普通用户与站点运营者均会受影响。

1000051951.jpg

截止于16:22已经开始恢复访问

]]> Tue, 28 Apr 2026 15:30:16 +0800 极客安全网 http://ihacker.cn/?post=162 每日安全简讯(2026年4月20日) http://ihacker.cn/?post=161 1 APT组织UNC1069发起多手段网络攻击

近日，朝鲜威胁行为体UNC1069发起多起网络攻击，该组织隶属于朝鲜侦察总局，以窃取加密货币牟利（累计超30亿美元）。2026年其先后通过劫持Telegram账户、实时深度伪造视频诱骗受害者，部署七种恶意软件，并入侵Axios npm包发起供应链攻击，威胁范围扩展至开发者生态系统，手法呈现明显升级趋势。

https://falconfeeds.io/blogs/unc1069-dprk-deepfake-cyber-campaign-crypto-supply-chain-attacks/



2 Dark Storm威胁中东关键基础设施安全

亲巴勒斯坦黑客组织"黑暗风暴团队"（Dark Storm Team）正对中东关键基础设施构成重大安全威胁。该组织成立于2023年8月，虽无官方政府背景，但已在60个国家、74个行业领域持续活动20个月，目前尚未被主流商业威胁情报供应商覆盖，存在严重情报盲区。该组织与亲俄黑客行动主义者NNM057(16)及"DDoSia项目"存在活跃联盟关系。通过这一关联，其生态系统已引入工业控制系统（ICS/SCADA）攻击能力。一段转发至该组织频道的视频显示，其联盟成员已获取波兰某工业设施压缩站的实时SCADA控制面板访问权限，可监控温度、风量等关键运行参数并操控系统控制选项。

https://falconfeeds.io/blogs/dark-storm-team-iran-israel-cyber-conflict-middle-east-critical-infrastructure-threat/



3 高级后渗透框架攻击EMEA金融组织

监测到一款高级多阶段后渗透攻击框架，针对中东及EMEA金融领域组织发起攻击。攻击者滥用英特尔签名合法二进制文件，通过AppDomainManager劫持实现隐蔽执行，结合沙箱规避、JIT跳板等技术绕过传统安全控制。该框架通过Amazon CloudFront CDN建立C2通信，具备模块化架构和反取证能力，攻击技巧媲美成熟攻击工具，暂未明确攻击者身份，对企业敏感数据构成严重威胁。

https://www.cyfirma.com/research/operation-phantomclr-stealth-execution-via-appdomain-hijacking-and-in-memory-net-abuse/



4 云开发平台Vercel披露数据泄露事件

云开发平台Vercel披露重大安全事件，黑客声称在将售窃取的数据。Vercel是知名的云平台，开发了广泛使用的Next.js框架，并提供无服务器函数、边缘计算和CI/CD管道服务。事件起因是一名Vercel员工的Google Workspace账户被攻破，随后利用Vercel环境变量功能枚举并横向移动。攻击者声称获取了访问密钥、源代码、数据库数据、内部部署权限和API密钥（包括NPM令牌和GitHub令牌），并索要200万美元赎金。

https://vercel.com/kb/bulletin/vercel-april-2026-security-incident



5 黑客利用Marimo零日漏洞部署NKAbuse

研究人员披露Marimo（Python响应式笔记本）严重远程代码执行漏洞CVE-2026-39987在野利用持续升级。漏洞披露不足10小时即出现首次利用，攻击手法快速演进：从最初的凭证窃取，到通过Hugging Face平台托管恶意dropper脚本和木马程序（NKAbuse新变种），再到从德国发起的15种不同反向Shell技术多端口尝试、香港攻击者扫描Redis全部16个数据库并外传会话令牌，以及PostgreSQL数据库凭证提取。NKAbuse新变种为远控木马，可执行Shell命令并回传结果，使用NKN去中心化P2P网络协议进行隐蔽通信。建议立即升级至0.23.0或更高版本，或在防火墙封锁/terminal/ws端点。

https://www.bleepingcomputer.com/news/security/hackers-exploit-marimo-flaw-to-deploy-nkabuse-malware-from-hugging-face/



6 黑客利用Apple账户更改通知发起钓鱼攻击

Apple官方账户更改通知系统正被攻击者滥用，向用户发送虚假的iPhone购买钓鱼邮件，这些邮件实际通过Apple自有服务器发送，可通过SPF、DKIM和DMARC认证检查。攻击者在Apple ID账户的姓名字段中插入钓鱼内容，再修改配送信息触发安全通知，邮件便会包含钓鱼内容。钓鱼者声称用户在4月14日通过PayPal购买了一部899美元的iPhone，并附上电话号码要求用户联系取消。接到此类邮件的用户应保持警惕，切勿拨打陌生电话号码或点击其中链接，即使邮件声称来自Apple或任何其他官方机构。

https://www.bleepingcomputer.com/news/security/apple-account-change-alerts-abused-to-send-phishing-emails/



]]> Mon, 20 Apr 2026 20:30:03 +0800 极客安全 http://ihacker.cn/?post=161 Open VSX惊现严重漏洞：恶意VS Code扩展可绕过预发布安全检查 http://ihacker.cn/?post=158 2026年3月27日——网络安全研究人员披露了一个现已修复的漏洞细节，该漏洞影响Open VSX的预发布扫描管道，可能导致恶意Microsoft Visual Studio Code（VS Code）扩展通过审核流程并在注册表中上线。

漏洞概述

Koi Security研究员Oran Simhony在与The Hacker News分享的一份报告中表示：该管道有一个单一的布尔返回值，既表示未配置扫描器，也表示所有扫描器运行失败。调用者无法区分这两者。因此，当扫描器在负载下失败时，Open VSX会将扫描失败的状态误判为“无扫描任务需执行”，直接为扩展放行，使其绕过所有安全校验，直接在注册表中激活上线。

该漏洞被Koi Security团队命名为Open Sesame，本质是一处典型的“失效开放”（Fail-Open）逻辑缺陷，出现在Open VSX于2026年2月刚刚上线的预发布安全扫描体系中。

漏洞技术细节

Open VSX的预发布扫描管道原本设计了双层安全校验机制，旨在从源头拦截恶意扩展：扩展上传后，首先会经过同步快速校验，完成仿冒名称检测、硬编码密钥扫描、恶意文件哈希拦截等快速检查，任一环节失败都会直接阻断发布；通过初检的扩展会进入异步深度扫描阶段，由ClamAV杀毒引擎、YARA恶意代码规则等扫描器完成全量内容检测，只有所有扫描全部通过，扩展才会被激活供用户下载，若扫描发现风险则会进入隔离状态等待人工审核 。

而漏洞的核心问题出在扫描结果的处理逻辑中：管道使用同一个布尔返回值标识两种完全不同的状态——“未配置任何扫描器”与“所有已配置的扫描器全部执行失败”。当系统在高负载场景下（如数据库连接池耗尽、扫描服务资源不足）出现扫描任务执行失败时，接口会返回与“无扫描器配置”完全相同的布尔值，上游调用服务无法区分两种场景，直接将扫描失败的扩展标记为“校验通过”，跳过所有安全检查直接上线。

研究人员证实，攻击者仅需注册一个免费的Open VSX发布者账号，即可通过构造请求稳定触发该漏洞，无需利用其他额外缺陷，就能让恶意扩展绕过全部安全防线。

影响范围

Open VSX是由Eclipse基金会维护的开源扩展注册表，是微软VS Code官方扩展市场的主流替代方案，被大量VS Code衍生开发工具作为默认扩展源使用，包括Cursor、Windsurf、Gitpod、VSCodium等广受开发者欢迎的IDE与云开发环境，影响全球数百万开发者用户。

一旦恶意扩展通过该漏洞上线，不仅可以直接触达上述平台的用户，还可借助扩展的自动更新机制，在用户无感知的情况下完成恶意代码投放，具备引发大规模软件供应链攻击的风险。恶意扩展可利用IDE的高权限，窃取开发者本地的项目代码、云服务凭证、Git密钥等敏感信息，甚至植入后门实现远程代码执行。

披露与修复进程

Koi Security团队于2026年2月8日向Open VSX官方进行了负责任的漏洞披露，完整提交了漏洞细节与复现步骤。官方响应迅速，在3个工作日内完成了漏洞修复，于2月11日发布了补丁版本，并在Open VSX 0.32.0版本中完成了全量部署。

本次修复的核心是重构了扫描结果的处理逻辑，拆分了原本混淆的两种状态，新增了独立的错误标识与处理分支：当扫描器执行失败时，系统会将扩展标记为“待复核”状态，进入隔离队列等待人工审核，而非直接放行，从根本上解决了“失效开放”的逻辑缺陷。

截至2026年3月27日漏洞细节公开时，Open VSX官方未监测到该漏洞在野被恶意利用的情况。

风险警示与安全建议

该漏洞的出现，再次暴露了开发工具供应链安全的脆弱性——即便是专为提升安全能力搭建的防护体系，也可能因一处细微的逻辑缺陷被完全绕过。该漏洞所在的预发布扫描管道，正是Open VSX为应对此前GlassWorm等大规模恶意扩展攻击事件，专门上线的核心安全防线。

针对本次漏洞，我们给出以下安全建议：

1. 相关IDE用户请尽快确认自己使用的扩展源是否已升级到Open VSX 0.32.0及以上的修复版本，避免使用存在漏洞的旧版服务；

2. 开发者应尽量从官方可信渠道获取扩展，谨慎安装小众、无明确可信主体的扩展程序，定期审计已安装扩展的权限与更新行为；

3. 企业用户可通过配置扩展白名单、限制扩展运行权限、搭建私有扩展镜像源等方式，进一步收缩攻击面，降低供应链攻击风险。

]]> Sun, 29 Mar 2026 09:12:29 +0800 极客安全 http://ihacker.cn/?post=158 TeamPCP黑客组织再袭PyPI：将窃密木马隐藏在WAV音频文件中 http://ihacker.cn/?post=157 2026年3月27日——曾针对Trivy、KICS和litellm发起供应链攻击的威胁行为者TeamPCP，现已通过向Python包索引（PyPI）推送两个恶意版本的方式攻陷了telnyx Python包，用于窃取敏感数据。

## 攻击详情

这两个版本（4.87.1和4.87.2）于2026年3月27日发布到PyPI仓库，将凭证收集功能隐藏在.WAV音频文件中。建议用户立即降级至4.87.0版本。目前该PyPI项目已被隔离。

来自Aikido、Endor Labs、JFrog、Ossprey Security、SafeDep、Socket和StepSecurity的多份报告指出，恶意代码被注入到telnyx/_client.py文件中，当该包被导入Python应用时即被触发。该恶意软件针对Windows、Linux和macOS系统设计。

## 三阶段攻击链

Socket公司表示：我们的分析揭示了Linux/macOS上的三阶段运行时攻击链，包括通过音频隐写技术投递、内存中执行数据收集器、以及加密外泄。整个链条设计为在自毁临时目录中运行，在主机上留下接近零的法医痕迹。

### Windows系统攻击

在Windows上，恶意软件从命令控制（C2）服务器下载名为hangup.wav的文件，从音频数据中提取可执行文件，然后将其以msbuild.exe的名称放入启动文件夹。这使其能够在系统重启后持久化，并在用户每次登录时自动运行。

### Linux/macOS系统攻击

如果受感染主机运行在Linux或macOS上，它会从同一服务器获取另一个.WAV文件（ringtone.wav），提取第三阶段收集器脚本并运行。该凭证收集器旨在捕获广泛的敏感数据，并以tpcp.tar.gz的形式通过HTTP POST请求外泄到83.142.209[.]203:8080。

## 音频隐写技术

Ossprey Security表示：该样本的突出技术——也是文章标题的原因——是使用音频隐写技术来投递最终载荷。攻击者没有将恶意代码作为Base64嵌入，而是从远程服务器下载。

OX Security的Moshe Siman Tov Bustan指出：恶意软件从远程C2服务器下载XOR混淆的WAV文件，解码后在目标机器上执行。

## 与之前攻击的关联

值得注意的是，.WAV技巧对TeamPCP来说并不新鲜。同样的方法曾被用于在通过CanisterWorm和暴露的Docker实例分发的kamikaze擦除恶意软件中隐藏恶意载荷。此外，该恶意软件还具有Kubernetes横向移动组件，滥用Kubernetes服务账户令牌部署特权Pod到每个节点并部署持久化机制。

## 攻击向量分析

目前尚不清楚TeamPCP如何获得该包的PYPI_TOKEN，但很可能是通过先前的凭证收集操作。

Endor Labs研究人员Kiran Raj和Rachana Misal表示：我们认为最可能的向量是litellm攻击本身。TeamPCP的收集器从每个导入litellm的系统中扫描环境变量、.env文件和shell历史记录。如果任何开发者或CI管道同时安装了litellm并有权访问telnyx

]]> Sun, 29 Mar 2026 09:10:09 +0800 极客安全 http://ihacker.cn/?post=157 Claude浏览器扩展惊现零点击XSS漏洞：任意网站可劫持AI助手执行恶意指令 http://ihacker.cn/?post=156 2026年3月26日——网络安全研究人员披露了Anthropic公司Claude Google Chrome扩展中的一个严重漏洞，该漏洞可能被利用来在用户仅访问网页时触发恶意提示注入攻击。

漏洞概述

Koi Security研究员Oren Yomtov在与The Hacker News分享的一份报告中表示，该漏洞允许任何网站像用户自己输入一样，静默地向AI助手注入提示指令。

无需点击，无需权限提示。只需访问一个页面，攻击者就能完全控制你的浏览器。

ShadowPrompt攻击链

这个被命名为ShadowPrompt的安全问题串联了两个底层漏洞：

漏洞1：过度宽松的起源白名单

Claude扩展程序中存在一个过度宽松的起源白名单，允许任何匹配模式（*.claude.ai）的子域名向Claude发送提示以执行。

漏洞2：DOM型XSS漏洞

Arkose Labs托管在a-cdn.claude[.]ai上的CAPTCHA组件中存在一个基于文档对象模型（DOM）的跨站脚本（XSS）漏洞。

攻击机制

扩展程序会将来自白名单域名的提示直接传递到Claude的侧边栏，就像它是合法的用户请求一样。

Yomtov解释道：攻击者的页面将易受攻击的Arkose组件嵌入到一个隐藏的iframe中，通过postMessage发送XSS载荷，注入的脚本随即向扩展程序触发提示指令。受害者完全看不到这一切。

潜在危害

成功利用此漏洞可能允许攻击者：

  • 窃取敏感数据（如访问令牌）
  • 访问与AI助手的对话历史记录
  • 甚至代表受害者执行操作（如冒充他们发送电子邮件、索取机密数据）

修复情况

在2025年12月27日负责任地披露后，Anthropic已向Chrome扩展程序（版本1.0.41）部署了补丁，该补丁强制执行严格的来源检查，要求与域名claude[.]ai完全匹配。Arkose Labs也于2026年2月19日修复了其XSS漏洞。

安全启示

Koi Security指出：AI浏览器助手的能力越强，它们作为攻击目标的价值就越高。一个能够导航你的浏览器、读取你的凭证并代表你发送电子邮件的扩展程序就是一个自主代理。而该代理的安全性仅取决于其信任边界中最弱来源的强度。

来源：The Hacker News
翻译：极客安全网

]]> Fri, 27 Mar 2026 06:54:36 +0800 极客安全 http://ihacker.cn/?post=156 新型WebRTC窃密程序绕过CSP防护，疯狂窃取电商网站支付数据 http://ihacker.cn/?post=155 2026年3月26日——网络安全研究人员发现了一种新型支付窃密程序（payment skimmer），该恶意软件利用WebRTC数据通道来接收恶意载荷并窃取数据，有效绕过了现有的安全防护措施。

攻击原理

荷兰安全公司Sansec在本周发布的一份报告中指出："与传统的HTTP请求或图像信标不同，这款恶意软件使用WebRTC数据通道来加载其恶意载荷并窃取支付数据。"

据悉，此次攻击针对的是一家汽车制造商的电子商务网站，攻击利用了名为PolyShell的新漏洞。该漏洞影响Magento开源版和Adobe Commerce平台，允许未经身份验证的攻击者通过REST API上传任意可执行文件并实现代码执行。

大规模利用

值得注意的是，该漏洞自2026年3月19日以来已遭到大规模利用，超过50个IP地址参与了扫描活动。荷兰安全公司表示，已在56.7%的易受攻击商店中发现了PolyShell攻击。

WebRTC窃密技术细节

该窃密程序被设计为自执行脚本，它会建立一个指向硬编码IP地址（"202.181.177[.]177"）的WebRTC对等连接，通过UDP端口3479检索JavaScript代码，随后将代码注入网页以窃取支付信息。

使用WebRTC标志着窃密攻击技术的重大演进，因为它能够绕过内容安全策略（CSP）指令。

Sansec指出："即使商店配置了严格的CSP来阻止所有未经授权的HTTP连接，仍然对基于WebRTC的数据窃取完全开放。流量本身也更难被检测到。WebRTC DataChannels通过DTLS加密的UDP运行，而不是HTTP。检查HTTP流量的网络安全工具永远不会看到窃取的数据离开。"

漏洞修复情况

Adobe已在2026年3月10日发布的2.4.9-beta1版本中修复了PolyShell漏洞，但该补丁尚未推送到生产版本。

缓解措施

网站管理员被建议采取以下防护措施：

  • 阻止对"pub/media/custom_options/"目录的访问
  • 扫描商店中的Web Shell、后门和其他恶意软件

PolyShell漏洞更多细节

Searchlight Cyber的Assetnote团队分享了关于PolyShell漏洞的更多细节，指出该漏洞源于名为ImageProcessor::processImageContent()的函数。该函数接受任何"有效"图像作为输入，并将文件移动到目标文件夹。

安全研究员Tomais Williamson表示："如果你使用的是Adobe建议的Nginx/Apache配置，那么这些文件是无法访问且不可执行的。然而，任何与该配置的偏差都可能导致实例受到影响。"

来源：The Hacker News
翻译：极客安全网

]]> Fri, 27 Mar 2026 06:52:02 +0800 极客安全 http://ihacker.cn/?post=155 设备代码钓鱼攻击席卷340多个Microsoft 365组织，波及五个国家 http://ihacker.cn/?post=154 网络安全研究人员正在关注一场活跃的设备代码钓鱼活动，该活动针对美国、加拿大、澳大利亚、新西兰和德国的340多个组织的Microsoft 365身份。

据Huntress称，该活动于2026年2月19日首次被发现，此后案例以加速的速度出现。值得注意的是，该活动利用Cloudflare Workers重定向，将捕获的会话重定向到名为Railway的平台即服务（PaaS）产品上托管的基础设施，有效地将其转变为凭证收集引擎。

建筑、非营利组织、房地产、制造、金融服务、医疗保健、法律和政府是该活动针对的一些主要行业。

"这场活动之所以不同寻常，不仅在于所涉及的设备代码钓鱼技术，还在于观察到的各种技术，"该公司表示。"建筑投标诱饵、登陆页面代码生成、DocuSign冒充、语音邮件通知以及滥用Microsoft Forms页面都通过相同的Railway.com IP基础设施攻击同一受害者群体。"

什么是设备代码钓鱼？

设备代码钓鱼是一种利用OAuth设备授权流程的技术，旨在向攻击者授予持久的访问令牌，然后可用于控制受害者账户。这种攻击方法的显著特点是，即使重置账户密码后，令牌仍然有效。

攻击流程

攻击的高级流程如下：

  1. 威胁行为者通过合法的设备代码API从身份提供商（例如Microsoft Entra ID）请求设备代码
  2. 服务响应一个设备代码
  3. 威胁行为者创建一封有说服力的电子邮件发送给受害者，敦促他们访问登录页面（"microsoft.com/devicelogin"）并输入设备代码
  4. 受害者输入提供的代码以及他们的凭证和双因素认证（2FA）代码后，服务为用户创建访问令牌和刷新令牌

"一旦用户成为钓鱼的受害者，他们的认证就会生成一组现在驻留在OAuth令牌API端点的令牌，可以通过提供正确的设备代码来检索，"Huntress解释道。"攻击者当然知道设备代码，因为它是由对设备代码登录API的初始cURL请求生成的。"

Railway基础设施

在Huntress检测到的活动中，认证滥用源自一小群Railway.com IP地址，其中三个地址约占观察到的事件的84%：

  • 162.220.234.41
  • 162.220.234.66
  • 162.220.232.57
  • 162.220.232.99
  • 162.220.232.235

攻击起点

攻击的起点是一封钓鱼邮件，它将恶意URL包装在来自Cisco、Trend Micro和Mimecast的合法安全供应商重定向服务中，以绕过垃圾邮件过滤器并触发多跳重定向链，其中包含受损站点、Cloudflare Workers和Vercel的组合作为中介，然后将受害者带到最终目的地。

"观察到的登陆站点提示受害者继续前往合法的Microsoft设备代码认证端点并输入提供的代码以读取某些文件，"Huntress说。"代码在受害者到达页面时直接渲染在页面上。"

EvilTokens平台

Huntress此后将Railway攻击归因于一个名为EvilTokens的新钓鱼即服务（PhaaS）平台，该平台上个月在Telegram上首次亮相。除了宣传发送钓鱼邮件和绕过垃圾邮件过滤器的工具外，EvilTokens仪表板还为客户提供易受攻击域名的开放重定向链接以混淆钓鱼链接。

防护建议

为应对这一威胁，建议用户：

  • 扫描登录日志以查找Railway IP登录
  • 撤销受影响用户的所有刷新令牌
  • 如果可能，阻止来自Railway基础设施的认证尝试

来源： The Hacker News (2026年3月25日)

]]> Wed, 25 Mar 2026 23:13:56 +0800 极客安全 http://ihacker.cn/?post=154 DarkSword iOS漏洞利用工具包：利用6个漏洞、3个零日漏洞实现完全设备接管 http://ihacker.cn/?post=148 2026年3月19日——据Google威胁情报小组（GTIG）、iVerify和Lookout的报告，一个针对Apple iOS设备设计用于窃取敏感数据的新漏洞利用工具包自2025年11月以来一直被多个威胁行为者使用。

DarkSword漏洞利用工具包

据GTIG称，多个商业监控供应商和疑似国家支持的参与者已在针对沙特阿拉伯、土耳其、马来西亚和乌克兰的不同活动中利用这个名为DarkSword的完整漏洞链工具包。

DarkSword的发现使其成为继Coruna之后，在一个月内发现的第二个iOS漏洞利用工具包。该工具包旨在针对运行iOS 18.4至18.7版本的iPhone，据说已被名为UNC6353的疑似俄罗斯间谍组织部署用于攻击乌克兰用户。

值得注意的是，UNC6353还被关联到使用Coruna通过将JavaScript框架注入被入侵网站来攻击乌克兰人。

攻击目标

Lookout表示："DarkSword旨在提取大量个人信息，包括设备中的凭证，并专门针对大量加密货币钱包应用，暗示这是一个具有财务动机的威胁行为者。"

"值得注意的是，DarkSword似乎采取'打了就跑'的方式，在几秒钟或最多几分钟内收集和渗出目标数据，然后进行清理。"

技术细节

Coruna和DarkSword等漏洞链旨在促进对受害者设备的完全访问，而几乎不需要用户交互。这些发现再次表明，存在一个二手漏洞市场，允许资源有限且目标不一定与网络间谍活动一致的威胁组织获取"顶级漏洞"并用它们感染移动设备。

GTIG表示："DarkSword和Coruna被各种行为者使用，这表明了漏洞在地理和动机各异的行为者之间持续扩散的风险。"

利用的漏洞

与这个新发现的工具包关联的漏洞链利用六个不同的漏洞来部署三个有效载荷，其中以下漏洞在苹果修补之前被作为零日漏洞利用：

  • CVE-2026-20700 - dyld中的用户模式指针认证码（PAC）绕过（在版本26.3中修补）
  • CVE-2025-43529 - JavaScriptCore中的内存损坏漏洞（在版本18.7.3和26.2中修补）
  • CVE-2025-14174 - ANGLE中的内存损坏漏洞（在版本18.7.3和26.2中修补）

其他被利用的漏洞包括：

  • CVE-2025-31277 - JavaScriptCore中的内存损坏漏洞（在版本18.6中修补）
  • CVE-2025-43510 - iOS内核中的内存管理漏洞（在版本18.7.2和26.1中修补）
  • CVE-2025-43520 - iOS内核中的内存损坏漏洞（在版本18.7.2和26.1中修补）

攻击机制

Lookout表示，在对与UNC6353关联的恶意基础设施进行分析后发现了DarkSword，识别出其中一个被入侵的域名托管了一个恶意iFrame元素，负责加载JavaScript以对访问该网站的设备进行指纹识别，并确定是否需要将目标路由到iOS漏洞链。目前尚不清楚网站被感染的确切方法。

值得注意的是，该JavaScript专门寻找运行18.4至18.6.2版本之间的iOS设备，与Coruna不同，后者针对的是从13.0到17.2.1的旧iOS版本。

Lookout解释说："DarkSword是一个完整的漏洞链和信息窃取器，用JavaScript编写。它利用多个漏洞建立特权代码执行，以访问敏感信息并将其渗出设备。"

来源：The Hacker News

]]> Tue, 24 Mar 2026 23:15:00 +0800 极客安全 http://ihacker.cn/?post=148 黑客利用CVE-2025-32975（CVSS 10.0）劫持未修补的Quest KACE SMA系统 http://ihacker.cn/?post=147 2026年3月23日——据Arctic Wolf称，威胁行为者疑似正在利用影响Quest KACE Systems Management Appliance（SMA）的最高严重性安全漏洞。

漏洞详情

该网络安全公司表示，从2026年3月9日开始的一周，在客户环境中观察到与暴露在互联网上的未修补SMA系统上利用CVE-2025-32975一致的恶意活动。目前尚不清楚攻击的最终目标是什么。

CVE-2025-32975（CVSS评分：10.0）是一个身份验证绕过漏洞，允许攻击者在没有有效凭证的情况下冒充合法用户。成功利用该漏洞可能导致管理账户的完全接管。该问题已于2025年5月由Quest修补。

攻击活动分析

在Arctic Wolf检测到的恶意活动中，威胁行为者被认为已将该漏洞武器化，以控制管理账户并执行远程命令，通过curl命令从外部服务器（216.126.225[.]156）投放Base64编码的有效载荷。

然后，未知的攻击者继续通过"runkbot.exe"创建额外的管理账户，这是一个与SMA Agent关联的后台进程，用于运行脚本和管理安装。还检测到通过PowerShell脚本对Windows注册表进行修改，以实现可能的持久化或系统配置更改。

威胁行为者行动

威胁行为者采取的其他行动包括：

  • 凭证收集：使用Mimikatz进行凭证收集
  • 发现和侦察：枚举登录用户和管理员账户，运行"net time"和"net group"命令
  • RDP访问：获取备份基础设施（Veeam、Veritas）和域控制器的远程桌面协议（RDP）访问权限

安全建议

为应对威胁，管理员被建议：

  • 应用最新更新
  • 避免将SMA实例暴露在互联网上

受影响版本

该问题已在以下版本中修复：

  • 13.0.385
  • 13.1.81
  • 13.2.183
  • 14.0.341（Patch 5）
  • 14.1.101（Patch 4）

来源：The Hacker News

]]> Tue, 24 Mar 2026 23:00:00 +0800 极客安全 http://ihacker.cn/?post=147 微软警告：IRS钓鱼攻击已影响29,000名用户，部署RMM恶意软件 http://ihacker.cn/?post=146 2026年3月23日——微软警告称，新的网络钓鱼活动正在利用美国即将到来的报税季来窃取凭证和部署恶意软件。

攻击活动概述

这些电子邮件活动利用邮件的紧迫性和时效性，发送伪装成退税通知、工资单表格、报税提醒和税务专业人员请求的钓鱼信息，欺骗收件人打开恶意附件、扫描二维码或与可疑链接互动。

微软威胁情报和Microsoft Defender安全研究团队上周在一份报告中表示："许多活动针对个人进行个人和财务数据盗窃，但其他活动专门针对会计师和其他处理敏感文件、可以访问财务数据并习惯于在此期间接收与税务相关邮件的专业人员。"

攻击手段

虽然其中一些努力将用户引导至通过钓鱼即服务（PhaaS）平台设计的可疑页面，但其他活动导致部署合法的远程监控和管理工具（RMM），如ConnectWise ScreenConnect、Datto和SimpleHelp，使攻击者能够获得对受感染设备的持久访问权限。

具体活动详情

  • 使用注册会计师（CPA）诱饵：投放与Energy365 PhaaS工具包相关的钓鱼页面，捕获受害者的电子邮件和密码。Energy365钓鱼工具包估计每天发送数十万封恶意邮件。

  • 使用二维码和W2诱饵：针对美国约100个组织，主要在制造业、零售业和医疗保健行业，将用户引导至模仿Microsoft 365登录页面的钓鱼页面，使用SneakyLog（又名Kratos）PhaaS平台构建，以窃取他们的凭证和双因素认证（2FA）代码。

  • 使用税务主题域名：用于钓鱼活动，诱骗用户点击虚假链接，借口是访问更新的税务表格，实际上分发ScreenConnect。

  • 冒充美国国税局（IRS）：使用加密货币诱饵，专门针对美国高等教育部门，指示收件人通过访问恶意域名（"irs-doc[.]com"或"gov-irs216[.]net"）下载"加密货币税表1099"来交付ScreenConnect或SimpleHelp。

  • 针对会计师和相关组织：请求帮助报税，发送导致安装Datto的恶意链接。

大规模攻击

微软表示，还观察到2026年2月10日的一场大规模钓鱼活动，超过29,000名用户跨越10,000个组织受到影响。约95%的目标位于美国，涵盖金融服务（19%）、技术和软件（18%）以及零售和消费品（15%）等行业。

该科技巨头表示："这些邮件冒充IRS，声称已在收件人的电子报税识别号码（EFIN）下提交了可能不规则的报税表。收件人被指示通过下载据称合法的'IRS成绩单查看器'来审查这些报税表。"

这些通过Amazon Simple Email Service（SES）发送的邮件包含一个"下载IRS成绩单查看器5.1"按钮，点击后将用户重定向到smartvault[.]im，这是一个伪装成SmartVault（一个知名的文档管理和共享平台）的域名。

技术细节

钓鱼网站依赖Cloudflare来阻止机器人和自动扫描器，从而确保只有人类用户才能获得主要有效载荷：一个恶意打包的ScreenConnect，授予攻击者对其系统的远程访问权限，并促进数据盗窃、凭证收集和进一步的后续利用活动。

安全建议

为了防范这些攻击，建议组织：

  • 对所有用户强制执行2FA
  • 实施条件访问策略
  • 监控和扫描传入邮件和访问的网站
  • 阻止用户访问恶意域名

RMM工具滥用趋势

这些发现与发现投放远程访问恶意软件或进行数据盗窃的几项活动相吻合。根据Huntress最近发布的一份报告，威胁行为者对RMM的采用正在增加，此类工具的滥用激增了277%。

Elastic Security Labs研究人员Daniel Stepanic和Salim Bitam表示："由于这些工具被合法的IT部门使用，它们通常被忽视，在大多数企业环境中被视为'可信的'。组织必须保持警惕，审计其环境中未经授权的RMM使用情况。"

来源：The Hacker News

]]> Tue, 24 Mar 2026 22:30:00 +0800 极客安全 http://ihacker.cn/?post=146