Hasty Briefsbeta

全部标签

#cybersecurity

共 651 篇

双语

Cloudflare stops new largest DDoS attack over Labor Day weekend
8 months ago
- Cloudflare在劳动节周末成功拦截了峰值达11.5 Tbps的破纪录DDoS攻击
- 这次超大规模UDP洪水攻击持续35秒，每秒传递超过51亿个数据包
- 攻击源包括遭入侵的Google Cloud账户及其他物联网/云服务提供商
- UDP洪水攻击通过耗尽带宽和计算资源使目标系统瘫痪
- Cloudflare的自动化防御网络在无人干预情况下成功化解攻击
- 2025年第二季度已拦截6500起超大规模攻击（日均71起），DDoS攻击激增
- 截至2025年7月，Cloudflare累计拦截2780万次DDoS攻击，已超过2024年总量
- 攻击者正更多利用云服务和物联网僵尸网络发动短时高强度攻击
- 企业应采用Cloudflare、Akamai或Imperva等专业DDoS防护服务
Indirect Prompt Injection Attacks Against LLM Assistants
8 months ago
- 研究揭示了针对LLM智能体的实际攻击手段，重点关注提示软件风险
- 提出创新的威胁分析与风险评估（TARA）框架，专门用于评估提示软件风险
- 发现定向提示软件攻击可通过电子邮件、日历邀请和共享文档实施间接提示注入
- 在五类威胁中演示14种攻击场景，展示数字与物理层面的双重危害
- 揭示提示软件具备突破LLM应用边界、实现设备内横向移动的潜在风险
- TARA分析显示73%的威胁对终端用户构成高危急风险等级
- 探讨可将风险降至极低-中等水平的缓解措施
- 研究成果已向谷歌披露并促成专项防护方案落地
- 论证提示注入是当前LLM技术的本质缺陷，需突破性科学进展才能解决
From Libraries to Schools: Why Organizations Should Install Privacy Badger
8 months ago
- Privacy Badger是由电子前哨基金会（EFF）开发的免费开源浏览器扩展，通过拦截隐藏追踪器保护用户网络隐私。
- 机构可通过安装Privacy Badger增强托管设备隐私安全，有效保护社区免受网络监控。
- 该工具通过拦截追踪广告降低网络安全威胁，这些广告常成为恶意软件和钓鱼攻击的传播载体。
- Privacy Badger获《纽约时报》Wirecutter专栏和《消费者报告》等权威媒体推荐，深受数百万人信赖。
- 图书馆和学校特别适合部署Privacy Badger，既能保护用户隐私又可提升数字素养教育。
- 学校在提供的设备上使用该工具，可防止学生遭受操纵性广告及数据共享侵害。
- 系统管理员可通过Chrome、Firefox和Edge的企业策略实现机构全域部署。
- 需向用户说明工具功能，并指导如何针对特定网站临时禁用。
- Privacy Badger默认开启隐私浏览模式，成为抗击网络监控的重要防线。
We Hacked Burger King: How Auth Bypass Led to Drive-Thru Audio Surveillance
8 months ago
- 餐饮品牌国际（RBI）全球掌控超过30,000家门店，旗下包括汉堡王、Tim Hortons和Popeyes等品牌。
- 发现RBI的'助手'平台存在漏洞，可访问全球每家门店数据（含得来速对话记录）。
- 三个同源漏洞域名：assistant.bk.com、assistant.popeyes.com和assistant.timhortons.com。
- 注册API存在缺陷，未关闭用户注册功能，允许使用虚假凭证非法接入系统。
- GraphQL自检暴露可绕过邮箱验证的端点，且密码竟以明文形式通过邮件发送。
- 通过认证后可见全球门店目录，员工个人信息与店铺详情一览无遗。
- 发现无需认证的令牌生成接口（createToken），可获得跨平台管理员权限。
- 设备订购网站仅依赖前端密码保护，HTML中竟硬编码着密码。
- 用弱密码'admin'即可进入得来速控制界面（含主控屏与诊断页面）。
- 能篡改得来速音频参数，调取AI分析的顾客点餐原始录音文件。
- 卫生间评价系统及API未设防，可向任意门店发送垃圾评分。
- 管理员权限支持增删门店、管理员工账户、发送通知及查看销售数据。
- 隐私侵犯行为包括获取含个人信息的录音，可能违反GDPR法规。
- RBI迅速修复漏洞但拒绝就事件置评。
- 研究过程中未留存客户数据，并遵循了负责任的披露流程。
Spyware takes webcam pics of users watching porn
8 months ago
- 基于性勒索的黑客攻击涉及劫持网络摄像头或用胁迫获得的裸照敲诈受害者。
- Stealerium恶意软件通过检测色情浏览、截屏及拍摄网络摄像头照片实现性勒索自动化。
- 该恶意软件将被盗数据（银行信息、密码、加密密钥）和涉密图像发送给黑客。
- Stealerium是开源工具，发布于GitHub，宣称仅用于‘教育目的’。
- 网络罪犯通过钓鱼邮件分发Stealerium，主要针对酒店、教育和金融行业。
- 该恶意软件内置自动化性勒索功能，当浏览器URL出现色情相关关键词时触发。
- Proofpoint尚未确认具体受害者，但认为此功能很可能已被使用。
- 通过恶意软件实施的自动化性勒索极为罕见，2019年仅报告过一例类似案件。
- 网络犯罪或从大规模勒索转向针对性强的低关注度攻击（如性勒索）。
Ex-WhatsApp cybersecurity head says Meta endangered billions of users
8 months ago
- WhatsApp前网络安全主管阿塔乌拉·拜格（Attaullah Baig）起诉Meta公司，指控其忽视安全漏洞并违反监管规定
- 拜格声称1500名工程师可不受限制访问用户数据，此举可能违反2020年美国政府的50亿美元罚款令
- 他指控Meta公司未解决每日超10万账户遭黑客入侵的问题，将用户增长置于安全修复之上
- 内部测试显示WhatsApp工程师可窃取用户联系人信息及个人照片等数据且不被发现
- 拜格曾向WhatsApp负责人威尔·卡思卡特及Meta首席执行官扎克伯格等高管报告隐患，却遭到报复
- Meta否认指控，称解雇拜格是因业绩不佳，且其歪曲公司为安全所做的努力
- 这位吹哨人在投诉中要求复职、补发工资、赔偿金，并呼吁监管机构对Meta采取行动
- 该诉讼使Meta旗下Facebook、Instagram和WhatsApp的数据保护措施再次面临审查
ICE Is Using Fake Cell Towers to Spy on People's Phones
8 months ago
- 尽管存在隐私风险的争议，美国移民和海关执法局(ICE)仍继续使用'黄貂鱼'基站模拟器追踪无证移民。
- 犹他州奥勒姆市近期一起案件中，ICE使用'黄貂鱼'定位了一名涉嫌谋杀和帮派活动的逃犯。
- ICE已投入近100万美元购置移动基站模拟器车辆，并与哈里斯公司签订了价值440万美元的位置追踪设备合同。
- 圣马特奥县警长办公室耗资1200万美元部署名为'Sherlock'的AI监控系统，但三年后其成效仍不明确。
- Flock Safety公司正与Axon争夺警用科技市场，提供无人机、车辆追踪和AI监控工具。
- ICE与Clearview AI签订1000万美元合同，使用其人脸识别技术识别袭击ICE官员的嫌犯。
- 一项诉讼指控Meta忽视WhatsApp的隐私安全问题，允许员工访问用户数据。
- Signal为安卓用户推出加密聊天备份功能，需使用64字符的恢复密钥。
- 国际特赦组织报告显示，巴基斯坦利用中西方技术构建了庞大的国内监控系统。
Memory Integrity Enforcement
8 months ago
- 内存完整性强制（MIE）是苹果公司集硬件与软件于一体的全方位内存安全防护体系，提供无与伦比的保护能力。
- MIE基于安全内存分配器（kalloc_type/xzone malloc）和同步模式下的增强内存标记扩展（EMTE）构建。
- 苹果攻防研究团队通过复杂漏洞利用链测试证实，MIE能有效瓦解攻击者的入侵能力。
- 通过硬件级标记检查机制，MIE可阻断缓冲区溢出、释放后使用等常见内存破坏漏洞。
- 标记保密强制技术可抵御侧信道攻击和推测执行攻击，确保EMTE标记的安全性。
- 苹果安全分配器采用类型感知布局技术，颠覆了传统内存破坏攻击方式，树立了软件防护新标杆。
- MIE设计为常驻开启、同步运行且用户无感的防护机制，在保持高性能的同时实现突破性安全防护。
- MIE的实施需要苹果芯片与操作系统团队的深度协作，包括对Apple芯片架构和系统层级的全面升级。
- 该技术已应用于iPhone 17和iPhone Air，为内核及70多个用户态进程等关键攻击面提供防护。
- 苹果认为MIE是消费级操作系统历史上最具里程碑意义的内存安全升级方案。
As hackers exploit one high-severity SAP flaw, company warns of 3 more
8 months ago
- SAP警告用户其产品中发现20多个新漏洞，包括NetWeaver中一个最高危漏洞（10/10）。
- 关键NetWeaver漏洞（CVE-2025-42944）允许未经认证的攻击者通过开放端口执行恶意载荷命令。
- 该漏洞源于反序列化缺陷，可逆转用于数据存储/传输的序列化过程。
- 另披露了三个高危级NetWeaver漏洞，评分分别为9.9、9.6和9.1。
- 另一个正被活跃利用的高危SAP S/4HANA漏洞（CVE-2025-42957，9.9分）已于上月完成补丁修复。
Kerberoasting
8 months ago
- Kerberoasting是一种利用微软活动目录(AD)加密弱点的攻击手段。
- AD使用的Kerberos协议可追溯至1989年，至今仍支持RC4等过时加密算法及未加盐的NT哈希值。
- 该漏洞使攻击者能对人工设置的脆弱服务账户密码实施离线字典攻击。
- 微软虽建议采用自动密钥分配、强密码策略及禁用RC4等缓解措施，但并未主动强制执行。
- 此类漏洞在2024年仍持续存在，暴露出管理实践和微软遗留系统维护方面的系统性缺陷。
Duke, Michigan.gov, CA.gov Compromised in Large-Scale SEO Attack
8 months ago
- 一场大规模的寄生虫SEO攻击正在入侵高权威的.gov和.edu域名
- 攻击者利用漏洞发布垃圾页面，为非法关键词生成数百万次自然搜索流量
- 典型案例包括杜克大学(duke.edu)和密歇根州政府(michigan.gov)，其垃圾页面分别获得2180万和800万次访问
- 被劫持页面凭借域名高权重(DR 91-94)能立即获得排名，主要针对'AI脱衣软件'等违规关键词
- 加州政府网(ca.gov)上超过3000个垃圾页面每月产生210万访问，韦恩州立大学(wayne.edu)同样遭殃
- 谷歌对权威域名的信任偏见使得垃圾内容能立即登上搜索结果首位
- 应对措施包括：漏洞审计、监控谷歌搜索控制台、正确配置robots.txt文件
- 高权重网站是主要攻击目标，加强Web应用安全对品牌保护至关重要
ModStealer cross-platform malware undetected by AV tools targeting developers
8 months ago
- Mosyle发现了一种名为ModStealer的新型信息窃取恶意软件，该软件近一个月内未被主流杀毒引擎检测到。
- ModStealer具有跨平台特性，针对macOS、Windows和Linux系统，通过针对开发者的恶意招聘广告进行传播。
- 该恶意软件使用经过深度混淆的NodeJS编写的JavaScript文件，可规避基于签名的防御机制。
- ModStealer专注于窃取数据，包括加密货币钱包、登录凭证、配置详情和证书，针对56种浏览器钱包扩展程序。
- 它还具有剪贴板捕获、屏幕截图和远程代码执行能力，使攻击者能对受感染设备实施高度控制。
- 在macOS系统中，该恶意软件通过滥用苹果的launchctl工具实现持久化，将自身嵌入为LaunchAgent。
- ModStealer将窃取的数据外泄至远程服务器，该服务器可能位于芬兰，但与德国的基础设施存在关联。
- Mosyle认为ModStealer符合恶意软件即服务（MaaS）模式，开发者将恶意软件出售给技术能力有限的附属攻击者。
- 信息窃取类恶意软件呈上升趋势，Jamf报告显示今年此类攻击数量增加了28%。
- Mosyle警告称基于签名的防护已不足够，强调需要持续监控和基于行为的防御措施。
EggStreme: New Fileless Malware from a Chinese Apt Targets Philippine Military
8 months ago
- Bitdefender研究人员发现名为EggStreme的复杂无文件恶意软件框架，由中国APT组织使用。
- 该恶意软件针对菲律宾军工企业，凸显了南海地区的地缘政治紧张局势。
- EggStreme采用多阶段执行模式：先通过EggStremeFuel启动，依次激活EggStremeLoader、EggStremeReflectiveLoader和EggStremeAgent组件。
- EggStremeAgent是具有58种指令的强大后门，可实现系统侦察、命令执行、横向渗透和数据窃取。
- 框架包含维持持久化的EggStremeWizard模块及实时数据记录的EggStremeKeylogger模块。
- EggStreme通过内存注入和DLL旁加载技术实现无文件化运作，有效规避检测。
- 此次攻击具有明显间谍活动特征，旨在对地缘政治敏感区域实施长期监控。
Apple's iPhone security feature makes life more difficult for spyware makers
8 months ago
- 苹果为iPhone 17和iPhone Air引入内存完整性执行（MIE）功能，以对抗间谍软件利用的内存损坏漏洞。
- MIE大幅提高了漏洞开发的成本和时间，使新款iPhone成为最安全的联网设备之一。
- 专家认为MIE将降低远程和物理设备攻击（包括NSO集团和Cellebrite使用的攻击手段）的有效性。
- MIE采用苹果增强的内存标记扩展（MTE）技术，通过为内存段分配秘密标签来阻断未授权访问。
- 第三方应用需自行实现MIE功能，这意味着完整防护取决于开发者适配和用户升级意愿。
- 尽管MIE显著提升安全性，但专家警告称，顽固的攻击者仍可能找到漏洞突破点。
Geedge and Mesa Leak: Analyzing the Great Firewall's Largest Document Leak
8 months ago
- 2025年9月11日，中国国家防火墙（GFW）发生史上最大规模内部文件泄露事件，数据总量超过500GB。
- 泄露源指向中国科学院信息工程研究所的Geedge网络公司和MESA实验室。
- 文件显示GFW通过'一带一路'框架向沿线国家输出审查与监控技术。
- 泄露内容包含源代码、工作日志及内部通讯记录，对互联网审查研究具有重大意义。
- 由'防火墙之父'方滨兴领导的Geedge网络公司深度参与GFW的研发与运维。
- 中科院MESA实验室自2012年成立以来，始终是GFW核心技术开发的中坚力量。
- 泄露材料敏感度极高，安全专家警告需在隔离环境中分析以防潜在风险。
- GFW Report与Net4People将持续跟进泄露文件的分析与披露工作。
Password1: Scammers exploit variations of your logins
8 months ago
- 重复使用部分密码会使账户容易受到黑客攻击。
- 黑客利用凭证填充技术，用数据泄露获取的密码在其他网站进行测试。
- 被破解密码的衍生版本也常被用来入侵账户。
- 80%的人在不同账户重复使用相似密码，这大大增加了风险。
- 轻微修改的密码（如Guardian1）对黑客而言很容易破解。
- 自动化脚本会以工业化规模测试各种密码变体。
- 账户信息出现未经授权的变更提示可能是被入侵的信号。
- 应及时修改密码，特别是银行、邮箱、工作和手机等重要账户。
- 使用密码管理器（如iCloud钥匙串、谷歌密码管理器）生成安全密码。
- 启用双重或多重身份验证（2FA/MFA）能显著提升安全性。
Inboxfuscation: Because Rules Are Meant to Be Broken
8 months ago
- Microsoft Exchange收件箱规则是APT组织的重要攻击途径
- 收箱混淆(Inboxfuscation)是基于Unicode的规避检测技术
- 四种主要Unicode混淆技术：字符替换、零宽度注入、双向文本操纵和混合技术
- 功能性混淆技巧包括将邮件转发至日历文件夹和使用空字符
- 理论攻击场景包括长期数据渗出和反取证操作
- 当前检测局限包括基于ASCII的模式匹配和Unicode认知不足
- 高级检测方法涉及字符类别分析和多格式日志分析
- 防御框架支持多种Exchange日志格式并提供SIEM集成结构化输出
- 研究揭示了电子邮件安全态势的漏洞，包括检测盲点和合规风险
- 开源Inboxfuscation框架可帮助模拟、检测和缓解混淆邮箱规则
FBI Alert: Two Cybercriminal Groups Are Actively Compromising Salesforce
8 months ago
- 美国联邦调查局和国土安全部/网络安全与基础设施安全局发布FLASH警报（FLASH-20250912-001），警告关于网络犯罪组织UNC6040和UNC6395针对Salesforce实例的攻击行为。
- UNC6040利用语音钓鱼（vishing）手段诱骗呼叫中心员工分享Salesforce凭证，冒充IT支持人员。
- UNC6040的攻击手法包括凭证窃取、API滥用以及部署恶意连接应用以绕过多因素认证（MFA）。
- UNC6395通过窃取与Salesloft Drift（一款集成于Salesforce的AI聊天机器人）相关的OAuth令牌来窃取数据。
- Salesforce和Salesloft已于2025年8月20日撤销所有活跃的Drift令牌以切断未授权访问。
- 联邦调查局提供了包括IP地址、URL和用户代理字符串在内的两组攻击组织的入侵指标（IOCs）。
- 建议防御措施：培训呼叫中心员工、部署防钓鱼的多因素认证、实施最小权限访问控制、监控API使用、定期轮换API密钥并记录网络流量。
A qualitative analysis of pig-butchering scams
8 months ago
- 杀猪盘骗局结合了情感诈骗、投资欺诈和社会工程学手段来剥削受害者。
- 首个基于26名受害者访谈的定性分析研究。
- 骗局生命周期包括分阶段建立信任、伪造金融平台和虚假收益展示。
- 犯罪者运用情感操控和高压迫性话术最大化受害者损失。
- 受害者遭受心理与财务双重打击，且易陷入二次诈骗陷阱。
- 提出社交媒体与金融平台的干预节点以降低诈骗发生率。
- 倡导使用非污名化术语以鼓励受害者报案和寻求帮助。
China mandates 1-hour reporting for serious cybersecurity incidents
8 months ago
- 中国网信办要求重大网络安全事件需在一小时内上报
- 新规将于11月1日起正式施行
- 网络运营者须立即报告"特别重大"网络安全事件
- 该规定包含网络安全事件分级指南
- '特别重大'事件指长时间影响政府门户网站及重点新闻网站等高危情况

About|Login

#cybersecurity

Cloudflare stops new largest DDoS attack over Labor Day weekend

Indirect Prompt Injection Attacks Against LLM Assistants

From Libraries to Schools: Why Organizations Should Install Privacy Badger

We Hacked Burger King: How Auth Bypass Led to Drive-Thru Audio Surveillance

Spyware takes webcam pics of users watching porn

Ex-WhatsApp cybersecurity head says Meta endangered billions of users

ICE Is Using Fake Cell Towers to Spy on People's Phones

Memory Integrity Enforcement

As hackers exploit one high-severity SAP flaw, company warns of 3 more

Kerberoasting

Duke, Michigan.gov, CA.gov Compromised in Large-Scale SEO Attack

ModStealer cross-platform malware undetected by AV tools targeting developers

EggStreme: New Fileless Malware from a Chinese Apt Targets Philippine Military

Apple's iPhone security feature makes life more difficult for spyware makers

Geedge and Mesa Leak: Analyzing the Great Firewall's Largest Document Leak

Password1: Scammers exploit variations of your logins

Inboxfuscation: Because Rules Are Meant to Be Broken

FBI Alert: Two Cybercriminal Groups Are Actively Compromising Salesforce

A qualitative analysis of pig-butchering scams

China mandates 1-hour reporting for serious cybersecurity incidents