<![CDATA[极客安全网]]> https://www.ihacker.cn/ zh-cn emlog Open VSX惊现严重漏洞：恶意VS Code扩展可绕过预发布安全检查 https://www.ihacker.cn/?post=158 2026年3月27日——网络安全研究人员披露了一个现已修复的漏洞细节，该漏洞影响Open VSX的预发布扫描管道，可能导致恶意Microsoft Visual Studio Code（VS Code）扩展通过审核流程并在注册表中上线。

漏洞概述

Koi Security研究员Oran Simhony在与The Hacker News分享的一份报告中表示：该管道有一个单一的布尔返回值，既表示未配置扫描器，也表示所有扫描器运行失败。调用者无法区分这两者。因此，当扫描器在负载下失败时，Open VSX会将扫描失败的状态误判为“无扫描任务需执行”，直接为扩展放行，使其绕过所有安全校验，直接在注册表中激活上线。

该漏洞被Koi Security团队命名为Open Sesame，本质是一处典型的“失效开放”（Fail-Open）逻辑缺陷，出现在Open VSX于2026年2月刚刚上线的预发布安全扫描体系中。

漏洞技术细节

Open VSX的预发布扫描管道原本设计了双层安全校验机制，旨在从源头拦截恶意扩展：扩展上传后，首先会经过同步快速校验，完成仿冒名称检测、硬编码密钥扫描、恶意文件哈希拦截等快速检查，任一环节失败都会直接阻断发布；通过初检的扩展会进入异步深度扫描阶段，由ClamAV杀毒引擎、YARA恶意代码规则等扫描器完成全量内容检测，只有所有扫描全部通过，扩展才会被激活供用户下载，若扫描发现风险则会进入隔离状态等待人工审核 。

而漏洞的核心问题出在扫描结果的处理逻辑中：管道使用同一个布尔返回值标识两种完全不同的状态——“未配置任何扫描器”与“所有已配置的扫描器全部执行失败”。当系统在高负载场景下（如数据库连接池耗尽、扫描服务资源不足）出现扫描任务执行失败时，接口会返回与“无扫描器配置”完全相同的布尔值，上游调用服务无法区分两种场景，直接将扫描失败的扩展标记为“校验通过”，跳过所有安全检查直接上线。

研究人员证实，攻击者仅需注册一个免费的Open VSX发布者账号，即可通过构造请求稳定触发该漏洞，无需利用其他额外缺陷，就能让恶意扩展绕过全部安全防线。

影响范围

Open VSX是由Eclipse基金会维护的开源扩展注册表，是微软VS Code官方扩展市场的主流替代方案，被大量VS Code衍生开发工具作为默认扩展源使用，包括Cursor、Windsurf、Gitpod、VSCodium等广受开发者欢迎的IDE与云开发环境，影响全球数百万开发者用户。

一旦恶意扩展通过该漏洞上线，不仅可以直接触达上述平台的用户，还可借助扩展的自动更新机制，在用户无感知的情况下完成恶意代码投放，具备引发大规模软件供应链攻击的风险。恶意扩展可利用IDE的高权限，窃取开发者本地的项目代码、云服务凭证、Git密钥等敏感信息，甚至植入后门实现远程代码执行。

披露与修复进程

Koi Security团队于2026年2月8日向Open VSX官方进行了负责任的漏洞披露，完整提交了漏洞细节与复现步骤。官方响应迅速，在3个工作日内完成了漏洞修复，于2月11日发布了补丁版本，并在Open VSX 0.32.0版本中完成了全量部署。

本次修复的核心是重构了扫描结果的处理逻辑，拆分了原本混淆的两种状态，新增了独立的错误标识与处理分支：当扫描器执行失败时，系统会将扩展标记为“待复核”状态，进入隔离队列等待人工审核，而非直接放行，从根本上解决了“失效开放”的逻辑缺陷。

截至2026年3月27日漏洞细节公开时，Open VSX官方未监测到该漏洞在野被恶意利用的情况。

风险警示与安全建议

该漏洞的出现，再次暴露了开发工具供应链安全的脆弱性——即便是专为提升安全能力搭建的防护体系，也可能因一处细微的逻辑缺陷被完全绕过。该漏洞所在的预发布扫描管道，正是Open VSX为应对此前GlassWorm等大规模恶意扩展攻击事件，专门上线的核心安全防线。

针对本次漏洞，我们给出以下安全建议：

1. 相关IDE用户请尽快确认自己使用的扩展源是否已升级到Open VSX 0.32.0及以上的修复版本，避免使用存在漏洞的旧版服务；

2. 开发者应尽量从官方可信渠道获取扩展，谨慎安装小众、无明确可信主体的扩展程序，定期审计已安装扩展的权限与更新行为；

3. 企业用户可通过配置扩展白名单、限制扩展运行权限、搭建私有扩展镜像源等方式，进一步收缩攻击面，降低供应链攻击风险。

]]> Sun, 29 Mar 2026 09:12:29 +0800 极客安全 https://www.ihacker.cn/?post=158 TeamPCP黑客组织再袭PyPI：将窃密木马隐藏在WAV音频文件中 https://www.ihacker.cn/?post=157 2026年3月27日——曾针对Trivy、KICS和litellm发起供应链攻击的威胁行为者TeamPCP，现已通过向Python包索引（PyPI）推送两个恶意版本的方式攻陷了telnyx Python包，用于窃取敏感数据。

## 攻击详情

这两个版本（4.87.1和4.87.2）于2026年3月27日发布到PyPI仓库，将凭证收集功能隐藏在.WAV音频文件中。建议用户立即降级至4.87.0版本。目前该PyPI项目已被隔离。

来自Aikido、Endor Labs、JFrog、Ossprey Security、SafeDep、Socket和StepSecurity的多份报告指出，恶意代码被注入到telnyx/_client.py文件中，当该包被导入Python应用时即被触发。该恶意软件针对Windows、Linux和macOS系统设计。

## 三阶段攻击链

Socket公司表示：我们的分析揭示了Linux/macOS上的三阶段运行时攻击链，包括通过音频隐写技术投递、内存中执行数据收集器、以及加密外泄。整个链条设计为在自毁临时目录中运行，在主机上留下接近零的法医痕迹。

### Windows系统攻击

在Windows上，恶意软件从命令控制（C2）服务器下载名为hangup.wav的文件，从音频数据中提取可执行文件，然后将其以msbuild.exe的名称放入启动文件夹。这使其能够在系统重启后持久化，并在用户每次登录时自动运行。

### Linux/macOS系统攻击

如果受感染主机运行在Linux或macOS上，它会从同一服务器获取另一个.WAV文件（ringtone.wav），提取第三阶段收集器脚本并运行。该凭证收集器旨在捕获广泛的敏感数据，并以tpcp.tar.gz的形式通过HTTP POST请求外泄到83.142.209[.]203:8080。

## 音频隐写技术

Ossprey Security表示：该样本的突出技术——也是文章标题的原因——是使用音频隐写技术来投递最终载荷。攻击者没有将恶意代码作为Base64嵌入，而是从远程服务器下载。

OX Security的Moshe Siman Tov Bustan指出：恶意软件从远程C2服务器下载XOR混淆的WAV文件，解码后在目标机器上执行。

## 与之前攻击的关联

值得注意的是，.WAV技巧对TeamPCP来说并不新鲜。同样的方法曾被用于在通过CanisterWorm和暴露的Docker实例分发的kamikaze擦除恶意软件中隐藏恶意载荷。此外，该恶意软件还具有Kubernetes横向移动组件，滥用Kubernetes服务账户令牌部署特权Pod到每个节点并部署持久化机制。

## 攻击向量分析

目前尚不清楚TeamPCP如何获得该包的PYPI_TOKEN，但很可能是通过先前的凭证收集操作。

Endor Labs研究人员Kiran Raj和Rachana Misal表示：我们认为最可能的向量是litellm攻击本身。TeamPCP的收集器从每个导入litellm的系统中扫描环境变量、.env文件和shell历史记录。如果任何开发者或CI管道同时安装了litellm并有权访问telnyx

]]> Sun, 29 Mar 2026 09:10:09 +0800 极客安全 https://www.ihacker.cn/?post=157 Claude浏览器扩展惊现零点击XSS漏洞：任意网站可劫持AI助手执行恶意指令 https://www.ihacker.cn/?post=156 2026年3月26日——网络安全研究人员披露了Anthropic公司Claude Google Chrome扩展中的一个严重漏洞，该漏洞可能被利用来在用户仅访问网页时触发恶意提示注入攻击。

漏洞概述

Koi Security研究员Oren Yomtov在与The Hacker News分享的一份报告中表示，该漏洞允许任何网站像用户自己输入一样，静默地向AI助手注入提示指令。

无需点击，无需权限提示。只需访问一个页面，攻击者就能完全控制你的浏览器。

ShadowPrompt攻击链

这个被命名为ShadowPrompt的安全问题串联了两个底层漏洞：

漏洞1：过度宽松的起源白名单

Claude扩展程序中存在一个过度宽松的起源白名单，允许任何匹配模式（*.claude.ai）的子域名向Claude发送提示以执行。

漏洞2：DOM型XSS漏洞

Arkose Labs托管在a-cdn.claude[.]ai上的CAPTCHA组件中存在一个基于文档对象模型（DOM）的跨站脚本（XSS）漏洞。

攻击机制

扩展程序会将来自白名单域名的提示直接传递到Claude的侧边栏，就像它是合法的用户请求一样。

Yomtov解释道：攻击者的页面将易受攻击的Arkose组件嵌入到一个隐藏的iframe中，通过postMessage发送XSS载荷，注入的脚本随即向扩展程序触发提示指令。受害者完全看不到这一切。

潜在危害

成功利用此漏洞可能允许攻击者：

  • 窃取敏感数据（如访问令牌）
  • 访问与AI助手的对话历史记录
  • 甚至代表受害者执行操作（如冒充他们发送电子邮件、索取机密数据）

修复情况

在2025年12月27日负责任地披露后，Anthropic已向Chrome扩展程序（版本1.0.41）部署了补丁，该补丁强制执行严格的来源检查，要求与域名claude[.]ai完全匹配。Arkose Labs也于2026年2月19日修复了其XSS漏洞。

安全启示

Koi Security指出：AI浏览器助手的能力越强，它们作为攻击目标的价值就越高。一个能够导航你的浏览器、读取你的凭证并代表你发送电子邮件的扩展程序就是一个自主代理。而该代理的安全性仅取决于其信任边界中最弱来源的强度。

来源：The Hacker News
翻译：极客安全网

]]> Fri, 27 Mar 2026 06:54:36 +0800 极客安全 https://www.ihacker.cn/?post=156 新型WebRTC窃密程序绕过CSP防护，疯狂窃取电商网站支付数据 https://www.ihacker.cn/?post=155 2026年3月26日——网络安全研究人员发现了一种新型支付窃密程序（payment skimmer），该恶意软件利用WebRTC数据通道来接收恶意载荷并窃取数据，有效绕过了现有的安全防护措施。

攻击原理

荷兰安全公司Sansec在本周发布的一份报告中指出："与传统的HTTP请求或图像信标不同，这款恶意软件使用WebRTC数据通道来加载其恶意载荷并窃取支付数据。"

据悉，此次攻击针对的是一家汽车制造商的电子商务网站，攻击利用了名为PolyShell的新漏洞。该漏洞影响Magento开源版和Adobe Commerce平台，允许未经身份验证的攻击者通过REST API上传任意可执行文件并实现代码执行。

大规模利用

值得注意的是，该漏洞自2026年3月19日以来已遭到大规模利用，超过50个IP地址参与了扫描活动。荷兰安全公司表示，已在56.7%的易受攻击商店中发现了PolyShell攻击。

WebRTC窃密技术细节

该窃密程序被设计为自执行脚本，它会建立一个指向硬编码IP地址（"202.181.177[.]177"）的WebRTC对等连接，通过UDP端口3479检索JavaScript代码，随后将代码注入网页以窃取支付信息。

使用WebRTC标志着窃密攻击技术的重大演进，因为它能够绕过内容安全策略（CSP）指令。

Sansec指出："即使商店配置了严格的CSP来阻止所有未经授权的HTTP连接，仍然对基于WebRTC的数据窃取完全开放。流量本身也更难被检测到。WebRTC DataChannels通过DTLS加密的UDP运行，而不是HTTP。检查HTTP流量的网络安全工具永远不会看到窃取的数据离开。"

漏洞修复情况

Adobe已在2026年3月10日发布的2.4.9-beta1版本中修复了PolyShell漏洞，但该补丁尚未推送到生产版本。

缓解措施

网站管理员被建议采取以下防护措施：

  • 阻止对"pub/media/custom_options/"目录的访问
  • 扫描商店中的Web Shell、后门和其他恶意软件

PolyShell漏洞更多细节

Searchlight Cyber的Assetnote团队分享了关于PolyShell漏洞的更多细节，指出该漏洞源于名为ImageProcessor::processImageContent()的函数。该函数接受任何"有效"图像作为输入，并将文件移动到目标文件夹。

安全研究员Tomais Williamson表示："如果你使用的是Adobe建议的Nginx/Apache配置，那么这些文件是无法访问且不可执行的。然而，任何与该配置的偏差都可能导致实例受到影响。"

来源：The Hacker News
翻译：极客安全网

]]> Fri, 27 Mar 2026 06:52:02 +0800 极客安全 https://www.ihacker.cn/?post=155 设备代码钓鱼攻击席卷340多个Microsoft 365组织，波及五个国家 https://www.ihacker.cn/?post=154 网络安全研究人员正在关注一场活跃的设备代码钓鱼活动，该活动针对美国、加拿大、澳大利亚、新西兰和德国的340多个组织的Microsoft 365身份。

据Huntress称，该活动于2026年2月19日首次被发现，此后案例以加速的速度出现。值得注意的是，该活动利用Cloudflare Workers重定向，将捕获的会话重定向到名为Railway的平台即服务（PaaS）产品上托管的基础设施，有效地将其转变为凭证收集引擎。

建筑、非营利组织、房地产、制造、金融服务、医疗保健、法律和政府是该活动针对的一些主要行业。

"这场活动之所以不同寻常，不仅在于所涉及的设备代码钓鱼技术，还在于观察到的各种技术，"该公司表示。"建筑投标诱饵、登陆页面代码生成、DocuSign冒充、语音邮件通知以及滥用Microsoft Forms页面都通过相同的Railway.com IP基础设施攻击同一受害者群体。"

什么是设备代码钓鱼？

设备代码钓鱼是一种利用OAuth设备授权流程的技术，旨在向攻击者授予持久的访问令牌，然后可用于控制受害者账户。这种攻击方法的显著特点是，即使重置账户密码后，令牌仍然有效。

攻击流程

攻击的高级流程如下：

  1. 威胁行为者通过合法的设备代码API从身份提供商（例如Microsoft Entra ID）请求设备代码
  2. 服务响应一个设备代码
  3. 威胁行为者创建一封有说服力的电子邮件发送给受害者，敦促他们访问登录页面（"microsoft.com/devicelogin"）并输入设备代码
  4. 受害者输入提供的代码以及他们的凭证和双因素认证（2FA）代码后，服务为用户创建访问令牌和刷新令牌

"一旦用户成为钓鱼的受害者，他们的认证就会生成一组现在驻留在OAuth令牌API端点的令牌，可以通过提供正确的设备代码来检索，"Huntress解释道。"攻击者当然知道设备代码，因为它是由对设备代码登录API的初始cURL请求生成的。"

Railway基础设施

在Huntress检测到的活动中，认证滥用源自一小群Railway.com IP地址，其中三个地址约占观察到的事件的84%：

  • 162.220.234.41
  • 162.220.234.66
  • 162.220.232.57
  • 162.220.232.99
  • 162.220.232.235

攻击起点

攻击的起点是一封钓鱼邮件，它将恶意URL包装在来自Cisco、Trend Micro和Mimecast的合法安全供应商重定向服务中，以绕过垃圾邮件过滤器并触发多跳重定向链，其中包含受损站点、Cloudflare Workers和Vercel的组合作为中介，然后将受害者带到最终目的地。

"观察到的登陆站点提示受害者继续前往合法的Microsoft设备代码认证端点并输入提供的代码以读取某些文件，"Huntress说。"代码在受害者到达页面时直接渲染在页面上。"

EvilTokens平台

Huntress此后将Railway攻击归因于一个名为EvilTokens的新钓鱼即服务（PhaaS）平台，该平台上个月在Telegram上首次亮相。除了宣传发送钓鱼邮件和绕过垃圾邮件过滤器的工具外，EvilTokens仪表板还为客户提供易受攻击域名的开放重定向链接以混淆钓鱼链接。

防护建议

为应对这一威胁，建议用户：

  • 扫描登录日志以查找Railway IP登录
  • 撤销受影响用户的所有刷新令牌
  • 如果可能，阻止来自Railway基础设施的认证尝试

来源： The Hacker News (2026年3月25日)

]]> Wed, 25 Mar 2026 23:13:56 +0800 极客安全 https://www.ihacker.cn/?post=154 DarkSword iOS漏洞利用工具包：利用6个漏洞、3个零日漏洞实现完全设备接管 https://www.ihacker.cn/?post=148 2026年3月19日——据Google威胁情报小组（GTIG）、iVerify和Lookout的报告，一个针对Apple iOS设备设计用于窃取敏感数据的新漏洞利用工具包自2025年11月以来一直被多个威胁行为者使用。

DarkSword漏洞利用工具包

据GTIG称，多个商业监控供应商和疑似国家支持的参与者已在针对沙特阿拉伯、土耳其、马来西亚和乌克兰的不同活动中利用这个名为DarkSword的完整漏洞链工具包。

DarkSword的发现使其成为继Coruna之后，在一个月内发现的第二个iOS漏洞利用工具包。该工具包旨在针对运行iOS 18.4至18.7版本的iPhone，据说已被名为UNC6353的疑似俄罗斯间谍组织部署用于攻击乌克兰用户。

值得注意的是，UNC6353还被关联到使用Coruna通过将JavaScript框架注入被入侵网站来攻击乌克兰人。

攻击目标

Lookout表示："DarkSword旨在提取大量个人信息，包括设备中的凭证，并专门针对大量加密货币钱包应用，暗示这是一个具有财务动机的威胁行为者。"

"值得注意的是，DarkSword似乎采取'打了就跑'的方式，在几秒钟或最多几分钟内收集和渗出目标数据，然后进行清理。"

技术细节

Coruna和DarkSword等漏洞链旨在促进对受害者设备的完全访问，而几乎不需要用户交互。这些发现再次表明，存在一个二手漏洞市场，允许资源有限且目标不一定与网络间谍活动一致的威胁组织获取"顶级漏洞"并用它们感染移动设备。

GTIG表示："DarkSword和Coruna被各种行为者使用，这表明了漏洞在地理和动机各异的行为者之间持续扩散的风险。"

利用的漏洞

与这个新发现的工具包关联的漏洞链利用六个不同的漏洞来部署三个有效载荷，其中以下漏洞在苹果修补之前被作为零日漏洞利用：

  • CVE-2026-20700 - dyld中的用户模式指针认证码（PAC）绕过（在版本26.3中修补）
  • CVE-2025-43529 - JavaScriptCore中的内存损坏漏洞（在版本18.7.3和26.2中修补）
  • CVE-2025-14174 - ANGLE中的内存损坏漏洞（在版本18.7.3和26.2中修补）

其他被利用的漏洞包括：

  • CVE-2025-31277 - JavaScriptCore中的内存损坏漏洞（在版本18.6中修补）
  • CVE-2025-43510 - iOS内核中的内存管理漏洞（在版本18.7.2和26.1中修补）
  • CVE-2025-43520 - iOS内核中的内存损坏漏洞（在版本18.7.2和26.1中修补）

攻击机制

Lookout表示，在对与UNC6353关联的恶意基础设施进行分析后发现了DarkSword，识别出其中一个被入侵的域名托管了一个恶意iFrame元素，负责加载JavaScript以对访问该网站的设备进行指纹识别，并确定是否需要将目标路由到iOS漏洞链。目前尚不清楚网站被感染的确切方法。

值得注意的是，该JavaScript专门寻找运行18.4至18.6.2版本之间的iOS设备，与Coruna不同，后者针对的是从13.0到17.2.1的旧iOS版本。

Lookout解释说："DarkSword是一个完整的漏洞链和信息窃取器，用JavaScript编写。它利用多个漏洞建立特权代码执行，以访问敏感信息并将其渗出设备。"

来源：The Hacker News

]]> Tue, 24 Mar 2026 23:15:00 +0800 极客安全 https://www.ihacker.cn/?post=148 黑客利用CVE-2025-32975（CVSS 10.0）劫持未修补的Quest KACE SMA系统 https://www.ihacker.cn/?post=147 2026年3月23日——据Arctic Wolf称，威胁行为者疑似正在利用影响Quest KACE Systems Management Appliance（SMA）的最高严重性安全漏洞。

漏洞详情

该网络安全公司表示，从2026年3月9日开始的一周，在客户环境中观察到与暴露在互联网上的未修补SMA系统上利用CVE-2025-32975一致的恶意活动。目前尚不清楚攻击的最终目标是什么。

CVE-2025-32975（CVSS评分：10.0）是一个身份验证绕过漏洞，允许攻击者在没有有效凭证的情况下冒充合法用户。成功利用该漏洞可能导致管理账户的完全接管。该问题已于2025年5月由Quest修补。

攻击活动分析

在Arctic Wolf检测到的恶意活动中，威胁行为者被认为已将该漏洞武器化，以控制管理账户并执行远程命令，通过curl命令从外部服务器（216.126.225[.]156）投放Base64编码的有效载荷。

然后，未知的攻击者继续通过"runkbot.exe"创建额外的管理账户，这是一个与SMA Agent关联的后台进程，用于运行脚本和管理安装。还检测到通过PowerShell脚本对Windows注册表进行修改，以实现可能的持久化或系统配置更改。

威胁行为者行动

威胁行为者采取的其他行动包括：

  • 凭证收集：使用Mimikatz进行凭证收集
  • 发现和侦察：枚举登录用户和管理员账户，运行"net time"和"net group"命令
  • RDP访问：获取备份基础设施（Veeam、Veritas）和域控制器的远程桌面协议（RDP）访问权限

安全建议

为应对威胁，管理员被建议：

  • 应用最新更新
  • 避免将SMA实例暴露在互联网上

受影响版本

该问题已在以下版本中修复：

  • 13.0.385
  • 13.1.81
  • 13.2.183
  • 14.0.341（Patch 5）
  • 14.1.101（Patch 4）

来源：The Hacker News

]]> Tue, 24 Mar 2026 23:00:00 +0800 极客安全 https://www.ihacker.cn/?post=147 微软警告：IRS钓鱼攻击已影响29,000名用户，部署RMM恶意软件 https://www.ihacker.cn/?post=146 2026年3月23日——微软警告称，新的网络钓鱼活动正在利用美国即将到来的报税季来窃取凭证和部署恶意软件。

攻击活动概述

这些电子邮件活动利用邮件的紧迫性和时效性，发送伪装成退税通知、工资单表格、报税提醒和税务专业人员请求的钓鱼信息，欺骗收件人打开恶意附件、扫描二维码或与可疑链接互动。

微软威胁情报和Microsoft Defender安全研究团队上周在一份报告中表示："许多活动针对个人进行个人和财务数据盗窃，但其他活动专门针对会计师和其他处理敏感文件、可以访问财务数据并习惯于在此期间接收与税务相关邮件的专业人员。"

攻击手段

虽然其中一些努力将用户引导至通过钓鱼即服务（PhaaS）平台设计的可疑页面，但其他活动导致部署合法的远程监控和管理工具（RMM），如ConnectWise ScreenConnect、Datto和SimpleHelp，使攻击者能够获得对受感染设备的持久访问权限。

具体活动详情

  • 使用注册会计师（CPA）诱饵：投放与Energy365 PhaaS工具包相关的钓鱼页面，捕获受害者的电子邮件和密码。Energy365钓鱼工具包估计每天发送数十万封恶意邮件。

  • 使用二维码和W2诱饵：针对美国约100个组织，主要在制造业、零售业和医疗保健行业，将用户引导至模仿Microsoft 365登录页面的钓鱼页面，使用SneakyLog（又名Kratos）PhaaS平台构建，以窃取他们的凭证和双因素认证（2FA）代码。

  • 使用税务主题域名：用于钓鱼活动，诱骗用户点击虚假链接，借口是访问更新的税务表格，实际上分发ScreenConnect。

  • 冒充美国国税局（IRS）：使用加密货币诱饵，专门针对美国高等教育部门，指示收件人通过访问恶意域名（"irs-doc[.]com"或"gov-irs216[.]net"）下载"加密货币税表1099"来交付ScreenConnect或SimpleHelp。

  • 针对会计师和相关组织：请求帮助报税，发送导致安装Datto的恶意链接。

大规模攻击

微软表示，还观察到2026年2月10日的一场大规模钓鱼活动，超过29,000名用户跨越10,000个组织受到影响。约95%的目标位于美国，涵盖金融服务（19%）、技术和软件（18%）以及零售和消费品（15%）等行业。

该科技巨头表示："这些邮件冒充IRS，声称已在收件人的电子报税识别号码（EFIN）下提交了可能不规则的报税表。收件人被指示通过下载据称合法的'IRS成绩单查看器'来审查这些报税表。"

这些通过Amazon Simple Email Service（SES）发送的邮件包含一个"下载IRS成绩单查看器5.1"按钮，点击后将用户重定向到smartvault[.]im，这是一个伪装成SmartVault（一个知名的文档管理和共享平台）的域名。

技术细节

钓鱼网站依赖Cloudflare来阻止机器人和自动扫描器，从而确保只有人类用户才能获得主要有效载荷：一个恶意打包的ScreenConnect，授予攻击者对其系统的远程访问权限，并促进数据盗窃、凭证收集和进一步的后续利用活动。

安全建议

为了防范这些攻击，建议组织：

  • 对所有用户强制执行2FA
  • 实施条件访问策略
  • 监控和扫描传入邮件和访问的网站
  • 阻止用户访问恶意域名

RMM工具滥用趋势

这些发现与发现投放远程访问恶意软件或进行数据盗窃的几项活动相吻合。根据Huntress最近发布的一份报告，威胁行为者对RMM的采用正在增加，此类工具的滥用激增了277%。

Elastic Security Labs研究人员Daniel Stepanic和Salim Bitam表示："由于这些工具被合法的IT部门使用，它们通常被忽视，在大多数企业环境中被视为'可信的'。组织必须保持警惕，审计其环境中未经授权的RMM使用情况。"

来源：The Hacker News

]]> Tue, 24 Mar 2026 22:30:00 +0800 极客安全 https://www.ihacker.cn/?post=146 网络安全专业化的隐藏成本：我们正在失去基础技能 https://www.ihacker.cn/?post=145 2026年3月24日——网络安全发展迅速。角色更加专业化，工具更加先进。从理论上讲，这应该使组织更加安全。但实际上，许多团队仍在与多年前面临的相同基本问题作斗争：风险优先级不明确、工具决策不一致，以及难以用业务理解的术语解释安全问题。

挑战的根源

这些挑战通常不是由于缺乏努力而产生的。它们源于某种更微妙的东西——随着专业化加速，基础理解的逐渐丧失。专业化本身不是问题。缺乏上下文才是问题所在。

当安全团队对业务、系统和风险如何结合在一起没有共同的理解时，即使是强大的技术执行也会开始崩溃。随着时间的推移，这种差距会在项目设计方式、工具选择方式以及事件处理方式上显现出来。

缺乏端到端可见性

网络安全在专业化的速度上是不寻常的。在许多职业中，广泛的基础培训是第一步。你先学习系统如何工作，然后再专注于其中的某一部分。例如，一个人先成为医生，然后才成为专科外科医生。

但在安全领域，通常情况正好相反。人们直接进入云安全、检测工程、取证或IAM等专注的角色，而对更广泛的环境如何结合在一起只有有限的接触。随着时间的推移，这创造了在其领域内高度能干但与更大的风险图景脱节的团队。

由此产生的挑战是缺乏端到端可见性。当你只看到环境的一个切片时，推理威胁如何移动、控制如何交互或为什么某些风险比其他风险更重要就变得更加困难。风险不再是你整体理解的东西，而是成为你只能通过角色的狭窄镜头看到的东西。

工具替代理解

另一个反复出现的模式是安全决策如何以产品为中心而不是以流程为中心。当被问及为什么需要某个工具时，答案集中在功能或行业趋势上，而不是它在组织内部解决的特定风险。

当工具无法与组织风险联系起来时，通常意味着潜在问题没有被明确定义。安全变成了被购买的东西，而不是被设计的东西。

一个功能性的安全项目从业务开始。组织为什么存在？它服务于什么使命？哪些系统和数据对该使命至关重要？如果没有这些问题的明确答案，就不可能知道实际上需要保护什么。

检测、响应和预防依赖于了解"正常"

许多安全失败可以追溯到同一个简单的问题：团队不知道他们自己的环境中正常是什么样子。当预期行为 poorly understood 时，检测就变得困难。当关于系统、用户和数据流的基本问题无法快速回答时，响应就会变慢。当过去的事件无法清楚地解释或从中学习时，预防就变成了猜测。

这不是一个工具问题。这是一个熟悉度问题。了解你的系统、你的网络以及你的组织日常如何运作是基础。正是这种了解让异常脱颖而出，让调查能够自信地进行。

基础技能的重要性

现代网络安全依赖于专业化。这不会改变。需要改变的是认为专业化本身就足够的假设。

基础技能使专业团队能够推理风险、与业务清晰沟通，并在压力下做出经得起考验的决策。它们创造共享的上下文，而这通常是项目漂移、工具堆积或事件停滞时所缺失的东西。

随着环境变得更加复杂，这种共享的理解成为必需品，而不是可有可无的东西。

来源：The Hacker News | 作者：Bryan Simon, SANS高级讲师

]]> Tue, 24 Mar 2026 22:15:00 +0800 极客安全 https://www.ihacker.cn/?post=145 FCC下令禁止进口外国制造的消费级路由器： citing 网络安全风险 https://www.ihacker.cn/?post=144 2026年3月24日——美国联邦通信委员会（FCC）下令禁止进口在海外制造的消费级路由器，理由是网络安全风险。

禁令详情

该命令于周一晚间发布，称进口禁令将"包括所有在国外生产的消费级路由器"。FCC表示，该命令不影响现有路由器的进口或使用，但如果国防部或国土安全部批准，新设备可能会获得例外。

FCC声称，外国制造的路由器对美国国家安全构成"不可接受的风险"，并提到了来自中国支持的黑客组织Volt、Salt和Flax Typhoon的威胁。

市场影响

据路透社报道，中国据说占据了消费级路由器市场约60%的份额，这些路由器连接着家庭和企业与互联网。

FCC表示，之所以采取这一行动，是因为恶意黑客利用外国制造路由器中的漏洞攻击美国家庭、破坏网络并实施网络犯罪和监控。

黑客组织威胁

政府和网络犯罪分子长期以来一直以路由器为目标，因为路由器可以访问家庭或企业网络。黑客还可以劫持路由器，用旨在用垃圾网络流量使服务器过载的破坏性事件（即分布式拒绝服务攻击）来攻击其他公司或企业。

Salt Typhoon是一个中国支持的间谍组织，已入侵全球数十家电话和互联网公司，包括美国。该组织被发现利用美国网络巨头思科制造的路由器中的漏洞。

Flax Typhoon是另一个中国支持的黑客组织，美国当局指控其运营一个大规模的被劫持设备僵尸网络。该组织针对美国制造和外国制造的路由器，入侵了美国至少126,000台设备以及全球数千台设备。

FCC主席声明

FCC主席Brendan Carr在准备好的 remarks 中表示，该机构将"继续尽我们的职责，确保美国网络空间、关键基础设施和供应链的安全"。

争议

尽管有大量针对美国企业和政府机构的黑客攻击来自中国，Carr却是去年11月投票废除网络安全规则的两名FCC委员之一，该规则要求电信运营商保护其合法拦截系统免受未经授权的入侵。

值得注意的是，FCC并未提供证据表明美国制造的消费级路由器比海外开发的路由器更安全。

来源：TechCrunch

]]> Tue, 24 Mar 2026 22:00:00 +0800 极客安全 https://www.ihacker.cn/?post=144