Secret Blizzard 利用恶意软件对莫斯科大使馆发动 ISP 级 AitM 攻击（作者：zsc0810）
俄罗斯黑客组织“秘密暴雪”正通过ISP级中间人攻击，针对莫斯科的外国大使馆投放恶意软件ApolloShadow。该软件可安装伪造根证书，获取设备高权限，维持持久控制。攻击链利用强制门户和假冒卡巴斯基软件诱导安装。为防范此类攻击，建议外交机构实施最小权限原则，审查权限设置，并使用VPN等加密通信手段保护网络安全。
俄罗斯黑客组织“秘密暴雪”正通过ISP级中间人攻击，针对莫斯科的外国大使馆投放恶意软件ApolloShadow。该软件可安装伪造根证书，获取设备高权限，维持持久控制。攻击链利用强制门户和假冒卡巴斯基软件诱导安装。为防范此类攻击，建议外交机构实施最小权限原则，审查权限设置，并使用VPN等加密通信手段保护网络安全。
Cursor AI 代码编辑器修复漏洞，允许攻击者通过提示注入运行命令（作者：zsc0810）
Cursor AI 代码编辑器曝出高危漏洞 CVE-2025-54135（CVSS 8.6），允许攻击者通过中毒的 MCP 服务器实现远程代码执行，利用 Slack 消息注入或 GitHub 项目中的隐藏提示操纵代理行为，窃取数据或执行命令。漏洞已在 1.3 版本修复，Cursor 改为使用允许列表机制以增强安全。类似攻击也影响 Gemini CLI，用户应及时更新版本防护。
Cursor AI 代码编辑器曝出高危漏洞 CVE-2025-54135（CVSS 8.6），允许攻击者通过中毒的 MCP 服务器实现远程代码执行，利用 Slack 消息注入或 GitHub 项目中的隐藏提示操纵代理行为，窃取数据或执行命令。漏洞已在 1.3 版本修复，Cursor 改为使用允许列表机制以增强安全。类似攻击也影响 Gemini CLI，用户应及时更新版本防护。
CL-STA-0969 在为期 10 个月的间谍活动中在电信网络中安装隐蔽恶意软件（作者：zsc0810）
CL-STA-0969 是一个与中国有关联的国家级威胁行为者，近年来针对东南亚电信组织进行持续攻击。其使用多种高级恶意工具，如AuthDoor、Cordscan、GTPDOOR、ChronosRAT 等，实现远程控制和数据收集，同时具备极强的隐蔽性。攻击者擅长伪装、权限提升、日志清除、反向 SSH 隧道建立等操作，展现出对电信网络和协议的深刻理解与长期渗透意图，具高度操作安全意识。
CL-STA-0969 是一个与中国有关联的国家级威胁行为者，近年来针对东南亚电信组织进行持续攻击。其使用多种高级恶意工具，如AuthDoor、Cordscan、GTPDOOR、ChronosRAT 等，实现远程控制和数据收集，同时具备极强的隐蔽性。攻击者擅长伪装、权限提升、日志清除、反向 SSH 隧道建立等操作，展现出对电信网络和协议的深刻理解与长期渗透意图，具高度操作安全意识。
❤1
攻击者利用 Tycoon Kit 的虚假 OAuth 应用入侵 Microsoft 365 帐户（作者：Celevice）
网络安全研究人员详细描述了一组新的活动，其中威胁行为者使用伪造的Microsoft OAuth 应用程序冒充企业，以便在帐户接管攻击中获取凭证。
网络安全研究人员详细描述了一组新的活动，其中威胁行为者使用伪造的Microsoft OAuth 应用程序冒充企业，以便在帐户接管攻击中获取凭证。
❤2
越南黑客利用PXA窃取软件攻击全球4000个IP地址，窃取20万个密码（作者：zsc0810）
研究发现，讲越南语的网络犯罪分子正利用基于 Python 的信息窃取程序 PXA Stealer 发起全球攻击，已感染62国超4000个IP。该恶意软件通过Telegram泄露数据，窃取密码、信用卡、加密钱包等敏感信息，并销售至犯罪平台用于后续攻击。攻击采用DLL侧载、反分析技术及诱饵文档等手段，持续进化，具高度隐蔽性。
研究发现，讲越南语的网络犯罪分子正利用基于 Python 的信息窃取程序 PXA Stealer 发起全球攻击，已感染62国超4000个IP。该恶意软件通过Telegram泄露数据，窃取密码、信用卡、加密钱包等敏感信息，并销售至犯罪平台用于后续攻击。攻击采用DLL侧载、反分析技术及诱饵文档等手段，持续进化，具高度隐蔽性。
ClickFix 恶意软件活动利用 CAPTCHA 传播跨平台感染（作者：zsc0810）
Guardio Labs 披露，一种名为 ClickFix 的新型社会工程攻击策略正在迅速取代传统的虚假浏览器更新骗局。该攻击通过虚假 CAPTCHA 骗局诱导用户执行恶意命令，部署窃密木马等恶意软件。ClickFix 利用 Google Scripts、被入侵的 WordPress 网站及伪装文件等手段逃避检测，手法高明，传播广泛，已引发“CAPTCHAgeddon”感染浪潮，凸显网络攻击者技术与心理操控手段的双重进化。
Guardio Labs 披露，一种名为 ClickFix 的新型社会工程攻击策略正在迅速取代传统的虚假浏览器更新骗局。该攻击通过虚假 CAPTCHA 骗局诱导用户执行恶意命令，部署窃密木马等恶意软件。ClickFix 利用 Google Scripts、被入侵的 WordPress 网站及伪装文件等手段逃避检测，手法高明，传播广泛，已引发“CAPTCHAgeddon”感染浪潮，凸显网络攻击者技术与心理操控手段的双重进化。
Cursor AI 代码编辑器漏洞可通过恶意 MCP 文件交换在批准后实现 RCE（作者：Celevice）
网络安全研究人员披露了人工智能 (AI) 代码编辑器 Cursor 中存在一个高严重性安全漏洞，可能导致远程代码执行。
网络安全研究人员披露了人工智能 (AI) 代码编辑器 Cursor 中存在一个高严重性安全漏洞，可能导致远程代码执行。
研究人员发现 Amazon ECS 中的 ECScape 漏洞可导致跨任务凭证盗窃（作者：zsc0810）
研究人员在黑帽大会上披露，Amazon ECS 存在“ECScape”漏洞，攻击者可通过模拟 ECS 代理窃取同一 EC2 实例上其他容器的 IAM 凭证，实现权限提升和横向移动。该漏洞源于 ECS 元数据服务的信任机制缺陷，影响共享主机上的任务隔离性。建议使用 AWS Fargate 实现真正隔离、禁用元数据服务访问并最小化权限，以防止凭证泄露及云环境控制权被窃取。该事件反映出云服务隔离机制的潜在风险。
研究人员在黑帽大会上披露，Amazon ECS 存在“ECScape”漏洞，攻击者可通过模拟 ECS 代理窃取同一 EC2 实例上其他容器的 IAM 凭证，实现权限提升和横向移动。该漏洞源于 ECS 元数据服务的信任机制缺陷，影响共享主机上的任务隔离性。建议使用 AWS Fargate 实现真正隔离、禁用元数据服务访问并最小化权限，以防止凭证泄露及云环境控制权被窃取。该事件反映出云服务隔离机制的潜在风险。
Firefox add-on 商店 发现 150 盗取加密货币的扩展程序（作者：蓬蒿人）
一个名为“GreedyBear”的恶意项目潜入 Mozilla 附加组件商店，利用 150 个恶意扩展程序攻击 Firefox 用户，并从受害者那里窃取了约 1,000,000 美元。
一个名为“GreedyBear”的恶意项目潜入 Mozilla 附加组件商店，利用 150 个恶意扩展程序攻击 Firefox 用户，并从受害者那里窃取了约 1,000,000 美元。
SocGholish 恶意软件通过广告工具传播；提供对 LockBit、Evil Corp 和其他恶意软件的访问权限（作者：zsc0810）
安全公司 Silent Push 披露，TA569（又名 Gold Prelude）利用 SocGholish 恶意 JavaScript 加载器，通过被入侵网站及 Parrot TDS、Keitaro TDS 等流量分配系统精准过滤并重定向用户，作为恶意软件即服务（MaaS）初始入侵点，协助 Evil Corp、LockBit、Dridex、Raspberry Robin 等传播攻击。Keitaro TDS 涉及更广泛威胁活动，并与 TA2726、TA2727 有关联。近期，Raspberry Robin 更新混淆、通信及利用新 LPE 漏洞（CVE-2024-38196），显示规避侦测能力正持续增强。
安全公司 Silent Push 披露，TA569（又名 Gold Prelude）利用 SocGholish 恶意 JavaScript 加载器，通过被入侵网站及 Parrot TDS、Keitaro TDS 等流量分配系统精准过滤并重定向用户，作为恶意软件即服务（MaaS）初始入侵点，协助 Evil Corp、LockBit、Dridex、Raspberry Robin 等传播攻击。Keitaro TDS 涉及更广泛威胁活动，并与 TA2726、TA2727 有关联。近期，Raspberry Robin 更新混淆、通信及利用新 LPE 漏洞（CVE-2024-38196），显示规避侦测能力正持续增强。
人工智能工具助长巴西网络钓鱼诈骗，Efimer 木马窃取 5,000 名受害者的加密货币（作者：zsc0810）
Zscaler 报告称，黑客利用 DeepSite AI、BlackBox AI 等生成式 AI 工具仿冒巴西政府网站，通过 SEO 中毒提升排名，诱导用户提供 CPF 等敏感信息并通过 PIX 支付。钓鱼页面分阶段收集数据，并调用自建 API 验证信息。与此同时，卡巴斯基发现“Efimer”木马通过伪装律师邮件、受感染的 WordPress 网站、恶意种子等传播，窃取加密货币钱包信息并替换剪贴板地址，感染超 5,000 名用户，主要集中在巴西等国。
Zscaler 报告称，黑客利用 DeepSite AI、BlackBox AI 等生成式 AI 工具仿冒巴西政府网站，通过 SEO 中毒提升排名，诱导用户提供 CPF 等敏感信息并通过 PIX 支付。钓鱼页面分阶段收集数据，并调用自建 API 验证信息。与此同时，卡巴斯基发现“Efimer”木马通过伪装律师邮件、受感染的 WordPress 网站、恶意种子等传播，窃取加密货币钱包信息并替换剪贴板地址，感染超 5,000 名用户，主要集中在巴西等国。
基于 Linux 的联想网络摄像头漏洞可被远程利用，引发 BadUSB 攻击（作者：zsc0810）
研究人员在 DEF CON 33 披露“BadCam”漏洞，影响联想部分 Linux 网络摄像头（如 510 FHD、Performance FHD），因固件未验证，攻击者可远程刷新固件，将其变为 BadUSB 设备，模拟键盘注入命令、传递恶意负载并持久感染主机。此类攻击无需物理更换设备，危害包括跨主机传播与绕过传统检测。联想已发布固件 4.8.0 与修复工具，应对风险。
研究人员在 DEF CON 33 披露“BadCam”漏洞，影响联想部分 Linux 网络摄像头（如 510 FHD、Performance FHD），因固件未验证，攻击者可远程刷新固件，将其变为 BadUSB 设备，模拟键盘注入命令、传递恶意负载并持久感染主机。此类攻击无需物理更换设备，危害包括跨主机传播与绕过传统检测。联想已发布固件 4.8.0 与修复工具，应对风险。