热榜

处心积虑的投毒者蛰伏三年多，精心选择对象，通过复杂的攻击手法、专业的技战术，一步步支起一张大网，企图掌控全球主流linux发行版，一旦成功他将可以随意侵入全球绝大多数的服务器，这将是足以引爆全球的核弹危机。所幸由于复杂度过高以及投毒者的疏忽，事件被及早发现，没有造成过大的现实危害。但此次事件再次凸显出开源软件生态的脆弱性，本次事件仍可能只是冰山下的一角。墨菲…

背景 Curl是从1998年开始开发的开源网络请求命令行工具，其中包含的libcurl也被作为组件广泛用于应用的HTTP请求。 10月4日，curl项目的作者bagder(Daniel Stenberg)在GitHub中预告将于10月11日发布 8.4.0 版本，并公开两个漏洞：CVE-2023-38545和CVE-2023-38546。其中 CVE-202…

据报道，免费下载管理器供应链攻击将 Linux 用户重定向到安装了窃取信息的恶意软件的恶意 Debian 软件包存储库。 此活动中使用的恶意软件会建立一个反向外壳到C2服务器，并安装一个收集用户数据和帐户凭据的Bash窃取程序。 卡巴斯基在调查可疑域名时发现了潜在的供应链妥协案件，发现该活动已经进行了三年多。 尽管网络安全公司已通知软件供应商，但尚未收到回复…

作者：TOMISLAV PERICIN 对于组织来说，更多地了解他们所依赖的软件供应链以及保护它们所需的步骤至关重要。在过去几年中，我们看到恶意行为者利用软件供应链中的漏洞来促进对组织的攻击。但是，重要的是要记住，这些攻击并不是一个新现象。事实上，它们已经存在了几十年。因此，保护我们所依赖的软件的需求并不新鲜，尽管业界将注意力转向这个问题。 软件供应链攻击也…

作者：Vishal Garg 软件供应链攻击在过去几年中迅速增加，包括SolarWinds和Log4Shell在内的一些备受瞩目的事件提高了人们对它们对网络安全构成的潜在风险的认识。 这些攻击引起了公共和私营部门的广泛关注，因此，美国总统于 2021 年 5 月 12 日发布了一项关于改善国家网络安全的行政命令，其中有一个部分专门致力于改善软件供应链安全。 …

Thehackernews 发文称一名涉嫌与中国有关的黑客组织利用最近披露的巴拉克达网络电子邮件安全网关（ESG）设备的零日漏洞，作为一项全球间谍活动的一部分，入侵了政府、军事、国防和航空航天、高科技行业以及电信领域。 追踪该活动的Mandiant公司将威胁行为称为“UNC4841”，并描述该威胁行为者“对防御措施高度敏感”，并能够主动调整其作案方式以保持对…

先说结论 今年大型攻防演练的观感： 1. 大量的国产商业软件供应链厂商的大量商业软件0day被用来攻击（以安全产品、OA、cms、办公软件为主） 2. 社工+钓鱼又玩出了新花样（红队这帮人估计去电诈团队培训回来的？） 3. 开源软件的Nday/0day漏洞及投毒仍然很实用（更多是Nday漏洞有更成熟的利用工具用来打点和内网渗透）未来攻防趋势判断： 1. 未来…

简述 2023年8月9日，墨菲监控到用户名为 snugglejack_org (邮件地址：SnuggleBearrxx@hotmail.com）的用户发布到 NPM 仓库中的 ws-paso-jssdk 组件包具有发向 https://ql.rustdesk[.]net 的可疑流量，经过确认该组件包携带远控脚本，从攻击者可控的 C2 服务器接收并执行系统命令…

背景 2023年8月14日晚，墨菲安全实验室发布《首起针对国内金融企业的开源组件投毒攻击事件》NPM投毒事件分析文章，紧接着我们在8月17日监控到一个新的npm投毒组件包 hreport-preview，该投毒组件用来下载木马文件的域名地址竟然是 img.murphysec-nb.love(如下图1)，且该域名注册时间就是8月14号，投毒者使用的注册邮箱同样…

乌克兰警告称，许多针对国家机构的攻击正利用名为“Merlin”的开源后期渗透及命令控制框架发动。 Merlin是一个基于Go的跨平台渗透工具，可以在GitHub上免费下载。它为安全行业专家提供了详尽的操作文档，帮助他们进行红队模拟攻击测试。 这个工具包含了诸多功能，不仅帮助红队专家在网络中找到漏洞，还可能被网络攻击者利用来入侵和控制网络。 然而，正如我们在S…