快讯 -凯发娱乐登录

近日，据外媒报道，荷兰eurofins实验室子公司nmdl于7月3日至6日遭黑客攻击，导致国家宫颈癌筛查计划中逾48.5万名女性的敏感信息外泄。被窃数据包含姓名、住址、出生日期、公民服务号、潜在检测结果及医疗提供者姓名。负责筛查项目的荷兰人口研究局表示其自身系统未受入侵，但已暂停与涉事实验室合作，并委托独立调查事件原因及防范措施。

近期出现的网络钓鱼工具包“poisonseed”采用中间对手（aitm）技术，可拦截多因素认证令牌及会话cookie，攻击复杂度远超传统钓鱼手段。该工具主要通过仿冒sendgrid、mailchimp等合法邮件服务商的通知实施精准钓鱼。攻击者利用被攻破的营销域名发送含加密邮箱参数的钓鱼链接，收件人点击后将进入验证码质询界面。后台通过 api check-email接口验证目标账户有效性，仅对验证通过的受害者启动凭证窃取流程。

网络设备商思科近日披露，其第三方crm平台遭语音钓鱼攻击导致数据泄露。7月24日发现异常后，公司立即切断受影响系统访问并启动调查。攻击者通过社会工程手段欺骗员工，获取了cisco.com注册客户的基本资料，包括姓名、机构名称、地址、邮箱及电话等元数据。思科强调，未泄露密码、财务信息等敏感内容。此次事件与黑客组织shinyhunters近期针对salesforce crm系统的语音钓鱼活动模式相似，该组织此前已入侵谷歌、lv等十余家企业。

趋势科技与中华电信安全研究人员近日披露，台湾智能公交系统存在严重安全漏洞。黑客可利用乘客免费wi-fi与车载系统共用同一m2m路由器的设计缺陷，绕过认证访问高级公共交通服务和高级驾驶辅助系统关键组件。攻击者可远程定位车辆、篡改电子显示屏、窃取gps rpm 速度数据，并触发错误警报。漏洞还包含未修复的mqtt后门，允许黑客访问摄像头进行监视，甚至渗透公交公司服务器。

safebreach研究人员近日披露windows active directory域控制器存在多个高危漏洞。其中，cve-2025-32724可被用于 "win-ddos "攻击。攻击者通过搭建恶意ldap服务器，诱骗公共域控制器连接，并利用ldap引荐强制其向特定目标发起ddos攻击。该漏洞导致lsass服务资源耗尽，影响暴露于互联网的服务器。

安全研究人员近日发现名为 "silent watcher " 的 vbs 恶意软件正通过 discord webhook 窃取 windows 系统数据。该恶意软件首先建立持久性，随后利用 wmi 查询收集详细的系统、用户和硬件信息。其通过动态生成多个 powershell 脚本，如 vbs_ps_browser.ps1 和 vbs_ps_diag.ps1）规避安全策略，执行浏览器数据提取和屏幕截图捕获。数据在传输前被格式化为 json，伪装成合法通信，并利用 winhttp 或 serverxmlhttp 对象确保传输。

eclypsium研究人员近日在def con 33会议上披露联想510 fhd performance fhd网络摄像头存在 "badcam "漏洞。该漏洞源于设备未验证固件签名，攻击者可远程重刷固件将其武器化为badusb设备。被劫持的摄像头可在主机操作系统不知情时模拟键盘输入恶意指令、安装后门或窃取数据。攻击路径分两种：预装后门的硬件供应链攻击，或物理接触设备后远程控制。更严重的是，固件级感染可在系统重装后再次激活。联想已联合sigmastar发布4.8.0版固件修复漏洞，需专用工具更新。

哥伦比亚大学于2025年8月5日确认遭遇网络攻击，此次攻击导致868,969名学生、申请者及员工的个人信息泄露。事件始于6月24日的系统异常，调查证实攻击者侵入有限网络区域，窃取招生文件、财务援助数据及员工信息。暴露内容包括社会安全号码、凯发娱乐登录的联系方式、学历记录、保险及健康信息，但未涉及医学院患者档案。8月7日起校方向受影响个体发送通知，并提供两年免费信用监控服务。

安全公司vulncheck近期报告揭露jenkins git参数插件存在高危命令注入漏洞（cve-2025-53652）。该漏洞被证实可导致未授权远程代码执行（rce），允许攻击者完全控制服务器。漏洞源于插件未对用户输入值进行安全校验，直接将其用于系统命令执行。目前全球约15,000台未启用身份验证的jenkins服务器暴露于风险中。攻击者可利用此漏洞窃取主密钥等敏感数据。

近日，网络安全公司gen digital揭露代号 "mediphantom "的犯罪组织运营全球5,000余个欺诈性在线药房网站，构成史上最大药品诈骗网络之一。该网络针对处方药需求者，通过仿冒合法药店、投放虚假广告及ai生成的多语言健康博客引流。该网络还涉及劫持医疗网站域名、操纵搜索引擎排名等手法营造虚假合法性。

据外媒近日报道, openai的chatgpt连接器功能曝出 "agentflayer "零点击漏洞，允许攻击者通过恶意文档窃取用户连接的google drive等云存储数据。攻击者可在文档中嵌入隐藏指令，用户仅需上传文档至chatgpt或共享至google drive，系统处理时即触发自动化数据窃取。chatgpt被诱导将敏感数据，如api密钥、凭证嵌入图像url参数，通过azure blob存储url外泄至攻击者服务器。该漏洞影响所有第三方连接器（github sharepoint等），传统安全意识培训难以防范。

naor haziz近日披露了amazon ecs的ecscape权限提升漏洞。该漏洞允许ec2支持的ecs集群中低权限容器通过实例元数据服务获取实例角色凭证，进而伪造代理通信服务（acs）的websocket协议。攻击者无需主机根权限即可拦截同一ec2实例上其他高权限任务的iam凭证，包括任务执行角色。漏洞源于ecs默认设计将ec2主机作为安全边界。

modat近日研究显示，全球逾120万台联网医疗设备存在配置缺陷，导致患者姓名、诊断影像、血液检测结果等敏感数据遭公开暴露。暴露设备分布于100余国，其中美国、南非、澳大利亚最为严重。主要漏洞包括：未修复系统漏洞、默认弱密码、甚至无身份验证机制。这些设备可能成为勒索软件入侵医院网络的跳板。

谷歌威胁情报小组近日证实，网络犯罪组织shinyhunters（unc6040）通过语音钓鱼（vishing）手段入侵其salesforce数据库。攻击者冒充it支持人员诱骗员工批准伪装成salesforce data loader的恶意应用，获取了谷歌中小企业客户的企业名称、联系人等基础信息。泄露规模未公开，谷歌称漏洞已快速控制。

据外媒报道，网络安全研究人员近日发现新型钓鱼攻击，滥用microsoft 365的 "直接发送 "功能绕过spf、dkim和dmarc等传统邮件安全协议。攻击者通过受害者自身邮件基础设施路由恶意邮件，伪装成可信内部通信。该攻击采用双向量载荷：1)html诱饵：伪装为音频播放器，通过无效图像标签触发base64解码的恶意javascript。2)svg文件：利用安全系统对图像文件的信任，嵌入多层混淆的javascript。

2025年8月，ctm360披露针对tiktok shop用户的全球性复合诈骗活动。犯罪组织建立超15,000个仿冒域名（使用.top .shop等后缀）及5,000个恶意应用站点，通过ai生成视频、虚假社交广告诱导用户访问。诈骗分三阶段实施：攻击者先仿冒凯发娱乐登录官网窃取账户凭据诱骗下载含sparkkitty间谍软件的木马应用，然后窃取设备截图 指纹 持续传输数据强，最后制向不可逆的usdt加密钱包支付虚假 "折扣 "或 "佣金 "款项。该活动利用tiktok仅限17国运营的监管差异实施全球攻击，已关联超10,000个钓鱼链接。

2025年8月6日，微软正式确认exchange server混合部署中存在高危权限提升漏洞（cve-2025-53786）。该漏洞允许拥有本地管理权限的攻击者通过篡改共享服务主体，非法获取云环境访问令牌，有效期24小时且不可撤销，进而修改用户密码、转换混合用户身份或实施冒充。网络安全和基础设施安全局（cisa）评估其对企业安全构成重大威胁，攻击可在互联云环境中******且无易检测痕迹。

check point近日研究显示，自2024年3月活跃的jsceal犯罪活动通过伪造近50款主流加密货币交易应用广告，2025年已投放超3.5万条，诱骗用户下载带有效数字签名的恶意安装包。攻击分三阶段：先收集受害者设备信息，经攻击者筛选后部署jsceal恶意软件。 该软件利用编译javascript（jsc）技术，依托node.js环境规避传统安全检测，可窃取数字钱包凭证、键盘记录、屏幕截图及实时网络流量。活动全球影响或超千万用户。

cisa近日将d-link设备中三个正被主动利用的漏洞列入已知被利用漏洞（kev）目录，要求联邦机构立即修复： cve-2020-25078：影响dcs-2530l dcs-2670l摄像头，漏洞细节未公开。 cve-2020-25079：同型号摄像头存在命令注入漏洞，可导致设备完全被控。 cve-2022-40799：dnr-322l网络录像机允许无完整性校验下载代码，易被植入恶意软件。 这些漏洞可能使设备沦为僵尸网络节点或内网渗透跳板。cisa强调需优先修补，以阻断现实攻击链。

近日，思科talos披露戴尔latitude precision系列笔记本的controlvault3安全芯片存在5个高危漏洞（cve-2025-24311 25050 25215 24922 24919），cvss评分均超8.0。攻击者可通过物理接触（usb直连ush子板）或非管理员权限触发漏洞，窃取密码 生物特征数据、植入持久性固件后门，甚至篡改指纹验证逻辑。漏洞影响超100款机型，波及政府、网安企业等敏感环境。戴尔已联合博通发布固件补丁（controlvault3需升级至5.15.10.14 ，controlvault3 需6.2.26.36 ），建议企业立即通过windows更新或戴尔支持网站手动修复。