博通敦促 VMware 客户修补“紧急”零日漏洞
美国科技巨头博通警告称，恶意黑客正在积极利用三个 VMware 漏洞来入侵其企业客户的网络。这三个漏洞影响旗下 VMware ESXi 和 Workstation 以及 Fusion 产品。博通公司表示，这些漏洞可能允许具有虚拟机管理员或Root权限的攻击者逃离受保护的沙盒，并获得对底层虚拟机管理程序产品的更广泛的未经授权的访问。博通公司表示，有“信息表明”这些漏洞已在野外被利用。博通公司已针对这三个漏洞发布了补丁，由于这些漏洞在修复程序发布之前就已被利用，因此被归类为零日漏洞。博通公司将其安全公告描述为“紧急”变更，并敦促客户尽快应用补丁。
—— Techcrunch
波兰航天局称正在调查一起网络攻击事件
波兰航天局 (POLSA) 表示，正在努力在网络安全事件后恢复服务。波兰负责太空活动的政府机构 POLSA 在X上发帖表示，在周日检测到网络攻击后，该机构已 “立即断开” 其网络与互联网的连接。POLSA 的网站截至目前仍处于离线状态。波兰数字部长克日什托夫·加夫科夫斯基在另一篇帖子中证实，国家网络安全部门已检测到“未经授权访问波兰航天局的 IT 基础设施”，并正在努力查明网络攻击的幕后黑手。事件的性质目前尚不清楚，波兰航天局也没有立即回应媒体的问题。
—— Techcrunch
Chrome 逐步淘汰 Ublock Origin 等旧扩展
谷歌正在为更多 Chrome 浏览器用户禁用原始的 uBlock Origin 广告拦截器，以及其他不再受支持的扩展程序，因为该浏览器正在迁移到其新的扩展规范Manifest V3。根据谷歌的说法，新标准旨在提高隐私和安全性，但也删除了一些广告拦截扩展程序赖以运行的功能。在线用户在 Reddit 论坛和X平台上报告称 Chrome 正在删除过时的扩展程序。谷歌浏览器任务栏上的扩展程序选项卡下方会出现一个通知窗口，其中显示一条消息，提示用户删除受影响的附加组件，并指出该附加组件已被关闭且 “不再受支持”。有两个按钮可供用户快速删除或管理其扩展程序。
—— TheVerge
俄罗斯利用简单黑客技巧攻击乌克兰 Signal 用户
谷歌威胁情报小组称，俄罗斯政府黑客利用该应用的设备链接功能入侵了 Signal 消息服务上的账户。几个归属于俄罗斯政府的组织，包括一个积极攻击乌克兰军事人员的组织，正在使用一种简单的网络钓鱼技术，将恶意二维码伪装成合法的 Signal 资源。该二维码利用 Signal 功能，允许该程序同时在多台设备上使用，诱使受害者无意中将他们的设备与攻击者拥有的设备连接起来，这样黑客就可以实时阅读消息。
二维码被伪装成安全警报、群组邀请，在某些情况下，还伪装成军事应用。这种诡计不需要复杂的技术，因此部署起来相对容易。其他流行的即时通讯应用，包括 WhatsApp 和 Telegram，也遭到了俄罗斯盟友团体的类似攻击。疑似受害者可以通过一种简单的方法查看自己是否遭到攻击。在 Signal 应用的设置中，有一个与帐户关联的所有设备的列表。
—— 彭博社，谷歌博客
物联网设备公司 Mars Hydro 重大数据泄露涉及 27 亿条记录
由于数据库不受密码保护，专门从事室内种植和水培设备的中国深圳 Mars Hydro 公司发生了大规模数据泄露，涉及 27 亿条记录，包括 Wi-FI SSID 网络名称和密码、IP 地址、电子邮件地址以及所用智能手机的详细信息（以及它们是否支持 iOS 或 Android）。这不仅导致未经授权访问设备和网络的潜在威胁，而且还可能让网络攻击者有机会通过泄露的联系信息来监视通信和锁定用户。数据主要来自于用来控制部分产品的 Mars Pro 应用，虽然该应用程序的隐私政策表示它不会收集用户数据，但物联网设备在连接到用户网络时仍会传输信息。虽然关于泄露数据被恶意使用的证据很少，但风险始终存在。
—— wccftech
加密货币诈骗可能在2024年创下新纪录
区块链研究公司 Chainalysis 警告说，随着网络犯罪分子利用人工智能并变得更加有组织，所谓的浪漫骗局激增，去年加密货币欺诈收入估计创下了历史新高。该公司在周四发布的报告中表示，根据其初步估计，与诈骗有关的加密货币钱包在2024年收到了99亿美元的加密货币。该公司预测，随着发现更多诈骗钱包，2024年的数字将增长至创纪录的124亿美元。补充说，自2020年以来，其对诈骗活动的年度估计在年度报告期间平均增长了24%。根据其2024年的报告，诈骗收入上升的主要原因是浪漫骗局的盛行。
—— CNBC
网易云音乐称不要买卖昵称非常容易被骗
网易云音乐今日发布公告称，近期有用户反馈在买卖昵称的过程中被骗，在此，网易云音乐郑重提醒：千万不要买卖你的网易云昵称，否则非常容易上当受骗！相关黑产也是网易云音乐一直以来严厉打击的对象。与此同时，买卖昵称也没有必要。后续网易云音乐产品将支持一般用户使用相同的昵称，即账号名，给您带来更好的使用体验。网易云音乐表示，会继续全力为用户账号安全保驾护航，也欢迎多反馈宝贵的建议和意见。
—— 网易云音乐
DeepSeek 的 iOS 应用程序被发现多个安全漏洞
移动安全公司 NowSecure 分析发现 DeepSeek 的 iOS 应用程序中存在多个安全漏洞。DeepSeek 全局禁用了 iOS 平台级保护“应用程序传输安全” (ATS)，并通过互联网发送未加密的数据。而在数据加密时，该应用选择了已知被破解的加密算法 (3DES)，这使数据机密性受到严重损害。应用还将用户名、密码和加密密钥以不安全的方式存储。
此外，DeepSeek 还进行广泛的数据收集和用户追踪，收集了可用于跟踪和去匿名化的用户和设备数据，大大超出正常应用提供服务所需信息的范围。收集的用户数据还被分享给其他第三方公司，例如被传输到字节跳动的火山引擎。
—— 9to5mac
美国新法案希望禁止儿童使用社交媒体
美国议员们限制儿童使用社交媒体的努力将持续到2025年，推出了《儿童远离社交媒体法案》(KOSMA)。该法案将禁止13岁以下儿童创建社交媒体账户，于周三在参议院商务委员会获得通过。参议员布莱恩·夏茨和特德·克鲁兹提出了该法案，旨在遏制影响年轻人的“前所未有的心理健康危机”。除限制儿童访问社交媒体外，法案还要求平台停止向17岁以下用户推送推荐算法，并要求学校在其网络环境中限制社交媒体使用。该法案将赋予联邦贸易委员会和州检察长执行这些规则的能力。KOSMA 不会强迫用户出示身份证件来验证年龄或要求父母同意，而是要求社交平台使用现有用户数据来估计他们的年龄。
—— TheVerge
由于拒绝支付赎金 去年勒索软件支付额下降
由于越来越多的受害者拒绝与黑客谈判，去年勒索软件支付额下降了1/3以上。加密货币取证公司 Chainalysis 在周三发布的一份报告中表示，虽然勒索软件团伙泄密网站在2024年公布的受害者数量比往年多，但屈服于黑客要求的受害者数量却减少了。报告称赎金支付额下降了 35%，勒索软件黑客总共收到了 8.14 亿美元，而2023年创下了 12.5 亿美元的纪录。2024年下半年，尽管勒索软件攻击数量有所增加，但网络犯罪团伙索要的金额比实际支付的金额高出53%，进一步证明受害者拒绝满足攻击者的要求。下降的原因还在于执法行动的加强，包括打击勒索软件团伙 LockBit，以及国际合作的加强。
—— Techcrunch