安全公司 Check Point Research 报告了一种伪装成 TP-Link 路由器固件的恶意程序，包含了完整的后门功能，允许攻击者和被感染设备建立通信和文件传输，远程发送指令，上传、下载和删除文件。恶意程序的主要目的被认为是充当代理掩盖通信来源。Check Point Research 发现其指令控制基础设施由 APT 组织 Mustang Panda 控制。Check Point 推荐路由器用户检查是否连接域名 m.cremessage[.com]，管理面板中是否有修改过的升级固件，是否存在 /vat/udhcp.cnf、/var/udhcp 和 .remote_shell.log 等文件。如果存在那么路由器很可能被感染了。TP-Link 尚未对此报告发表评论。

Mastodon 用户周一报告，微软云服务会扫描用户密码保护的压缩文件去寻找和标记恶意程序。安全研究员 Andrew Brandt 称，微软标记了一个压缩档文件，称其已被感染。该文件使用了密码保护。他表示需要向同事发送恶意程序样本，微软此举会影响其工作。另一位安全研究员 Kevin Beaumont 解释说，微软有多种方法可以扫描用密码保护的压缩文件内容，一种是从电邮正文或文件名称中提取可能的密码。举例来说，如果你给自己发邮件，称“ZIP 密码是 Soph0s”。微软会提取出密码进行测试。去年他的 OneDrive 云储存账号备份了存储在其 Windows 一文件夹内的恶意文件样本，然后将硬盘中的恶意程序全部删除，在账号里标记其为恶意程序。恶意程序样本因此丢失了。他之后将恶意程序压缩起来存档并用密码加以保护，然而到了上周这些压缩档文件又被标记为恶意程序。Google 表示它的云服务不会扫描用密码保护的压缩文件。微软此举引发了争议。

微软本周释出了补丁修复了一个被 BlackLotus bootkit 利用的 Secure Boot 绕过漏洞。微软在今年 1 月释出补丁修复了编号为 CVE-2022-21894 的漏洞，但该补丁并不完整，攻击者很快找到了绕过方法。本周释出的补丁修复了新漏洞 CVE-2023-24932。微软称能物理访问系统或拥有管理员权限的攻击者可利用该漏洞。但新补丁不会默认启用，因为它涉及到修改 Windows 启动管理器，一旦更改将是无法撤销的，它会导致现有的启动媒介无法启动。为了避免导致客户的系统无法启动，补丁将会分三个阶段应用，直到 2024 年第一季度补丁才会默认启用，届时旧的启动媒介将会无法使用。

上周，欧洲警方逮捕了臭名昭著的黑手党 Ndrangheta 的 132 名成员，他们被控从南美走私可卡因，从巴基斯坦走私武器，在欧洲洗钱等一系列罪行。欧洲刑警组织称，这次行动始于从 Sky 和 Encrochat 等被破解加密消息应用收集的情报。根据法庭披露的文件，黑手党成员在 Sky 的消息交流中讨论使用不同的加密电话，其中之一是 No. 1 Business Communication (缩写No. 1 BC)。黑手党们认为，No. 1 BC 比 Sky 更安全。No. 1 BC 有十多年历史，它是加密手机行业的一个重要玩家。一项联合调查发现，No. 1 BC 与一位知名的美国商人、一位乌克兰技术专家和多名被定罪的罪犯有关联。法庭文件称，No. 1 BC 的加密消息尚未被执法机构破解。

美国司法部宣布联手多国政府切断了俄罗斯情报部门使用的间谍软件网络 Snake。Snake 由俄罗斯政府黑客组织 Turla 开发和运营，已持续运作逾二十年。Turla 被广泛认为是 2008 年五角大楼、近期德国外交部和法国军方遭入侵的幕后黑手。Snake 是 Turla 网络武器库中最强大的工具之一，能在 Windows、MacOS 和 Linux 上运行，用 C 语言编写，具有高度的模块化，能将感染的机器组建成一个庞大的 P2P 网络。它包含了后门，能在被感染的机器上安装或卸载软件，能发送指令，提取出克里姆林宫感兴趣的数据。加密的数据和指令通过被感染机器的 P2P 网络的跳点链进行传输，使其难以被追踪和追溯。Snake 的起源可追溯到至少 2003 年，其前身被称为 Uroburos，这一名字在该恶意程序的早期版本中一直存在，甚至在它改名为 Snake 之后其代码中仍然有字符串如 Ur0bUr()sGoTyOu#。到 2014 年这一字符串被替换为 gLASs D1cK。FBI 称 Snake 是至今发现的最复杂的恶意程序之一，但在数年的持续跟踪中他们发现该恶意程序存在令人感到意外的弱点。其中之一是一个关键加密密钥的素数长度只有 128 位，容易被因式分解攻击破解。另一个失误是在代码中暴露了开发者的注解、函数名和明文字符串。Snake 的名字就多次出现在函数名或注解中。通过这些情报，FBI 特工开发出程序 Perseus 能检测出网络中是否有被植入 Snake 的机器在尝试进行通信。

使用 Advanced Custom Fields 插件的 WordPress 用户需要尽快升级。该插件发现了一个漏洞允许跨站脚本攻击。Advanced Custom Fields 是一款非常受欢迎的插件，活跃安装量逾两百万，被网站运营者用于控制内容和数据。Patchstack 研究员 Rafie Muhammad 在 4 月 2 日发现了漏洞，随后报告给了控制该插件的 Delicious Brains。在补丁释出一个月之后的 5 月 5 日，Patchstack 公布了漏洞细节，它推荐用户将插件更新到 v6.1.6 版本。漏洞编号为 CVE-2023-30777，严重性评分 6.1/10。攻击者可以利用该漏洞诱使具有权限用户访问特制 URL 路径而获得高权限，窃取网站敏感信息。

计划于 8 月 10-13 日在拉斯维加斯举行的安全会议 DEF CON 将举办大语言模型黑客马拉松，邀请黑客在 Anthropic、Google、Hugging Face、Nvidia、OpenAI 和 Stability 等公司开发的大语言模型中挖掘、寻找 bug 和偏见。组织者将这次活动形容为 AI 模型组至今最大规模的红队演习，预计会有数千人参加。参加者除了寻找传统的程序 bug，还有大模型专有问题如偏见、幻觉（hallucination）和越狱（jailbreak）。

俄罗斯互联网巨头 Mail.ru（现名字 VK）的 iOS 邮件应用 myMail 被发现传输用户明文密码。当客户在其论坛上报告 myMail 客户端发送邮件出现传输错误后 mailbox.org 展开了调查，发现 myMail 存在安全漏洞，没有在建立连接后发送 STARTTLS 指令，而是继续在未加密的情况下传输用户密码和邮件。由于 mailbox.org 服务器拒绝未加密连接，因此出现了传输错误。它建议用户在安全问题解决前停止使用 myMail 客户端。

西部数据向客户发去邮件警告，证实黑客在 3 月底的网络攻击中窃取到了客户数据。被窃取的数据包括客户姓名、帐单和交付地址、电邮地址和电话号码。西部数据称，其数据库储存的密码和信用卡账号使用了加盐哈希处理。对西部数据的入侵发生在 3 月 26 日前后，参与攻击的黑客窃取到了大约 10 TB 数据，并正在与西部数据谈判赎金。在攻击之后，西部数据关闭了云服务两周，下线了移动、桌面和 Web 应用。它的商店也在调查期间关闭，计划在 5 月 15 日重新上线。西数还对可能的钓鱼攻击发出了警告。

比利时的新吹哨人法于年初生效，该法律合法化了道德黑客行为。只要道德黑客（或俗称白帽子黑客）满足一定条件，他们未经同意入侵的行为可以免于刑罚。在这之前，除非被攻击的对象同意，任何形式的黑客行为都将在刑法下面临惩罚。新的法律改变了这一状况。从现在开始，一个自然人或法人可以调查位于比利时的组织的安全漏洞，不管被调查者是否同意。但这不是随心所欲的空头支票，白帽子黑客需要遵守一定的条件：不能造成伤害或有获利企图，黑客不能在发现漏洞之后敲诈对方，除非是某些形式的漏洞悬赏计划；必须尽快向比利时网络安全中心（CCB）以及被调查的对象报告漏洞；黑客行动不能超出必要的范围；除非获得 CCB 同意黑客不能过早披露发现的漏洞。

攻击者泄露了微星固件签名密钥，逾 200 款微星产品受到影响。勒索软件组织 Money Message 上个月声称从微星窃取到了源代码，总容量约 528 GB，它要求微星支付 400 万美元赎金，否则将泄露窃取的数据。目前泄露的数据包括了微星固件镜像签名密钥和英特尔 BootGuard 密钥，前者影响 57 款产品，后者影响 166 款产品。英特尔 BootGuard 是一种处理器安全保障机制，防止运行非系统制造商发布的固件镜像。这些密钥的泄露将允许攻击者将恶意固件伪装成合法固件。

美国得州达拉斯市政官员周三证实遭到了勒索软件攻击，攻击导致了大量服务中断，其中包括 911 的调度系统。居民仍然能拨打 911 报警电话，但由于调度系统下线接线员只能给响应的警官用手写下指令。警察局的网站也下线中。勒索软件黑帮 Royal 宣布对此负责，它威胁称如果达拉斯市不满足赎金要求，将公开窃取的数据。暂时不清楚 Royal 窃取了哪些数据。Royal 黑帮最早是于 2022 年初首次现身。

每一种流行物都可能会被网络罪犯利用去引诱人们去下载恶意程序。过去几个月最火爆的莫过于 AI 聊天机器人 ChatGPT。社交巨人 Meta 发表研究报告称，自 3 月以来它发现约 10 个恶意程序家族和逾千个恶意程序链接利用了 ChatGPT 的名气。网络罪犯以提供 ChatGPT 的名义传播恶意程序，部分情况下恶意程序还真的包含了 ChatGPT。安全专家称，ChatGPT 是新的加密货币。

乌克兰网络警察逮捕了一名 36 岁的 Netishyn 市居民，这名男子以 500-2000 美元不等的价格出售来自不同国家的逾三亿人的个人数据和敏感信息。这些信息包括护照、纳税人号码、出生证明、驾照和银行账户等。他是 Telegram 上私密群组和频道的管理员，在里面出售乌克兰和欧盟公民的数据。有俄罗斯公民从其手中购买了被盗的数据。执法人员扣押了他的手机、几十个硬盘、SIM卡、电脑设备和服务器设备。

微软介绍了它对不同形式黑客组织的新命名学，来自同一个国家的政府黑客组织都被冠相同的姓，不同的组织给予不同的名字。举例来说，微软给来自中国的黑客组织起了一个“台风（Typhoon）”的姓，伊朗姓沙尘暴，俄罗斯姓暴风雪（Blizzard），朝鲜姓雨夹雪（Sleet）...中国黑客组织 APT41 以前被称为 BARIUM，现在叫 Brass Typhoon；俄罗斯黑客组织 UNC530 以前叫 ACTINIUM，现在叫 Aqua Blizzard，等等。微软的新命名学没有涉及到美国或以色列的政府支持黑客组织。

curl 作者 Daniel Stenberg 说，Windows 10 和 11 自带的 curl 工具包含了一个低危漏洞，该漏洞已经修复了，微软也释出了补丁，但补丁释出前部分用户自行删除了存在漏洞的版本，导致无法更新，他表示 curl 项目对此不负任何责任，有问题找微软。 Windows 10 和 11 操作系统包含的 curl 工具位于 System32 系统文件夹下，这里面的程序是不能随便删除或替换的。2022 年 12 月 curl 项目报告了一个释放后使用（Use-After-Free）的低危漏洞 CVE-2022-43552，但美国国家漏洞数据库可能是为了督促用户尽快更新而提高了该漏洞的危险等级，将其列为中危漏洞。导致的结果是 2022 年 12 月 21 日之后的某个时间安全扫描工具开始就系统中包含存在漏洞的工具对用户发出警告。这让部分用户恐慌了。他们删除或替换了 C:\Windows\System32\curl.exe。微软在 4 月 11 日的例行安全更新中修复了该漏洞释出了补丁 KB5025221，但那些自行删除系统文件的用户发现 Windows 更新程序拒绝更新。Stenberg 表示 curl 项目对此无能为力。

瑞典 VPN 服务商 Mullvad 称警方带着搜查令搜查了其办公室，但在被告知它不储存客户数据后就离开了。这是该公司成立 14 年以来首次收到搜查令。公司 CEO 表示不知道警方在搜寻什么。Mullvad VPN 执行了最小化用户信息储存的政策，只记录了支付信息和对应的用户 ID，在确认客户付款之后它不保存任何付款者的信息，它也不记录用户登陆 VPN 的原始 IP 地址。

加拿大魁北克大学的研究人员在预印本网站 arXiv 上发表论文，分析了 ChatGPT 所生成代码的安全性。研究人员表示结果令他们倍感担忧。ChatGPT 生成的部分代码甚至达不到最低安全标志，而当你问它时它还知道代码是不安全的。研究人员让 ChatGPT 使用 C、C++、Python 和 Java 四种语言生成了 21 个程序和脚本。研究人员称，ChatGPT 似乎知道它生成的代码是不安全的，但就是不说，除非你问它。ChatGPT 拒绝生成攻击性代码，但却会生成有漏洞的代码，这在道德上是不一致的。

VoiP 软件提供商 3CX 上月底遭遇了一次供应链攻击，攻击者篡改了 3CX 的桌面应用，植入了恶意代码，对 3CX 客户发动了供应链攻击。据安全公司 Mandiant 的分析，3CX 自己也是一次供应链攻击的受害者。这起事件是一次双重供应链攻击。Mandiant 将两起事件都归于朝鲜黑客组织 UNC4736。黑客大约在 2021 年入侵了提供交易软件的 Trading Technologies 公司，篡改了 X_Trader 软件的安装程序，植入了 VEILEDSIGNAL 后门。2023 年一名 3CX 员工下载了被植入后门的 X_Trader 软件，攻击者在感染了员工电脑之后渗透进入企业网络，最终篡改了 3CX 的桌面应用。

利用一部诺基亚 3310 手机，没有多少技术经验的小偷可以在 15 秒内盗走一辆丰田陆地巡洋舰。这种新型的汽车盗窃案正在美国各地扩散，导致的一个结果是诺基亚 3310 手机的价格飙升到了 3000-4000 美元。这种攻击技术可用于盗窃豪车如玛莎拉蒂和雷克萨斯。研究人员将其称为 CAN (controller area network 或控制器区域网络)注入攻击，其工作原理是发送伪造的汽车智能钥匙接收器信息，核心原因是汽车没有对信息进行验证。丰田发言人在一份声明中表示正与执法部门和专家合作解决该问题。