各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！
🪙新币担保：涉84亿美元加密犯罪、杀猪盘及洗钱的Telegram黑市曝光
💻揭秘朝鲜网络黑帮：潜伏IT人员如何助长全球间谍活动与加密货币盗窃
🛡️iOS内核漏洞公开PoC曝光：越狱与权限提升风险浮现
🛜利用Bitpixie漏洞可在数分钟内绕过BitLocker加密
🛩️地球阿米特黑客组织使用新型工具攻击军用无人机供应链
🔢欧盟新漏洞数据库将作为CVE计划的补充而非竞争者
🔓FortiVoice 零日漏洞遭野外利用执行任意代码
🤖AI工具沦为木马载体：虚假视频平台传播Noodlophile窃密程序与XWorm远控木马
🛜Tor推出Oniux新工具：为Linux应用提供网络流量匿名化
👶Roblox 遭集体诉讼：被指控通过隐蔽追踪手段牟取儿童数据利益
新币担保：涉84亿美元加密犯罪、杀猪盘及洗钱的Telegram黑市曝光
Telegram平台“新币担保”黑市交易额超84亿美元，涉及诈骗、洗钱及朝鲜黑客赃款，商户提供全流程犯罪服务。平台用户达23.3万，交易规模远超传统暗网。监管已关闭相关频道，打击黑市运作。
揭秘朝鲜网络黑帮：潜伏IT人员如何助长全球间谍活动与加密货币盗窃
朝鲜网络运作颠覆传统认知，采用犯罪集团模式，潜伏全球IT特工窃取数据，AI技术升级攻击能力，资金用于核计划。威胁实时演进，需加强防范。
iOS内核漏洞公开PoC曝光：越狱与权限提升风险浮现
研究人员公开iOS高危漏洞CVE-2023-41992的PoC，该漏洞可绕过签名验证并提权，影响iOS 16.7/17.0.1等系统，已被苹果修复但旧设备仍面临风险，可能被用于越狱工具开发。
利用Bitpixie漏洞可在数分钟内绕过BitLocker加密
研究人员发现Bitpixie漏洞可绕过BitLocker加密，通过Linux或WinPE环境5分钟内提取密钥，建议启用预启动认证（PIN/USB密钥）防范攻击。
地球阿米特黑客组织使用新型工具攻击军用无人机供应链
欧盟新漏洞数据库将作为CVE计划的补充而非竞争者
FortiVoice 零日漏洞遭野外利用执行任意代码
AI工具沦为木马载体：虚假视频平台传播Noodlophile窃密程序与XWorm远控木马
网络犯罪分子利用AI热潮，通过虚假AI视频平台传播Noodlophile窃密程序和XWorm木马，结合社会工程学和多层技术混淆手段，窃取敏感数据并通过Telegram外传。攻击者构建逼真平台，伪装成无害文件，规避检测。
Tor推出Oniux新工具：为Linux应用提供网络流量匿名化
Tor发布实验性工具Oniux，利用Linux命名空间技术为应用程序创建隔离网络环境，强制所有流量通过Tor网络传输，有效防止数据泄露。相比传统torsocks，Oniux提供内核级隔离，支持所有Linux应用，但尚处测试阶段。
Roblox 遭集体诉讼：被指控通过隐蔽追踪手段牟取儿童数据利益
Roblox被控秘密采集未成年用户数据，涉嫌违反儿童隐私保护法，通过隐蔽追踪工具记录键盘输入等敏感信息并分享给第三方。案件若成立将面临重罚，凸显青少年平台数据安全风险。
本周好文推荐指数
Java代码审计深度解析：XXE漏洞全维度攻防
XML外部实体注入（XXE, XML External Entity）漏洞的本质是XML解析器未正确配置外部实体处理策略 。
记一次GPU服务器挖矿事件应急响应
服务器遭挖矿入侵，10台GPU服务器被植入恶意程序，系统命令被篡改。通过busybox排查隐藏进程，清除后门并恢复系统文件。入侵路径推测为内网横向移动或OSS恶意文件触发。建议优先投入基础设施安全建设，加强AI训练数据安全检测。
WebSocket 安全测试入门实践
WebSocket协议实现高效实时通信，但存在XSS、未授权访问、信息泄露等安全隐患。测试需关注消息注入、握手伪造、跨站劫持等漏洞，利用工具如Burp Suite检测。安全风险可沿用常规渗透思路，但需熟悉协议特点。
推荐阅读
电台讨论
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...