热点事件，政策法规，产业要闻，资讯报告，尽在「网安周报」。与网安发展同步，采业界资讯共赏，天天见闻，周周必报。
岚皋县法院审理的侵犯公民个人信息案生效。被告人小山2021-2025年间，利用曾任职展会公司的便利，大量购买参展商名片信息并转售牟利，被判有期徒刑3年6个月，罚金2万元，需赔偿4万元并公开道歉。法院提醒，个人信息受法律保护，个人需守隐私底线，企业应做好源头防控。
王某某2020-2024年间非法获取公民个人信息15亿余条，通过境外“社工库”提供查询、售卖服务，虚拟币结算变现135万元。临平法院判决其犯侵犯公民个人信息罪，获刑5年、罚金940万，另需赔偿100万并公开道歉，该案系新型跨境网络犯罪刑民协同治理典型。
王某编写针对票务平台的抢票脚本，可定制医院挂号、场馆预约等特殊脚本，能自动完成抢票及部分安全认证操作，通过二手平台店铺售卖，王辰某负责运营售后。二人非法获利10余万元，江西吉安网警将其抓获并依法刑拘。
河南三门峡某公司网站因存在 SQL 注入漏洞遭黑客篡改首页为博彩页面，公安通报后该公司仅清除篡改内容未修复漏洞，导致再次被攻击。公安机关依据《网络安全法》，依法追究公司及直接负责主管人员法律责任。
近期，抚顺某单位管理平台遭非法侵入，网安部门 “一案双查” 发现，该单位未建立数据安全管理制度、未开展安全培训、未部署防护设施。依据《数据安全法》，公安机关依法对其处罚并下达限期整改通知书。
8、黑客利用Gladinet CentreStack加密漏洞发起远程代码执行攻击
https://www.bleepingcomputer.com/news/security/hackers-exploit-gladinet-centrestack-cryptographic-flaw-in-rce-attacks/
2025年12月11日报道，Gladinet旗下CentreStack和Triofox产品由于在AES加密算法的自定义实现中存在未公开漏洞，且硬编码密钥易于被获取，攻击者可借此伪造访问票据并远程执行代码。截至目前，该漏洞已波及医疗、科技等行业的9家组织。为此，厂商已于12月8日发布新版本，建议用户尽快升级系统、更换机器密钥，同时扫描特定关联字符串以排查相关风险。
9、恶意VSCode扩展借虚假PNG传播木马
https://www.bleepingcomputer.com/news/security/malicious-vscode-marketplace-extensions-hid-trojan-in-fake-png-file/
2025年12月11日报道，Visual Studio Code扩展商店中出现了19个恶意扩展的隐秘活动，这些扩展通过捆绑被篡改的依赖、并将恶意程序伪装成PNG文件来隐藏其行为，可在用户启动IDE时自动执行恶意代码。目前，这批主要版本为1.0.0的恶意扩展已被微软下架移除，但已安装的用户仍需扫描系统，确认是否已遭受入侵。因此，建议开发者在安装扩展前，认真核查软件包及发布商的可信度，并仔细审查其中捆绑的依赖项。
10、英国就2022年数据泄露事件对LastPass处以罚款
https://www.bleepingcomputer.com/news/security/uk-fines-lastpass-over-2022-data-breach-impacting-16-million-users/
2025年12月11日报道，由于未落实充分的安全措施，2022年LastPass接连遭遇两起相关联的数据泄露事件，攻击者通过员工设备中的漏洞窃取了160万英国用户的加密密码库及个人信息等数据。为此，英国信息专员办公室（ICO）已对其处以120万英镑的罚款。尽管攻击者尚未破解全部密码库，但若用户使用弱主密码，仍可能遭受暴力破解攻击。因此，LastPass建议相关用户尽快重置其弱主密码。
11、新型ConsentFix攻击能通过Azure CLI劫持微软账户
https://www.bleepingcomputer.com/news/security/new-consentfix-attack-hijacks-microsoft-accounts-via-azure-cli/
2025年12月11日报道，网络安全公司Push Security发现了ClickFix攻击的一个新变体“ConsentFix”。该变体利用Azure CLIO Auth应用程序，通过伪装成Cloudflare验证码页面来诱导用户完成微软登录流程，从而窃取其授权码。之后，攻击者无需密码即可绕过多因素认证（MFA）并劫持账户。值得注意的是，此攻击通常每个IP地址仅触发一次，以规避安全检测。
12、黑客利用未修复的零日漏洞入侵700台服务器
https://www.bleepingcomputer.com/news/security/unpatched-gogs-zero-day-rce-flaw-actively-exploited-in-attacks/
2025年12月11日报道，自托管的Git服务Gogs存在一个未修补的零日漏洞（CVE-2025-8110），该漏洞源于其PutContentsAPI的路径穿越缺陷。攻击者可借此创建符号链接，从而覆盖仓库外的文件，最终实现远程代码执行。目前，全球已有超过1400台暴露的服务器受到影响，其中700余台已被确认入侵。同时，攻击者又进一步利用了系统的开放注册默认设置，以扩大攻击面并部署Supershell恶意软件。
13、借AI热点，谷歌广告推送macOS窃密软件
https://www.bleepingcomputer.com/news/security/google-ads-for-shared-chatgpt-grok-guides-push-macos-infostealer-malware/
2025年12月10日报道，一项新的AMOS信息窃取者攻击活动正通过滥用谷歌搜索广告进行传播。具体而言，攻击者将搜索macOS维护、存储清理等问题的用户，引导至伪造的ChatGPT或Grok对话页面，并诱骗他们在终端中执行恶意命令。该脚本会骗取用户密码，随后以root权限安装AMOS恶意软件，进而窃取加密货币钱包和浏览器数据等敏感信息。此外，其还通过建立“看门狗”循环机制来实现持久化驻留。
14、新型DroidLock恶意软件已锁定安卓设备
https://www.bleepingcomputer.com/news/security/new-droidlock-malware-locks-android-devices-and-demands-a-ransom/
2025年12月10日报道，新发现的安卓恶意软件DroidLock主要针对西班牙语用户。该软件通过恶意网站伪造应用进行传播，并诱导用户授予设备管理员和无障碍权限。一旦获得权限，它可以实施锁屏勒索、窃取锁屏图案、短信及通话记录等数据，甚至能通过VNC远程控制设备，或删除数据、恢复出厂设置。因此，建议用户避免从非可信来源下载APK，安装前仔细核查应用权限，并定期使用Play Protect扫描设备。
15、高危漏洞：万余Docker Hub镜像暴露敏感凭证与密钥
https://www.bleepingcomputer.com/news/security/over-10-000-docker-hub-images-found-leaking-credentials-auth-keys/
2025年12月10日，威胁情报公司Flare通过扫描发现，在11月上传至Docker Hub的10456个容器镜像中，存在泄露密钥等敏感数据的问题，这已影响到101家组织，其中包括多家《财富》500强企业和大型银行。泄露的数据主要为AI模型访问令牌，有42%的镜像暴露出至少5个敏感值，其原因多源于开发者疏忽及未经管控的“影子IT”账户。此外，值得注意的是，多达75%的泄露密钥在曝光后仍未被撤销，存在持续的利用风险。
16、警报：新型钓鱼服务“蜘蛛侠”瞄准欧洲银行
https://www.bleepingcomputer.com/news/security/new-spiderman-phishing-service-targets-dozens-of-european-banks/
2025年12月10日报道，一个名为“Spiderman”的新型模块化钓鱼工具包正被广泛使用。该工具包通过像素级仿冒的登录页面，瞄准了欧洲5国的多家银行（如德意志银行）、加密货币服务及金融科技平台（如PayPal、Klarna），能够窃取用户的登录凭证、2FA动态码、信用卡数据以及加密货币钱包助记词。它不仅支持攻击者实时监控受害者会话，还能拦截PhotoTAN等验证信息。
17、乌克兰黑客被控协助俄罗斯黑客组织
https://www.bleepingcomputer.com/news/security/ukrainian-hacker-charged-with-helping-russian-hacktivist-groups/
2025年12月10日报道，美国指控乌克兰公民杜布拉诺娃涉嫌参与两个俄罗斯支持的黑客组织，即CARR和NoName057(16)。这两个组织曾利用DDoS等工具攻击全球关键基础设施，目标涵盖美国的水务、选举系统、核设施及肉类加工厂等关键部门，并导致了饮用水泄漏、氨气泄漏等实际损失。杜布拉诺娃对相关指控表示不认罪，其案件将分两次审理，最高可能面临32年监禁。
18、西班牙逮捕一名青少年，其涉嫌窃取6400万条个人数据
https://www.bleepingcomputer.com/news/security/spain-arrests-teen-who-stole-64-million-personal-data-records/
2025年12月9日报道，西班牙逮捕了一名黑客。当局于巴塞罗那抓获了一名19岁的嫌疑人。据悉，其窃取了九家公司的6400万条敏感数据，包括姓名、DNI号码等信息，并试图通过多个黑客论坛账号出售这些数据。目前，涉案的电子设备与加密货币钱包已被没收。
19、朝鲜黑客利用React2Shell漏洞传播EtherRAT恶意软件
https://www.bleepingcomputer.com/news/security/north-korean-hackers-exploit-react2shell-flaw-in-etherrat-malware-attacks/
2025年12月9日报道，新恶意软件EtherRAT通过React2Shell漏洞（CVE-2025-55182）在Next.js应用中部署。此恶意软件具备多项复杂功能，包括基于区块链（以太坊智能合约）的C2通信以及多层次的Linux持久化机制，疑似与朝鲜的“传染性访谈”攻击行动有关。该漏洞属于最高危险级别的反序列化缺陷，影响了大量使用React/Next.js的云环境，并且在公开数小时后即遭野外利用。
20、勒索软件团伙滥用端点防护工具，实现高度隐蔽的攻击入侵
https://www.bleepingcomputer.com/news/security/ransomware-iab-abuses-edr-for-stealthy-malware-execution/
2025年12月9日报道，初始访问代理Storm-0249已弃用大规模钓鱼手段，转而采用更为隐蔽的方式。其通过社交工程诱骗用户执行恶意命令，并利用EDR组件与Windows合法工具，借助DLL侧载、内存执行脚本等技术来隐匿恶意活动。在侵入系统后，该代理会收集系统信息并建立C2通信，为后续的勒索软件攻击铺平道路。这种高度隐蔽的方法能够绕过传统安全监控，因此研究人员建议启用基于行为的检测机制，并严格管控相关工具的执行权限。
2025年12月9日，上海市人工智能安全产业未来发展企业座谈会首次会议在浦东举行。垂域模盾共6家AI安全领域企业代表参会，聚焦课题研究与“AI安全产业图谱”编制，反馈行业痛点、建言政策方向。
报告立足于政策驱动视角，聚焦“十五五”规划中“人工智能+”核心战略和可信数据空间落地政策激活的跨主体数据流通市场机遇，以“五类可信数据空间”的定制化场景实践与价值研究为重点，剖析可信数据空间下隐私计算技术的适配趋势和场景定制化要求。
报告立足云上智能体安全发展实际，系统梳理顶层设计与标准体系建设现状、产业发展格局与核心技术进展，深入分析重点行业落地场景的安全风险特征，构建全维度安全防护体系框架。
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...