每日安全简讯(20250130)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 黑客利用恶意PDF仿冒USPS进行移动钓鱼诈骗

移动安全公司Zimperium的研究人员发现，一场针对移动设备的大规模钓鱼活动正在利用用户对PDF文件和美国邮政服务（USPS）的信任，窃取凭证和敏感信息。攻击者通过短信发送伪装成USPS通知的恶意PDF文件，并采用“前所未见的混淆技术”绕过传统安全防护。这些PDF中嵌入了恶意链接，能够避开终端安全解决方案的检测。此次活动涉及超过20个恶意PDF文件和630个钓鱼页面，覆盖50多个国家的受害者。Zimperium专家指出，PDF因其广泛使用和“防篡改”的假象，成为网络犯罪分子的理想工具。攻击者还仿冒UPS、FedEx等快递公司，诱导用户支付“重新投递费用”并泄露信用卡信息。

https://www.zimperium.com/blog/hidden-in-plain-sight-pdf-mishing-attack/

---

2 俄罗斯GRU黑客对爱沙尼亚网络攻击遭欧盟制裁

欧盟宣布对俄罗斯军事情报机构（GRU）第29155部队的三名黑客实施制裁，指控其参与2020年针对爱沙尼亚政府机构的网络攻击。被制裁的黑客包括尼古拉·科尔查金、维塔利·谢甫琴科和尤里·丹尼索夫，他们入侵了爱沙尼亚多个政府部门，窃取了数千份包含机密信息的敏感文件。这些文件涉及经济事务、通信、社会事务和外交事务等领域，包括商业机密、健康记录等关键数据。第29155部队还被指控对乌克兰及其他欧盟成员国实施网络攻击。自2020年以来，该部队还以“Cadet Blizzard”和“Ember Bear”为代号，对北约成员国及全球多国发起破坏性网络攻击。2022年以来，该组织转向针对援助乌克兰的机构。美国国务院已悬赏1000万美元，征集与该部队五名成员相关的信息。

https://www.consilium.europa.eu/en/press/press-releases/2025/01/27/cyber-attacks-three-individuals-added-to-eu-sanctions-list-for-malicious-cyber-activities-against-estonia/

---

3 黑客冒充英国皇家邮件进行诈骗

研究人员发现，网络犯罪分子正在利用高度逼真的短信钓鱼（Smishing）诈骗，冒充英国皇家邮件（Royal Mail）诱骗用户提供个人和财务信息。诈骗短信声称由于地址不完整导致投递失败，并附上链接引导用户访问伪造的皇家邮件网站。该网站要求用户填写姓名、地址、电话等个人信息，并支付0.23英镑的“重新投递费”，同时索取信用卡信息。诈骗网站通过复制皇家邮件的品牌标识、利用紧迫感和小额费用等手段，成功欺骗了许多用户，尤其是老年人和弱势群体。

https://hackread.com/royal-mail-sms-phishing-scam-fake-delivery-fee-requests/

---

4 Brave浏览器漏洞致恶意网站伪装成可信来源

研究人员在Brave桌面浏览器中发现了一个关键漏洞（CVE-2025-23086），该漏洞允许恶意网站在文件上传或下载过程中伪装成可信来源，欺骗用户进行交互。该漏洞影响1.70.x至1.73.x版本的Brave浏览器，其核心问题在于浏览器未能准确显示文件选择对话框中的网站来源信息。结合合法网站的“开放重定向”漏洞，攻击者可利用此漏洞诱使用户下载恶意软件或泄露敏感信息。该漏洞的严重性评级为中等（CVSS评分6.1），攻击复杂度低且需要用户交互。Brave已发布1.74.48版本修复该漏洞，建议用户立即更新浏览器，并启用安全工具防范开放重定向和钓鱼攻击。

https://hackread.com/brave-desktop-browser-vulnerability-malicious-sites-trusted/

---

5 苹果修复2025年首个零日漏洞允许应用提升权限

苹果公司发布了安全更新，修复了2025年首个被主动利用的零日漏洞（CVE-2025-24085）。该漏洞存在于Core Media框架中，属于权限提升漏洞，允许恶意应用提升权限。苹果确认该漏洞已在针对iOS 17.2之前版本的攻击中被利用。Core Media框架负责支持iOS和macOS设备上的多媒体任务，如播放、录制和编辑音视频。苹果通过改进内存管理修复了这一“释放后使用”问题。受影响的设备包括iPhone XS及更新机型、多款iPad和iPad Pro等。苹果已通过iOS 18.3、iPadOS 18.3、macOS Sequoia 15.3等版本修复该漏洞，建议用户尽快更新设备以防范潜在攻击。

https://support.apple.com/en-us/122066

---

6 美国养老院遭勒索攻击致7万人数据泄露

美国俄亥俄州Lima市的HCF Management公司披露，其旗下多家养老院、康复中心和家庭医疗保健单位在2024年秋季遭遇网络攻击，导致近7万名患者的敏感信息泄露。俄罗斯语勒索软件团伙RansomHub声称窃取了250GB数据，并于2024年10月29日将HCF列入其暗网泄露站点。HCF在2024年10月3日发现第三方未经授权访问其系统，并于11月19日确认泄露信息包括患者姓名、地址、电话、出生日期、社会安全号码、医疗记录和健康保险信息。此次事件已引发至少两起联邦集体诉讼，指控HCF未能妥善保护患者数据。

https://hempfieldmanor.com/wp-content/uploads/2025/01/HF_HCF-Website-Notice-Template-101084342v1-c.pdf

---