每日安全简讯(20250409)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 恶意Visual Studio Code扩展被发现植入挖矿木马

2025年4月7日，研究人员发现10个恶意Visual Studio Code扩展，伪装成常用开发工具，恶意扩展累计下载量已超百万次。用户在安装恶意扩展后，恶意扩展会下载一个PowerShell脚本，该脚本禁用了Windows安全性，通过计划任务实现持久化，并安装XMRig门罗币挖矿程序。攻击者发起了复杂的多阶段攻击，同时安装被仿冒的合法扩展，用来避免在后台挖掘加密货币时引起怀疑。

https://blog.extensiontotal.com/mining-in-plain-sight-the-vs-code-extension-cryptojacking-campaign-19ca12904b59

---

2 WK Kellogg因Cleo漏洞遭Clop勒索团伙数据窃取

2025年4月7日，美国食品巨头WK Kellogg Co披露其因Cleo文件传输软件漏洞（CVE-2024-50623和CVE-2024-55956）遭遇数据泄露。Clop勒索团伙利用这两个零日漏洞入侵Cleo服务器，窃取了包含员工姓名和社会安全号码（SSN）的敏感数据。此次事件是Clop团伙针对Cleo软件全球攻击的一部分，此前已波及Western Alliance Bank等机构。

https://www.bleepingcomputer.com/news/security/food-giant-wk-kellogg-discloses-data-breach-linked-to-clop-ransomware/

---

3 Neptune RAT变种借YouTube等平台传播

2025年4月7日，研究人员披露Neptune RAT新变种正在GitHub、Telegram和YouTube 等平台上传播。新变种为基于VB.NET开发的远程控制工具，它伪装成"最先进RAT工具"吸引攻击者。该变种具备窃取浏览器密码、劫持加密货币转账、文件加密勒索等能力。攻击者通过混淆代码规避检测，并利用PowerShell从catbox.moe等平台下载恶意组件。目前免费版本已出现勒索行为，可加密文件为".ENC"格式并破坏主引导记录（MBR）。

https://hackread.com/neptune-rat-variant-youtube-steal-windows-passwords/

---

4 Yelp XML漏洞可致Ubuntu SSH密钥泄露

2025年4月8日，研究人员公开了GNOME帮助查看器Yelp（CVE-2025-3155）的概念验证（PoC）漏洞利用代码。该高危漏洞源于对ghelp://URI协议和Mallard XML解析的缺陷，攻击者可通过构造恶意.page文件注入JavaScript代码，从而窃取Ubuntu等GNOME桌面系统上的SSH私钥等敏感文件。作为Ubuntu默认预装组件，Yelp的广泛部署使得该漏洞影响范围覆盖数百万Linux用户。

https://cybersecuritynews.com/poc-exploit-yelp-flaw-ssh-keys/

---

5 Google紧急修复Android内核高危漏洞

2025年4月8日，Google发布Android安全更新，修复62个漏洞，其中CVE-2024-53150和CVE-2024-53197已被广泛利用。两个漏洞均位Kernel的USB子组件中，可导致信息泄露和权限提升。Google警告称，关键漏洞可能允许远程提权且无需用户交互即可触发。此外，CVE-2024-53197与2024年曝光的Linux内核漏洞（CVE-2024-53104、CVE-2024-50302）相关。

https://thehackernews.com/2025/04/google-releases-android-update-to-patch.html

---

6 Python JSON Logger库被发现远程执行漏洞

2025年4月7日，研究人员披露Python JSON Logger（版本3.2.0至3.2.1）存在远程代码执行（RCE）漏洞（CVE-2025-27607）。该漏洞源于缺失依赖项 msgspec-python313-pre，攻击者可伪造同名恶意包，诱导目标安装并执行任意代码。尽管漏洞最终被降级为“低危”，但其暴露了开源生态的供应链安全风险。目前，概念验证（PoC）代码已公开，可能增加潜在攻击尝试。建议开发者检查是否使用受影响版本，并确保依赖项来源可信，避免从非官方渠道安装包。

https://gbhackers.com/python-json-logger-vulnerability/?web_view=true

---