每日安全简讯(20250713)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 加密货币用户遭虚假初创公司恶意软件攻击

安全机构最新研究揭示了一场针对加密货币用户的社会工程活动，攻击者通过虚假初创公司诱骗用户下载恶意软件，以窃取其加密货币钱包。该活动自2024年12月首次曝光以来仍在持续演变，攻击者利用伪造的社交媒体账户和托管在Notion、GitHub等平台上的项目文档，冒充人工智能、游戏和Web3公司。攻击者通过X（前身为 Twitter）、Telegram和Discord联系受害者，诱导其下载伪装成软件安装包的恶意程序。Windows版本的恶意软件会秘密分析系统并下载可执行文件，而macOS版本则部署Atomic Stealer等信息窃取程序。此次攻击活动与知名的恶意软件团伙CrazyEvil的攻击手法相似。

https://www.darktrace.com/blog/crypto-wallets-continue-to-be-drained-in-elaborate-social-media-scam

---

2 AMD发出警告新型瞬态调度程序攻击影响多款CPU

半导体公司AMD警告称，一种名为瞬态调度程序攻击（TSA）的新型漏洞可能影响其多款处理器，导致信息泄露。TSA是一种推测性侧信道攻击，利用CPU的微架构特性，通过指令执行时间推断数据。研究人员在对虚拟机、内核和进程等安全域进行压力测试时发现了这些问题。AMD已为受影响的处理器发布微代码更新，包括第三代至第四代EPYC处理器、Ryzen系列处理器等。攻击者需获得目标机器的访问权限才能利用这些漏洞，专家表示，TSA的利用条件是暂时的，但攻击者可能通过反复调用受害者来窃取数据。

https://thehackernews.com/2025/07/amd-warns-of-new-transient-scheduler.html

---

3 蓝牙漏洞PerfektBlue致多款汽车面临RCE攻击

安全研究人员披露了一组名为PerfektBlue的蓝牙漏洞，这些漏洞影响了使用OpenSynergy BlueSDK框架的数百万辆汽车及其他设备。该漏洞组合可实现远程代码执行（RCE），攻击者仅需设备配对即可发起攻击，最多只需用户单击一次。研究人员发现，攻击者可借此跟踪GPS坐标、录制车内音频、访问电话簿信息，并对车辆网络内的其他电子控制单元（ECU）进行横向移动。该漏洞不仅影响汽车，还波及手机和便携式设备。尽管OpenSynergy在2024年9月开发了补丁，但由于复杂的汽车供应链，部分原始设备制造商（OEM）直到2025年6月才收到更新。为了防范攻击，用户和组织应优先更新系统，或暂时禁用蓝牙功能。

https://gbhackers.com/critical-bluetooth-protocol-vulnerabilities/?web_view=true

---

4 mcp-remote安全漏洞可致远程代码执行

安全研究团队发现mcp-remote项目存在高危漏洞CVE-2025-6514，CVSS评分达9.6。该工具常用于使大型语言模型（LLM）客户端与远程MCP服务器通信。漏洞允许攻击者在客户端连接到不受信任的MCP服务器时，触发任意操作系统命令执行，可能导致系统全面入侵。受影响版本为0.0.5至0.1.15，0.1.16版本已修复。攻击场景包括连接到恶意服务器或通过不安全方式连接被中间人攻击劫持。用户应更新至0.1.16版本或仅通过HTTPS连接受信任服务器以缓解风险。

https://jfrog.com/blog/2025-6514-critical-mcp-remote-rce-vulnerability/

---

5 日本新日铁公司遭零日攻击致数据泄露

日本新日铁的子公司新日铁解决方案公司披露了一起数据泄露事件。该公司提供云和网络安全服务，但其网络设备被黑客利用零日漏洞攻击，导致数据泄露。2025年3月7日，公司检测到可疑服务器活动并隔离了受影响系统。调查显示，攻击者通过零日漏洞未经授权访问了公司内部网络，可能泄露了客户、合作伙伴和员工的个人信息，包括姓名、公司名称、职位、电子邮件地址和电话号码等。公司表示，云服务未受影响，且没有证据表明信息已在社交媒体或暗网上泄露。目前，公司已通知受影响各方，并采取措施隔离和重建被攻击设备，加强安全防护。此次事件发生在新日铁收购美国钢铁公司期间。

https://securityaffairs.com/179766/data-breach/nippon-steel-solutions-data-breach.html?web_view=true

---

6 麦当劳AI招聘机器人泄露6400万求职者数据

麦当劳的人工智能招聘系统McHire因严重安全漏洞，导致约6400万求职者数据泄露。该系统由Paradox.ai开发，使用了极其薄弱的密码“123456”，研究人员仅用30分钟就成功入侵了整个系统。泄露的数据包括姓名、电子邮件、电话号码和聊天记录等敏感信息，增加了求职者遭受网络钓鱼和欺诈的风险。此次漏洞于2025年7月被发现后，麦当劳和Paradox.ai迅速进行了修复。Paradox.ai还启动了漏洞赏金计划以增强安全性。

https://cybersecuritynews.com/mcdonalds-ai-hiring-bot-leaks/

---