每日安全简讯（20251206）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Predator间谍软件利用0day进行传播

Intellexa公司泄露的内部文件、销售和营销材料以及培训视频文件，首次证实Predator间谍软件利用CVE-2025-48543等十余枚零日漏洞，并通过“Aladdin”广告系统实施零点击攻击，用户浏览网页广告即被植入。文件显示Intellexa员工可远程TeamViewer登录客户服务器，实时查看监控日志。

https://thehackernews.com/2025/12/intellexa-leaks-reveal-zero-days-and.html

---

2 Water Saci针对巴西发起金融窃密攻击

安全研究人员发现代号为“Water Saci”的网络攻击活动针对巴西用户发起金融窃密攻击。攻击者借助大语言模型将原有PowerShell恶意脚本重构为Python版本，提升传播速度与开发效率。其主要通过WhatsApp蠕虫传播，劫持用户信任联系人账号发送ZIP、PDF 等诱饵附件，同时以邮件钓鱼传播形成双传播链。用户触发恶意文件后，会经多层无文件攻击流程加载银行木马，且恶意程序会验证巴西时区与语言确保精准攻击。此外，攻击还采用IMAP邮件协议伪装C2通信、开启MFA保护控制信道，木马可监控银行及加密货币平台操作、窃取敏感信息。

https://securityonline.info/water-saci-campaign-uses-llms-to-convert-malware-to-python-spreads-banking-trojan-via-whatsapp-worm/

---

3 制药公司Inotiv遭遇勒索软件攻击导致数据泄露

美国合同制药商Inotiv在向SEC提交的文件中披露，其8月网络遭勒索软件攻击，部分系统被加密导致系统瘫痪，攻击者同时窃取包含姓名、社保号、驾照及医疗计划信息的员工与家属数据，Qilin勒索软件组织在8月份声称对此次入侵事件负责，泄露了从该公司被入侵的系统中窃取的数据样本，并表示他们窃取了超过162,000个文件，总计176GB的数据。

https://www.bleepingcomputer.com/news/security/pharma-firm-inotiv-discloses-data-breach-after-ransomware-attack/

---

4 在线赌博网站为黑客提供匿名C2通道

研究人员发现，一个面向印尼用户的超大规模在线赌博黑产已运行14年，手握32.8万域名，其中九成是入侵所得，甚至包括政府子域。攻击者借WordPress漏洞、过期证书与悬空DNS，把政府站点变成NGINX反向代理，暗中转发加密流量，为境外黑客提供匿名C2通道。团伙同时派发伪装赌客App，植入Android后门，手法之精细已达APT级别，但尚未发现其存在国家背景。

https://www.helpnetsecurity.com/2025/12/03/indonesian-online-gambling-network/?web_view=true

---

5 Windows版Vim存在高危漏洞

Windows版Vim存在CVE-2025-66476高危漏洞，Vim在Windows系统上运行时利用Windows处理命令执行方式中的一个缺陷，诱骗编辑器运行恶意软件而非合法的系统工具，若用户打开被篡改文件夹内文件，攻击者即可借当前进程权限执行任意恶意代码。现已发布补丁，官方建议升级至Vim v9.1.1947版本。

https://securityonline.info/high-severity-vim-for-windows-flaw-cve-2025-66476-risks-arbitrary-code-execution-from-compromised-folders/

---

6 WordPress漏洞在野外传播

安全研究人员披露WordPress存在CVE-2025-6389高危漏洞，无需登录即可在服务器上执行任意代码。攻击样本已在野出现，其利用链针对默认主函数，该漏洞（CVE-2025-6389）的核心在于一个编码错误，该错误允许未经身份验证的用户完全控制服务器。攻击者仅需发送特制POST请求即可植入WebShell。官方紧急发布6.5.4强制更新，安全团队呼吁所有站点立即升级并审计近期上传文件。

https://securityonline.info/critical-wordpress-flaw-cve-2025-6389-under-active-exploitation-allows-unauthenticated-rce/

---