每日安全简讯（20251218）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 南美威胁组织BlindEagle针对哥伦比亚政府部署恶意软件

安全研究人员发现，南美威胁组织BlindEagle针对哥伦比亚商业、工业和旅游部下属机构发起了一场复杂的鱼叉式钓鱼攻击。攻击者疑似利用从目标机构内部盗取的邮箱账户发送伪装成司法文书的钓鱼邮件，通过嵌入恶意SVG图像将受害者诱导至伪造的司法门户网站，进而触发一个多层无文件攻击链。该链条利用嵌套的JavaScript与PowerShell脚本，从Discord等合法服务下载并解码隐藏在图片中的恶意负载，最终在内存中部署名为Caminho的下载器以及DCRAT远程控制木马。

https://www.zscaler.com/blogs/security-research/blindeagle-targets-colombian-government-agency-caminho-and-dcrat?&web_view=true

---

2 恶意NuGet包窃取加密货币钱包

安全研究人员发现一个伪装成流行.NET追踪库的恶意NuGet软件包“Tracer.Fody.NLog”。该包通过仿冒合法维护者用户名、在源代码中使用西里尔相似字符等手段，在官方仓库中隐匿了近六年，已被下载至少2000次。一旦被项目引用，其内嵌的恶意程序会扫描系统默认的Stratis加密货币钱包目录，读取钱包文件及内存密码，并将数据外泄至位攻击者服务器。

https://thehackernews.com/2025/12/rogue-nuget-package-poses-as-tracerfody.html

---

3 17款Firefox扩展藏匿GhostPoster恶意软件

安全研究人员发现一场名为“GhostPoster”的恶意活动，利用至少17款Mozilla Firefox浏览器扩展程序传播恶意软件，这些扩展累计下载量超过5万次。恶意代码被隐藏于扩展的图标文件中，通过多层规避检测技术（如下载前等待48小时、仅10%概率触发、安装后延迟6天激活）静默运行。感染后，恶意软件能实施联盟链接劫持、向网页注入跟踪代码、移除安全头部、注入隐藏iframe进行广告欺诈以及绕过CAPTCHA验证等多种恶意行为，严重威胁用户隐私与浏览器安全。

https://thehackernews.com/2025/12/ghostposter-malware-found-in-17-firefox.html

---

4 新型ClickFix攻击借虚假Word报错传播DarkGate远控木马

安全研究人员发现“ClickFix”社交工程攻击活动出现新变种。攻击者伪造“Word Online”无法加载的虚假浏览器报错页面，诱导用户点击“如何修复”按钮。该操作会将一段恶意PowerShell脚本自动复制到用户剪贴板，诱骗其手动在终端中粘贴执行。该脚本会从远程服务器获取恶意HTA文件，进而部署功能强大的远程控制木马DarkGate，最终使攻击者获得对受害者系统的完全控制。此次攻击的核心在于完全依赖用户手动操作来触发感染链，从而有效规避了传统基于自动行为检测的安全防护机制。

https://cybersecuritynews.com/new-clickfix-word-online-message-tricks/

---

5 新型安卓木马Cellik内置一键APK打包器

安全研究人员发现一种名为Cellik的新型安卓远程访问木马，其集成了可直接浏览并打包Google Play商店应用的一键式APK构建器，显著降低了移动攻击门槛。攻击者可利用该功能选择任意合法应用，自动生成将Cellik恶意负载封装在内的“木马化”应用安装包。该木马功能强大，可实现对受感染设备的实时屏幕监控与远程控制、拦截所有通知（包括私信和一次性密码）、对银行等应用实施覆盖攻击以窃取凭证，并具备文件窃取、隐蔽浏览和位置跟踪等能力。由于其恶意代码被嵌入到已上架应用的包内，可能规避Google Play Protect等安全检测。

https://cybersecuritynews.com/cellik-android-malware-with-one-click-apk-builder-let-attackers-wrap/

---

6 Chrome修复可导致远程代码执行的高危漏洞

Google于12月17日发布了Chrome浏览器143.0.7499.146/.147版本，紧急修复了两个可导致远程代码执行的高危漏洞。其中，CVE-2025-14765是WebGPU组件中的“释放后使用”漏洞；CVE-2025-14766是V8 JavaScript引擎中的“越界读写”漏洞。攻击者利用这些漏洞可操纵内存，在受影响系统上执行任意代码，潜在风险极高。更新正分批向Windows和Mac用户推送，Linux用户也可手动检查安装。Google建议所有用户立即更新浏览器以确保安全，企业用户应优先修复此关键补丁。

https://cybersecuritynews.com/chrome-security-update-dec/

---