Ubiquiti建复七大缝隙，严防号令注入攻击
颁布功夫 2026-07-091. Ubiquiti建复七大缝隙，严防号令注入攻击
7月8日，网络设备厂商Ubiquiti近日颁布安全更新，建复了UniFi OS中七个严沉安全缝隙，其中最严沉的是CVE-2026-50746，该缝隙位于UniFi Connect利用法式（3.4.16及更早版本）中，可被攻击者利用于号令注入攻击。UniFi Connect是一套用于统一治理贸易构筑智能设备（蕴含LED照明和电动汽车充电器）的软件套件。Ubiquiti诠释称，占有网络接见权限的恶意攻击者可利用该利用法式的不当接见节造缝隙，在主机设备上执行恶意号令，公司建议用户升级至3.4.20或更高版本以躲避风险。此表，本次建复还涵盖了UniFi Talk、UniFi Access、UniFi Protect及多款路由器、网关和NAS系统中的六个高危缝隙（编号CVE-2026-50747等）。只管Ubiquiti未泄漏这些缝隙是否已被在野利用，但确认其中六个可被低复杂度攻击且无需用户交互。据Censys监测，目前互联网上露出着超过10万个UniFi OS事俘，其中近半数位于美国，但尚不明显已建复的比例及蜜罐数量。
https://www.bleepingcomputer.com/news/security/ubiquiti-warns-of-new-max-severity-unifi-os-vulnerability/
2. 皇家山大学遭黑客窃删数据，近两万师生受影响
7月8日，加拿大卡尔加里的皇家山大学（MRU）近日披露，其网络系统6月17日遭黑客入侵，已礼聘表部网络安全专家及技术团队发展调查并推动复原工作。这次事务严沉侵扰了该校的在线服务、互联网接入及多个内部系统。经调查确认，攻击者犯法接见并盗取了存储于学生和员工共用的“H盘”特定文件夹中的数据，涉及现任及前任学生、员工，以及未明确类此外“其他人员”的信息，具体泄露内容因幼我而异。同时，攻击者还删除了另一个存储部门数据的“J盘”，但暂未发现该盘数据被复造或窃取的证据，校刚正致力复原已删文件，但坦言可能无法齐全复原。由于原始数据被断根，校方难以迅快精准评估每位受影响者的风险，需耗时逐一核查，后续将通过个性化通知联系有关幼我。MRU已向阿尔伯塔省信息和隐衷专员办公室及法律部门报案，并为所有现任员工及从前五年内受聘者提供为期两年的信誉监控和身份偷窃�；し�。这次攻击由威胁组织CMD Organization认领，该组织颁布了护照扫描件等数据样本作为佐证，并向校方勒索30枚比特币（约合190万美元），限时六天回应，不然将公开全数被盗信息。
https://www.bleepingcomputer.com/news/security/mount-royal-university-confirms-breach-as-hackers-claim-attack/
3. NPM与PyPI现17个支付诳骗包，窃取开发者密钥
7月8日，近期，Node包治理器（npm）和Python包索引（PyPI）上被发现存在17个恶意软件包，专门针对Paysafe、Skrill和Neteller等支付平台的开发者和用户，旨在窃取凭证与接见令牌。这三个支付平台利用宽泛，Paysafe常用于电商、游戏、游览及SaaS领域，而Skrill和Neteller则多服务于在线博彩、加密钱币及表汇买卖。攻击者将恶意包假装成合法支付SDK，公开预期API但返回虚伪成功响应，实则内嵌窃密�？�，将盗取的数据回传至亚马逊AWS上的号令与节造服务器。其中，13个npm包颁布了1.0.0至1.0.3共四个恶意版本，4个PyPI包仅颁布1.0.0版。窃取指标蕴含Paysafe API密钥、AWS密钥、GitHub令牌、npm令牌、主机名、用户名及API使用元数据。npm包的窃密�？榻鲈诩觳獾絇aysafe API密钥时激活，而PyPI包在初始化时便自动运行。恶意代码还具备基础反分析能力，若发现CPU主题少于2个或环境含虚构化线索则会终场执行。建议开发者当即轮换所有受习染机械上的密钥，搜索依赖树并拦截有关包名要求，同时在CI系统日志中排查“PAYSAFE_API_KEY”与列名包的组合出近况况。
https://www.bleepingcomputer.com/news/security/fake-paysafe-skrill-sdks-on-npm-and-pypi-steal-credentials/
4. 墨西哥金融遭ClickFix攻击，植入PowerShell木马
7月8日，近期，Elastic Security Labs发现代号为REF6045的银行恶意软件活动，正针对墨西哥的银杏注金融科技公司、支付处置商及加密钱币买卖所客户提议攻击。该攻击利用ClickFix社交工程技巧，通过假装成合法安全查抄的虚伪验证码页面，诱导受害者复造恶意号令并粘贴至Windows运行对话框，从而启动多阶段习染。实现验证后，攻击者会显示伪造的Windows更新界面以分散把稳，同时装置基于PowerShell的SCMBANKER工具包，成立悠久性、监控网银会话、截屏、纪录键盘、篡改剪贴板、沉定向浏览器至垂钓网站，并可部署贸易远程节造软件以齐全收受设备。钻研还发现，攻击者借助大型说话模型辅助开发部门代码，但质量参差且留有AI天生痕迹。此活动重要影响墨西哥境内的幼我及组织，只管地域性强，但其ClickFix钓饵、虚伪验证码及PowerShell传布手法正日益普遍，将来可能被调整用于攻击其他地域。
https://securityboulevard.com/2026/07/scmbanker-malware-targets-mexicos-financial-sector-using-clickfix-lures/
5. 语音垂钓诱骗M365用户注册攻击者节造的通畅密钥
7月8日，近期，威胁行为者利用基于语音的虚伪安全要求，针对食品饮料、科技、医疗保健、汽车、构筑和航空等多个行业的组织，诱骗Microsoft 365用户注册新的Entra通畅密钥。攻击者滥用微软于5月向治理员盛开的“密码注册活动”职能，自4月起通过电话联系指标用户，以安全升级为由说服其注册受攻击者节造的通畅密钥，并将受害者疏导至仿照合法微软密码注册流程的垂钓工具包。该工具包为操作员节造的PHP面板，选取1秒心跳轮询机造，能凭据受害者的多成分认证（MFA）要求（如TOTP、推送通知、短信验证码）实时调整流程，受害者输入的痛处和MFA响应被传递给攻击者，用于验证并收受账户。受害者以为在注册新密码，实则攻击者注册了其节造的密钥，随后垂钓网站还会展示伪造的密码注书页面，提醒保留无现实作用的BIP-39复原短语以分散把稳。这次攻击由Okta追踪的O-UNC-066行为者执行，该组织运营名为Pink的勒索行动，与去中心化威胁网络The Com有关，以语音垂钓和IT身份假意网络凭证及MFA代码著称，获取接见权限后迅快从SharePoint和OneDrive窃取数据，并于5月31日推出勒索网站颁布样本施压。
https://www.bleepingcomputer.com/news/security/entra-passkey-enrollment-vishing-targets-microsoft-365-users/
6. AssuranceAmerica数据泄露，690万驾照信息被盗
7月8日，美国保险公司AssuranceAmerica近期证实产生沉大数据泄露事务，约690万人的幼我信息及驾驶牌照号码遭窃，成为今年已知规模最大的驾照信息泄露事务之一。该公司成立于1998年，为全美十多个州提供汽车和租赁保险，处置大量客户及投保人的敏感资料，蕴含姓名、联系方式、驾照号码、汽车保单、账户信息、驾驶员及车辆详情和索赔纪录。攻击者于3月17日入窃熹系统，通过窃取一名员工的凭证进入网络，公司于6月15日实现调查并禁用被盗凭证，但未注明凭证具体窃取方式。目前尚无证据批注公司与黑客接触或支付赎金。受影响的幼我将在7月10日收到通知。此事务是近期多起涉及驾照等身份文件泄露的一部门，例如德克萨斯州公园和野活泼物部门也曾被窃取数百万驾照信息。随着列国奉行春秋验证司法，更多网站要求上传身份证明，此类泄露风险持续上升。
https://techcrunch.com/2026/07/08/another-massive-data-breach-exposed-millions-of-drivers-license-numbers/
京公网安备11010802024551号