一款USB蠕虫攻击了加密货币持有者，苹果修复了Beats Studio Buds中的一个严重漏洞以及其他网络安全事件
我们收集了本周最重要的网络安全新闻。
- 一个加密剪贴板通过在 GitHub 和 YouTube 上伪造声誉进行传播。
- 一个 USB 蠕虫通过隐藏的 Windows 快捷方式自我传播以窃取加密货币。
- 韩国执法部门 dismantled 了一个为柬埔寨犯罪集团服务的加密洗钱网络。
- 研究人员发现了一种新的 Android 特洛伊木马，用于窃取加密货币。
一个加密剪贴板通过在 GitHub 和 YouTube 上伪造声誉进行传播。
一名未知攻击者发起了一场大规模恶意软件分发活动，使用合法的营销技术创建一个虚假的 "声誉经济"。这一点由 Check Point Research 的专家报告。
攻击的最终目标是部署伪装成交易工具的加密剪贴板，针对 Solana 和 Pump.fun 生态系统，以及用于预测投注结果的软件。
根据专家的说法，剪贴板本身是用 Rust 编写的，目标是 Windows 和 macOS 操作系统。该恶意软件秘密且持续地监控设备的剪贴板。当它检测到复制的加密货币钱包地址时，软件会立即将其替换为攻击者的详细信息，从而重定向数字资产。
为了赢得受害者的信任——主要是加密货币投资者和在线游戏玩家——黑客建立了一个复杂的跨平台基础设施，称为“幽灵网络”。分析师在VirusTotal平台上记录了协调活动：一群假账户大量留下积极的评论和点赞，以错误地将恶意文件分类为安全。
类似的指标操控也用于其他资源：
- GitHub和SourceForge。攻击者运行一个账户网络来交叉推广代码库。在SourceForge上，下载计数器通过一组Android设备被人为地抬高到44,000；
- YouTube。一个拥有超过91,000名订阅者的频道被用来宣传该软件。教程视频使用AI语音生成器制作，并伴有伪造的积极评论；
- 媒体。为了使工具合法化，黑客使用新闻稿分发服务（例如EIN Presswire），其发布的内容随后被合作新闻网站自动转载。
Check Point的研究人员强调，众包平台的操控表明社会工程战术发生了危险的转变。成功测试的跨平台声誉膨胀方案在未来可能被用于大规模分发勒索软件和更复杂的信息窃取工具。
一个USB蠕虫通过隐藏的Windows快捷方式自我传播以窃取加密货币
微软专家透露了一项针对加密货币持有者的自我复制恶意软件传播活动的细节。
感染过程在受害者打开USB驱动器上的修改过的快捷方式文件（.LNK）时触发。启动后，蠕虫会秘密地从位于.onion域区域的命令服务器下载额外的有效载荷。
恶意软件扫描本地系统中的用户文档。找到后，程序会隐藏原件，并用具有相同名称的恶意快捷方式替换它们。因此，每当用户尝试打开工作文件时，软件都会被激活。为了自我传播，蠕虫创建了一个监控端口的计划任务。一旦新的USB驱动器插入计算机，病毒会立即复制自己到外部媒体。
只有在系统上未运行“任务管理器”的情况下，窃取程序才会进入其活动阶段。它通过内置的Tor可执行文件与命令服务器建立连接，并每半秒监控一次剪贴板以获取敏感数据：
- 12个和24个单词的BIP39种子短语；
- 比特币钱包地址（包括Legacy、P2SH、Bech32和Taproot）、以太坊、Tron和门罗币。
当检测到复制的地址时，程序会立即将其替换为攻击者的详细信息。为了欺骗受害者，算法选择那些初始字符在视觉上与原始字符匹配的钱包。
除了剪贴板拦截外，病毒每十秒会截取五张屏幕截图，并使用Curl工具将其发送给黑客。在特殊服务器命令下，该软件可以在感染的机器上下载并执行任意JavaScript脚本。
自至少二月份以来，这个USB蠕虫的活动一直在持续记录。研究人员强调，感染的最明显指标是行为而非基于特征的。妥协的主要“红旗”是wscript.exe和cscript.exe进程的可疑后台活动、Curl、PowerShell和cmd.exe的意外启动，以及对localhost:9050（标准Tor代理服务器端口）的未经授权的网络连接。
韩国执法部门 dismantled 了一个为柬埔寨犯罪集团服务的加密洗钱网络。
韩国执法部门在一起为柬埔寨网络钓鱼组织洗钱的案件中拘留了23名嫌疑人。此消息由Newsis报道。
该计划通过一个复杂的交易路由网络进行，使用了国内韩国和外国的加密货币交易所。根据调查，从2024年2月到2025年4月，该团伙转移了约1110万美元的USDT。
警方指出涉及的基础设施规模庞大：为了洗钱，攻击者使用了大约11,300个不同的账户。这些过渡账户与总计约1700万美元的被盗资金直接相关，这些资金是犯罪分子通过265起事件获得的。
在警方突袭期间，查获了价值650万韩元（约43万美元）的犯罪收益。同时，执法行动的主动阶段尚未完成：该组织的嫌疑人仍在逃。国际刑警已对他发布了“红色通报”，这意味着将进行国际搜捕和引渡。
研究人员发现了一种新的Android木马，用于窃取加密货币。
Zimperium的安全研究人员发现了一种针对Android的木马，旨在窃取加密货币。
根据分析师的说法，Rokarolla恶意软件的工具包包含137个远程命令。该工具包可以拦截PIN码，读取和发送短信，操纵剪贴板以窃取数字资产，并强制禁用操作系统的内置保护机制。
该软件通过伪装成流行服务（如TikTok和Google Chrome）的安装程序的恶意网站进行分发。
在第一阶段，受害者下载一个在视觉上模仿 Google Play Protect 系统组件的程序。利用这个伪装，投放者使用社会工程学迫使用户授予其对“无障碍”的访问权限。获得权限后，恶意软件部署主要有效载荷，首先禁用真实的 Play Protect 扫描器。
Rokarolla 从其服务器下载针对目标列表中每个活跃应用程序的假 HTML 授权页面。当受害者打开一个合法的加密钱包时，木马会立即在其上覆盖一个假窗口，并拦截所有输入的详细信息。
此外，一个单独的覆盖层完全模仿标准的 Android 锁屏。这使得软件能够窃取 PIN 码、密码或图案密钥，使操作员能够在手机锁定状态下控制设备。为了窃取加密货币，木马使用内置的剪贴板监视器：它秘密监控剪贴板，并将复制的钱包地址替换为攻击者的详细信息，从而重定向交易。
为了克服双因素认证，Rokarolla 读取设备上的所有短信，并可以自行发送消息，拦截一次性银行代码。此外，通过将自己设置为默认的通话和短信应用程序，木马能够阻止来电——因此来自银行反欺诈系统的警告电话根本无法到达所有者。
专家强调，针对这些威胁的主要保护措施是在授予 "Accessibility" 权限时提高警惕，因为正是这些权限启动了整个攻击链。
加密诈骗组织者使用快递员收集现金
攻击者已开始雇佣快递员从受害者那里收集资金，这些受害者的交易被银行安全系统阻止。FBI报告了这一加密货币 "猪肉屠宰" 计划运营者的新战术。
通常，这类诈骗始于骗子通过社交网络、约会网站和消息应用联系潜在受害者，赢得他们的信任，然后诱使他们进入虚假的投资计划。
在说服受害者提取现金（例如，以临时账户 "冻结" 的借口）后，骗子会派快递员去找信任他们的人。使用预先约定的密码或特定美元钞票的序列号进行身份识别。收到钱后，黑客会模拟受害者虚拟钱包余额的增加，并重新开始循环，要求新的资金以支付虚构的 "税款"，以便提取资金。
根据FBI对2025年的数据，加密货币和投资诈骗仍然是美国 "最具破坏性形式" 的网络犯罪：它占所有事件的49%，总损失达86亿美元。
无线耳机中的一个漏洞使黑客能够窃听iPhone用户
苹果发布了针对Beats Studio Buds无线耳机的固件更新，修复了一个高严重性漏洞。
该漏洞由SentinelOne专家在1月份报告，允许攻击者秘密连接到设备并使用内置麦克风进行窃听。
该问题的标识符为CVE-2025-20701，涉及芯片开发商Airoha的蓝牙音频SDK中的授权错误。该缺陷允许在蓝牙范围内的黑客在用户不知情或未同意的情况下，远程连接自己的设备到耳机上——前提是耳机尚未配对并且正在主动搜索连接。该漏洞已在Beats固件更新版本1B211中成功消除。
根据专家的说法，该漏洞可以通过标准蓝牙或低能耗协议（BLE）在没有任何身份验证的情况下激活。除了窃听外，攻击者几乎可以完全控制设备：可以读取和覆盖耳机的RAM和闪存。此外，黑客可以劫持与之前配对的智能手机建立的信任关系，这为开发更复杂的多阶段攻击打开了一个向量。
ForkLog上还有：
- Aztec网络中的一个过时合约被黑客攻击，损失200万美元。
- 肯塔基州跟随其他州对Polymarket提起诉讼。
- 英国将禁止16岁以下儿童使用社交网络。
- 俄罗斯联邦最高法院承认加密货币是盗窃的对象。
- Bitbank 威胁对与 Polymarket 相关的交易进行封锁。
周末读什么？
改变世界的想法几乎总是在边缘诞生——在那些被同时代人视为怪人的人中。在一篇新文章中，ForkLog 探讨了为什么像杰克·帕森斯这样的先驱常常处于他们所带来的革命的阴影之中。
来源：ForkLog