以下是本周回顾：

NullPoint Stealer源代码泄露

NullPoint Stealer信息窃取恶意软件的源代码已在网上泄露。该恶意软件能够从受感染的Windows设备中窃取密码、浏览器数据、屏幕截图、文件、VPN数据和加密钱包等信息。

4chan分享近期黑客攻击事件信息

4chan分享了近期黑客攻击事件的一些信息。据这个备受争议的公告栏称，一名黑客利用其一台服务器上一个过时的软件包访问了系统。这使攻击者能够访问网站的数据库和管理面板。此次事件被归咎于财务问题，导致该网站未能执行其基础设施更新计划。目前，被攻破的服务器已被替换，网站已恢复正常运营。

WordPress用户成为安全主题攻击的目标

WordPress安全公司PatchStack和Defiant已向用户发出警告，近期有两起利用安全相关主题的攻击活动。PatchStack警告称，钓鱼攻击会告知潜在受害者其WooCommerce安装中存在漏洞。Defiant发现了一款伪装成反恶意软件插件的WordPress恶意软件。该恶意软件使攻击者能够获得受感染网站的管理员访问权限。

iPhone漏洞研究人员获17,500美元赏金

研究员Guilherme Rambo分享了CVE-2025-24091的详细信息。该漏洞是Apple于3月份修补的一个iOS漏洞，可能被已安装的小部件利用，发起DoS攻击。Rambo表示，只需一行代码即可利用该漏洞，导致设备“软砖”，需要擦除设备数据并从备份中恢复才能恢复正常。Rambo表示，他因发现漏洞获得了17,500美元的漏洞赏金。

BreachForums将关闭归咎于执法部门和零日漏洞利用

BreachForums已被暂时关闭，其管理员发布消息称，该网站因MyBB零日漏洞遭到攻击，这是执法行动的一部分。他们声称基础设施和数据并未受到损害，也没有人被捕。他们目前正在重写论坛后端。

SK Telecom遭黑客攻击后更换SIM卡

韩国最大的电信公司SK电信(SK Telecom)因黑客攻击导致信息泄露，可能导致SIM卡被克隆，因此正在为客户更换SIM卡。客户可以申请更换SIM卡，但目前大多数门店均已售罄。与此同时，该公司还提供免费SIM卡保护服务，以防止SIM卡被滥用。

分散蜘蛛黑客被引渡至美国

英国公民泰勒·罗伯特·布坎南（Tyler Robert Buchanan）涉嫌参与臭名昭著的“散布蜘蛛”（Scattered Spider）网络犯罪集团，现已从西班牙引渡至美国。布坎南于2024年6月在西班牙被捕，此前一年多前，他因受到敌对网络犯罪团伙的威胁而逃离英国。美国于2024年11月宣布对他及其他“散布蜘蛛”成员提起诉讼。

微软详细介绍macOS沙盒逃逸

微软已公布其研究人员于2024年4月发现的macOS漏洞CVE-2025-31191的详细信息。苹果于2025年3月发布了补丁。微软表示，该漏洞允许“特制代码逃离应用沙盒并在系统上不受限制地运行”。该漏洞利用涉及安全范围内的书签，并且无需用户交互。

4月14日下午，一名黑客使用英国IP地址，通过伪造的PDF上传文件，利用了4chan一台服务器上一个过期软件包。通过这个入口点，他们最终成功访问了4chan的一台服务器，包括数据库和我们自己的管理面板。该黑客花了数小时窃取了数据库表和4chan的大部分源代码。下载完所需内容后，他们开始破坏4chan，这时管理员意识到了这一点，并暂停了4chan的服务器，阻止了进一步的访问。

在接下来的几天里，4chan 的开发团队评估了损失，坦率地说，损失是灾难性的。虽然并非所有服务器都遭到入侵，但最重要的一台服务器确实遭到入侵，而这仅仅是因为没有及时更新旧操作系统和代码。归根结底，这个问题是由于我们没有足够的熟练工时来更新代码和基础设施，以及多年来广告商、支付提供商和服务提供商迫于外部压力而资金匮乏造成的。

我们在2023年末就开始着手配置新服务器。正如许多人猜测的那样，在那之前，4chan一直运行在moot在他最后一次问答活动前几周购买的二手服务器上，因为在那之前，我们的经济状况根本无法考虑如此大规模的采购。愿意与4chan合作的广告商和支付服务提供商寥寥无几，而且很快就会受到激进分子的压力，被迫取消服务。筹集新设备的资金耗费了近十年的时间。

2024年4月，我们敲定了规格，开始寻找可能的供应商。我们资金一直很紧张，很少有公司愿意卖给我们服务器，所以实际购买硬件并非易事。我们设法在6月完成了采购，并在7月将新服务器安装上线。在接下来的几个月里，我们慢慢地将功能迁移到新服务器上，但关键功能仍然依赖于旧服务器。整个过程耗时比预期长得多，这也是这次失败中反复出现的问题。4chan开发团队原本可以投入到4chan的空闲时间不足以让我们快速更新软件和基础设施，我们的运气走到了尽头。

然而，在近两周的宕机期间，我们并没有闲着。被攻破的服务器已被替换，操作系统和代码也已更新至最新版本。PDF 上传功能在支持此功能的论坛上已被暂时禁用，但不久后将恢复。然而，一个运行缓慢但备受喜爱的论坛 /f/ - Flash 将不会恢复，因为目前尚无切实可行的方法阻止使用 .swf 文件进行类似的攻击。我们正在招募更多志愿者开发人员来协助分担工作量，尽管部分论坛成员的个人隐私受到了严重侵犯，但我们的志愿者管理员和版主团队依然团结一致。

4chan 回来了。没有其他网站可以取代它，也没有其他社区可以取代它。无论多么艰难，我们都不会放弃。

基于macOS安全范围书签的沙盒逃逸

2024 年 4 月，微软在 macOS 中发现了一个漏洞，该漏洞可能允许特制代码逃离应用沙盒并在系统上不受限制地运行。攻击者可以使用安全范围的书签创建漏洞，无需任何沙盒应用的用户交互即可逃离应用沙盒。由于能够在受影响的设备上不受限制地运行代码，攻击者可以执行进一步的恶意操作，例如提升权限、窃取数据以及部署其他有效载荷。微软的威胁情报研究表明，这些漏洞需要非常复杂，并且需要启用 Office 宏才能成功攻击 Microsoft Office 应用。

与2022 年发现的另一个沙盒逃逸漏洞类似，在研究在 macOS 上的 Microsoft Office 中运行和检测恶意宏的潜在方法时发现了这个问题。发现此问题后，通过 Microsoft 安全漏洞研究 (MSVR) 的协调漏洞披露 (CVD) 与 Apple 分享了我们的发现。Apple发布了针对此漏洞的修复程序，该漏洞目前编号为 CVE-2025-31191，作为 2025 年 3 月 31 日发布的安全更新的一部分。要感谢 Apple 产品安全团队的合作和响应。鼓励 macOS 用户尽快应用安全更新。

Microsoft 账户默认无密码

微软正在通过优先考虑无密码登录和注册方法来努力消除基于密码的身份验证。

该科技巨头表示，在过去十年中，微软用户可以选择通过 Windows Hello 使用面部、指纹或 PIN 登录，现在超过 99% 的用户都通过这种方式登录他们的 Windows 设备。

为了使用户能够在没有密码的情况下登录任何帐户，业界提出了密钥，它提供了一种防网络钓鱼的身份验证方法，可以在任何支持的应用程序或网站上使用。

尽管越来越多的用户依赖无密码身份验证方法，但威胁行为者却越来越多地将仍受密码保护的账户作为目标，进行暴力破解和网络钓鱼攻击。去年，微软记录到每秒超过 7,000 次密码攻击。

该公司表示： “随着密钥成为新标准，预计网络攻击者对任何仍受密码或其他可钓鱼登录方法保护的帐户的压力将越来越大。”

继 Xbox 和 Copilot 等微软服务账户引入密码支持后，这家科技巨头现在让用户可以更轻松地使用无密码方式登录。

简化的登录和注册用户体验现在简化并优先考虑无密码身份验证，而新的 Microsoft 帐户现在为用户提供了多种无密码选项，无需注册密码。

该公司表示，现有的微软用户现在可以从账户设置中删除他们的密码。

微软专注于优先提供更安全的登录选项，现在会自动检测用户的最佳身份验证方法，并将其设置为默认方法。

例如，如果您的帐户设置了密码和‘一次性代码’，我们会提示您使用一次性代码而不是密码登录。登录后，系统会提示您注册一个密钥。下次登录时，系统会提示您使用密钥登录。”微软解释道。

该公司表示，这些变化不仅带来了更快的登录体验，而且还减少了密码的使用。

该科技巨头指出：“随着越来越多的人注册密钥，密码验证的数量将持续下降，直到我们最终完全取消密码支持。”