xz 后门事件凸显了维护者在维护一个基本上不会得到多少外界帮助的开源项目时所面临的挑战，当别有用心的人热情提供帮助，你真的难以分辨对方是真心还是假意。对于 xz 项目原唯一维护者 Lasse Collin 邮件列表交流的分析显示，这位维护者早就筋疲力尽了，他承认如果有 bug 会去修，但开发新功能基本上不可能了。这种情况在 JiaT75(Jia Tan)积极提供帮助后发生了变化，Jia Tan 是少数或者可能是唯一一位愿意“帮助”而不是抱怨开发停滞的人。Lasse Collin 表示考虑让 Jia Tan 扮演更重要的角色，甚至让其接手维护。对于不断抱怨和提出要求的用户，他强调这是一个无薪水的业余项目。在“用户”不断的要求之下，Jia Tan 成为了项目的共同维护者。

Linux 上广泛使用的无损压缩软件包 xz-utils 被该项目的一位维护者秘密植入了后门，后门旨在绕过签名验证未经授权访问开放 SSH 端口的系统。存在后门的版本是 v5.6.0 和 v5.6.1，后门版本尚未进入 Linux 发行版的生产版本，因此影响范围有限，主要影响的是测试版本的 Debian 和 Red Hat 发行版，以及 Arch 和 openSUSE 等。攻击者被认为处心积虑，潜伏长达三年时间。使用中文拼音的攻击者 JiaT75 (Jia Tan) 于 2021 年创建了 GitHub 账号，之后积极参与了 xz-utils 的开发，获取信任之后成为了该项目的维护者之一。过去几个月，JiaT75 开始非常巧妙的悄悄加入恶意代码，“分阶段通过添加测试用例数据为掩盖放入了恶意代码，并在发布时在m4脚本的目录中添加了一些精妙的把恶意代码重新组装、解压缩的脚本，在库中添加了劫持某 OpenSSL 函数的功能，添加了一个 SSH 后门。”创建后门版本之后 JiaT75 还积极联络主要 Linux 发行版维护者，以该版本包含“很棒新特性”为由督促他们使用后门版本。但后门代码存在 bug，会导致崩溃等，此人随后与 Linux 开发者们频繁联络通信，试图修复问题，并建议他们发现问题后不要公开。目前 JiaT75 的账号以及 xz-utils 库都已被 GitHub 关闭。

Google Play 官方应用商店有逾 15 款免费 VPN 应用被发现使用恶意 SDK 将 Android 设备变成住宅代理服务器，可被用于隐藏恶意活动。用户可选择自愿注册住宅代理获取收入等回报，但有部分 Android 设备是在不知情下被秘密安装了住宅代理。安全公司 HUMAN 的 Satori 团队发布报告，列出了 Google Play 上 28 个秘密将 Android 设备变成代理服务器的应用。28 个应用有 17 个冒充为免费 VPN，其中包括 Lite VPN、Byte Blade VPN、Fast Fly VPN、Fast Fox VPN、Fast Line VPN、Oko VPN、Swift Shield VPN、Turbo Track VPN、VPN Ultra 等等。

安全公司 Lumen Labs 披露，约 4 万个家用和办公室路由器被纳入 TheMoon 僵尸网络，在用户不知情下被用于注册 Faceless 代理服务，该服务旨在匿名化网络罪犯的非法在线活动，因此主要在网络犯罪论坛上出售。TheMoon 的历史可追溯到 2014 年，早期只感染 Linksys E1000 系列路由器，最近扩大到华硕 WRT, Vivotek Network Cameras 和 D-Link。安全研究人员报告，TheMoon 本月初在 72 小时内增加了 6 千台华硕路由器，显示了它的活跃度和强大。

研究人员披露了针对 AMD Zen 2 和 Zen 3 平台的 RowHammer 比特翻转攻击 ZenHammer。RowHammer 攻击指的是应用反复访问 DDR 内存芯片的特定区域导致比特翻转。比特翻转（Bitflips）是指储存在电子设备上的个别比特发生翻转的事件，比如从 0 变为 1 或反之亦然。研究人员表示，尽管部署了缓解措施，他们仍然能针对 Zen 2 和 Zen 3 系统上的 DDR4 触发 Rowhammer 比特翻转。研究人员还使用 ZenHammer 攻击首次演示了对 DDR5 的 RowHammer 比特翻转。研究人员认为 Error Correction Codes(ECC)内存无法提供对 RowHammer 攻击的完整防御，只是增加了利用难度。研究人员在 2024 年 2 月 26 日通知了 AMD，应其要求到 2024 年 3 月 25 日才公开披露该漏洞。

Google 旗下的安全公司 Mandiant 发表报告认为，黑客组织 UNC5174 是 F5 BIG-IP Traffic Management User Interface 远程代码执行漏洞 CVE-2023-46747 和 ConnectWise ScreenConnect 路径遍历漏洞 CVE-2024-1709 的幕后黑手，这两个漏洞的危险评分分别高达 9.8/10 和 10/10。攻击者在获得受害者组织的初步网络访问权限之后，会选择高价值的目标出售。最奇怪的事情是，在被感染的系统中创建后门之后他们会给被利用的漏洞打上补丁。此举可能是防止其他黑客组织利用相同的漏洞入侵系统。

科罗拉多州立大学研究人员发现，美国商用卡车使用的 Electronic Logging Devices(ELDs)存在安全漏洞，可被用于控制卡车，甚至在卡车之间传播蠕虫。他们的论文发表在 2024 Network and Distributed System Security Symposium 研讨会上。研究人员没有披露受影响的 ELD 品牌或型号，表示只有几十种不同的 ELD 型号在商用卡车上使用。美国联邦政府要求重型卡车配备 ELD，跟踪驾驶时间，记录发动机运行、车辆运动和行驶距离等数据，但没有要求内置经过测试的安全控制装置。研究人员称，攻击者可通过蓝牙或 Wi-Fi 连接访问 ELD 去控制卡车，比如强迫卡车靠边停车。其中最令人担忧的情景是对卡车 ELD 的蠕虫攻击：蠕虫通过被感染设备的 Wi-Fi 功能搜索附近其它容易受攻击的 ELD。找到匹配的 ELD 后，蠕虫使用默认凭据建立连接，将恶意代码传播到新 ELD，覆盖现有固件，然后重复这一过程。美国目前有逾 1400 万辆中型和重型卡车。

2022 年，一群安全研究人员被邀请入侵拉斯维加斯的酒店客房。时隔一年半之后，研究人员公布了他们的工作成果：入侵者可以在数秒内打开全球 300 万间酒店客房中的任意一间。他们的酒店钥匙卡入侵技术被称为 Unsaflok，针对的是瑞士锁具制造商 Dormakaba 销售的基于 RFID 的 Saflok 钥匙卡锁。Saflok 系统被安装在全球 131 个国家的 300 万房门上。安全研究人员首先从目标酒店获取钥匙卡——如预订房间——然后用 300 美元的 RFID 读写设备读取卡上的特定代码，最后写入两张自己的钥匙卡。此后只需在锁上轻敲两张卡，第一张卡会重写锁的特定数据，第二张卡会打开它。Dormakaba 公司表示过去一年和世界各地的酒店合作修正或更换容易受攻击的门锁。目前只有 36% 的 Saflok 锁已经更新，完全修正或更换可能需要数年时间。

上周，在热门射击游戏《Apex Legends》的电竞锦标赛期间，黑客设法让两名知名游戏主播在游戏中开挂。遭到入侵的主播在直播中惊讶的大喊被黑了被黑了。赛事主办方被迫无限期推迟比赛。发动攻击的黑客自称是 Destroyer2009 和 R4andom，其中 Destroyer2009 接受采访时表示只是为了好玩，旨在迫使开发商修复游戏漏洞。他拒绝披露漏洞细节，称在完全修复和一切恢复正常前不会公布漏洞信息，表示漏洞与服务器无关，他没有攻击游戏主播的计算机，一切都是在游戏程序中完成的。

富士通证实其部分计算机系统感染了恶意程序，攻击者可能还窃取到了部分客户信息。富士通称在检测到恶意程序之后，它立即切断了与被感染计算机的网络连接，部署了更好的监视工具，加强安全措施。富士通表示它开始通知信息可能被盗的客户。该公司没有披露更多信息。

卡巴斯基安全研究人员发现有攻击者在百度投放广告传播恶意版的文本编辑器 Notepad++ 和笔记应用 vnote。研究人员指出，如果用户点击广告进入传播恶意版 Notepad++ 的网站，会立即注意到不一致的地方：网址包含了 vnote 而不是 Notepad++，提供下载的应用是中国开发者改造过的 Notepad--（分支）。网站提供的 Windows、Linux、macOS 三个版本中只有 Linux 和 macOS 版本包含了恶意代码。vnote 的钓鱼网站则试图模仿官网。如果用户安装了恶意版的 Notepad--，它会试图安装一个后门程序，该后门程序应该是来自于开源程序 Geacon。

帮助用户从近 200 个人肉搜索网站删除个人信息的数据隐私公司 Onerep.com 其创始人被发现创办了数十家人肉搜索公司。Onerep 的服务价格个人每月 8.33 美元，家庭每月 15 美元。该公司的创始人兼 CEO 是来自白俄罗斯明斯克的 Dimitri Shelest。调查显示，他实际上是一家白俄罗斯人肉搜索公司 Nuwber.com 的创始人，他的邮箱被用于注册了至少 179 个域名，其中至少几十家公司的业务针对的是阿根廷、巴西、加拿大、丹麦、法国、德国、香港、以色列、意大利、日本、拉脱维亚和墨西哥等国家和地区公民的人肉搜索。

Google 宣布对 Chrome 浏览器的安全浏览保护功能（Safe Browsing）进行重大改变，将用户访问的网址与服务器端的恶意网站列表进行实时比对。此前 Chrome 是每小时向本地下载一个已知的恶意网站列表，现在改为实时检查，不再需要每小时更新列表，正如 Google 指出恶意网站的平均生存时间只有 10 分钟。搜索巨人称，这种服务器端的实时检查相比本地列表能多发现四分之一的钓鱼攻击。Google 首先向桌面和 iOS 版本推送新的系统，在本月晚些时候向 Android 版推送该功能。

Tor 项目正式推出了模拟 HTTPS 流量的新网桥 WebTunnel。网桥是不公开的 Tor 中继。WebTunnel 通过模拟 HTTPS 流量增加屏蔽 Tor 连接的难度。审查者不可能完全屏蔽 HTTPS 连接，因为这会导致绝大部分服务无法访问。Tor 项目称，WebTunnel 的工作原理是将负载（Payload）连接包装成类 WebSocket HTTPS 连接，在网络观察者眼里就像普通的 HTTPS (WebSocket) 连接。使用 WebTunnel 网桥需要用户去获取相关网桥地址，手动添加到 Tor 浏览器中。WebTunnel 网桥数量还不多，目前无法在伊朗部分地区使用，在其它国家能正常工作。

法国政府周一表示其多项服务遭遇“前所未有强度”的网络攻击。攻击始于周日晚上。法国政府没有透露更多细节，只是表示到周一下午攻击对大部分服务的影响已经削弱，政府网站的访问已经恢复。亲俄罗斯的黑客组织 Anonymous Sudan 宣布对此负责。官员表示这次攻击属于 DDoS 攻击，通过向网站注入大量数据使其瘫痪。在这次攻击发生前，法国总统马克龙（Emmanuel Macron）曾表示要向乌克兰派遣军队。

微软在 1 月份披露，俄罗斯黑客组织 Midnight Blizzard aka Nobelium 入侵了部分高管的电邮账号。微软称攻击者使用了密码喷洒攻击(Password Spraying) ，并非利用其产品或服务漏洞。本周五微软更新了其博客，称黑客窃取了源代码。微软表示，Nobelium 的攻击仍然在进行之中，它过去几周收集的证据表明黑客正利用从电邮系统窃取的信息访问源代码和其它内部系统。黑客利用的部分信息是在客户和微软之间通过电邮共享的，它已经并正在通知受影响的客户。Nobelium 是 2020 年 SolarWinds 供应链攻击的幕后发起者。

在 BlackCat/ALPHV 对美国医疗巨头 Change Healthcare 的勒索软件攻击中，真正的执行者被认为是自称 Notchy 的加盟成员。Notchy 在 Ramp 论坛上指责 BlackCat/ALPHV 的管理员没有给他们佣金。Change Healthcare 母公司 UnitedHealth 向该组织支付了价值 2200 万美元的比特币赎金。BlackCat/ALPHV 组织者随后就携款跑路，宣布将停止运作。安全研究人员对 Notchy 进行了深入分析，认为黑客可能与中国相关。研究人员发现了一个 Telegram 用户名和 2023 年 4 月的一则消息，Notchy 在寻找合法的安全测试工具 Cobalt Strike，该工具常被网络罪犯用于在部署勒索软件前获取受害者 IT 环境的初步立足点。Notchy 很可能购买了 SmartScreen Killer 恶意程序和最新版本的 Cobalt Strike。

美国 41 个州的总检察长周三联合致函 Meta 首席法务官 Jennifer Newstead，称各地有关 Facebook 和 Instagram 用户帐户被盗的投诉激增，认为 Meta 有必要立即采取行动以缓解威胁。总检察长们称，账号被劫持的投诉持续激增消耗了大量政府资源，因为很多被盗账号与金融犯罪有关联。而 Meta 可能会从中受益，因为他们收到报告称盗取账号的人在 Meta 上购买了广告。检察长们表示他们不是 Meta 的客服，要求社交巨人投入资源减轻用户账号被盗的风险。

微软最近修复了一个被活跃利用了半年之久的 0day 漏洞。朝鲜黑客组织 Lazarus 至少从去年 8 月起就利用该漏洞安装秘密的 rootkit。该漏洞为已获得系统管理权限的恶意程序提供了一种简单而隐蔽的方法与 Windows kernel 交互。微软长期认为这种从管理权限到系统内核互动的提权不代表跨越了安全边界，这可能有助于解释为什么该漏洞花了如此长时间修复。安全公司 Avast 的研究人员称，对 Windows 安全性而言，管理权限和系统内核之间只有一线之隔。该漏洞被 Lazarus 组织秘密安装 FudModule，Avast 发布报告详细解释了漏洞利用的原理。

BlackCat/ALPHV 勒索软件组织对美国医疗巨头 Change Healthcare 的攻击导致全美医院和药房的处方药配送中断近两周。Change Healthcare 很可能已经向该组织支付了 2200 万美元的赎金，但它拒绝证实或否认，只是表示当前的重心是调查和恢复服务。BlackCat/ALPHV 是一个勒索软件即服务组织，它依赖于加盟成员感染企业网络，而加盟成员能从收到的赎金中拿到 6 成到 9 成比例的佣金。但根据俄语勒索软件论坛 Ramp 上的讨论，BlackCat/ALPHV 收到赎金之后没有给下线佣金，名叫 Notchy 的用户称，BlackCat/ALPHV 关闭了他们的账号，并在联络时撒谎和拖延，这位用户表示 Change Healthcare 的数据仍然在他们手中。BlackCat/ALPHV 组织的代表随后表示他们正在关闭，已经给勒索软件源代码找到了买家。BlackCat/ALPHV 的网站如今显示了被 FBI 扣押的声明，但安全专家认为这是捏造的，该组织正在实施“退出骗局”以避免向下线支付佣金。