各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. “杀猪盘”在美横行，损失超30亿美元

据联邦调查局 (FBI) 当地时间3月14日发布的公告，越来越多的美国人正成为网络投资欺诈的受害者，仅在2022年造成的损失就超过30亿美元。

2. 聚焦315：钓鱼短信诈骗、直播水军泛滥、App窃取信息

今年的315晚会主题为“用诚信之光照亮消费信心”，个人信息及数据安全问题依然是曝光的重点领域：钓鱼短信诈骗、直播水军虚假流量、破解版App窃取用户信息、旧设备数据难以彻底删除。

3. Medusa勒索软件正以全球企业为攻击目标

过去两年一向低调的勒索软件组织Medusa（美杜莎）近期开始变得活跃，目标针对全球范围内的多个企业组织，并索要数百万美元赎金。本月初，Medusa袭击了明尼阿波利斯公立学校 (MPS) ，索要100 万美元的赎金。

4. 刚刚微软的3月安全更新中，这几个安全漏洞值得注意

近日，安全专家建议IT团队应优先修补两个零日漏洞，一个是微软Outlook的认证机制，另一个是web标记的绕过。

5. 新版Prometei僵尸网络感染全球超过1万个系统

自2022年11月以来，新版本的Prometei的僵尸网络已经感染了全球超过10000个系统。这些感染没有地域的限制，大多数受害网络在巴西、印度尼西亚和土耳其。

安全事件

1. 无密码绕过！黑客利用ChatGPT劫持Facebook账户

3 月 3 日- 3 月 9 日，每天至少有 2000 人从 Google Play 应用商店下载"快速访问 ChatGPT“ 的 Chrome 恶意扩展。据悉，一名威胁攻击者可能利用该恶意扩展泄露包括商业账户在内的数千个 Facebook 账户。

2. 泄露21GB数据！知名安全公司遭黑客攻击

近日，一位匿名黑客成功入侵瑞士网络安全公司 Acronis 并窃取大量敏感数据的消息引爆了安全圈。更讽刺的是，在其官网上 ，Acronis 一直高调宣称能够“通过第一时间阻止网络攻击发生，主动保护数据、系统和应用程序。”

3. 三星 Exynos 芯片组爆出18个零日漏洞，影响多款产品

谷歌 Project Zero 安全团队在三星用于移动设备、可穿戴设备和汽车的Exynos 芯片组中发现了 18 个漏洞，包括 Pixel 6 系列、Pixel 7 系列、三星 Galaxy S22 系列和 Galaxy A53 等产品均受影响。

4. 俄罗斯新冠疫苗 "机密 "信息遭遇泄露

黑客组织 KelvinSecurity 在网上共享了数百份文件，其中包含俄罗斯 Sputnik V 新冠肺炎疫苗开发的相关信息，其中一些文件甚至囊括了临床试验中已故参与者的姓名信息。

5. Fortinet：新的零日漏洞攻击政府网络，窃取数据

根据 Fortinet 最新报告，不明来源的的攻击者利用零日漏洞针对政府和大型组织，导致操作系统和文件损坏以及数据丢失。

一周好文共读

1. OneNote 正在被更多的攻击者使用

随着微软默认禁用宏代码策略的生效，越来越多的攻击者开始使用 OneNote 文档来分发恶意软件。本文介绍了几个使用 OneNote 文档的案例，展示了攻击者如何使用该类文件进行攻击。【阅读原文】

2. 渗透测试年度报告：IT预算应关注整个安全堆栈

渗透测试是一种模拟的安全攻击，本质上是企业针对自己的系统进行的一种攻击演习，以检查可利用的漏洞。渗透测试主要针对应用程序编程接口、服务器和任何泄露的入口点，以实现web应用防火墙的安全性。安全公司Pentera通过调查300名安全高管得出的《渗透测试年度报告》发现，92%的组织正在提高其整体IT安全预算；86%的人正在增加渗透测试的预算。【阅读原文】

3. 火爆的GPT-4来了！

3月14日，人工智能公司OpenAI发布了ChatGPT（GPT-3.5阶段）的升级版GPT-4，让原本已经略显沉寂的ChatGPT话题再次迎来了“爆炸式热议”，毫无悬念地冲上了社交平台热搜。“AI 终将取代人类”、“GPP-4考试能力强国90%的人类”等话题受到越来越多的用户关注。【阅读原文】

省心工具

1. Prithvi：一款针对安全审计活动的安全报告生成工具

Prithvi是一款针对安全审计活动的安全报告生成工具，该工具专为安全审计活动设计，可以帮助广大研究人员以自动化的形式申城安全审计报告。【阅读原文】

2. SSTImap：一款带有交互式接口的自动化SSTI检测工具

SSTImap是一款功能强大的渗透测试工具，该工具提供了一个交互式接口，可以帮助广大研究人员以自动化的形式检查网站的代码注入和服务器端模版注入漏洞。除此之外，该工具甚至还可以帮助我们自动利用这些发现的漏洞，从而访问目标服务器（主机）操作系统。【阅读原文】

3. contact.sh：一款专门用于安全漏洞报告的公开资源情报工具

contact.sh一款专门用于安全漏洞报告的公开资源情报工具，在该工具的帮助下，广大研究人员可以扫描企业域名并搜索企业中的用户账号，并根据安全威胁等级来发送安全漏洞报告。【阅读原文】