各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. Palo Alto Networks披露PAN-OS防火墙“满分”漏洞细节

近日，Palo Alto Networks披露了黑客进行攻击所利用漏洞的更多细节。该漏洞被追踪为 CVE-2024-3400，CVSS 评分达10分，具体涉及PAN-OS 10.2、PAN-OS 11.0 和 PAN-OS 11.1 防火墙版本软件中的两个缺陷。

2. 俄黑客组织“沙虫”发力，乌克兰关基设施被破坏

该黑客组织也被称为 BlackEnergy、Seashell Blizzard、Voodoo Bear 和 APT44 ，据信与俄罗斯武装部队总参谋部主管部门（GRU）有关，主要针对各种目标进行网络间谍活动和破坏性攻击。

3. 拒绝支付！ 2024 年第一季度勒索赎金支付比例降至历史新低

据悉，之所以越来越多的组织选择拒绝支付赎金，原因是受害组织慢慢开始有能力抵御加密攻击，能够组织起安全人员团队在不需要解密密钥的情况下恢复业务正常运行。此外，受害者也发现就算支付了赎金，被盗数据仍旧会被泄露甚至二次交易。

4. 新型 Brokewell 恶意软件控制安卓设备，窃取大量数据信息

据悉，Brokewell 恶意软件主要通过 Web 浏览器运行时弹出的虚假 Google Chrome 更新进行传递，具有广泛的设备接管和远程控制功能。

5. 从10到1000，“教父”系列银行木马变种近两年内疯狂激增

根据 Zimperium 的 《2023 年移动银行劫案报告》，截至2023年年底，"教父 "的目标是遍布 57 个国家的 237 个银行应用程序，其分支机构将窃取的金融信息转移到包括美国、欧洲在内的至少 9 个国家和地区。

安全事件

1. Akira 勒索软件肆虐，250 多家机构惨遭毒手

据美国联邦调查局（FBI）和其他当局称，在不到一年的时间里，以多重勒索策略著称的 "Akira "勒索软件团伙已从250多个受影响的组织中获得了约 4200 万美元的勒索软件收益。这个数据截至 2024 年 1 月 1 日，而该团伙去年 3 月才首次被发现的。

2. CoralRaider 利用 CDN 缓存传播恶意软件

该组织曾发起过多次窃取凭证、财务数据和社交媒体账户的攻击活动。此外该黑客还提供 LummaC2、Rhadamanthys 和 Cryptbot 信息窃取程序，这些信息窃取程序可在恶意软件即服务平台的地下论坛上获得，但需要支付订阅费。

3. 涉及不计其数的患者数据，美国医疗巨头向勒索软件支付了赎金

虽然没有透露受数据泄露影响的具体人数，但联合健康在一份声明中称，根据迄今为止的初步目标数据抽样，该公司已经发现了包含受保护健康信息（PHI）或个人身份信息（PII）的文件，这些文件可能覆盖了美国很大一部分人。

4. “赋能”网络钓鱼攻击，人工智能技术又引争议

Egress 公司公布，2023 年二维码网络钓鱼（QR）攻击数量急剧增加。2021 年和 2022 年，网络钓鱼电子邮件中的二维码有效载荷相对较少，分别占攻击总数的 0.8% 和 1.4%。2023 年，这一比例跃升至 12.4%。

5. WP Automatic WordPress 插件遭遇数百万次 SQL 注入攻击

WP Automatic 现已被安装在 30000 多个网站上，让管理员自动从各种在线资源导入内容（如文本、图片、视频），并在 WordPress 网站上发布。该漏洞被认定为 CVE-2024-27956，严重程度为 9.9/10。

一周好文共读

1.GPT-4 会自己发起漏洞攻击，成功率高达87%

在此次研究中，该团队共对包括GPT-4、GPT-3.5在内的10个AI大模型进行实验，结果发现只有GPT-4可以通过CVE漏洞信息成功发起攻击，且单次成本仅8.8美元 （折合人民币约63元），其他模型的成功率均为零。【阅读全文】

2. 差点让谷歌赔50亿，“无痕模式”真的无痕？

据外媒报道，这起事件最初于 2020 年 6 月由三名谷歌用户提起，他们指控谷歌及其母公司 Alphabet 在用户使用 Chrome 浏览器的无痕模式时，仍然会使用 Google Analytics、Google Ad Manager 等技术监控手段追踪并收集用户的浏览记录。【阅读全文】

3. 输入法重大漏洞曝光，仅华为幸免，近10亿用户受影响

近日，Citizenlab研究人员调查了多家厂商的输入法应用安全漏洞并报告称：除华为以外，百度、荣耀、科大讯飞、OPPO、三星、腾讯、Vivo和小米等供应商的九款应用程序中有八款均存在安全漏洞。为了更好地了解这些厂商的键盘应用是否安全地实现了其云推荐功能，研究者对这些输入法进行了安全分析以确定它们是否充分加密了用户的输入按键记录。【阅读全文】

省心工具

1. macSubstrate：一款针对macOS的代码注入和打桩测试工具

在该工具的帮助下，广大研究人员可以轻松将自己的安全测试插件（.bundle或.framework）注入到macOS应用程序（包括沙盒应用程序）中，以在程序运行时对其进行安全测试或其他调整。【阅读全文】

2. 如何使用trackerjacker映射和跟踪分析WiFi网络设备

trackerjacker是一款针对WiFi无线网络的强大安全工具，该工具功能类似于Nmap，可以帮助广大研究人员映射未连接的WiFi网络，并进行设备跟踪。【阅读全文】

3. web-traffic-generator：一款功能强大的HTTP和HTTPs流量混淆工具

web-traffic-generator是一款功能强大的HTTP和HTTPs流量混淆工具，该工具基于纯Python开发，可以帮助广大研究人员在HTTP或HTTPs网络流量中提添加噪声，以此来实现流量混淆的目的。【阅读全文】