供应链投毒波及 Rust 与 npm:两小时内出现在 build 脚本中的后门
被攻陷的维护者账户推送了恶意 crate 版本,其构建脚本会在编译时执行恶意软件;与此同时被投毒的 npm 包则投递了 AI 辅助的 Linux 后门。这类攻击如何运作,以及 lock 文件为何重要。
安全
70 篇帖子关于不被钓鱼的简短实用笔记。不贩卖恐慌,只有清单。
最新笔记
最新优先ToxicPanda 2.0 扩张至 349 个应用,并借 VPN 权限封死 Google Play
Android 银行木马 ToxicPanda 更新了 167 条外部命令、针对 349 个金融应用的覆盖层钓鱼,以及一个在激活期间切断受害者 Google Play 的 VPN 服务花招。
Zombie Card Attack:研究人员让过期 Visa 卡复活进行非接触支付
研究人员展示,中间人可以重写 POS 终端从过期 Visa 卡读取的有效期,让死卡完成真实购物。我们解释其机制、carding 圈如何注意到它,以及攻击的边界在哪里。
在信任一个 .onion 地址之前,如何正确验证它
onion 地址不是名字 - 它是公钥。错一个字符,你就坐到了陌生人的服务器前。关于验证,研究人员与运营者都说了什么。
假查封横幅:当警方通告成为骗局的一部分
假查封横幅为 exit scam 与钓鱼套件供料。AlphV 恶作剧的内幕、克隆 takedown 页面的解剖,以及能戳穿摆拍突袭的核对方法。
Playpen 与 NIT:重写 tor browser 安全的 FBI 那次入侵
2015 年,FBI 运营了 13 天 dark web 站点 Playpen,并用一个浏览器 exploit 揭开了 1000 多名访客的身份。NIT 是如何工作的。
一步一步验证 PGP 签名:导入、核对、识破伪造
一次 PGP 签名验证的实践巡游:安装 GnuPG、导入与核对密钥、验证 detached 与 clearsigned 消息 - 以及要避开的典型新手错误。
钓鱼镜像为什么有效:darknet 最可靠骗术的心理学与机制
假镜像窃取登录与充值,因为它们利用紧迫感、品牌信任与被投毒的链接列表。骗术如何运作 - 以及哪些习惯能击败它。
clipboard 劫持者:悄悄调换你加密地址的恶意软件
clipboard 劫持者守候复制的加密地址,并在毫秒间完成调换。为什么只看首尾字符已不再够用。
address poisoning 解析:相似地址如何掏空加密钱包
address poisoning 往你的交易历史里播种相似的地址,守候一次疏忽的复制粘贴。骗局如何运作、受害者失去了什么,以及为什么保存的地址簿会赢。
错一个字符:onion typosquatting 如何把用户送进冒名服务器
改掉 .onion 地址中的一个字符,tor 就会把你连到另一台完全不同的服务器。我们重新审视有据可查的相似域名活动,以及那些站得住的验证习惯。
onion 站点上的小锁:HTTPS 证书对 .onion 到底意味着什么
.onion 站点上的小锁,含义与 clearnet 不同。我们看 TLS 为 onion 服务增加了什么,以及 tor 在此之外已做了什么。