PrivateLoader PPI服务发现RisePro恶意软件窃取分发信息

于 2023-02-21 16:12:14 发布
阅读量511 收藏
点赞数
CC 4.0 BY-SA版权
文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/murphysec/article/details/129144675

称为PrivateLoader的按安装付费（PPI）软件下载器服务正用于恶意软件RisePro的信息窃取。

Flashpoint 于 2022 年 12月13日发现了新的窃取者，此前发现了在名为Russian Market的非法网络犯罪市场上使用该恶意软件泄露的“几组日志”。

RisePro是一种基于C++的恶意软件，据说与另一种称为Vidar窃取程序的信息窃取恶意软件有相似之处，Vidar窃取程序本身是2018年出现的代号为

最低0.47元/天 解锁文章
墨菲安全
关注
博客
Chrome拓展 Video Speed Controller 等内嵌恶意后门
07-10 273
【高危】多款Chrome拓展（含Video Speed Controller相关）被植入恶意后门，可窃取用户浏览链接，与攻击者C2服务器建立持久连接，并强制浏览器重定向至恶意网站。受影响拓展涉及多个ID版本（如eckokfcjbjbgjifpcbdmengnabecdakp≤1.0.11等），利用成本低，风险等级高。建议立即排查并移除受影响拓展，全面检查系统安全。
博客
泛微e-cology ＜ 10.76 前台SQL注入漏洞
07-10 172
泛微e-cology <10.76版本存在高危前台SQL注入漏洞。攻击者可未授权通过/api/doc/out/more/list接口注入恶意SQL至Redis，再经/api/ec/dev/table/counts接口执行，导致未授权SQL注入，可能进一步写入Webshell实现远程代码执行。影响版本为(-∞,10.76)，建议立即升级至10.76及以上版本。应急可通过WAF阻断涉事接口、加强参数校验、限制Redis访问缓解风险。
博客
NPM组件 n8n-nodes-zalo-tools-vts 等窃取主机敏感信息
07-08 130
NPM组件n8n-nodes-zalo-tools-vts（0.0.1-0.0.6版本）及ass-frontend 1.0.0存在投毒风险，安装后会窃取主机名、用户名、工作目录、IP等敏感信息并发送至攻击者服务器。漏洞利用成本低，可能性中，属高危。建议立即排查并卸载受影响包，删除node_modules和package-lock.json后重装依赖，全面检查系统安全，加强依赖管理规范。
博客
Redis hyperloglog 越界写入导致远程代码执行漏洞
07-08 1777
CVE-2025-32023是Redis HyperLogLog组件的高危远程代码执行漏洞。由于解析稀疏编码数据时未验证操作码运行长度，导致整数溢出及堆越界写入。影响Redis 8.0.0-8.0.2、2.8-6.2.18、7.4.0-7.4.4、7.2.0-7.2.9版本，利用可能性高且存在POC。修复版本通过增加溢出检测标志位阻断越界操作，建议受影响用户升级至8.0.3+、6.2.19+、7.4.5+或7.2.10+，并限制服务访问来源。
博客
NPM组件包 json-cookie-csv 等窃取主机敏感信息
07-07 463
NPM组件包json-cookie-csv等存在高危投毒漏洞，安装受影响版本后会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。涉及token-renewal、graphql-commons、canonical-bridge-ui等20余个组件的特定版本，目前无最小修复版本。利用成本低、可能性中，强烈建议立即排查并移除受影响包，删除node_modules及package-lock.json后重装依赖，全面检查系统安全，加强依赖管理，仅使用官方源并限制版本范围。
博客
泛微e-cology remarkOperate远程命令执行漏洞
07-07 333
泛微e-cology remarkOperate接口存在高危远程命令执行漏洞，源于/api/workflow/reqform/remarkOperate接口的multipart类型参数requestid未经验证直接拼接SQL语句，导致SQL注入。攻击者可利用该漏洞执行任意SQL，甚至通过写文件实现远程命令执行。影响范围覆盖全版本，建议立即对该接口实施访问控制、WAF拦截SQL注入特征，同时升级至官方修复版本并采用参数化查询修复根本问题。
博客
NPM组件 querypilot 等窃取主机敏感信息
07-06 584
【高危】NPM组件querypilot等存在投毒风险，安装后会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。受影响组件包括@vapc-ui/font-icon、@indigo-mobile/material、querypilot等30余个，版本多为[1.0.0, 99.99.99]等大范围。利用成本低，可能性中。建议立即排查卸载受影响包，删除node_modules后重装依赖，全面检查系统安全，加强依赖管理（如限制版本范围、使用官方源）。
博客
泛微e-cology remarkOperate远程命令执行漏洞
07-06 276
泛微e-cology协同管理平台存在高危远程命令执行漏洞，因/api/workflow/reqform/remarkOperate接口的multipart类型参数requestid未校验直接拼接SQL，导致SQL注入。攻击者可执行任意SQL，甚至写文件实现远程命令执行，影响所有版本。建议立即限制接口访问、配置WAF过滤、验证参数输入，并通过官方渠道获取补丁修复。
博客
NPM组件 nodemantle002 等窃取主机敏感信息
07-05 547
高危NPM组件投毒漏洞（MPS-qrk7-ayms）影响nodemantle002、lz-evm-sdk-v1等多个包，安装后窃取主机名、用户名、IP地址等敏感信息并发送至攻击者服务器。受影响版本包括nodemantle002@2.3.1-6.2.1、definitelytyped-tools@1.0.0-99.99.98等。利用成本低，建议立即排查并卸载恶意包，删除node_modules后重装依赖，加强依赖管理（限制版本范围、使用官方源），用安全工具监控风险。
博客
泛微e-cology remarkOperate远程命令执行漏洞
07-05 513
泛微e-cology协同管理平台存在高危远程命令执行漏洞，因/api/workflow/reqform/remarkOperate接口的multipart类型requestid参数未校验，直接拼接进SQL语句导致SQL注入。攻击者可执行任意SQL，甚至通过写文件实现远程命令执行。所有版本均受影响，建议通过官方安全补丁修复，或临时用WAF拦截特殊字符、限制接口访问来源等应急措施。
博客
NPM组件 alan-baileys 等窃取主机敏感信息
07-03 806
NPM多个组件（如alan-baileys、logflow-json等）被投毒，安装后会窃取主机名、用户名、IP地址等敏感信息并发送至攻击者服务器。受影响版本涵盖alan-baileys@1.0.1、logflow-json@2.4.12等20余个包，利用成本低。建议立即排查并卸载受影响包，删除node_modules及package-lock.json后重装依赖，全面检查系统异常，加强依赖管理（如限制版本范围、使用官方源）。
博客
深信服运维安全管理系统 netConfig/set_port 远程命令执行漏洞【POC已公开】
07-03 621
深信服运维安全管理系统存在严重远程命令执行漏洞（MPS-jnpc-w4hi），攻击者可绕过登录限制，通过未授权访问netConfig/set_port接口实现远程命令执行，获取系统权限。该漏洞POC已公开，利用成本低、可能性极高。影响版本为3.0.11_20231222之前的所有版本，最小修复版本为3.0.11_20231222。建议立即升级系统，同时可采取限制访问IP、防火墙拦截含接口关键字请求等应急措施。
博客
汉王e脸通综合管理平台 meetingFileManage.do 未授权SQL注入漏洞
07-02 599
汉王e脸通综合管理平台manage/meeting/meetingFileManage.do接口order字段存在未授权SQL注入漏洞。该设备用于门禁、考勤等场景，受影响版本广泛。漏洞利用成本低、可能性极高且有POC，攻击者可未授权执行SQL命令。排查可访问目标路径并测试order参数响应差异。建议立即限制接口访问、部署WAF过滤，根本修复需升级至修复版本并添加认证与参数校验。
博客
NPM组件 betsson 等窃取主机敏感信息
07-01 980
NPM仓库多个组件（如betsson [1.0.0,99.99.2]、mod-cloud [1.0.6,1.1.3]、zenith-quest 1.0.1等）被植入恶意代码，安装后会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。利用成本低，影响范围广。建议立即排查并卸载受影响包，删除node_modules及package-lock.json后重装依赖，全面检查系统安全（如异常进程、境外IP通信），加强依赖管理（使用官方源、限制版本范围、定期审计）。
博客
Dataease ＜2.10.11 PostgreSQL数据源JDBC连接参数绕过漏洞
07-01 475
DataEase <2.10.11版本存在高危PostgreSQL数据源JDBC连接参数绕过漏洞（CVE-2025-53005）。因仅对JDBC连接字符串中socketFactory/socketFactoryArg参数黑名单限制，攻击者可通过sslfactory、sslfactoryarg等未限制参数绕过。影响io.dataease:core-backend及dataease组件，建议升级至2.10.11及以上版本，修复通过新增sslfactory、sslhostnameverifier等参数黑名单实现。
博客
PyPI仓库 loggutils 组件内嵌恶意代码
06-30 186
PyPI仓库loggutils组件0.1.0版本内嵌恶意代码，属高危风险。安装后会窃取用户浏览器数据、剪贴板信息、系统文件，记录键盘输入并截取摄像头画面，同时实现远程控制。利用成本低，利用可能性中。建议立即排查是否安装该版本包，若已安装需彻底移除并扫描系统，检查异常进程与敏感信息泄露，加强依赖管理，仅从官方源安装组件并定期审计依赖安全。
博客
Apache Seata ＜ 2.3.0 raft反序列化漏洞
06-30 324
Apache Seata <2.3.0存在高危反序列化漏洞（CVE-2025-32897），影响Seata Server [2.0.0, 2.3.0)版本。Raft模块CustomDeserializer未校验用户可控类名，直接通过Class.forName()加载，攻击者可利用服务端恶意链实现远程代码执行。修复版本2.3.0引入白名单机制，仅允许反序列化org.apache.seata包下类。建议受影响用户立即升级至2.3.0及以上版本，或限制Raft端口访问并启用IP白名单。
博客
总结过去三年软件供应链安全一些非共识核心问题
03-19 863
过去三年，我大概每年平均至少见300个企业的专家和大佬们，这三年下来也快1000人次了吧。虽然有一些人是重复见了很多次的，但每次见也多少会有新的收获。因为工作的原因，我们聊最多的话题其实是跟软件供应链安全相关的，所以我最近就特别想把过去我们这1000次交流过程中，聊到的最核心的问题都提炼出来，然后在今年的产品迭代、公众号、直播、闭门会议、对外技术交流分享中，把这些内容重点放进去。也是希望通过这样的方式，给所有准备做，或者正在做企业软件供应链安全的专家和大佬朋友们一些输入。
博客
探讨企业安全项目立项成功的关键
03-19 578
尤瓦尔·赫拉利在《人类简史》中说道：“讲故事”和“相信故事”的能力，是原始部落突破150人上限、展开大规模协作的前提。立项是什么？其实就是你在企业内部，把想做的事情以故事的形式，讲给企业管理者和同事们听，并且让他们相信这个故事，从而投入资源来帮助你实现你的故事。因为创业的缘故，平时和企业客户接触最多的一项工作，就是辅助企业安全专家大佬们，在内部申请立项。而且经常面对的是，来自各行业企业的客户的立项需求。虽然各家企业内部，立项的级别和项目内容，会有一些区别。但总体来说，立项流程。
博客
聊聊近期三大软件供应链安全威胁
03-19 429
从近期大量曝光的安全事件分析可以发现，开源组件的投毒攻击是目前黑灰产最常用的攻击手段，尤其是针对虚拟货币交易所，愈演愈烈，大概率是黑灰产尝到了开展这一类攻击的甜头，从我们实际的经验来看，针对开源组件的投毒攻击，对于所有企业来说，成功率要远远高于企业安全专家们的预期，实际上非常容易成功的。墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，能力包括软件成分分析(SCA)、代码安全检测、开源组件许可证合规管理等，丰富的安全工具助您打造完备的软件开发安全能力(DevSecOps)。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值