嘶吼安全快报——2025.12.12

嘶吼安全快报

新闻

技术

新闻速递

TODAY'S INFORMATION

• 新型“蜘蛛侠”钓鱼工具包让黑客能够立即搭建虚假银行登录页面

• 安全警报：VS Code 应用市场发现19个虚假PNG扩展程序

• Chrome 又遭受零日漏洞攻击：立即更新

• DroidLock恶意软件会锁定Android设备并索要赎金

• 64.4万+网站因React Server Components漏洞面临风险

• 网络安全中的遥测技术：利用遥测数据收集改进安全监控

• 逆向工程工具及其应用：Apriorit 的经验

• 专家解读｜实施网络数据安全风险评估办法

01

安全新闻

“蜘蛛侠”钓鱼工具包泛滥，黑客可快速搭建虚假银行登录页面

导读：一款名为“蜘蛛侠”的复杂网络钓鱼工具包已成为欧洲银行客户的重大威胁，网络犯罪分子只需点击几下鼠标，即可为数十家金融机构创建逼真的虚假登录页面。这一事态发展标志着针对金融行业的网络钓鱼即服务操作出现了危险的演变。

原文：https://gbhackers.com/new-spiderman-phishing-kit/

安全警报：VS Code 应用市场发现19个虚假PNG扩展程序

导读：该攻击活动自 2025 年 2 月开始，于 2025 年 12 月 2 日被发现，它利用开发者生态系统中固有的信任，将恶意软件隐藏在看似功能正常的扩展程序的依赖文件夹中。攻击者采用了一种新颖的规避技术：将恶意二进制文件隐藏在伪装成 PNG 图像的文件中。

原文：https://gbhackers.com/fake-png-extensions/

Chrome 又遭受零日漏洞攻击：立即更新

导读：谷歌已紧急修复Chrome浏览器中一处正被恶意利用的高危漏洞，并敦促所有用户立即更新。本次补丁主要针对V8 JavaScript引擎中的两处缺陷，其中至少一处已被黑客用于实际攻击。

原文：https://www.malwarebytes.com/blog/news/2025/12/another-chrome-zero-day-under-attack-update-now

DroidLock恶意软件会锁定Android设备并索要赎金

导读：研究人员近期发现了一场针对安卓用户的新威胁活动。该活动所使用的一款名为DroidLock的恶意软件能够锁定用户设备并勒索赎金。截至目前，其主要攻击目标为西班牙语用户，但研究者警告其攻击范围或将继续扩大。DroidLock通过仿冒电信运营商等知名品牌的钓鱼网站进行传播，诱骗用户下载安装恶意应用。该应用实际上是一个“投放器”，会在用户设备上安装最终恶意软件，并通过滥用设备管理员权限及无障碍服务权限，实现对设备的完全控制。

原文：https://www.malwarebytes.com/blog/news/2025/12/droidlock-malware-locks-you-out-of-your-android-device-and-demands-ransom

64.4万+网站因React Server Components漏洞面临风险

导读：Shadowserver基金会日前紧急发布警告，指出名为“React2Shell”的高危漏洞存在广泛的潜在攻击面，目前仍有大量目标暴露在攻击威胁之下。截至2025年12月8日扫描基础设施升级完成后的最新数据显示，超过64.4万个域名和16.5万个独立IP地址仍在运行存在漏洞的React Server Components实例，面临被攻击利用的风险。

原文：https://gbhackers.com/644k-websites-at-risk-due-to-critical-react-server-components-flaw/

TODAY'S INFORMATION

02

安全技术

网络安全中的遥测技术：利用遥测数据收集改进安全监控

导读：这篇文章深入探讨了构建网络安全遥测系统的核心技术实践。文章指出，安全产品失效的根本原因往往在于缺乏可靠、结构化的遥测数据支持，而非检测算法本身。通过一个完整的监控示例，系统阐释了从用Rust开发高性能数据采集代理、选用Kafka或MQTT等方案进行数据传输，到通过WebSocket或SSE实现前端实时推送的全链路技术选型与设计考量。

原文：https://www.apriorit.com/dev-blog/telemetry-data-collection-for-security-monitoring

逆向工程工具及其应用：Apriorit 的经验

导读：这篇文章通过实例展示了逆向工程的完整流程与工具链，涵盖识别加壳、脱壳修复、静态分析（IDA/Ghidra）、动态调试（x64dbg/Frida）及网络分析（Wireshark）。文中重点演示了绕过反调试、修复内存转储等实战技巧，并探讨了AI辅助逆向的潜力与局限。逆向工程需要系统掌握工具链并积累深度分析经验。

原文：https://www.apriorit.com/dev-blog/366-software-reverse-engineering-tools

TODAY'S INFORMATION

03

政策资讯

专家解读｜实施网络数据安全风险评估办法

导读：近日，国家互联网信息办公室发布了《网络数据安全风险评估办法（征求意见稿）》（以下简称《办法》），标志着我国在网络数据安全制度体系建设方面又迈出重要一步，对于加强国家网络数据安全能力建设具有重要意义。

原文：https://www.cac.gov.cn/2025-12/07/c_1766659536739996.htm

TODAY'S INFORMATION