ShadowLeak攻击：ChatGPT服务器端数据窃取的新威胁

颁布功夫 2025-09-22

1. ShadowLeak攻击：ChatGPT服务器端数据窃取的新威胁


9月18日，，，，，，Radware钻研人员发现名为ShadowLeak的新型攻击，，，，，，利用ChatGPT的Deep Research代理实现零点击服务器端数据窃取。。。。。。。。该攻击通过精心设计的电子邮件中暗藏HTML指令，，，，，，在用户无操作或可见界面提醒的情况下，，，，，，触发代理从Gmail收件箱提取幼我身份信息（PII）并静默发送至攻击者节造的服务器。。。。。。。。区别于依赖客户端图像渲染的客户端攻击，，，，，，ShadowLeak直接从OpenAI云基础设施泄露数据，，，，，，使企业防御系统难以检测，，，，，，用户亦无感知。。。。。。。。Deep Research允许ChatGPT自主浏览网页5-30分钟天生具体汇报，，，，，，并与Gmail蹬爪用集成。。。。。。。。攻击流程中，，，，，，攻击者发送蕴含社会工程战术的邮件，，，，，，代理读取恶意内容后执行暗藏指令，，，，，，将PII注入攻击者URL，，，，，，实现静默数据渗入。。。。。。。。该攻击不仅限于Gmail，，，，，，任何Deep Research衔接器均可成为载体，，，，，，攻击者可窃取合同、会议纪录等敏感数据。。。。。。。。服务端攻击风险更高，，，，，，因数据泄露源自提供商基础设施，，，，，，企业无法通过客户端防护拦截，，，，，，且代理作为可信中介可绕过URL限度，，，，，，将数据导出至肆意主张地。。。。。。。。


https://securityaffairs.com/182334/hacking/shadowleak-radware-uncovers-zero-click-attack-on-chatgpt.html


2. 俄黑客组织Gamaredon与Turla联手攻击乌克兰


9月19日，，，，，，斯洛伐克网络安全公司ESET披露，，，，，，俄罗斯黑客组织Gamaredon与Turla自2025年起在乌克兰发起结合攻击，，，，，，通过工具链协同部署后门法式。。。。。。。。ESET观察到，，，，，，2025年2月，，，，，，Gamaredon的PteroGraphin工具在乌克兰端点沉启Turla的Kazuar v3后门，，，，，，用于复原崩溃唬�；；；；；；蛭醋远舳亩褚夥ㄊ剑唬�；；；；；；4月和6月，，，，，，PteroOdd和PteroPaste工具进一步部署Kazuar v2，，，，，，形成“初始接见-载荷投递-后门植入”的齐全攻击链。。。。。。。。两个组织均与俄罗斯联国安全局（FSB）关联：Gamaredon（别号Aqua Blizzard）自2013年起重要针对乌克兰当局机构；；；；；；；；Turla（别号Venomous Bear）自2004年活跃，，，，，，善于间谍活动。。。。。。。。这次合作中，，，，，，Gamaredon提供初始接见权限，，，，，，Turla则通过Kazuar后门网络系统信息，，，，，，并通过Cloudflare Workers子域或假装成ESET合法文件的域名传输数据。。。。。。。。攻击链显示，，，，，，Gamaredon利用PteroGraphin和PteroOdd下载器，，，，，，从Telegraph API获取有效载荷执行Kazuar。。。。。。。。2025年1月至6月，，，，，，乌克兰共7台机械检测到Turla有关指标，，，，，，其中4台于1月被Gamaredon攻破，，，，，，2月底部署Kazuar v3。。。。。。。。


https://thehackernews.com/2025/09/russian-hackers-gamaredon-and-turla.html


3. 俄罗斯勒索软件团队利用CountLoader扩大攻击领域


9月18日，，，，，，网络安全钻研人员发现一款代号为“CountLoader”的新型恶意软件加载器，，，，，，已被俄罗斯勒索软件团伙（如LockBit、Black Basta、Qilin）用于投放后续渗入工具（Cobalt Strike、AdaptixC2）及“PureHVNC RAT”远程接见木马。。。。。。。。该加载器存在.NET、PowerShell和JavaScript三个版本，，，，，，通过伪造乌克兰国度警员局身份的垂钓PDF文件攻击乌克兰幼我用户，，，，，，其PowerShell版本曾通过与DeepSeek有关的钓饵文件传布，，，，，，最终部署“BrowserVenom”植入法式以操控网络流量并网络数据。。。。。。。。CountLoader职能壮大：JavaScript版本支持六种文件下载方式和三种恶意软件运行步骤，，，，，，可网络系统信息并创建假装成谷歌Chrome更新工作的打算工作实现悠久化；；；；；；；；其利用“音乐文件加妆作为恶意软件暂存区，，，，，，.NET与JavaScript版本虽职能沉叠，，，，，，但仅支持两种号令类型，，，，，，属精简版。。。。。。。。该加载器依附20余个域名的基础设施运行，，，，，，主题作为传输通路投放后续恶意软件。。。。。。。。


https://thehackernews.com/2025/09/countloader-broadens-russian-ransomware.html


4. 柯林斯宇航遭网络攻击致欧洲多机场系统瘫痪


9月20日，，，，，，美国航空技术巨头柯林斯宇航（从属RTX集团，，，，，，前身为雷神技术公司）遭逢网络攻击，，，，，，导致其Muse软件系统故障，，，，，，引发欧洲三大枢纽机场——伦敦希思罗、布鲁塞尔和柏林机场的登机与值机系统全面中断。。。。。。。。这次事务造成大规模航班延误及取缔，，，，，，迫使航空公司启用人为操作模式，，，，，，数千名搭客滞留机场数幼时，，，，，，列队长龙舒展至航站楼表。。。。。。。�？？？？？？铝炙棺魑娇盏缱由璞浮⒛谑渭肮ぷ飨低车闹魈夤└�，，，，，，其Muse软件支持着欧洲多机场的电子值机与行李托运流程。。。。。。。。攻击产生后，，，，，，RTX集团颁发申明称问题仅限于电子服务，，，，，，可通过人为值机缓解，，，，，，并强调正全力建复系统。。。。。。。。然而，，，，，，布鲁塞尔机场忠告称攻击影响将持续至周六，，，，，，柏林机场候机功夫显著耽搁，，，，，，希思罗机场则呼吁搭客出行前确认航班状态。。。。。。。。据航空数据商Cirium统计，，，，，，三机场累计取缔29个航班，，，，，，周六现实运营航班量别离为651架次（希思罗）、228架次（布鲁塞尔）和226架次（柏林）。。。。。。。。欧盟委员会讲话人暗示，，，，，，目前无证据显示这次为“大规模严沉袭击”，，，，，，起因仍在调查中。。。。。。。。


https://securityaffairs.com/182363/hacking/a-cyberattack-on-collins-aerospace-disrupted-operations-at-major-european-airports.html


5. CISA忠告利用Ivanti EPMM缝隙部署恶意软件


9月20日，，，，，，美国网络安全和基础设施安全局（CISA）颁布技术汇报，，，，，，揭示针对Ivanti Endpoint Manager Mobile（EPMM）软件的CVE-2025-4427（身份验证绕过缝隙，，，，，，CVSS评分5.3）和CVE-2025-4428（远程代码执行缝隙，，，，，，CVSS评分7.2）的恶意攻击细节。。。。。。。。攻击者通过串联这两个缝隙实现无需认证的远程代码执行，，，，，，入侵某未具名组织网络并部署两组恶意软件。。。。。。。。第一组恶意软件利用假装成Apache组件的ReflectUtil.class加载器，，，，，，将SecurityHandlerWanListener监听器注入Tomcat服务器，，，，，，通过拦截特定HTTP要求解密暗藏的有效负载，，，，，，动态创建Java类以执行肆意代码、维持悠久性并窃取数据。。。。。。。。第二组则假装成MobileIron服务的WebAndroidAppInstaller.class加载器，，，，，，通过拦截表单编码的HTTP要求，，，，，，使用硬编码AES密钥解密参数并执行恶意代码，，，，，，实现系统收受。。。。。。。。Ivanti公司已于5月中旬建复缝隙，，，，，，并确认缝隙源于第三方开源库而非自身代码。。。。。。。。CISA分析显示，，，，，，攻击者通过/mifs/rs/api/v2/端点执行号令，，，，，，进行系统数据网络、恶意软件下载、网络映射及LDAP痛处窃取，，，，，，并通过/tmp目录写入恶意文件维持悠久性。。。。。。。。


https://securityaffairs.com/182350/malware/cisa-warns-of-malware-deployed-through-ivanti-epmm-flaws.html


6. 加拿大皇家骑警破获首例加密钱币买卖所关关案


9月20日，，，，，，加拿大皇家骑警（RCMP）凭据欧洲刑警组织提供的线索，，，，，，结合洗钱调查组（MLIT）对专一于隐衷买卖的幼型加密钱币平台TradeOgre发展专项行动，，，，，，最终成功关关该买卖所并查获超过4000万美元资金，，，，，，据信这些资金多源于网络犯罪活动。。。。。。。。这次行动不仅是加拿大法律部门初次关关加密钱币买卖所，，，，，，更创下该国汗青上最大规模资产扣押纪录。。。。。。。。TradeOgre平台因支持幼多山寨币及难以追踪的门罗币（Monero）买卖而闻名，，，，，，其运营模式存在严沉司法缝隙，，，，，，未要求用户通过KYC（相识您的客户）政策进行身份验证，，，，，，且未向加拿大金融买卖和汇报分析中心（FINTRAC）注册为钱币服务企业，，，，，，违反了加拿大反洗钱律例。。。。。。。。调查显示，，，，，，该平台因匿名性特点被网络犯罪分子宽泛用于洗钱操作，，，，，，例如互换勒索软件收益、执行SIM卡互换诳骗等。。。。。。。。平台下线后，，，，，，部门用户质疑此举为“退出圈套”，，，，，，但法律机构明确暗示关关行动基于合法调查。。。。。。。。对于非犯罪用户提出的追索权问题，，，，，，警方指出可通过加拿大法院系统追求救助。。。。。。。。


https://www.bleepingcomputer.com/news/security/canada-dismantles-tradeogre-exchange-seizes-40-million-in-crypto/