2025年第50周数字取证与事件响应周报

取证分析

• Akash Patel：内存取证与EDR对比
• Forensafe：Android应用程序角色
• Fortinet：在Windows中发现隐藏的取证证据：AutoLogger-Diagtrack-Listener.etl之谜
• Alex Bilz：德国联邦警察2025年CTF挑战赛演练：破解德国联邦警察的密码
• Marco Neumann：三星核心服务——模块“ai search”及其对数字取证分析的价值

威胁情报/威胁狩猎

• React2Shell
  • React2Shell漏洞被利用，在云服务器上部署EtherRAT
  • React2Shell：攻击者如何在数小时内利用CVE-2025-55182
  • 多个威胁行为者利用React2Shell漏洞
  • React2Shell支线任务：追踪恶意的MeshCentral节点
  • React2Shell：剖析针对生产环境Next.js应用的Node.js RCE漏洞
  • PeerBlight Linux后门利用React2Shell漏洞
  • React2Shell：解读CVE-2025-55182——React服务器组件中的无声威胁
  • 严重React2Shell漏洞正被中国威胁行为者积极利用
  • 来得真快：CVE-2025-55182现已被积极利用
  • React2Shell漏洞被利用进行远程代码执行
  • EtherRAT：朝鲜在React2Shell攻击中使用新型以太坊植入物
  • React2Shell入侵事件剖析
  • React2Shell：技术深度剖析与CVE-2025-55182的野外利用
  • React2Shell：远程代码执行漏洞
• Faan Rossouw：本周恶意软件——DNS C2中的TXT记录滥用
• AttackIQ
  • 回顾多功能的Qilin勒索软件
  • 对CISA公告的响应：亲俄黑客活动分子对美国和全球关键基础设施进行机会主义攻击
• 澳大利亚网络安全中心：亲俄黑客活动分子对美国和全球关键基础设施进行机会主义攻击
• Tony Burgess：恶意软件简报：Android成为目标——FvncBot, SeedSnatcher, ClayRat
• BI.Zone
  • 映射和利用网络威胁态势来预测攻击
  • 利用暗网预测攻击
• Bitdefender
  • ClickFix：来自网络犯罪分子的KISS原则
  • 假的莱昂纳多·迪卡普里奥电影种子通过分层的PowerShell链投放Agent Tesla
  • Bitdefender威胁简报 | 2025年12月
• Brian Krebs：微软补丁星期二，2025年12月版
• CERT-AGID
  • 正在进行的恶意活动通过PDF附件和Figma访问滥用公共行政部门账户
  • 12月6日至12日当周恶意活动汇总摘要
• Check Point
  • 12月8日 – 威胁情报报告
  • 剖析ValleyRAT：从生成器秘密到内核Rootkit
  • 受勒索软件激增和GenAI风险推动，2025年11月全球网络攻击增加
• Hendrix Garcia：网络钓鱼者的创意：你没见过的NoteGPT变种
• Cyfirma：每周情报报告 – 2025年12月12日
• Martin McCloskey, Christophe Tafani-Dereeper, and Julie Agnes Sparks：调查针对Microsoft 365和Okta用户的中间人钓鱼活动
• DebugPrivilege：Citrix如何修复其文档中的ESC1风险
• Detect FYI
  • 用于电子邮件URL重定向狩猎的KQL技术
  • 衡量恶意：当“几乎正确”完全错误时
  • 重新思考良性告警：检测工程的新视角
• Disconinja：每周威胁基础设施调查
• DomainTools Investigations：中国恶意软件投放域名 第四部分
• Erik Hjelmvik：Latrodectus反向连接
• Esentire：黑客们今年大肆庆祝节日，以40%到75%的折扣出售ChatGPT、Perplexity和Gemini订阅！
• F5 Labs：ShellShock卷土重来，RondoDox改变策略
• Agapios Tsolakis：数据科学如何提升你的检测工程维护，让你不再像牧羊人一样
• FalconFeeds
  • 威胁行为者角色扮演：当犯罪团伙伪装成黑客活动分子以掩盖真实意图
  • 基于浏览器的攻击时代的威胁情报：为什么CTI必须转向客户端前沿
  • 网络犯罪本地化：威胁行为者如何根据区域文化定制活动
• Flashpoint：超越恶意软件：探秘朝鲜威胁行为者的数字帝国
• Group-IB
  • 陌生人威胁正在来临：Group-IB对2026年及未来的网络预测
  • 在乌兹别克斯坦打击信用卡欺诈：对抗社会工程的艰苦战斗
• HP Wolf Security
  • HP Wolf安全威胁洞察报告：2025年12月
  • 攻击者爱上Cookie：追踪涉及会话Cookie窃取的入侵事件上升趋势
• Hudson Rock：从信息窃取器到APT的管道：拉撒路集团如何劫持也门的虚假信息网络
• Huntress
  • 加固虚拟机管理程序：针对ESXi的勒索软件实用防御措施
  • AI投毒与AMOS窃取器：信任如何成为Mac最大的威胁
  • Gladinet CentreStack/Triofox 不安全的加密漏洞正被积极利用
• Infoblox：2025年12月DNS威胁态势：三个月回顾
• Pieter Arntz：GhostFrame钓鱼工具包引发针对数百万用户的广泛攻击
• Microsoft Security：Shai-Hulud 2.0：检测、调查和防御供应链攻击的指南
• Oleg Skulkin：了解你的对手
  • 1. Mshta – 一个绝佳的狩猎目标
  • 1. 勒索软件团伙滥用SystemSettingsAdminFlows以逃避防御
  • 1. adversaries将另一种取证工具加入其武器库
  • 1. adversaries如何从受感染系统中移除入侵指标
  • 1. 狩猎可疑用户账户
  • 1. adversaries修改注册表以阻止系统恢复和分析
• Pepe Berba：反编译仅运行模式的AppleScripts
• Picus Security
  • APT28网络攻击画像及详细TTPs分析
  • APT15网络间谍活动：活动与TTPs分析
• Push Security
  • 分析一次复杂的Google恶意广告攻击
  • ConsentFix：浏览器原生实现的ClickFix攻击，劫持OAuth授权
• Recorded Future
  • GrayBravo的CastleLoader活动集群针对多个行业
  • 俄罗斯-印度-中国三边合作的影响
  • Palestine Action：运作方式与全球网络
• Red Canary
  • 不仅仅是炸弹：当攻击者自带虚拟机以实现持久化
  • Bun的终结：Shai-Hulud蠕虫的第二次降临
• Salvation DATA：CDN取证：如何揭示现代内容分发网络背后的真实IP地址
• SANS互联网风暴中心
  • 可能的漏洞利用变种
  • 在单CPU上本地使用AI Gemma 3
  • 滥用DLL入口点作恶
• Valery Akulenko and Dmitry Sabadash：在网络流量中狩猎Mythic框架
• Dakota Cary：恶意学徒 | 两名黑客如何从思科学院走向思科CVE
• Mike Watson：如何使用运行时行为分析检测多阶段攻击
• System Weakness：CyberDefenders Write-up BumbleSting
• The Raven File：REACT2SHELL：野外利用
• Maulik Maheta and Chao Sun：无声的域劫持：使用Trellix NDR检测DCSync
• Trend Micro
  • AI自动化威胁狩猎将GhostPenguin从阴影中揪出
  • 网络犯罪的下一个阶段：Agentic AI与向自主犯罪运营的转变
  • SHADOW-VOID-042使用类似Void Rabisu的策略攻击多个行业
  • PureRAT活动针对求职者，滥用Foxit PDF Reader进行DLL侧加载
• Daniel Kelley：蜘蛛侠钓鱼工具包只需点击几下即可模仿欧洲顶级银行
• VirusTotal：在Google威胁情报和VirusTotal中引入保存的搜索：增强协作与效率
• Hassan Khafaji：从Veeam到域管理员：真实红队入侵路径
• Gili Tikochinski and Yaara Shriki：Gogs 0-Day漏洞在野外被利用

即将举行的活动

• Black Hills Information Security
  • SOC内部：更智能地进行分类
  • 信息安全工作新闻讨论 2025-12-15
• Huntress：社区炉边谈话 | 网络保险的演变：重新思考运营商供应商小组
• Magnet Forensics：S3:E12 // 我们最喜欢的一些东西：给我们带来调查乐趣的12个数字痕迹

演讲/播客

• Behind the Binary by Google Cloud Security：EP20 Windows底层揭秘：内核设计、EDR以及向VBS的转变
• BSides Cape Town：BSides Cape Town 2025
• Cellebrite：技巧星期二：101个速查表
• Cerbero
  • 内存挑战11：BOughT
  • 内存挑战12：BlackEnergy
• Cloud Security Podcast by Google：EP255 区分炒作与危害：关于自主AI黑客的真相
• Huntress：Tradecraft星期二 | 你就是专家：如何应对家人关于网络安全的提问
• InfoSec_Bret：IR – SOC293 – 通过Pastebin外发数据检测
• John Hammond
  • 信息窃取型恶意软件日志由... AI分析！？
  • 从端点攻击到身份入侵：ConsentFix攻击
• Magnet Forensics：AI深度解析 #7：Magnet Forensics AI方法的人文层面
• Monolith Forensics：在Monolith中添加证据照片
• MSAB
  • #MSABMonday – XAMN Pro 删除痕迹分析
  • 取证修复 第25集
• MyDFIR
  • MYDFIR SOC社区如何教会我像SOC分析师一样思考
  • SOC告警分类 | TryHackMe Advent of Cyber 2025 第10天
  • 从零售业到网络安全培训 | Oscar的自学之旅
• Off By One Security
  • 机器身份与攻击路径：错误配置的危险！
  • 机器身份与攻击路径：错误配置的危险！📱
• Parsing the Truth: One Byte at a Time：蘑菇谋杀案 第四部分
• Permiso Security：非人类身份与AI——确保下一代身份安全
• Proofpoint：嗬-嗬-嗬，停——那条消息是真的吗？坏圣诞老人正在发送节日骗局
• SANS：DFIR峰会布拉格2025
• The Cyber Mentor：直播：🕵️ HTB Sherlocks! | 网络安全 | 蓝队
• Three Buddy Problem：法律腐败、React2Shell漏洞利用、AI双重用途风险

恶意软件

• Nathan Richards：融合的勒索软件技术：多阶段攻击分析
• Jordyn Dunk and Chetan Raghuprasad：DeadLock勒索软件攻击背后的新型BYOVD加载器
• CTF导航：APT-C-26组织利用WinRAR漏洞部署Blank Grabber木马的技术分析
• Andrea Draghetti：Inside BTMOB：泄露的Android RAT生态系统分析
• Elastic Security Labs：NANOREMOTE，FINALDRAFT的亲戚
• G Data Software
  • Lumma窃取器：潜伏在itch.io和Patreon虚假游戏更新中的危险
  • 浏览器劫持：三种技术研究
• Idan Dardikman：截取你屏幕的VS Code恶意软件
• Hiroaki Hara：01flip：用Rust编写的多平台勒索软件
• Petar Kirhmajer：包含木马的VS Code扩展使用虚假图片
• Pierre Le Bourhis and Jeremy Scion：配置提取降临历 – 第二部分：解开QuasarRAT的配置
• Jim Walter：CyberVolk归来 | 有缺陷的VolkLocker在成长阵痛中带来新功能
• Seqrite
  • Operation FrostBeacon：针对俄罗斯的多集群Cobalt Strike活动
  • 以裁员为主题的人力资源钓鱼邮件分发Remcos RAT恶意软件
  • Operation MoneyMount-ISO — 通过ISO挂载的可执行文件部署Phantom Stealer
• Shubho57：归因于Mysterious Elephant的未知样本分析
• Sophos：GOLD SALEM部署Warlock勒索软件的技术
• Puja Srivastava：伪装成JavaScript数据文件的WordPress自动登录后门
• Gladis Brinda R and Ashwathi Sasi：BlackForce钓鱼工具包技术分析

综合

• Adam Hachem：宣布推出Evanole虚拟机
• Belkasoft：防止数据泄露：使用Belkasoft X进行离线优先的数字取证与事件响应
• Brett Shavers：可启动取证操作系统不是虚拟机
• Fabian Mendoza：DFIR招聘更新 – 2025年12月8日
• Forensic Focus
  • 数字取证职位汇总，2025年12月8日
  • SYTECH负责人呼吁增加资金以改善对网关犯罪的早期干预
  • 保护数字证据：最佳实践与ISO/IEC 17025的关键作用
  • 图片即证据：使用Exterro Imager Pro助力调查
  • S21 VisionX聚焦：第2周 – 自动化、优先级排序和更快发现证据
  • 数字取证摘要，2025年12月10日
  • 从提取到分析：MSAB 2025年Q4创新，实现更快更智能的调查
  • 爱达荷州谋杀案：从行为线索到AI在数字取证中的角色
  • Cellebrite完成对Corellium的收购，推出业界最先进的AI驱动数字调查产品组合
  • Oxygen Remote Explorer v.2.0.1 现已发布！
  • Forensic Focus文摘，2025年12月12日
• Howard Oakley：谁来决定隔离文件？
• LockBoxx：课程评测：认证网络防御者 – 事件响应选修模块
• Magnet Forensics
  • 在非活动计时器时代保护证据：当时间成为威胁
  • 工作留下的痕迹——以及我为何仍为之奋斗
• Tryfon Skandamis：使用Ansible和GitHub Actions大规模管理SIEM日志收集器 – 第一部分
• OSINT Team：最佳数字取证框架
• TobyG：使用模型上下文协议查找和编写KQL查询
• VMRay：发现最佳事件响应工具：2026年综合指南

软件更新

• MISP：MISP v2.5.30 和 v2.5.29 发布：测试版UI/UX模式、新的工作流模块和性能增强
• MSAB：2025年第四季度主要版本现已可用
• MuSecTech：在AChoirX中附加嵌入式工具包
• OpenCTI：6.9.0
• Xways
  • X-Ways Forensics 21.3 SR-13
  • X-Ways Forensics 21.4 SR-9
  • X-Ways Forensics 21.5 SR-11
  • X-Ways Forensics 21.6 SR-3
  • Miscellaneous
  • X-Ways Forensics 21.7 Preview 5
• Yogesh Khatri
  • mac_apt 20251206
  • spotlight_parser v1.0.4

以上就是本周的全部内容！如果你认为我遗漏了某些内容，或者希望我特别报道某些事情，请通过联系页面或社交媒体渠道联系我！

更多内容请访问原文：This Week In 4n6FINISHED

bFU+5FNJK8is9JVnhmQWIYqbn0EWhVzRW6ugwNFhX3T7YTVRmtOBTysp/enopsjc1VHcfTcMQBV/0eyL2O/wGA==