FreeBuf 周报 | 乌克兰关基设施被破坏；GPT-4 会自己发起漏洞攻击
内容提要
本周的热点资讯包括Palo Alto Networks披露的PAN-OS防火墙漏洞、俄黑客组织对乌克兰关键基础设施的攻击、勒索赎金支付比例下降、安卓设备上的新型恶意软件、银行木马变种的增加。安全事件方面，Akira勒索软件团伙获得4200万美元的收益，CoralRaider利用CDN缓存传播恶意软件，美国医疗巨头向勒索软件支付赎金，二维码网络钓鱼攻击数量增加，WP Automatic WordPress插件遭遇SQL注入攻击。好文推荐包括GPT-4发起漏洞攻击的研究、谷歌无痕模式追踪用户浏览记录的指控、输入法应用的安全漏洞曝光。省心工具方面，推荐macSubstrate、trackerjacker和web-traffic-generator。
延伸解读
勒索生态的转变：支付率下降与收益集中
本周周报显示，2024年第一季度勒索赎金支付比例降至历史新低，原因包括受害组织恢复能力提升，以及支付后数据仍可能泄露。与此同时，Akira团伙在不到一年内从250多个组织获得约4200万美元，表明勒索攻击的收益正集中于少数活跃团伙。这一对比提示，拒绝支付虽能降低个体损失，但勒索威胁的整体经济激励仍未消除，防御方需持续关注数据恢复与泄露应对。
移动安全风险叠加：安卓恶意软件与银行木马激增
新型Brokewell恶意软件通过虚假Chrome更新控制安卓设备并窃取数据，同时“教父”银行木马变种在两年内从10个激增至1000个，目标覆盖57个国家的237个银行应用。这两类威胁分别针对设备控制与金融信息窃取，反映出移动端攻击的规模化与专业化。用户应警惕非官方渠道的应用更新，并关注银行应用的安全防护更新。
AI攻击能力初现：GPT-4自主漏洞利用的启示
周报提到，研究团队对10个AI大模型进行实验，仅GPT-4能根据CVE信息成功发起漏洞攻击，成功率87%，单次成本8.8美元，其他模型成功率为零。这一结果虽属实验环境，但表明大模型可能降低漏洞利用门槛。安全人员需关注AI辅助攻击的潜在风险，同时避免过度解读，因为实际攻击还依赖环境与漏洞条件。
输入法隐私漏洞：云推荐功能的安全隐患
Citizenlab调查发现，除华为外，百度、荣耀、科大讯飞、OPPO、三星、腾讯、Vivo和小米等厂商的九款输入法应用中，有八款存在安全漏洞，影响近10亿用户。问题核心在于云推荐功能是否充分加密用户按键记录。这提醒用户，输入法作为高频应用，其隐私保护不容忽视，建议关注厂商安全更新，并谨慎使用云同步功能。
Q&A
PAN-OS防火墙漏洞的CVSS评分是多少？
CVSS评分达10分。
俄黑客组织“沙虫”主要针对哪些目标？
主要针对各种目标进行网络间谍活动和破坏性攻击。
2024年第一季度勒索赎金支付比例为何下降？
组织开始有能力抵御加密攻击，能够恢复业务而无需支付赎金。
Brokewell恶意软件是如何传播的？
通过虚假更新窃取安卓设备数据。
Akira勒索软件团伙在多长时间内获得了4200万美元的收益？
在不到一年的时间内。
GPT-4发起漏洞攻击的成功率是多少？
成功率高达87%。
