该工具基于Swing界面，结合Moonshot-8K模型，自动生成社工字典“闪紫”。用户输入信息后，工具生成高质量字典供渗透测试使用，并提供AI增强功能以生成密码变体。使用时需遵循网络安全法，作者不承担因使用信息造成的责任。

社工钓鱼是攻击者通过心理操纵和技术伪装，诱骗用户泄露敏感信息的手段，常见形式包括钓鱼邮件、短信和假网站。攻击者伪装成权威机构，利用用户的信任、恐惧和贪婪心理进行攻击。防御措施包括员工培训、邮件过滤和多因子认证。随着AI技术的发展，钓鱼攻击将变得更加隐蔽和复杂。

朝鲜黑客组织TraderTraitor通过社交工程攻击日本DMM交易所，窃取4500枚比特币，价值3.49亿美元。黑客伪装成招聘人员，感染Ginco员工电脑，最终渗透DMM系统。DMM通过融资弥补损失，用户未受影响。

攻击者利用微软Teams进行社会工程，诱导受害者下载AnyDesk以远程访问系统，并传播DarkGate恶意软件。安全专家建议启用多因素身份验证和审核第三方支持以防范此类攻击。

在值守中发现攻击IP为阿里云机器，通过反查域名发现攻击者的个人博客和支付宝微信收款二维码，进一步通过ICP备案查询得到攻击者的完整姓名信息，同时发现其在GitHub、CSDN和百度贴吧等平台使用相同ID昵称。通过QQ邮箱和手机号码的收集，最终完成信息溯源。

本文介绍了一次金融行业的攻防演练，通过供应链和社工的组合攻击，成功绕过安全设备防护，打穿目标。攻击路径包括钓鱼获取账号密码、文件上传getshell、水坑攻击获取办公pc权限、绕过安全设备防护上线cs、内网横向打下域控。复盘总结了员工安全意识薄弱、供应商系统未定期测试、内网系统防护薄弱、安全设备未更新等问题。

随着企业安全意识加强，传统的外部踩点攻击方式越来越困难，攻击者将精力放到社工上。社工途径包括邮件钓鱼和即时通信钓鱼。钓鱼形式有构造钓鱼页面和发送恶意附件的邮件。钓鱼准备包括搭建SMTP服务和伪造发件人邮箱。企业安全水平提高后，常用的限制方式是SPF。

本周热点资讯：拜登禁用卡巴斯基杀毒软件、全球五分之一企业仍用过时Microsoft SQL Server、CDK Global遭攻击导致系统中断、苹果公司遭黑客入侵、VMware关键漏洞修复程序发布。安全事件：生成式人工智能引发企业内部担忧、92%企业曾遭社工攻击、AMD多项数据被黑客出售、虚假谷歌浏览器错误诱导用户运行恶意PowerShell脚本、美国多城市遭勒索软件攻击。好文：开源网络安全工具TOP 10、云网边端一体化安全建设规划、2024 Q1全球威胁报告一览。省心工具：r2frida、Pentest Muse、GTFOcli。

根据Barracuda公司报告，预计到2023年，92%的企业每年平均会经历6次电子邮件社交工程攻击导致的凭据泄露事件。报告指出，社工攻击的趋势包括对话劫持、勒索和使用合法服务进行攻击。Gmail是最常被使用的电子邮件域名，黑客还开始利用商业URL缩短服务嵌入恶意链接。此外，QR码网络钓鱼攻击也在2023年末显著增加。

本文介绍了口令猜解问题的应用场景和论文RFGuess的核心思想，包括基于PII的定向猜解和基于密码复用的定向猜解方法。使用随机森林进行模型训练，并介绍了特征提取方法和工具的使用。

美国国家安全委员会数据泄露，暴露了2000家公司的登录凭据。Okta遭社工攻击，黑客获得管理员权限。DARPA举办人工智能网络挑战赛，推动网络安全创新。垃圾邮件泛滥，二维码成为威胁载体。Chrome扩展可窃取网站源代码中的明文密码。

身份服务提供商Okta警告称，威胁行为者利用社会工程攻击获得了管理员权限。攻击者通过电话要求重置高权限用户的多因素身份验证，然后冒充受感染组织内的用户。攻击使用了名为0ktapus的商业网络钓鱼工具包，并与活动集群"Muddled Libra"有关联。攻击主要针对电信和业务流程外包组织，但最近已开始瞄准其他行业。Okta建议客户加强身份验证流程，限制超级管理员角色的使用，以应对此类攻击。

东方隐侠团队是专注于网络安全基础能力研究的团队，成员包括安全厂商专家和护网红队选手。他们在直播中分享了社会工程学的知识和技巧，并列举了典型的信息收集案例。他们介绍了FreeBuf知识大陆，一个专注于网安领域的知识共享APP。知识大陆上有快讯、干货知识和帮会的精华笔记。帮会是安全圈内容创作者的私域沉淀平台，创作者可以与粉丝进行创作分享和交流。东方隐侠安全团队帮会提供特惠活动，包括会员半价、赠送鼠标垫和邀请好友提成。他们鼓励加入帮会，提升技术能力，成为安全领域专家。

东方隐侠安全团队的Steven将在2023年8月6日19:00在FreeBuf知识大陆视频号直播分享渗透项目社工信息收集技巧，帮助突破防守方堡垒。东方隐侠安全团队专注于网络安全基础能力研究，成员包括多位安全专家和红队选手。观众可以参与抽奖和获得帮会会员优惠。

本文介绍了使用免杀技术和压缩捆绑的方法进行钓鱼攻击，通过制作合法的简历文件并捆绑加载器，诱导受害者下载并执行加载器。钓鱼攻击利用人们的行为习惯和应聘者的操作，更加隐蔽。然而，在传递文件时可能会遇到微信检测机制的问题。最终，通过与网站客服联系，成功发送钓鱼文件并获得会话上线的提示。

社会工程攻击是攻击者利用操纵技术从人们那里提取信息或访问权限的一种方式。它已成为数据泄露的重要因素，尤其是网络钓鱼攻击。社会工程攻击有四个主要阶段：发现和调查、欺骗和钩子、攻击和撤退。常见的攻击类型包括网络钓鱼、鱼叉式网络钓鱼、短信钓鱼、捎带和尾随、诱饵攻击、商业电子邮件入侵、问答攻击、蜜陷阱和恐吓软件。防范社会工程攻击非常重要。

2月5日，美国加密货币交易所Coinbase遭到黑客攻击，但安全机制及时检测到异常，仅有部分员工姓名、电子邮件及电话号码泄露，客户数据安全。黑客采用钓鱼和社工手段，但2FA验证阻止了登录，Coinbase安全团队及时介入。

微信社工攻击防护方案，拒绝高科技和狠活。

一次梦幻的红队行动，主场作战，成果丰富。