恶意软件 on 思安录 | Thinking's Security Notes

Telegram 桌面端本地会话复用

Thinking — Wed, 15 Jul 2026 00:00:00 +0000

导读：这个复现结果超出了我原本的认知。Telegram 的设备认证机制——手机号验证、短信验证码、二次验证密码——在我的理解里是设计完备的。但当 tdata 被复制到另一台 Mac 后启动客户端，登录界面没有出现。这不是 2FA 被破解了，而是整个复用过程根本没有触发需要验证的环节。

Trust Wallet 扩展后门：v2.68 版本恶意代码植入事件分析

Thinking — Fri, 26 Dec 2025 00:00:00 +0000

CVE-2025-53770 SharePoint WebPart 注入反序列化 RCE：补丁日之前的野利用

Thinking — Tue, 15 Jul 2025 00:00:00 +0000

SharePoint 把 WebPart 渲染视为『可信内部』，但 ToolPane.aspx 端点接受未认证 POST——攻击者构造恶意 WebPart payload 触发 .NET 反序列化 gadget chain，无需认证就在 SharePoint Server 上执行任意命令，且被微软确认已在野利用。

GitHub 热门 Solana 工具暗藏盗币陷阱：供应链攻击分析

Thinking — Thu, 03 Jul 2025 00:00:00 +0000

伪装成热门项目的加密货币剪贴板劫持器：跨平台 Ghost Network 生态分析

Thinking — Fri, 20 Jun 2025 00:00:00 +0000

导读：当 GitHub 的 Star、SourceForge 的下载量、YouTube 的播放量、VirusTotal 的"安全"投票全部可被伪造，“社会证明"这套信任机制本身就成了攻击面。Check Point 这份研究揭示了一个把恶意软件伪装成热门项目玩出花样的 Rust 剪贴板劫持器 campaign，值得每一位安全从业者关注。

Osiris 恶意浏览器扩展分析：伪装安全工具的下载链接劫持

Thinking — Wed, 28 May 2025 00:00:00 +0000

CVE-2025-56386 Notepad++ DLL 劫持：v8.8.3 的 DLL 搜索顺序与 CWD 的致命组合

Thinking — Tue, 15 Apr 2025 00:00:00 +0000

Notepad++ 加载 DLL 时使用 Windows 默认的搜索顺序（含 CWD），但没有用 SetDefaultDllDirectories + LOAD_LIBRARY_SEARCH 限制——攻击者把恶意 DLL 放在用户打开的恶意文档所在目录，Notepad++ 启动时优先加载 CWD 的同名 DLL，RCE 在用户权限下完成。

LinkedIn 招聘钓鱼分析：针对区块链工程师的定向攻击

Thinking — Sat, 15 Mar 2025 00:00:00 +0000

假 CAPTCHA 网站劫持剪贴板投递信息窃取器：ClickFix 攻击手法分析

Thinking — Tue, 11 Mar 2025 00:00:00 +0000

导读：当"证明你不是机器人"本身成了攻击入口，你每一次对 CAPTCHA 的习惯性顺从，都可能是一次自感染。Malwarebytes 在 2025 年 3 月披露的这套 ClickFix 攻击手法，把"用户自己感染自己"这件事做到了规模化复制。

CVE-2025-21756 Linux Kernel vsock UAF：从 socket 子系统到 Root 的最短路径

Thinking — Fri, 28 Feb 2025 00:00:00 +0000

Linux 内核的 vsock_diag_dump 在遍历 AF_VSOCK socket 时把 transport 指针（sk）和 vsock 指针（vsk）的释放顺序错位——攻击者关闭其中一边让另一边悬空，下一次遍历就踩到已释放的内存，逃逸到内核控制流。

CVE-2025-11001 7-Zip ZIP Parsing Directory Traversal to RCE：symlink 拼接收件路径

Thinking — Sat, 15 Feb 2025 00:00:00 +0000

7-Zip 在解析 ZIP 时把 symlink 当成普通目录项处理——攻击者构造『目录 + symlink + 恶意文件』三层结构，symlink 指向系统敏感路径，受害者解压时 symlink 被解析，后续被解压的恶意文件就写入任意位置。

CVE-2025-21298 Windows OLE RCE：CStdStubBuffer 加号偏移触发 Use-After-Free

Thinking — Wed, 22 Jan 2025 00:00:00 +0000

Windows OLE 把对象引用计数委托给 ole32!CStdStubBuffer_Disconnect 处理——攻击者通过 RTF 文档中精心构造的 OLE 引用，让引用计数在释放路径上加号偏移到特定值，引发双重释放与 Use-After-Free，配合 HEAP spraying 可劫持控制流。

虚假 Aggr Chrome 扩展盗币分析：Cookie 窃取与对敲攻击

Thinking — Fri, 31 May 2024 00:00:00 +0000

node-serialize 反序列化 RCE：被低估的 Node.js 库信任链

Thinking — Mon, 15 Jan 2024 00:00:00 +0000

node-serialize 这个只维护到 0.0.4 版本的微型序列化库，在 unserialize() 函数里留了一手——只要传入的 JSON 字段值以 _$$ND_FUNC$$_ 开头，库就会把它送进 eval()，结果是任意 Node.js 代码执行。

CVE-2023-38831 WinRAR 欺骗漏洞：归档文件伪装执行的 0click 攻击

Thinking — Wed, 23 Aug 2023 00:00:00 +0000

WinRAR 的解压逻辑有一个隐藏行为——当归档里同时存在「同名目录+同名可执行文件」时，WinRAR 会优先解压可执行文件到当前目录，并自动执行。攻击者精心构造的「看似安全图片」就是可执行文件。

CVE-2021-34527 PrintNightmare：Windows Print Spooler 的 SYSTEM 级 DLL 加载陷阱

Thinking — Tue, 06 Jul 2021 00:00:00 +0000

Windows Print Spooler 服务的一个 DLL 加载控制不严漏洞，攻击者只需诱导系统加载一次 SMB 共享上的恶意驱动 DLL，便能直接拿到 SYSTEM 权限的命令执行。