北信源发布2024年报，净利润由盈转亏；警惕新型钓鱼攻击：SVG文件成为传递恶意HTML代码的新载体 | 牛览

新闻速览

•国家网络安全通报中心提醒：WinRAR安全漏洞可绕过Windows安全警告执行恶意软件

•警惕新型钓鱼攻击：SVG文件成为传递恶意HTML代码的新载体

•新型钓鱼攻击利用假冒Booking.com邮件传播恶意软件，获取酒店系统完全访问权限

•黑客组织利用Zoom视频会议实施加密货币诈骗

•机器学习框架安全提醒：PyTorch发现可被远程利用的关键漏洞

•北信源发布2024年报，净利润由盈转亏

•微软推进公司史上最大规模网络安全工程项目：“安全未来计划”

•《2024年中国企业邮箱安全性研究报告》发布

特别关注

国家网络安全通报中心提醒：WinRAR安全漏洞可绕过Windows安全警告执行恶意软件

国家网络安全通报中心4月21日提醒WinRAR中的一项安全漏洞（CVE-2025-31334）。该漏洞能够绕过微软Windows的Mark of the Web（MoTW）安全机制，使得用户在不知情的情况下，有可能执行来自网络的恶意程序，造成严重安全风险。

WinRAR 是广受欢迎的压缩软件。微软Windows的MoTW通常是在用户尝试运行从网络下载的未知软件时出现，提醒用户执行来自不明来源的程序存在风险，并提供继续执行或取消操作的选项。但据最新消息，旧版本的 WinRAR 能够完全绕过这一安全机制，增加安全风险。尽管这一安全漏洞需要用户手动打开链接才会触发潜在攻击，但它通过完全跳过 Windows 的弹窗警告系统，仍然增加了安全风险。

攻击者可以利用该漏洞绕过Windows的安全警告，进而在用户不注意的情况下执行恶意软件。WinRAR官方已在7.11版本中针对该漏洞进行了修复。7.11版本的更新说明指出，如果从WinRAR Shell启动指向可执行文件的符号链接，则该文件的MoTW数据将被忽略。

为积极应对WinRAR安全漏洞对我关键基础设施带来的网络安全挑战，建议从技术层面采取以下措施：一是全面排查WinRAR用户中涉该漏洞计算机网络设备，及时安装最新版本。二是进行WinRAR客户端配置重置。三是建议WinRAR用户在处理敏感数据时避免连接到不受信任的网络

https://mp.weixin.qq.com/s/OuJSqFxhYOVU3EAfrJvqRQ

网络攻击

警惕新型钓鱼攻击：SVG文件成为传递恶意HTML代码的新载体

网络安全专家近期发现了一种新型钓鱼攻击技术，攻击者利用SVG（可缩放矢量图形）文件格式向毫无防备的受害者传递恶意HTML内容。这种2025年初首次被观察到的新兴威胁，代表了钓鱼攻击策略的重要演变，攻击者利用SVG文件的双重特性绕过安全措施，诱骗用户泄露敏感信息。

与JPEG或PNG等传统图像格式不同，SVG文件使用支持嵌入JavaScript和HTML代码的XML标记。这一原本用于实现交互式图形元素的合法功能，现已成为被恶意行为者利用的漏洞。攻击者在看似无害的图像附件中直接嵌入钓鱼页面或重定向脚本。典型的攻击途径始于一封包含SVG附件的电子邮件，这些附件伪装成无害内容（通常是音频记录或需要签名的文档）。当用户打开这些文件时，嵌入的代码会执行，显示带有欺骗性内容的HTML页面，或使用JavaScript将受害者重定向到模仿Google Voice或Microsoft登录门户等合法服务的复杂钓鱼网站。

Securelist研究人员发现，2025年3月来这种攻击显著增加，仅第一季度就记录了2,825封使用SVG附件的恶意电子邮件。4月份仅上半月就记录了1,324起事件，表明攻击者发现这种技术对现有安全措施越来越有效。

https://cybersecuritynews.com/new-phishing-attack-appending-weaponized-html-files/#google_vignette

新型钓鱼攻击利用假冒Booking.com邮件传播恶意软件，获取酒店系统完全访问权限

安全研究人员发现一起针对酒店员工的精心策划的钓鱼攻击活动，攻击者通过伪装成Booking.com的邮件，诱导受害者执行恶意命令，最终在目标系统上安装AsyncRAT远程访问木马，从而可能获取酒店系统的完全远程访问权限，危及客户数据、预订信息和支付记录。

这种攻击引导用户手动执行恶意软件，巧妙地绕过安全限制并避免触发下载警报。攻击始于一封看似来自Booking.com的邮件，声称有客人遗留了重要物品，并敦促酒店经理点击"查看客人信息"按钮。当用户点击链接后，会被引导至一个仿冒的Booking.com网站（booking.partlet-id739847.com），该网站首先显示一个假冒的CAPTCHA验证码。完成验证后，页面会指示用户按下WIN + R组合键（打开Windows运行对话框），然后按CTRL + V和Enter键。这一操作实际上会执行预先复制到剪贴板中的隐藏命令，从而安装AsyncRAT恶意软件。

技术分析显示，该恶意软件通过MSBuild.exe（一个合法的Windows工具）运行，安装在%AppData%目录中，并与位于185.39.17.70:8848的命令控制服务器通信。AsyncRAT具备键盘记录、远程桌面查看、文件访问和数据窃取等功能。

https://hackread.com/booking-com-phishing-scam-fake-captcha-asyncrat/

黑客组织利用Zoom视频会议实施加密货币诈骗

开放安全联盟(Open Security Alliance)研究人员近期跟踪到黑客组织“Elusive Comet”通过精心设计的社会工程学手段针对加密货币用户发起攻击，已造成数百万资金损失。攻击者的目标是诱骗受害者安装恶意软件，从而获取对设备的访问权限并窃取加密货币。

Elusive Comet通过建立合法网站和活跃的社交媒体档案来维持其表面合法性，如伪装成合法风险投资公司的Aureon Capital，以及Aureon Press和The OnChain Podcast等平台。攻击者通常通过X平台私信、电子邮件或邀请受害者参加其播客节目来建立初步联系。一旦受害者接受邀请，黑客会安排Zoom视频通话，并要求受害者共享屏幕展示工作。随后，攻击者会请求控制受害者的计算机，安装信息窃取器或远程访问木马(RAT)，从而窃取设备上的信息。

为防范此类威胁，研究人员建议用户对来自陌生人的媒体邀约保持警惕，使用Zoom时应特别注意，避免授予他人对设备的控制权。

https://www.darkreading.com/remote-workforce/elusive-comet-zoom-victims

安全漏洞

机器学习框架安全提醒：PyTorch发现可被远程利用的关键漏洞

广泛使用的开源机器学习框架PyTorch近日被发现存在重大安全漏洞（CVE-2025-32434）。该漏洞允许攻击者在加载AI模型时远程执行任意代码，即使启用了weights_only=True等保护设置也无法防御。

漏洞的根源在于PyTorch的torch.load()函数，这是一个常用于加载序列化模型的核心组件。多年来，开发人员一直依赖weights_only=True标志来防止模型文件中嵌入的潜在有害代码。然而，安全研究员Ji'an Zhou证明了这一保护措施可被绕过，使攻击者能够执行远程命令。

该漏洞不需要特殊权限、用户交互或高级利用技术，对实际应用特别危险，影响所有2.5.1及更早版本的PyTorch。问题已在2.6.0版本中得到修复，用户可通过pip获取更新。PyTorch团队强烈建议所有用户立即升级到PyTorch 2.6.0，审核现有AI模型（尤其是来自第三方或公共存储库的模型），并密切关注官方安全渠道以获取更新。

https://www.cpomagazine.com/cyber-security/extension-to-federal-information-sharing-cybersecurity-law-introduced-ahead-of-september-expiration-date/

产业动态

北信源发布2024年报，净利润由盈转亏

北信源（股票代码：300352）于4月20日发布2024年报。年报显示，2024年公司实现营收5.17亿元，同比减少24.31%；归母净利润为亏损1.45亿元，同比转亏。值得注意的是，2024年北信源来自金融、军工、政府、能源等四大行业的营业收入均出现不同程度的下滑，分别为3978.35万元、9694.73万元、1.80亿元、6184.51万元，同比分别下降28.31%、5.92%、33.25%、7.51%。

根据年报，报告期内，公司主营业务、核心竞争力未发生重大不利变化，业绩变动趋势与行业基本一致。受市场环境的影响，公司营业收入显著不及预期，导致归属于上市公司股东的净利润为负。

在年报披露的同时，北信源抛出一份募集资金总额不超过4.77亿元的定增预案。根据北信源公告，本次募集资金拟投向“信源密信安全AI基座项目”和“智能应急响应平台研发项目”，两大项目的投资总额约为5.55亿元。

http://www.cninfo.com.cn/new/disclosure/detail?stockCode=300352&announcementId=1223150757&orgId=9900022471&announcementTime=2025-04-21

微软推进公司史上最大规模网络安全工程项目：“安全未来计划”

微软近日发布了"安全未来计划"(Secure Future Initiative, SFI)的第二份进展报告，该计划被描述为公司历史上规模最大的网络安全工程项目。在微软安全执行副总裁Charlie Bell的领导下，该计划动员了相当于3.4万名工程师全职工作11个月的资源，旨在加强微软自身、客户以及整个行业的安全防护。

SFI计划强调在微软全体员工中培养"安全第一"的文化。目前，每位员工都有与绩效评估挂钩的"安全核心优先级"，99%的员工已完成强制性的"安全基础"和"信任代码"培训。此外，超过5万名员工参与了微软安全学院，提升网络安全专业知识。此外，Microsoft 的工程团队推出了符合“安全设计、默认和运作”原则的重大创新，其中包括推出了"安全设计UX工具包"等多项创新。该报告还强调了在保护身份、网络和系统方面取得的重大进展。

在28个SFI目标中，5个接近完成，11个取得显著进展。微软还与安全研究社区合作，分享工具以提升行业标准。

https://cybersecuritynews.com/microsofts-secure-future-initiative-biggest-cybersecurity-project-in-its-history/

《2024年中国企业邮箱安全性研究报告》发布

Coremail邮件安全人工智能实验室、CACTER邮件安全研究团队和奇安信行业安全研究中心近日联合发布了《2024年中国企业邮箱安全性研究报告》。报告聚焦中国企业邮箱安全性，

报告的关键发现主要有：

• 2024年活跃的国内企业邮箱用户规模约为2亿，与2023年用户规模相比增长约5.3%；

• 2024年正常邮件收发占比46.8%。全国企业级邮箱用户共收发各类电子邮件约8188.4 亿封，同比增长了 4.8%；

• 2024年钓鱼邮件同比新增30.8%。全国企业邮箱用户共收到各类钓鱼邮件约755.0亿封；

• 香港成为发送钓鱼邮件最多的地区，占17.8%。其次是江苏、广东；

• 2024年国内电子邮箱被盗账号达1074万，总量是2020年的近2.3倍；

• 生成式AI加剧钓鱼邮件威胁。越来越多攻击者使用生成式AI制作更有针对性的恶意邮件文案内容，并采用AI技术进行自动化的邮件攻击。

为应对这一威胁，CACTER结合大模型能力，全新推出大模型邮件安全网关，为企业提供全方位的邮件安全防护。

https://mp.weixin.qq.com/s/-jDBP061kWXvvX0buk3sDw

合作电话：18311333376

合作微信：aqniu001