各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. 技嘉曝“类后门”安全漏洞，影响约 700 万台设备

The Hacker News 网站披露， Eclypsium 网络安全研究员发现技嘉售出的 271 款近 700 万片主板中存在”类似后门“的安全漏洞。

2.被黑客利用长达7个月，老牌安全厂商Barracuda曝零日漏洞

企业安全公司Barracuda周二（5月30日）披露，自2022年10月以来，其电子邮件安全网关（ESG）设备中最近修补的一个零日漏洞被攻击者滥用，对设备进行后门攻击。

3.恶意间谍软件在 Google Play 上被下载4.21亿次

伪装成营销软件开发工具包（SDK）的间谍软件被发现进入101个安卓应用程序，其中许多以前在Google Play上，下载量超过4亿次。

4. 微软发现 macOS 漏洞可让黑客访问用户私人数据

苹果最近解决了一个由微软发现的macOS系统漏洞，该漏洞允许拥有 root 权限的攻击者绕过系统完整性保护 (SIP)以安装不可删除的恶意软件，并通过规避透明度同意和控制 (TCC) 安全检查来访问受害者的私人数据。

5. 被捅了老窝？黑客论坛泄露47.8万名成员数据

据BleepingComputer消息，曾经臭名昭著的黑客论坛RaidForums数据库遭到泄露，47.8万名成员个人信息被曝光。

安全事件

1. 新型浏览器文件压缩包可滥用ZIP 域名传播恶意软件

据BleepingComputer 5月28日消息，一种新型"浏览器文件压缩包 "钓鱼工具被试验出可滥用ZIP域名，在浏览器中显示虚假的WinRAR或Windows文件资源管理器窗口，以诱导用户启动恶意文件。

2. CISA 督促联邦政府机构 “重视”Barracuda 零日漏洞

Bleeping Computer 网站披露，CISA 发布警告称上周有一个打补丁的零日漏洞（CVE-2023-2868）被网络攻击者用来入侵 Barracuda电子邮件安全网关（ESG）设备。

3. FBI：18岁黑客入侵博彩网站6万个账户并从中窃取60万美元

一名18岁的威斯康星州男子被指控入侵博彩网站，并从使用该网站的个人账户持有人那里窃取数十万美元。不仅入侵了数千个个人账户，还出售了这些账户的访问权限，包括教学如何提取账户内的资金。

4. AceCryptor恶意软件：两年间攻击次数超24万

斯洛伐克网络安全公司ESET表示，他们在2021年和2022年的遥测中发现了超过24万次密码检测，且每月的点击量超过1万次。

5.招聘平台 Prosperix 泄漏求职者敏感信息

Security Affairs 网站披露，美国加州一家“劳动力创新 ” 公司 Prosperix 泄漏了近 25 万份文件，部分文件中包含大量求职者的个人敏感数据。

一周好文共读

1. 新冠、健身、游戏，盘点那些“离谱”的军事机密泄露事件 TOP 10

美国国防部一批机密情报文件被泄露，这被认为是近十年来美国最大的军事情报泄密事件。【阅读原文】

2. 黑掉美国最先进的“死神”无人机，可以在五角大楼投弹吗？

无人机市场快速扩张表明无人机的能力被越来越多人认可，在军用、民用领域无人机的广泛应用释放了大量“劳动力”，但陡然增加数百万架无人机不免引起民众对其安全性的担忧。【阅读原文】

3. 如果只有一部手机，怎么确认家中有没有偷拍摄像头？

一部手机，一个懒人，一些凌乱的思绪，希望能引发更多人对于个人信息安全的重视。【阅读原文】

省心工具

1. 如何使用PortEx分析可移植可执行文件的安全性

PortEx是一款功能强大的可执行文件安全分析工具，该工具本质上是一个Java库，可以帮助广大研究人员对可移植可执行文件执行静态恶意软件分析。该工具主要针对的是PE恶意信息的鲁棒性和异常检测。【阅读原文】

2. Pinacolada：一款针对Hak5 WiFi Coconut的无线入侵检测系统

Pinacolada是一款针对Hak5 WiFi Coconut的无线入侵检测系统，Pinacolada可以帮助广大研究人员检测典型的IEEE 802.11攻击行为，并以最快的方式通知研究人员。【阅读原文】

3. GVision：一款功能强大的反向图片搜索引擎

GVision是一款功能强大的反向图片搜索工具，该工具使用了Google Cloud Vision API来帮助广大研究人员从图片资源中检测地标和网络实体，以此来快速轻松地从图片资源中收集有价值的信息。【阅读原文】