各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. iPhone新骗术：利用虚假锁定模式让恶意行为蒙混过关

据Jamf 威胁实验室与The Hacker News分享的一份报告显示，黑客可以利用一种新颖的攻击手法渗透目标的iPhone，当触发锁定模式时制造“假锁定”。

2. 研究人员发现新型攻击方式，可通过图像和音频操纵大模型

随着大语言模型（LLM）开始整合多模态功能，攻击者可能会在图像和音频中隐藏恶意指令，利用这些指令操纵AI聊天机器人（例如ChatGPT）背后的LLM对用户提示的响应。在2023年欧洲黑帽大会上，研究人员指出，这样的攻击方式将很快成为现实。

3. Black Basta 勒索软件团伙出道以来至少已“赚取” 1.07 亿美元

Black Basta 勒索软件团伙自 2022 年初“出道”以来，成功“感染”了 300 多个受害目标，累计收获赎金超过 1.07 亿美元。按12月4日人民币与美元的汇率计算，该组织年入约4.75亿美元。

4. 法国禁止政府要员使用外国聊天应用

法国总理伊丽莎白·博尔内近期签署了一份备忘录，要求所有政府公务人员在 2023 年 12 月 8 日之前卸载 Signal、WhatsApp 和 Telegram 等外国通讯软件，使用本国开发的替代产品“Olvid”。

5. 美国证券交易委员会开启网络安全问责底线

美国证券交易委员会（SEC）对SolarWinds误导性网络安全披露提起法律诉讼，此事不仅登上新闻头条，还创造了历史。该案代表着围绕网络安全的监管预期和执法发生了翻天覆地的变化，尤其是对上市公司和政府承包商而言。

安全事件

1. 黑客利用 Adobe ColdFusion 漏洞入侵美国政府机构

12月5日，美国网络安全和基础设施安全局 (CISA)发出警告称，黑客正积极利用 Adobe ColdFusion 中的一个关键漏洞（CVE-2023-26360）来获取对政府服务器的初始访问权限。

2. Sierra 安全漏洞严重影响关键基础设施

研究人员发现了 21 个安全漏洞，这些漏洞会严重影响 Sierra OT/IoT 路由器，威胁攻击者能够利用漏洞，通过远程代码执行、未授权访问、跨站脚本、身份验证绕过和拒绝服务攻击袭击关键基础设施。

3. 知名机构HTC Global 遭勒索攻击，泄露大量敏感信息

IT 服务和商业咨询公司 HTC Global services 在 ALPPV 勒索软件团伙泄露被盗数据截图后，才证实了其遭到网络攻击。HTC Global Services 是一家管理服务提供商，主要为医疗保健、汽车、制造和金融行业提供技术和业务服务。

4. 又一全新黑客组织“浮出水面”，美国航空航天领域被盯上

近日，一个名为 "AeroBlade "的全新网络间谍黑客组织“浮出水面”。BlackBerry公司发现该黑客组织以美国航空航天领域的组织为目标，陆续发起了两次攻击：第一次是在2022年9月的一次测试浪潮，第二次是今年7月发起的一次更高级别的攻击。

5. 国外知名占卜网站1300万条用户信息遭泄露

WeMystic是一个关于占星术、命理学、塔罗牌和精神取向的网站。近日，Cybernews 研究小组发现其开放式数据库近日暴露了该平台用户的34GB敏感数据。

一周好文共读

1. 企业安全实践 | 从零开始学做整体安全规划

本文结合目前的工作现状，简要总结一下在甲方如何整体的去做安全，做一份有体系的安全规划。

【阅读原文】

2. 你的声音就是我的“通行证”

ESET安全社区专家Jake Moore为探索人工智能语音克隆欺诈而进行的模拟攻击试验，揭示了人工智能技术可能带来的破坏性影响。【阅读原文】

3. 通过蜜罐观察对容器编排服务的在野攻击

本文调查了互联网上暴露的容器编排服务（Container Orchestration）有多少，以及针对它们的攻击。 本研究考虑了三组基于容器的软件：Docker、Kubernetes 和工作流工具。 在测量研究中扫描了互联网，以识别在默认端口上运行的易受攻击的容器和容器编排服务。然后设计了一个高交互蜜罐，以揭示攻击者倾向于攻击的位置以及针对暴露的实例采取的措施。【阅读原文】

省心工具

1. 如何在漏洞奖励任务中使用Nodesub高效寻找子域名

Nodesub是一款功能强大的子域名扫描与发现工具，该工具是一个命令行接口工具，可以帮助广大研究人员在漏洞奖励任务或渗透测试任务过程中完成子域名扫描方面的工作。【阅读原文】

2. 如何使用Apepe基于APK文件枚举应用程序信息

Apepe是一款功能强大的Android移动端应用程序信息收集工具，该工具支持基于APK文件枚举目标移动应用程序的相关信息。在该工具的帮助下，广大安全研究人员可以轻松收集目标App的各种信息，并评估其安全性能。【阅读原文】

3. Caracal：一款功能强大的Starknet智能合约静态分析工具

Caracal是一款功能强大的Starknet智能合约静态分析工具，广大安全研究人员或区块链技术人员可以使用该工具来对Starknet智能合约执行静态分析。【阅读原文】