ZONE.CI 全球网

安天发布网络行为检测能力升级通告，本期新增检测规则177条、改进33条，覆盖代码执行、漏洞利用等高危行为。通告分析了LiteLLM代理服务器漏洞链和protobuf.js的Proto6漏洞风险，并预警了Chrome、Linux内核等近期关键漏洞。同时披露PCPJack组织劫持云服务器建立SMTP中继网络事件，建议用户及时更新探海威胁检测系统至6.6.1.4以上版本以增强防护。

Anthropic的Rust库buffa存在0Day拒绝服务漏洞，攻击者可构造恶意protobuf嵌套字段引发22倍堆内存放大导致服务崩溃。漏洞源于未知字段解码无分配上限。建议立即升级至connectrpc0.8.0以上版本，或将preserve\\_unknown\\_fields设为false缓解风险。

该分析揭示了一个伪装成Steam启动器的恶意样本，通过protobuf注册路径隐蔽触发恶意代码，动态下载并解密执行payload。攻击者利用CRT全局初始化阶段插入恶意逻辑，手法隐蔽。建议用户从官方渠道下载软件，并验证文件哈希值。

本文详细介绍了MacOS企业微信5.0.7中定位protobuf序列化与反序列化Hook点的逆向分析方法。核心在于区分protobuf消息层、网络帧层与CGI外层，精准HookInternalSerialize和Parse函数。作者提供了从搜索类型名、XREF找vtable、反编译确认读写逻辑到Frida抓取数据的完整流程。建议实操时先验证消息对象与vtable，结合外层封装关联具体接口，并通过类型、函数、数据、链路四类证据闭环验证防误Hook，版本升级时需重新走查地址。

该文档分析了一个伪装成Steam客户端启动器的恶意样本，其通过patchprotobuf注册路径在WinMain前触发恶意代码，下载并解密执行payload。关键发现包括使用自定义API哈希和隐蔽的代码插入手法。建议用户从官方渠道下载软件，避免运行非官方版本。

本文详细披露了GoogleCloud生产环境中一个从调试端点信息泄露演变为完整RCE的攻击链。研究员通过cloudcrmipfrontend-pa.googleapis.com端点泄露内部protobuf定义，利用StubbyRPC机制绕过安全策略，最终通过GenericStubbyTypedTask实现远程代码执行。该漏洞被评定为P0/S0最高级别，获得148,337美元奖金，揭示了Google安全模型中Stubby调用链的核心风险。

安天发布网络行为检测能力升级通告，本期新增检测规则177条、改进33条，覆盖代码执行、漏洞利用等高危行为。通告分析了LiteLLM代理服务器漏洞链和protobuf.js的Proto6漏洞风险，并预警了Chrome、Linux内核等近期关键漏洞。同时披露PCPJack组织劫持云服务器建立SMTP中继网络事件，建议用户及时更新探海威胁检测系统至6.6.1.4以上版本以增强防护。

Anthropic的Rust库buffa存在0Day拒绝服务漏洞，攻击者可构造恶意protobuf嵌套字段引发22倍堆内存放大导致服务崩溃。漏洞源于未知字段解码无分配上限。建议立即升级至connectrpc0.8.0以上版本，或将preserve\\_unknown\\_fields设为false缓解风险。

该分析揭示了一个伪装成Steam启动器的恶意样本，通过protobuf注册路径隐蔽触发恶意代码，动态下载并解密执行payload。攻击者利用CRT全局初始化阶段插入恶意逻辑，手法隐蔽。建议用户从官方渠道下载软件，并验证文件哈希值。

本文详细介绍了MacOS企业微信5.0.7中定位protobuf序列化与反序列化Hook点的逆向分析方法。核心在于区分protobuf消息层、网络帧层与CGI外层，精准HookInternalSerialize和Parse函数。作者提供了从搜索类型名、XREF找vtable、反编译确认读写逻辑到Frida抓取数据的完整流程。建议实操时先验证消息对象与vtable，结合外层封装关联具体接口，并通过类型、函数、数据、链路四类证据闭环验证防误Hook，版本升级时需重新走查地址。

该文档分析了一个伪装成Steam客户端启动器的恶意样本，其通过patchprotobuf注册路径在WinMain前触发恶意代码，下载并解密执行payload。关键发现包括使用自定义API哈希和隐蔽的代码插入手法。建议用户从官方渠道下载软件，避免运行非官方版本。

本文详细披露了GoogleCloud生产环境中一个从调试端点信息泄露演变为完整RCE的攻击链。研究员通过cloudcrmipfrontend-pa.googleapis.com端点泄露内部protobuf定义，利用StubbyRPC机制绕过安全策略，最终通过GenericStubbyTypedTask实现远程代码执行。该漏洞被评定为P0/S0最高级别，获得148,337美元奖金，揭示了Google安全模型中Stubby调用链的核心风险。

Anthropic的Rust库buffa存在0Day拒绝服务漏洞，攻击者可构造恶意protobuf嵌套字段引发22倍堆内存放大导致服务崩溃。漏洞源于未知字段解码无分配上限。建议立即升级至connectrpc0.8.0以上版本，或将preserve\\_unknown\\_fields设为false缓解风险。

该分析揭示了一个伪装成Steam启动器的恶意样本，通过protobuf注册路径隐蔽触发恶意代码，动态下载并解密执行payload。攻击者利用CRT全局初始化阶段插入恶意逻辑，手法隐蔽。建议用户从官方渠道下载软件，并验证文件哈希值。

本文详细介绍了MacOS企业微信5.0.7中定位protobuf序列化与反序列化Hook点的逆向分析方法。核心在于区分protobuf消息层、网络帧层与CGI外层，精准HookInternalSerialize和Parse函数。作者提供了从搜索类型名、XREF找vtable、反编译确认读写逻辑到Frida抓取数据的完整流程。建议实操时先验证消息对象与vtable，结合外层封装关联具体接口，并通过类型、函数、数据、链路四类证据闭环验证防误Hook，版本升级时需重新走查地址。

该文档分析了一个伪装成Steam客户端启动器的恶意样本，其通过patchprotobuf注册路径在WinMain前触发恶意代码，下载并解密执行payload。关键发现包括使用自定义API哈希和隐蔽的代码插入手法。建议用户从官方渠道下载软件，避免运行非官方版本。

本文详细披露了GoogleCloud生产环境中一个从调试端点信息泄露演变为完整RCE的攻击链。研究员通过cloudcrmipfrontend-pa.googleapis.com端点泄露内部protobuf定义，利用StubbyRPC机制绕过安全策略，最终通过GenericStubbyTypedTask实现远程代码执行。该漏洞被评定为P0/S0最高级别，获得148,337美元奖金，揭示了Google安全模型中Stubby调用链的核心风险。

该分析揭示了一个伪装成Steam启动器的恶意样本，通过protobuf注册路径隐蔽触发恶意代码，动态下载并解密执行payload。攻击者利用CRT全局初始化阶段插入恶意逻辑，手法隐蔽。建议用户从官方渠道下载软件，并验证文件哈希值。

本文详细介绍了MacOS企业微信5.0.7中定位protobuf序列化与反序列化Hook点的逆向分析方法。核心在于区分protobuf消息层、网络帧层与CGI外层，精准HookInternalSerialize和Parse函数。作者提供了从搜索类型名、XREF找vtable、反编译确认读写逻辑到Frida抓取数据的完整流程。建议实操时先验证消息对象与vtable，结合外层封装关联具体接口，并通过类型、函数、数据、链路四类证据闭环验证防误Hook，版本升级时需重新走查地址。

Anthropic的Rust库buffa存在0Day拒绝服务漏洞，攻击者可构造恶意protobuf嵌套字段引发22倍堆内存放大导致服务崩溃。漏洞源于未知字段解码无分配上限。建议立即升级至connectrpc0.8.0以上版本，或将preserve\\_unknown\\_fields设为false缓解风险。

该分析揭示了一个伪装成Steam启动器的恶意样本，通过protobuf注册路径隐蔽触发恶意代码，动态下载并解密执行payload。攻击者利用CRT全局初始化阶段插入恶意逻辑，手法隐蔽。建议用户从官方渠道下载软件，并验证文件哈希值。

本文详细介绍了MacOS企业微信5.0.7中定位protobuf序列化与反序列化Hook点的逆向分析方法。核心在于区分protobuf消息层、网络帧层与CGI外层，精准HookInternalSerialize和Parse函数。作者提供了从搜索类型名、XREF找vtable、反编译确认读写逻辑到Frida抓取数据的完整流程。建议实操时先验证消息对象与vtable，结合外层封装关联具体接口，并通过类型、函数、数据、链路四类证据闭环验证防误Hook，版本升级时需重新走查地址。

该文档分析了一个伪装成Steam客户端启动器的恶意样本，其通过patchprotobuf注册路径在WinMain前触发恶意代码，下载并解密执行payload。关键发现包括使用自定义API哈希和隐蔽的代码插入手法。建议用户从官方渠道下载软件，避免运行非官方版本。

本文详细介绍了MacOS企业微信5.0.7中定位protobuf序列化与反序列化Hook点的逆向分析方法。核心在于区分protobuf消息层、网络帧层与CGI外层，精准HookInternalSerialize和Parse函数。作者提供了从搜索类型名、XREF找vtable、反编译确认读写逻辑到Frida抓取数据的完整流程。建议实操时先验证消息对象与vtable，结合外层封装关联具体接口，并通过类型、函数、数据、链路四类证据闭环验证防误Hook，版本升级时需重新走查地址。

该文档分析了一个伪装成Steam客户端启动器的恶意样本，其通过patchprotobuf注册路径在WinMain前触发恶意代码，下载并解密执行payload。关键发现包括使用自定义API哈希和隐蔽的代码插入手法。建议用户从官方渠道下载软件，避免运行非官方版本。