ZONE.CI 全球网

Zimperium揭露新型安卓木马Rokarolla通过假冒TikTok网站分发，针对217款金融应用窃取凭证。该木马利用无障碍权限实施覆盖攻击，具备短信拦截、剪贴板篡改及静默截图监控能力。建议仅从官方商店下载应用，拒绝授予未知软件无障碍权限及短信通话控制权。

本期涉W资讯专刊第33期主要汇总三类安全领域动态信息，包括10条开源情报、6条暗网论坛动态和2条X平台相关动态。内容涉及网络安全威胁情报收集与分析，但未提供具体案例或技术细节。

文档讨论网络安全行业现状，指出8年经验人员薪资偏低（如深圳驻场8k），认为AI技术对领域冲击巨大。针对教育选择，建议590分可上211的学生优先报考计算机科学与技术专业，奠定扎实基础后再灵活转向开发或安全方向，避免过早局限职业路径。

中金公司发布AI大模型安全围栏采购项目招标公告，计划采购一套AI安全防护一体化平台及配套服务。招标要求投标人须为境内独立法人，具备良好资信和3个类似项目案例，不接受联合体投标。投标文件需在2026年7月7日前递交，招标文件购买时间为6月16日至22日。

本文系统剖析了AzureBlobStorage勒索软件的四种攻击路径：客户端加密、客户提供的密钥（CPK）、加密作用域和服务端加密（CMK），详细说明了每种方法所需权限、操作步骤及检测事件代码。文章指出方法1和3已有在野利用案例，并分析了AzureKeyVault软删除保护机制的绕过方式，为防御者提供了具体的事件日志监控建议。

华鑫国际信托有限公司采购讯兔科技的AI投研工作台软件服务，采用直接采购方式因该产品为金融行业首款AI投研工作台且无同类竞品，供应商为证监会认证的金融科技创新试点单位，服务超8万投研人员及6000家机构。

本文档是非虫公众号发布的618课程促销活动，涵盖安卓逆向、eBPF安全、Frida源码分析、ROM开发及隐私探针等技术课程，提供五折至八折不等的优惠及赠送福利，旨在吸引粉丝购买培训服务。

文档分析了AIAgent从2024年工作流时代到2026年OSAgent时代的演进历程，指出当前设计核心矛盾在于用户既希望Agent自主执行任务又需要过程可控。文章提出三阶段设计解法：任务启动阶段通过模板引导降低使用门槛；执行阶段采用进度展示、透明度调节和可视化指挥舱平衡效率与可控性；交付阶段通过自检、版本回滚和视觉锚定编辑确保结果可信。强调优秀设计需在自动化与人工干预间找到平衡点，实现人机共生。

文档揭露了跨境色情黑产链条运作模式，即境外统筹发包、境内团伙利用低俗直播和技术对抗导流至境外APP变现。该黑产具有工具化、组织化特征。抖音配合警方破获案件并实施全链路打击，强调通过警企协同及多方共治解决跨境治理难题。

本文系统总结了SSRF服务端请求伪造漏洞，涵盖定义、常见存在点、PHP危险函数、危害及利用方式。重点介绍了通过HTTP/file/dict/gopher协议探测端口、读取文件、攻击内网Redis等实战方法，并提供IP限制绕过技巧。作者结合代码审计案例指出file_get_contents函数在无回显场景下的利用局限性。

石峰警方近日打掉一隐藏于大楼内的跑分洗钱团伙，抓获8名涉案人员。该团伙通过实名注册网络支付平台账号为上游电诈团伙洗钱，涉案流水达600万元。警方提醒公众勿出租出借个人账号参与跑分，以免触犯法律。

近日亳州警方捣毁新型游戏诈骗团伙，该团伙以`搬砖打金赚钱`为诱饵，通过后台操纵数据制造高战力角色击杀场景刺激玩家充值，待资金累积后`收割`玩家。警方抓获40余名嫌疑人，提醒玩家警惕私服与三无游戏，选择正规平台充值。

该文档为谷安天下发布的618网络安全考证促销活动公告，活动仅剩最后1天。核心内容包含三项优惠：直降万元叠加返现、分档加价换购课程（如CISP-PTE/CISSP等）、团购优惠（5人团最高省8%）。文档强调证书对投标/落户/升职的硬性要求，建议用户立即咨询锁定全年最低价。

该文档详细记录了红日三靶场内网渗透实战过程，通过端口扫描发现目标开放SSH、HTTP和MySQL服务，利用JoomlaCMS的配置文件泄露获取数据库凭证，成功登录MySQL并确认Joomla3.9.0版本，为后续漏洞利用奠定基础。

本文详细解析二次点击劫持攻击技术，重点介绍利用三层叠加（目标页面、透明iframe、诱饵按钮）实现多步操作的原理。通过精细调参脚本实现像素级对齐，使受害者在不知情下完成删除账户等敏感操作。文章包含完整攻击代码、五阶段实战操作指南及黄金应用场景分析，强调该技术在账户管理、支付流程等场景的有效性。

微步披露银狐团伙率先使用EDRChoker技术，通过Windows策略限制安全软件网速至10bit/s使其失效。攻击者利用SEO在Bing投放千余个1:1仿冒官网的钓鱼站，经JS筛选用户投递样本。样本利用白加黑和计划任务持久化，最终注入系统进程连接C2。

该文档标题为’坏东西’，由Khan安全团队发布，但正文内容仅包含图片占位符与小说阅读器推广链接，未提供实质性技术内容或安全相关信息。

CyberStrikeAI是一款基于Go语言开发的一站式AI安全测试平台，集成100+安全工具与智能编排引擎，覆盖渗透测试、CTF、云安全等全场景。平台支持MCP协议与多代理模式，提供Web控制台、任务管理、漏洞管理、WebShell管理等功能，具备攻击链可视化、风险打分、知识库检索等特性，通过自动化流程大幅提升安全测试效率。

网际思安在2026年端午节期间持续提供安全值守服务，确保客户系统在长假期间的网络安全防护。文档强调服务的一贯性与可靠性，属于企业节假日安全保障的产品宣传内容。

文档汇总了2026年6月上半月暗网发生的多起重大数据泄露事件，涉及秘鲁国家警察、印度教育科技公司、日产汽车、印尼警察、美以军事基地、韩国医保、委内瑞拉政府部门、世界杯订阅用户及中东金融机构等。泄露数据包含大量个人身份信息、敏感机构数据和商业记录，主要通过暗网论坛出售。事件暴露出普遍存在的网络安全漏洞，建议相关机构加强身份验证、定期更新凭证并实施多层次防护措施。

本文档RFC8842定义了在SDP提供/应答过程中协商DTLS关联的通用规范，引入新的tls-id属性来唯一标识关联并明确何时需建立新DTLS连接。文档更新了RFC5763和7345，规范涵盖DTLS角色协商、证书指纹匹配及传输参数变更处理，同时扩展支持TLS连接协商。

公开资料显示，Steam创意工坊出现恶意WallpaperEngine动态壁纸攻击事件，攻击者利用应用壁纸的代码执行特性传播后门、信息窃取器等恶意载荷。关键发现包括攻击通过篡改系统DLL窃取Steam会话凭证，并形成蠕虫式传播链。建议用户优先使用视频类壁纸、开启二次验证，并检查系统目录异常文件及C2外联行为。

广西玉林公安网安部门在`净网—2026`专项行动中，侦破一起涉世界杯网络赌博推广引流案件。犯罪嫌疑人通过在社交平台发布广告，为赌博网站提供引流推广和运维保障。目前，主要嫌疑人已被刑事拘留。

《OS应用软件包签名/验证技术规范》团体标准正式发布并实施，天威诚信作为参编单位参与制定。标准明确了软件包签名验证框架、CSP/CSF格式标准，支持deb/rpm格式的嵌入方法和验证流程，涵盖国密算法应用及证书安全管理要求。该规范为国产操作系统可信软件生态建设提供技术依据，助力完善软件安全体系。

无问社区于2026年6月9日起下调AI网安模型API价格，涵盖Token预付费降50%、按量计费缓存命中后按30%计费、模型价格降10%及会员额度提升50%等措施，旨在降低用户成本并建议根据调用量选择基础或标准包月套餐。