文章总结： 这份嘶吼安全快报涵盖了多个重要安全事件和技术内容。新闻部分报道了新型蜘蛛侠钓鱼工具包、VSCode虚假扩展、Chrome零日漏洞、DroidLock恶意软件和ReactServerComponents漏洞等威胁。技术部分介绍了网络安全遥测技术和逆向工程工具的应用。政策部分解读了网络数据安全风险评估办法征求意见稿。建议用户及时更新Chrome浏览器，警惕钓鱼攻击，并关注数据安全风险评估政策的实施。
综合评分： 81
文章分类： 威胁情报,漏洞分析,安全大事件,安全工具,政策法规
嘶吼安全快报——2025.12.12
嘶吼专业版
2025年12月12日 14:00
北京
嘶吼安全快报
新闻
技术
政策
新闻速递
TODAY’S INFORMATION
- 新型“蜘蛛侠”钓鱼工具包让黑客能够立即搭建虚假银行登录页面
- 安全警报：VS Code 应用市场发现19个虚假PNG扩展程序
- Chrome 又遭受零日漏洞攻击：立即更新
- DroidLock恶意软件会锁定Android设备并索要赎金
- 64.4万+网站因React Server Components漏洞面临风险
- 网络安全中的遥测技术：利用遥测数据收集改进安全监控
- 逆向工程工具及其应用：Apriorit 的经验
- 专家解读｜实施网络数据安全风险评估办法
01
安全新闻
“蜘蛛侠”钓鱼工具包泛滥，黑客可快速搭建虚假银行登录页面
导读：一款名为“蜘蛛侠”的复杂网络钓鱼工具包已成为欧洲银行客户的重大威胁，网络犯罪分子只需点击几下鼠标，即可为数十家金融机构创建逼真的虚假登录页面。这一事态发展标志着针对金融行业的网络钓鱼即服务操作出现了危险的演变。
原文：https://gbhackers.com/new-spiderman-phishing-kit/
安全警报：VS Code 应用市场发现19个虚假PNG扩展程序
导读：该攻击活动自 2025 年 2 月开始，于 2025 年 12 月 2 日被发现，它利用开发者生态系统中固有的信任，将恶意软件隐藏在看似功能正常的扩展程序的依赖文件夹中。攻击者采用了一种新颖的规避技术：将恶意二进制文件隐藏在伪装成 PNG 图像的文件中。
原文：https://gbhackers.com/fake-png-extensions/
Chrome 又遭受零日漏洞攻击：立即更新
导读：谷歌已紧急修复Chrome浏览器中一处正被恶意利用的高危漏洞，并敦促所有用户立即更新。本次补丁主要针对V8 JavaScript引擎中的两处缺陷，其中至少一处已被黑客用于实际攻击。
原文：https://www.malwarebytes.com/blog/news/2025/12/another-chrome-zero-day-under-attack-update-now
DroidLock恶意软件会锁定Android设备并索要赎金
导读：研究人员近期发现了一场针对安卓用户的新威胁活动。该活动所使用的一款名为DroidLock的恶意软件能够锁定用户设备并勒索赎金。截至目前，其主要攻击目标为西班牙语用户，但研究者警告其攻击范围或将继续扩大。DroidLock通过仿冒电信运营商等知名品牌的钓鱼网站进行传播，诱骗用户下载安装恶意应用。该应用实际上是一个“投放器”，会在用户设备上安装最终恶意软件，并通过滥用设备管理员权限及无障碍服务权限，实现对设备的完全控制。
原文：https://www.malwarebytes.com/blog/news/2025/12/droidlock-malware-locks-you-out-of-your-android-device-and-demands-ransom
64.4万+网站因React Server Components漏洞面临风险
导读：Shadowserver基金会日前紧急发布警告，指出名为“React2Shell”的高危漏洞存在广泛的潜在攻击面，目前仍有大量目标暴露在攻击威胁之下。截至2025年12月8日扫描基础设施升级完成后的最新数据显示，超过64.4万个域名和16.5万个独立IP地址仍在运行存在漏洞的React Server Components实例，面临被攻击利用的风险。
原文：https://gbhackers.com/644k-websites-at-risk-due-to-critical-react-server-components-flaw/
TODAY’S INFORMATION
02
安全技术
网络安全中的遥测技术：利用遥测数据收集改进安全监控
导读：这篇文章深入探讨了构建网络安全遥测系统的核心技术实践。文章指出，安全产品失效的根本原因往往在于缺乏可靠、结构化的遥测数据支持，而非检测算法本身。通过一个完整的监控示例，系统阐释了从用Rust开发高性能数据采集代理、选用Kafka或MQTT等方案进行数据传输，到通过WebSocket或SSE实现前端实时推送的全链路技术选型与设计考量。
原文：https://www.apriorit.com/dev-blog/telemetry-data-collection-for-security-monitoring
逆向工程工具及其应用：Apriorit 的经验
导读：这篇文章通过实例展示了逆向工程的完整流程与工具链，涵盖识别加壳、脱壳修复、静态分析（IDA/Ghidra）、动态调试（x64dbg/Frida）及网络分析（Wireshark）。文中重点演示了绕过反调试、修复内存转储等实战技巧，并探讨了AI辅助逆向的潜力与局限。逆向工程需要系统掌握工具链并积累深度分析经验。
原文：https://www.apriorit.com/dev-blog/366-software-reverse-engineering-tools
TODAY’S INFORMATION
03
政策资讯
专家解读｜实施网络数据安全风险评估办法
导读：近日，国家互联网信息办公室发布了《网络数据安全风险评估办法（征求意见稿）》（以下简称《办法》），标志着我国在网络数据安全制度体系建设方面又迈出重要一步，对于加强国家网络数据安全能力建设具有重要意义。
原文：https://www.cac.gov.cn/2025-12/07/c_1766659536739996.htm
TODAY’S INFORMATION
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：嘶吼专业版 《嘶吼安全快报——2025.12.12》