各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. 打补丁要快！0Day漏洞正在被黑客广泛利用

近日，美国、英国、加拿大、澳大利亚和新西兰（五眼联盟）网络安全机构联合发布了报告，公布了2023年最常被利用的漏洞清单。其中，零日漏洞已经成为黑客最常利用的漏洞类型。

2. 研究人员警告 AI 图像生成模型可能会泄露敏感指令

研究人员最近在高级人工智能图像生成模型中发现了一个潜在的安全漏洞，能够在无意中泄露敏感系统指令，尤其是在高级扩散模型 Recraft 中。

3. CSO：混合云安全挑战到了“至暗时刻”

近日，Mirantis 的首席执行官 Alex Freedland 在采访中分享了个人对于未来发展的展望，他认为随着多云和混合环境成为常态，CISOs 需要解决的云安全挑战。其中，扩大的攻击面、一致安全政策、自动化合规解决方案的需求被着重强调。

4. 谷歌：警惕越来越多利用AI的网络欺诈行为

随着人工智能等新技术的兴起，相关利用AI进行的网络犯罪活动也逐渐增多。日前，谷歌发出警告，称发现多种颇具欺骗性的网络欺诈活动。

5. 新型 SteelFox 恶意软件冒充流行软件窃取浏览器数据

Securelist 网络安全研究人员发现了一种新型恶意软件，这种恶意软件冒充PDF编辑器、AutoCAD 和 JetBrains 等合法软件， 通过在线论坛、种子跟踪器和博客传播。

安全事件

1. 与哈马斯有关的黑客对以色列实体实施破坏性攻击

与哈马斯存在关联的网络攻击者近期正专门针对以色列实体实施破坏性攻击。Check Point 在一份分析中表示，该活动与一个名为 WIRTE 的组织有关，该组织最近至少进行了两波针对以色列的破坏性攻击。

2. 美国零售商泄露5700万用户数据

美国数据泄露查询网站Have I Been Pwned （HIBP）通告了一起涉及5700万Hot Topic 用户的数据泄露事件。  Hot Topic及相关品牌Box Lunch 和 Torrid 用户的全名、电子邮件地址、出生日期、电话号码、实际地址、购买历史以及部分信用卡数据。

3. 黑客声称近5亿Instagram用户的数据被抓取

11 月 10 日，一名黑客在某黑客论坛上列出了一个待售数据集，声称它包含 4.89 亿 Instagram 用户数据。

4. 朝鲜黑客创建经过安全验证的恶意软件攻击macOS系统

朝鲜黑客正使用 Flutter 创建的木马记事本应用程序和扫雷游戏来攻击苹果 macOS 系统，这些应用程序具有合法的苹果开发人员 ID 签名和公证。

5. B2B数据聚合公司DemandScience泄露超1亿人数据

今年2月，一个名为“KryptonZambie”的黑客者开始在 BreachForums论坛 上出售 1.328亿条个人信息记录，目前已证实，这些数据来自一家聚合数据的 B2B 需求生成公司 DemandScience（前身为 Pure Incubation）。

一周好文共读

1. 攻防之战：自动化在攻击性安全中的重要性

进攻性安全涉及模拟网络攻击，以识别系统、网络和应用程序中的漏洞，以防恶意行为者利用这些漏洞。在这一领域的工作传统上是手动的，需要熟练的专业人员仔细地测试和利用弱点。随着网络威胁的演变和攻击面扩展，进攻性安全团队在跟上这些威胁的速度和复杂性方面面临越来越大的挑战。进攻性安全中的自动化通过借助先进的工具和技术来简化、增强和扩展安全测试工作，以应对这些挑战。 【阅读全文】

2. 对抗性机器学习：安全威胁与防范措施

对抗性机器学习（Adversarial Machine Learning, AML）是一个迅速发展的研究领域，专注于探索机器学习系统所面临的安全与脆弱性风险。随着机器学习算法在各行各业的广泛应用，恶意攻击者利用这些系统谋取私利的威胁也在不断增加。 【阅读全文】

3. 《2024年中国数据安全企业全景图》正式发布

本次全景图聚焦数据安全领域，面向广大国内安全厂商，由厂商自主申报并填写信息征集表，经专家评委团队审核后，将符合要求的厂商信息入驻至《2024年中国数据安全企业全景图》，为企业安全建设及产品选型提供参考。 【阅读全文】

省心工具

1. 如何使用Slhasher批量执行VirusTotal哈希数据检索

Slhasher是一款功能强大的VirusTotal哈希数据检索工具，该工具属于多平台协作工具，旨在帮助广大研究人员通过图形用户界面执行批量 SHA256 哈希查找。 【阅读全文】

2. GBounty：一款快速可靠高度可定制的Web安全漏洞检测工具

GBounty是一款快速可靠高度可定制的Web安全漏洞检测工具，该工具基于Golang开发，旨在帮助安全测试人员有效识别 Web 应用程序中的潜在问题，并提升Web应用的安全性。 【阅读全文】

3. FACT_core：一款固件安全分析和比较工具

FACT_core是一款功能强大的固件安全分析和比较工具，该工具旨在自动化大部分固件分析过程，以辅助广大研究人员完成固件安全分析等任务。 【阅读全文】