HackerNews

HackerNews 编译，转载请注明出处： 荷兰司法系统遭黑客入侵事件中，俄罗斯背景的黑客被列为重点嫌疑对象。据荷兰《AD报》援引知情人士消息，有强烈迹象表明荷兰公共检察署（OM）的系统入侵事件系俄罗斯黑客所为。攻击者潜伏在司法部系统内数周未被察觉。 风险预警始于6月17日，当时检察署远程办公使用的第三方软件Citrix NetScaler被发现存在严重漏洞。该漏洞在通用漏洞评分系统（CVSS）中被评为9.3分，属于最高风险级别。检察署向《 Volkskrant 》报证实，虽已按建议更新系统，但有理由认为漏洞在修补前已被利用。 为阻断攻击，检察署主动断开内部计算机的互联网连接。据信黑客可能已潜伏数周，接触了包括在办警方调查案卷、未审结刑事案件卷宗及员工个人信息在内的高度敏感数据。目前尚不明确具体泄露的数据范围。 历史关联 此次并非荷兰首次遭俄罗斯黑客锁定。2024年5月，荷兰情报安全局（AIVD）已确认俄罗斯黑客窃取了数万名警察的个人数据。2024年9月，荷兰国家警察披露超过65,000名警员的联系方式通过“Cookie传递攻击”从服务器被盗——该技术通过伪造用户会话凭证实施入侵。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 罗马尼亚与英国执法机构在欧洲刑警组织（Europol）和欧盟司法合作组织（Eurojust）支持下，成功捣毁一个通过ATM欺诈获利约58万欧元（约合68.1万美元）的犯罪网络。 欧洲刑警组织7月24日声明显示，两国调查人员首先收集了该犯罪团伙及其活动的证据，相关数据经欧洲刑警组织分析后，通过联合调查组（JIT）在行动会议中共享。在掌握充分证据后，执法人员于2024年12月在英国、2025年7月23日在罗马尼亚展开两次协同突袭，共搜查18处住所，逮捕两名嫌犯，并查获房产、豪华汽车、电子设备及现金。 此次行动参与机构包括罗马尼亚国家警察及检察署、英国皇家检察署及东区特别行动组。欧洲刑警组织派遣分析师赴罗马尼亚提供现场支持，欧盟司法合作组织则协助组建联合调查组、提供跨境司法协作，并协调罗马尼亚的行动部署。 欺诈手法解析 调查发现，犯罪团伙采用“交易撤销欺诈”（TRF）技术窃取ATM现金： 操作流程：拆除ATM屏幕→插入银行卡发起取款→现金即将吐出前取消交易→手动截留现金； 其他犯罪：涉及侧录设备盗刷、伪造支付卡与交通卡，以及通过“撞库攻击”软件识别卡号实施未授权交易获利。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 移动安全研究人员发现一场大规模恶意活动，攻击者通过伪造的约会和社交应用窃取用户敏感数据。该行动被命名为“SarangTrap”，同时针对Android和iOS平台，利用超过250个恶意应用和80余个钓鱼域名实施攻击，韩国用户为主要目标。 安全公司Zimperium本周三发布的报告指出，该活动采用情感操纵策略：通过虚假用户资料、专属“邀请码”及仿真的应用界面诱骗受害者。这些应用伪装成合法服务，实则专门用于窃取用户联系人、私人照片、短信内容及设备标识符等数据。 攻击流程： 用户安装应用后，界面显示正常但会索要不必要的权限。输入攻击者提供的邀请码后，隐藏的间谍程序即被激活。获取权限后，应用将静默上传敏感数据至攻击者控制的服务器。 策略升级与跨平台特性 Zimperium实验室的最新分析显示，恶意软件策略持续演变： Android端：新样本已从清单文件中移除短信权限，但保留窃取短信的代码，表明攻击者正尝试规避安全扫描。 iOS端：改用恶意移动配置描述文件替代传统应用安装。用户授权后，攻击者无需应用即可获取联系人、照片及设备信息。 攻击基础设施 攻击者注册了88个独立域名，其中70余个用于分发恶意软件。至少25个域名被谷歌等搜索引擎收录，并通过“约会”“文件共享”等常见关键词提升排名，使钓鱼页面更具欺骗性。目前累计发现250余个Android恶意样本，部分样本甚至完全省略关键权限以躲避检测，但仍持续窃取数据。 技术与社会工程的结合 该活动将技术手段与社会工程深度融合。典型案例中，一名经历分手的男性用户被虚假约会资料诱导，通过钓鱼链接下载应用并输入邀请码后设备遭入侵。攻击者利用窃取的私密视频对其进行敲诈，威胁向家人公开内容。 Zimperium建议用户：警惕索要邀请码或非常规权限的应用，避免使用第三方应用商店，并定期检查设备配置描述文件与安全设置。 SarangTrap行动目前仍处于活跃进化状态，使得用户保持警惕变得尤为重要。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 威胁组织EncryptHub（又名Larva-208）通过入侵Steam平台游戏《Chemia》，向不知情用户分发信息窃取类恶意软件。 近日，该黑客组织将恶意二进制文件植入由“Aether Forge Studios”开发的生存制作类游戏《Chemia》中。该游戏目前以“抢先体验”形式登陆Steam，尚未公布正式发行日期。 据威胁情报公司Prodaft分析，攻击始于7月22日。EncryptHub在游戏文件中添加了恶意软件HijackLoader（文件名CVKRUTNP.exe），该程序在受害设备上建立持久化机制，并下载信息窃取程序Vidar（文件名v9d9d.exe）。研究人员发现，恶意软件通过某Telegram频道获取命令与控制（C2）服务器地址。 三小时后，攻击者再次通过DLL文件（cclib.dll）植入第二款恶意软件Fickle Stealer。该文件利用PowerShell脚本（worker.ps1）从域名soft-gets[.]com获取主载荷。Fickle Stealer专门窃取浏览器存储数据，包括账户凭证、自动填充信息、Cookie及加密货币钱包数据。该恶意软件去年曾被EncryptHub用于大规模鱼叉式钓鱼攻击，导致全球超六百家组织沦陷。 此威胁组织在黑客领域行为特殊：既恶意利用Windows零日漏洞，又曾向微软负责任的披露关键漏洞。Prodaft在报告中指出：“被篡改的可执行文件对Steam用户显示为合法程序，这种攻击依赖平台信任而非传统欺骗手段，形成高效的社会工程陷阱。当用户在免费游戏中点击《Chemia》的‘测试版’时，实际下载的是恶意软件。” 恶意软件在后台静默运行，不影响游戏性能，玩家难以察觉异常。目前尚不清楚EncryptHub如何将恶意文件植入游戏项目，推测可能有内部人员协助。游戏开发商未在Steam页面或社交媒体发布任何声明。 截至发稿，《Chemia》仍可于Steam下载，无法确认最新版本是否已清除恶意代码。建议用户等待Steam官方公告前避免接触该游戏。 此为Steam平台2025年第三起恶意软件事件：此前3月《Sniper: Phantom’s Resolution》与2月《PirateFi》均曾中招。三款游戏均为“抢先体验”阶段作品，表明Steam对此类内容的审核机制可能存在疏漏。用户下载开发中游戏时需保持警惕。 本次攻击的入侵指标（IOC）已公开。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 新型Linux恶意软件Koske疑似利用人工智能技术开发，通过看似无害的熊猫JPEG图片将恶意代码直接部署到系统内存中。 网络安全公司AquaSec的研究人员分析后，将Koske描述为“一种复杂的Linux威胁”。基于其表现出的自适应行为，研究人员认为该恶意软件可能是利用大型语言模型（LLM）或自动化框架开发的。 Koske的主要目的是部署针对CPU和GPU优化的加密货币挖矿程序，利用主机计算资源挖掘超过18种不同的加密货币。 AquaSec在攻击中发现了塞尔维亚的IP地址、脚本中的塞尔维亚语短语，以及托管挖矿程序的GitHub仓库中的斯洛伐克语，但无法据此确认攻击者身份。 熊猫攻击 攻击者首先利用暴露在公网的JupyterLab实例配置错误实现命令执行。获取初始访问权限后，攻击者从OVH images、freeimage和postimage等合法图床下载两张熊猫JPEG图片。这些图片隐藏了恶意载荷。 AquaSec强调，攻击者并未使用隐写术在图片中隐藏恶意软件，而是依赖多态文件（同一文件可被不同应用解析为多种格式）。尽管熊猫图片包含有效的JPEG文件头，但文件尾部同时附加了恶意Shell脚本和C代码，使同一文件既能显示为正常图片，又能被脚本解释器执行。 攻击中使用的两张图片分别隐藏不同载荷，且同时启动： 载荷一：直接写入内存的C代码，编译后作为共享对象（.so文件）执行，充当rootkit。 载荷二：在内存中执行的Shell脚本，利用系统工具实现隐蔽运行和持久化，几乎不留痕迹。 Shell脚本通过滥用Linux原生工具在内存中直接执行，通过每30分钟运行的cron任务和自定义systemd服务实现持久化。其功能包括： 网络加固与代理规避 代理暴力破解 这种自适应行为使AquaSec研究人员怀疑恶意软件由LLM或自动化平台开发。 加密货币挖矿部署 建立网络访问和持久化后，Shell脚本从GitHub下载挖矿程序。部署前会评估主机的CPU和GPU性能，以选择最优矿工。Koske支持挖掘18种加密货币，包括难以追踪的Monero、Ravencoin、Zano、Nexa和Tari。若某个币种或矿池不可用，恶意软件会自动切换备用选项，展现出高度自动化能力。 AquaSec警告，虽然此类AI驱动的恶意软件已构成严重威胁，但未来变种可能具备实时自适应能力，演变成更危险的威胁类型。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 清洁用品巨头高乐氏（Clorox）已起诉其委托运营IT服务热线的承包商高知特（Cognizant），指控后者直接导致了2023年造成数亿美元损失的网络攻击事件。 本周二在加利福尼亚州高等法院提交的诉讼文件显示，为高乐氏提供服务的高知特承包商多次向黑客移交关键登录信息，致使公司系统遭入侵并引发运营瘫痪。高知特作为协助企业实施业务流程技术化的大型专业服务公司，尚未回应置评请求。 高乐氏指控高知特“其失职行为直接引发了2023年8月的网络攻击，并对公司业务运营造成重大破坏”。公司宣称因此遭受3.8亿美元损失，要求高知特承担该赔偿金额及惩罚性损害赔偿。高乐氏指出，其明确规定的密码重置政策屡遭高知特客服人员无视。 “高乐氏将保护企业系统的关键职责托付给高知特——而他们彻底搞砸了，”高乐氏外部法律顾问玛丽·罗斯·亚历山大表示，“高知特不仅玩忽职守，更是将企业网络密钥拱手交给臭名昭著的网络犯罪团伙，公然漠视高乐氏的政策与长期建立的网络安全标准。通话录音完整记录了整个过程，这种行为无可辩驳。” 高知特发言人则将责任归咎于高乐氏，称“像高乐氏这种规模的企业竟拥有如此低效的内部网络安全系统来抵御攻击，令人震惊”。该发言人强调：“高知特仅承担有限的热线服务范畴，且已合理履行义务。我们并未负责高乐氏的网络安全事务。” 诉讼文件中，高乐氏提供了黑客与客服热线的通话记录文本——显示网络犯罪分子曾多次致电要求重置密码，却始终无需身份验证或证明其员工身份。2023年8月，高乐氏因网络攻击被迫关闭系统，并向联邦监管机构报告称业务运营受阻，不得不采取变通方案维持客户产品供应。 该公司遭遇持续数月的运营故障，部分IT基础设施遭破坏导致“大规模瘫痪”。依靠旗下明星清洁产品及Pine Sol、Burt’s Bees等品牌创造数十亿美元收入的高乐氏，在攻击后被迫恢复人工订单处理流程。由于订单处理效率骤降，其产品在零售渠道持续缺货。攻击事件后六个月内，公司出货量减少导致销售额下降6%，同时需斥资聘请咨询机构、IT恢复团队及取证专家进行事件调查与修复。高乐氏声称已投入4900万美元修复损失，并蒙受数亿美元业务损失。最新财报显示，公司近期获得与网络攻击相关的1亿美元保险理赔。 社会工程攻击全流程还原 诉讼文件描绘了高知特员工的重大失职行为（该公司运营高乐氏热线逾十年），同时详述了网络安全专家指出的、犯罪分子日益猖獗的社会工程手段。高乐氏员工通常通过高知特服务台进行密码找回或账户设备重置。公司明确要求服务商“重置凭证前必须严格验证身份”，但2023年8月11日，犯罪分子致电索取网络访问凭证时，“高知特直接交出了权限”。 “录音显示，高知特在未验证身份的情况下，将高乐氏企业网络密钥交给了网络罪犯，”高乐氏律师控诉，“犯罪分子利用当日通过类似通话获取的凭证发动攻击，致使高乐氏企业网络瘫痪、业务运营陷入困境。” 高乐氏透露，其内部服务台经理每周与印孚瑟斯团队管理人员开会强调规则制度。2023年1月，公司更新指引要求客服人员使用身份验证工具MyID；若该工具不可用，则需核实致电者直属经理姓名及账户名。 黑客当时要求重置某员工的Okta账户密码。客服人员虽建议其连接公司虚拟专用网络（VPN），但在黑客声称忘记VPN密码后，该人员直接重置了两套系统密码，“完全违反高乐氏凭证支持流程”。当黑客声称微软多因素认证（MFA）失效时——高乐氏认为这应触发警报——客服却在未验证身份的情况下直接重置了MFA。同日，黑客二次致电要求重复重置微软MFA，该要求再度获准。第三次通话中，黑客再次要求重置Okta凭证，客服仍无任何身份核验即执行操作。黑客进而要求将账户MFA验证手机号变更，客服依旧照办。 “整个过程中，客服从未验证致电者确系该员工本人，也从未遵守高乐氏的凭证支持流程——无论是2023年前旧规还是新规，”公司律师指出，“客服既未向员工及其经理发送密码重置通知邮件，也未执行任何身份核验程序。” 犯罪分子利用重置凭证登录网络窃取信息，进而锁定另一名IT安全部门员工故技重施。通过两次致电，黑客再度获取该员工Okta及微软系统的MFA密码重置权限。此账户使黑客获得高乐氏网络特权访问权限。公司三小时后察觉入侵并试图遏制，但最终被迫全面关闭系统、暂停生产线，转为依赖人工处理订单。 诉讼文件关键部分经编辑处理，高乐氏未确认是否遭受勒索软件攻击。目前尚无网络犯罪组织宣称对此事件负责。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 研究人员发现，俄罗斯正越来越多地利用吉尔吉斯斯坦快速增长的加密货币行业规避国际制裁，并为乌克兰战争输送资金。 区块链情报公司TRM Labs新报告显示，受制裁的俄罗斯实体多次使用在吉尔吉斯斯坦注册的交易所。这些虚拟资产服务提供商（VASP）大多以空壳公司形式运作，常在不同实体间重复使用相同住址、联系方式和创始人身份。 报告指出，部分吉尔吉斯注册的VASP既无可见业务运营，也无面向公众的用户平台。有些与物流公司共享电话号码，另一些则列名毫无商业或加密货币经验的创始人。 某些实体还与高风险俄罗斯加密交易所Garantex共享钱包基础设施和行为模式——该平台于2022年被美国制裁并下线。研究人员认为部分吉尔吉斯注册企业可能由原平台的同一批人操控。 自2022年俄罗斯全面入侵乌克兰以来，克里姆林宫日益依赖替代性金融网络资助战事并获取敏感技术。吉尔吉斯斯坦已成为莫斯科的重要物流和金融枢纽。据报道，半导体、无人机部件和反无人机设备等常被视为军民两用的商品，从中国等国家出口后经吉尔吉斯斯坦转运至俄罗斯。 吉尔吉斯斯坦的加密友好政策进一步助长了此类活动。该国2022年通过法律承认虚拟资产的合法地位，并为加密企业建立许可制度，将其纳入正式监管框架。 吉尔吉斯的加密漏洞是俄罗斯重构经济体系以抵御西方制裁的整体战略一环。克里姆林宫还在本土将规避制裁行为制度化：莫斯科知名高等经济学院近期开设硕士课程，专门教授学生如何应对西方贸易和金融限制，表明俄政府将构建制裁抵御型经济视为长期战略。 西方国家日益关注俄罗斯不断扩张的制裁规避体系。今年6月，美国当局指控一名纽约居住的俄罗斯公民利用其加密公司为受制裁俄银行转移敏感美国技术和资金。 TRM Labs研究人员强调：“寻求遏制俄罗斯制裁规避手段的各国政府及执法机构，需紧急与吉尔吉斯当局直接沟通合规事宜。若放任不管，俄罗斯可能在邻国复制相同模式。”       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国最大造船企业海军集团（Naval Group）据称遭遇重大黑客攻击。研究人员认为攻击者在网上分享的数据样本包含真实细节。该公司深度参与法国国防领域。 一名威胁行为者在知名数据泄露论坛上宣布了据称的海军集团数据泄露事件。攻击者声称已获取法国潜艇和护卫舰使用的作战管理系统（CMS）访问权限。 值得注意的是，攻击者似乎无意出售数据（数据泄露论坛用户常采取此做法），而是试图通过威胁泄露数据来勒索海军集团。 泄露数据样本内容 海军集团是欧洲国防领域的重要参与者，员工超15,000人，年收入超50亿美元（43亿欧元）。其主要股东为法国政府和泰雷兹集团。 我们已联系该公司寻求置评，收到回复后将更新本文内容。 泄露数据涉及哪些内容？ 根据攻击者在数据泄露论坛的帖子，网络犯罪分子据称获取了以下内容： 军用舰艇CMS的源代码 网络数据 标注不同限制级别的技术文档 开发人员虚拟机访问权限 机密通信记录 若得到证实，此次数据泄露将对该公司及法国国家安全构成重大威胁。潜艇和护卫舰CMS源代码的泄露将引起法国所有对手的兴趣，且需投入资金缓解问题。 网络安全研究团队分析了攻击者帖子中附带的13GB数据样本，认定泄露细节似乎真实可信。样本包含各类合同、据称来自CMS的信息，以及疑似潜艇监控系统的视频（但视频时间戳显示为2003年）。 然而，出于经济动机的攻击者常夸大所获数据的实际影响以胁迫受害者满足勒索要求。目前尚不清楚数据泄露的真实程度。 总部位于巴黎的海军集团是法国海军防务设计、开发和建造的关键角色。该公司历史可追溯至17世纪末，自成立以来一直是法国海军防务不可或缺的一部分。例如，法国唯一的核动力航空母舰“夏尔·戴高乐”号即由海军集团（当时名为DCN“法国舰艇建造局”）建造。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一台配置错误的Elasticsearch服务器暴露了包含数亿条高度详细记录的商业情报数据金矿，这些记录关联瑞典个人及组织。 Cybernews研究人员发现了这个未加密的数据库，它不需要任何身份验证即可访问，且完全暴露在公共互联网上。 泄露数据包含超过1亿条记录，时间跨度为2019至2024年，共分布在25个独立索引中，部分数据集体积超过200GB。 哪些数据被泄露？ 许多泄露记录包含高度敏感的个人和组织信息，包括： 完整法定姓名（含曾用名历史） 瑞典个人身份证号 出生日期和性别 瑞典境内及海外的地址历史 婚姻状况及已故人员信息 移民者的海外地址 债务记录、付款备注、破产历史、房产所有权指标 跨越数年的所得税数据（2019–2023） 活动及事件日志（包括收入申报提交、移民状态和地址更新） 这些记录实质上描绘了瑞典公民和组织长达五年的财务与行为画像。泄露数据提供了关于个人及组织运作方式的详细时间戳快照，追踪了从地址变更、收入变动到债务、税务申报及商业关联等一切信息。 信息的庞大规模和精确度使该数据集极具价值和危险性。银行、贷款机构和合规团队可利用其进行风险评估和信用分析。然而对威胁行为者而言，此类数据为各种形式的利用打开了大门——攻击者可将其武器化，用于企业监控、竞争对手画像、高精准钓鱼攻击、社会工程攻击或勒索。 与Risika商业情报的关联 对数据库结构及字段名的分析表明，暴露数据源自北欧领先的商业情报数据分析公司Risika。内部“dwh*”（数据仓库）标签及产品导向的索引命名方式与已知Risika产品规范吻合。 但进一步调查显示，该Elasticsearch集群并非由Risika自身运营，而是由一个尚未确认的第三方操作。命名惯例和元数据模式表明其为下游客户。 研究人员认为，这些数据可能是在商业许可下合法提供给该运营方的，但因配置错误而被公开暴露。 Cybernews已于5月10日向Risika发送负责任的披露通知，但未收到回应。该集群于次日下线。 披露时间线 2025年5月9日：发现数据泄露 2025年5月10日：发送首次披露通知 2025年5月11日：泄露通道关闭       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 根据NCC Group的最新研究结果，2025年第二季度全球勒索软件攻击数量较第一季度下降43%，执法行动与内部冲突对威胁态势产生了重大影响。 4月至6月期间共记录了1180次攻击，而第一季度为2074次。 该公司还观察到，2025年6月声称发动的勒索软件攻击连续第四个月下降，较5月减少6%，降至371次。 第二季度的放缓紧随今年前三个月攻击量的急剧上升，这一上升主要由Clop、RansomHub和Akira等主导团伙的激进攻击活动驱动。 然而，近期的执法行动已打击了一些关键勒索软件运营者，包括针对Clop和RansomHub的附属组织。值得注意的是，Clop和RansomHub在第二季度已从活跃勒索软件团伙前十名单中消失。 NCC Group研究人员指出：“这些打击可能在勒索软件团伙生态系统中产生了连锁反应，迫使附属组织重新集结或转向新兴勒索软件团伙。” 这份发布于7月23日的报告还强调，内部信息泄露及不同勒索软件行为者之间的冲突可能是攻击放缓的因素之一。5月，臭名昭著的LockBit团伙的内部信息遭泄露。 同时，研究人员观察到DragonForce在与竞争对手勒索软件运营者进行“地盘争夺战”，以图确立其在网络犯罪市场的主导地位。DragonForce似乎对2025年3月下旬RansomHub的基础设施中断负有责任，此举遏制了其运作。 攻击量下降的另一个可能因素是第二季度受复活节和斋月等全球性假期影响导致的季节性放缓。 Qilin领跑碎片化市场 Qilin（麒麟）是第二季度最活跃的勒索软件团伙，声称发动了151次攻击，占总量的13%。这一数字高于第一季度的95次攻击。 排名第二的是Akira（131次攻击），其次是Play（115次）和SafePay（108次）。SafePay在5月因声称发动70次攻击而引发广泛关注。该组织首次被发现于2024年9月，研究人员指出关于该团伙的公开信息相对较少。 专家将SafePay与其他知名行为者（如LockBit、BlackCat、INC Ransom和Play）联系起来。 NCC Group透露，2025年已追踪到86个新的和现有的活跃攻击组织，数量有望超过2024年的纪录。NCC Group全球威胁情报主管马特·赫尔（Matt Hull）评论道：“攻击者数量的增加意味着企业需要防范更广泛的攻击手法。” 行业目标分布 第二季度遭受攻击最多的行业是工业领域，共353次攻击，占总量的30%。紧随其后的是非必需消费品行业，251次攻击占总量21%。该行业包括零售业，后者在第二季度成为重点攻击目标。 信息技术（10%）、医疗保健（8%）和金融服务（6%）位列本季度前五大受攻击行业。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国就业局（France Travail）遭遇数据泄露事件，可能影响数十万求职者。 该机构于7月22日向其用户发送电子邮件，警告称其“就业”门户网站（供合作伙伴使用）在7月13日发现数据泄露。 此次泄露可能暴露34万用户的个人数据，包括姓名、邮政地址和电子邮件地址、电话号码、France Travail标识符以及求职者状态。该机构保证用户的密码和银行详细信息未受影响。 “但我们建议对网络钓鱼风险保持警惕。”该就业局在公开声明中警告道。 通过信息窃取程序实施的网络攻击凸显双因素认证（2FA）安全漏洞 据法国科技新闻媒体Next报道，此次泄露由法国网络安全机构（ANSSI）的计算机应急响应小组（CERT-FR）在7月12日发现。 据信，泄露的发生是由于位于伊泽尔省的一个培训组织的关联用户账户，通过信息窃取恶意软件（infostealer malware）遭到入侵。攻击者随后设法获得了对Kairos应用程序的访问权限，该应用程序使培训组织能够追踪求职者的培训进度。 一位France Travail发言人告诉Next：“该服务（指就业门户）连同所有其他为合作伙伴托管的服务被立即关闭。” France Travail已向法国当局提出投诉，通知了法国数据保护局（CNIL），并告知了受影响的个人。 作为预防措施而关闭的服务，包括该机构的就业门户和Kairos，预计将于7月24日重新启用。 France Travail表示已加强安全措施，并加速了为Kairos部署双因素认证（2FA）的进程，该部署原定于2026年10月进行。 这是France Travail两年内第二次遭遇数据泄露。2024年3月，恶意行为者攻击了该机构及Cap Emploi（一个支持残疾人的政府就业服务机构）的IT系统。那次事件影响了过去20年内注册用户的个人数据，意味着高达4300万潜在用户的数据被泄露。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一名涉嫌管理俄语网络犯罪论坛 XSS 的男子于 7 月 22 日在乌克兰被捕。 法国检察官洛尔·贝科（Laure Beccuau）在 7 月 23 日的一份官方声明中表示，该个体是在法国警方和欧洲刑警组织（Europol）的合作下，被乌克兰当局拘留的。 此次逮捕是巴黎警察总局网络犯罪部门自 2021 年 7 月 2 日开始、历时四年调查的结果。 作为调查的一部分，法国警方截获了 Jabber 服务器 thesecure.biz 上的通信记录。该服务器伴随 XSS 论坛运行，旨在为网络犯罪分子之间的匿名交流提供便利。 这些截获的信息显示，被捕者据信与众多非法网络犯罪和勒索软件活动有关联，并确定其已从中获利至少 700 万美元。 2021 年 11 月 9 日，司法调查正式启动，指控罪名包括串谋攻击自动化数据处理系统、有组织团伙勒索以及参与犯罪团伙。 2024 年 9 月，案件进入在乌克兰的实战阶段。法国警方调查人员被部署到当地，欧洲刑警组织通过建立虚拟指挥所提供支持。随后于 2025 年 7 月 21 日开始了另一项行动，最终在基辅逮捕了主要嫌疑人。 欧洲刑警组织部署了一个移动办公室，为法国和乌克兰团队提供现场协调和证据收集支持。 根据欧洲刑警组织在 7 月 23 日发布的另一份声明，该论坛的疑似管理员不仅是一名技术操作员，据信还在促成犯罪活动方面发挥了核心作用。声明指出：“他扮演着可信第三方的角色，仲裁犯罪分子之间的纠纷，并担保交易的安全。” 贝科的声明还显示，参与行动的乌克兰和法国执法机构已查获了 XSS 论坛的相关域名，尽管在撰写本文时该网站似乎仍在运行。查获的数据现将被分析，以支持欧洲及其他地区正在进行的调查。 XSS：网络犯罪活动的重要暗网论坛 XSS 自 2013 年开始活跃，拥有超过 50,000 名注册用户。在俄语网络犯罪圈内，它是讨论网络攻击和恶意软件开发的主要论坛之一。 贝科指出，XSS 允许出售恶意软件、被入侵系统的访问权限、被盗数据以及勒索软件相关服务。 网络安全公司 Flare 的网络威胁情报分析师、俄语网络犯罪圈专家奥列格·利克波（Oleg Lykpo）认为，XSS 和另一个臭名昭著的犯罪论坛 Exploit，是俄语高级网络犯罪生态系统的支柱。 参与此次逮捕行动的乌克兰机构包括：国家网络部门、乌克兰安全局（SBU）和乌克兰总检察长办公室。 信息安全媒体 Infosecurity 联系了巴黎警察总局，该局目前拒绝就案件提供更多细节。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 纽约州发布了一系列针对全州供水和废水处理系统的网络安全法规提案。 州长凯茜·霍楚（Kathy Hochul）在7月22日的公开声明中宣布了这些提案。提案包含由纽约州卫生部（DOH）和纽约州环境保护部（DEC）分别制定的、针对水务管理公司的运营技术（OT）安全要求。 同时，纽约州公共服务部（DPS）发布了针对自来水公司、其他公用事业公司及有线电视公司的信息技术安全法规提案。 这些现已开放公众评议的拟议规则，旨在加强关键水务系统的网络弹性，以应对该领域日益增多的攻击。 各机构共同努力，协调统一了每套要求中的定义和条款，并尽量减少重复和冲突的规则。 这些法规旨在与包括美国环境保护署（EPA）和网络安全与基础设施安全局（CISA）在内的联邦机构发布的相关指南保持一致。 除法规外，环境设施公司（EFC）将建立一个新的资助项目，并为保障水务系统安全提供技术援助。 霍楚州长评论道：“针对关键基础设施的网络攻击可能对社区造成毁灭性影响，我们必须立即行动起来，以应对其他关键领域同样的紧迫性和严谨性来保卫我们的供水和废水处理系统。”她接着说：“这些新法规和资助项目反映了我们的承诺，即在帮助资源不足的实体实现现代化的同时，保护公众健康和安全。” 公众可在以下截止日期前提交评议：DEC的评议期至2025年9月3日，DOH至9月14日，DPS至9月14日。 一旦采用，受监管实体须在2027年1月1日前遵守DEC和DOH的法规，并在2026年1月1日前遵守公共服务委员会（PSC）的法规。 新要求内容概要 卫生部 (DOH) DOH规则适用于服务超过3300人的社区供水系统，其中对服务5万人的系统有特定条款。 提案包括建立网络安全漏洞分析的要求。 规则还概述了网络安全计划的基线要求。该计划必须能够履行监管报告要求、提供身份验证和访问管理、维护网络资产清单以及监控和记录网络活动等功能。 所有适用的供水系统必须制定网络安全事件响应计划，并在事件发生后24小时内向DOH报告。此外，相关人员必须每三年至少接受一小时的网络安全培训。 环境保护部 (DEC) DEC条款适用于全州的废水处理设施。它们包含多项基线网络安全控制措施，包括符合最小权限原则的访问控制和身份验证程序。 其他控制措施涉及密码安全、多因素认证（MFA）以及实施网络安全漏洞管理流程。 废水处理设施还必须将OT系统与IT系统分离。 必须制定事件响应计划，在24小时内口头向区域水务工程师报告事件，并在30天内提交书面报告。 公共服务部 (DPS) DPS规则适用于所有服务5万或以上客户的公用事业公司和有线电视公司。 这些组织必须制定网络安全政策，该政策应实施数据屏蔽、多因素认证（MFA）和访问控制等措施，并包含应对网络攻击和从中恢复的计划。 此外，受监管实体必须聘用一名首席信息安全官（CISO），由其每年向公司领导层报告网络安全准备状况。 水务领域威胁上升 专家近年来强调了水务领域日益增长的网络安全风险，威胁范围涵盖出于经济动机的组织到国家支持组织的破坏性攻击。 Semperis在2025年4月的一份报告发现，过去一年中，超过五分之三的美国和英国水电企业成为网络攻击的目标，其中大多数遭受了严重干扰。 2024年8月，美国政府问责署（GAO）敦促环境保护署（EPA）解决供水和废水处理系统面临的网络风险。GAO强调了该领域存在的重大安全风险，包括普遍存在的难以更新网络安全防护的老旧技术，以及OT与IT系统之间日益增长的连接性。 影响供水服务的重大事件包括2024年10月对泽西岛运营商American Water的攻击，该攻击扰乱了计费系统。 2024年9月，堪萨斯州阿肯色城报告其水处理设施遭遇网络安全事件，促使该设施暂时切换为手动操作模式。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌宣布推出一项名为“OSS Rebuild”的新计划，旨在增强开源软件包生态系统的安全性，防范软件供应链攻击。 谷歌开源安全团队（GOSST）的Matthew Suozzo在本周的博客文章中表示：“随着供应链攻击持续针对广泛使用的依赖库，OSS Rebuild能为安全团队提供强大的数据来避免遭受入侵，同时无需增加上游维护者的负担。” 该项目旨在为Python Package Index (Python)、npm (JS/TS) 和 Crates.io (Rust) 软件包注册表提供构建溯源（build provenance），并计划将其扩展到其他开源软件开发平台。 OSS Rebuild 的核心思路是结合利用声明式构建定义（declarative build definitions）、构建工具（build instrumentation）和网络监控能力，生成可信的安全元数据。这些元数据随后可用于验证软件包的来源，并确保其未被篡改。 谷歌表示：“通过自动化和启发式方法，我们确定目标软件包的预期构建定义并重建它。我们将结果与现有的上游制品进行语义比较，对两者进行归一化处理，以消除导致比特级（bit-for-bit）比较失败的不稳定因素（例如，归档压缩差异）。” 成功复现软件包后，构建定义和结果将通过 SLSA Provenance 作为证明机制发布。这使用户能够可靠地验证其来源、重复构建过程，甚至从已知功能基线定制构建。 在自动化无法完全复现软件包的情况下，OSS Rebuild 提供了可替代使用的手动构建规范。 谷歌指出，OSS Rebuild 有助于检测不同类别的供应链入侵事件，包括： 包含公共源代码仓库中不存在代码的已发布软件包（例如 @solana/web3.js 事件） 可疑的构建活动（例如 tj-actions/changed-files 案例） 通过人工审查难以识别的、嵌入在软件包中的异常执行路径或可疑操作（例如 XZ Utils 后门） 除了保护软件供应链，该方案还能改进软件物料清单（SBOM）、加速漏洞响应、增强软件包的可信度，并消除组织依赖 CI/CD 平台负责其软件包安全性的需要。 谷歌解释道：“重建工作通过分析已发布的元数据和制品来推导，并与上游软件包版本进行评估。成功后，将为上游制品发布构建证明，验证上游制品的完整性，并消除许多可能的入侵来源。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： Lumma信息窃取恶意软件（Infostealer）行动在5月遭受大规模执法打击后正逐步恢复活动。此前执法行动查获了2300个域名及部分基础设施，但该恶意软件即服务（MaaS）平台并未关闭。 运营商随即在XSS论坛发布声明，承认执法行动的影响，但声称其核心服务器未被查获（尽管已遭远程擦除），且恢复工作已在进行中。趋势科技（Trend Micro）报告显示，Lumma的基础设施在打击后数周内迅速重建，活动水平已接近行动前状态。该组织为规避进一步打击，已从Cloudflare转向俄罗斯服务商Selectel等替代云设施来伪装恶意流量。 当前Lumma主要通过四类渠道传播恶意软件： 虚假破解工具/密钥生成器：通过恶意广告和篡改的搜索结果推广，诱导用户访问欺诈网站。这些网站先用流量检测系统（TDS）分析用户环境，再分发Lumma下载器。 ClickFix技术：入侵网站植入虚假验证码页面，诱骗用户执行PowerShell命令，直接将Lumma载入内存以规避文件检测机制。 GitHub仓库：攻击者创建含AI生成内容的仓库，以虚假游戏外挂为诱饵（如“TempSpoofer.exe”），通过可执行文件或ZIP压缩包分发恶意负载。 YouTube/Facebook平台：利用视频和帖子推广破解软件，将用户引流至托管Lumma的第三方站点（甚至滥用Google协作平台等可信服务提升可信度）。 趋势科技指出，Lumma的复苏印证了缺乏逮捕或起诉的执法行动难以阻止高利润的MaaS运营者，其核心成员仅将此类打击视为“需规避的常规障碍。”       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 德国工业自动化解决方案提供商Helmholz生产的路由器近期被发现并修补了多个潜在严重漏洞。上周，德国CERT@VDE发布公告，披露了Helmholz旗下REX 100路由器中存在的八个漏洞，这些漏洞使组织能够远程访问和管理工业网络，安全风险由此曝光。 Helmholz路由器通过遍布60个国家的合作伙伴网络在全球销售，覆盖北美、欧洲和亚洲等地区。根据CERT@VDE公告，其中三个漏洞被评定为“高危”级别，均允许拥有高权限的攻击者通过特制请求执行任意操作系统命令。其余问题归类为“中危”，可被用于SQL注入、XSS攻击及拒绝服务攻击（包括未认证的DoS）。 供应商已发布REX 100路由器固件版本2.3.3修复这些漏洞，此前所有固件版本均受影响。这些漏洞是由工业网络安全公司CyberDanube在奥地利一所大学组织的实验室演习中发现。尽管官方CVSS评分不高，但该公司认为部分漏洞实际危害严重。 CyberDanube指出，虽然多数漏洞需认证才能利用，但设备存在默认凭证，可能被攻击者绕过此限制。部分漏洞可让攻击者以root权限在目标设备上执行任意代码，导致服务中断、通信拦截或转向攻击网络内其他系统。 另一个潜在风险在于该工业路由器永久连接至供应商的云端环境——用户通过Web界面管理和配置工业网络设备的基础。若攻击者发现该云系统漏洞，可能入侵其他客户设备，造成“灾难性”后果。CyberDanube已发布包含技术细节和漏洞利用代码（PoC）的独立公告。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 澳大利亚金融监管机构已对金融服务公司Fortnum Private Wealth采取法律行动，指控该公司使客户面临不可接受的网络安全风险。 澳大利亚证券与投资委员会（ASIC）于7月21日在新南威尔士州（NSW）最高法院对这家财务咨询公司提起诉讼。 ASIC声称Fortnum Private Wealth未能制定充分的政策、框架、系统和控制措施来应对网络安全风险。 该委员会指控，这些失误导致Fortnum的许多客户和授权代表（ARs）遭遇了网络事件。 其中一起事件导致2022年9月发生了大规模数据泄露，涉及高达9828名客户的超过200GB数据。这些机密信息随后被发布在暗网上。 在多次事件中，威胁行为者成功访问了授权代表的电子邮件账户，并利用这些账户向客户发送网络钓鱼邮件。 这些事件大多发生在Fortnum于2021年4月推出一项具体的网络安全政策之后。ASIC辩称，该政策不足以有效管理网络安全风险，尤其对于一家负责处理高度敏感客户数据的金融服务公司而言。 该政策后来在2023年5月进行了修订。 诉讼中强调的主要网络安全失误包括： 未要求授权代表接受规定的最低限度的网络安全教育或培训； 未能监督或监控其授权代表的网络安全风险管理框架； 未配备拥有网络安全专业知识和经验的员工，也未聘请专业顾问协助制定其网络安全政策； 未能建立解决网络安全问题的风险管理系统，或未能制定可识别和评估其所有授权代表网络安全风险的政策、框架、系统或控制措施。 ASIC主席乔·隆戈（Joe Longo）评论道：“Fortnum涉嫌未能充分管理网络安全风险，使该公司、其代表及其客户暴露在不可接受的网络攻击风险水平之下。”他补充说：“ASIC一直在强调公司的网络安全责任。尤其是澳大利亚金融服务持牌机构，持有大量敏感和机密信息。” ASIC表示，正在寻求法院宣布Fortnum的违规行为，并对该公司处以经济处罚。 Fortnum首席执行官马特·布朗（Matt Brown）在Financial Newswire发表的声明中表示，该公司“强烈反驳”ASIC关于其未能实施适当网络安全控制的指控。布朗补充道：“由于此事现已进入法庭程序，Fortnum目前无法进一步置评。”       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 思科（Cisco）警告称，其身份服务引擎（Identity Services Engine, ISE）中近期修复的三个严重远程代码执行（RCE）漏洞现遭积极利用。 尽管该供应商未具体说明漏洞如何被利用以及攻击是否成功，但尽快应用安全更新变得至关重要。 “2025年7月，思科产品安全事件响应团队（PSIRT）获悉这些漏洞中的一部分在野外遭到尝试性利用，”更新后的公告中写道。 “思科继续强烈建议客户升级至已修复的软件版本以修补这些漏洞。” 思科身份服务引擎（ISE）是一个使大型组织能够控制网络访问并执行安全策略的平台。 这些最高严重性的漏洞最初由供应商于2025年6月25日（CVE-2025-20281 和 CVE-2025-20282）和2025年7月16日（CVE-2025-20337）披露。 以下是这些漏洞的简要描述： CVE-2025-20281：思科身份服务引擎（ISE）及ISE被动身份连接器（ISE-PIC）中存在严重的未认证远程代码执行漏洞。攻击者可发送特制的API请求，无需认证即可在底层操作系统上以root权限执行任意命令。已在ISE 3.3 Patch 7 和 3.4 Patch 2 中修复。 CVE-2025-20282：思科ISE及ISE-PIC 3.4版本中存在严重的未认证任意文件上传与执行漏洞。文件验证缺失允许攻击者将恶意文件上传至特权目录并以root权限执行。已在ISE 3.4 Patch 2 中修复。 CVE-2025-20337：影响思科ISE及ISE-PIC的严重未认证远程代码执行漏洞。攻击者可利用输入验证不足的缺陷，通过特制API请求获取root权限，无需凭证。已在ISE 3.3 Patch 7 和 3.4 Patch 2 中修复。 这三个漏洞均被评为最高严重性（CVSS评分：10.0），且无需认证即可远程利用，这使其成为黑客寻求侵入企业网络的宝贵目标。 思科此前曾因漏洞发现时间不同，为这三个漏洞分别发布了两次单独的热修复补丁。为一次性缓解所有漏洞，建议管理员采取以下措施： ISE 3.3 用户必须升级至 Patch 7 ISE 3.4 用户必须升级至 Patch 2 使用 ISE 3.2 或更早版本的用户不受影响，无需采取任何措施。 这三个漏洞没有可行的缓解措施（Workaround），因此应用更新是唯一推荐的解决途径。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 欧洲中部大型医疗网络运营商AMEOS集团宣布遭遇安全漏洞，可能导致客户、员工及合作伙伴信息泄露。 该组织在其网站上发表声明（根据《通用数据保护条例》(GDPR) 第34条要求，发生数据泄露时必须发布公开通知）。 AMEOS是一家总部位于苏黎世的医疗保健提供商，在瑞士、德国和奥地利拥有100多家医院、诊所、康复中心和护理院，员工达18,000人。 它是更广泛的DACH（德国、奥地利、瑞士德语区）地区最大的私立医院集团之一，拥有超过10,000张床位，年收入超过14亿美元。 AMEOS表示，尽管已采取“广泛的安全措施”，但外部行为者未经授权访问了其IT系统并获取了敏感信息。 公告中写道：“患者、员工和合作伙伴的数据——以及与您或您公司相关的联系信息——可能因未授权访问而受到影响。不能排除这些数据可能在互联网上被滥用，损害受影响方的利益，或提供给第三方。” 作为应对，AMEOS已关闭所有IT系统并终止所有外部和内部网络连接。此外，它加强了现有措施，并聘请了外部IT和取证专家协助响应工作。 已相应通知了相关国家的数据保护机构，并向警方提起了刑事申诉。 建议曾在AMEOS机构接受过护理的人员警惕网络钓鱼和诈骗企图。 该医疗保健提供商表示，迄今为止，没有迹象表明被访问的数据已在网上传播。 调查仍在进行中，AMEOS承诺将在获得新信息后提供更新。 该组织声明：“目前，我们没有具体证据表明您的个人数据确实发生了泄露。正在进行的审查和调查措施完成后，我们将通过本页面立即通知您。” 截至本文撰写时，尚无主要勒索软件组织宣称对AMEOS的攻击负责。该组织未说明攻击是否涉及数据加密，因此事件类型和肇事者尚不清楚。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全和基础设施安全局（CISA）周二警告北美和欧洲的企业，需加强系统防护以应对一种新的Interlock勒索软件变种。 该双重勒索组织于2024年秋季首次出现在勒索软件领域，已知针对各种关键基础设施组织和行业，包括医疗保健、教育、技术、政府和制造业。 “这些行为者本质上是机会主义且受经济利益驱动，采用各种手段渗透并破坏受害者提供基本服务的能力。”CISA表示。 “Interlock勒索软件是一个鲜明的例子，展示了当今勒索软件组织变得多么危险和不可预测，”Swimlane的首席安全自动化架构师Nick Tausek表示。 “尽管他们直到2024年底才被发现，但该组织一直非常活跃，并对像DaVita和Kettering Health这样的医疗机构发起了高调攻击。”Tausek说。 今年5月，Interlock成为头条新闻，原因是它声称对中西部医疗集团Kettering Health长达数周的勒索软件攻击负责，该攻击迫使其14个医疗中心和120多家门诊诊所取消了数千个诊疗程序。 JavaScript转向PHP FBI表示，已观察到Interlock通过入侵合法网站进行路过式下载（drive-by download）来获得对其受害者的初始访问权限，将恶意载荷伪装成虚假的Google Chrome或Microsoft Edge浏览器更新，这对勒索软件行为者而言是一种非典型方法。 该组织还以使用“ClickFix社会工程技术”而闻名，例如，通过虚假的reCAPTCHA诱骗用户执行Interlock远程访问木马（RAT）。 “验证码包含指示用户打开Windows运行窗口、粘贴剪贴板内容，然后执行恶意Base64编码的PowerShell进程。”公告称。 该警告发布不到一周前，The DFIR Report和Proofpoint的联合研究发现该组织正在使用其先前识别的基于JavaScript的Interlock RAT的“一种新的、更具弹性的变种”。 这种新变种转而使用PHP，似乎是2025年6月首次出现的、新的大规模Kongtuke FileFix恶意软件活动的一部分。 Interlock Kongtube FileFix 恶意软件活动 链接的JavaScript首先提示用户点击验证码以“验证您是人类”，然后是“验证步骤”，要求打开运行命令并粘贴剪贴板内容。粘贴后，它会执行一个PowerShell脚本，最终导致Interlock RAT感染。图片来自The DFIR Report和Proofpoint。 Tausek解释说，Interlock的独特之处在于其战术多样性。 “该组织曾使用ClickFix攻击冒充IT工具渗透网络，部署远程访问木马（RAT）来传播恶意软件，并且最近采用了双重勒索策略以最大化对受害者的压力。” 安全研究人员观察到的Interlock勒索软件变种与Rhysidia威胁组织使用的变种有相似之处，表明Interlock可能是经验丰富的俄罗斯相关组织Rhysida团伙的一个分支。 World Secrets Blog 已观察到该组织同时使用RAT和CobaltStrike工具快速建立远程命令与控制中心（C2），然后通常会下载PowerShell来安装某种信息窃取程序（如LumanStealer）以及键盘记录器二进制文件，以“窃取凭据进行横向移动和权限提升”。 Interlock会部署针对Windows和Linux操作系统的勒索软件加密器，同时也常用AnyDesk进行远程文件传输。 在加密受害者的文件（使用.interlock或.1nt3rlock文件扩展名）后，该团伙会发送一张便条，指示受害者访问其“Worldwide Secrets Blog”洋葱地址以进行联系并用比特币支付赎金。 “您的网络已被入侵，我们已获取您最重要的文件。”Interlock在5月对Kettering Health写道，威胁称除非支付未公开的赎金，否则将公布其声称从Kettering网络中窃取的1TB数据。 Broadcom在2024年10月对该勒索软件团伙的分析报告中指出，其“警告受害者不要修改文件、使用恢复软件或重启系统，因为这些行为可能导致不可逆转的损害。”Broadcom还表示，Interlock受害者通常只有96小时进行谈判。 根据Cybernews的Ransomlooker工具，自今年1月以来，该组织已声称至少攻击了35名勒索软件受害者，其中约一半的攻击发生在过去六周内。 “这些攻击的范围和频率突显了现代威胁行为者变得多么具有适应性。攻击现在来自多个向量，通常是同时进行，组织必须做好准备，”Tausek告诉Cybernews。 CISA建议组织通过实施强大的端点检测和响应（EDR）工具及能力来加固系统，包括修补暴露的系统、采用多因素认证和进行网络分段。 Tuasek表示，除了定期修补、网络分段和其他主动防御措施外，“同样关键的是让员工具备识别社会工程尝试的意识，以免导致系统被入侵。”       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文