HackerNews 编译，转载请注明出处： 全球首款AI驱动勒索软件PromptLock已被发现。该恶意软件由ESET安全团队识别，目前仅处于概念验证阶段，但已具备传统勒索软件的全部功能框架。 PromptLock采用Golang编写，基于OpenAI的开放权重模型GPT-OSS:20b构建，可在无专有限制的环境下运行。ESET通过社交媒体公告解释：该威胁通过硬编码提示词动态生成Lua脚本，利用这些脚本执行文件系统扫描、文件检测、数据窃取及加密操作。 已观察到Windows和Linux双平台变种，其生成的Lua脚本具备跨平台兼容性。该勒索软件采用SPECK 128位算法实施文件加密。ESET特别指出：“恶意软件可能根据检测到的用户文件实施数据窃取、加密或潜在销毁。虽然文件销毁功能目前尚未激活。” 尽管AI驱动勒索软件的概念令人担忧，但PromptLock攻击需满足多项非常规条件：首先，它通过Ollama API在本地调用GPT-OSS:20b模型，要求受害者系统预先运行Ollama——这对普通计算机的资源配置而言极不现实。 ESET监测到PromptLock在局域网内发送请求，推测其可能连接本地Ollama服务，或通过内部代理转向外部服务器。安全研究人员强调，此类攻击成功的前提是受害者存在网络隔离缺陷、未部署提示词防护机制，且允许LLM相关端口协议的外联流量。 ESET明确表示该恶意软件目前仅为概念验证版本，尚未具备完整功能且未在野检测到实际攻击案例。“我们坚信有必要提升网络安全界对此类新兴风险的认知……AI驱动恶意软件标志着网络安全的新战场。公开这些发现旨在推动行业讨论、防御准备与深度研究。”       消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 瑞典软件供应商Miljödata遭遇疑似勒索软件攻击，该公司负责管理病假等人力资源报告系统，事件预计影响该国约200个市级政府机构。 公司首席执行官Erik Hallén表示，攻击于上周六被发现。警方向当地媒体《BLT》证实，攻击者正试图对Miljödata实施勒索。 瑞典民事防御部长卡尔·奥斯卡·博林（Carl-Oskar Bohlin）在社交媒体简短声明中称：“事件影响范围尚未明确，实际后果仍难判定。” Hallén向瑞典通讯社TT透露，约200个市级和地区政府受此事件影响。瑞典全国共有290个市级行政区和21个地区政府。 哥特兰岛地方政府等多家机构证实使用Miljödata系统处理员工数据，包括“医疗证明、康复计划、工伤报告等资料”。 Hallén表示，Miljödata正“与外部专家紧密协作，全力调查事件经过、受影响对象及范围，并努力恢复系统功能”。 民事防御部长博林强调：“政府持续接收事件进展通报，并与相关机构保持密切沟通。瑞典计算机应急小组（CERT-SE）已向涉事公司及受影响客户提供建议与支持，该机构职责是协助社会应对和预防网络安全事件。国家网络安全中心正协调各部门行动方案，警方也已启动调查。” 博林指出，此次事件凸显全社会亟需提升网络安全防护等级。瑞典政府计划近期向议会提交新网络安全法案，“该法案将对众多行为主体提出更严格的合规要求”。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 知名危机公关公司Singer Associates遭勒索软件组织Qilin宣称入侵。该团伙在其暗网泄露博客公布该公司为最新受害者，并发布据称从该公司窃取的数据片段。 Qilin团伙在公告中附长篇声明，指控Singer Associates存在“操纵选民与客户的方案、伪造与虚假信息的事实、谎言与造假、欺骗与欺诈”等行为，声称已获取“包含Singer Associates全部内部工作的档案”。该公关公司曾为雪佛龙、拜耳、爱彼迎、维萨、福特等众多知名企业提供服务。 （麒麟暗网泄露网站截图  图片来源：Cybernews） 此举可能是Qilin胁迫Singer支付赎金的策略。勒索组织常采用类似手段，威胁不付款即泄露信息。 攻击者也可能试图塑造“揭露不道德公司”的形象。但Qilin是公认的牟利型组织，其道德立场难以取信。 由于未提供实际数据样本，无法验证其窃取数据的真实性。但团伙发布了据称与Singer相关的法律文件截图。 Cybernews研究团队分析认为，Qilin至少试图将此伪装成黑客行动主义。截图显示该公关公司监控活动人士、调查资助方并为客户操控舆论的方案。研究人员指出：“泄露文件详细记录了Singer为雪佛龙等客户制定的战略，包括应对厄瓜多尔污染诉讼案中环保组织的策略”。 Qilin勒索团伙背景 该组织自2022年活跃，采用勒索软件即服务（RaaS）模式：核心开发者出售恶意软件访问权限，由附属团伙实施攻击。 Qilin通过感染系统窃取数据，根据目标价值选择加密系统或公开数据。 据Cybernews暗网监控工具显示，Qilin已成为最活跃的勒索组织之一，过去12个月攻击至少503家机构，数量仅次于RansomHub（508家）。已知受害者包括制药公司Inotiv、能源巨头SK集团、休斯顿交响乐团、底特律PBS电视台、北美汽车零部件供应商延锋，以及日本宇都宫癌症治疗中心。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 科技制造商 Data I/O 周四晚间向联邦监管机构报告了一起勒索软件攻击，称该事件导致关键运营系统瘫痪。 这家总部位于华盛顿州雷德蒙的公司表示，勒索软件攻击始于 8 月 16 日，导致其用于运输、制造、生产和其他支持功能的技术中断。 Data I/O 生产用于汽车和消费设备的电子产品。今年第二季度，其超过 65% 的业务来自汽车电子生产，其中包括与中国电动车制造商签订的合同，用于生产充电站技术。其网站列出了特斯拉、松下、亚马逊、谷歌和微软等主要客户。 在向美国证券交易委员会（SEC）提交的一份 8K 报告中，Data I/O 表示已采取遏制措施，包括将系统下线，以保护其全球 IT 网络。 公司正在等待第三方调查完成后，再通知可能受数据泄露影响的个人。 目前尚无服务完全恢复的时间表。公司承认，“与此次事件相关的预期成本，包括支付给网络安全专家及其他顾问的费用，以及恢复受影响系统的成本，很可能对公司的经营业绩和财务状况产生重大影响。” 该公司上季度报告的销售额为 590 万美元，比 2025 年第一季度减少了 30 万美元。 Data I/O 是本周第二家向 SEC 报告勒索软件攻击的公司。此前，药物研究公司 Inotiv 表示正在从 8 月 8 日开始的一起事件中恢复。 网络安全公司 Dragos 上周表示，其在 4 月至 6 月期间跟踪到全球范围内 657 起针对工业实体的勒索软件攻击。制造业受影响最严重，占第二季度受害者的 65%，其中包括钢铁制造商 Nucor 和医疗设备制造商 Masimo。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 肾透析公司 DaVita 确认一起勒索软件攻击导致数据泄露，约 270 万人的个人和健康信息遭曝光。 美国卫生部民权办公室（OCR）更新的受影响人数为 2,689,826 人。 DaVita Inc. 通过遍布美国的 2,675 家门诊中心为 200,800 名患者提供肾透析服务，并在其他 11 个国家的 367 家门诊中心为 49,400 名患者提供服务。DaVita 专注于治疗终末期肾病（ESRD），患者除非接受肾移植，否则必须每周透析三次。该公司在美国透析市场的份额为 37%，总部位于丹佛，但注册地在特拉华州。DaVita 位列财富 500 强第 341 位。 2025 年 4 月 18 日，该公司宣布正在调查和处理一起网络安全事件，该事件一度导致部分内部运营中断。 DaVita 表示，网络攻击发生后，公司将维持住院透析护理作为首要任务，并在必要时启用应急计划和手工流程，同时努力安全恢复受影响的系统。 公司声明：“2025 年 4 月 12 日，DaVita 发现一起影响并加密部分本地系统的勒索软件事件。我们立即启动事件响应协议，并采取了遏制措施，包括主动断开部分网络连接。 外部网络安全专家正在协助我们的响应、修复和恢复工作，我们正在重建和恢复被加密的系统，并以安全方式使其重新上线。尽管该事件导致我们的内部运营受到干扰，但我们在必要时依然有应急计划和手工流程，以确保患者护理的连续性。” Interlock 勒索软件团伙已声称对 DaVita 的攻击负责。该组织声称窃取了 1510 GB 的敏感数据，包括患者记录、保险和财务信息。Interlock 已在其数据泄露网站上公布了据称从 DaVita 窃取的文件。 根据该公司披露，攻击者在 3 月 24 日至 4 月 12 日期间进入其网络，并窃取了透析实验室的数据。 公司声明称：“经过深入调查，我们确认此次网络事件始于 2025 年 3 月 24 日，并持续到 4 月 12 日威胁行为者被阻止访问我们的服务器。2025 年 4 月 24 日，威胁行为者在其泄露网站上公布了声称来自 DaVita 的数据。DaVita 全力确认相关信息，并于 2025 年 6 月 18 日左右获取了威胁行为者公布的数据集，确定其中涉及我们透析实验室数据库的敏感个人信息。” 泄露的信息因人而异，可能包括姓名、地址、出生日期、社会安全号码、健康保险相关信息，以及 DaVita 内部使用的其他识别信息，还包括部分临床信息，如健康状况、其他治疗信息及部分透析实验室检测结果。公司指出，对于部分个人，泄露信息还包括税号，极少数情况下还涉及支付给 DaVita 的支票影像。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 一家总部位于印第安纳州的药物研究公司表示，近期遭受的勒索软件攻击已扰乱其业务运营，并迫使关键系统关闭。 Inotiv公司向美国证券交易委员会（SEC）提交报告称，该网络安全事件发现于8月8日，后续调查发现威胁行为者加密了其部分系统。 该公司尚未确定系统恢复的时间表，但表示该事件正在影响“公司某些网络和系统的可用性与访问权限，包括内部数据存储及特定内部业务应用程序的访问”。 工作人员正努力恢复部分系统运行，同时采用“离线替代方案”以减少业务中断。当局已就此次勒索软件攻击通知执法部门，但尚未有组织宣称对事件负责。 Inotiv作为合同研究组织，为制药公司提供药物发现与开发服务。该公司2025年前三季度通过医疗设备、肿瘤药物、神经科学和新冠肺炎相关项目实现3.749亿美元收入。 在提交给SEC的文件中，该公司表示尚不确定该事件是否会造成财务影响。 周二上午，Qilin勒索软件组织宣称对此次攻击负责，并将Inotiv列入其数据泄露网站。该组织在公告中声称窃取了176GB信息，据称包含过去十年收集的研究数据。 该组织因针对医疗行业的攻击而臭名昭著，去年曾因攻击英国病理服务机构Synnovis导致勒索事件，据称造成一名患者死亡。这个位于俄罗斯的勒索组织还涉及多起针对政府机构及美国大型报业集团的攻击。 今年已有两家医疗设备公司向SEC报告网络安全事件。设备制造商迈心诺（Masimo）5月表示，网络攻击影响了其“及时处理、履行及发运客户订单的能力”。 一个月后，明尼苏达州公司Surmodics向监管机构报告，为应对网络攻击被迫关闭部分IT系统。另一家生产心脏手术产品的公司则称，其交付系统因感恩节前夕的勒索软件攻击而中断。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国司法部宣布从涉嫌勒索软件运营者Ianis Aleksandrovich Antropenko处查获逾280万美元加密货币。Antropenko在德克萨斯州被起诉，罪名包括计算机欺诈和洗钱，其犯罪活动关联现已停止运营的Zeppelin勒索软件（2019至2022年间活跃）。除数字资产外，当局还扣押7万美元现金及一辆豪华汽车。 “Antropenko使用Zeppelin勒索软件攻击全球范围内的个人、企业及组织（包括美国境内目标）”，司法部声明指出，“具体而言，Antropenko及其同伙会加密并窃取受害者数据，通常以解密数据、避免公开或承诺删除数据为条件勒索赎金”。 收到赎金后，Antropenko试图通过混币服务ChipMixer洗钱（该服务于2023年3月被当局查封）。其他洗钱手段包括加密货币兑现金交易及结构化存款（将大额资金拆分为小额存款以规避银行监管）。 Zeppelin勒索软件于2019年末作为VegaLocker/Buran勒索软件变种出现，通过利用MSP软件漏洞攻击医疗和IT企业。2021年沉寂后重启攻击，但后续攻击的加密方案显示出技术缺陷。至2022年11月该组织基本停止活动——当时曝光的安全研究显示，Unit221b团队自2020年初就掌握免费解密密钥可协助受害者恢复文件。2024年1月有消息称Zeppelin勒索软件源代码在某黑客论坛以500美元价格出售。 针对Antropenko的起诉表明，即使网络犯罪活动已停止多年，证据仍能揭露攻击者身份。此次280万美元赃款扣押行动，延续了美国当局近期打击勒索软件的系列举措（包括从BlackSuit勒索软件查获100万美元加密货币、从Chaos勒索软件查获240万美元比特币）。 在无法实施逮捕的案件中，查没犯罪所得对打击勒索软件至关重要——此举能有效阻止运营者及关联方利用资金重建基础设施或招募新成员。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： WarLock勒索软件攻击Colt电信公司，导致其自8月12日起托管服务、端口迁移、Colt在线平台及语音API平台持续中断。 英国电信服务提供商Colt Technology Services确认遭受网络攻击（据称为WarLock勒索软件所为），造成托管服务、端口迁移、Colt在线平台及语音API平台连续多日中断。该公司正式名称为Colt Technology Services Group Limited，是一家总部位于伦敦的跨国电信企业，1992年以“伦敦金融城电信公司”之名成立，初期专注于伦敦本地电信网络建设，后逐步将业务扩展至欧洲、亚洲及北美地区。 该公司专注于为企业提供高性能连接与通信解决方案，服务涵盖数据、语音、云服务及托管IT解决方案，重点提供可扩展、安全可靠的网络基础设施。Colt拥有并运营大型光纤网络，通过城际与长途网络连接全球多个城市和国家数千栋建筑。 Colt客户群体广泛，涵盖大型跨国企业至中小型公司，业务覆盖40多个国家，员工超6,000名，以客户服务、创新及可持续发展能力著称。 攻击者公开出售窃取数据。事件始于8月12日，中断持续至今，公司IT团队正全力控制影响并恢复受攻击系统。 Colt最初将中断描述为“技术问题”，后确认为网络攻击，已关闭系统以缓解威胁。公司强调核心网络基础设施未受影响，已上报监管部门但未透露攻击技术细节，尚未公布系统恢复时间表。 知名网络安全专家Kevin Beaumont指出，攻击者可能通过Microsoft SharePoint漏洞（CVE-2025-53770）侵入sharehelp.colt.net，并在其网络潜伏超一周。该研究员推测Colt可能试图掩盖此事。 WarLock关联人员“cnkjasdfgd”宣称对攻击负责，以20万美元价格出售100万份窃取文档，内容包括财务数据、员工信息、客户资料及内部文档。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现一种名为Charon的新型勒索软件家族正被用于攻击中东公共部门和航空业。据趋势科技分析，攻击者展现出与高级持续性威胁（APT）组织相似的技术特征，包括DLL侧载、进程注入以及逃避端点检测与响应（EDR）软件的能力。 此次攻击使用的DLL侧载技术与涉中APT组织Earth Baxia的历史手法高度相似——该组织曾利用OSGeo GeoServer GeoTools漏洞（现已修复）针对台湾及亚太地区政府目标投递后门程序EAGLEDOOR。具体攻击链以合法浏览器文件Edge.exe（原名cookie_exporter.exe）为入口，通过侧载恶意msedge.dll（代号SWORDLDR）最终部署Charon勒索软件有效载荷。 与其他勒索软件类似，Charon具备破坏性功能：终止安全相关服务及运行进程，删除卷影副本和备份以降低恢复可能性；采用多线程与部分加密技术提升文件锁定效率；并内置基于开源Dark-Kill项目的驱动程序，可通过“自带易受攻击驱动程序（BYOVD）”攻击禁用EDR方案——但该功能在此次攻击中未被触发，表明其可能处于开发阶段。 区别于传统勒索活动，攻击者使用定制化勒索信明确提及受害组织名称，证实此为针对性攻击。目前初始入侵途径尚未明确。尽管存在技术重叠（特别是通过相同二进制文件配合DLL部署加密shellcode的工具链），趋势科技强调三种可能：Earth Baxia直接参与、蓄意模仿的假旗行动，或独立开发类似技术的新威胁组织。由于缺乏共享基础设施或一致攻击模式等确凿证据，当前仅能认定此次攻击与Earth Baxia存在“有限但显著的技术趋同”。 该事件印证勒索软件运营商正积极采用APT级技术，将复杂规避手段与勒索加密的直接业务影响结合，形成更高风险。研究人员警告：“这种APT战术与勒索软件操作的融合，通过结合精密规避技术和即时业务中断的加密手段，显著提升了组织风险”。同期曝光的Interlock勒索软件活动同样采用多阶段攻击链（涉及PowerShell脚本、PHP/NodeJS/C后门），凸显监测可疑进程活动的重要性。 行业现状数据显示：过去12个月内57%的组织遭遇过勒索软件攻击，其中71%的邮件系统被入侵组织最终遭勒索；32%的受害者支付赎金，但仅41%成功恢复全部数据。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Profero的研究人员成功破解了DarkBit勒索软件的加密机制，使受害者无需支付赎金即可免费恢复文件。不过该公司目前尚未正式发布解密工具。 以色列国家网络管理局（INCD）确认DarkBit勒索软件行动与伊朗背景的APT组织”MuddyWater”存在关联。2023年，Profero曾协助处理一起针对VMware ESXi服务器的DarkBit攻击事件，该事件疑似是对伊朗无人机袭击的报复行为。攻击者未进行赎金谈判，而是专注于业务中断和舆论施压——他们伪装成亲伊朗黑客组织，不仅索要80枚比特币，还在勒索信中添加反以色列政治内容。 加密缺陷与技术突破 研究人员发现该勒索软件采用AES-128-CBC加密时，其密钥生成算法存在严重缺陷。通过结合文件时间戳和已知VMDK文件头特征，团队将密钥空间缩小至数十亿种可能，为暴力破解创造了条件。在专用测试工具辅助下，首个VMDK文件于高性能计算（HPC）环境中耗时24小时完成破解。但该方法存在局限性：单个文件解密需1天时间，且HPC环境扩展能力受限。 创新性解决方案 进一步分析揭示：勒索软件仅加密了文件部分内容。研究人员利用VMDK文件”稀疏存储”特性（即磁盘映像中实际存储数据的区块占比极低），直接提取未加密区块，成功恢复90%以上关键文件。“统计显示，VMDK文件系统内大部分文件实际未被加密，我们只需遍历文件系统即可直接获取所需数据”，研究人员在报告中指出。该方法绕过了解密流程，大幅提升恢复效率。 当前进展与建议 虽然技术验证已成功，但Profero强调需进一步优化解密工具的可扩展性。该公司建议受影响机构：暂勿重建受损系统，保留加密文件副本以待后续解密工具发布；同时可通过专业数据恢复手段尝试提取未加密区块。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文