HackerNews 编译，转载请注明出处： 瑞典软件供应商Miljödata遭遇疑似勒索软件攻击，该公司负责管理病假等人力资源报告系统，事件预计影响该国约200个市级政府机构。 公司首席执行官Erik Hallén表示，攻击于上周六被发现。警方向当地媒体《BLT》证实，攻击者正试图对Miljödata实施勒索。 瑞典民事防御部长卡尔·奥斯卡·博林（Carl-Oskar Bohlin）在社交媒体简短声明中称：“事件影响范围尚未明确，实际后果仍难判定。” Hallén向瑞典通讯社TT透露，约200个市级和地区政府受此事件影响。瑞典全国共有290个市级行政区和21个地区政府。 哥特兰岛地方政府等多家机构证实使用Miljödata系统处理员工数据，包括“医疗证明、康复计划、工伤报告等资料”。 Hallén表示，Miljödata正“与外部专家紧密协作，全力调查事件经过、受影响对象及范围，并努力恢复系统功能”。 民事防御部长博林强调：“政府持续接收事件进展通报，并与相关机构保持密切沟通。瑞典计算机应急小组（CERT-SE）已向涉事公司及受影响客户提供建议与支持，该机构职责是协助社会应对和预防网络安全事件。国家网络安全中心正协调各部门行动方案，警方也已启动调查。” 博林指出，此次事件凸显全社会亟需提升网络安全防护等级。瑞典政府计划近期向议会提交新网络安全法案，“该法案将对众多行为主体提出更严格的合规要求”。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Group-IB披露名为ShadowSilk的新型威胁组织在中亚及亚太地区（APAC）针对政府机构发起攻击。该组织已渗透超过30个目标，主要动机为数据窃取，其工具集和基础设施与已知黑客团体YoroTrooper、SturgeonPhisher及Silent Lynx存在重叠。 受害者分布于乌兹别克斯坦、吉尔吉斯斯坦、缅甸、塔吉克斯坦、巴基斯坦及土库曼斯坦，以政府机构为主，能源、制造、零售和运输业实体亦受波及。研究人员尼基塔·罗斯托夫采夫（Nikita Rostovcev）和谢尔盖·特纳（Sergei Turner）指出：“该组织由双语团队运作——俄语开发者负责维护YoroTrooper遗留代码，中文操作者主导入侵行动，形成灵活的多区域威胁模式。但两组人员的具体合作深度及性质仍不明确。” 攻击手法演进 ShadowSilk延续了YoroTrooper的技术脉络（该组织最早由思科Talos于2023年3月披露，以欧洲政府、能源及国际组织为目标）。其初始攻击载体为鱼叉式钓鱼邮件，投递受密码保护的压缩文件，释放自定义加载器。该加载器将命令控制（C2）流量隐藏在Telegram机器人通信中以规避检测，并投递后续恶意载荷。攻击者通过修改Windows注册表实现持久化驻留。 多元化攻击工具 除利用Drupal（CVE-2018-7600、CVE-2018-7602）和WP-Automatic插件漏洞（CVE-2024-27956）外，ShadowSilk还整合了侦察与渗透工具： 网络扫描工具：FOFA、Fscan、Gobuster、Dirsearch 漏洞利用框架：Metasploit、Cobalt Strike 地下市场资源：从暗网获取JRAT和Morf Project控制面板管理受控设备 数据窃取工具：定制化工具窃取Chrome密码存储文件及解密密钥 内网渗透与数据窃取 入侵得逞后，攻击者部署WebShell（如ANTSWORD、Behinder、Godzilla、FinalShell）和基于Sharp语言的利用工具，结合隧道工具Resocks和Chisel横向移动、提权并窃取数据。其专属Python远程木马（RAT）通过Telegram机器人接收指令并回传数据，将恶意流量伪装成合法通讯。Cobalt Strike和Metasploit模块用于截取屏幕及摄像头画面，定制PowerShell脚本则扫描特定扩展名文件并压缩回传至外部服务器。 语言证据与活动特征 Group-IB分析表明，YoroTrooper核心成员精通俄语，专注恶意软件开发与初始入侵。但攻击者工作站截图显示：键盘布局为中文、吉尔吉斯斯坦政府网站被自动翻译为中文、漏洞扫描器界面为中文，表明中文操作者深度参与行动。该组织近期仍高度活跃，7月仍有新受害者出现，持续聚焦中亚及亚太政府领域，需严密监控其基础设施以防长期潜伏与数据泄露。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 新加坡科技设计大学（SUTD）旗下ASSET（自动化系统安全）研究团队开发出一种无需依赖伪基站（gNB）即可将5G连接降级至低世代网络的新型攻击技术。该攻击基于名为Sni5Gect（“Sniffing 5G Inject”的缩写）的开源工具包，能够嗅探基站与用户设备（UE，即手机）间传输的未加密消息，并通过空口向目标设备注入恶意消息。 据研究者罗世杰（Shijie Luo）、Matheus Garbelini、Sudipta Chattopadhyay和周建英（Jianying Zhou）介绍，该框架可实现多种攻击，包括：使设备调制解调器崩溃、强制网络降级至旧世代、设备指纹识别或绕过认证机制。与传统依赖伪基站的5G攻击不同，Sni5Gect以第三方身份插入通信链路，在用户设备接入过程中被动嗅探消息并实时解码协议状态，进而利用状态信息精准注入攻击载荷。 技术原理与突破 攻击利用5G通信中认证前阶段的安全窗口：当手机发起随机接入（RACH）至建立NAS安全上下文期间，基站与设备交换的消息既无加密也无完整性保护。攻击者无需掌握设备凭证，即可监听上下行流量并注入伪造消息。其核心创新在于： 被动嗅探：实时解码基站与设备间未加密消息（如RRC建立请求、注册请求等），跟踪协议状态； 有状态注入：根据协议状态在关键时间点（如设备发送注册请求后）注入攻击载荷，设备误认消息来自合法基站而执行恶意指令。 攻击能力验证 研究团队在20米距离内对五款商用手机（一加Nord CE 2、三星Galaxy S22、谷歌Pixel 7、华为P40 Pro及Fibocom USB调制解调器）进行测试： 上下行流量嗅探准确率超80%； 数据包注入成功率高达70%-90%； 成功演示三类攻击： 单次注入生效：如注入畸形RRC消息触发调制解调器崩溃（利用5Ghoul漏洞），或注入“N1模式拒绝”消息强制5G降级至4G； 需响应的单次注入：通过“身份请求”消息诱骗设备返回加密的SUCI身份标识； 多阶段降级攻击（CVD-2024-0096）：篡改认证请求的序列号并重播，触发设备防护机制拉黑5G基站，最终迫使其自动连接4G网络。 行业影响与响应 全球移动通信系统协会（GSMA）已承认该降级攻击的威胁性，并为其分配漏洞编号CVD-2024-0096。研究者强调，Sni5Gect不仅是首个无需伪基站的5G空口嗅探与注入框架，更为安全研究提供关键工具：既可推动运营商优化认证前消息的完整性校验机制，也能促进5G物理层安全及入侵检测技术的发展。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 日产汽车向BleepingComputer证实，其子公司Creative Box Inc.（CBI）的服务器遭到未授权访问，导致数据泄露。 此次回应是针对Qilin勒索软件团伙声称从CBI窃取4TB数据的声明。该团伙宣称窃取的数据包括3D车辆设计模型、内部报告、财务文件、VR设计工作流程及照片。 “2025年8月16日，日产设计承包商Creative Box Inc.（CBI）的数据服务器上检测到可疑访问，”日产发言人向BleepingComputer表示。“CBI立即实施了应急措施（例如阻断所有服务器访问权限）以降低风险，并向警方报案。” CBI是日产汽车株式会社全资拥有的东京设计工作室，定位为专注于实验性和概念车型设计的“智库”。 Qilin勒索组织于2025年8月20日在暗网勒索门户上添加CBI为受害者，声称窃取了所有设计项目并威胁公开数据，使竞争对手获得优势。该组织还公布了16张窃取数据的照片作为证据，内容涉及3D汽车设计图、电子表格、文档和汽车内饰图像。 Qilin勒索门户上列出的日产CBI条目   图片来源：BleepingComputer 日产声明目前正在调查事件，但已确认发生数据泄露。“详细调查正在进行中，现已确认部分设计数据遭泄露，”日产表示，“日产与CBI将继续调查并根据需要采取适当措施。” 这家日本汽车制造商强调，泄露数据仅影响日产自身（CBI的唯一客户），因此被盗数据不涉及其他公司、承包商或个人客户的信息。 Qilin勒索组织今年活动频繁，此前曾攻击出版集团Lee Enterprises和制药公司Inotiv等知名目标。该团伙被指利用Kickidler员工监控工具及两个Fortinet漏洞（CVE-2024-21762、CVE-2024-55591），无需认证即可在设备上远程执行代码。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 内华达州政府系统因周日（8月24日）凌晨发生的网络安全事件持续瘫痪，导致网站、电话线路及线下服务中断。州长乔·隆巴多（Joe Lombardo）周一下午发布声明称，紧急服务仍可运作，但该事件“持续影响州内特定技术系统的可用性” 。 隆巴多表示，“恢复期间，部分州政府网站或电话线路可能出现响应迟缓或短暂中断” 。州政府正与地方、部落及联邦合作伙伴协作恢复服务，并“使用临时路由和操作方案，尽可能维持公共访问渠道” 。 受事件影响，内华达州政府办公室周一全面暂停线下服务，各机构将另行通知恢复时间 。截至周一晚间，州政府官方网站仍处于离线状态 。州政府提醒居民警惕诈骗行为，强调绝不会通过电话或邮件索要个人信息或银行资料 。 州长声明补充称，调查将确认是否存在数据泄露 。目前尚无黑客组织宣称对此事件负责 ，联邦调查局已介入协助调查 。此次事件恰逢马里兰州政府同期报告网络攻击导致关键服务中断 ，而两周前拉斯维加斯刚举办全球顶尖的Black Hat网络安全大会 。 拉斯维加斯去年曾因美高梅度假村集团（MGM Resorts）勒索攻击事件陷入混乱：旗下曼德雷湾、贝拉吉奥等酒店赌场的角子机、房卡系统及ATM机大面积瘫痪数日，酒店无法受理信用卡支付，顾客被迫另寻住所，多家赌场员工被迫手工计算赌局盈亏 。美高梅最终承担超1亿美元损失，但拒绝支付赎金 。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 总部位于马萨诸塞州的数学软件开发商 MathWorks 遭遇勒索软件攻击，导致数千用户的个人详细信息被泄露。 MathWorks 近日披露了其今年早些时候遭受的勒索软件攻击的波及范围。该公司提交给缅因州总检察长办公室的信息显示，超过 10,000 名个人在此次黑客攻击中信息被暴露。 MathWorks 主要以其数据分析软件 MATLAB 和仿真软件 SIMULINK 而闻名。该公司年收入达 15 亿美元，仅 MATLAB 在全球就有 500 万用户。 公司发现其系统于 2025 年 5 月 18 日遭到入侵。这次攻击导致其部分服务中断近一周，影响了数百万客户的访问。没有任何勒索软件团伙宣称对此次攻击负责。 此外，根据公司的数据泄露通知，攻击者很可能在其系统内活动了近一个月——从 4 月 17 日一直持续到 5 月份入侵被发现为止。 公司声称，在获悉该事件后，其“聘请了第三方取证专家对受影响的系统进行全面审查，以协助控制威胁、清除威胁行为者并进行补救。” 调查显示，攻击者可能访问了用户的个人详细信息，包括： 姓名 地址 出生日期 社会安全号码（或其他国家身份证号码） 理论上，攻击者可以利用窃取的信息进行身份盗窃，最坏情况下可能用于金融欺诈。虽然 MathWorks 指出受影响的数据在暴露个体之间存在差异，但那些姓名和身份证件信息被泄露的个人可能面临更高的隐私风险。 例如，攻击者可能试图建立欺诈账户、获取贷款，甚至尝试窃取现有账户。然而，MathWorks 强调，对于数据可能被泄露的个人，公司并未意识到存在任何“实际的或企图滥用个人信息或造成任何财务损害”的情况。 与类似情况下的通常做法一样，MathWorks 表示将为受影响的个人提供免费的身份保护服务。数据泄露通知建议用户保持警惕，并监控其财务账户是否存在异常活动。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 马里兰州多个政府部门正应对一起影响残障人士交通服务系统的网络攻击。 周日，马里兰州交通管理局（MTA）在其社交媒体和网站上发布了关于一起网络事件的警告，该事件涉及对其部分系统的未经授权访问。 虽然 MTA 的核心交通服务（包括公交线路、地铁和轻轨系统）未受影响，但用于名为“Mobility”的专项客运服务的部分实时信息系统和其他工具受到了影响。 Mobility 服务于无法到达或等候公交车站的人士。这项共享乘车服务通过网站预约，可将乘客从家中送至目的地。 MTA 表示 Mobility 服务“无法安排新的行程或重新预订现有行程”。 “此外，部分 MTA 服务运营和信息系统，包括实时信息和我们的呼叫中心，可能会受到影响，”该部门解释道。“我们正与第三方网络安全专家和执法合作伙伴合作，评估事件范围并减轻其影响。” 所有本周已预定的 Mobility 行程将照常提供。需要预约新行程的人士应使用“Call-A-Ride”服务，可通过其网站或电话号码进行预约。 MTA 表示，该州的应急管理部门已启动了包含信息技术部和其他关键机构在内的全州紧急行动中心。 截至周一下午，尚未有任何黑客组织认领此次事件。今年早些时候，马里兰州最大的县曾遭受网络攻击，导致政府服务受限数日。 过去两年间，黑客通过对美国地方政府的网络攻击，屡次导致市政残障服务出现问题。在密苏里州、弗吉尼亚州等地区，网络攻击或勒索软件事件导致关键系统离线后，当地政府不得不为残障居民提供替代方案。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国保险巨头农民保险公司（Farmers Insurance）披露了一起影响 110 万客户的数据泄露事件。BleepingComputer 获悉，这些数据是在波及广泛的 Salesforce 攻击中被盗取的。 农民保险公司是一家美国保险公司，提供汽车、家庭、人寿和商业保险产品。它通过代理商和子公司网络运营，为全美超过 1000 万个家庭提供服务。 该公司在其网站上发布公告披露了此次数据泄露，称其一家第三方供应商的数据库于 2025 年 5 月 29 日遭到入侵。 “2025 年 5 月 30 日，农民公司的一家第三方供应商向农民公司发出警报，称发现可疑活动，涉及未经授权的行为者访问了该供应商包含农民公司客户信息的数据库（以下简称‘事件’），”其网站上的数据泄露通知写道。“该第三方供应商配备了监控工具，使其能够快速检测到该活动并采取适当的遏制措施，包括封锁未经授权的行为者。在获悉该活动后，农民公司立即展开了全面调查，以确定事件的性质和范围，并通知了适当的执法部门。” 该公司表示，其调查确定，客户的姓名、地址、出生日期、驾照号码和/或社会安全号码的后四位在此次泄露事件中被盗。 农民公司于 8 月 22 日开始向受影响的个人发送数据泄露通知。提交给缅因州总检察长办公室的通知样本显示，共有 1,111,386 名客户受到影响。 虽然农民公司没有透露第三方供应商的名称，但 BleepingComputer 获悉，这些数据是在今年影响众多机构的广泛 Salesforce 数据盗窃攻击中被盗取的。 BleepingComputer 联系了农民公司询问有关泄露事件的更多问题，若收到回复将更新报道。 Salesforce 数据盗窃攻击 自今年年初以来，被归类为“UNC6040”或“UNC6240”的威胁行为者一直在对 Salesforce 客户进行社会工程学攻击。 在这些攻击中，威胁行为者进行语音钓鱼（vishing），诱骗员工将恶意的 OAuth 应用程序与其公司的 Salesforce 实例关联。 一旦关联成功，威胁行为者便利用该连接下载并窃取数据库，然后通过电子邮件对公司进行勒索。 勒索要求来自 ShinyHunters 网络犯罪团伙。该团伙告诉 BleepingComputer，攻击涉及多个重叠的威胁组织，每个组织负责特定的任务以入侵 Salesforce 实例并窃取数据。 “就像我们反复说过的那样，ShinyHunters 和 Scattered Spider 是一体的，”ShinyHunters 告诉 BleepingComputer。“他们为我们提供初始访问权限，我们则负责 Salesforce CRM 实例的转储和窃取。就像我们对 Snowflake 所做的那样。” 受这些攻击影响的其他公司包括谷歌、思科、Workday、阿迪达斯、澳洲航空、安联人寿以及 LVMH 旗下的路易威登、迪奥和蒂芙尼。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国零售商欧尚（Auchan）正通知其客户，一场网络攻击导致数十万客户的会员账户相关敏感数据被泄露。 该公司正在向受事件影响的客户发送数据泄露通知。 “我们写信通知您，欧尚已成为网络攻击的受害者。此次攻击导致与您会员账户相关的某些个人数据遭到未经授权的访问，”该零售商的声明中写道。 根据通知样本，此次攻击中泄露的数据包括全名、称谓和客户状态、邮政地址、电子邮件地址、电话号码以及会员卡号。 该零售商强调，银行数据、密码和 PIN 码未受影响。 欧尚向客户发送的通知      图片来源：Zataz 该公司发言人向法媒证实“数十万”客户数据遭泄露。 欧尚是一家法国跨国零售集团，在欧洲和非洲的13个国家经营着超过 2,100 家门店。该集团拥有 154,000 名员工，年收入超过 350 亿美元。 该公司表示已就此次数据泄露事件通知法国数据保护机构（CNIL）。 同时，欧尚建议收到通知的客户对可能利用被盗信息进行的钓鱼攻击保持警惕。 “我们提醒您，欧尚绝不会通过电子邮件、短信或电话向您索要登录信息、密码或会员卡 PIN 码，”欧尚警告道，“如果您收到此类消息，请不要点击任何链接，不要拨打提供的电话号码，并忽略其中包含的信息，因为这很可能是一次钓鱼尝试。” BleepingComputer 几天前联系了欧尚以请求获取有关此次攻击的更多信息，但该公司尚未回复。 欧尚的数据泄露事件发生在法国其他大型实体（包括法国航空、荷兰皇家航空、Orange 和 Bouygues Telecom）相继披露类似事件之后不久，其中部分事件与黑客组织 ShinyHunters 攻击 Salesforce 有关联。 目前，没有证据表明这些攻击相互关联，或表明存在针对该国大型企业的协同行动。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 知名高级持续性威胁（APT）组织“透明部落”（Transparent Tribe）近期被发现使用恶意桌面快捷方式文件，针对印度政府实体的Windows和BOSS Linux系统发动攻击。 网络安全公司CYFIRMA表示：“初始入侵通过钓鱼邮件实现。攻击者利用武器化的.desktop快捷方式文件针对BOSS Linux环境，一旦用户打开这些文件，便会下载并执行恶意载荷。” 透明部落（又称APT36）被评估为源自巴基斯坦。该组织及其分支SideCopy长期以多种远程控制木马（RAT）入侵印度政府机构。此次跨平台攻击展示了该组织的持续技术演进，使其能扩大目标范围并确保在受害系统中的持久访问权限。 攻击链分析 攻击始于伪装成会议通知的钓鱼邮件，实际附件为恶意Linux桌面快捷方式文件（如“Meeting_Ltr_ID1543ops.pdf.desktop”）。这些文件假冒PDF文档诱骗用户点击，触发执行隐藏的Shell脚本。该脚本作为下载器，从攻击者控制的服务器（”securestore[.]cv”）获取十六进制编码文件，保存为ELF二进制程序；同时启动Firefox浏览器打开Google Drive上的伪装PDF文件以降低怀疑。基于Go语言的二进制程序会连接硬编码的命令与控制（C2）服务器（modgovindia[.]space:4000），接收指令、获取后续载荷并窃取数据。恶意软件还通过cron计划任务实现持久化，确保系统重启或进程终止后自动执行主载荷。 技术对抗手段 安全公司CloudSEK独立证实此活动，指出恶意软件具备系统侦察功能，并通过虚拟反调试和反沙盒检测混淆分析工具。Hunt.io进一步分析发现，攻击最终部署了透明部落已知后门Poseidon，支持数据收集、长期访问、凭证窃取及潜在横向移动能力。CYFIRMA强调：“APT36能根据目标操作系统环境定制投递机制，显著提升攻击成功率，使其得以长期潜伏于关键政府基础设施并规避传统安全防护。” 历史攻击模式关联 此次披露前数周，透明部落还被发现通过仿冒域名针对印度国防机构及关联政府实体，旨在窃取凭证和双因素认证（2FA）验证码。用户通过钓鱼邮件被诱导至恶意链接。CYFIRMA描述其流程：“受害者在仿冒登录页输入有效邮箱并点击‘下一步’后，将被重定向至第二页面，诱骗其输入邮箱密码及Kavach验证码。”需注意的是，针对印度政府机构使用的双因素认证系统Kavach的攻击，是透明部落及SideCopy自2022年初反复使用的成熟手段。CYFIRMA补充：“此类抢注域名与巴基斯坦服务器托管基础设施的组合，完全符合该组织一贯的战术、技术和程序（TTPs）。” 南亚地区威胁扩展 同期，另一南亚APT组织SideWinder也被曝光通过钓鱼邮件攻击孟加拉国、尼泊尔、巴基斯坦、斯里兰卡和土耳其。Hunt.io指出：“攻击者仿冒官方通信，诱骗受害者在托管于Netlify和Pages.dev的伪造登录页提交凭证。其伪造的Zimbra邮箱和安全门户页面模仿政府邮件、文件共享服务界面，引导用户通过虚假登录面板提交凭证。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文