HackerNews 编译，转载请注明出处： 根据NCC Group的最新研究结果，2025年第二季度全球勒索软件攻击数量较第一季度下降43%，执法行动与内部冲突对威胁态势产生了重大影响。 4月至6月期间共记录了1180次攻击，而第一季度为2074次。 该公司还观察到，2025年6月声称发动的勒索软件攻击连续第四个月下降，较5月减少6%，降至371次。 第二季度的放缓紧随今年前三个月攻击量的急剧上升，这一上升主要由Clop、RansomHub和Akira等主导团伙的激进攻击活动驱动。 然而，近期的执法行动已打击了一些关键勒索软件运营者，包括针对Clop和RansomHub的附属组织。值得注意的是，Clop和RansomHub在第二季度已从活跃勒索软件团伙前十名单中消失。 NCC Group研究人员指出：“这些打击可能在勒索软件团伙生态系统中产生了连锁反应，迫使附属组织重新集结或转向新兴勒索软件团伙。” 这份发布于7月23日的报告还强调，内部信息泄露及不同勒索软件行为者之间的冲突可能是攻击放缓的因素之一。5月，臭名昭著的LockBit团伙的内部信息遭泄露。 同时，研究人员观察到DragonForce在与竞争对手勒索软件运营者进行“地盘争夺战”，以图确立其在网络犯罪市场的主导地位。DragonForce似乎对2025年3月下旬RansomHub的基础设施中断负有责任，此举遏制了其运作。 攻击量下降的另一个可能因素是第二季度受复活节和斋月等全球性假期影响导致的季节性放缓。 Qilin领跑碎片化市场 Qilin（麒麟）是第二季度最活跃的勒索软件团伙，声称发动了151次攻击，占总量的13%。这一数字高于第一季度的95次攻击。 排名第二的是Akira（131次攻击），其次是Play（115次）和SafePay（108次）。SafePay在5月因声称发动70次攻击而引发广泛关注。该组织首次被发现于2024年9月，研究人员指出关于该团伙的公开信息相对较少。 专家将SafePay与其他知名行为者（如LockBit、BlackCat、INC Ransom和Play）联系起来。 NCC Group透露，2025年已追踪到86个新的和现有的活跃攻击组织，数量有望超过2024年的纪录。NCC Group全球威胁情报主管马特·赫尔（Matt Hull）评论道：“攻击者数量的增加意味着企业需要防范更广泛的攻击手法。” 行业目标分布 第二季度遭受攻击最多的行业是工业领域，共353次攻击，占总量的30%。紧随其后的是非必需消费品行业，251次攻击占总量21%。该行业包括零售业，后者在第二季度成为重点攻击目标。 信息技术（10%）、医疗保健（8%）和金融服务（6%）位列本季度前五大受攻击行业。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国就业局（France Travail）遭遇数据泄露事件，可能影响数十万求职者。 该机构于7月22日向其用户发送电子邮件，警告称其“就业”门户网站（供合作伙伴使用）在7月13日发现数据泄露。 此次泄露可能暴露34万用户的个人数据，包括姓名、邮政地址和电子邮件地址、电话号码、France Travail标识符以及求职者状态。该机构保证用户的密码和银行详细信息未受影响。 “但我们建议对网络钓鱼风险保持警惕。”该就业局在公开声明中警告道。 通过信息窃取程序实施的网络攻击凸显双因素认证（2FA）安全漏洞 据法国科技新闻媒体Next报道，此次泄露由法国网络安全机构（ANSSI）的计算机应急响应小组（CERT-FR）在7月12日发现。 据信，泄露的发生是由于位于伊泽尔省的一个培训组织的关联用户账户，通过信息窃取恶意软件（infostealer malware）遭到入侵。攻击者随后设法获得了对Kairos应用程序的访问权限，该应用程序使培训组织能够追踪求职者的培训进度。 一位France Travail发言人告诉Next：“该服务（指就业门户）连同所有其他为合作伙伴托管的服务被立即关闭。” France Travail已向法国当局提出投诉，通知了法国数据保护局（CNIL），并告知了受影响的个人。 作为预防措施而关闭的服务，包括该机构的就业门户和Kairos，预计将于7月24日重新启用。 France Travail表示已加强安全措施，并加速了为Kairos部署双因素认证（2FA）的进程，该部署原定于2026年10月进行。 这是France Travail两年内第二次遭遇数据泄露。2024年3月，恶意行为者攻击了该机构及Cap Emploi（一个支持残疾人的政府就业服务机构）的IT系统。那次事件影响了过去20年内注册用户的个人数据，意味着高达4300万潜在用户的数据被泄露。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 德国工业自动化解决方案提供商Helmholz生产的路由器近期被发现并修补了多个潜在严重漏洞。上周，德国CERT@VDE发布公告，披露了Helmholz旗下REX 100路由器中存在的八个漏洞，这些漏洞使组织能够远程访问和管理工业网络，安全风险由此曝光。 Helmholz路由器通过遍布60个国家的合作伙伴网络在全球销售，覆盖北美、欧洲和亚洲等地区。根据CERT@VDE公告，其中三个漏洞被评定为“高危”级别，均允许拥有高权限的攻击者通过特制请求执行任意操作系统命令。其余问题归类为“中危”，可被用于SQL注入、XSS攻击及拒绝服务攻击（包括未认证的DoS）。 供应商已发布REX 100路由器固件版本2.3.3修复这些漏洞，此前所有固件版本均受影响。这些漏洞是由工业网络安全公司CyberDanube在奥地利一所大学组织的实验室演习中发现。尽管官方CVSS评分不高，但该公司认为部分漏洞实际危害严重。 CyberDanube指出，虽然多数漏洞需认证才能利用，但设备存在默认凭证，可能被攻击者绕过此限制。部分漏洞可让攻击者以root权限在目标设备上执行任意代码，导致服务中断、通信拦截或转向攻击网络内其他系统。 另一个潜在风险在于该工业路由器永久连接至供应商的云端环境——用户通过Web界面管理和配置工业网络设备的基础。若攻击者发现该云系统漏洞，可能入侵其他客户设备，造成“灾难性”后果。CyberDanube已发布包含技术细节和漏洞利用代码（PoC）的独立公告。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国德克萨斯州酒精与药物检测服务公司（TADTS）近日通报，其系统在2024年7月遭遇数据泄露事件，约75万人的个人信息被非法获取。该公司总部位于德克萨斯州，主要为德州及其他地区提供职场与个人酒精及药物检测服务。 TADTS声明，事件于2024年7月9日被发现，涉及未授权访问及窃取其系统数据。在专业数据挖掘团队协助下，近期完成的调查确认失窃数据包含个人信息。 潜在泄露信息涵盖： 姓名、出生日期、社保号码 驾照号码、护照号码及其他身份证件号码 财务与信用卡信息 健康保险详情 生物识别信息 登录凭证、邮箱及密码 美国移民局档案号或外籍人士登记号 该公司在官网通知中说明：“此列表描述受影响系统中的通用信息类别，部分类别可能不适用于每位潜在受影响个体。”向缅因州总检察长办公室提交的书面通知副本显示，这些信息是“个人在就业相关筛查测试中授权提供的。” 事件控制后，TADTS已重置所有系统密码，部署额外监控工具，强化端点检测协议，并向执法部门及相关机构报案。公司表示尚未发现事件引发的欺诈或身份盗窃行为，但建议受影响人员监控信用报告与账户流水，发现可疑活动及时向金融机构报告。 根据向缅因州总检察长办公室提交的文件，本次事件共影响748,763人，但TADTS明确表示不会提供免费身份盗窃保护服务。 尽管TADTS未透露具体攻击类型，知名勒索团伙BianLian于2024年7月14日宣称对此次入侵负责，声称窃取约218GB数据。目前尚不明确黑客是否已公开泄露数据——其基于Tor的泄密网站当前处于离线状态，且该团伙已沉寂数月（上一次公布受害者记录为2025年3月31日）。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国奢侈品牌迪奥（Dior）近期开始向美国客户发送数据泄露通知，告知其2025年5月发生的网络安全事件导致个人信息被泄露。迪奥隶属于全球最大奢侈品集团路威酩轩（LVMH），该品牌年营收超120亿美元，在全球运营数百家精品店。 此次安全事件实际发生在2025年1月26日，但公司直到2025年5月7日才察觉并启动内部调查以确定影响范围。发送给受影响个人的通知中写道：“调查确定，未授权方于2025年1月26日非法访问了包含迪奥客户信息的数据库。迪奥已迅速采取措施控制事件，目前无证据表明系统后续再遭入侵。” 根据调查结果，以下信息已遭泄露： 全名 联系方式 住址 出生日期 护照或政府身份证号码（部分情况） 社保号码（部分情况） 公司澄清称，被入侵数据库未包含银行账户或支付卡信息等支付详情，故此类财务数据仍安全。迪奥已据此通知执法部门，并聘请第三方网络安全专家协助控制事件。 收到通知的用户需警惕诈骗和钓鱼企图，密切监控金融账户活动，及时识别并报告可疑行为。通知信函同时附带了免费领取24个月信用监控及身份盗窃保护服务的操作指南，该服务有效期截至2025年10月31日。 此次事件时间点与迪奥早前在韩国和中国披露的安全事件吻合。同为LVMH集团旗下的路易威登（Louis Vuitton）近期也披露了影响英国、韩国和土耳其客户的数据泄露事件。尽管涉事公司发言人未回应澄清请求，但行业信息表明，路易威登与迪奥事件实属同一网络攻击的一部分。 据信，此次攻击与勒索团伙ShinyHunters有关，其通过入侵第三方供应商数据库获取了LVMH客户信息。若属实，路易威登可能随后发布针对美国客户的类似披露。目前，迪奥尚未回应关于受影响美国客户数量的质询。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 印度加密货币交易所CoinDCX上周遭遇黑客攻击，损失约4420万美元。公司联合创始人Neeraj Khandelwal与Sumit Gupta上周六通过社交媒体披露异常情况，随后确认被盗资金源自公司内部运营账户。 创始人声明用户资金未受影响：“受影响的操作账户已被隔离。由于运营账户与用户钱包物理隔离，风险仅限该账户，损失将由我们通过自有储备金全额承担。” 公司已向印度计算机应急响应小组（CERT-In）通报案情。 CoinDCX成立于2018年，作为印度头部加密平台拥有约1600万用户。公司表示正与安全团队合作调查事件、修复漏洞并追踪被盗资金以进行冻结回收，同时承诺推出漏洞悬赏计划。 Khandelwal及多家区块链安全公司确认，上周五晚间有价值4420万美元的USDC和USDT（两种锚定美元的稳定币）从平台盗走。CoinDCX周日发布的事件分析报告称将通过储备金覆盖损失，目前已追踪到两个分别持有2760万和1620万美元的涉事钱包，截至本周一下午虽显示清零，但专家发现资金已转移至新钱包。 Gupta在多平台警告用户防范冒充CoinDCX官员的诈骗者，强调“切勿向任何人提供账户信息”。公司承诺向协助追回资金者提供最高25%的返还金额，同时寻求黑客身份线索以提起法律诉讼。 此次攻击发生之际，距印度另一加密巨头WazirX遭窃2.3亿美元仅数月（2024年11月涉案嫌疑人被捕）。区块链安全公司Chainalysis上周数据显示，2025年全球加密资产被盗金额已达21.7亿美元，超2024年全年总和。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 科技制造商戴尔近日证实，黑客入侵了其产品演示平台，但向媒体强调事件未涉及敏感信息。 戴尔在声明中指出，某威胁行为体非法访问了“戴尔解决方案中心”（Dell’s Solution Center），该平台专为商业客户“展示产品功能及测试概念验证”而设立。 公司发言人明确表示，该平台“在设计上已与客户及合作伙伴系统隔离，同时独立于戴尔内部网络，不参与任何客户服务的提供流程”。平台使用的数据主要为虚假信息，源自公开数据集，仅用于产品演示等非生产场景。发言人补充道：“根据持续调查，攻击者获取的数据本质上是合成数据、公开信息或戴尔内部测试数据。” 作为全球最大计算机制造商之一，戴尔上个财年营收达956亿美元。 戴尔未透露事件具体发生时间及幕后组织，但勒索软件组织WorldLeaks声称对此次攻击负责。 该组织由三周前解散的Hunters International重组而来，解散前曾向既往受害者免费提供解密工具。Hunters International曾主导多起高调攻击，包括入侵美国法警局、纳米比亚国有电信运营商及西雅图知名癌症研究中心。 Hunters International的核心成员于2024年11月创建WorldLeaks。网络安全公司Group-IB评估认为，部分WorldLeaks与Hunters的管理员可能曾参与2023年被执法部门渗透瓦解的Hive勒索组织。 上周，谷歌事件响应团队披露，WorldLeaks成员正通过网络安全公司SonicWall的生命周期终止设备窃取企业敏感数据。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国阿拉斯加航空公司当地时间7月20日（周日）发生IT系统故障，导致所有航班停飞。该公司未说明故障具体性质，这已是其一年多来第二次全面停飞。 阿拉斯加航空在周日晚间向媒体发布的声明中表示：“太平洋时间周日晚8点左右（周一格林尼治时间0300），阿拉斯加航空遭遇影响航班运营的IT故障。我们已申请对阿拉斯加航空及旗下全资支线子公司地平线航空（Horizon Air）航班实施临时全系统地面停飞令。” 这家总部位于西雅图的航空公司称，当晚运营将持续受到后续影响，但未提供更多细节。 美国联邦航空管理局（FAA）状态页面显示，阿拉斯加航空干线飞机的地面停飞和地平线航空暂停运营影响了所有目的地。 2024年4月，阿拉斯加航空曾因飞机配载平衡计算系统问题全面停飞，此次事件距其波音737 MAX 9型客机舱门半空脱落事故仅数月之隔。 根据官网信息，阿拉斯加航空集团现运营238架波音737客机和87架巴航工业175客机。 今年6月，该集团旗下的夏威夷航空公司称部分IT系统遭黑客攻击。阿拉斯加航空集团表示仍在评估该事件的财务影响。 此次故障发生时，正值科技公司谷歌和Palo Alto Networks警告“Scattered Spider”黑客组织盯上航空业之际。 加拿大西捷航空6月遭遇不明网络攻击 澳大利亚澳航7月发生数据泄露事件，数百万客户信息遭窃 目前尚不清楚阿拉斯加航空故障是否与微软周日所称“政府机构和企业所用服务器软件遭主动攻击”有关。截至发稿，阿拉斯加航空未回应媒体关于两者关联性的质询。         消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一场新的攻击活动已侵入了全球超过 3500 个网站，植入了 JavaScript 加密货币挖矿程序，标志着曾由 CoinHive 等推动的基于浏览器的加密劫持攻击卷土重来。 虽然此类服务在浏览器制造商采取措施禁止挖矿相关应用和插件后已关闭，但 c/side 的研究人员表示，他们在混淆过的 JavaScript 中发现了隐形挖矿程序的证据。该程序会评估设备的计算能力，并生成后台 Web Worker 线程来并行执行挖矿任务，且不引发任何警报。 更重要的是，该活动被发现利用 WebSocket 从外部服务器获取挖矿任务，以便根据设备能力动态调整挖矿强度，并相应地限制资源消耗以保持隐蔽。 安全研究员 Himanshu Anand 表示：“这是一个隐形挖矿程序，旨在通过保持在用户和安全工具的探测阈值以下来避免被发现。” 这种做法的最终结果是，用户在浏览被入侵网站时会不知不觉地挖掘加密货币，在不知情或未同意的情况下，他们的计算机就变成了隐蔽的加密货币生成机器。目前尚不清楚这些网站是如何被攻破以促成浏览器内挖矿的。 进一步分析已确定超过 3500 个网站被卷入这场大规模的非法加密挖矿活动中。托管该 JavaScript 挖矿程序的域名过去还与 Magecart 信用卡盗刷工具有关联，这表明攻击者试图使其攻击载荷和收入来源多样化。 使用相同域名来传送挖矿程序和信用卡/借记卡数据窃取脚本，表明威胁行为者有能力将 JavaScript 武器化，并针对毫无戒心的网站访问者发动投机性攻击。 c/side 表示：“攻击者现在优先考虑隐蔽性而非蛮力式的资源窃取，使用混淆、WebSocket 和基础设施重用以保持隐藏。目标不是瞬间耗尽设备资源，而是长期持续地汲取资源，如同数字吸血鬼。” 这一发现恰逢一起针对东亚电子商务网站的 Magecart 盗刷活动，该活动利用 OpenCart 内容管理系统（CMS），在结账时注入虚假支付表单，并从受害者那里收集包括银行信息在内的财务信息。窃取到的信息随后被外传到攻击者的服务器。 近几周，发现的客户端和网站定向攻击呈现出多种形式： 滥用与合法 Google OAuth 端点（“accounts.google[.]com/o/oauth2/revoke”）关联的回调参数的 JavaScript 嵌入代码，重定向至一个混淆的 JavaScript 攻击载荷，该载荷会创建指向攻击者控制域名的恶意 WebSocket 连接。 使用直接注入 WordPress 数据库（即 wp_options 和 wp_posts 表）的 Google Tag Manager (GTM) 脚本，以加载远程 JavaScript，将访问超过 200 个网站的访客重定向至垃圾广告域名。 破坏 WordPress 站点的 wp-settings.php 文件，使其直接从 ZIP 存档中引入恶意 PHP 脚本，该脚本连接到命令与控制（C2）服务器，并最终利用网站的搜索引擎排名注入垃圾内容，提升其可疑网站在搜索结果中的位置。 将恶意代码注入 WordPress 站点主题的页脚 PHP 脚本以实现浏览器重定向。 使用一个以受感染域名命名的虚假 WordPress 插件来逃避检测，并仅在检测到搜索引擎爬虫时启动，以提供旨在操控搜索引擎结果的垃圾内容。 在供应链攻击中，通过官方下载页面分发后门版本的 WordPress 插件 Gravity Forms（仅影响 2.9.11.1 和 2.9.12 版）。该后门插件会联系外部服务器获取额外攻击载荷，并添加一个管理员账户，使攻击者能完全控制网站。 Gravity Forms 开发团队 RocketGenius 表示：“如果安装，恶意代码修改将阻止更新该包的尝试，并试图联系外部服务器下载额外攻击载荷。” “如果该载荷成功执行，它将尝试添加一个管理员账户。这将打开一个后门，导致一系列其他可能的恶意操作，例如扩大远程访问、额外的未经授权的任意代码注入、操控现有管理员账户以及访问存储的 WordPress 数据。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究公司Comparitech的最新分析显示，2025年上半年，针对医疗保健行业的勒索软件攻击增长率（同比仅4%）远低于大多数其他行业。 Comparitech数据研究主管丽贝卡·穆迪（Rebecca Moody）指出，由于零售等其他行业正日益被视为更容易获利的目标，部分威胁行为者已转移了攻击重点。该公司追踪到2025年上半年医疗保健机构遭受了211起勒索软件攻击。相比之下，同期所有行业的勒索软件攻击平均增长率高达50%。 遭受攻击激增的行业包括技术业（85%）、零售业（85%）、法律服务业（71%）、运输业（66%）、制造业（64%）和政府机构（60%）。公用事业是唯一出现下降的行业（-31%）。 医疗行业受攻击率较低的原因 穆迪向Infosecurity表示，除了攻击者对零售业的兴趣增加外，医疗行业受攻击率较低还有多方面因素。她认为，2024年影响医疗服务的高调攻击事件（如美国医疗支付服务商Change Healthcare和英国NHS病理供应商Synnovis遭袭事件），可能促使整个医疗行业提升了网络安全意识并改进了防护系统。 穆迪还指出，攻击者出现新趋势：他们更倾向于瞄准医疗行业内不直接提供护理服务的企业，例如医疗器械制造商和制药公司。这使得黑客能通过单次攻击波及大量医疗提供商。“由于这类公司通常服务于大量医疗机构，它们掌握着庞大的数据库。因此，攻击这类企业可使黑客一次性瞄准多个组织及其数据。2025年1月Episource遭勒索攻击导致540万人数据泄露便是典型案例。” 但她同时警告，医疗行业仍是攻击者的关键目标，2025年迄今已发生多起严重事件。“正如本报告所发现，部分黑客（如INC和Medusa）仍在持续攻击医院等直接护理机构，并屡屡得手。针对这类机构的攻击可能会保持现有频率。” 医疗行业面临低于平均水平的赎金要求 该报告（发布于7月17日）指出，上半年医疗企业面临的赎金要求平均为47.9万美元。在已确认的攻击中，平均赎金要求更高，达60.8万美元。而其他行业的平均赎金要求则超过160万美元。 报告期内无任何机构确认支付赎金，但有10家实体表示拒绝了黑客的要求。Comparitech追踪到的上半年最高医疗赎金要求来自Medusa团伙：该团伙2月向英国独立护理集团HCRG Care Group索要200万美元。其次是Crazy Hunter团伙攻击台湾马偕纪念医院后索要的150万美元。 Comparitech指出，仅有少数勒索团伙会公开赎金要求数据，因此许多金额仍未知。在2025年上半年已知的24个赎金数据中，13个来自Medusa团伙。“目前像达维塔（DaVita）、Frederick Health和Kettering Health等重大攻击的赎金数额尚未披露。若未来公布，预计平均值将会上升。” 已确认泄露230万条医疗记录 在2025年1月至6月追踪到的211起医疗勒索攻击中，68起已获受害者公开确认。Comparitech发现这些确认事件导致超过230万条医疗相关记录泄露。 此期间最大的勒索相关泄露事件发生在2025年1月，Frederic Health遭攻击导致近100万患者记录泄露。上半年声称攻击医疗行业最多的勒索团伙是INC Ransom（声称34起，10起已确认），占该团伙同期总攻击声明的26%。其次是Qilin（声称25起，10起确认）、SafePay（14起）、RansomHub（13起）和Medusa（13起）。 从已确认泄露记录数量看，Qilin以55.5万条位居首位，SafePay以26万条紧随其后。在所有追踪事件中，约66%（139起）针对美国企业。澳大利亚（10起）和英国（7起）分列二、三位。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文