Hackernews 编译，转载请注明出处： 由国家资助的朝鲜黑客 Andariel 从韩国公司窃取了超过 1.2TB 的国防技术相关文件，并勒索了 35.6 万美元的赎金。 首尔警察厅发布的一份声明称，来自平壤的网络攻击者成功地从韩国的十几家公司窃取了大约 250 份与国防技术相关的文件，其中包括防空激光武器。一些受害者没有意识到这一漏洞，而另一些人则试图隐瞒这一漏洞。 韩国警方与联邦调查局(FBI)合作，揭露了 Andariel 的黑客行为。在调查过程中，办案人员追踪到了赎金通过洗钱流入朝鲜。 黑客从三名受害者那里勒索了价值约 4.7 亿韩元(约合 35.6 万美元)的比特币，以换取系统的恢复。在把钱转移到朝鲜之前，Andariel 黑客利用海外加密货币交易所和一位 A 女士的银行账户洗钱。超过四分之一的被盗比特币被送到了靠近朝鲜边境的一家银行。 韩国警方没收了 Andariel 在韩国使用的服务器，并搜查了嫌疑人的住所和设备。A女士是香港一家货币交易所的前雇员，她否认参与洗钱活动，称她提供账户只是“为了方便”。 朝鲜黑客利用一个本地 IP 地址进行攻击，导致一家国内服务器租赁公司向身份不明的客户提供服务。这使得在2022年12月至2023年3月期间，黑客使用该服务器至少83次得以躲避检测。 警方在查获服务器后，确认了国防企业、金融企业、研究机构、制药企业等被黑客攻击的事实，其中约 1.2TB 的文件被盗，其中可能包含重要的技术和资料，包括证书。 警方的报告中写道：“一些公司没有意识到损失，一些公司由于担心企业信任度下降而没有向警方报告损失。” 据《韩国时报》报道，一些被盗的关键数据包括防空激光技术。 Andariel 被认为是朝鲜最臭名昭著的网络犯罪组织 Lazarus 的一个分支。Andariel 至少从2009年开始活跃，主要针对韩国政府机构、军事组织和各种公司进行破坏性攻击。Andariel 参与了针对银行和加密货币交易所的网络金融行动。该团伙由朝鲜的主要情报机构侦察总局控制。 网络新闻已经报道，朝鲜支持的黑客在六年内窃取了 30 亿美元的加密货币。加密货币盗窃和赎金一直是该政权的主要收入来源，特别是为军事和武器计划提供资金。 美国联邦调查局今年早些时候表示，朝鲜据称拥有 6000 名黑客，并利用他们获取经济利益和情报。     Hackernews 编译，转载请注明出处 消息来源：cybernews，译者：Serene

Austal USA会同意勒索者的条件吗？ 美国国防部 ( DoD ) 和美国国土安全部 ( DHS ) 的造船商和承包商 Austal USA 已确认其是网络攻击的受害者，目前正在调查该事件。 Austal 总部位于澳大利亚，专注于高性能铝制船舶。其美国分公司 Austal USA 参与了多个大型项目。其中包括向美国海军交付独立级濒海战斗舰，该舰长127米，每艘造价3.6亿美元。此外，奥斯塔现有一份价值33亿美元的合同，为美国海岸警卫队建造11艘巡逻艇。 12月6日，敲诈勒索黑客组织Hunters International表示，它已渗透到Austal USA的系统，并在其网站上发布了一些信息作为入侵的证据。 在回应置评请求时，公司发言人证实了此次攻击： “我们最近发现我们系统的安全性受到了损害。我们能够迅速消除该事件的后果。 包括联邦调查局 (FBI) 和海军犯罪调查局 (NCIS) 在内的监管机构立即收到有关此问题的通知，并正在帮助我们确定攻击者访问的原因和信息量。 没有个人信息或任何绝密数据被盗。我们正在与当局密切合作，并将在获得新信息后继续向受该事件影响的所有相关方通报最新情况。 奥斯塔美国公司认识到事件的严重性以及我们作为国防部和国土安全部承包商所承担的特殊责任。我们的调查正在进行中，我们将努力彻底调查这一事件，以防止将来再次发生这种情况。” 猎人国际威胁将在未来几天公布更多从奥斯塔系统窃取的数据，包括合规声明、招聘信息、财务数据和证书。 奥斯塔美国公司没有透露黑客是否获得了工程图和有关美国海军独特技术的其他信息。 猎人国际是一个全新的敲诈勒索组织。一些专家认为，这是对最近停止运营的 Hive 团伙的“品牌重塑”。该理论基于对与 Hive 代码可疑相似的恶意软件代码的分析。 该组织否认所有指控，声称他们只是获得了勒索软件源代码。据攻击者称，加密并不是他们攻击的最终目标——主要目的是窃取数据并将其用作向受害者勒索赎金的手段。 该组织的泄密网站目前包含来自世界不同行业和地区的十几名受害者。   转自安全客，原文链接：https://www.anquanke.com/post/id/291741 封面来源于网络，如有侵权请联系删除

俄罗斯 APT28 军事黑客利用 Microsoft Outlook 0day漏洞攻击多个欧洲北约成员国，其中包括北约快速部署部队。 Palo Alto Networks Unit 42 的研究人员观察到，APT28 军事黑客在大约 20 个月的时间里，针对 14 个国家的至少 30 个组织开展了三场活动，利用了 CVE-2023-23397 漏洞，这些组织被认为对俄罗斯军方和政府可能具有战略情报意义。 俄罗斯黑客还被追踪为“Fighting Ursa”、“Fancy Bear”和“Sofacy”，他们之前曾与俄罗斯主要情报局（GRU）（该国的军事情报机构）有联系。 2022 年 3 月，即俄罗斯入侵乌克兰三周后，他们开始利用 Outlook 安全漏洞作为0day漏洞武器，以乌克兰国家移民局为目标。 2022 年4 月中旬至 12 月期间，他们侵入了欧洲约 15 个政府、军事、能源和交通组织的网络，窃取了可能包含支持俄罗斯入侵乌克兰的军事情报的电子邮件。 尽管微软在一年后（即 2023 年 3 月）修补了该0day漏洞，但 APT28 运营商仍在继续利用 CVE-2023-23397 漏洞窃取凭证，从而允许他们在受感染的网络中横向移动。 5 月份，当影响所有 Outlook Windows 版本的绕过(CVE-2023-29324) 出现时，攻击面进一步增加。 APT28恶意Outlook任务请求 目标是北约快速部署部队 今天，Unit 42 表示，在受到攻击的欧洲国家中，所有已确定的国家都是目前的北大西洋公约组织 (NATO) 成员国，但不包括乌克兰。 至少一支北约快速部署军（能够快速部署指挥北约部队的高度戒备部队总部）成为目标。 此外，除了欧洲国防、外交和内政机构之外，APT28 的重点还扩展到涉及能源生产和分配、管道基础设施运营以及材料处理、人员和航空运输的关键基础设施组织。 “对目标使用0day漏洞表明它具有重要价值。这也表明当时该目标的现有访问权限和情报不足。”Unit 42 表示。 在第二次和第三次行动中，Fighting Ursa 继续使用已经被归咎于他们的众所周知的漏洞，而没有改变他们的技术。这表明这些行动所产生的访问和情报超过了公开活动和发现的后果。 “出于这些原因，所有三项活动中针对的组织很可能比俄罗斯情报部门的正常优先级更高。” 10月，法国网络安全机构（ANSSI）披露，俄罗斯黑客利用Outlook安全漏洞攻击法国各地的政府机构、企业、教育机构、研究中心和智库。 本周，英国和五眼情报联盟的盟友还将一个被追踪为 Callisto Group、Seaborgium 和 Star Blizzard 的俄罗斯威胁组织与俄罗斯联邦安全局 (FSB) 的“Centre 18”部门联系起来。 微软的威胁分析师通过禁用攻击者用于监视和收集电子邮件的 Microsoft 帐户，挫败了针对多个欧洲北约国家的 Callisto 攻击。 美国政府现在悬赏 1000 万美元，征集有关 Callisto Group 成员及其活动的信息。   转自会杀毒的单反狗，原文链接：https://mp.weixin.qq.com/s/pmzdPzxnIWEM4anpJ65Abw 封面来源于网络，如有侵权请联系删除

自巴以冲突爆发以来，齐夫医疗中心已遭受三次袭击。 一个据信与伊朗有关的黑客组织声称从以色列齐夫医疗中心医院窃取了数千份医疗记录。据他们称，被盗数据包括以色列军事人员的记录。 位于叙利亚和黎巴嫩边境附近萨法德市的医院遭到袭击，导致去年的 500 GB 数据遭到未经授权的访问。这些数据包括约 70 万份文档，其中包含患者的个人和医疗信息，例如疾病类型和处方药物。 在他们的Telegram频道中，一个自称 Malek Team 并声称对此次袭击负责的组织开始发布文件，其中包括来自以色列武装部队 ( IDF ) 的据称数据。 医院遭到袭击的日期没有具体说明，但以色列国家网络安全局上周 警告称 ，齐夫医疗中心计算机系统受到影响。 声明称，事件很快被发现并得到遏制，没有影响医疗中心的工作。作为预防措施，医院暂时关闭了电子服务器和部分计算机系统。 安全团队已展开调查，以确定黑客所说的信息泄露事件是否真的发生过。不过，这项调查的结果尚未公布。 据 以色列报纸《耶路撒冷邮报》报道，这是过去四个月内对 Ziv 医疗中心的第三次网络攻击。据当地媒体报道，医院和以色列数据保护机构承认，医院系统存在信息泄露的迹象。 以色列当局禁止使用、转移或传播任何被盗信息，并宣布打算对参与这一事件的所有人提出指控。 Malek Team 黑客还声称对以色列其他目标的网络攻击负责，其中包括小野学院以及一些以色列技术和媒体公司。 黑客公布了大量被盗数据的证据，包括大学课程和候选人采访的视频，以及受害者护照和文件的扫描件。这些数据的真实性尚未得到独立评估。 在以色列和巴勒斯坦军事组织哈马斯之间的冲突中，网络攻击的数量呈指数级增长。在这方面，以色列的医院和其他医疗机构应更好地保护其网络安全，以保护患者的机密信息免受恶意者的侵害。   转自安全客，原文链接：https://www.anquanke.com/post/id/291680 封面来源于网络，如有侵权请联系删除

间谍软件已在该设施的网络中隐藏了 8 年。 英国塞拉菲尔德核设施的IT系统遭到黑客攻击。 《卫报》的一项调查 发现，该工厂的高级员工经常隐瞒有关袭击的信息。目前尚不清楚这些系统何时首次遭到破坏，但第一次违规行为是在 2015 年发现的。在塞拉菲尔德网络中发现了休眠的恶意软件，该恶意软件至今仍可用于间谍活动。 黑客可能已经获得了该设施中最敏感的材料。由于塞拉菲尔德未能及时向监管机构发出警报，丢失的数据和持续存在的系统风险的全部范围仍然未知。 调查还发现该设施长期存在网络安全缺陷。2013年，发现对Sellafield服务器的外部访问，引起了严重关注。据消息人士透露，塞拉菲尔德不符合高网络安全标准，目前正受到更严格的监管审查。 塞拉菲尔德是世界上最危险的核设施之一，占地6平方米。位于坎布里亚郡海岸数千公里处，拥有地球上最大的钚储量，以及武器计划和数十年核能生产产生的大量核废料堆。 该设施由武装警察把守，并存放着发生外国袭击或灾难时的应急计划文件。核监管办公室 (ONR) 证实塞拉菲尔德不符合网络安全标准，但拒绝就数据泄露或掩盖指控发表评论。   转自安全客，原文链接：https://www.anquanke.com/post/id/291692 封面来源于网络，如有侵权请联系删除

Hackernews 编译，转载请注明出处： 个人基因公司 23andMe 周二证实，黑客使用窃取的密码访问了约 690 万会员的个人信息。 23andMe 的一名发言人在回答法新社的询问时表示，虽然黑客只能进入大约1.4万个账户，占该公司客户的0.1%，但他们能够看到 23andMe 基因相关亲属共享的信息。 23andMe 正在通知受影响的客户，并通过要求用户重置密码和设置双重身份验证方法来加强账户安全。 该公司表示，10月初，他们发现数据窃贼已经进入了由从其他网站回收的登录信息保护的账户。这位发言人表示：“没有任何迹象表明我们的系统出现了漏洞或数据安全事件，也没有迹象表明 23andMe 是这些攻击中使用的账户凭证的来源。” 据 23andMe 称，在被黑的 690 万个账户中，有 550 万个包含基因匹配信息，如果用户提供的话，可能还包括出生日期和地点。另外 140 万个被黑客入侵的账户被限制访问一些 DNA 档案信息，作为“家谱”功能的一部分。 23andMe 公司成立于2006年，总部位于加州山景城，谷歌的总部也在这里。     Hackernews 编译，转载请注明出处 消息来源：securityweek，译者：Serene

Hackernews 编译，转载请注明出处： 微软周一表示，与俄罗斯军事情报部门有关的黑客仍在积极利用微软软件的一个漏洞，获取受害者的电子邮件。 研究人员在3月份的一份报告的更新中表示，被微软追踪为 Forest Blizzard，同时也被称为 Fancy Bear 及 APT28 的黑客，早在2022年4月就试图利用该漏洞未经授权访问微软 Exchange 服务器内的电子邮件帐户。 该漏洞被追踪为 CVE-2023-23397，它影响 Windows 设备上所有版本的 Microsoft Outlook 软件。 今年春天，俄罗斯黑客利用该漏洞攻击了“欧洲政府、交通、能源和军事部门的部分组织”，微软对此进行了修补。 研究人员说:“用户应该确保微软的 Outlook 安装了补丁，并保持更新，以减轻这种威胁。” 波兰网络司令部与微软合作调查了这些攻击，该司令部表示，成功的攻击可以让黑客访问受害者的电子邮件通信。在波兰网络安全机构调查的案件中，黑客利用 Outlook 的漏洞进入了包含“高价值信息”的邮箱。 根据微软的说法，当攻击者向用户发送特制的消息时，攻击就开始了。如果 Windows 设备上的 Outlook 打开，用户甚至不需要与此消息交互。利用该漏洞几乎不会留下痕迹，因此很难检测到黑客活动。 Fancy Bear 被网络安全研究人员称为高级持续威胁(APT)组织，主要针对美国、欧洲和中东的政府、能源、交通和非政府组织。该组织与俄罗斯军事情报机构(GRU)有关。 去年10月，法国指责该组织以大学、企业、智库和政府机构为目标。今年9月，该组织曾试图袭击乌克兰的一个重要能源设施。 黑客通常利用公开可用的漏洞。除了微软的 Outlook 漏洞，他们还瞄准了 WinRAR 的工具，以进行鱼叉式网络钓鱼操作，主要针对乌克兰政府目标。 微软表示，该组织“资源充足，训练有素”，这对“归因和追踪其活动构成了长期挑战”。波兰网络司令部表示，该组织对微软 Exchange 邮件系统的架构和机制有着高度的复杂性和深入的了解。     Hackernews 编译，转载请注明出处 消息来源：therecord，译者：Serene

近日，一个名为 “AeroBlade “的全新网络间谍黑客组织“浮出水面”。 BlackBerry公司发现该黑客组织以美国航空航天领域的组织为目标，陆续发起了两次攻击：第一次是在2022年9月的一次测试浪潮，第二次是今年7月发起的一次更高级别的攻击。 攻击利用了鱼叉式网络钓鱼和武器化文件实现对企业网络的初始访问，并投放能够列出文件和窃取数据的反向外壳有效载荷。 BlackBerry公司评估后认为，该黑客组织的攻击目标是商业网络间谍活动，旨在收集有价值的信息，可信度为中高。 攻击活动详情 AeroBlade 的首次攻击发生在 2022 年 9 月，它使用带有文档 (docx) 附件的钓鱼电子邮件，利用远程模板注入下载第二阶段的 DOTM 文件。 第二阶段执行恶意宏，在目标系统上创建反向shell，并连接到攻击者的命令和控制（C2）服务器。 向受害者展示的诱饵文件 BlackBerry方面表示，一旦受害者通过手动点击 “启用内容 “引诱信息打开并执行该文件，[redacted].dotm 文件就会谨慎地向系统投放一个新文件并打开它。用户新下载的文件是可读的，这就能够让受害者相信最初通过电子邮件收到的文件是合法的。 AeroBlade的攻击链 反向外壳有效载荷是一个严重混淆的 DLL 文件，它会列出被入侵计算机上的所有目录，以帮助操作员计划下一步的数据盗窃行动。 DLL 文件具有反分析机制，包括沙箱检测、自定义字符串编码、通过死代码和控制流混淆提供反汇编保护，以及通过 API 散列掩盖 Windows 功能滥用。 该有效荷载还通过Windows任务调度程序在系统上建立持久性，添加一个名为“WinUpdate2”的任务，因此在被破坏设备上的立足点在系统重新启动后仍然存在。 早期的DLL有效载荷样本遗漏了2023样本中看到的大多数规避机制，以及列出目录和窃取数据的能力。 这表明黑客在继续改进其工具，以实施更复杂的攻击，而 2022 年的尝试则更侧重于测试入侵和感染链。 在这两次攻击中，最终有效载荷都是连接到相同 C2 IP 地址的反向shell，黑客在网络钓鱼阶段使用了相同的引诱文件。 BlackBerry公司无法确定 AeroBlade 的来源或攻击的确切目的。 但据研究人员推测，其目的是窃取数据进行出售，将其提供给国际航空航天竞争对手，或利用这些信息对受害者进行敲诈勒索。   转自Freebuf，原文链接：https://www.freebuf.com/news/385667.html 封面来源于网络，如有侵权请联系删除

Hackernews 编译，转载请注明出处： Rhysida 勒索软件组织声称入侵了伦敦爱德华七世国王医院，并将其添加到其Tor 泄露网站的受害者名单中。 爱德华七世国王医院是一家私立医院，位于伦敦市中心马里波恩区的博蒙特街。它是一家领先的急性和专科医疗保健提供商，专注于肌肉骨骼健康、泌尿科、女性健康和消化系统健康。该医院有着悠久的历史，可以追溯到1899年，当时由威尔士亲王(后来的爱德华七世国王)创建，为工人阶级提供高质量的医疗服务。 该组织声称窃取了包括王室在内的大量患者和员工的数据，并公布了被盗文件的图片作为黑客攻击的证据，泄露的图像包括医疗报告、登记表、X光片、医疗处方、医疗报告等等。 “独特的文件呈现在您的眼前! 来自王室的数据! 大量的病人和员工数据。 一次性出售!!” 泄露网站上的公告写道 该勒索软件组织声称窃取了大量“敏感数据”，并以10比特币的价格拍卖。像往常一样，Rhysida 计划将被盗数据出售给一个单一的买家。该团伙将在公告发布后的7天内公布相关数据。 最近，Rhysida勒索软件团伙还将大英图书馆和中国能源工程公司添加到其 Tor 泄露网站的受害者名单中。 Rhysida 勒索软件组织自2023年5月以来一直活跃。根据该团伙的 Tor 泄露网站，至少有 62 家公司是这次行动的受害者，他们袭击了多个行业的组织，包括教育、医疗、制造、信息技术和政府部门。 上周，FBI 和 CISA 发布了一份联合网络安全咨询，对 Rhysida 勒索软件攻击发出警告。该咨询是正在进行的#StopRansomware 工作的一部分，宣传有关与勒索软件组织相关的战术、技术和程序(TTPs)以及妥协指标(ioc)的信息。 有开源报告详细描述了 Vice Society (DEV-0832)活动与观察到的部署 Rhysida 勒索软件的黑客之间的相似之处。这份联合报告写道：“开源报告已经证实了观察到的 Rhysida 组织以勒索软件即服务(RaaS)的方式运作的实例，其中勒索软件工具和基础设施以利润分享模式出租，支付的赎金会在该组织和附属机构之间分配。” Rhysida 黑客利用面向外部的远程服务(例如 VPN、RDP)来获得对目标网络的初始访问并保持持久性。该组织依靠被破坏的凭据对内部 VPN 接入点进行身份验证。根据该报告，黑客利用微软 Netlogon 远程协议中的 Zerologon (CVE-2020-1472)进行网络钓鱼尝试。该组织依靠现有的技术，如本地(内置于操作系统中)网络管理工具来执行恶意操作。     Hackernews 编译，转载请注明出处 消息来源：securityaffairs，译者：Serene

Bleeping Computer 网站消息，洛杉矶地区法院判处 25 岁的 Amir Hossein Golshan 八年监禁，并勒令其支付 120 万美元赔偿金。据悉，Golshan 罪名涉及 SIM 卡交换、商家欺诈、支持欺诈、账户黑客攻击和加密货币盗窃。 023 年 7 月 19 日，Golshan 承认曾劫持一位知名社交媒体影响者的 Instagram 账户，还供认出在 2019 年 4 月至 2023 年 2 月期间，实施了一系列诈骗活动。 美国司法部在公告中表示，至少从 2019 年 4 月到 2023 年 2 月开始，Golshan 精心策划、实施了多起在线欺诈活动，通过各种在线骗局和未经授权的非法访问，入侵了多个受害者的数字账户，共诈骗数百名受害者。 此外，公告还披露 Golshan 使用的手段包括社交媒体账户接管、Zelle支付欺诈和冒充苹果支持，几年来，Golshan 的诈骗活动总共给数百名受害者造成了约 74 万美元的损失。 Golshan 通过虚拟 VPN 隐藏身份 从披露的案件详情来看，Golshan 进行欺诈活动时多次试图通过使用 VPN（虚拟专用网络）工具和多个账户名来隐藏自己的身份。随着时间推移，Golshan 逐渐“磨练”了自身“技艺”，成功策划多起越来越复杂的网络犯罪。 Golshan 曾通过社会工程学，成功说服了包括 T-Mobile 在内的运营商将合法用户的手机号码转移到他自己的 SIM 卡上，这使得他可以轻松绕过基于短信的双因素身份验证（2FA），从而劫持受害者的社交媒体账户。 以 2021 年 12 月发生的一起备受瞩目的案件中为例，Golshan 从一位被其劫持的好友的账户联系上了一位洛杉矶模特，并通过 SIM 卡交换劫持了她的 Instagram 账户。 接下来，Golshan 滥用了对该账户的访问权限，给模特的许多朋友发信息，要求他们向其控制的 Zelle 和 PayPal 账户汇款。不仅如此，Golshan还以删除模特的社交媒体账户为要挟，敲诈其 2000 美元。 其他案件中，Golshan 通过宣传 Instagram 验证服务，诱骗受害者向其支付 300 至 500 美元不等的费用，以换取账户上的验证徽章。据估计，通过上述骗局，Golshan 从大约 500 名受害者身上“赚取”了 8.2 万美元。 此后，2022 年 8 月，这名“多产”的骗子 Golshan 冒充苹果公司支持人员，在未经授权的情况下访问苹果 iCloud 账户。Golshan 欺骗受害者，让这些人相信他能够加强账户安全，诱骗受害者“分享出”六位数的安全码，以此轻松绕过现有的保护措施。 通过访问受害者的 iCloud 存储，Golshan 轻松窃取了大量的数字资产，其中主要包括价值 31.9 万美元的 NFT 和价值 7 万美元的加密货币。随后，Golshan 在 NFT 市场上以 13 万美元的价格转售了这些资产。 网络安全专家指出，想要抵御 SIM 卡交换攻击，用户需要激活运营商的号码移植安全功能，使用物理安全密钥或验证器应用程序取代短信验证，并尽量减少在网上共享一些敏感信息。 目前，美国联邦通信委员会（FCC）通过了保护消费者免受 SIM 卡交换攻击的新规定，此举可能会使使欺诈性号码转移变得相对困难。   转自Freebuf，原文链接：https://www.freebuf.com/news/385302.html 封面来源于网络，如有侵权请联系删除