HackerNews 编译，转载请注明出处： 周四，美国司法部（DoJ）宣布，在一项获得法庭授权的执法行动中，成功捣毁了多个物联网（IoT）僵尸网络（如 AISURU、Kimwolf、JackSkid 和 Mossad）所使用的命令与控制（C2）基础设施。 此次行动中，加拿大和德国的相关部门也对这些僵尸网络背后的操控者展开了打击。同时，包括阿卡迈（Akamai）、亚马逊网络服务（Amazon Web Services）、Cloudflare、DigitalOcean、谷歌、Lumen、诺基亚（Nokia）、奥克塔（Okta）、甲骨文（Oracle）、贝宝（PayPal）、SpyCloud、Synthient、Team Cymru、Unit 221B 在内的多家私营企业，也协助参与了调查工作。 美国司法部表示：“这四个僵尸网络针对全球范围内的受害者发动了分布式拒绝服务（DDoS）攻击。其中一些攻击流量高达约 30 太比特每秒，堪称破纪录的攻击。” 上个月，Cloudflare 在一份报告中将 2025 年 11 月发生的一次规模达 31.4 Tbps 且仅持续 35 秒的大规模 DDoS 攻击归因于 AISURU/Kimwolf。截至去年年底，据评估，该僵尸网络还发动了超大规模的 DDoS 攻击，平均每秒可达 30 亿数据包（Bpps）、4 Tbps 流量以及每秒 5400 万请求（Mrps）。 独立安全记者布莱恩・克雷布斯（Brian Krebs）还追踪到 Kimwolf 的管理员是来自加拿大渥太华的 23 岁男子雅各布・巴特勒（又名多特）。巴特勒告诉克雷布斯，自 2021 年起他就不再使用 “多特” 这个身份，并称在自己的旧账户遭入侵后，有人一直在冒充他。 巴特勒还称：“由于患有自闭症，在社交方面存在困难，他大多时候都待在家里帮母亲做家务。” 据克雷布斯透露，另一名主要嫌疑人是一名居住在德国的 15 岁少年。目前尚未有逮捕行动的相关消息公布。 该僵尸网络已将超 200 万台安卓设备纳入其网络，其中大部分是受感染的杂牌安卓电视。总体而言，这四个僵尸网络估计在全球范围内感染了不少于 300 万台设备，包括数字视频录像机、网络摄像头或无线路由器等，其中在美国就有数十万台。 美国司法部指出：“Kimwolf 和 JackSkid 僵尸网络被指控针对并感染那些通常与互联网其他部分隔离‘防火墙保护’的设备。受感染的设备被僵尸网络操控者控制。随后，操控者采用‘网络犯罪即服务’模式，将受感染设备的访问权限出售给其他网络犯罪分子。” 这些受感染的设备随后被用于对全球范围内的目标发动 DDoS 攻击。法庭文件指控，这四个 Mirai 僵尸网络变种已发出数十万条 DDoS 攻击指令： AISURU：超 20 万条 DDoS 攻击指令 Kimwolf：超 2.5 万条 DDoS 攻击指令 JackSkid：超 9 万条 DDoS 攻击指令 Mossad：超 1000 条 DDoS 攻击指令 亚马逊网络服务（AWS）副总裁兼杰出工程师汤姆・肖尔（Tom Scholl）在领英（LinkedIn）上发布的一篇文章中表示：“Kimwolf 代表了僵尸网络运作和扩展方式的根本性转变。与传统僵尸网络在开放互联网中扫描易受攻击设备不同，Kimwolf 利用了一种全新的攻击途径：住宅代理网络。通过受感染设备（包括流媒体电视盒和其他物联网设备）渗透家庭网络，该僵尸网络得以访问通常由家用路由器保护免受外部威胁的本地网络。” 阿卡迈表示，这些超大规模的僵尸网络发动的攻击流量超过 30 Tbps、每秒 140 亿个数据包以及每秒 300 万个请求，并补充说，网络犯罪分子利用这些僵尸网络发动了数十万次攻击，在某些情况下还向受害者索要勒索款项。 这家网络基础设施公司称：“这些攻击可能会严重破坏核心互联网基础设施，导致互联网服务提供商（ISP）及其下游客户的服务严重降级，甚至使高容量的基于云的缓解服务不堪重负。” 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 德国联邦情报局（BND）前副局长阿恩特・弗赖塔格・冯・洛林霍芬（Arndt Freytag von Loringhoven）成为 Signal 网络攻击的目标，这是一系列针对德国官员和政客的攻击浪潮的一部分。 一场针对 Signal 和 WhatsApp 用户的网络攻击，波及了德国高级官员，其中包括前 BND 副局长阿恩特・弗赖塔格・冯・洛林霍芬。这位官员报告称，有人冒充 Signal 客服联系他，并索要他的个人识别码（PIN）。这一事件凸显了一场针对安全机构和政治要职敏感人员的广泛网络间谍活动。 《明镜》周刊（SPIEGEL）发布的报道称：“他绝非全球针对 Signal 和 WhatsApp 用户账号攻击浪潮中唯一的知名受害者。据《明镜》周刊了解，德国高级政客已向当局报案称自己是受害者，安全机构的在职官员也遭到了攻击。” 早在 2 月，德国联邦宪法保卫局（BfV）和联邦信息安全办公室（BSI）就将此次攻击归类为 “与安全相关”，并敦促受影响人员站出来。BfV 表示，这一警告得到了 “高度响应”，且他们认为这避免了更严重的损害。 德国当局警告 Signal 用户检查可疑迹象，比如在 “已配对设备” 下列出的未知设备，或者意外收到的重新注册账号提示。 以前 BND 官员阿恩特・弗赖塔格・冯・洛林霍芬的情况为例，攻击者利用他被盗取的账号向其联系人发送恶意链接。他迅速警告联系人不要打开链接，并删除了自己的账号。调查人员认为，这起事件是与俄罗斯有关的持续混合攻击行动的一部分。鉴于洛林霍芬曾研究俄罗斯混合战争，还著有《普京对德国的攻击》一书，他很可能被视为高价值目标。 Signal 方面表示，近期的这些事件是有针对性的网络钓鱼攻击，攻击者借此劫持官员和记者的账号。该公司强调其加密技术和基础设施并未受损，仍然安全。Signal 在 X 平台（原推特）上发文称：“我们知晓近期有关针对性网络钓鱼攻击导致部分 Signal 用户（包括政府官员和记者）账号被劫持的报道。我们对此高度重视。需要明确的是：Signal 的加密技术和基础设施并未受损，依然稳固。” Signal 警告称，此类攻击依赖社会工程学手段，攻击者冒充可信联系人或假冒客服，诱骗用户分享验证码或 PIN 码。该公司强调绝不会通过消息或社交媒体索要这些信息，并敦促用户保持警惕，切勿分享登录验证码。 3 月初，荷兰情报机构（军事情报和安全局 MIVD 以及荷兰安全情报局 AIVD）发出警告，称存在一场由与俄罗斯有关的威胁行为者发起的全球行动，目标是入侵 Signal 和 WhatsApp 账号。此次行动的目标包括政府官员、公务员和军事人员，凸显了国家安全相关人员敏感通信面临的日益增长的网络风险。 荷兰情报机构发布的警报称：“俄罗斯国家黑客正在开展一场大规模全球网络行动，试图获取政要、军事人员和公务员的 Signal 和 WhatsApp 账号。荷兰军事情报和安全局 MIVD 以及荷兰安全情报局 AIVD 可以证实，此次行动的目标和受害者包括荷兰政府雇员。荷兰情报机构还认为，俄罗斯政府感兴趣的其他人员，如记者，也可能成为此次行动的目标。” 俄罗斯网络间谍通过诱骗用户透露验证码，从而劫持 Signal 和 WhatsApp 账号。他们冒充 Signal 客服，或利用 “关联设备” 功能，获取消息和聊天群组的访问权限，这可能导致政府和军事目标的敏感信息泄露。 荷兰情报机构警告称，俄罗斯之所以瞄准 Signal，是因其强大的端到端加密功能，俄罗斯企图借此获取敏感的政府通信内容。官员们强调，Signal 和 WhatsApp 等应用不应被用于传输机密或保密信息。 政府专家指出，攻击者并非利用应用程序漏洞，而是滥用 Signal 和 WhatsApp 的合法功能。官员们表示，只有个别账号成为攻击目标，而非平台本身。 荷兰情报机构建议 Signal 用户仔细监控群组聊天，留意账号被入侵的迹象。如果同一联系人以相同或稍有改动的名字出现两次，这可能表明账号已遭入侵，或者是受害者新创建的账号。用户应向所在组织的信息安全团队报告可疑情况，并通过电子邮件或电话等其他渠道核实账号。群组管理员应移除任何未经授权的账号，之后合法成员可重新加入。受攻击者控制的账号可能会更改显示名称，例如改为 “已删除账号”，或者通过共享群组链接加入，从而触发通知。用户应警惕不熟悉的成员和异常的账号行为。如果怀疑群组管理员账号已遭入侵，建议离开该聊天群组并创建新群组，以确保群组内通信的安全性和完整性。 2025 年 2 月，谷歌威胁情报小组（GTIG）的研究人员发出警告，称多个与俄罗斯有关的威胁行为者正瞄准俄罗斯情报部门感兴趣人员使用的 Signal Messenger 账号。专家推测，针对 Signal 所采用的策略、技术和流程在短期内仍会普遍存在，且可能会在乌克兰以外的地区实施。 俄罗斯黑客利用 Signal 的 “关联设备” 功能，通过特制的二维码将受害者账号关联到攻击者控制的设备上，进而进行监视。 GTIG 发布的报告称：“俄罗斯方面试图入侵 Signal 账号时，最新颖且广泛使用的技术是滥用该应用程序合法的 ‘关联设备’ 功能，该功能允许 Signal 在多个设备上同时使用。由于添加关联设备通常需要扫描二维码，威胁行为者便制作恶意二维码，受害者扫描后，其账号就会与攻击者控制的 Signal 实例关联。如果成功，后续消息将实时同步发送给受害者和威胁行为者，这为攻击者提供了一种持续监听受害者安全对话的方式，而无需完全入侵设备。” 研究人员还报告称，与俄罗斯和白俄罗斯有关的威胁行为者能够使用脚本、恶意软件和命令行工具，从安卓和 Windows 设备上窃取 Signal 数据库文件，以实现数据渗出。 消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子借助谷歌搜索广告实施诱骗，让 Mac 用户访问声称可清理设备的虚假网站。 当用户在谷歌中搜索“mac cleaner”或“clear cache macos”等常见关键词时，此类推广广告就会出现，乍一看极具迷惑性。 广告落地页模仿苹果官方网站设计，不仅布局相似，还配有一致的导航菜单。但在专业外观的伪装下，潜藏着针对不知情 Mac 用户的恶意攻击阴谋。 攻击者已在 Medium 及谷歌自有服务等平台发布虚假帖子，传播恶意操作指令，黑客可通过这些指令完全控制受害者设备。 整个攻击活动利用了一种简单却高效的策略：用户普遍信任谷歌的广告审核机制，并且对苹果的设计语言感到熟悉和安心。 用户点击广告后会被重定向至相关页面，页面中充斥着看似专业的操作指引，内容涉及释放磁盘空间、安装系统更新等。 MacKeeper 分析师确认，威胁行为者是通过劫持的谷歌广告账户开展此次攻击活动，且疑似已入侵 Nathaniel Josue Rodriguez 等个人及 Aloha Shirt Shop 等企业的合规广告账户。 恶意软件感染流程 该攻击的核心是一条看似简单却极具破坏力的指令，且该指令被伪装成合规的系统维护操作。 当用户按照页面指示，将提供的命令复制并粘贴到Mac的“终端”应用程序中执行时，便会在无意间触发一次远程代码执行攻击。 该指令链以 “清理 macOS 存储空间”“正在安装组件，请等待” 等看似无害的语句开头，这些均为社会工程学手段，目的是让用户确信自己在执行常规维护操作。 在这些友好提示的背后，隐藏着一段经过Base64编码的文本，其中包含了真实的攻击代码。 系统会通过 base64 命令解码该隐藏文本，解码后文本将转化为实际的 shell 命令，在用户毫不知情且未授权的情况下，从远程服务器下载恶意脚本。 脚本下载后，便会以当前用户的完整权限运行，使得攻击者能够执行多种恶意操作，包括：安装恶意软件、窃取SSH密钥、创建系统后门、进行加密货币挖矿、窃取个人文件，乃至修改关键系统设置。 攻击者还采用了多种混淆技术来隐藏命令实际连接的目的地，从而增加了安全检测的难度。这种伪装下载并自动执行的模式，在专业级的恶意软件活动和供应链攻击中屡见不鲜。 MacKeeper的研究人员已成功识别出这些危险广告并向谷歌报告。目前，谷歌已采取行动，将这些恶意广告从搜索结果中移除。 消息来源:cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 2026年1月20日，安全研究人员确认了一起针对MicroWorld Technologies公司eScan杀毒产品的严重供应链攻击事件。黑客疑似利用厂商合法的更新通道，向用户推送了恶意更新。 根据Morphisec威胁实验室今日发布的研究报告，此次事件导致多阶段恶意软件被分发给全球范围内的企业和个人用户终端。 据悉，这些恶意更新包使用了被盗的eScan代码签名证书进行数字签名，这使得它们看起来合法，轻易绕过了系统常规的信任验证机制。恶意软件一旦成功部署，便会建立持久化驻留，开启远程访问功能，并会主动阻止受感染主机接收任何后续的更新。 多阶段恶意软件内置反清除机制 整个攻击链始于一个被植入了木马的32位eScan程序，该程序在软件更新过程中替换了原有的正常组件。此初始载荷会释放更多恶意模块，包括一个下载器和一个能为攻击者提供受感染系统完全控制权的64位后门。本次攻击活动一个至关重要的特征是恶意软件内置了反清除机制。它通过修改Windows系统的hosts文件并篡改eScan相关注册表项，阻断了终端与eScan官方更新服务器的连接。这使得受感染的设备无法自动获取修复补丁。 恶意软件通过创建伪装成Windows磁盘碎片整理任务的计划任务，以及使用随机生成的GUID名称的注册表项来实现持久化。同时，下载器模块还会尝试与外部命令与控制（C2）服务器通信以获取更多攻击载荷，不过这些C2服务器的当前状态尚未明确。 检测、响应与处置建议 Morphisec称，其在恶意软件开始分发后的数小时内，就在部署了其防护方案的客户系统上检测并拦截了相关恶意活动。 据称，Morphisec在事发当日便联系了MicroWorld Technologies。eScan方面则表示，其通过内部监控发现了异常，在一小时内隔离了受影响的基础设施，并将全球更新系统离线了超过八小时以进行处理。 然而，Morphisec指出，尽管厂商声称已通过电话直接通知客户，但其客户仍需主动联系eScan技术支持才能获得具体的修复方案。 Infosecurity网站已就此事联系eScan寻求置评，但截至发稿前未获回复。Morphisec建议所有使用eScan产品的组织立即采取以下应对措施： ·在终端上搜索已知的恶意文件哈希值。 ·检查Windows\Defrag\目录下的计划任务，排查可疑项。 ·审查注册表中那些包含编码数据、以GUID格式命名的键值。 ·封锁已识别的C2域名。 ·立即吊销对涉事被盗eScan代码签名证书的信任。 对于未部署有效防护的系统，建议直接假定其已遭入侵，立即隔离受感染设备并进行全面的取证分析。截至本文发布，eScan官方尚未就此事件发布公开安全公告，相关调查据称仍在进行中。 消息来源:infosecurity-magazine.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软近日捣毁了一个名为RedVDS的流行网络犯罪订阅服务平台。据称，仅在美国，该平台就造成了超过4000万美元的诈骗损失。 微软助理总法律顾问史蒂文·正田表示，RedVDS为网络犯罪分子提供了一次性的虚拟计算机，这使得诈骗活动成本低廉、易于扩大规模且难以追踪。 作为一场与欧洲刑警组织和德国当局合作的更广泛国际执法行动的一部分，微软在美国和英国提起了民事诉讼。该公司与执法部门合作，查封了托管RedVDS市场和客户门户的两个域名，并采取措施追查该骗局背后的涉案人员。目前尚未公开任何嫌疑人姓名。 德国州刑事警察查封了一台用于运行RedVDS的服务器，使得该市场平台下线。 “RedVDS是一种在线订阅服务，属于日益增长的’网络犯罪即服务’生态系统的一部分，网络犯罪分子在此买卖服务和工具以大规模发起攻击，”正田说。”它提供对运行未授权软件的廉价、有效、一次性虚拟计算机的访问，使犯罪分子能够快速、匿名地跨境操作。” 网络犯罪分子每月仅需支付24美元即可访问该平台，并利用它发送钓鱼邮件、托管诈骗基础设施等。RedVDS自2019年开始存在，一直通过一家据称位于巴哈马的虚假公司公开运营。大多数客户使用比特币和其他加密货币购买该网站的服务。 正田解释说，仅在一个月内，微软就观察到超过2600个不同的RedVDS虚拟机向微软客户平均每天发送100万条钓鱼信息。虽然大部分信息被拦截，但仍有少量可能到达了目标收件箱。自9月以来，RedVDS支持的攻击”已导致全球超过130,000个组织中的超过191,000个微软电子邮件账户遭到入侵或被欺诈性访问”，他补充道。 微软与两家共同原告方一起提起了民事诉讼以关闭这些平台：一家是位于阿拉巴马州的制药公司H2 Pharma，另一家是佛罗里达州的Gatehouse Dock共管公寓协会。H2 Pharma遭遇的网络犯罪分子利用RedVDS窃取了超过730万美元，而该公寓协会则损失了居民和业主为维修贡献的约50万美元资金。 房地产诈骗 网络犯罪分子通常使用RedVDS进行支付转移欺诈，也称为商业电子邮件入侵。该平台允许威胁行为者侵入电子邮件账户、监控对话，并在支付或电汇发生前将自己插入邮件链中。通过冒充邮件链中的其他参与者，黑客能够在几秒钟内转移资金，远在组织意识到资金发送错误之前。 正田指出，RedVDS一直是房地产支付转移诈骗蔓延的关键推手。网络犯罪分子越来越多地针对房地产经纪人、托管代理或产权公司，窃取人们以为用于支付房屋首付款的数百万美元。”对于家庭和首次购房者来说，后果可能是毁灭性的，一次被转移的支付就可能耗尽毕生积蓄或彻底破坏购房计划，”正田说。”仅房地产领域，微软就观察到RedVDS支持的活动影响了超过9,000名客户，在加拿大和澳大利亚等国影响尤为严重。而且威胁远不止于房地产。RedVDS支持的诈骗已波及建筑、制造、医疗、物流、教育、法律服务等众多行业——扰乱了从生产线到患者护理的方方面面。” 微软观察到网络犯罪分子发送虚假发票或要求更改付款账户的电子邮件，并利用紧迫感迫使受害者尽快汇款。在某些情况下，他们发送虚假的未付发票，要求当天偿还债务。 RedVDS本身并不拥有物理数据中心，而是从美国、加拿大、英国、法国和荷兰的第三方托管提供商那里租用服务器。这使得网络犯罪分子能够从靠近受害者目标的IP地址发起攻击，从而绕过基于地理位置的安全过滤器。 欧洲刑警组织也协助捣毁了支持RedVDS客户的更广泛的服务器和支付网络。 “即用型”平台 微软表示，RedVDS是网络犯罪分子获取基于Windows的远程桌面协议服务器的途径，这些服务器具有完全管理员控制权且无使用限制。该公司最终追查到了数千条被盗凭证、从目标组织窃取的发票、群发邮件工具和钓鱼工具包，它们都指向该平台。 这些网络犯罪分子使用了几种不同的工具来验证大型电子邮件地址数据库、分类和清理邮件列表以及发送批量邮件，所有这些操作都是通过RedVDS实例完成的，他们还使用注重隐私的网页浏览器和VPN来隐藏身份。一些用户甚至部署了ChatGPT和其他OpenAI工具来撰写有说服力的英文电子邮件。 研究人员解释说：”一旦配置完成，这些克隆的Windows主机为攻击者提供了一个即用型平台，用于研究目标、部署钓鱼基础设施、窃取凭证、劫持邮箱，并以最小的阻力执行基于冒充的金融欺诈。威胁行为者受益于RedVDS无限制的管理员访问权限和微乎其微的日志记录，使得他们能够在没有有效监督的情况下操作。RedVDS服务器统一、一次性的特性使网络犯罪分子能够快速迭代攻击活动，自动化大规模投递，并迅速从初始目标选定转移到金融盗窃。” 与RedVDS相关的其他平台能生成PDF或HTML诱饵附件，自动化电子邮件发送周期，并创建看似合法网站的钓鱼域名。在30多天的时间里，微软发现了超过7,300个与RedVDS基础设施相关的IP地址，这些地址共同托管了超过3,700个用于冒充合法平台的域名。 当受害者在这些网站上输入他们的凭证时，RedVDS会协助提取令牌或Cookie，从而使网络犯罪分子能够绕过多因素身份验证。利用窃取的信息，攻击者登录邮箱，搜索任何涉及财务、发票或供应商的对话。 微软表示，这是该公司为关闭网络犯罪基础设施而采取的第35次民事诉讼行动。在2025年秋季，它采取了类似行动关闭了一个名为RaccoonO365的流行服务，该服务被网络犯罪分子用于窃取用户名和密码。至少有一名在尼日利亚的男子因运营RaccoonO365平台被捕。微软观察到的许多使用RaccoonO365钓鱼服务的网络犯罪分子也同时使用了RedVDS。     消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 在一次新的供应链攻击中，超过180个NPM包被一种自复制恶意软件击中，该恶意软件用于窃取机密、在GitHub上发布这些机密，并将私有仓库变为公开仓库。 作为攻击的一部分，黑客入侵了超过40个开发者账户，并在NPM注册表上发布了700多个恶意包版本。 这次攻击在9月15日被Loka高级软件工程师Daniel dos Santos Pereira发现，但攻击始于9月14日，当时只有不到十几个恶意包被发布。到当天结束时，大约有50个包版本被发布。 到了9月16日，这次被命名为Shai-Hulud的攻击（基于代码将机密信息转储到的公共仓库的名称）已经影响了超过180个包，Ox Security警告说。 一些受影响的包包括@ctrl/tinycolor（每周下载量超过200万）、ngx-bootstrap（每周下载量30万）、ng2-file-upload（每周下载量10万）以及多个CrowdStrike NPM包（这些包被立即移除）。 这些包被注入了一个post-install脚本，该脚本旨在获取TruffleHog机密扫描工具以识别和窃取机密，并收集环境变量和IMDS暴露的云密钥。 该脚本还会验证收集到的凭据，如果识别到GitHub令牌，就会使用它们创建一个公共仓库，并将机密信息转储到其中。 此外，它还会推送一个GitHub Actions工作流，将每个仓库中的机密信息泄露到一个硬编码的webhook（由于超出允许的回调限制而被停用），并将私有仓库迁移到标记为“Shai-Hulud迁移”的公共仓库。 网络安全公司Socket在GitHub上发现了超过700个带有Shai-Hulud迁移标签的公共仓库，这些仓库都是在攻击发生时创建的。 使用受害者受损账户创建的公共GitHub仓库来发布被盗机密，这与几周前的s1ngularity供应链攻击中看到的模式相似。事实上，安全公司Wiz表示，Shai-Hulud的首批受害者也是s1ngularity攻击的已知受害者。 使这次攻击与众不同的是恶意代码，它使用任何识别到的NPM令牌来枚举和更新受损害维护者控制的包，并将恶意post-install脚本注入其中。 “这次攻击是一种自我传播的蠕虫。当一个受损的包在受害环境中遇到额外的NPM令牌时，它将自动发布它可以访问的任何包的恶意版本，”Wiz指出。 根据StepSecurity对Shai-Hulud攻击流程的技术分析，该蠕虫针对Linux和macOS执行环境，并故意跳过Windows机器。 JFrog指出，相同的窃取数据的有效载荷的多个变体已被注入到受损包的恶意版本中。该代码被看到针对GitHub、NPM、AWS和Google Cloud凭证，以及Atlassian密钥和Datadog API密钥。 “尽管主要功能相同，但一些版本存在细微差异，表明攻击者在活动过程中进行了迭代调整。例如，一些版本将‘Shai-Hulud’仓库设为私有，隐藏起来避免被发现。另一个版本还试图窃取Azure凭证，”JFrog说。 根据GitGuardian的说法，作为这次攻击的一部分，共有278个机密被公开泄露，其中包括从本地机器收集的90个和通过恶意工作流被泄露的188个。大多数机密被迅速撤销，但仍有数十个，主要是GitHub API令牌，仍然有效。 安全公司警告说，恶意代码的自我传播潜力可能会使这场活动再持续几天。 为了避免被感染，用户应该警惕那些在NPM上有新版本但在GitHub上没有的包，并建议固定依赖项以避免意外的包更新。 Wiz表示，它没有观察到新的Shai-Hulud仓库的创建，但由于蠕虫通过使用受害者维护者的凭证来发布新包来自动化传播，任何受损账户都可能被用来重新启动攻击。 “这个循环允许恶意软件持续感染维护者可以访问的每一个包。每个发布的包都成为了一个新的传播载体：一旦有人安装它，蠕虫就会执行、复制，并进一步传播到生态系统中，”安全公司Aikido指出。 Wiz称Shai-Hulud是“迄今为止观察到的最严重的JavaScript供应链攻击之一”，而ReversingLabs警告说，NPM生态系统中的包依赖关系放大了活动的影响。 ReversingLabs表示，受影响的各方包括“科技公司创始人和首席技术官；提供软件开发服务的公司；为非营利组织工作的开发人员；在赌博硬件和软件以及创建办公开发套件的公司中担任技术领导的开发人员；人工智能公司的开发人员；安全供应商——包括一家领先的端点检测和响应（EDR）供应商；学生开发人员；以及其他每天依赖NPM构建软件的人。” 为了检测潜在的入侵，NPM用户被建议检查其GitHub账户下创建的新仓库或分支，搜索包含其组织名称的名为Shai-Hulud或Shai-Hulud迁移的公共仓库，审查GitHub审计日志，并查找可疑的API调用。 如果他们发现任何入侵迹象，用户应该撤销并重新发放所有GitHub和NPM令牌，以及SSH和API密钥、环境变量机密，并重新安装其仓库中的所有包。 Shai-Hulud是在s1ngularity攻击和最近Josh Junon（Qix）被入侵之后，针对NPM生态系统的第三次重大供应链攻击，Josh Junon是18个NPM包的维护者，这些包每周的总下载量超过25亿次。 “这些攻击并非异常，只要攻击向量仍然有效，就会继续发生。组织需要确切了解其软件环境中包含的内容，并在出现问题时做好采取行动的准备。这意味着审计依赖项，纳入软件材料清单（SBOM）以提供透明度并能够快速进行漏洞评估，通过特权访问管理实施强大的身份验证和访问控制，监控异常行为，并保护机密，以便被盗凭证不能被武器化，”Keeper Security首席信息安全官Shane Barney说。     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软已通过法院裁定，查封了 338 个与 “RaccoonO365” 服务相关的网站。该服务在网络犯罪分子中被广泛使用，专门用于窃取用户名和密码。 RaccoonO365 是一款订阅制钓鱼工具包，网络犯罪分子可借助它盗用微软品牌，制作伪造邮件、附件及网站，诱导受害者打开、点击恶意链接或下载恶意文档。 使用该服务的犯罪分子需每月支付约 365 美元订阅费，其每日攻击目标达 9000 个邮箱地址。此外，该工具包还提供规避多因素认证（MFA）防护的技术，以便窃取用户凭证，并持续获取受害者系统的访问权限。 在多数攻击案例中，诈骗邮件的附件会包含链接或二维码，点击或扫描后会跳转至带有验证码（CAPTCHA）的页面。受害者输入验证码后，将被引导至伪造的微软 Office 365（O365）登录页面，用户的账号凭证随即被窃取。   罪魁祸首 微软数字犯罪部门助理总法律顾问史蒂文・马萨达（Steven Masada）表示，RaccoonO365 工具包已在 94 个国家被用于窃取至少 5000 组微软账号凭证。 近一年来，多家公司的研究人员持续发出警告，指出 RaccoonO365 的滥用情况日益严重 —— 犯罪分子正越来越多地利用它发起商业邮件入侵等攻击。 马萨达警示，RaccoonO365 的开发规模与传播范围表明，“诈骗与网络威胁的数量可能正呈指数级增长”。该工具包的运营者会根据需求推出更新，最近还上线了一项基于人工智能（AI）的服务，帮助犯罪分子扩大攻击活动的规模。 马萨达透露，DCU 已确认尼日利亚公民约书亚・奥贡迪佩为RaccoonO365 的核心运营者。奥贡迪佩及其同伙在 Telegram上推广并销售该工具，相关群组约有 850 名成员。截至周二（报道发布当日），该群组仍在 Telegram 上保持活跃。 微软调查发现，RaccoonO365 的运营团伙通过约 100 份订阅服务，已收取至少 10 万美元加密货币。微软表示，这很可能只是该工具获利总额的一部分。 微软官方称，他们认为奥贡迪佩编写了 RaccoonO365 的大部分代码。调查人员通过发现一个秘密加密货币钱包，成功摸清了该犯罪活动的全貌。 马萨达指出：“奥贡迪佩及其同伙在这个网络犯罪组织中各司其职，分工明确 —— 他们共同开发并销售该服务，同时提供客户支持，协助其他犯罪分子从微软用户处窃取信息。” “为掩盖犯罪活动并躲避检测，他们使用虚构姓名和物理地址注册互联网域名，且这些虚假地址被伪造成位于多个国家和城市。” 微软已将奥贡迪佩的案件线索提交给国际执法机构。当被问及尼日利亚当局是否已收到相关通报时，微软发言人拒绝进一步说明。据称与奥贡迪佩关联的 LinkedIn（领英）页面显示，其所在地为贝宁城（尼日利亚城市）。   Cloudflare 的发现 Cloudflare 在其官方博客中表示，已发现相关证据（例如 Telegram 群组名称中包含俄语字母），表明该团伙与俄语网络犯罪分子存在合作。微软未证实是否有俄罗斯方面人员参与，仅称 “该服务的客户与受害者遍布全球”。 微软表示，其与 Cloudflare 合作，“迅速查封并拆除了该团伙的恶意基础设施”。 Cloudflare 在后续发布的事件复盘报告中称，RaccoonO365 的运营团伙 “滥用 Cloudflare 服务及其他基础设施供应商的资源，试图掩盖其钓鱼工具包的踪迹，躲避检测”。 Cloudflare 已下架数百个与该团伙相关的域名和账号。此外，Cloudflare 官方还发现，该团伙发起的多起钓鱼活动中，伪造了 Adobe、Maersk、DocuSign 等知名品牌的身份。 这些钓鱼活动中，大量文件被命名为看似来自财务或人力资源部门的文档、合同或发票。部分文档的标题中还会包含受害者的姓名，以进一步诱使其点击。 Cloudflare 表示，尽管微软已查封数百个 RaccoonO365 相关域名，但其自身也已在旗下平台上终止了该工具包的所有运营活动，并就其他打击行动与美国执法机构展开合作。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国联邦调查局（FBI）警告称，与Scattered Spider及ShinyHunters网络犯罪组织相关的黑客正通过攻击Salesforce平台窃取数据，并向受害组织勒索高额赎金。 该机构于周五发布紧急通告，披露了今年已影响数百家企业的一系列持续数据窃取活动。FBI将这些黑客同时标注为UNC6040和UNC6395两个编号，其常用代号分别为ShinyHunters和Scattered Spider。 在历时数月攻破多家全球大型企业后，这些黑客现正试图勒索受害组织——威胁泄露大量客户数据、商业文件等敏感信息。 FBI未透露具体有多少受害者收到要求加密货币支付的勒索邮件，但指出赎金金额差异巨大且勒索时机看似随机。部分勒索发生在数据外泄数日后，而有些则在数月后才启动。 据FBI调查，该攻击活动始于2024年10月，黑客成员通过社会工程学攻击联系呼叫中心并伪装成IT员工获取机构访问权限。此类手段通常使网络犯罪分子获得员工凭证，进而访问存有客户数据的Salesforce实例。在其他案例中，黑客还通过网络钓鱼邮件或短信控制员工手机或电脑。 今年夏季，黑客进一步升级战术，转而利用企业连接到Salesforce实例的第三方应用程序。“UNC6040威胁行为者诱骗受害者为组织Salesforce门户授权恶意关联应用，”FBI表示，“这使得他们能够直接从受侵的Salesforce客户环境中访问、查询和外泄敏感信息。” 8月，黑客开始瞄准Salesloft Drift应用程序——一款可与Salesforce集成的人工智能聊天机器人。FBI解释称，该战术使他们能够绕过多因素认证、登录监控和密码重置等传统防御措施。在某些案例中，FBI发现黑客通过在Salesforce试用账户中创建恶意应用程序，无需使用合法企业账户即可注册关联应用。 FBI提供了可用于检测是否受影响的入侵指标（IoC），并敦促企业针对相关战术对呼叫中心员工进行培训。该机构还建议企业限制几乎所有员工账户的权限，实施基于IP的访问限制，监控API使用等。 专家表示，FBI提供的信息显示了这些攻击者如何熟练滥用合法工具（如Azure云基础设施、虚拟服务器、Tor出口节点和代理服务）来隐藏其攻击源。 黑客“退休”疑云 FBI发布通告前夕，该组织曾在Telegram多次发文宣称即将“退休”，并将原因归咎于近期成员接连被捕、执法行动和刑事定罪。网络安全专家对此表示怀疑，指出网络犯罪组织常在重组更名前发布类似声明。有分析认为黑客可能意在享受近期勒索所得，之后仍将重返犯罪活动。 帕洛阿尔托网络公司Unit 42部门高级主管Sam Rubin表示，近期逮捕行动可能促使该组织暂时潜伏，但历史表明此类活动往往只是暂时的。“这类组织会分裂、改头换面后重新出现——正如ShinyHunters自身经历。即使公开活动暂停，风险依然存在，被盗数据可能再次浮现，未检测到的后门可能持续存在，攻击者可能以新名称重新出现。”他强调，“威胁组织的沉默不等于安全”。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 上周五，新西兰宣布对俄罗斯格鲁乌（GRU）情报机构下属29155单位（Unit 29155）实施制裁，因其涉嫌参与针对乌克兰实施网络攻击。此次制裁措施包括资产冻结、旅行禁令，并禁止新西兰公民和企业向指定实体提供资金。 据西方安全机构表示，29155单位涉嫌在欧洲参与间谍活动、破坏行动和暗杀阴谋。早在2022年莫斯科全面入侵乌克兰前夕，该单位就曾主导了对乌克兰政府网络的WhisperGate恶意软件攻击。新西兰外交部长温斯顿·彼得斯在声明中表示：“俄罗斯一直非法使用恶意软件攻击乌克兰政府网络。”但关于相关细节并未过多透露。乌克兰总统泽连斯基对此举表示欢迎，称新西兰最新对俄制裁是“对乌克兰的强力支持信号”。 根据美国多家联邦机构的联合咨询，自2022年以来，29155单位一直专注于通过破坏性网络行动、数据窃取以及在欧洲、北美、拉丁美洲和中亚的侦察活动来破坏外界对乌克兰的援助。2024年，美国司法部已起诉该单位的成员，并悬赏1000万美元征集定罪该单位的信息。 此前，这些黑客也已成为其他国家的制裁目标。今年1月，欧盟制裁了29155单位三名涉嫌成员，因其参与2020年对爱沙尼亚部委的网络攻击，窃取了数千份政府和企业机密文件。7月，英国制裁了包括29155单位在内的三个格鲁乌下属单位，指控其侦察行动协助了导致乌克兰平民死亡的袭击。     消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 科索沃国民利里顿·马苏里卡（Liridon Masurica）承认运营BlackDB.cc，这是一个自2018年以来一直活跃的网络犯罪市场。 2024年12月14日，科索沃当局逮捕了33岁的被告（在线也被称为@blackdb）。2025年5月9日，他被引渡到美国，并在5月12日于佛罗里达州坦帕出庭后被拘留。 根据法庭文件，马苏里卡是在线犯罪市场BlackDB.cc的主要管理员，该市场自2018年至2025年近七年来一直在运营。 司法部表示，该市场出售被入侵的账户和服务器凭据、被盗信用卡信息以及全球受害者的个人身份信息（PII），特别关注来自美国的个人。 网络犯罪分子购买了BlackDB市场上的这些敏感信息，用于各种非法活动，包括信用卡欺诈、税务欺诈和身份盗窃。 马苏里卡被控五项未经授权使用访问设备进行欺诈的罪名和一项共谋进行访问设备欺诈的罪名。如果所有罪名成立，BlackDB市场管理员可能面临最高55年的联邦监禁。 联邦调查局与科索沃警察网络犯罪调查局合作协调了调查，得到了司法部国际事务办公室和联邦调查局在索非亚的法律专员办公室的支持，后者协助将马苏里卡逮捕并引渡到美国。 2024年12月，一次联合执法行动导致Rydox网络犯罪市场被查封，并逮捕了其三名管理员，分别是科索沃国民阿尔迪特·库特莱希（Ardit Kutleshi）、杰特米尔·库特莱希（Jetmir Kutleshi）和申德·索科利（Shpend Sokoli）。几天前，德国执法人员在关闭该国最大的在线网络犯罪市场Crimenetwork和Manson市场后逮捕了关键嫌疑人。 今年早些时候，乌克兰当局应巴黎检察官办公室的请求，逮捕了俄语黑客论坛XSS的涉嫌管理员，就在法国据报道拘留了BreachForums黑客论坛的五名运营商一个月后。     消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文