HackerNews 编译，转载请注明出处： 勒索软件团伙目前正利用 VMware ESXi 漏洞 CVE-2025-22225，该漏洞已于 2025 年 3 月由Broadcom公司修复。美国网络安全与基础设施安全局（CISA）证实，勒索软件团伙正利用 VMware ESXi 沙箱逃逸漏洞 CVE-2025-22225 实施攻击。 该漏洞是 VMware ESXi 中存在的任意写入问题，拥有 VMX 进程权限的攻击者可触发内核任意写入操作，进而实现沙箱逃逸。彼时，这家虚拟化巨头证实，已有相关信息表明该漏洞存在在野攻击利用行为。安全公告中指出：“拥有 VMX 进程权限的恶意攻击者可触发内核任意写入操作，进而实现沙箱逃逸。” VMware 在 2025 年 3 月发布的安全公告 VMSA-2025-0004 中，修复了三个已遭在野积极利用的零日漏洞，这些漏洞均可实现 ESXi 虚拟机逃逸与代码执行，具体包括： ·  CVE-2025-22226（CVSS 7.1）：HGFS 文件系统存在越界读取漏洞，可导致 VMX 进程内存泄露。 ·  CVE-2025-22224（CVSS 9.3）：VMCI 接口存在时间检查与使用不一致（TOCTOU）漏洞，可引发越界写入，攻击者可借此以 VMX 进程权限执行代码。 ·  CVE-2025-22225（CVSS 8.2）：ESXi 存在任意写入漏洞，可实现从 VMX 沙箱逃逸至内核层。 今年 1 月，Huntress 研究人员通报称，发现汉语区攻击者滥用遭入侵的 SonicWall VPN，投递针对 VMware ESXi 的攻击工具包。 该攻击链包含一套成熟的虚拟机逃逸方案，且其开发时间似乎比相关 VMware 漏洞公开披露时间早一年以上。对 2025 年 12 月观测到的攻击事件分析显示，该团伙提前掌握了 2025 年 3 月才披露的三款 ESXi 零日漏洞，可见其对未知漏洞存在长期隐秘利用行为。 2025 年 12 月，Huntress 研究人员检测到一起入侵事件，攻击者最终部署了 VMware ESXi 漏洞利用工具包，其初始入侵途径为遭攻陷的SonicWall VPN。工具包中存在简体中文字符及相关编译路径等证据，表明该工具包大概率在 VMware 公开漏洞前一年多就以零日漏洞利用工具的形式开发完成，可见幕后是一支资源充足的汉语区攻击团伙。 攻击者利用域管理员凭证开展横向渗透，实施侦察活动，修改防火墙规则以阻断外部访问、同时保留内网移动权限，并对拟窃取数据进行预处理。该工具包可针对多达 155 个 ESXi 版本发起攻击，通过禁用 VMCI 驱动、加载未签名内核驱动实现虚拟机逃逸，或为后续勒索软件部署铺路。该攻击最终在造成实质损失前被成功阻断。 该威胁团伙依靠一款名为 MAESTRO 的协调工具，管控完整的 VMware ESXi 虚拟机逃逸流程。该工具会禁用 VMCI 驱动，通过自带驱动（BYOD）技术加载未签名漏洞利用驱动，并统筹漏洞利用全流程。该驱动会泄露 VMX 进程内存以绕过地址空间布局随机化（ASLR）防护，滥用 HGFS 与 VMCI 接口漏洞，向 VMX 进程写入壳代码，最终逃逸至 ESXi 内核层。随后会部署一款基于 VSOCK 协议的隐蔽后门VSOCKpuppet，可从客户机虚拟机对虚拟机管理程序实现持久化远程控制，同时规避传统网络监控，并恢复相关驱动以降低被检测概率。 Huntress 研究人员发现证据表明，该攻击链至少自 2024 年 2 月起就已被使用。报告指出：“漏洞利用二进制文件中包含程序数据库（PDB）路径，可据此窥探其开发环境。” CISA 已更新已知被利用漏洞（KEV）目录中 CVE-2025-22225 的相关条目，确认该漏洞正被用于勒索软件攻击行动。   消息来源: cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究人员发现了一个新的勒索软件即服务（RaaS）组织，该团伙已攻陷巴西及南非多家机构。 据勒索软件专业公司Halcyon称，该团伙被命名为 “Vect”，于 2025 年 12 月启动招募计划后，目前正持续吸纳加盟攻击者。 该组织声称其恶意软件是使用C++独立开发的，而不是像多数同类团伙那样，重新利用Lockbit 3.0或Conti等知名勒索软件的泄露源代码。 该勒索软件采用 ChaCha20-Poly1305 认证加密算法，据称在无硬件加速的系统上，其加密速度是 AES-256-GCM 算法的 2.5 倍。其采用间歇加密技术部署，为提升加密速度，仅对部分数据块进行加密混淆。 Halcyon声称：“尽管该团伙成立时间较短，但展现出超乎寻常的成熟度，其宣称可提供跨平台勒索软件，覆盖 Windows、Linux 及 VMware ESXi 系统；支持安全模式执行以压制安全工具；还配备高速间歇加密功能，兼顾攻击速度与破坏性。” “Vect 目前似乎处于早期验证阶段，已宣称攻陷巴西、南非各一家机构，大概率在大规模扩张前测试自身攻击能力。” 加盟者的收入分成模式显然是“慷慨”的，入门费为 250 美元，且独立国家联合体（CIS）区域申请者可免缴该费用 —— 这一规则暗示了该团伙的藏身区域。 该行动的成熟度表明它是由一些有经验的RaaS参与者运营的，Red Piranha的另一项分析声称。 Red Piranha在一份研究报告中解释道：“该组织的操作安全措施引人注目，使用门罗币进行支付以保持财务匿名性，通过 TOX 协议实现加盟攻击者间的加密点对点通信；基础设施完全依托 TOR 隐藏服务搭建，未在公网留下任何痕迹。” “自主研发恶意软件、采用新型加密算法、具备跨平台攻击能力、搭配完善操作安全措施，这些特征共同表明，Vect 的操控者是资深威胁行为者，可能是老牌勒索软件加盟者的品牌转型或全新布局。” 该机构补充说，初始访问很可能是通过暴露的RDP/VPN、窃取的凭据、网络钓鱼或漏洞利用实现初始入侵。 Vect 采用经典双重勒索模式，目前已攻陷的两家机构均被列在其公开数据泄露平台上。 建议采取的防护措施 Halcyon建议网络防御者关注以下方面，以降低Vect带来的风险： 加固边界设备防范初始入侵：需重点防护飞塔（Fortinet）账号及管理界面（Vect 曾在俄语论坛求购被盗飞塔账号）；及时安装更新补丁，限制管理员权限暴露范围，对所有远程访问及特权访问强制要求高强度身份认证。 跨 Windows、Linux、VMware ESXi 系统开展威胁遏制：对管理网络进行分段隔离，限制虚拟机管理程序管理平面的访问权限，通过管控管理协议与文件共享，阻断攻击者横向渗透路径。 重点监测安全模式与间歇加密行为：加强对可疑安全模式启动、快速选择性文件加密（间歇加密典型特征）的监控；集中收集并核查相关日志与遥测数据，实现快速范围界定与威胁遏制。 部署反勒索软件防护方案：采用可在恶意二进制文件运行前阻断执行、能检测并阻止勒索软件运行时行为与数据窃取尝试、可拦截篡改操作及网络入侵的防护工具。 消息来源: infosecurity-magazine： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据悉，荷兰一家大型会计师事务所已成为活跃勒索软件组织Nova的最新攻击目标。 2026年1月23日，该入侵事件被一家勒索软件活动跟踪平台发现并记录，其攻击发生时间估计与发现日期相近。 攻击者宣称已窃取大量敏感数据，并给出了为期10天的最后通牒，要求受害方与其联系并就支付赎金进行谈判。 事件详情 毕马威是全球领先的专业服务机构，为众多大型跨国企业提供审计、税务及咨询等全方位服务。 其荷兰分部掌握着大量客户敏感数据，涵盖金融服务、合规审计及企业运营的敏感客户数据。 此次攻击目标的选择，符合Nova勒索软件一贯的作案模式，即专注于攻击专业服务与金融行业的知名企业。Nova已被视为当前勒索软件领域的重要威胁之一。 威胁情报数据显示，该组织在Tor网络上部署了多个命令与控制服务器节点。 对公开攻击指标的分析表明，Nova通过分布在多个“.onion”域名下的基础设施来实施数据泄露。 该团伙的后端服务器采用基于uvicorn的标准架构，表明其采用了标准化的后端部署。 安全建议 网络安全团队应立即封锁已识别的相关域名基础设施，并密切监控网络内是否存在与勒索软件部署相关的横向移动活动。 一旦在网络日志中发现任何与Nova相关的入侵痕迹或攻击指标，必须立即启动应急预案。 截至目前，毕马威官方尚未就此次事件公开发表声明。 建议客户及其他相关方密切关注其官方渠道的后续通报，以获取事件影响的详细评估及修复进展的时间表。 消息来源:cybersecuritynews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Crunchbase近日确认发生数据泄露事件。此前，名为ShinyHunters的网络犯罪组织声称从其系统中窃取了超过200万条个人记录。 由于勒索失败，ShinyHunters已在相关网站上公开泄露了一个容量为402 MB的压缩数据包。 Crunchbase表示，此次事件未影响公司正常运营，且安全漏洞现已得到遏制。公司已通报美国联邦当局，并正借助外部专家力量调查此事。目前，Crunchbase正在评估被泄露的数据内容，以确定是否需要依法发布通知。 Crunchbase在给SecurityWeek的声明中称：“Crunchbase检测到一起网络安全事件，有威胁行为者从公司内部网络窃取了某些文件。此事件未造成业务运营中断。我们已控制住事态，系统是安全的。” 声明进一步指出：“在发现事件后，我们立即聘请了网络安全专家协助处理，并联系了联邦执法机构。我们已知悉威胁行为者在网上公开了部分信息。根据事件响应流程，我们正在审查受影响的信息，并将依据相关法律要求决定是否需发布通知。” ShinyHunters团伙最近重启了其数据泄露网站，列出的受害者包括SoundCloud、Betterment以及本次的Crunchbase，前两家公司此前也已承认遭遇数据泄露。 ShinyHunters是一个以牟利为目的的网络犯罪组织，自2020年起持续活跃。它从大型企业窃取海量个人及公司数据，若赎金要求未被满足，便在地下论坛出售或公开泄露这些数据。该组织常利用窃取的凭证、云服务漏洞及社交工程手段实施攻击，并曾宣称对Tokopedia等知名平台及其他高价值目标的大规模数据泄露事件负责。 消息来源:securityaffairs.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Symantec与Carbon Black的研究人员发现了一种名为Osiris的新型勒索软件变种，该变种于2025年11月被用于攻击一家东南亚大型食品服务特许经营商。 根据Symantec和VMware Carbon Black威胁猎手的分析，攻击者部署了一个名为POORTRY的恶意驱动程序，用自带漏洞驱动技术来禁用安全软件。 目前对Osiris的开发者，或其是否以勒索软件提供服务知之甚少，但有证据表明其与INC勒索软件存在关联。 Symantec与Carbon Black发布的报告中指出：“虽然这款Osiris勒索软件与2016年出现的同名勒索软件家族（Locky勒索软件的一个变种）重名，但没有迹象表明这两个家族之间存在任何关联。” Osiris似乎是一种新型勒索软件变种，与2016年基于Locky的同名变种无关。其开发者及任何RaaS模式仍属未知，但博通研究人员发现了攻击者与INC勒索软件团伙有相关联的迹象。 Osiris是一款功能齐全的勒索软件，能够停止服务和进程、选择要加密的文件和文件夹，并投放勒索信。研究人员报告称，该软件支持多种命令选项来定义目标、设置日志记录、选择加密模式以及Hyper-V等相关操作。这个新的勒索软件家族会跳过特定文件类型和系统文件夹，为加密文件附加.Osiris扩展名，删除VSS快照，并终止数据库、备份和生产力相关进程。该恶意软件使用混合ECC和AES-128-CTR加密，每个文件使用唯一密钥，通过完成端口管理异步输入/输出操作，并留下一份名为Osiris-MESSAGE.txt的勒索信，并在勒索信中提及敲诈细节和谈判链接。攻击链在勒索软件部署的数天前便已启动，攻击者当时使用Rclone工具悄悄窃取数据，并将其上传到Wasabi云存储桶中。这种方法，连同重用的工具（如名为kaz.exe的Mimikatz变体），都与过去Inc勒索软件的操作手法如出一辙，表明这可能是模仿或由前Inc附属组织参与的行动。 报告继续指出：“攻击者还部署了Netscan、Netexec和MeshAgent等其他具有双重用途的工具。他们还使用了定制版的Rustdesk远程监控和管理工具，该工具被修改以伪装其功能，并加入了‘WinZip远程桌面’的文件描述和WinZip图标，企图隐藏其真实用途。” 攻击者使用常见的双重用途工具进行网络探测和访问，外加一个伪装成“WinZip远程桌面”的修改版RustDesk远程工具以隐藏其目的。为了瘫痪防御系统，他们在一次自带漏洞驱动攻击中，部署了伪装成Malwarebytes组件的Poortry驱动程序，用以关闭安全软件。KillAV也为了达成目的而被使用。最后，在启动勒索软件之前，他们启用了RDP以维持远程访问。 Osiris是技术娴熟的威胁行为者使用的一款能力强大的新型勒索软件。研究人员强调，工具的重复使用和战术表明其可能与Inc附属组织及Medusa活动存在潜在联系，尽管这样的关联尚不明确。 报告总结道：“勒索软件领域的形势不断变化，新勒索软件家族的出现始终值得密切关注。” 消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： WorldLeaks网络犯罪团伙声称已从这家鞋服巨头的系统中窃取了信息。 在网络犯罪团伙声称从其系统窃取数据后，耐克已展开调查。 1月22日，这家运动鞋服巨头被列为WorldLeaks团伙运营的基于Tor的泄露网站的受害者。网站上的倒计时显示，除非支付赎金，否则被盗数据将于1月24日公开。 网络犯罪分子尚未具体说明他们从耐克窃取了多少数据或何种类型的数据。 耐克向SecurityWeek表示：“我们始终高度重视消费者隐私和数据安全。我们正在调查一起潜在的网络安全事件，并积极评估情况。” WorldLeaks组织于2025年出现，其前身是自2023年底开始活跃的勒索软件团伙”Hunters International”。在转型为WorldLeaks后，这些网络犯罪分子停止使用文件加密恶意软件，完全专注于数据窃取和勒索。 截至发稿时，WorldLeaks网站列出了近120名受害者名单。其中之一是戴尔公司，该公司曾在2025年7月表示，黑客仅窃取了合成的或公开可用的信息。 耐克可能遭入侵的消息传出前不久，服装零售商Under Armour刚刚宣布正在调查一起涉及客户电子邮件地址和其他个人信息的数据泄露事件。     消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客正滥用开源数字取证与事件响应工具Velociraptor，开展勒索软件攻击。此类攻击疑似由黑客组织Storm-2603策划，该组织以部署Warlock与LockBit勒索软件闻名。 上月，网络安全公司Sophos记录下该黑客组织对这款安全工具的滥用行为。 据思科网络安全团队分析，攻击者首先利用SharePoint本地部署版本中的“ToolShell漏洞”获取初始访问权限，随后植入Velociraptor的旧版本（0.73.4.0版）；该版本存在权限提升漏洞（CVE-2025-6264），攻击者可借此实现“任意命令执行”，最终完全控制目标终端设备。 在2025年8月中旬的一起攻击事件中，黑客采取了多项关键行动：尝试创建“域管理员账户”以提升权限，在已入侵的网络环境中横向移动，并利用获取的权限运行Smbexec等工具，通过SMB协议远程启动程序。 研究发现，在窃取数据、植入Warlock、LockBit及Babuk三款勒索软件之前，黑客会先修改ActiveDirectory中的“组策略对象”（GPOs）、关闭实时防护功能以破坏系统防御机制，并采取手段躲避安全检测。此次发现也是首次证实Storm-2603与Babuk勒索软件的部署存在关联。 Velociraptor由Rapid7公司于2021年收购后负责维护。该公司此前向TheHackerNews表示，已注意到Velociraptor被滥用的情况；与其他安全工具及管理工具类似，这款工具若落入不法分子手中，也可能被用于恶意目的。 针对最新披露的攻击事件，Rapid7威胁分析高级总监ChristiaanBeek指出：“这种行为属于‘工具滥用’，而非软件本身存在漏洞。攻击者只是将原本用于合法数据收集与协同管理的功能，改造成了攻击手段。” Storm-2603于2025年6月首次出现，此后将LockBit既用作攻击工具，也作为自身勒索软件的开发基础。值得注意的是，Warlock曾以“wlteaml”为名义，成为LockBit勒索软件联盟的最后一个附属成员，而一个月后，LockBit就遭遇了数据泄露事件。 Halcyon表示：“Warlock从一开始就计划部署多款勒索软件，目的是混淆攻击溯源、躲避检测，并加速扩大攻击影响。该组织展现出的纪律性、资源储备与访问能力，符合‘与国家相关联的威胁行为体’特征，而非opportunistic勒索软件团伙。” Halcyon还指出，Storm-2603为勒索软件添加新功能的开发周期仅需48小时，这一特点反映出其团队具备结构化的工作流程。分析进一步称，这种集中化、有组织的项目架构，表明该团队拥有专用的基础设施与工具链。 对Storm-2603开发时间线的深入调查显示，该组织在2025年3月搭建了“AK47指挥控制（C2）框架”的基础设施，次月便完成了该工具的首个原型开发。同样在4月，该组织在48小时内实现了攻击策略转型：从“仅部署LockBit”转为“同时部署LockBit与Warlock”。 尽管Storm-2603随后以附属成员身份加入LockBit联盟，但其自主勒索软件的开发工作并未停止，最终于6月以“Warlock”为品牌正式推出。几周后，研究人员发现该组织将ToolShell漏洞作为零日漏洞利用，同时从2025年7月21日起开始部署Babuk勒索软件。 Halcyon评价道：“该组织在4月实现策略快速转型（48小时内从单一勒索软件转为多勒索软件部署），7月又加入Babuk部署——这一系列动作体现出其三大能力：运营灵活性、检测规避能力、溯源混淆战术，以及利用泄露开源勒索软件框架进行开发的专业技术水平。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 勒索软件攻击导致俄亥俄州联合县约45,487人的社会安全号码及金融数据被盗。 这起攻击发生在2025年5月18日，黑客入侵联合县系统并窃取了部分社会安全和金融信息。事件发生后，县政府已通知45,487名居民及工作人员。 在发现安全漏洞后，联合县立即展开调查，并聘请外部网络安全专家协助。 调查显示，网络犯罪分子在2025年5月6日至5月18日期间进入了县政府的网络并窃取了部分数据。8月25日，官方完成了对事件的审查，并开始通知受影响的个人。 联合县在发送给受害者并同时报送缅因州总检察长办公室的数据泄露通知信中写道：“2025年5月18日，我们在计算机网络中发现勒索软件。得知情况后，我们立即在全国知名的第三方网络安全与数据取证顾问的协助下展开调查，以保障网络安全并调查事件范围。同时，我们也已通报联邦执法部门。通过调查，我们确认网络犯罪分子自2025年5月6日至5月18日访问了我们的网络，并获取了部分县政府数据。” 被盗数据包括姓名、社会安全号码、驾照号码、金融账户信息、指纹数据、医疗信息、护照号码等。 截至目前，还没有任何勒索软件组织声称对该攻击负责。 联合县位于俄亥俄州中部，县治为玛丽斯维尔。2025年该县大约有75,159名居民，是俄亥俄州发展最快的县之一。该地区兼具小城镇与郊区社区特征，劳动力资源充足，家庭收入中位数较高。   消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据悉，美国网络安全研究机构GrammaTech被一家知名勒索软件集团攻破。该公司长期与美国政府机构保持合作，如：国防高级研究计划局、战争部以及其他重要机构。 这家网络安全研究公司的名字出现在 Play 勒索软件集团的暗网博客上，该组织惯常在此展示其最新的受害者。尽管攻击者声称已获取私人和机密数据，但并未提供任何证据或数据样本来支持其说法。 截至发稿时，该公司的官方网站仍可正常访问。 GrammaTech 之所以可能引起攻击者兴趣，是因为其业务包括软件分析、漏洞检测等服务。该公司在官网列出的合作伙伴包括 DARPA、美国国土安全部、NASA、空军研究实验室以及其他机构。 与此同时，Play 勒索软件声称还访问了 GrammaTech 的业务服务信息。根据 Cybernews 研究团队的说法，如果黑客的说法属实，攻击后果可能有限，因为“运营数据和漏洞研究成果未必受到影响”。 研究团队补充说：“如果该公司受聘参与涉及机密系统的工作，而这些系统在公众层面并不存在，那么可能会泄露一些机密细节，但除此之外影响相对有限。” Play 勒索软件集团是谁？ Play 勒索软件是网络犯罪地下世界的重要玩家，去年跻身最活跃的三大勒索软件团伙之列。 今年 8 月初，该组织声称攻击了 Jamco Aerospace Inc.，一家为美国海军、波音和诺斯罗普·格鲁曼提供商用与军用飞机零部件的供应商。 在 2023 年，Play 曾对爱荷华州 Palo Alto 县警长办公室和罗德岛州 Donald W. Wyatt 高安全级别拘留中心发动过攻击。 根据 Ransomlooker 数据（由 Cybernews 暗网监测工具提供），过去 12 个月内，Play 至少以 376 家公司为目标，使其成为同期攻击最频繁的组织之一。 根据 Adlumin 的资料，Play 被认为是最早使用 间歇性加密 的勒索软件组织之一。 这种方法仅加密系统中的部分固定段落，使攻击者能够更快地访问并窃取受害者的数据。而且，似乎已有其他臭名昭著的组织效仿这一战术，包括 ALPHV/BlackCat、DarkBit 和 BianLian。     消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现了一款代号为“CountLoader”的新型恶意软件加载器，该加载器已被俄罗斯勒索软件团伙用于投放后续渗透工具（如 Cobalt Strike、AdaptixC2）以及一款名为“PureHVNC RAT”的远程访问木马。 网络安全公司Silent Push在分析报告中表示：“CountLoader要么被用作初始访问代理（IAB）工具集的一部分，要么由与 LockBit、Black Basta、Qilin 等勒索软件团伙存在关联的勒索软件附属攻击者使用。” 这款新兴威胁存在三个不同版本（基于.NET、PowerShell 和 JavaScript 开发），研究人员发现其在一场攻击活动中，通过伪造乌克兰国家警察局身份，以含恶意程序的 PDF 文件作为钓鱼诱饵，针对乌克兰个人用户发起攻击。 值得注意的是，卡巴斯基此前曾指出，该恶意软件的 PowerShell 版本曾通过与 DeepSeek 相关的诱饵文件传播，诱骗用户安装。这家俄罗斯网络安全厂商表示，相关攻击最终会在目标设备上部署一款名为“BrowserVenom”的植入程序，该程序可重新配置所有浏览器进程，强制网络流量通过攻击者控制的代理服务器，从而实现对网络流量的操控与数据收集。 Silent Push 的调查显示，JavaScript 版本是功能最完善的加载器版本，具备六种不同的文件下载方式、三种不同的恶意软件可执行文件运行方法，以及一项基于 Windows 域信息识别受害者设备的预设功能。 该恶意软件还能收集系统信息，通过创建伪装成谷歌 Chrome 浏览器更新任务的计划任务，在主机上建立持久化控制，并连接远程服务器等待后续指令。 具体功能包括：通过“rundll32.exe”和“msiexec.exe”工具下载并运行 DLL 文件与 MSI 安装程序载荷；传输系统元数据；删除已创建的计划任务。其六种文件下载方式分别借助curl、PowerShell、MSXML2.XMLHTTP、WinHTTP.WinHttpRequest.5.1、bitsadmin 及 certutil.exe 等工具或组件实现。 Silent Push 指出：“CountLoader的开发者通过使用‘certutil’‘bitsadmin’等白利用程序（LOLBins），并实现实时命令加密的 PowerShell 生成器，展现出对 Windows 操作系统及恶意软件开发的深入理解。” CountLoader 的一个显著特点是将受害者的“音乐（Music）文件夹”用作恶意软件的暂存区。其中，.NET 版本与 JavaScript 版本存在一定功能重叠，但仅支持两种命令类型（UpdateType.Zip 或 UpdateType.Exe），属于功能精简的版本。 CountLoader 依托由 20 多个独立域名构成的基础设施运行，其核心作用是作为传输通道，向目标设备投放 Cobalt Strike、AdaptixC2 与 PureHVNC RAT，后者是威胁攻击者 “PureCoder”开发的商业性质恶意程序，且为“PureRAT”（又称“ResolverRAT”）的早期版本。 据网络安全公司Check Point 透露，近期传播 PureHVNC RAT 的攻击活动，均采用经实战验证的“ClickFix”社会工程学战术作为传播载体：攻击者通过虚假招聘信息引诱受害者访问 ClickFix 钓鱼页面，再通过一款基于 Rust 语言开发的加载器部署该木马。 该公司表示：“攻击者借助虚假招聘广告引诱受害者，通过ClickFix 钓鱼技术在受害者设备上执行恶意 PowerShell 代码。”同时指出，PureCoder 会不断更换 GitHub 账号，用于托管支持 PureRAT 功能的相关文件。对这些 GitHub 账号提交记录的分析显示，相关操作均在 UTC+03:00 时区进行，该时区涵盖俄罗斯等多个国家和地区。 与此同时，网络安全公司 DomainTools 的调查团队揭示了俄罗斯勒索软件生态的关联性：不同勒索软件团伙的攻击者存在人员流动，且普遍使用 AnyDesk、Quick Assist 等工具，表明各团伙在运营层面存在重叠。 DomainTools 表示：“这些攻击者对‘团伙品牌’的忠诚度较低，核心资产并非特定的恶意软件毒株，而是人力资源。攻击者会根据市场环境调整策略，在遭遇打击后进行重组，且信任关系至关重要 —— 这些人会选择与认识的人合作，无论所属团伙名称如何。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文