Horabot 恶意软件通过钓鱼邮件攻击拉丁美洲六国
HackerNews 编译，转载请注明出处： 网络安全研究人员发现了一场新的钓鱼攻击活动，旨在通过名为Horabot的恶意软件针对墨西哥、危地马拉、哥伦比亚、秘鲁、智利和阿根廷等拉丁美洲国家的Windows用户。 Fortinet FortiGuard Labs研究员Cara Lin表示，该活动“通过伪造发票或财务文档的精心设计邮件诱骗受害者打开恶意附件，能够窃取邮箱凭证、收集联系人列表并安装银行木马”。 该网络安全公司于2025年4月观测到这一活动，主要针对西班牙语用户。攻击还被发现利用Outlook COM自动化功能从受害者邮箱发送钓鱼信息，从而在企业或个人网络内部横向传播恶意软件。 攻击者通过执行多种VBScript、AutoIt和PowerShell脚本进行系统侦察、凭证窃取及投放额外恶意载荷。Horabot最早由思科Talos于2023年6月记录为针对拉丁美洲西班牙语用户的威胁，其攻击活动可追溯至至少2020年11月，评估认为攻击者来自巴西。 去年Trustwave SpiderLabs披露了另一起针对同一地区的钓鱼活动，其恶意载荷与Horabot存在相似性。 最新攻击始于以发票为诱饵的钓鱼邮件，诱使用户打开包含PDF文档的ZIP压缩包。实际上该ZIP文件内含恶意HTML文件，其中包含Base64编码的HTML数据，用于连接远程服务器下载第二阶段的恶意载荷。 第二阶段载荷是另一个包含HTML应用程序（HTA）文件的ZIP压缩包，该文件负责加载远程服务器托管的脚本。脚本随后注入外部VBScript代码，执行系列检测——若系统安装Avast杀毒软件或处于虚拟环境则终止攻击。 VBScript继续收集基础系统信息并外传至远程服务器，同时获取额外载荷，包括通过恶意DLL释放银行木马的AutoIt脚本，以及扫描Outlook联系人数据构建目标邮箱列表后传播钓鱼邮件的PowerShell脚本。 Cara Lin表示：“恶意软件随后从Brave、Yandex、Epic Privacy Browser、Comodo Dragon、Cent Browser、Opera、Microsoft Edge和Google Chrome等浏览器窃取相关数据。除数据窃取外，Horabot还监控受害者行为，注入伪造弹窗以窃取敏感登录凭证。” 消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
网络间谍活动再起波澜，El Machete 大肆窃取全球政府机构数据
近期，黑客组织 El Machete 使用定制恶意软件面向全球知名国际政府机构发起攻击，并通过社工方式传播蔓延。目前，该黑客组织已窃取数据逾 100 GB。 研究人员称，尽管 El Machete 将拉丁美洲锁定为主要攻击目标，但加拿大、英国、德国、韩国、俄罗斯、乌克兰和美国等政府机构也纷纷受其影响。据卡巴斯基实验室研究人员介绍，该黑客组织自 2014 年以来一直处于活跃状态，其最早活动时间可追溯至 2012 年。 Cylance 研究人员表示，El Machete 采用的恶意软件主要依赖于 Windows API（ 应用程序编程接口 ），旨在逃避传统防病毒程序检测。过去几年间，El Machete 开展的网络间谍活动可谓畅通无阻。尽管公开可用的防御系统中包含诸多威胁识别指标，但多数杀毒解决方案的检出率仍非常低。 据悉，El Machete 仍在不断加强自身网络攻防能力，而此举无疑会使相关国家受到威胁。此外，许多国家的内部网络能力尚未获得提升，亦有可能被黑客组织列为攻击目标。 原作者：India Ashok， 译者：青楚 校对：Liuf 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接
Ploutus 新变种出现：可影响中国在内至少 80 个国家 ATM 设备
安全公司 FireEye 的安全专家发现 ATM 恶意软件 Ploutus 的新变种 Ploutus-D ，恶意软件已感染了拉丁美洲的 ATM 系统。 2013 年恶意软件 Ploutus 首次在墨西哥被发现，是最先进的 ATM 恶意软件系列之一。攻击者可通过外接键盘连接 ATM 或者发送 SMS 消息传播恶意软件，操作 ATM 系统窃取现金。 FireEye 实验室分析变种代码后发现，新恶意软件可针对 ATM 软件提供商 KAL 公司的 Kalignite ATM 软件平台。据统计显示 Kalignite ATM 平台目前被至少 80 个国家 40 多个不同厂商使用，潜在影响范围或将扩大。 ATM 软件供应商 KAL 公司的 “Kalignite ATM” 软件平台，基于 XFS 标准、适用于 Windows 10，Windows 8，Windows 7 和 XP ，系统功能丰富可满足所有类型的 ATM 自助服务。 KAL 公司的软件也被中国金融机构广泛使用，国内客户列表包含：中国工商银行、中国建设银行、交通银行、深圳发展银行、兴业银行（ CIB ）、中国光大银行、平安银行等。 新恶意软件 Ploutus-D 版本改进点有： 它适用于 Kalignite 多供应商 ATM 平台。 它可以运行在 Windows 10，Windows 8，Windows 7 和 XP 操作系统的 ATM 上。 它被配置为控制 Diebold ATM。 它有一个不同于 Ploutus 的 GUI 界面。 它配备一个启动器，尝试识别和杀死安全监控进程，以避免检测。 它采用了更强大的 .NET 混淆器。 Ploutus 和 新版本 Ploutus-D 之间的共性有： 主要目的是清空 ATM，不需要插入 ATM 卡。 攻击者必须使用外部键盘连接 ATM 并与恶意软件进行交互。 激活码都是由攻击者自己生成，且有效期只有 24 小时。 两者都是在 .NET 中创建的。 可以作为 Windows 服务或独立应用程序运行。 恶意软件会将自己添加到“ Userinit ”注册表项中，以便在每次重新启动都可执行，密钥位于： \HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit。 攻击者必须将键盘连接到 ATM USB 或者 PS/2 接口与启动器进行交互。一旦启动器安装完成，便可通过外部键盘的“ F 组合键”发出指令。 Ploutus-D 可以允许攻击者在几分钟内窃取数千美元，作案时间相当短从而降低在窃取钱财时被捕的风险。不过，要打开 ATM 以露出 USB 或者 PS/2 接口还是有些难度的，是撬开 ATM 还是在机箱上钻洞呢？ 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。