全球70余组织遭Voldemort特工软件攻击

宣布时间 2024-09-02

1. 全球70余组织遭Voldemort特工软件攻击


9月1日，，，，， ，，Proofpoint 研究职员揭破了一起重大的特工活动，，，，， ，，该活动通过名为“Voldemort”的定制恶意软件，，，，， ，，影响全球70多个组织。。。。。。。。此恶意软件通过凌驾20,000封垂纶邮件撒播，，，，， ，，特殊是8月17日激增近6,000封，，，，， ，，邮件伪装多国税务机关诱骗用户。。。。。。。。攻击链使用Google AMP Cache URL、Cloudflare隧道、WebDAV共享及Python剧本等手艺，，，，， ，，巧妙指导用户下载并执行恶意LNK或ZIP文件。。。。。。。。Voldemort的一大特点是使用Google表格举行下令与控制（C2），，，，， ，，规避古板清静检测，，，，， ，，显示了高度的隐藏性和立异性。。。。。。。。其目的主要锁定在包管公司、航空航天、交通运输及大学等18个笔直行业，，，，， ，，且精准定位受害者至其栖身国，，，，， ，，显示出深条理的特工念头。。。。。。。。别的，，，，， ，，该恶意软件还接纳有数的Windows .search-ms文件名堂，，，，， ，，伪装远程文件为外地文件，，，，， ，，连系DLL挟制手艺，，，，， ，，进一步增添熏染乐成率。。。。。。。。然而，，，，， ，，攻击活动中也袒露出一些简陋之处，，，，， ，，如使用简朴的文件命名约定，，，，， ，，使得该活动泛起出“弗兰肯斯坦视鸯合体”的特点，，，，， ，，难以判断威胁行为者的真实手艺水平。。。。。。。。


https://securityonline.info/cyber-espionage-campaign-leverages-novel-tactics-and-voldemort-malware-to-target-global-organizations/https://securityonline.info/cyber-espionage-campaign-leverages-novel-tactics-and-voldemort-malware-to-target-global-organizations/


2. APT组织Citrine Sleet使用Chrome 0day安排FudModule rootkit


8月31日，，，，， ，，与朝鲜有关联的APT组织Citrine Sleet（亦称AppleJeus、Labyrinth Chollima等）使用新修补的Google Chrome零日误差CVE-2024-7971，，，，， ，，乐成安排了FudModule rootkit。。。。。。。。该误差（CVSS评分8.8）影响特定版本的Chromium，，，，， ，，允许攻击者在沙盒化的渲染器历程中执行远程代码。。。。。。。。Citrine Sleet通过全心设计的垂纶战略，，，，， ，，诱使受害者会见其控制的恶意域名，，，，， ，，进而触发CVE-2024-7971误差，，，，， ，，下载并执行包括Windows沙盒逃逸误差（CVE-2024-38106）和FudModule rootkit的shellcode。。。。。。。。FudModule rootkit接纳直接内核工具操作（DKOM）手艺，，，，， ，，从用户模式运行并改动内核，，，，， ，，滋扰清静机制，，，，， ，，只管在目的装备上未检测到后续恶意活动。。。。。。。。值得注重的是，，，，， ，，CVE-2024-38106虽已修复，，，，， ，，但可能与Citrine Sleet的使用活动无直接关联，，，，， ，，体现可能保存“误差碰撞”征象。。。。。。。。Microsoft强调，，，，， ，，组织应确保系统实时更新，，，，， ，，安排具备周全网络攻击链可见性的清静解决计划，，，，， ，，并增强操作情形设置，，，，， ，，以有用检测和阻止此类高级威胁。。。。。。。。


https://securityaffairs.com/167848/breaking-news/north-korea-linked-apt-exploited-chrome-zero-day-cve-2024-7971.html


3. GitHub 遭滥用：数千条虚伪修复谈论分发Lumma Stealer恶意软件


8月31日，，，，， ，，GitHub 平台近期遭遇了滥用，，，，， ，，不法分子通过在项目谈论中宣布虚伪修复程序的方法，，，，， ，，普遍分发 Lumma Stealer 信息窃取恶意软件。。。。。。。。这一活动最初由teloxide rust库的孝顺者在Reddit上揭破，，，，， ，，随后BleepingComputer深入视察发明，，，，， ，，数千条类似谈论已遍布GitHub多个项目，，，，， ，，诱导用户下载并执行包括恶意软件的文件。。。。。。。。这些谈论伪装成问题解决计划，，，，， ，，诱骗用户从mediafire.com或bit.ly链接下载名为“fix.zip”的加密存档，，，，， ，，并提醒使用统一密码“changeme”解锁。。。。。。。。三天内，，，，， ，，此类推广恶意软件的谈论数目激增至凌驾29,000条。。。。。。。。下载的存档中包括DLL文件和可执行文件x86_64-w64-ranlib.exe，，，，， ，，经剖析确以为Lumma Stealer，，，，， ，，一种能够深入用户浏览器窃取敏感信息的高级信息窃取工具。。。。。。。。别的，，，，， ，，它还针对加密钱币钱包和特定命名的文本文件举行搜索，，，，， ，，网络可能包括私钥和密码的数据。。。。。。。。只管GitHub迅速响应并删除了这些恶意谈论，，，，， ，，但已有用户受害。。。。。。。。受影响用户需连忙为所有账户替换唯一密码，，，，， ，，并将加密钱币转移至新钱包。。。。。。。。


https://www.bleepingcomputer.com/news/security/github-comments-abused-to-push-password-stealing-malware-masked-as-fixes/


4. 重大网络垂纶攻击揭破：AsyncRAT与Infostealer联手威胁用户清静


8月31日，，，，， ，，eSentire 威胁响应部分（TRU）的研究职员揭破了一项重大的网络垂纶攻击，，，，， ，，该攻击使用全心设计的熏染链分发 AsyncRAT 远程会见木马（RAT）及其信息窃取插件 Infostealer。。。。。。。。攻击始于一封看似无害的垂纶邮件，，，，， ，，内含伪装成正常文件的恶意存档。。。。。。。。执行后，，，，， ，，这一存档触发了一系列重大操作，，，，， ，，包括下载并执行混淆的 VBScript 和 PowerShell 剧本，，，，， ，，最终安排 AsyncRAT 及其插件。。。。。。。。攻击历程中，，，，， ，，恶意软件通过下载看似无害的图像文件（实为 ZIP 存档）并解压出更多恶意剧本和可执行文件，，，，， ，，在受害者系统中扎根。。。。。。。。它使用妄想使命维持长期性，，，，， ，，每两分钟执行一次恶意代码，，，，， ，，并通过历程空心化手艺将 AsyncRAT 注入正当历程中以逃避检测。。。。。。。。AsyncRAT 不但为攻击者提供对受熏染系统的远程控制权，，，，， ，，还搭载了 Infostealer 插件，，，，， ，，该插件专门瞄准网络浏览器中的加密钱包扩展和2FA验证工具，，，，， ，，旨在窃取包括密码、凭证和加密钱币钱包在内的名贵数据。。。。。。。。eSentire TRU 呼吁用户坚持高度小心。。。。。。。。


https://securityonline.info/evasive-phishing-campaign-delivers-asyncrat-and-infostealer/


5. People Data Labs1.7亿条敏感信息无密码袒露


8月30日，，，，， ，，Cybernews研究团队近期发明了一项重大数据泄露事务，，，，， ，，涉及凌驾1.7亿条敏感小我私家信息在互联网上果真袒露，，，，， ，，数据内容详尽，，，，， ，，包括全名、联系方法、地点、教育配景及事情履历等。。。。。。。。此次泄露的数据集标有“PDL”标识，，，，， ，，指向旧金山的数据经纪公司People Data Labs（PDL），，，，， ，，该公司自称拥有15亿小我私家档案数据库，，，，， ，，效劳于企业营销、销售及招聘等领域。。。。。。。。只管数据泄露源头尚未明确，，，，， ，，但Elasticsearch效劳器未设密码的严重清静误差成为焦点，，，，， ，，这种设置极易被黑客使用，，，，， ，，迅速窃取数据，，，，， ，，对小我私家隐私组成重大威胁，，，，， ，，增添身份偷窃、诓骗及网络垂纶危害。。。。。。。。值得注重的是，，，，， ，，PDL此前已爆发过类似的数据泄露事故，，，，， ，，同样因未�；；；；；；；さ腅lasticsearch效劳器导致，，，，， ，，涉及数据规模更为重大。。。。。。。。此次泄露的“Version 26.2”数据集可能与此前事务有关联，，，，， ，，再次袒露了PDL在数据清静方面的重大缺陷。。。。。。。。


https://cybernews.com/security/people-data-labs-data-leak/


6. Roblox开发职员频遭攻击，，，，， ，，伪造npm包撒播恶意软件


9月2日，，，，， ，，Roblox 开发职员成为一系列恶意攻击的目的，，，，， ，，这些攻击通过伪造 npm 包，，，，， ，，尤其是模拟盛行的 noblox.js 库，，，，， ，，妄想窃取敏感数据和破损系统。。。。。。。。自今年头以来，，，，， ，，多个名为 noblox.js 变种的软件包被确以为恶意，，，，， ，，包括 noblox.js-proxy-server 和 noblox-ts，，，，， ，，它们通过品牌挟制、组合抢注和星号挟制等手艺伪装成正当库，，，，， ，，诱导开发者下载。。。。。。。。这些恶意包如 noblox.js-async、noblox.js-thread 等，，，，， ，，只管下载量有限，，，，， ，，却乐成诱骗了用户。。。。。。。。别的，，，，， ，，攻击者还接纳 starjacking 手法，，，，， ，，将虚伪软件包的源存储库标记为现实 noblox.js 库，，，，， ，，增强信任度。。。。。。。。这些恶意软件包内嵌的代码不但窃取 Discord 令牌，，，，， ，，还通过修改 Windows 注册表和更新防病毒扫除列表来逃避检测和维持长期性。。。。。。。。每当用户实验翻开 Windows 设置应用时，，，，， ，，恶意软件便会被激活。。。。。。。。最终目的是安排 Quasar RAT，，，，， ，，使攻击者能远程控制受熏染系统，，，，， ，，并将网络到的信息通过 Discord webhook 发送至 C2 效劳器。。。。。。。。只管已有步伐扫除这些恶意软件，，，，， ，，但新软件包仍一直泛起，，，，， ，，提醒开发职员需坚持高度小心。。。。。。。。


https://thehackernews.com/2024/09/malicious-npm-packages-mimicking.html