瑞典Outpost24公司高管遭Kratos垂钓攻击

颁布功夫 2026-03-18

1. 瑞典Outpost24公司高管遭Kratos垂钓攻击


3月16日，瑞典露出治理与身份安全公司Outpost24的子公司Specops Software近日披露，该公司一名C级高管成为复杂垂钓攻击的指标 。这次攻击可能使用了名为Kratos的垂钓即服务工具包，选取七步攻击链，利用分层基础设施和合法服务躲避检测 。攻击者假意金融服务提供商JP Morgan，将垂钓邮件假装成现有邮件线程的一部门，约请收件人查看并签署文件 。攻击者使用两个DomainKeys Identified Mail(DKIM) 署名确保邮件通过DMARC验证，增长可信度 。邮件中蕴含指向Cisco合法域名secure-web.cisco.com的"查看文件"链接，该域名通常用于Cisco验证后沉写邮件URL 。攻击链下一步涉及沉定向至合法邮件API平台Nylas，确保垂钓链接通过Cisco Secure Web基础设施沉定向 。随后指标被沉定向至一家印度开发公司网站的子域名，再跳转至一个最初由中国实体于2017年注册的域名 。用户最终被沉定向至部署在Cloudflare后方的垂钓基础设施，暗藏源服务器 。最后受害者被出现一个真切的垂钓页面，用于窃取Microsoft 365凭证 。


https://www.securityweek.com/security-firm-executive-targeted-in-sophisticated-phishing-attack/


2. 俄罗斯彼尔姆市停车支付系统遭DDoS攻击瘫痪


3月17日，俄罗斯彼尔姆市(Perm)停车支付系统近日遭逢大规模散布式回绝服务(DDoS)攻击后复原运营 。该市当局周一确认，系统现已齐全复原正常运行，所有支付方式均可正常使用 。本地官员暗示，这次中断由大规模DDoS攻击引起，攻击压垮了该市自动停车支付基础设施 。攻击导致全市停车支付暂停，驾驶员无法通过官方利用法式和网站支付停车资 。3月10日至3月13日系统瘫痪期间，官员暗示驾驶员不会因未支付停车资而面对处罚 。彼尔姆市的付费停车区通常在周末免费 。这是近年来俄罗斯城市停车系统至少第三次遭逢此类攻击 。去年1月，克拉斯诺达尔(Krasnodar)市驾驶员因电信运营商遭逢DDoS攻击而无法支付停车资，有关服务受到滋扰 。2024年10月，特维尔市(Tver)停车支付也因粉碎性网络攻击本地当局网络而中断 。目前尚不明显彼尔姆事务是否与先前攻击有关联，暂无黑客组织宣称对此掌管 。


https://therecord.media/cyberattack-russia-parking-system


3. 英国公司注册局WebFiling服务曝关键缝隙


3月17日，英国公司注册局（CompaniesHouse）近日确认其WebFiling网络filing服务存在关键安全缝隙，该缝隙可能使攻击者接见500万家注册公司的非公开信息 。缝隙于2025年10月引入系统，2026年3月12日由GhostMail钻研人员JohnHewitt发现并汇报，随后于当周周末实现建复 。该缝隙允许任何已登录用户接见其他公司在CompaniesHouse平台上的账户 。攻击者无需特殊技术技术，只需选择"为另一家公司filing"选项，输入指标公司的唯一编号，在提醒输入验证码时按几次返回键，即可自动登录指标公司账户 。成功利用该缝隙的攻击者可能获取董事诞生日期、家庭住址和电子邮箱等敏感信息，还可批改公司具体信息并提交未经授权的filing文件 。CompaniesHouse在周一颁布的申明中确认了该安全缝隙，暗示该问题仅影响其WebFiling服务 �；骨康�，缝隙只能由经过身份验证的攻击者利用，通常公家无法接见 。缝隙未露出密码及身份验证过程中网络的信息（如护照等） 。此表，攻击者无法对现有filing文件进行批改 。


https://www.securityweek.com/uk-companies-house-exposed-details-of-millions-of-firms/


4. RondoDox僵尸网络升级攻击战术


3月17日，RondoDox僵尸网络近日升级攻击活动，针对174个缝隙提议逐日高达15,000次的利用尝试，采取越发集中和战术化的攻击战术 。网络安全公司Bitsight颁布的汇报显示，该僵尸网络自2025年5月25日至2026年2月16日期间持续扩大攻击领域 。该僵尸网络最早由TrendMicro于2025年6月15日发现，当使佚在利用CVE-2023-1389缝隙攻击TP-LinkArcherAX21路由器 。尔后，RondoDox持续扩大攻击指标，涵盖DVR、NVR、关路电视系统和Web服务器等30多种设备类型 。2025年12月，CloudSEK钻研人员忠告该僵尸网络在利用关键React2Shell缝隙（CVE-2025-55182）在易受攻击的Next.js服务器上投放恶意软件和加密矿工 。Bitsight钻研人员分析发现，攻击者持续轮换利用的缝隙，在174个缝隙中映射出148个CVE，其中15个有公开概想验证但无CVE编号，还有11个未找到公开概想验证 。攻击活动出现波浪式特点：宽泛测试阶段后追随选定缝隙的持久使用期 。2025年10月缝隙利用数量达到单日49个的峰值，随后不变在40个左右，2026岁首急剧降落至仅2个缝隙，批注攻击战术转向更少但更有效的缝隙利用 。


https://securityaffairs.com/189569/malware/rondodox-botnet-expands-arsenal-targeting-174-flaws-and-hits-15000-daily-exploit-attempts.html


5. LeakNet勒索软件选取新型BYOR攻击技术


3月17日，LeakNet勒索软件团伙近日选取ClickFix社会工程攻击技术获取企业环境初始接见权限，并部署基于开源Deno运行时的恶意软件加载器 。该团伙自2024年底以来活跃，均匀每月攻击约3个受害者，随着新技术的选取，其攻击规�？赡芙徊嚼┐� 。安全公司ReliaQuest将这种战术称为"自带运行时"（BYOR）攻击 。Deno是合法的JavaScript/TypeScript运行时，允许在系统上执行浏览器表的JS/TS代码 。由于Deno经过数字署名且合法，可绕过未知二进造执行的阻止列表和过滤器 。攻击者通过装置合法的Deno可执行文件来运行恶意代码，而非部署更容易被象征的自界说恶意软件加载器 。执行后，代码会指纹鉴别主机、天生唯一受害者ID，并衔接号令节造服务器获取第二阶段载荷 。同时运行悠久轮询循环以接管来自号令节造服务器的新号令 。在后利用阶段，LeakNet使用DLL侧加载、号令节造信标、通过klist枚举进行痛处发现、通过PsExec进行横向移动，以及通过滥用AmazonS3存储桶进行载荷staged和数据表泄 。


https://www.bleepingcomputer.com/news/security/leaknet-ransomware-uses-clickfix-and-deno-runtime-for-stealthy-attacks/


6. GlassWorm供给链攻击卷土沉来波及433个组件


3月17日，GlassWorm供给链攻击活动近日卷土沉来，针对GitHub、npm和VSCode/OpenVSX平台上的数百个软件包、仓库和扩大提议协调攻击 。Aikido、Socket、StepSecurity和OpenSourceMalware社区的钻研人员本月共鉴别出433个被攻下的组件 。最新一轮GlassWorm攻击规模更为重大，波及200个GitHubPython仓库、151个GitHubJS/TS仓库、72个VSCode/OpenVSX扩大和10个npm软件包 。攻击者首先攻下GitHub账户强造推送恶意提交，而后在npm和VSCode/OpenVSX上颁布包费解淆代码的恶意软件包和扩大以逃避检测 。在所有平台上，恶意代码每5秒查问一次Solana区块链获取新指令 。2025年11月27日至2026年3月13日期间，共发现50笔新买卖，重要用于更新载荷URL 。指令嵌入买卖备忘录中，疏导下载Node.js运行时并执行基于JavaScript的信息窃取法式 。该恶意软件针对加密钱币钱包数据、痛处和接见令牌、SSH密钥以及开发者环境数据 。代码注解分析批注GlassWorm由俄语威胁行为者策动，恶意软件在检测到系统为俄语环境时会跳过执行 。


https://www.bleepingcomputer.com/news/security/glassworm-malware-hits-400-plus-code-repos-on-github-npm-vscode-openvsx/