第345期

本周热点事件威胁情报

Play勒索团伙利用SimpleHelp漏洞实施双重勒索

FBI联合多国网络安全机构披露，Play勒索软件团伙已攻击超过900家机构，近期更利用SimpleHelp远程访问工具的高危漏洞（CVE-2024-57727）发起新一轮攻击。该组织采用双重勒索手法，先窃取并加密敏感数据，再通过恐吓手段施压受害者付款。除了邮件勒索，攻击者还直接拨打电话给机构客服或员工进行威胁。Play团伙常利用旧漏洞获取初始访问权限，如FortiOS和Exchange漏洞，并重编译恶意代码以规避检测工具。安全专家警告，该团伙已将攻击目标扩展至Windows与ESXi系统，建议相关组织尽快修复SimpleHelp漏洞并加强终端防护。

参考链接：

https://www.theregister.com/2025/06/04/play_ransomware_infects_900_victims/

伊朗黑客承认对操纵Robbinhood勒索软件攻击美国城市的网络犯罪活动

美国司法部宣布，伊朗公民Sina Gholinejad对操纵Robbinhood勒索软件攻击美国多座城市的网络犯罪活动认罪。该组织自2019年起，通过非法入侵网络、加密文件并索要比特币赎金，对美国城市、市政服务和医疗系统造成严重破坏。马里兰州巴尔的摩市因此损失超过1900万美元，多项市政服务停摆数月。调查发现，该团伙还使用了NSA泄露的网络武器EternalBlue，并借助虚拟货币混合服务和VPN掩盖身份。此次认罪被视为对受害社区正义的推进，美国执法部门强调将继续追捕境外网络犯罪分子，确保其承担法律责任。Gholinejad将于8月被判刑，最高面临30年监禁。

参考链接：

https://hackread.com/iran-robbinhood-ransomware-operator-guilty-city-attacks/

LockBit遭受打击导致俄语网络犯罪集团分裂

国际执法机构对LockBit勒索软件团伙的打击重创了该勒索软件团伙，包括扣押其关键服务器、逮捕核心成员等，导致俄语黑产群体内部分裂与信任崩塌。英国国家警察局网络犯罪部门的Jeremy Banks在伦敦InfoSec Europe会议上指出，这一变局促使越来越多英语国家的黑客团体浮出水面，主要来自美、英、澳等国，虽然技术水平较低，但攻击手法简单有效。Scattered Spider被点名为典型代表，涉嫌攻击英国零售商Marks and Spencer、Harrods等，也被Google Mandiant和Sophos警告正扩展至美国目标。英国国家犯罪局（NCA）的William Lyne表示，LockBit的瓦解导致黑产组织更小型化，放弃使用传统勒索即服务（RaaS）平台，更多独立作战。而Coveware的应急响应负责人则指出，执法压力让攻击者不得不缩短潜伏时间，一些技术较弱者已将攻击重点从加密转向数据窃取。这一系列变革凸显执法行动已对勒索软件生态系统产生深远影响。

参考链接：

https://www.govinfosecurity.com/lockbit-crackdown-fragmented-russian-cybercrime-groups-a-28585

美国税务公司Optima遭勒索攻击导致客户数据泄露

美国知名税务解决公司Optima Tax Relief近期遭遇Chaos勒索软件攻击，黑客不仅加密了其服务器，还窃取并公开了69GB公司及客户数据。攻击事件已被该勒索团伙列入其泄密网站。Optima自称为美国领先的税务和债务解决机构，已协助客户解决超30亿美元税务负债。本次泄露的数据包含大量敏感客户档案和企业资料，其中涉及社保号码、电话、住址等关键个人信息，极有可能被用于身份盗窃或进一步犯罪活动。消息人士向BleepingComputer透露，此次事件为“双重勒索”攻击，即数据在被窃取的同时也被加密，施压公司支付赎金。Chaos勒索软件是2025年3月兴起的新型勒索组织，迄今已声称多起攻击，包括近期对救世军的侵害。值得注意的是，此Chaos团伙并非2021年活跃的“Chaos Builder”工具用户群，而是一个新兴、独立的勒索组织。Optima尚未正式回应相关媒体的置评请求。

参考链接：

https://www.bleepingcomputer.com/news/security/tax-resolution-firm-optima-tax-relief-hit-by-ransomware-data-leaked/