每周安全速递²⁹⁷|TellYouThePass勒索软件利用最新PHP RCE漏洞

第297期 

TellYouThePass勒索软件团伙一直在利用最近修补的CVE-2024-4577远程代码执行漏洞，通过PHP传递webshell并在目标系统上执行加密器负载。攻击于6月8日开始，仅在PHP维护者发布安全更新后不到48小时，攻击者就利用了公开的漏洞利用代码。TellYouThePass勒索软件以快速利用具有广泛影响的公共漏洞而闻名。去年11月，他们在攻击中使用了Apache ActiveMQ RCE漏洞，2021年12月，他们采用了Log4j漏洞来入侵公司。研究人员发现的最新攻击中，TellYouThePass利用了严重级别的CVE-2024-4577漏洞来执行任意PHP代码，使用Windows的mshta.exe二进制文件运行恶意HTML应用程序（HTA）文件。该文件包含一个带有base64编码字符串的VBScript，该字符串解码为一个二进制文件，将勒索软件的.NET变种加载到主机的内存中。

https://www.imperva.com/blog/update-cve-2024-4577-quickly-weaponized-to-distribute-tellyouthepass-ransomware/

英国拍卖行Christie's声称遭遇RansomHub勒索组织攻击

参考链接：

美国通信提供商Frontier声称遭遇勒索威胁影响75万客户数据

参考链接：

Fog勒索软件窃取VPN凭证攻击美国教育部门

一种名为“Fog”的新型勒索软件操作于2024年5月初启动，使用被攻破的VPN凭证侵入美国教育机构的网络。研究人员发现了Fog，并报告称该勒索软件操作尚未建立勒索门户，也未发现窃取数据的行为。该勒索软件团伙通过窃取数据进行双重勒索攻击，利用数据作为杠杆吓唬受害者支付赎金。

参考链接：

研究人员披露攻击者入侵并清除GitHub仓库进行勒索

攻击者正在瞄准GitHub仓库，擦除其内容，并要求受害者通过Telegram联系获取更多信息。这场活动背后的威胁行为者，在Telegram上使用Gitloker的用户名并冒充网络事件分析师，很可能是使用被盗凭证入侵目标的GitHub账户。随后，他们声称窃取了受害者的数据，创建了一个备份，可以帮助恢复被删除的数据。然后，他们会重命名仓库，并添加一个README.me文件，指示受害者通过Telegram联系。“希望这条信息能找到你。这是一个紧急通知，告知你的数据已被泄露，我们已确保备份，”勒索信中写道。

参考链接：

FBI向受害者公开7000个LockBit勒索软件解密密钥

美国联邦调查局（FBI）披露，它掌握了超过7000个与LockBit勒索软件相关的解密密钥，以帮助受害者免费找回他们的数据。“我们正在联系已知的LockBit受害者，并鼓励任何怀疑自己是受害者的人访问我们的互联网犯罪投诉中心（ic3.gov），”FBI网络部助理局长布莱恩·沃恩德兰在2024年波士顿网络安全大会（BCCS）的主题演讲中说道。LockBit曾经是一个活跃的勒索软件团伙，与全球超过2,400起攻击有关，其中至少有1,800起影响了美国的实体。今年2月，由英国国家犯罪局（NCA）领导的代号为Cronos的国际执法行动拆除了其在线基础设施。

参考链接：

伦敦多家医院勒索攻击事件被归因于Qilin勒索软件组织

本周一袭击病理服务提供商Synnovis并影响伦敦多家主要NHS医院的勒索软件攻击现已被归因于Qilin勒索软件团伙。英国国家网络安全中心（NCSC）首任首席执行官Ciaran Martin今天表示，Qilin团伙可能对这一事件负责。此次攻击导致Synnovis无法访问其系统，并引起Guy's和St Thomas' NHS Foundation Trust、King's College Hospital NHS Foundation Trust以及整个伦敦东南部的多个初级保健提供者的持续服务中断。目前，Synnovis客户服务门户上的警报警告称存在数据中心问题，所有系统目前均无法访问。

参考链接：