第327期

本周热点事件威胁情报

新型远程控制木马NonEuclid感染Windows系统

研究人员近日揭示了一种名为NonEuclid的远程访问木马（RAT），其以高级隐蔽与反检测技术著称。该恶意软件由C#开发，具备绕过杀毒软件、防护逃逸、特权升级以及针对关键文件的勒索加密功能。NonEuclid自2024年11月起在地下论坛广泛推广，甚至在Discord和YouTube上出现相关教程。该木马通过Windows API调用监控分析工具，利用虚拟环境检测和Windows AMSI绕过等技术，避免被检测。此外，它还通过修改注册表、创建计划任务等方式实现持久化，并能通过绕过用户账户控制（UAC）提升权限。特别值得关注的是，该恶意软件能够加密指定类型文件并添加“.NonEuclid”后缀，使其具备勒索软件特性。

参考链接：

https://www.cyfirma.com/research/noneuclid-rat/

勒索软件FunkSec使用双重勒索策略攻击85名受害者

2024年底，新兴勒索软件组织FunkSec浮出水面，该团伙借助人工智能（AI）工具，使用双重勒索策略加密并窃取数据，以低至1万美元的赎金威胁受害者，并以折扣价出售窃取数据。FunkSec在其数据泄露网站上整合勒索业务，还引入DDoS攻击工具和勒索软件即服务（RaaS）模式，进一步扩展其影响力。受害者分布于美国、印度、意大利等七国，部分成员疑与黑客活动相关联，彰显黑客主义与网络犯罪的界限愈加模糊。FunkSec工具开发疑为AI辅助，尽管技术能力有限，但快速迭代使其具备威胁。其最新勒索软件版本使用Rust编写，具备禁用安全控制、删除备份等功能。

参考链接：

https://research.checkpoint.com/2025/funksec-alleged-top-ransomware-group-powered-by-ai/

Codefinger勒索软件使用SSE-C加密S3存储桶

一个名为Codefinger的勒索团伙通过AWS的服务器端加密选项（SSE-C）加密目标组织的AWS S3数据，要求受害者支付赎金以获取加密密钥。攻击者利用被泄露或盗取的AWS密钥，使用AES-256加密算法，通过x-amz-server-side-encryption-customer-algorithm标头执行加密。由于AWS仅记录HMAC值而不存储密钥，受害者无法自行解密数据。攻击者未窃取数据，但会标记加密文件在七天内删除，进一步施压目标组织。

参考链接：

https://www.halcyon.ai/blog/abusing-aws-native-services-ransomware-encrypting-s3-buckets-with-sse-c

2024年针对VMware ESXi服务器的勒索软件攻击激增

2024年，针对VMware ESXi服务器的勒索攻击显著增加，平均赎金高达500万美元。多数攻击使用改良的Babuk勒索软件变种，这些变种专为规避安全工具检测而设计。攻击者通过加密ESXi关键文件（如VMDK、VMEM、VSWP、VMSN文件）使虚拟机不可用，同时通过对称加密与非对称加密结合的方法加速数据加密并确保密钥安全。勒索软件团伙还通过出售初始访问权限获利，使得攻击链更加复杂。由于ESXi架构中的vCenter服务器集中管理多个ESXi主机，其"vpxuser"账户成为攻击目标，攻击者一旦获取密钥解密权限，便可对虚拟环境实施全面控制。

参考链接：

https://thehackernews.com/2025/01/ransomware-on-esxi-mechanization-of.html

OneBlood确认7月勒索软件攻击导致个人数据泄露

美国血液捐赠非营利组织OneBlood确认，去年7月的勒索软件攻击导致捐赠者姓名和社会安全号码（SSN）被窃取。攻击发生于2024年7月14日至29日，威胁者在网络中停留15天，期间复制了相关文件。此次事件影响OneBlood为全美250多家医院供应血液的能力，造成血液收集、检测和分发延误，并启动“关键血液短缺”应对措施。尽管其他敏感信息未被泄露，但被暴露的SSN可能长期面临身份盗用和财务欺诈风险。受影响者已获通知，可免费获取一年信用监控服务，并建议采取信用冻结和欺诈警报等措施以降低潜在风险。

参考链接：

https://ago.vermont.gov/sites/ago/files/documents/2025-01-09%20OneBlood%20Data%20Breach%20Notice%20to%20Consumers.pdf