5th域安全微讯早报【20250411】087期

2025-04-11 星期五 Vol-2025-087

今日热点导读

1. 俄罗斯联邦通信监管局要求避免使用西方加密协议

2. 美国共和党议员呼吁简化网络安全监管

3. 美国将签署国际协议打击间谍软件滥用

4. 黑客宣称入侵WooCommerce致440万客户数据泄露

5. 南非电信运营商 Cell C 确认数据泄露

6. 特朗普下令审查前CISA局长克雷布斯撤销其安全许可

7. 新任美国网络司令部和国家安全局局长首次公开露面

8. 美国传感器巨头Sensata遭遇勒索攻击导致运营中断

9. CISA警告Linux USB音频驱动程序漏洞遭野外利用

10. Palo Alto Networks防火墙曝DoS漏洞（CVE-2025-0128）

11. Fortinet修复FortiSwitch严重漏洞(CVE-2024-48887)

12. AMD处理器曝严重漏洞EntrySign：攻击者可加载任意微码

13. 黑客利用WordPress插件认证绕过漏洞发起攻击

14. 思科7年旧漏洞仍威胁全球网络设备安全

15. 2025年勒索软件攻击呈现新趋势：数据泄露与双重勒索成主流

16. 2025年3月网络安全威胁报告：旧漏洞新攻击手法激增

17. 英国中小企业网络安全危机：一次攻击或致企业倒闭

18. 英国发布《2025年网络安全漏洞调查报告》

19. Forescout报告揭示2025年联网设备安全风险激增

20.银行木马Grandoreiro升级攻击策略瞄准拉丁美洲

备注: 更多专题资讯信息，欢迎订阅！

资讯详情

政策法规

1. 俄罗斯联邦通信监管局要求避免使用西方加密协议

【SecurityLab网站4月10日报道】俄罗斯联邦通信监管局(Roskomnadzor)发布最新指导意见，要求俄罗斯境内VPN服务提供商在数据传输过程中避免使用外国加密协议。该规定特别适用于那些用于访问俄罗斯境内受限信息的应用程序。根据新规，若因技术需求必须使用外国加密协议，相关企业需向公共通信网络监控中心(CMU CCCN)提交正式申请。申请需包含组织名称、纳税人识别号、所用连接协议、IP地址信息、使用目的以及负责人联系方式等详细信息。所有申请需通过电子邮件发送至[email protected]进行审批。该机构强调，只有在充分证明技术必要性的情况下，相关加密协议才能被列入例外清单。这一举措被视为俄罗斯加强网络空间主权、减少对外国技术依赖的最新努力。

2. 美国共和党议员呼吁简化网络安全监管

【IndustrialCyber网站4月10日报道】美国众议院国土安全与监督委员会共和党议员联名致信行政管理和预算办公室(OMB)主任拉塞尔·沃特，要求简化网络安全监管体系。由国土安全委员会主席马克·格林领衔的议员团体指出，当前重复且繁琐的网络安全法规已对关键基础设施运营商造成沉重负担。议员们援引美国政府问责局数据称，2020年四个联邦机构制定的网络安全要求中，存在49%至79%的相互冲突参数。他们要求OMB在4月28日前提交简化计划，并与国家网络主管办公室(ONCD)、网络安全和基础设施安全局(CISA)协调，全面审查监管冗余问题。信中强调，现行监管体系阻碍了企业灵活应对网络威胁的能力。议员们建议参照特朗普政府"10比1放松管制计划"，要求每出台一项新规必须废除十项旧规。上月，该委员会已就类似问题向运输安全管理局(TSA)提出质询，呼吁在交通领域采取更灵活的网络安全策略。

3. 美国将签署国际协议打击间谍软件滥用

【TheRecord网站4月11日报道】美国国务院宣布将签署一项旨在规范商业间谍软件使用的国际协议《Pall Mall行为准则》。该协议由英国和法国主导，已有21个国家签署，旨在联合监管商业网络入侵能力(CCIC)市场。这份自愿性协议试图区分有滥用记录的间谍软件供应商与其他市场参与者。近年来，波兰、墨西哥等国接连曝出间谍软件丑闻，该技术被用于针对政治反对派和记者等民间社会成员。数字自由组织Access Now技术顾问Natalia Krapiva对此表示欢迎，称这表明打击间谍软件滥用已成为两党共识。分析指出，协议签署后，如何促使供应商改变行为仍是关键挑战。

安全事件

4. 黑客宣称入侵WooCommerce致440万客户数据泄露

【Cybersecurity News网站4月10日报道】一名代号"Satanic"的黑客宣称成功入侵全球知名电商平台WooCommerce，导致440万客户数据泄露。被盗信息包括客户详细资料（电子邮件、电话号码、实际地址）、公司元数据（销售收入、员工规模、技术架构）以及130万独立邮箱和99.8万电话号码。黑客在Breach Forums论坛表示，漏洞源于CRM或营销自动化工具等第三方集成系统，而非WooCommerce核心平台。值得注意的是，这已是该黑客近期第三次发起类似攻击，此前曾针对Magento和Twilio的SendGrid发起攻击。作为占据全球36%在线商店市场份额的电商平台，WooCommerce母公司Automattic目前尚未就此事发表官方声明。黑客目前正通过私信和Telegram渠道出售被盗数据库。此次事件再次凸显了电商平台第三方集成系统的安全风险。

5. 南非电信运营商 Cell C 确认数据泄露

【Therecord网站4月10日报道】南非第四大移动网络运营商 Cell C 确认其数据在去年遭受网络攻击后被泄露到暗网。攻击者 RansomHouse 声称窃取了公司 2TB 的数据，Cell C 承认黑客未经授权访问了其部分 IT 系统，但未明确受影响用户数量，仅表示客户敏感信息被泄露。泄露信息包括全名、联系方式、身份证号、银行信息、驾照号码、医疗记录和护照详情等。Cell C 未透露是否收到赎金要求或与攻击者进行谈判。公司正与国际网络安全和法医专家合作，配合相关机构调查，并为利益相关者提供指导和结果。Cell C 首席执行官 Jorge Mendes 在致客户的信中表示，公司深知事态严重性，并对由此带来的困扰深感遗憾。公司已建立监控系统，跟踪泄露数据的潜在滥用情况。RansomHouse 是一个于 2022 年 3 月出现的网络犯罪团伙，以勒索手段闻名，该团伙威胁公开泄露数据，而非加密数据，声称是“正义之师”，旨在曝光公司漏洞。此前，RansomHouse 曾声称对芯片制造商 AMD、超市连锁 Shoprite Group 和萨斯喀彻温省酒类和博彩管理局等大型组织的攻击负责。

6. 特朗普下令审查前CISA局长克雷布斯撤销其安全许可

【Therecord网站4月10日报道】美国总统特朗普签署备忘录，撤销前网络安全和基础设施安全局（CISA）局长克里斯·克雷布斯的安全许可，并下令审查其关联人员（包括现任SentinelOne公司高管的克雷布斯）的许可资格。白宫声明称此举旨在调查CISA过去六年"压制保守派言论"的行为，指控克雷布斯在2020年大选期间"不当否认选举舞弊"。克雷布斯作为终身共和党人，曾因公开表示"2020年大选无技术问题"被特朗普解雇。备忘录还要求全面评估CISA活动，特别关注其与社交媒体平台合作打击虚假信息的工作。目前SentinelOne未予置评，该公司2024年7月刚与CISA达成网络安全合作协议。特朗普在讲话中嘲讽克雷布斯关于"史上最安全选举"的声明，同时提名肖恩·普兰基领导CISA。

7. 新任美国网络司令部和国家安全局局长首次公开露面

【Therecord网站4月10日报道】美国网络司令部和国家安全局代理局长威廉·哈特曼（William Hartman）陆军中将在参议院军事委员会网络小组委员会的听证会上首次公开露面。此次听证会是在前任局长蒂莫西·霍夫（Timothy Haugh）及其国家安全局副局长被解职后举行的，两党议员对此次解职事件均表示困惑。南达科他州共和党参议员迈克·朗兹（Mike Rounds）表示，能够领导这两个机构的人才稀缺，失去任何一位领导人都令人失望。罗德岛州民主党参议员杰克·里德（Jack Reed）则认为霍夫被解职是对军队的不尊重。听证会持续了不到50分钟，讨论了网络司令部现代化工作（“CYBERCOM 2.0”）的状态、权限和其他劳动力问题。朗兹询问了哈特曼对“双帽”领导体制的看法，哈特曼表示这种体制有助于快速、敏捷地行动，促进组织内部合作。他还强调，司令部的重点是阻止外国对手，特别是XX的恶意网络活动，提到了与XX有关的黑客组织“盐台风”和“伏特台风”。目前尚不清楚特朗普是否会正式提名哈特曼接替霍夫，或任命其他效忠者担任网络司令部和国家安全局局长。

8. 美国传感器巨头Sensata遭遇勒索攻击导致运营中断

【The Register网站4月10日报道】美国传感器制造商Sensata Technologies向美国证券交易委员会(SEC)提交8-K表格，披露其在4月6日遭受勒索软件攻击。此次攻击导致该公司"特定设备"被加密，影响了包括发货、接收、生产制造在内的多项关键业务功能。这家年收入达40亿美元(2023年)的传感器制造商表示，已采取网络下线等应急措施，并聘请第三方网络安全专家协助调查。尽管公司预计此次攻击不会对第二季度财报产生重大影响，但承认"事件的全部范围和影响尚不明确"。值得注意的是，Sensata是航空航天、国防、制造业等多个关键行业供应链的重要一环。专家指出，此类企业正是勒索团伙的重点攻击目标，因其业务中断可能引发供应链连锁反应。截至发稿，尚无黑客组织宣称对此次攻击负责。

漏洞预警

9. CISA警告Linux USB音频驱动程序漏洞遭野外利用

【Cybersecurity News网站4月10日报道】美国网络安全和基础设施安全局(CISA)将两个Linux内核高危漏洞(CVE-2024-53197和CVE-2024-53150)列入已知被利用漏洞目录。这两个漏洞存在于Linux USB音频驱动程序中，允许攻击者通过恶意USB设备实现权限提升或信息泄露。CISA要求联邦机构在4月30日前完成修补，并建议限制USB设备权限、监控异常USB活动。据悉，这些漏洞是解锁Android设备的零日漏洞链的一部分，已在内核版本6.12.2及更高版本中修复。

10. Palo Alto Networks防火墙曝DoS漏洞（CVE-2025-0128）

【Cybersecurity News网站4月10日报道】Palo Alto Networks PAN-OS防火墙软件中被发现存在一个严重的拒绝服务漏洞（CVE-2025-0128）。该漏洞CVSS评分为6.6，影响PAN-OS 10.1至11.2的多个版本，允许未经身份验证的攻击者通过发送特制数据包导致设备重启，持续攻击可能使设备进入维护模式。该漏洞存在于简单证书注册协议(SCEP)身份验证功能中，被归类为CWE-754（异常检查不当）和CAPEC-153（输入数据操纵）。虽然不影响数据机密性或完整性，但可能导致关键安全设备长时间不可用。安全研究员"Abyss Watcher"发现了该漏洞，目前尚未发现被利用案例。Palo Alto Networks已发布修复版本，建议用户立即升级。对于无法立即更新的系统，可通过CLI命令设置临时防护措施，但需注意每次重启后需重新应用。云下一代防火墙(NGFW)不受影响，Prisma Access安装已自动修复。

11. Fortinet修复FortiSwitch严重漏洞(CVE-2024-48887)

【SecurityLab网站4月10日报道】Fortinet近日修复了FortiSwitch设备中的一个严重漏洞(CVE-2024-48887，CVSS评分9.8)。该漏洞存在于6.4.0至7.6.0版本中，允许攻击者无需认证即可通过Web界面远程修改管理员密码。Fortinet已在6.4.7.0.11、7.2.9、7.4.5和7.6.1版本中修复该漏洞，同时建议暂时禁用HTTP/HTTPS管理接口并限制访问源IP作为临时解决方案。此外，Fortinet还修复了FortiIsolator中的命令注入漏洞(CVE-2024-54024)以及影响多个产品的中间人攻击漏洞(CVE-2024-26013、CVE-2024-50565)。值得注意的是，Fortinet产品近年来频繁成为攻击目标，包括2024年12月中国黑客利用FortiClient VPN零日漏洞窃取凭证的事件，以及2024年6月以来被利用的FortiManager漏洞(CVE-2024-47575)。

12. AMD处理器曝严重漏洞EntrySign：攻击者可加载任意微码

【SecurityLab网站4月10日报道】谷歌安全团队在AMD Zen架构处理器中发现一个高危漏洞EntrySign（编号AMD-SB-7033）。该漏洞影响从Zen 1到最新Zen 5架构的全系列处理器，包括消费级和服务器产品线。攻击者可通过内核级权限加载未签名微码更新，进而在处理器内部执行任意指令。漏洞源于AMD微码数字签名验证机制的缺陷，允许绕过安全验证流程。尽管微码更新在重启后失效，但该漏洞仍可被用于攻击运行中的系统，特别是可能突破SEV和SEV-SNP内存加密机制（编号AMD-SB-3019），威胁虚拟机数据安全。受影响产品包括最新发布的Ryzen EPYC 9005等Zen 5处理器。AMD已发布AGESA ComboAM5PI 1.2.0.3c微码修复消费级平台漏洞，但服务器平台补丁预计本月下旬才能推出。研究人员在RVSPOC 2025赛事中已成功利用该漏洞实现在AMD硬件上运行RISC-V架构代码。

13. 黑客利用WordPress插件认证绕过漏洞发起攻击

【Bleepingcomputer网站4月10日报道】网络安全公司Wordfence披露了WordPress插件OttoKit（原名SureTriggers）的高危认证绕过漏洞（CVE-2025-3102）。该漏洞允许攻击者绕过身份验证，在未授权情况下创建管理员账户，可能导致网站完全被接管。漏洞存在于所有版本≤1.0.78的OttoKit插件中，影响全球10万个网站。漏洞源于插件REST API认证函数authenticate_user()中缺少空值检查，若未配置API密钥，攻击者可通过发送空st_authorization标头绕过验证。安全研究员"mikemyers"于3月中旬发现该漏洞并获1024美元奖金，厂商于4月3日发布修复版本1.0.79。然而，漏洞公开仅4小时后，黑客便开始大规模自动化攻击，尝试创建随机管理员账户。WordPress安全平台Patchstack警告，此类漏洞的快速武器化凸显了及时更新的重要性。建议用户立即升级至v1.0.79，并检查日志中的异常管理员账户、插件安装记录等入侵迹象。OttoKit作为连接WooCommerce、Mailchimp等工具的自动化插件，其安全问题可能引发连锁风险。

14. 思科7年旧漏洞仍威胁全球网络设备安全

【GBHackers网站4月10日报道】思科智能安装协议漏洞(CVE-2018-0171)虽已修补7年，但仍在威胁全球网络基础设施。该漏洞允许攻击者在思科交换机和路由器上远程执行代码，中国APT组织Salt Typhoon近期利用该漏洞攻击了美国电信供应商。研究人员发现，目前仍有1200多台设备暴露在互联网上，其中300多台易受攻击。攻击者可窃取配置、收集凭证或篡改固件。美国参议院报告称此类攻击是"史上最严重的电信入侵"。思科建议禁用智能安装功能(no vstack命令)、限制4786端口访问并升级加密标准。专家强调网络分段和固件更新的紧迫性。

风险预警

15. 2025年勒索软件攻击呈现新趋势：数据泄露与双重勒索成主流

【Cybersecurity News网站4月10日报道】根据Rapid7最新研究报告显示，2025年第一季度全球勒索软件攻击持续升级，呈现出专业化、产业化发展趋势。报告指出，当前活跃的80个勒索软件组织中，制造业成为首要攻击目标（占比22%），其次是商业服务（11%）和医疗健康行业（10%）。其中ClOp和RansomHub组织最为活跃，仅ClOp就在第一季度发布了413个数据泄露帖子。值得关注的是，勒索软件组织正将非法所得用于购买零日漏洞等高级攻击工具。2月份曝光的Black Basta聊天记录显示，有组织以20万美元高价购买Ivanti Connect Secure的远程代码执行漏洞。攻击手法方面，犯罪团伙普遍采用"双重勒索"策略，在加密系统的同时窃取数据，并通过专门的泄密网站施压。赎金金额从1万至60万美元不等，支付期限设定为48小时至90天。目前主流的勒索软件即服务(RaaS)商业模式降低了犯罪门槛，附属运营商可获得70-80%的赎金分成。新兴组织如Anubis更创新性地结合"恶意即服务"模式，通过社交媒体公开羞辱受害者以施压。专家建议企业加强多因素认证、持续漏洞修复和全面的攻击面监控等基础防护措施。

16. 2025年3月网络安全威胁报告：旧漏洞新攻击手法激增

【SecurityLab网站4月10日报道】3月份网络安全威胁呈现两大趋势：针对老旧漏洞的大规模扫描和新型AWS SSRF攻击。数据显示，2017年的PHPUnit漏洞(CVE-2017-9841)以近7万次扫描量位居榜首，该漏洞允许远程代码执行且自2024年5月起攻击量持续攀升。TP-Link路由器漏洞(CVE-2023-1389)和Windows PHP-CGI漏洞(CVE-2024-4577)分列二三位，后者被用于部署加密货币矿工和僵尸网络。值得注意的是，2019年的ThinkPHP漏洞(CVE-2019-9082)仍被频繁利用，凸显老旧漏洞的持久威胁。在云安全方面，攻击者通过SSRF技术针对AWS EC2实例元数据发起精心策划的攻击，主要目标是窃取IAM凭证。所有攻击均源自法国某公司的IP地址，采用多种参数变体尝试绕过防护。AWS建议用户迁移至IMDSv2协议以增强防护。安全专家强调，需定期漏洞扫描、及时更新补丁，并部署WAF等防护工具，特别要监控可疑出站流量。

17. 英国中小企业网络安全危机：一次攻击或致企业倒闭

【SecurityLab网站4月10日报道】沃达丰商业最新研究显示，英国中小企业因网络安全防护薄弱每年损失约34亿英镑（43.5亿美元）。数据显示，近三分之一企业在过去一年遭遇网络攻击，其中28%的企业遭受1-5次攻击，6%的企业甚至遭遇多达10次攻击。网络钓鱼是最主要的攻击形式（占比70%），其次是勒索软件（24%）和DDoS攻击（20%）。研究揭示，单次网络攻击造成的平均损失达3,398英镑（4,350美元），对于50人以上企业则升至5,001英镑（6,400美元）。令人担忧的是，28%的受访企业表示一次成功的网络攻击就可能导致其完全停业。尽管风险巨大，仍有三分之一企业未采取任何防护措施，40%企业年度安全投入不足100英镑（130美元），超半数企业未对员工进行网络安全培训。沃达丰呼吁政府扩大"Cyber Local"计划覆盖范围，并在常规行政流程中加强网络安全宣传。针对50人以上企业，建议将网络安全纳入强制报告要求，同时为安全软硬件投资提供税收优惠。专家强调，提升中小企业数字韧性对保障就业和经济稳定至关重要。

18. 英国发布《2025年网络安全漏洞调查报告》

【IndustrialCyber网站4月10日报道】英国科学、创新与技术部(DSIT)和内政部联合发布的《2025年网络安全漏洞调查》显示，43%的英国企业在过去12个月内遭遇网络安全事件。报告指出，虽然整体数字较2024年有所下降，但中大型企业受害率仍高达70-74%，凸显网络安全挑战依然严峻。调查显示，网络钓鱼仍是最主要的攻击形式（占比85%），但勒索软件攻击数量翻倍增长，达到1%。更令人担忧的是，企业平均遭受30次网络攻击，重复受害率居高不下。财务影响方面，网络犯罪平均造成每家企业990英镑损失，而网络欺诈的平均损失高达5900英镑。报告发现，尽管77%的企业已部署基础防护措施，但采用双因素认证(40%)、VPN(31%)等高级防护措施的比例仍然偏低。值得注意的是，仅有27%的企业在董事会层面设立网络安全负责人，较2021年的38%明显下降。专家警告称，随着AI驱动的网络钓鱼技术发展，企业需加强多层安全防护体系。报告建议企业提升供应链风险管理能力，仅有14%的企业会评估直接供应商的网络安全风险。

19. Forescout报告揭示2025年联网设备安全风险激增

【IndustrialCyber网站4月10日报道】网络安全公司Forescout发布《2025年最具风险的互联设备》年度报告显示，全球联网设备安全风险显著上升。报告涵盖IT、物联网(IoT)、运营技术(OT)和医疗物联网(IoMT)四大领域，发现医疗设备安全风险尤为突出。报告指出，路由器占高风险设备的50%以上，平均设备风险同比上升15%。零售业成为风险最高的行业，平均风险评分达8.98。值得注意的是，通用网关、历史数据库等OT设备首次进入高风险榜单，同时上榜的还有四种新型医疗设备：成像设备、实验室设备、医疗工作站和输液泵控制器。Forescout首席执行官Barry Mainz警告称："网络犯罪分子正将目标转向维持医院、工厂运转的关键设备。"报告显示，西班牙、中国和英国成为设备风险最高的三个国家，全球平均风险评分较去年上升33%。

恶意软件

20. 银行木马Grandoreiro升级攻击策略瞄准拉丁美洲

【Cybersecurity News网站4月10日报道】知名银行木马Grandoreiro近期针对拉丁美洲银行用户展开新一轮网络钓鱼攻击，该木马属于基于Delphi的恶意软件家族，主要针对Windows设备，已从巴西扩展至墨西哥、秘鲁、智利等多个拉美国家。ANY.RUN研究人员在2月19日至3月14日期间监测到攻击激增，攻击链始于伪装成PDF下载的钓鱼页面，实际分发包含恶意加载程序的压缩文件。此次攻击采用了多项高级规避技术：通过地理围栏技术仅针对拉丁美洲IP地址激活，利用DNS-over-HTTPS(DoH)通过Google DNS解析C2域名规避检测，并采用沙盒规避技术延迟执行恶意行为。木马执行流程包括：首先验证受害者地理位置，仅对拉美地区用户进行后续攻击；接着查询dns.google来解析C2域名以绕过本地DNS过滤；最后建立C2连接实施窃取银行凭证、记录键盘输入和远程控制等恶意行为。安全专家建议企业重点关注以下异常行为指标：伪装成PDF的可疑压缩附件、执行后立即向dns.google发起DNS查询、使用第三方服务进行地理位置检查、与未知IP的异常外联等，这些信号可帮助在感染扩散前及时发现威胁。该木马的持续演变表明，传统的静态检测方法已不足以应对当前威胁，需要结合行为分析等动态检测手段。