每周网络安全简讯 ( 2025年 第17周 )

01

 01 

近日，研究人员发现了一个多阶段的恶意软件活动，可能与朝鲜的 Konni APT 组织有关。该活动通过一个伪装成韩国文件的恶意 .lnk文件开始，该文件伪装成一个名为 “提案” 的 PDF 文件，引诱用户点击，从而触发 PowerShell 脚本。PowerShell 脚本通过复杂的加密和解密操作，提取隐藏的PDF诱饵文件、CAB文件和VBS脚本。然后VBS脚本静默执行后续的批处理文件，这些文件负责数据收集、系统信息收集和数据上传。攻击者收集用户的下载文件夹、文档文件夹和桌面文件夹的目录列表，以及系统信息，并将这些数据加密后上传到C2 服务器。该活动使用了多个工具和脚本，包括 start.vbs、60901024.bat、57579534.bat、54744204.bat和33283112.bat等，每个脚本都有特定的功能，如数据加密、文件下载、文件上传等。攻击者还利用了韩国流行的 KakaoTalk 应用程序的链接，进一步伪装攻击。

 02 

近日，奇安信威胁情报中心红雨滴团队发现了一个名为UTG-Q-017的境外高级窃密组织，该组织自2024年8月起活跃，利用广告js投递带有Chrome Nday的链接，实施“短平快”的网络攻击。其攻击链全程无文件落地，通过内存注入shellcode加载窃密木马lumma stealer，窃取文件后迅速撤退。该组织每次攻击使用全新的 C2 和域名，且控制时间极短，通常在3-5分钟内完成攻击，难以被发现。其主要针对Chrome（109.0.5414.120）+Win7 sp1的政企终端，攻击成本高昂，但收益显著。目前，奇安信相关产品已支持对此类攻击的精确检测。

 03 

APT-C-27（黄金鼠）是一个活跃于中东地区的攻击组织，主要目标包括叙利亚反对派和土耳其等国。该组织的攻击活动最早可追溯至2014年，近年来其攻击重心逐渐从Windows平台转向Android移动端，但2024年12月，360 高级威胁研究院捕获了其新的PC端攻击武器样本。该样本母体为一个名为“clean new.exe”的PE文件，真正的恶意程序隐藏在其资源中，通过字符替换解密出Revenge-RAT远程控制程序并执行，连接至 C2 服务器。该恶意软件能够收集系统信息、执行文件下载和更新、加载插件等操作。攻击者使用的C2 服务器IP地址为31.9.48.183，属于叙利亚电信公司。

 04 

近日，韩国AhnLab研究人员发现，朝鲜背景的APT组织Kimsuky（追踪代号Larva-24005）近期利用已修补的Microsoft远程桌面协议（RDP）漏洞BlueKeep（CVE-2019-0708）入侵目标系统。此外，Kimsuky还通过钓鱼邮件及Microsoft Office Equation Editor漏洞（CVE-2017-11882）传播恶意软件，并利用被攻陷系统向韩国和日本目标用户发送钓鱼邮件。

 05 

近日，研究人员发现与伊朗APT34组织关联的恶意基础设施早期活动迹象。该组织在2024年11月至2025年4月期间，搭建了伪装成伊拉克学术机构及虚假的英国科技公司的服务器集群。攻击基础设施三大特征：共享SSH密钥、在8080端口部署标准化HTTP诱饵响应(404错误)、采用特定主题域名模式。虽然尚未检测到有效载荷，但该战术组合与APT34历史攻击手法高度吻合，预示着该组织可能针对教育、能源及政府领域的新一轮攻击正在筹备中。

02

 01 

近日，乌克兰总统弗拉基米尔·泽连斯基已签署一项全面的网络安全法案，旨在强化对国家网络和关键基础设施的保护，以应对不断升级的俄罗斯相关网络攻击浪潮。新颁布的第4336-IX号法律，名为《乌克兰关于国家信息资源和关键信息基础设施对象的信息保护与网络安全的若干法律修正案》，对乌克兰国家网络战略进行了大规模改革。该法案于3月27日获议会通过，并于上周正式签署成为法律。该法律最具影响力的内容之一是建立了国家网络事件响应系统。该框架明确规定了国家响应团队与各相关机构之间的职责分工及协调机制。同时，引入了危机响应协议，以便在遭遇大规模或国家级网络攻击时，政府能够迅速启动紧急应对措施。为配合这一机制，法律还规定建立一个网络事件信息交换平台。该平台将简化公共与私营部门在事件报告、处理和披露方面的流程，推动预警机制并加快修复速度。该系统借鉴了欧盟的实践经验，旨在高压环境下减少重复操作与混乱局面。该法律引入的另一项重大结构性改革，是废除了“综合信息保护系统”（CIPS）框架，因为该框架被批评为过时且缺乏灵活性。取而代之的是，乌克兰将采纳一种现代化的风险管理模式，强调在数字系统的整个生命周期内持续保障安全。每个系统将根据其特性设定专属的保护配置文件，并由注重灵活性而非官僚程序的监管机制进行监管。法律还引入了一个包含定期审计的网络安全评估体系。政府特别指出，审计过程将避免过度干预，重点放在实际成效与组织成熟度上。为配合法律的实施，法案规定在各政府部门及关键基础设施单位中设立专职的网络安全官员。该职位将负责领导本单位的网络安全政策，管理合规事务，并在发生网络事件时与国家机构进行协调。这一举措体现出乌克兰在推动网络安全专业化方面的决心，旨在减少不同机构之间防御工作的碎片化现象。

 02 

随着网络钓鱼攻击手段日益复杂，攻击者开始利用SVG（可缩放矢量图形）文件嵌入HTML代码来实施钓鱼攻击。SVG是一种基于XML的二维矢量图形格式，支持JavaScript和HTML，这使得攻击者可以将钓鱼链接或脚本嵌入其中。2025年初，研究人员发现了一些伪装成HTML附件的SVG文件钓鱼邮件，这些邮件的附件在文本编辑器中显示为HTML页面，包含指向钓鱼页面的链接。例如，攻击者伪装成Google Voice页面，诱导用户点击链接并窃取其登录凭证。此外，还有攻击者利用SVG文件伪装成电子签名服务通知，通过JavaScript代码在浏览器中打开一个包含假冒Microsoft登录表单的钓鱼网站。统计数据显示，2025年3月SVG钓鱼邮件数量显著增加，仅第一季度就发现了2825封此类邮件，4月上半月已检测到1324封。尽管这种攻击手段尚未广泛传播，但其上升趋势明显，攻击者可能会利用SVG文件进行更复杂的针对性攻击。

 03 

近日，朝鲜IT工作者被发现利用实时深度伪造技术创建合成身份，通过远程工作职位渗透组织，带来严重的安全、法律和合规风险。研究表明，即使是没有图像处理经验的研究人员，也能在70分钟内利用现成的工具和廉价硬件创建出足以用于面试的合成身份。这种技术的可访问性对组织构成了严重的安全威胁，且当前深度伪造技术的局限性正在迅速减少。具体来看，研究人员仅使用AI搜索引擎、普通的网络连接以及2020年底购买的 GTX 3070图形处理单元，就成功创建了合成身份。他们利用thispersonnotexist[.]org生成的单张图片以及免费的深度伪造工具，生成了多个身份，并展示了身份切换的过程。进一步使用更强大的图形处理单元和更复杂的处理技术，可以生成更逼真的深度伪造视频。这种合成身份的创建和使用，使得朝鲜IT工作者能够多次以不同身份应聘同一职位，并且避免被识别和列入安全公告或通缉名单。这不仅增强了他们的行动安全性，还降低了被发现的可能性。

 04 

近日，Ethereum Name Service（ENS）的首席开发人员Nick Johnson首次报告了一种针对Gmail用户的复杂网络钓鱼攻击。攻击者利用Google的基础设施，创建看似来自Google的电子邮件，诱使收件人交出他们的Google账户凭据。攻击邮件伪装成法律传票通知，包含一个指向sites.google.com的链接，该链接指向一个与官方Google支持门户几乎一模一样的页面。攻击者利用了DKIM（DomainKeys Identified Mail）签名电子邮件的漏洞，通过转发合法邮件来绕过安全检查。攻击者通过以下步骤实施攻击：首先，创建一个以me@开头的Gmail账户，使邮件看起来像是发给自己的。然后，注册一个OAuth应用程序，并将应用名称设置为与钓鱼链接匹配。接着，授予OAuth应用程序访问其Google账户的权限，触发来自[email protected]的合法安全警告。由于该警告由Google生成，因此带有有效的DKIM签名，能够通过所有安全检查。最后，攻击者未经修改地转发该邮件，保持DKIM签名的有效性。

 05 

近日，韩国最大电信运营商SK电讯（SK Telecom）遭遇恶意软件攻击，导致客户通用用户识别模块（USIM）数据外泄。USIM卡存储包括国际移动用户识别码（IMSI）及加密密钥在内的关键用户信息。SK电讯在发现入侵后立即向韩国互联网振兴院（KISA）报告，并于4月20日对受影响系统进行清理隔离。

 06 

近日，Trend Micro研究人员发现，俄罗斯的多个IP范围被用于与朝鲜相关的网络犯罪活动，这些活动与Void Dokkaebi（也称 Famous Chollima）入侵集有关。这些 IP 范围位于俄罗斯的哈桑和哈巴罗夫斯克，两地均与朝鲜有经济和文化联系。朝鲜IT工作者通过这些IP范围连接到全球的VPS服务器，进行加密货币相关操作和虚假招聘活动。虚假招聘活动涉及创建虚构公司（如 BlockNovas），在 LinkedIn等平台上发布职位，吸引 IT 专业人员申请。申请者在面试过程中被诱导下载并执行恶意软件，从而泄露加密货币钱包和敏感信息。此外，朝鲜的网络犯罪活动还涉及通过俄罗斯IP范围进行暴力破解加密货币钱包密码的操作。

 07 

近日，研究人员发现俄罗斯黑客借助加密通讯对乌克兰发起微软OAuth认证攻击，攻击者冒充欧洲多国官员，并至少在一次案例中利用被入侵的乌克兰政府账户诱骗受害者提供微软生成的OAuth代码以控制其账户。攻击者通过Signal和WhatsApp等即时通讯软件联系目标，邀请其参加与欧洲政要的视频通话或注册涉及乌克兰事务的私人会议，最终诱导受害者点击托管在Microsoft 365基础设施上的链接。研究人员表示：“若目标回应信息，对话将迅速推进至实际安排会议时间。当约定时间临近时，伪装成欧洲政要的攻击者会再次联系目标，发送会议加入指引。”这些指引以文档形式呈现，随后攻击者发送会议链接。所有URL均重定向至Microsoft 365官方登录门户。具体而言，攻击者设计的链接会重定向至微软官方URL并在过程中生成微软授权令牌，该令牌将出现在URI或重定向页面正文中。攻击随后试图诱骗受害者与攻击者共享该代码。这是通过将已认证用户重定向至浏览器版Visual Studio Code（insiders.vscode[.]dev）实现的，令牌将在此界面显示给用户。若受害者分享OAuth代码，UTA0352将生成访问令牌以最终控制受害者M365账户。

 08 

近日，研究人员披露伊朗黑客组织UNC2428对以色列发起钓鱼攻击。攻击者伪装成以色列国防承包商Rafael的招聘人员，通过虚假职位诱骗目标下载名为"RafaelConnect.exe"的恶意安装程序（LONEFLEET）。该程序呈现仿真的图形界面（GUI）诱导受害者填写个人信息，实则暗中部署MURKYTOUR后门，并通过LEAFPILE启动器维持持久化访问。

 09 

近日，研究人员披露针对Docker环境的恶意挖矿活动。攻击者利用Docker Hub上的"kazutod/tene:ten"镜像部署恶意节点，连接至去中心化基础设施网络Teneo。该恶意软件通过节点，秘密抓取Facebook、X（原Twitter）、Reddit及TikTok等社交平台公开数据以获取Teneo积分（可兑换为$TENEO代币），实现带宽资源变现。

03

 01 

 02 

 03 

 04 

 05 

点赞在看转发 是对我们最好的支持