第340期

本周热点事件威胁情报

2025年4月24日，研究人员发现，黑客正大规模利用配置不当的Kubernetes（K8s）集群部署加密货币挖矿恶意软件。攻击者通过弱密码爆破、认证绕过等方式入侵集群，创建非法容器并劫持受害组织的计算资源进行门罗币（Monero）等加密货币挖矿。此类攻击不仅导致企业云资源成本激增，还可能影响关键业务应用的性能。

参考链接：

https://cybersecuritynews.com/threat-actors-taking-advantage-of-unsecured-kubernetes-clusters/

医疗机构遭勒索攻击致近百万患者数据泄露

2025年4月24日，美国马里兰州大型医疗机构Frederick Health披露，其于1月27日遭受勒索软件攻击，导致近百万患者敏感信息泄露，泄露数据包括患者姓名、住址、出生日期、社会安全号码、驾照号码、医疗保险信息及临床诊疗记录。Frederick Health在3月底向患者发出通知，并联合执法部门及第三方取证公司展开调查，但未透露是否支付赎金或攻击者身份。

参考链接：

https://www.bleepingcomputer.com/news/security/frederick-health-data-breach-impacts-nearly-1-million-patients/

勒索软件ELENOR-corp针对医疗行业发起定向攻击

2025年4月24日，研究人员发现新型勒索软件ELENOR-corp（Mimic勒索软件7.5版本变种）正针对医疗行业发起定向攻击。该恶意软件具备数据窃取、持久化访问及反取证能力，旨在最大化破坏受害机构的恢复能力。ELENOR-corp确保命令行访问，而不受系统限制，还会强制卸载虚拟驱动器，从而防止在挂载的环境中隐藏数据存储。

参考链接：

https://www.infosecurity-magazine.com/news/elenor-corp-ransomware-targets/?&web_view=true

代号为ToyMaker的勒索组织开展双重勒索攻击

2025年4月26日，研究人员披露，一个代号为ToyMaker的初始访问中介（IAB）正通过定制恶意软件LAGTOY（又名HOLERUN）入侵企业网络，并将访问权限转售给CACTUS等实施双重勒索的勒索软件组织。该恶意软件具备反向Shell连接及远程命令执行能力，使攻击者能完全控制受感染终端。ToyMaker主要出于经济利益，专门扫描并利用系统漏洞建立初始入侵点，为下游勒索攻击铺路。

参考链接：

https://thehackernews.com/2025/04/toymaker-uses-lagtoy-to-sell-access-to.html