瑞典Outpost24公司高管遭Kratos垂纶攻击

宣布时间 2026-03-18

1. 瑞典Outpost24公司高管遭Kratos垂纶攻击


3月16日，瑞典袒露管理与身份清静公司Outpost24的子公司Specops Software克日披露，该公司一名C级高管成为重大垂纶攻击的目的。此次攻击可能使用了名为Kratos的垂纶即服务工具包，接纳七步攻击链，使用分层基础设施和正当服务规避检测。攻击者冒充金融服务提供商JP Morgan，将垂纶邮件伪装成现有邮件线程的一部分，约请收件人审查并签署文件。攻击者使用两个DomainKeys Identified Mail(DKIM) 署名确保邮件通过DMARC验证，增添可信度。邮件中包括指向Cisco正当域名secure-web.cisco.com的"审查文件"链接，该域名通常用于Cisco验证后重写邮件URL。攻击链下一步涉及重定向至正当邮件API平台Nylas，确保垂纶链接通过Cisco Secure Web基础设施重定向。随后目的被重定向至一家印度开发公司网站的子域名，再跳转至一个最初由中国实体于2017年注册的域名。用户最终被重定向至安排在Cloudflare后方的垂纶基础设施，隐藏源服务器。最后受害者被泛起一个逼真的垂纶页面，用于窃取Microsoft 365凭证。


https://www.securityweek.com/security-firm-executive-targeted-in-sophisticated-phishing-attack/


2. 俄罗斯彼尔姆市停车支付系统遭DDoS攻击瘫痪


3月17日，俄罗斯彼尔姆市(Perm)停车支付系统克日遭受大规模漫衍式拒绝服务(DDoS)攻击后恢复运营。该市政府周一确认，系统现已完全恢复正常运行，所有支付方法均可正常使用。外地官员体现，此次中止由大规模DDoS攻击引起，攻击压垮了该市自动停车支付基础设施。攻击导致全市停车支付暂停，驾驶员无法通过官方应用程序和网站支付停车费。3月10日至3月13日系统瘫痪时代，官员体现驾驶员不会因未支付停车费而面临处分。彼尔姆市的付费停车区通常在周末免费。这是近年来俄罗斯都会停车系统至少第三次遭受此类攻击。去年1月，克拉斯诺达尔(Krasnodar)市驾驶员因电信运营商遭受DDoS攻击而无法支付停车费，相关服务受到滋扰。2024年10月，特维尔市(Tver)停车支付也因破损性网络攻击外地政府网络而中止。现在尚不清晰彼尔姆事务是否与先前攻击有关联，暂无黑客组织宣称对此认真。


https://therecord.media/cyberattack-russia-parking-system


3. 英国公司注册局WebFiling服务曝要害误差


3月17日，英国公司注册局（CompaniesHouse）克日确认其WebFiling网络filing服务保存要害清静误差，该误差可能使攻击者会见500万家注册公司的非果真信息。误差于2025年10月引入系统，2026年3月12日由GhostMail研究职员JohnHewitt发明并报告，随后于当周周末完成修复。该误差允许任何已登任命户会见其他公司在CompaniesHouse平台上的账户。攻击者无需特殊手艺手艺，只需选择"为另一家公司filing"选项，输入目的公司的唯一编号，在提醒输入验证码时按一再返回键，即可自动登录目的公司账户。乐成使用该误差的攻击者可能获取董事出生日期、家庭住址和电子邮箱等敏感信息，还可修改公司详细信息并提交未经授权的filing文件。CompaniesHouse在周一宣布的声明中确认了该清静误差，体现该问题仅影响其WebFiling服务�；骨康�，误差只能由经由身份验证的攻击者使用，通俗公众无法会见。误差未袒露密码及身份验证历程中网络的信息（如护照等）。别的，攻击者无法对现有filing文件举行修改。


https://www.securityweek.com/uk-companies-house-exposed-details-of-millions-of-firms/


4. RondoDox僵尸网络升级攻击战略


3月17日，RondoDox僵尸网络克日升级攻击运动，针对174个误差提倡逐日高达15,000次的使用实验，接纳越发集中和战略化的攻击战略。网络清静公司Bitsight宣布的报告显示，该僵尸网络自2025年5月25日至2026年2月16日时代一连扩大攻击规模。该僵尸网络最早由TrendMicro于2025年6月15日发明，其时正在使用CVE-2023-1389误差攻击TP-LinkArcherAX21路由器。以后，RondoDox一连扩展攻击目的，涵盖DVR、NVR、闭路电视系统和Web服务器等30多种装备类型。2025年12月，CloudSEK研究职员忠言该僵尸网络正在使用要害React2Shell误差（CVE-2025-55182）在易受攻击的Next.js服务器上投放恶意软件和加密矿工。Bitsight研究职员剖析发明，攻击者一连轮换使用的误差，在174个误差中映射出148个CVE，其中15个有果真看法验证但无CVE编号，尚有11个未找到果真看法验证。攻击运动泛起海浪式特征：普遍测试阶段后追随选定误差的恒久使用期。2025年10月误差使用数目抵达单日49个的峰值，随后稳固在40个左右，2026年头急剧下降至仅2个误差，批注攻击战略转向更少但更有用的误差使用。


https://securityaffairs.com/189569/malware/rondodox-botnet-expands-arsenal-targeting-174-flaws-and-hits-15000-daily-exploit-attempts.html


5. LeakNet勒索软件接纳新型BYOR攻击手艺


3月17日，LeakNet勒索软件团伙克日接纳ClickFix社会工程攻击手艺获取企业情形初始会见权限，并安排基于开源Deno运行时的恶意软件加载器。该团伙自2024年底以来活跃，平均每月攻击约3个受害者，随着新手艺的接纳，其攻击规� ？赡芙徊嚼┐�。清静公司ReliaQuest将这种战术称为"自带运行时"（BYOR）攻击。Deno是正当的JavaScript/TypeScript运行时，允许在系统上执行浏览器外的JS/TS代码。由于Deno经由数字署名且正当，可绕过未知二进制执行的阻止列表和过滤器。攻击者通过装置正当的Deno可执行文件来运行恶意代码，而非安排更容易被标记的自界说恶意软件加载器。执行后，代码会指纹识别主机、天生唯一受害者ID，并毗连下令控制服务器获取第二阶段载荷。同时运行长期轮询循环以吸收来自下令控制服务器的新下令。在后使用阶段，LeakNet使用DLL侧加载、下令控制信标、通过klist枚举举行凭证发明、通过PsExec举行横向移动，以及通过滥用AmazonS3存储桶举行载荷staged和数据外泄。


https://www.bleepingcomputer.com/news/security/leaknet-ransomware-uses-clickfix-and-deno-runtime-for-stealthy-attacks/


6. GlassWorm供应链攻击卷土重来波及433个组件


3月17日，GlassWorm供应链攻击运动克日卷土重来，针对GitHub、npm和VSCode/OpenVSX平台上的数百个软件包、客栈和扩展提倡协调攻击。Aikido、Socket、StepSecurity和OpenSourceMalware社区的研究职员本月共识别出433个被攻陷的组件。最新一轮GlassWorm攻击规模更为重大，波及200个GitHubPython客栈、151个GitHubJS/TS客栈、72个VSCode/OpenVSX扩展和10个npm软件包。攻击者首先攻陷GitHub账户强制推送恶意提交，然后在npm和VSCode/OpenVSX上宣布包括混淆代码的恶意软件包和扩展以逃避检测。在所有平台上，恶意代码每5秒盘问一次Solana区块链获取新指令。2025年11月27日至2026年3月13日时代，共发明50笔新生意，主要用于更新载荷URL。指令嵌入生意备忘录中，指导下载Node.js运行时并执行基于JavaScript的信息窃取程序。该恶意软件针对加密钱币钱包数据、凭证和会见令牌、SSH密钥以及开发者情形数据。代码注释剖析批注GlassWorm由俄语威胁行为者策划，恶意软件在检测到系统为俄语情形时会跳过执行。


https://www.bleepingcomputer.com/news/security/glassworm-malware-hits-400-plus-code-repos-on-github-npm-vscode-openvsx/