BianLian勒索软件使用SVG垂纶攻击委内瑞拉企业
宣布时间 2026-03-311. BianLian勒索软件使用SVG垂纶攻击委内瑞拉企业
3月27日，WatchGuard研究职员克日披露，BianLian勒索软件组织正针对委内瑞拉企业提倡新型网络垂纶攻击，通过恶意SVG图像文件和巧妙重定向手艺绕过古板清静防护，实验高速AES加密勒索。此次攻击高度集中在委内瑞拉，攻击链始于伪装成发票或预算的垂纶邮件，附件为使用西班牙语命名的SVG文件，看似通俗图片实则嵌入XML代码。用户翻开文件后，会神秘毗连外部URL，下载由Go语言编写的隐藏Windows程序作为有用载荷。攻击者接纳16位令牌系统转达恶意程序，该程序具备反监控能力，会检测Wine工具以判断是否处于清静剖析情形，并在系统“挂起”时一连监视，使用防御逍遥执行攻击。其焦点武器是高速AES加密�？�，可快速锁定文件实验勒索。手艺细节显示，该攻击通过缩短链接服务ja.cat举行流量重定向，最终指向被入侵的巴西域名，形成多层跳板规避追踪。WatchGuard研究指出，这些战略与BianLian组织自2022年以来的作案手法高度吻合。
https://hackread.com/bianlian-ransomware-fake-invoice-svg-images-attacks/
2. 西班牙维戈港遭勒索软件攻击
3月26日，西班牙维戈港克日遭遇勒索软件攻击，导致其数字系统严重受损。攻击于周二清早被发明，影响加利西亚地区口岸用于货物运输管理及其他数字服务的盘算机服务器。部分装备被锁定，攻击者要求支付赎金以恢复系统会见权限。为阻止攻击扩散，港务局手艺团队迅速将受影响系统与外部网络隔离，并启下手行动业模式。口岸总裁卡洛斯·博塔纳强调，在清静团队确认系统绝对清静前，不会重新毗连任何数字系统，现在尚无恢复数字运营的时间表。只管船舶航行和货物装卸等实体运营仍在继续，但依赖数字平台的物流协调事情受到显著影响，部分操作职员已转为人工操作并依赖纸质文件完成事情。视察正在举行中，以确定攻击者怎样入侵网络以及是否保存敏感数据泄露。博塔纳将此次事务定性为经济念头的网络攻击，旨在勒索赎金。阻止现在，尚无任何网络犯法组织宣称对此次攻击认真。
https://therecord.media/port-of-vigo-ransomware
3. FortiClient EMS高危SQL注入误差遭活跃使用
3月30日，威胁情报公司Defused克日披露，攻击者正起劲使用Fortinet FortiClient EMS平台的CVE-2026-21643严重SQL注入误差。该误差允许未经身份验证的威胁行为者通过结构恶意HTTP请求，在未修补的FortiClient EMS 7.4.4版本Web界面执行恣意代码或下令，攻击重漂后低且无需特殊权限。Defused强调，只管CISA及其他已知使用误差（KEV）目录仍标记该误差为“未被使用”，但其内部数据已证实四天前泛首先次使用案例。误差由Fortinet清静团队内部发明，影响7.4.4版本，用户可通过升级至7.4.5或更高版本修复。然而，Fortinet尚未更新清静通告或确认误差已被现实使用。据Shodan扫描，近1000个FortiClient EMS实例已果真袒露；Shadowserver追踪到超2000个袒露实例，其中1400个IP地址位于美国和欧洲，大都集中在美国。
https://www.bleepingcomputer.com/news/security/critical-fortinet-forticlient-ems-flaw-now-exploited-in-attacks/
4. 俄TA446使用DarkSword误差对iOS装备提倡垂纶攻击
3月30日，与俄罗斯关联的高级一连威胁组织TA446（又名SEABORGIUM、ColdRiver等）正使用DarkSword误差使用工具包，针对iOS装备提倡定向鱼叉式网络垂纶攻击。该组织自2017年起一连活跃，主要针对北约国家及东欧地区（含乌克兰），目的涵盖国防/情报公司、非政府组织、政府间组织、智库、高校，以及前情报官员、俄罗斯事务专家和外洋俄公民，通过窃取凭证与情报实现入侵和数据窃取。此次攻击中，TA446通过伪造大西洋理事会邮件发送链接，链接指向看似无害的PDF诱饵文件，使用服务器端过滤机制将用户重定向至DarkSword误差使用工具包，实验定向投放战略。该工具包包括远程代码执行（RCE）、PAC绕过等组件，虽未发明沙箱逃逸，但已证实通过加载器MD5关联TA446第二阶段域名，显示着实际使用。
https://securityaffairs.com/190139/apt/russia-linked-apt-ta446-uses-darksword-exploit-to-target-iphone-users-in-phishing-wave.html
5. 医疗科技公司CareCloud称黑客窃取了患者数据
3月30日，医疗信息手艺公司CareCloud克日披露一起严重数据泄露事务，引刊行业关注。该公司总部位于美国新泽西州，作为果真上市的医疗保健IT服务商，主要提供SaaS软件、收入周期管理、电子康健纪录（EHR）等解决计划。据CareCloud向美国证券生意委员会提交的文件显示，2026年3月16日，其旗下CareCloud Health部分遭遇网络中止，导致六个电子康健纪录情形之一的功效和数据会见受阻，一连约8小时后完全恢复。经视察确认，黑客在入侵时代会见了该公司IT基础设施，并造成存储客户患者康健纪录的特定情形数据泄露。只管公司强调未经授权的数据会见规模有限，但详细受影响人数及数据类型仍待进一程序查确认。事务爆发后，CareCloud迅速启动应急响应机制。公司强调此次事务未波及其他平台、部分或系统，攻击者已无法继续会见其数据库，所有受影响系统均已完全恢复。
https://www.bleepingcomputer.com/news/security/healthcare-tech-firm-carecloud-says-hackers-stole-patient-data/
6. RoadK1ll：WebSocket反向隧道实现隐藏渗透
3月30日，克日，托管检测和响应（MDR）提供商Blackpoint在事务响应中发明了名为RoadK1ll的新型Node.js恶意植入程序，该程序通过自界说WebSocket协议实现攻击者与受熏染主机的一连通讯，具备高度隐藏性和扩展性。RoadK1ll被界说为轻量级反向隧道植入物，其焦点功效是将受损主机转化为可控中继点。通过建设到攻击者控制基础设施的出站WebSocket毗连，该程序可按需转发TCP流量，使威胁行为者无需依赖古板入站监听器即可会见内部网络资源。这种设计使攻击者能绕过界线控制，由于毗连源自被入侵机械，可继续其网络信任和位置，有用会见原本无法从外部直接会见的内部系统、服务及网络段。该恶意软件支持多并发毗连能力，允许同时与多个目的通讯。其下令集包括毗连、数据转发、毗连确认、毗连终止及过失反响等基础指令，其中CONNECT下令可触发向指定主机和端口的出站TCP毗连，实现攻击规模的横向扩展。若通讯中止，程序会自动启动重连机制恢复隧道，确保攻击一连性且镌汰手动干预爆发的噪音。
https://www.bleepingcomputer.com/news/security/new-roadk1ll-websocket-implant-used-to-pivot-on-breached-networks/
京公网安备11010802024551号