Vercel披露清静误差：员工账户遭AI工具入侵

宣布时间 2026-04-20

1. Vercel披露清静误差：员工账户遭AI工具入侵


4月19日，云开发平台Vercel克日披露了一起清静事务，称有未经授权的第三方入侵了其部分内部系统。该公司体现，此次事务已影响部分客户，但其焦点服务、Next.js、Turbopack及其他开源项目均未受影响。现在，Vercel已约请事务响应专家协助视察，并已通知执法部分。据后续更新，此次清静误差源于第三方AI工具Context.ai的Google Workspace OAuth应用遭到入侵，导致一名Vercel员工的Google Workspace账户被攻破。攻击者随后使用该账户提升了在Vercel情形中的会见权限，并乐成枚举了那些未被标记为“敏感”的情形变量，这些变量在静态存储时未加密，原本仅用于存放非敏感信息，但攻击者通过枚举进一步获取了会见权限。与此同时，一名自称“ShinyHunters”的威胁行为者在黑客论坛上发帖，声称已入侵Vercel并试图出售被盗数据，包括会见密钥、源代码、数据库数据、内部安排和API密钥等。该黑客还分享了一份包括580条Vercel员工信息（姓名、邮箱、账户状态等）的文本文件，以及一张疑似内部控制面板的截图。攻击者还声称曾与Vercel联系并提出约200万美元的赎金要求。


https://www.bleepingcomputer.com/news/security/vercel-confirms-breach-as-hackers-claim-to-be-selling-stolen-data/


2. Nexcorium僵尸网络使用TBK DVR及老旧路由器误差撒播


4月18日，Fortinet的研究职员发明，威胁行为者正使用TBK DVR装备中的一个下令注入误差（CVE-2024-3721）以及已停产的TP-Link路由器等其他老旧物联网装备的清静缺陷，撒播一种名为Nexcorium的新型Mirai变种恶意软件。攻击者通过改动特定请求参数，使用CVE-2024-3721误差撒播下载剧本。相关网络流量中包括一个自界说的“X-Hacked-By”标头，其值为“Nexus Team”，体现了攻击者的可能身份，但该组织的详细情形仍不明确。该剧本名为“dvr”，会下载标记为“nexuscorp”的恶意软件样本。对“nexuscorp.x86”样本的进一步剖析显示，该恶意软件名为Nexcorium，属于Mirai家族变种，在执行时会显示接受信息。它使用XOR解码方法提取嵌入式设置数据，包括C2服务器信息、攻击下令和长期化剧本。与其他Mirai变种一样，Nexcorium配备了监视程序、扫描器和多种DDoS攻击模块。它会执行完整性检查，一旦检测到改动便举行自我复制。别的，该恶意软件还嵌入了针对华为装备的误差使用程序（如CVE-2017-17215），并包括大宗默认凭证，用于对Telnet会见举行暴力破解。


https://securityaffairs.com/190974/malware/nexcorium-mirai-variant-exploits-tbk-dvr-flaw-to-launch-ddos-attacks.html


3. 微软Defender三零日误差遭使用：仅BlueHammer已修复


4月18日，近期，攻击者正在起劲使用微软Defender中最近披露的三个零日误差，以在受熏染系统上获取更高权限。这三个误差划分名为BlueHammer、RedSun和UnDefend，由一位假名“Chaotic Eclipse”的研究职员发明。该研究职员在果真品评微软对误差披露的处置惩罚方法后，不但披露了误差细节，还宣布了针对未修复Windows误差的看法验证代码。其中，BlueHammer和RedSun允许攻击者在Microsoft Defender中实现外地权限提升，而UnDefend则会触发拒绝服务攻击，阻止清静界说更新，从而削弱系统的整体防护能力。阻止现在，微软仅修复了BlueHammer误差，并为其分派了编号CVE-2026-33825，但RedSun和UnDefend仍未获得修补。据Huntress研究职员报告，这三个误差已被现适用于攻击运动，只管受害者和攻击者的详细身份尚不清晰。Huntress体现，攻击者从2026年4月10日最先使用BlueHammer误差睁开攻击，随后在4月16日又使用了RedSun和UnDefend误差举行看法验证攻击。研究职员以为，攻击者很可能正在使用Chaotic Eclipse在网上果真宣布的误差使用代码。


https://securityaffairs.com/190961/hacking/microsoft-defender-under-attack-as-three-zero-days-two-of-them-still-unpatched-enable-elevated-access.html


4. Grinex生意所遭1370万美元攻击后停运


4月17日，总部位于吉尔吉斯斯坦的加密钱币生意所Grinex在遭受一场涉及1370万美元的黑客攻击后，已暂停运营。该平台主要服务于俄罗斯用户，允许俄罗斯企业和小我私家之间举行加密钱币与卢布的兑换生意。被盗资金直接来自俄罗斯用户的加密钱币钱包。据Grinex宣布的声明，此次攻击的类型和数字足迹批注，威胁行为者与“外国情报机构”有关，这些机构拥有“亘古未有的资源和手艺，只有仇视国家的实体才华获得”。该生意所声称，凭证起源数据，这是一次旨在直接损害俄罗斯金融主权的协调攻击。然而，无论是Grinex的声明，照旧区块链剖析公司Elliptic与TRM Labs的报告，均未提供任何详细的手艺证据或指标来支持将此次攻击归罪于西方情报机构。Elliptic披露，偷窃事务爆发于周三UTC时间12:00，被盗资金被发送至TRON和以太坊地址，随后通过SunSwap去中心化生意协议转换为TRX和ETH。


https://www.bleepingcomputer.com/news/security/grinex-exchange-blames-western-intelligence-for-137m-crypto-hack/


5. 高危Apache ActiveMQ误差遭起劲使用


4月17日，美国网络清静和基础设施清静局（CISA）周四宣布忠言称，本月早些时间修复的一个高危Apache ActiveMQ误差现在正被起劲用于现实攻击。该误差编号为CVE-2026-34197，在长达13年的时间里未被发明，最终由Horizon3研究员Naveen Sunkavally借助Claude AI助手发明。Apache ActiveMQ是最盛行的基于Java的开源新闻代理，普遍应用于应用程序之间的异步通讯。据Sunkavally诠释，该误差源于输入验证不当，使得经由身份验证的攻击者能够通过注入攻击执行恣意代码。Apache维护职员已于3月30日在ActiveMQ Classic 6.2.3和5.19.4版本中修复了该问题。现在，威胁监控服务ShadowServer已追踪到凌驾7500台袒露于网络上的Apache ActiveMQ服务器。CISA已将CVE-2026-34197纳入其已知使用误差（KEV）目录，并下令联邦民事行政部分（FCEB）机构在两周内（即4月30日之前）完成对ActiveMQ服务器的修补事情。


https://www.bleepingcomputer.com/news/security/cisa-flags-apache-activemq-flaw-as-actively-exploited-in-attacks/


6. Payouts King使用QEMU模拟器运行隐藏虚拟机


4月17日，Payouts King勒索软件正在使用开源的QEMU模拟器作为反向SSH后门，在受熏染的系统上运行隐藏的虚拟机，从而绕过终端清静步伐。凭证网络清静公司Sophos的研究职员纪录，他们发明了两起攻击者安排QEMU的运动。凭证Zscaler的报告，Payouts King可能与前BlackBasta同盟成员有关，因其使用了类似的初始会见要领。该勒索软件接纳大宗混淆和反剖析机制，通过妄想使命建设长期性，并使用底层系统挪用终止清静工具。其加密计划为AES-256（CTR）团结RSA-4096，对大文件接纳间歇式加密。Sophos纪录的第二起运动自2月以来一直活跃，使用CitrixBleed 2误差（CVE-2025-5777）获取初始会见权限。攻击者在入侵NetScaler装备后，安排恶意ZIP存档，装置名为“AppMgmt”的服务，建设外地管理员用户，并装置ScreenConnect客户端以实现长期化，随后释放并提取QEMU软件包，运行隐藏的Alpine Linux VM。攻击者在虚拟机内部手动装置和编译Impacket、BloodHound.py、Metasploit等工具，举行凭证网络、Active Directory侦探和数据外泄。


https://www.bleepingcomputer.com/news/security/payouts-king-ransomware-uses-qemu-vms-to-bypass-endpoint-security/