Kyber勒索软件双平台攻击 ，号称后量子加密

宣布时间 2026-04-23

1. Kyber勒索软件双平台攻击 ，号称后量子加密


4月22日 ，网络清静公司Rapid7在2026年3月的一次清静事务响应中 ，发明并剖析了一种名为Kyber的新型勒索软件 。该勒索软件同时具备针对Windows系统和VMware ESXi虚拟化平台的两个差别变种 ，且由统一个勒索软件关联组织安排在统一网络中 ，意图通过同步加密所有服务器以最大化破损效果 。两个变种共享相同的运动ID和基于Tor的勒索基础设施 。其中 ，ESXi变种专门针对VMware情形构建 ，能够枚举所有虚拟机、加密数据存储文件 ，并用勒索信改动ESXi管理界面 ，指导受害者完成赎金支付流程 。该变种声称接纳了Kyber1024后量子加密手艺 ，但Rapid7剖析发明这一说法并不属实 ，ESXi变种现实使用ChaCha8举行文件加密 ，并使用RSA-4096举行密钥封装 。相比之下 ，Windows变种用Rust编写 ，手艺实现更为成熟 。它确实实现了Kyber1024和X25519密钥�；せ� ，与勒索信中的声明一致 。详细而言 ，Kyber1024用于�；ざ猿泼茉恐柿� ，而AES-CTR则认真批量数据加密 。


https://www.bleepingcomputer.com/news/security/kyber-ransomware-gang-toys-with-post-quantum-encryption-on-windows/


2. Harvester用GoGra后门滥用微软云API实验攻击


4月22日 ，威胁行为者Harvester被指使用了新版Linux版本的GoGra后门 ，研究职员在VirusTotal平台上发明了来自印度和阿富汗的恶意软件样本 ，批注这两个国家可能是特工运动的目的 。最新发明批注 ，Harvester正在继续扩展其工具集 ，使其不再局限于Windows系统 ，而是使用统一后门程序的新变种熏染Linux系统 。攻击使用社会工程学手段诱骗受害者翻开伪装成PDF文档的ELF二进制文件 。攻击者随后会显示诱饵文档 ，同时悄悄运行后门程序 。与Windows版本类似 ，Linux版GoGra也滥用微软的云基础设施 ，使用开放数据协议盘问 ，每两秒钟向一个名为“Zomato Pizza”的特定Outlook邮箱文件夹发送一次请求 。该后门程序会扫描收件箱 ，查找主题行以“Input”开头的电子邮件 。一旦收到切合条件的邮件 ，程序会解密Base64编码的邮件正文 ，并使用“/bin/bash”将其作为shell下令执行 。执行效果会以主题为“Output”的电子邮件形式发送给操作员 。数据窃取完成后 ，植入程序会扫除原始使命邮件以掩饰痕迹 。


https://thehackernews.com/2026/04/harvester-deploys-linux-gogra-backdoor.html


3. Rituals遭黑客攻击 ，超4100万会员数据泄露


4月22日 ，总部位于荷兰的化妆品巨头Rituals克日证实 ，黑客从其会员数据库中窃取了大宗数据 ，导致客户小我私家信息泄露 。Rituals体现 ，他们在4月份发明了一起“未经授权下载”会员数据的事务 ，被窃信息包括客户的全名、出生日期、性别、邮政地址、电子邮件地址、电话号码 ，以及他们偏好的Rituals市肆和账户类型 。Rituals讲话人Eline van Malssen确认 ，黑客窃取的是欧洲和英国客户的会员数据 ，同时部分美国客户也受到影响 。阻止现在 ，Rituals尚未形貌此次网络攻击的详细性子 ，也未说明数据泄露爆发的详细方法 ，同时拒绝就公司是否收到黑客的任何信息、更准确的事务时间线或受影响会员简直切人数揭晓谈论 ，理由为“清静缘故原由” 。据其官网显示 ，Rituals的会员数据库拥有凌驾4100万客户 ，这家零售巨头在2025年的收入抵达24亿欧元（约28亿美元） 。


https://techcrunch.com/2026/04/22/cosmetics-giant-rituals-confirms-data-breach-of-customer-membership-records/


4. 西班牙捣毁最大西语漫画盗版平台Tu Manga Online


4月22日 ，西班牙警方克日捣毁了他们所称的规模最大的西班牙语漫画盗版平台 。该平台自2014年最先运营 ，每月为全球数百万用户提供服务 ，通过免费提供受版权�；さ淖髌� ，并使用爆发的网络流量获取广告收入 。警方通告中未明确提及平台名称 ，但据TorrentFreak报道 ，该平台正是着名的西班牙语漫画网站Tu Manga Online（TMO） 。在包括韩国知识产权持有者在内的执法压力下 ，该平台已被迫下线 。警方于2025年6月睁开视察 ，发明该平台通过铺天盖地的弹窗广告牟利凌驾470万美元 。其中大部分广告为色情内容 ，鉴于该网站许多会见者为未成年人 ，这一情形令人担心 。用户在网站上举行的每个操作包括选择内容、阅读形貌或浏览目录都会触发弹窗 ，从而最大化广告曝光率 。警方通告称 ，自2014年以来 ，该组织一直系统地、免费且未经授权地提供大宗受知识产权�；さ淖髌返幕峒ㄏ� 。该门户网站已成为西班牙语漫画盗版的主要参考点 ，每月会见量达数百万 ，具有显著的国际影响力 ，对版权所有者、出书商、翻译职员及整个文化工业造成了严重损害 。


https://www.bleepingcomputer.com/news/security/spain-dismantles-major-47m-manga-piracy-platform-arrests-four/


5. Mirai僵尸网络瞄准已停产D-Link路由器


4月22日 ，Akamai最新报告指出 ，Mirai僵尸网络正在攻击已停产的D-Link路由器 ，使用的是一年前披露的下令注入误差CVE-2025-29635 。该误差保存于D-Link DIR-823X系列路由器中 ，影响固件版本240126和24082 。误差成因是攻击者可控制的函数值在未履历证的情形下被复制 ，并且可以通过全心结构的POST请求加以使用 。Akamai诠释称 ，路由器从请求正文中提取最终进入下令缓冲区的值 ，而不检查它来自哪个表单字段 。视察到的攻击实验针对的是相同的代码 ，并触发了相同的系统挪用 ，这与去年在GitHub上宣布后已被删除的看法验证误差使用程序完全一致 。作为执行路径的一部分 ，攻击者加载了一个shell脚原来下载并运行有用载荷 ，该载荷具有许多Mirai特征 ，包括XOR编码、硬编码的控制台执行字符串和硬编码的下载器IP 。受影响的D-Link DIR-823X系列路由器已于去年停产 ，且不再从供应商处获得软件更新 。D-Link早在9月份就已发出忠言 ，强烈建议用户停用该产品 ，并指出继续使用可能会对毗连到该装备的其他装备造成危害 。


https://www.securityweek.com/mirai-botnet-targets-flaw-in-discontinued-d-link-routers/


6. npm蠕虫攻击：16个Namastex包遭投毒窃取凭证


4月22日 ，一种针对npm生态系统的新型供应链攻击正在窃取开发者凭证 ，并通过从被盗账户宣布的恶意软件包举行类似蠕虫的撒播 。该威胁由Socket和StepSecurity的研究职员在Namastex Labs的多个软件包中发明 。阻止发稿时 ，已确认被攻破的Namastex软件包共有16个 。这些软件包主要用于AI代理工具和数据库操作 ，因此攻击目的为高价值终端 ，而非大规模熏染 。注入的恶意代码会网络与种种神秘相关的敏感数据 ，包括令牌、API密钥、SSH密钥、云服务凭证、CI/CD系统凭证、注册表及LLM平台凭证 ，以及Kubernetes/Docker设置 。别的 ，它还会实验提取Chrome和Firefox浏览器中存储的敏感数据 ，涵盖MetaMask、Exodus、Atomic Wallet和Phantom等加密钱币钱包 。StepSecurity指出 ，该恶意软件实质上是一种“供应链蠕虫” 。它能够寻找用于npm宣布的令牌 ，并将自身注入到该令牌有权宣布的每一个软件包中 ，从而实现进一步撒播 。


https://www.bleepingcomputer.com/news/security/new-npm-supply-chain-attack-self-spreads-to-steal-auth-tokens/