俄罗斯Coldriver黑客组织安排新型NoRobot恶意软件

宣布时间 2025-10-23

1. 俄罗斯Coldriver黑客组织安排新型NoRobot恶意软件


10月21日，，，，，，，谷歌威胁情报团队（GTIG）宣布报告，，，，，，，揭破与俄罗斯联邦清静局（FSB）关联的黑客组织Coldriver（又名Star Blizzard、Callisto等）安排了一套新型恶意软件，，，，，，，取代其2025年5月被披露的主力工具LostKeys。。。该组织自2017年起活跃，，，，，，，以针对非政府组织、前情报军事职员及北约政府的“凭证垂纶”特工活动著名，，，，，，，曾被英国国家网络清静中心指控干预英国政治。。。新型恶意软件由NoRobot、YesRobot和MaybeRobot三个家族组成，，，，，，，攻击链以“ClickFix气概”垂纶诱饵启动，，，，，，，伪造验证码页面诱导用户通过Windows正当工具rundll32.exe下载NoRobot DLL，，，，，，，其导出函数伪装为“humanCheck”以规避基于剧本的清静监控。。。NoRobot早期版本接纳“分钥加密”机制，，，，，，，部分密钥隐藏在注册表路径中，，，，，，，增添解密难度；；； ；；随后从恶意域名获取Python剧本，，，，，，，解密并启动第一阶段后门YesRobot，，，，，，，但因其需装置Python情形留下痕迹，，，，，，，仅使用两周即被弃用。。。2025年6月起，，，，，，，Coldriver转向更隐藏的MaybeRobot，，，，，，，基于PowerShell的后门程序，，，，，，，且无需依赖Python剧本。。。同期，，，，，，，该组织在“简化版”与“重大版”熏染链间频仍切换。。。


https://www.infosecurity-magazine.com/news/russian-coldriver-hackers-new/


2. 新加坡官员身份遭仿冒，，，，，，，重大投资诈骗案曝光


10月21日，，，，，，，网络清静公司Group-IB克日宣布报告，，，，，，，揭破一起针对新加坡住民的大规模诈骗案件。。。诈骗团伙通过仿冒新加坡总理黄循财、国家清静统筹部长尚穆根等高级官员身份，，，，，，，使用经由验证的谷歌广告、虚伪新闻网站及深度伪造视频，，，，，，，诱导受害者进入在毛里求斯注册的外汇投资平台实验诈骗。。。该诈骗活动接纳“外地化定向投放”战略，，，，，，，仅对新加坡IP地点展示谷歌广告，，，，，，，点击后用户会被指导至52其中心域名，，，，，，，最终跳转至仿冒主流媒体的虚伪页面。。。这些页面宣布深度伪造视频，，，，，，，如“黄循财总理”为“即时时代”项目站台，，，，，，，或“尚穆根部长”为投资平台背书，，，，，，，以增强可信度。。。Group-IB视察发明，，，，，，，诈骗背后涉及28个经谷歌验证的广告账户，，，，，，，注册者多来自保加利亚、罗马尼亚等国，，，，，，，共关联119个恶意域名。。。为规避羁系，，，，，，，诈骗分子接纳IP过滤、开发者工具检测及URL参数阻挡等手艺，，，，，，，确保仅真实新加坡用户可见诈骗内容。。。受害者提供联系方法后，，，，，，，会被施压投资；；； ；；提现时则以“行政流程”为由拖延或拒绝。。。据统计，，，，，，，上月共有3808名新加坡人点击恶意广告，，，，，，，其中685人被指导至诈骗网站。。。


https://www.infosecurity-magazine.com/news/singapore-officials-investment-scam/


3. 围栏和宠物公司Jewett-Cameron遭勒索软件攻击


10月22日，，，，，，，总部位于俄勒冈州的围栏及宠物解决计划提供商Jewett-Cameron Company克日遭遇网络攻击，，，，，，，导致营业中止与敏感信息被盗。。。该公司主营狗窝、狗笼、围栏、特种木料及园艺产品，，，，，，，于10月15日检测到IT情形入侵，，，，，，，黑客在其系统中安排了加密和监控软件，，，，，，，造成部分营业应用无法会见，，，，，，，运营受阻。。。视察显示，，，，，，，攻击事务涉及双重勒索软件战略，，，，，，，既加密文件又窃取数据。。。黑客获取了包括IT信息、财务数据及视频聚会、电脑屏幕图像的敏感内容，，，，，，，但现在无证据批注员工、客户或供应商的小我私家信息遭泄露。。。公司强调入侵已获得控制，，，，，，，正全力恢复受影响系统，，，，，，，并预计11月中旬宣布阻止今年8月31日的年度报告，，，，，，，相关数据网络与剖析事情已一连数周。。。Jewett-Cameron体现，，，，，，，事务响应本钱将由网络清静包管笼罩，，，，，，，但认可中止可能对运营爆发重大影响。。。


https://www.securityweek.com/fencing-and-pet-company-jewett-cameron-hit-by-ransomware/


4. PhantomCaptcha ClickFix攻击乌克兰战争救援组织


10月22日，，，，，，，克日，，，，，，，一场针对乌克兰地方政府及战争救援要害组织（如红十字国际委员会、联合国儿童基金会）的鱼叉式网络垂纶攻击"PhantomCaptcha"爆发。。。该行动一连仅一天，，，，，，，却展现了高度细密的手艺链条：攻击者冒充乌克兰总统办公室发送含恶意PDF的邮件，，，，，，，诱导点击伪装成Zoom平台的垂纶链接，，，，，，，最终通过伪造的"我不是机械人"CAPTCHA验证实验ClickFix攻击。。。攻击流程分为三阶段：首先，，，，，，，受害者点击虚伪Zoom聚会链接后，，，，，，，浏览器会天生客户端标识符并通过WebSocket毗连至攻击者效劳器。。。若标识符匹配，，，，，，，用户将被重定向至正当Zoom聚会举行实时社会工程攻击；；； ；；若不匹配，，，，，，，则需完成乌克兰语的伪造CAPTCHA验证，，，，，，，通过复制粘贴"令牌"执行PowerShell下令，，，，，，，下载并运行恶意剧本"cptch"。。。该剧本会网络系统信息并回传至C2效劳器，，，，，，，最终安排轻量级WebSocket远程会见木马（RAT），，，，，，，实现远程下令执行与数据泄露。。。手艺溯源指向俄系威胁组织：WebSocket RAT托管于俄罗斯基础设施，，，，，，，成人主题攻击工具与俄/白俄罗斯开发保存关联。。。


https://www.bleepingcomputer.com/news/security/phantomcaptcha-clickfix-attack-targets-ukraine-war-relief-orgs/


5. Adobe Commerce SessionReaper误差遭大规模攻击


10月22日，，，，，，，Adobe于9月8日针对旗下Commerce平台（原Magento）宣布紧迫清静忠言，，，，，，，指出保存一个被命名为SessionReaper（CVE-2025-54236）的严重不当输入验证误差。。。该误差影响2.4.9-alpha2、2.4.8-p2等多个版本及更早版本，，，，，，，攻击者无需用户交互即可通过Commerce REST API接受客户账户，，，，，，，实现完全控制会话权限。。。电子商务清静公司Sansec随后证实，，，，，，，该误差已被视为Adobe Commerce历史上最严重的清静误差之一，，，，，，，并在紧迫补丁宣布约六周后进入活跃使用阶段。。。Sansec监测数据显示，，，，，，，自补丁宣布以来，，，，，，，已纪录数百次针对未修复市肆的攻击实验。。。仅在最近一次视察中，，，，，，，Sansec Shield系统就阻挡了来自五个IP地点的250余次攻击，，，，，，，攻击手段包括植入PHP webshell或执行phpinfo探测以网络系统设置信息。。。值得注重的是，，，，，，，62%的Magento在线市肆尚未装置Adobe的清静更新，，，，，，，五分之三的市肆仍袒露在危害中。。。Sansec研究职员指出，，，，，，，误差使用的活跃度与Searchlight Cyber宣布的手艺剖析报告保存关联，，，，，，，该报告可能进一步刺激了攻击实验的增添。。。


https://www.bleepingcomputer.com/news/security/hackers-exploiting-critical-sessionreaper-flaw-in-adobe-magento/


6. 伊朗MuddyWater安排Phoenix v4后门窃取政府数据


10月22日，，，，，，，伊朗政府支持的MuddyWater黑客组织（又名Static Kitten、Mercury、Seedworm）近期针对中东及北非地区100余个政府实体提倡攻击，，，，，，，目的包括大使馆、外交使团、领事馆等焦点机构。。。此次攻击自2025年8月19日起，，，，，，，通过NordVPN会见受熏染账户实验网络垂纶，，，，，，，向目的发送含恶意Word文档的邮件，，，，，，，诱骗用户启用宏代码以解码并写入FakeUpdate恶意软件加载程序至磁盘。。。Group-IB报告指出，，，，，，，8月24日攻击者关闭效劳器及C2组件，，，，，，，可能进入新阶段，，，，，，，依赖其他工具网络信息。。。此次安排的Phoenix后门第4版（v4）接纳AES加密，，，，，，，通过修改Windows注册表建设长期性，，，，，，，并新增基于COM的长期机制。。。该后门支持65-85号下令集，，，，，，，涵盖睡眠、文件上传/下载、启动shell及调解轮询距离等功效，，，，，，，可网络系统信息并通过WinHTTP毗连C2效劳器。。。别的，，，，，，，攻击中使用了自界说信息窃取程序，，，，，，，针对浏览器数据库提取凭证及主密钥。。。Group-IB还发明MuddyWater在C2基础设施中安排了PDQ软件安排工具及Action1 RMM远程治理工具，，，，，，，这些工具此前曾在伊朗黑客攻击中被使用。。。


https://www.bleepingcomputer.com/news/security/iranian-hackers-targeted-over-100-govt-orgs-with-phoenix-backdoor/