Warlock勒索软件组织：新兴威胁的攻击特点与安全警示

颁布功夫 2025-09-24

1. Warlock勒索软件组织：新兴威胁的攻击特点与安全警示


9月21日，Sophos钻研团队揭示，名为Warlock的勒索软件组织（微软称Storm 2603，Sophos追踪为GOLD SALEM）正以高明技术伎俩加剧全球网络攻击。该组织自2025年3月起活跃，9月已在其"Warlock客户数据泄露秀"暗网站点颁布60名受害者，指标涵盖北美、欧洲、南美的幼型贸易实体、当局机构及大型跨国公司。其攻击特点蕴含利用SharePoint零日缝隙、部署自界说ToolShell链、投放Web Shell及基于Golang的WebSocket服务器进行悠久化，并滥用Velociraptor等合法工具执行荫蔽隧路攻击，同时结合Mimikatz凭证偷窃、PsExec横向移动及GPO推送勒索负载等传统手法。该组织泄密模式怪异，省略颁布日期与视觉样本，仅随机披露被盗数据量，并通过注解标注数据状态（颁布/销售/未支付赎金），甚至提供现实数据链接。其FAQ申明叱责"不掌管任的公司"，称未联系的大客户数据将免费公开，但"高度敏感数据"的大型企业客户信息不会齐全披露。Sophos指出，Warlock直至6月才在俄语论坛Ramp公开活跃，曾征集Veeam、ESXi、SharePoint缝隙利用及EDR中断工具。


https://cybernews.com/security/warlock-ransomware-group-attacks-surge-september/


2. 骗子滥用人为智能原生平台托管虚伪验证码页面


9月22日，网络安全公司趋向科技最新汇报揭示，人为智能开发平台正被网络犯罪分子利用，成为托管虚伪验证码（CAPTCHA）页面的新载体，从而逃避安全检测并诱导用户进入垂钓网站。作为验证真实用户的关键工具，CAPTCHA本应招架机械人攻击，如今却被反向利用，成为网络垂钓的"爪牙"。钻研发现，自2025年1月起，利用Lovable、Netlify、Vercel等AI原生开发平台托管虚伪验证码页面的网络垂钓活动激增。这些平台宣称"零代码即可构建利用"，降低了技术门槛，使犯罪分子能急剧创建看似正规的验证码挑战页面。攻击流程通常始于假装成"密码沉置""USPS地址调换"等垂危邮件的垂钓链接，用户点击后首先看到虚伪CAPTCHA页面，因其"官方验证"表观，受害者易放松警惕，而自动扫描工具因仅检测到验证码而非底层凭证网络表单，难以鉴别恶意页面。实现验证后，用户会被沉定向至真正的垂钓页面，导致凭证、敏感数据泄露。更严格的是，构建此类页面仅需基础技术能力，共同AI编码副手即可实现。


https://cybernews.com/security/ai-platforms-captcha-phishing/


3. 德国DCS充电站数据泄露，客户服务商违规接见致用户信息风险


9月23日，德国数字充电解决规划公司（DCS）近日向用户传递一路数据安全事务，其客户服务提供商在处置数据时产生违规行为，导致部门客户信息面对泄露风险。DCS作为欧洲重要电动汽车充电服务商，治理着30多个国度超100万用户及98万座充电站，并为宝马、起亚等品牌提供计费服务。事务发源于DCS发显熹合作的服务商在无合理理由情况下接见了客户数据。DCS立即启动全面调查，确认违规行为涉及个位数病例，受影响数据仅限于姓名和电子邮件地址，而齐全支付信息因未存储在受影响数据库中得以保全。目前，DCS已与服务商治理层合作查明原因，执行额表安全措施，并传递法律及数据�；げ棵�。DCS在9月19日设立的专项页面中强调，充电服务及计费系统仍安全运行，用户无需采取额表操作，但需警惕潜在垂钓攻击。公司沉申，只管当前仅确认少数案例，但无法齐全排除其他客户数据被非授权查看的可能性，调查仍在进行中。


https://www.theregister.com/2025/09/23/dcs_data_breach/


4. 纽约结合国大会前夕粉碎大型电信网络


9月23日，在结合国大会于曼哈顿召开前夕，联国调查人员粉碎了一个暗藏在纽约地域的大型电信网络。该网络蕴含超过10万张SIM卡和300台服务器，可能对纽约市通讯系统造成苦难性粉碎。特勤局指出，此网络可滋扰垂危响应服务、关关蜂窝网络并发送加密信息，恰逢150余位国际辅导人齐聚纽约期间。调查显示，该网络设备散布于结合国总部35英里半径领域内，规模与设备类型暗示其可能为民族国度监控行动。通过度析SIM卡数据，特勤局发显熹与至少一个表国当拘陌贩毒集团存在关联。只管结合国大会是否为指标尚不明确，但特勤局奸细马特·麦克库尔强调，该系统具备粉碎手机信号塔、阻断应急通讯的能力，在沉大国际活动布景下可能引发城市级通讯瘫痪。该网络于今年8月被特勤局在调查针春联国官员的“电话威胁”事务时发现。麦克库尔暗示，解析网络传输的通讯内容需时日，但系统威力不容幼觑�Ｋ伎嫉缴璞讣壑凳偻蛎涝�，幕后组织资金雄厚，可能存在类似网络遍布美国其他城市。


https://securityboulevard.com/2025/09/secret-service-shuts-down-sprawling-hidden-telecom-network-in-ny/


5. CISA称黑客利用GeoServer缝隙入侵联国机构


9月23日，美国网络安全与基础设施安全局（CISA）披露，2024年7月，攻击者利用未建补的GeoServer事俘（涉及CVE-2024-36401远程代码执行缝隙）侵入了一家美国联国民事行政部门（FCEB）机构网络。该缝隙于2024年6月18日被建复，但一个月后，因安全钻研人员在线分享概想验证（PoC）演示代码，CISA将其参与“已知被利用缝隙目录”。威胁监控组织Shadowserver于7月9日起检测到针对该缝隙的攻击，OSINT搜索引擎ZoomEye追踪到超16,000台露出在网的GeoServer服务器。攻击者入侵联国机构GeoServer服务器后，在约两周内横向移动攻下Web服务器和SQL服务器，上传China Chopper等Web Shell及用于远程接见、悠久化、号令执行和权限提升的剧本，并通过暴力破解技术（T1110）获取密码以进一步横向移动。攻击者埋伏三周未被发现，直至7月31日联国机构的端点检测与响应（EDR）工具将SQL服务器上的可疑文件象征为恶意软件并触发警报，安全运营中心（SOC）随后隔离服务器并结合CISA调查。


https://www.bleepingcomputer.com/news/security/cisa-says-hackers-breached-federal-agency-using-geoserver-exploit/


6. Circle K香港业务因网络中断瘫痪


9月23日，近日，方便店连锁品牌Circle K香港业务因“网络中断”事务导致全港近400家门店电子支付、会员服务及电子邮件系统瘫痪数日，仅现金及八达通支付职能维持运作。该公司于周末初次传递事务后，周一在Facebook申明中暗示，因无法排除网络攻击可能性，已启动数据�；ご胧┎⒂敕刹棵偶暗谌阶液献鞯鞑樵颉⒘煊蚣坝跋焖�。截至周二，用户仍通过社交媒体反馈服务中断问题，如积分和优惠券过期，呼吁耽搁使用期限。Circle K香港由加拿大公司Alimentation Couche-Tard所有，该公司在北美及其他地域经营Circle K商店。Circle K香港的前母公司亚洲方便零售有限公司 (CRA) 周一也汇报了网络中断。CRA于20世纪80年代获得了Circle K的授权，并于2020年将其售回给Alimentation Couche-Tard。CRA暗示，其内部系统受到影响，并已通知法律部门，但目前尚不明显两起事务是否有关联。


https://therecord.media/circle-k-hong-kong-suspected-cyberattack-convience-stores