Vercel披露安全缝隙：员工账户遭AI工具入侵

颁布功夫 2026-04-20

1. Vercel披露安全缝隙：员工账户遭AI工具入侵


4月19日 ，云开发平台Vercel近日披露了一路安全事务 ，称有未经授权的第三方入侵了其部门内部系统 。该公司暗示 ，这次事务已影响部门客户 ，但其主题服务、Next.js、Turbopack及其他开源项目均未受影响 。目前 ，Vercel已礼聘事务响应专家协助调查 ，并已通知法律部门 。据后续更新 ，这次安全缝隙源于第三方AI工具Context.ai的Google Workspace OAuth利用遭到入侵 ，导致一名Vercel员工的Google Workspace账户被攻破 。攻击者随后利用该账户提升了在Vercel环境中的接见权限 ，并成功枚举了那些未被象征为“敏赣妆的环境变量 ，这些变量在静态存储时未加密 ，正本仅用于存放非敏感信息 ，但攻击者通过枚举进一步获取了接见权限 。与此同时 ，一名自称“ShinyHunters”的威胁行为者在黑客论坛上发帖 ，宣称已入侵Vercel并试图销售被盗数据 ，蕴含接见密钥、源代码、数据库数据、内部部署和API密钥等 。该黑客还分享了一份蕴含580条Vercel员工信息（姓名、邮箱、账户状态等）的文本文件 ，以及一张疑似内部节造面板的截图 。攻击者还宣称曾与Vercel联系并提出约200万美元的赎金要求 。


https://www.bleepingcomputer.com/news/security/vercel-confirms-breach-as-hackers-claim-to-be-selling-stolen-data/


2. Nexcorium僵尸网络利用TBK DVR及老旧路由器缝隙传布


4月18日 ，Fortinet的钻研人员发现 ，威胁行为者正利用TBK DVR设备中的一个号令注入缝隙（CVE-2024-3721）以及已停产的TP-Link路由器等其他老旧物联网设备的安全缺点 ，传布一种名为Nexcorium的新型Mirai变种恶意软件 。攻击者通过篡改特定要求参数 ，利用CVE-2024-3721缝隙传布下载剧本 。有关网络流量中蕴含一个自界说的“X-Hacked-By”标头 ，其值为“Nexus Team” ，暗示了攻击者的可能身份 ，但该组织的具体情况仍不明确 。该剧本名为“dvr” ，会下载象征为“nexuscorp”的恶意软件样本 。对“nexuscorp.x86”样本的进一步分析显示 ，该恶意软件名为Nexcorium ，属于Mirai家族变种 ，在执行时会显示收受信息 。它使用XOR解码方式提取嵌入式配置数据 ，蕴含C2服务器信息、攻击号令和悠久化剧本 。与其他Mirai变种一样 ，Nexcorium建设了监督法式、扫描器和多种DDoS攻击�？� 。它会执行齐全性查抄 ，一旦检测到篡改便进行自我复造 。此表 ，该恶意软件还嵌入了针对华为设备的缝隙利用法式（如CVE-2017-17215） ，并蕴含大量默认痛处 ，用于对Telnet接见进行暴力破解 。


https://securityaffairs.com/190974/malware/nexcorium-mirai-variant-exploits-tbk-dvr-flaw-to-launch-ddos-attacks.html


3. 微软Defender三零日缝隙遭利用：仅BlueHammer已建复


4月18日 ，近期 ，攻击者在积极利用微软Defender中最近披露的三个零日缝隙 ，以在受习染系统上获取更高权限 。这三个缝隙别离号为BlueHammer、RedSun和UnDefend ，由一位化名“Chaotic Eclipse”的钻研人员发现 。该钻研人员在公开品评微软对缝隙披露的处置方式后 ，不仅披露了缝隙细节 ，还颁布了针对未建复Windows缝隙的概想验证代码 。其中 ，BlueHammer和RedSun允许攻击者在Microsoft Defender中实现本地权限提升 ，而UnDefend则会触发回绝服务攻击 ，阻止安全界说更新 ，从而减弱系统的整体防护能力 。截至目前 ，微软仅建复了BlueHammer缝隙 ，并为其分配了编号CVE-2026-33825 ，但RedSun和UnDefend仍未得到建补 。据Huntress钻研人员汇报 ，这三个缝隙已被现实用于攻击活动 ，只管受害者和攻击者的具体身份尚不明显 。Huntress暗示 ，攻击者从2026年4月10日起头利用BlueHammer缝隙发展攻击 ，随后在4月16日又使用了RedSun和UnDefend缝隙进行概想验证攻击 。钻研人员以为 ，攻击者很可能在使用Chaotic Eclipse在网上公开颁布的缝隙利用代码 。


https://securityaffairs.com/190961/hacking/microsoft-defender-under-attack-as-three-zero-days-two-of-them-still-unpatched-enable-elevated-access.html


4. Grinex买卖所遭1370万美元攻击后停运


4月17日 ，总部位于吉尔吉斯斯坦的加密钱币买卖所Grinex在遭逢一场涉及1370万美元的黑客攻击后 ，已暂停运营 。该平台重要服务于俄罗斯用户 ，允许俄罗斯企业和幼我之间进行加密钱币与卢布的兑换买卖 。被盗资金直接来自俄罗斯用户的加密钱币钱包 。据Grinex颁布的申明 ，这次攻击的类型和数字足迹批注 ，威胁行为者与“表国谍报机构”有关 ，这些机构占佑装前所未有的资源和技术 ，只有敌对国度的实体能力获得” 。该买卖所宣称 ，凭据初步数据 ，这是一次旨在直接侵害俄罗斯金融主权的协调攻击 。然而 ，无论是Grinex的申明 ，还是区块链分析公司Elliptic与TRM Labs的汇报 ，均未提供任何具体的技术证据或指标来支持将这次攻击归罪于西方谍报机构 。Elliptic披露 ，偷窃事务产生于周三UTC功夫12:00 ，被盗资金被发送至TRON和以太坊地址 ，随后通过SunSwap去中心化买卖和谈转换为TRX和ETH 。


https://www.bleepingcomputer.com/news/security/grinex-exchange-blames-western-intelligence-for-137m-crypto-hack/


5. 高危Apache ActiveMQ缝隙遭积极利用


4月17日 ，美国网络安全和基础设施安全局（CISA）周四颁布忠告称 ，本月早些时辰建复的一个高危Apache ActiveMQ缝隙目前正被积极用于现实攻击 。该缝隙编号为CVE-2026-34197 ，在长达13年的功夫里未被发现 ，最终由Horizon3钻研员Naveen Sunkavally借助Claude AI副手发现 。Apache ActiveMQ是最盛行的基于Java的开源新闻代理 ，宽泛利用于利用法式之间的异步通讯 。据Sunkavally诠释 ，该缝隙源于输入验证不当 ，使得经过身份验证的攻击者可能通过注入攻击执行肆意代码 。Apache守护人员已于3月30日在ActiveMQ Classic 6.2.3和5.19.4版本中建复了该问题 。目前 ，威胁监控服务ShadowServer已追踪到超过7500台露出于网络上的Apache ActiveMQ服务器 。CISA已将CVE-2026-34197纳入其已知利用缝隙（KEV）目录 ，并号令联国民事行政部门（FCEB）机构在两周内（即4月30日之前）实现对ActiveMQ服务器的建补工作 。


https://www.bleepingcomputer.com/news/security/cisa-flags-apache-activemq-flaw-as-actively-exploited-in-attacks/


6. Payouts King利用QEMU仿照器运行暗藏虚构机


4月17日 ，Payouts King勒索软件在利用开源的QEMU仿照器作为反向SSH后门 ，在受习染的系统上运行暗藏的虚构机 ，从而绕过终端安全措施 。凭据网络安全公司Sophos的钻研人员纪录 ，他们发现了两起攻击者部署QEMU的活动 。凭据Zscaler的汇报 ，Payouts King可能与前BlackBasta同盟成员有关 ，因其使用了类似的初始接见步骤 。该勒索软件选取大量混合和反分析机造 ，通过打算工作成立悠久性 ，并使用底层系统挪用终止安全工具 。其加密规划为AES-256（CTR）结合RSA-4096 ，对大文件选取间歇式加密 。Sophos纪录的第二起活动自2月以来一向活跃 ，利用CitrixBleed 2缝隙（CVE-2025-5777）获取初始接见权限 。攻击者在入侵NetScaler设备后 ，部署恶意ZIP存档 ，装置名为“AppMgmt”的服务 ，创建本地治理员用户 ，并装置ScreenConnect客户端以实现悠久化 ，随后开释并提取QEMU软件包 ，运行暗藏的Alpine Linux VM 。攻击者在虚构机内部手动装置和编译Impacket、BloodHound.py、Metasploit等工具 ，进行凭证网络、Active Directory窥伺和数据表泄 。


https://www.bleepingcomputer.com/news/security/payouts-king-ransomware-uses-qemu-vms-to-bypass-endpoint-security/