DriveSurge利用社会工程战术攻击数千网站

颁布功夫 2026-06-02

1.DriveSurge利用社会工程战术攻击数千网站


6月1日 ，，，，， ，网络安全公司Silent Push最新钻研发现 ，，，，， ，一个名为DriveSurge的威胁行为者正利用ClickFix和FakeUpdates两种社会工程技术 ，，，，， ，在数千个被入侵的网站上发展大规模恶意软件分发活动。。。 。。。。。DriveSurge重要表演初始接见代理的角色 ，，，，， ，选取按装置付费模式 ，，，，， ，为后续更严沉的网络攻击铺路。。。 。。。。。在该攻击活动中 ，，，，， ，受害者接见被入侵的合法网站后 ，，，，， ，会被沉定向到一个名为zTDS的开源流量分配系统。。。 。。。。。zTDS自2015年就已存在 ，，，，， ，而DriveSurge至少从2025年9月起头使用它。。。 。。。。。该系统会对每个接见者进行分析 ，，，，， ，动态判断是展示FakeUpdates钓饵还是ClickFix钓饵更为相宜。。。 。。。。。Silent Push指出 ，，，，， ，DriveSurge利用zTDS劫持了数千个诺言优良的网站 ，，，，， ，在网站所有者和接见者均不知情的情况下 ，，，，， ，悄然将流量导向恶意软件分发基础设施。。。 。。。。。FakeUpdates攻击通过伪造的浏览器更新提醒引诱受害者 ，，，，， ，覆盖Chrome、Firefox、Edge、Safari、Opera、Brave、Yandex、Vivaldi、三星浏览器及UC浏览器等主流浏览器。。。 。。。。。而ClickFix攻击则是一种盛行的社会工程战术 ，，，，， ，它诱骗受害者以解决技术问题为幌子 ，，，，， ，在系统上复造并执行恶意号令 ，，，，， ，从而导致习染。。。 。。。。。


https://www.bleepingcomputer.com/news/security/hackers-hijack-thousands-of-sites-for-clickfix-and-fakeupdate-attacks/


2. Red Hat npm遭入侵 ，，，，， ，“Miasma”窃取开发凭证


6月1日 ，，，，， ，近日 ，，，，， ，一路针对Red Hat的供给链攻击导致其“@redhat-cloud-services”定名空间下的30多个npm软件包被植入后门 ，，，，， ，传布名为“Miasma”的Shai-Hulud恶意软件新变种。。。 。。。。。据统计 ，，，，， ，这些被入侵的软件包每周下载量约达11.7万次。。。 。。。。。攻击者疑似通过入侵一名Red Hat员工的GitHub帐户 ，，，，， ，直接向多个存储库推送恶意提交。。。 。。。。。这些提交增长了GitHub Actions工作流及一个剧本 ，，，，， ，该剧本滥用npm的颁布机造 ，，，，， ，利用OIDC令牌通过npm的可信颁布端点进行身份验证 ，，，，， ，批量颁布带有后门的软件包版本。。。 。。。。。被入侵的软件包中蕴含恶意的“preinstall”剧本 ，，，，， ，开发者装置软件包时会自动执行一个高度混合的index.js文件（约4.2 MB） ，，，，， ，用于窃取GitHub Actions密钥、AWS及Google Cloud凭证、Azure服务主体凭证、HashiCorp Vault令牌、Kubernetes服务账户令牌、npm和PyPI颁布令牌、SSH密钥、Docker凭证、GPG密钥以及.env文件中的敏感信息。。。 。。。。。Red Hat已将受影响软件包从npm注册表中删除 ，，，，， ，并强调这次泄露仅限于内部开发工具 ，，，，， ，尚未发现客户或合作同伴环境及Red Hat出产系统受到任何影响 ，，，，， ，但未注明账户被入侵的具体原因。。。 。。。。。


https://www.bleepingcomputer.com/news/security/red-hat-npm-packages-compromised-to-steal-developer-credentials/


3. Dashlane遭暴力破解攻击 ，，，，， ，用户账户被自动锁定


6月1日 ，，，，， ，近日 ，，，，， ，多名Dashlane密码治理服务的用户遭逢账户被锁定事务 ，，，，， ，原因是攻击者发起了暴力破解攻击 ，，，，， ，试图从远距离地址和未知设备登录用户账户。。。 。。。。。Dashlane公司证实 ，，，，， ，这次账户暂停是其自动化安全响应机造的一部门 ，，，，， ，旨在预防账户被劫持。。。 。。。。。事务曝光源于多名用户在Reddit上发帖 ，，，，， ，称收到了来自国表的可疑接见要求通知邮件 ，，，，， ，其中蕴含用于注册新设备的验证码。。。 。。。。。很多用户感应猜疑 ，，，，， ，由于他们并未提议这些要求 ，，，，， ，一度疑惑这是针对Dashlane用户的网络垂钓攻击。。。 。。。。。随后 ，，，，， ，Dashlane在Reddit上回复称其系统是安全的 ，，，，， ，暴力破解攻击通过陆续尝试多个密码来获取账户接见权限 ，，，，， ，而平台会通过速度限度、验证码挑战和账户锁定等�；；；； ；；；；ご胧� ，，，，， ，在失败尝试次数达到阈值后自动阻止此类攻击。。。 。。。。。凭据Dashlane状态页面显示 ，，，，， ，对该事务的调查于5月31日15:19 UTC启动 ，，，，， ，至22:30 UTC被象征为“已解决” ，，，，， ，宣称所有受影响账户已解封。。。 。。。。。6月1日07:32 UTC颁布的更新确认了同样情况 ，，，，， ，Dashlane保障团队在监控并执行额表措施。。。 。。。。。


https://www.bleepingcomputer.com/news/security/dashlane-password-manager-users-locked-out-by-brute-force-attacks/


4. Steam评论藏恶意代码 ，，，，， ，近2000个WordPress网站习染


6月1日 ，，，，， ，近2000个WordPress网站习染了一种新型恶意软件 ，，，，， ，该恶意软件利用Steam社区幼我资料评论中的不私见Unicode字符暗藏号令与节造（C2）数据。。。 。。。。。自2025年7月初次发现该攻击活动以来 ，，，，， ，GoDaddy的安全工程师已在约莫1980个WordPress网站上检测到该恶意软件。。。 。。。。。目前尚不明显黑客入侵这些网站的具体方式 ，，，，， ，钻研人员以为初始习染蹊径可能蕴含：窃取治理员登录信息或泄露的FTP/SFTP痛处、利用存在缝隙的WordPress主题或插件 ，，，，， ，或者通过供给链攻击植入恶意代码。。。 。。。。。植入网站的第一阶段恶意软件利用WordPress页面加载来接见特定的Steam幼我资料 ，，，，， ，并从看似无害的评论中提取文本。。。 。。。。。然而 ，，，，， ，这些文本中蕴含暗藏的Unicode字符 ，，，，， ，它们承载着现实恶意载荷 ，，，，， ，有时假装成ASCII艺术。。。 。。。。。解码器会忽略所有可见字符 ，，，，， ，将不私见字符映射为数字并转换为二进造 ，，，，， ，最终沉建出字节。。。 。。。。。解码后的有效载荷用于构建一个hello-mywordl[.]info的URL ，，，，， ，该URL提供假装成合法JavaScript库的恶意代码 ，，，，， ，并注入到每个WordPress前端页面中。。。 。。。。。攻击的最后阶段是植入一个后门 ，，，，， ，该后门会响应蕴含特定身份验证cookie的POST要求 ，，，，， ，通过POST参数接管base64编码的PHP代码。。。 。。。。。


https://www.bleepingcomputer.com/news/security/wordpress-malware-campaign-hides-payloads-in-steam-profiles/


5. Windows Netlogon严沉缝隙遭活跃利用


6月1日 ，，，，， ，比利时网络安全中心（CCB）近日发出忠告 ，，，，， ，威胁行为者在积极利用微软最近建复的一个Windows Netlogon严沉缝隙（CVE-2026-41089）提议攻击。。。 。。。。。该缝隙是微软在2026年5月“补丁星期二”活动中建复的 ，，，，， ，被描述为Windows Netlogon服务中的基于仓库的缓冲区溢露马脚 ，，，，， ，允许没有权限的攻击者在指标域节造器上获得远程代码执行权限。。。 。。。。。攻击者只需向充任域节造器的Windows服务器发送特造的网络要求 ，，，，， ，即可无需登录或事先获得接见权限 ，，，，， ，在受影响的系统上运行恶意代码。。。 。。。。。该缝隙影响所有当前受支持的Windows Server版本 ，，，，， ，蕴含最新版本Windows Server 2025 ，，，，， ，由微软内部的Windows攻击钻研与�；；；； ；；；；ね哦臃⑾�。。。 。。。。。CCB在周五颁布忠告称该缝隙目前已遭活跃利用 ，，，，， ，并督促治理员立即建补存在缝隙的服务器。。。 。。。。。CCB在推特上指出 ，，，，， ，该缝隙的CVSS 3.1评分为9.8 ，，，，， ，属于严沉级别。。。 。。。。。然而 ，，，，， ，CCB并未提供有关这些持续攻击的具体细节 ，，，，， ，也没有回应媒体进一步信息的要求。。。 。。。。。微软尚未更新其安全布告 ，，，，， ，也未确认该缝隙是否已被活跃利用。。。 。。。。。


https://www.bleepingcomputer.com/news/microsoft/critical-windows-netlogon-remote-code-execution-flaw-now-exploited-in-attacks/


6. 朝鲜黑客借虚伪Zoom更新攻击加密钱币与Web3行业


6月1日 ，，，，， ，凭据SpiderLabs的最新汇报 ，，，，， ，一个被归罪于朝鲜黑客组织Sapphire Sleet的恶意软件攻击活动 ，，，，， ，在专门针对加密钱币组织、风险投资公司和Web3开发人员。。。 。。。。。攻击流程始于黑客通过LinkedIn、Telegram、电子邮件或其他专业平台联系指标组织的成员 ，，，，， ，假意招聘人员、投资者或贸易同伴。。。 。。。。。一旦成立初步信赖关系 ，，，，， ，攻击者便会提议进行视频会议。。。 。。。。。然而在会议起头前 ，，，，， ，受害者会被批示装置一个所谓的“Zoom SDK更新”。。。 。。。。。现实下载的文件并非合法更新 ，，，，， ，而是一段恶意的AppleScript剧本 ，，，，， ，该剧本随即启动一个多阶段的习染链。。。 。。。。�；；；； ；；；；竦贸跏冀蛹ㄏ藓� ，，，，， ，恶意软件会批示受信赖的macOS组件下载额表的有效载荷 ，，，，， ，以实现悠久化接见并绕过安全节造措施。。。 。。。。。同时 ，，，，， ，它会定期与号令与节造服务器通讯。。。 。。。。。接下来 ，，，，， ，一个名为systemupdate.app的虚伪利用法式会弹出一个看似macOS原生身份验证窗口的提醒 ，，，，， ，用于窃取用户的登录密码。。。 。。。。。在实现环境探测和权限获取后 ，，，，， ，恶意软件起头搜索受习染设备中有价值的信息 ，，，，， ，指标蕴含：加密钱币软件钱包、本地浏览器扩大数据、Telegram会话信息、本地SSH密钥以及Apple Notes中的未加密纪录。。。 。。。。。所有这些被窃取的数据随后会被打包压缩 ，，，，， ，并发送到朝鲜节造的服务器。。。 。。。。。


https://cybernews.com/security/north-korean-hacker-macos-malware/