CISA要求联邦机构紧迫修复HPE OneView误差

宣布时间 2026-01-09

1. CISA要求联邦机构紧迫修复HPE OneView误差


1月8日，美国网络清静和基础设施清静局（CISA）克日将HPE OneView的CVE-2025-37164误差标记为“正在被起劲使用”，该误差属最高级别危害 。HPE OneView是用于集中治理存储、服务器和网络装备的基础架构治理软件，普遍应用于企业IT情形 。误差由越南清静研究员Nguyen Quoc Khanh（brocked200）发明并报告，HPE于2025年12月中旬宣布清静补丁，但误差影响v11.00之前的所有OneView版本 。CVE-2025-37164允许未经身份验证的威胁行为者通过低重漂后代码注入攻击实现远程代码执行，攻击者无需外地权限即可完全控制受影响系统 。HPE在12月16日的忠言中强调，该误差可能被远程用户使用执行恶意代码，直接威胁企业焦点基础设施清静 。CISA已将该误差纳入“已知被使用误差目录”，并依据2021年宣布的BOD 22-01指令，要求联邦民事行政部分（FCEB）机构在2026年1月28日前完成系统修复 。


https://www.bleepingcomputer.com/news/security/cisa-tags-max-severity-hpe-oneview-flaw-as-actively-exploited/


2. GoBruteforcer僵尸网络升级暴力破解攻击


1月7日，一款名为GoBruteforcer的高重漂后Go语言僵尸网络正对全球Linux服务器提倡强烈攻击，通过暴力破解手段实验获取FTP、MySQL、PostgreSQL及phpMyAdmin等公网袒露服务的弱密码 。Check Point Research纪录显示，其2025年变种版本手艺水平大幅升级，已攻陷数万台服务器，全球超5万台服务器面临危害，涉及570万FTP、223万MySQL及56万PostgreSQL默认端口袒露装备 。该僵尸网络接纳� ？榛芄�，包括网页后门、下载器、IRC僵尸程序及暴力破解� ？� 。攻击推手主要源于运维职员复用AI天生的服务器设置模板，以及XAMPP等老旧集成情形缺乏加固 。其密码列表与1000万条泄露密码数据库重合率达2.44%，基于375-600个弱密码天生变体，团结重大袒露服务基数形成高经济效益攻击 。2025变种完全重构IRC组件为Go语言，使用Garbler工具深度混淆代码，新增历程伪装手艺，逃避清静检测 。


https://cybersecuritynews.com/gobruteforcer-botnet/


3. 恶意npm包撒播NodeCordRAT恶意软件


1月8日，网络清静研究职员克日披露了一起针对npm生态的恶意软件撒播事务，发明三个由用户"wenmoonx"上传的恶意npm软件包——bitcoin-main-lib（2,300次下载）、bitcoin-lib-js（193次下载）及bip40（970次下载） 。阻止2025年11月，这些包已被全手下架，但已对开发者社区造成实质性威胁 。据剖析，前两个恶意包在装置时会执行postinstall.cjs剧本，自动装置包括恶意负载的bip40包 。该最终负载被命名为NodeCordRAT，是一种具有数据窃取能力的远程会见木马 。其名称源于双重撒播特征：使用npm作为初始撒播前言，通过Discord服务器建设下令与控制（C&C）通道 。该木马具备多重危害功效：可窃取谷歌Chrome浏览器凭证、API令牌及MetaMask等加密钱币钱包的助记词；通过硬编码的Discord服务器吸收指令，支持执行恣意shell下令、截取桌面屏幕及上传指定文件等操作 。数据通过Discord API的/messages端点以附件形式上传至私密频道，形成隐藏的窃密链路 。


https://thehackernews.com/2026/01/whatsapp-worm-spreads-astaroth-banking.html


4. 巴西WhatsApp用户遭Astaroth木马定向攻击


1月8日，安克诺斯威胁研究团队克日披露代号"粉红河豚"的新型攻击运动，攻击者以巴西WhatsApp用户为目的，通过该平台撒播具有多� ？榛卣鞯腁staroth（又名"吉尔达马"）Windows银行木马 。该木马自2015年起一连活跃于拉美地区，尤以巴西为重灾区，焦点目的为窃取用户数据及银行凭证 。攻击链以ZIP压缩包为初始载体，内含伪装成正常文件的VB剧本及MSI装置程序 。当受害者解压并执行剧本后，会触发PowerShell/Python剧本下载，启动装备入侵流程 。此次攻击的显著特征在于新增的Python语言开发WhatsApp蠕虫� ？�，该� ？榭勺远缡芎φ咄ㄑ堵�，并向所有联系人转发含恶意ZIP的撒播新闻，形成几何级扩散效应 。Astaroth接纳� ？榛芄股杓疲浩浣沟愠绦蛴傻露Ｓ镅员嘈�，装置程序依托VB剧本运行，而撒播� ？樵蚴褂肞ython开发，体现威胁行为者对多语言编程的无邪运用 。银行木马� ？樵诤筇ㄒ涣嗫赜没т榔髟硕�，当检测到会见银行相关网址时，连忙激活并窃取登录凭证，实现经济犯法目的 。


https://thehackernews.com/2026/01/whatsapp-worm-spreads-astaroth-banking.html


5. 朝鲜Kimsuki使用恶意二维码攻击美国组织


1月8日，美国联邦视察局克日宣布紧迫警报，揭破朝鲜官方支持的黑客组织Kimsuki（APT43）正通过恶意二维码提倡针对美国组织的鱼叉式网络垂纶攻击 。此次攻击主要瞄准加入朝鲜相关政策、研究和剖析的美国机构，包括非政府组织、智库、学术机构、战略咨询公司及政府实体 。攻击者通过发送包括恶意二维码的垂纶邮件，诱使受害者扫描二维码后重定向至伪装成问卷视察、清静驱动器或虚伪登录页面的恶意网站 。扫描后，受害者装备会被路由至攻击者控制的基础设施，举行装备指纹识别，网络用户署理信息、操作系统、IP地点、屏幕尺寸及外地语言等数据 。随后，受害者会看到模拟Microsoft 365、Okta、VPN或Google登录页面的垂纶页面，最终目的为窃取会见凭证或会话令牌 。此类攻击通过移动装备扫描二维码的特征，有用绕过古板电子邮件清静解决计划及多因素身份验证（MFA） 。由于攻击源自未受治理的移动装备，处于标准端点检测与响应（EDR）和网络监控之外，被形貌为“不受MFA�；さ纳矸萑肭窒蛄俊� 。


https://www.bleepingcomputer.com/news/security/fbi-warns-about-kimsuky-hackers-using-qr-codes-to-phish-us-orgs/


6. 恶意软件加载器pkr_mtsi可转达多种有用载荷


1月8日，ReversingLabs（RL）克日披露，一种名为pkr_mtsi的恶意Windows打包程序自2025年4月24日发明以来一连活跃，成为大规模恶意广告和SEO投毒运动的焦点加载器 。该工具通过虚伪下载网站诱骗用户下载伪装成PuTTY、Rufus、Microsoft Teams等正当软件的木马装置程序，使用付费搜索广告和搜索排名使用提升曝光率，而非依赖供应商入侵 。pkr_mtsi具备高度无邪性，可安排Oyster、Vidar、Vanguard Stealer、Supper等多种恶意软件家族 。其进化轨迹显著：已往八个月内引入更强盛的混淆手艺、哈希API剖析及反剖析机制，同时坚持“内存分派-小规模写入重修载荷”的稳固执行模子 。要害手艺特征包括刷新的UPX中心级填充、混淆的ZwAllocateVirtualMemory挪用、滋扰剖析的垃圾GDI API挪用，以及触发历程终止或无限循环的反调试检查 。只管结构多变，但其重复挪用带有无效�；け昙堑腘tProtectVirtualMemory函数爆发的可展望过失，为端点遥测监控提供了可靠检测时机 。


https://www.infosecurity-magazine.com/news/malware-loader-pkrmtsi-payloads/