印度税务垂纶攻击安排多阶段特工框架

宣布时间 2026-01-28

1. 印度税务垂纶攻击安排多阶段特工框架


1月26日，网络清静研究职员发明一起针对印度用户的网络特工攻击运动，该运动通过冒充印度所得税部分的垂纶邮件撒播多阶段恶意程序。据eSentire威胁响应部分剖析，攻击者使用伪造的税务� ？钔ㄖ址⒑匚募腪IP压缩包，其中包括一个可执行文件及恶意DLL文件。该可执行文件通过DLL侧载手艺加载恶意� ？椋谠诵惺奔觳獾魇云餮映俨⒘低獠糠衿骰袢『笮睾�。攻击链中，下载的Shellcode使用COM手艺绕过用户账户控制（UAC）提醒获取治理员权限，同时修刷新程情形块（PEB）伪装成正当Windows历程“explorer.exe”以逃避检测。随后，恶意软件下载一个32位Inno Setup装置程序，该程序会凭证目的主机是否运行Avast防病毒软件动态调解行为。最终，攻击者安排了Blackmoon银行木马变种及SyncFuture TSM企业工具。后者作为正当的终端清静治理工具被重新使用为特工框架，提供远程监控、数据窃取及用户运动纪录功效。


https://thehackernews.com/2026/01/indian-users-targeted-in-tax-phishing.html


2. WinRAR高危误差CVE-2025-8088遭多类攻击者滥用


1月27日，网络清静公司ESET与谷歌威胁情报小组（GTIG）近期披露，WinRAR软件中的CVE-2025-8088高危路径遍历误差正被国家支持型特工组织及经济利益驱动的犯法团伙大规模使用，举行初始会见并安排恶意载荷。该误差通过备用数据流（ADS）将恶意文件写入恣意位置，攻击者曾使用其在Windows启动文件夹植入长期化恶意软件，实现重启后一连运行。GTIG报告指出，攻击运动自2025年7月18日起一连至今，涉及俄罗斯结盟的RomCom组织（UNC4895）、伊朗APT44（FROZENBARENTS）、朝鲜TEMP.Armageddon及中国关联攻击者等国家支持实体，以及分发XWorm、AsyncRAT等远程会见工具的经济犯法分子。攻击链通常将恶意载荷隐藏在归档文件诱饵（如PDF）的ADS中，用户翻开WinRAR时，误差会提取ADS有用载荷，天生LNK、HTA、BAT等可执行文件，在用户登录时自动运行。值得注重的是，所有攻击者均从“zeroplayer”等供应商处获取误差使用程序。该供应商去年7月曾兜售此误差，并销售其他高价零日误差。


https://www.bleepingcomputer.com/news/security/winrar-path-traversal-flaw-still-exploited-by-numerous-hackers/


3. 耐克视察勒索团伙文件泄露事务


1月27日，克日，运动打扮巨头耐克公司证实正在视察一起“潜在的网络清静事务”。此前，World Leaks勒索软件团伙在暗网数据泄露网站宣称窃取了耐克1.4TB文件，包括近19万份企业数据，涉及营业运营信息。耐克在声明中强调“始终重视消耗者隐私和数据清静”，并体现正起劲评估情形。值得注重的是，World Leaks随后从泄露列表中删除了耐克条目，引发谈判或赎金支付推测，但耐克未证实数据被盗，第三方也无法验证文件真实性。经查，World Leaks实为Hunters International勒索软件的更名版本。该组织于2023年尾泛起，因代码相似性被视为Hive勒索软件的可能变体，曾宣称对280余起攻击认真。2025年1月，Hunters International宣布放弃文件加密战略，转向数据窃取和勒索模式，理由是古板勒索软件操作危害过高且利润下降。


https://www.bleepingcomputer.com/news/security/nike-investigates-data-breach-after-extortion-gang-leaks-files/


4. SmarterMail服务器高危误差威胁全球


1月27日，非营利清静组织Shadowserver克日宣布报告，指出全球凌驾6000台SmarterMail服务器因袒露在互联网上，可能遭受编号为CVE-2026-23760的严重身份验证绕过误差攻击。该误差由网络清静公司watchTowr于2026年1月8日首次披露，涉及SmarterTools旗下SmarterMail 9511版本之前的密码重置API功效。据清静通告显示，其"force-reset-password"端点保存设计缺陷，允许匿名请求且未验证现有密码或重置令牌，攻击者仅需提供目的治理员用户名和新密码即可重置账户，从而完全获取系统治理权限。watchTowr研究职员已宣布看法验证误差使用程序，证实未经身份验证的攻击者可使用此误差挟制治理员账户，进而实现远程代码执行，导致对受影响服务器的完全控制。Shadowserver通过版本检测发明，美国（4100台）、马来西亚（449台）、印度（188台）、加拿大（166台）和英国（146台）是受影响最严重的国家，且现实攻击实验已被视察到。


https://securityaffairs.com/187394/hacking/shadowserver-finds-6000-likely-vulnerable-smartermail-servers-exposed-online.html


5. 俄罗斯Delta公司遭网络攻击致多系统瘫痪


1月27日，俄罗斯报警与清静系统供应商Delta公司克日遭遇“大规模、协调且组织严密”的网络攻击，导致其家庭、企业及车辆清静系统服务大面积中止，引发客户普遍投诉。该公司市场总监瓦列里·乌什科夫在视频声明中指出，攻击源自“仇视外国”，并坦言其架构“无法抵御外洋全心策划的攻击”。阻止周二，Delta网站及电话线路仍无法使用，公司被迫通过社交媒体VKontakte与数万名客户相同，并允许手艺团队正全力恢复系统，预计很快周全恢复。此次攻击造成多重现实影响：用户报告汽车防盗警报无法关闭、车辆无法解锁、远程启动系统故障、车门意外锁闭甚至行驶中发念头熄火；住宅及商业修建警报系统则自动切换至紧迫模式且无法关闭。俄语媒体Baza在Telegram上披露，事务爆发后用户迅速反响上述问题，而《生意人报》亦证实保存大规模故障。只管Delta坚称无客户数据泄露，但一个自称攻击者的Telegram频道宣布了据称包括被盗数据的存档文件，其真实性及攻击者身份尚未获自力核实。


https://therecord.media/russia-delta-security-alarm-company-cyberattack


6. SoundCloud遭ShinyHunters攻击致2980万用户数据泄露


1月27日，音频流媒体平台SoundCloud 2025年12月遭遇大规模数据泄露事务，影响凌驾2980万用户账户，涉及电子邮件地点、地理位置、姓名、用户名、头像、粉丝数、关注者数及部分国家信息等果真资料。SoundCloud建设于2007年，作为艺术家中心平台，现拥有全球4000万艺术家上传的超4亿首歌曲。事务因由于黑客入侵其辅助服务仪表板，触发未经授权会见。SoundCloud在检测到异常后启动事务响应程序，经视察确认无敏感数据泄露，仅涉及果真小我私家资料信息。然而，勒索团伙ShinyHunters声称对此次攻击认真，并向SoundCloud提出勒索要求，同时通过电子邮件对用户、员工及相助同伴发送骚扰信息。1月15日，SoundCloud证实攻击者保存勒索行为，且数据已被果真。此次泄露影响约20%的SoundCloud用户，此前用户曾报告无法会见平台及使用VPN时泛起403过失。数据泄露通知服务Have I Been Pwned披露，攻击者乐成将果真资料与用户电子邮件地点关联，涉及3000万唯一电子邮件地点。


https://www.bleepingcomputer.com/news/security/have-i-been-pwned-soundcloud-data-breach-impacts-298-million-accounts/