巴拿马经济和财政部遭INC勒索软件攻击

颁布功夫 2025-09-15

1. 巴拿马经济和财政部遭INC勒索软件攻击


9月11日 ，巴拿马经济和财政部（MEF）近日披露 ，其一台工作站推算机可能遭逢恶意软件攻击 ，当局已启动安全法式并强调事务已得到节造 ，未影响主题系统运营。MEF在官方申明中指出 ，检测到异常后当即激活既定安全和谈 ，加强整个IT系统的预防措施 ，并明确中央系统及平台均未受损 ，目前正常运行。作为巴拿马主题财政治理机构 ，MEF掌管财政政策造订、公共支出调控、债务治理及巴拿马运河收入治理。该部强调 ，幼我与机构数据安全 ，并已执行所有行业尺度防护措施以防备后续风险。然而 ，勒索软件组织INC Ransom上周在暗网数据泄露网站颁布申明 ，宣称对MEF提议攻击并窃取超过1.5TB数据 ，蕴含电子邮件、财政文件、预算明细等敏感信息。该组织于9月5日将MEF列入受害者名单 ，并泄露内部文件样本作为违规证据。INC Ransom成立于2023年中期 ，以勒索软件即服务（RaaS）模式运作 ，曾攻击多家驰名企业。


https://www.bleepingcomputer.com/news/security/panama-ministry-of-economy-discloses-breach-claimed-by-inc-ransomware/


2. Farmer Bros.遭网络攻击致1.4万人数据泄露


9月10日 ，总部位于德克萨斯州的咖啡及食品服务公司Farmer Bros.近日披露 ，今年3月初产生的一路网络攻击导致超过1.4万人数据泄露。据该公司提交给缅因州总检察长办公室的通知 ，攻击者在系统内“徘徊”近12天后被觉察 ，公司随即启动调查并传递法律部门协助查究。数据泄露通知显示 ，攻击者获取了部门幼我信息 ，但具体泄露字段被涂黑未公开。作为补救措施 ，Farmer Bros.为受影响个别提供免费身份偷窃及信誉监控服务 ，此类服务通常针对可能蕴含姓名、邮箱、社保号等敏感标识符的泄露场景 ，以防备诓骗风险。公司提醒用户定期查抄账户及信誉汇报 ，警惕异� ；疃�。值得关注的是 ，Chaos勒索软件团伙曾于今年4月初宣称把握该公司数据 ，并宣称窃取了650GB信息。目前尚无法确认该申明与本次泄露事务的直接关联 ，但功夫线的高度沉合引颁发界对勒索团伙参加的揣摩。


https://cybernews.com/security/farmer-bros-data-breach-victims/


3. CISA将达索系统高危缝隙纳入KEV目录


9月12日 ，美国网络安全和基础设施安全局（CISA）近日将达索系统DELMIA Apriso软件的高危缝隙（CVE-2025-5086 ，CVSS评分9.0）列入已知被利用缝隙（KEV）目录。该缝隙为不受信赖数据反序列化问题 ，影响DELMIA Apriso从2020版至2025版的多个版本 ，攻击者可利用此缝隙远程执行肆意代码 ，对工业造作运营组成严沉威胁。凭据拥有约束力的运营指令（BOD）22-01要求 ，联国民事行政部门（FCEB）机构必须在2025年10月2日前实现缝隙建复 ，以降低落大风险。CISA同时建议个人组织审查KEV目录 ，自动排查并建复自身基础设施中的同类缝隙。达索系统DELMIA Apriso作为造作运营治理（MOM）平台 ，宽泛利用于全球工业企业的出产监控与优化 ，其安全性直接关系到关键基础设施不变。本次缝隙由Hacktron AI汇报 ，CISA通过KEV目录机造推动急剧响应 ，体现“发现-传递-建复”的关环治理逻辑。


https://securityaffairs.com/182120/hacking/u-s-cisa-adds-dassault-systemes-delmia-apriso-flaw-to-its-known-exploited-vulnerabilities-catalog.html


4. FBI忠告UNC6040、UNC6395黑客窃取Salesforce数据


9月14日 ，美国联国调查局（FBI）颁布FLASH警报 ，忠告两个威胁集群UNC6040和UNC6395正通过攻击组织的Salesforce环境窃取数据并执行勒索。布告指出 ，这两个集群的恶意活动导致数据偷窃和勒索事务激增 ，FBI但愿通过颁布入侵指标（IOC）提升公家防御能力。UNC6040于2024年6月由Google威胁谍报团队初次披露 ，该集群自2024年底起利用社会工程和语音垂钓攻击 ，诱骗员工将恶意Salesforce Data Loader OAuth利用衔接至企业账户。攻击者常假意IT支持人员 ，使用“我的票务门户”等假装利用 ，通过OAuth衔接大规模窃取Salesforce数据 ，随后由ShinyHunters勒索组织利用这些数据进行勒索 ，重要针对存储客户数据的“账户”和“联系人”数据库。8月 ，另一集群UNC6395通过被盗的Salesloft Drift OAuth和刷新令牌攻击Salesforce事俘 ，窃取支持案例中的机密信息 ，蕴含AWS密钥、密码和Snowflake令牌 ，进而渗入其他云环境。Salesloft已与Salesforce合作撤销所有Drift令牌 ，并要求客户沉新认证。


https://www.bleepingcomputer.com/news/security/fbi-warns-of-unc6040-unc6395-hackers-stealing-salesforce-data/


5. VoidProxy网络垂钓平台利用中央人攻击窃取微软谷歌账户凭证


9月14日 ，近日 ，一个名为VoidProxy的新型网络垂钓即服务（PhaaS）平台被曝光 ，其针对Microsoft 365、Google账户及受Okta等第三地契点登录（SSO）� ；さ恼嘶嵋楣セ�。该平台由Okta威胁谍报团队发现 ，被描述为“可扩大、可躲避且复杂” ，选取中央人（AitM）战术实时窃取用户凭证、多成分认证（MFA）代码及会话cookie。攻击始于受习染的电子邮件服务账户发送蕴含缩短链接的垂钓邮件。收件人点击链接后 ，会经历屡次沉定向 ，最终接见托管在.icu、.sbs、.xyz等低成本域名上的垂钓网站。这些网站利用Cloudflare� ；ぐ挡卣媸礗P ，并通过Cloudflare Worker环境过滤流量、加载页面。接见者需先通过Cloudflare CAPTCHA验证以排除机械人 ，增长页面可信度。垂钓页面仿照Microsoft或Google登录界面 ，部门指标会被疏导至无害的“迎接”页面以混合检测。当用户输入凭证时 ，要求会通过VoidProxy代理至Google或Microsoft服务器。对于使用Okta SSO的结合账户 ，攻击会进入第二阶段 ，假意Okta的SSO流程页面 ，进一步窃守信息。VoidProxy的代理服务器在受害者与合法服务间中继流量 ，同时捕获传输中的用户名、密码、MFA代码 ，并拦截合法服务发放的会话cookie ，供攻击者在治理面板直接使用。


https://www.bleepingcomputer.com/news/security/new-voidproxy-phishing-service-targets-microsoft-365-google-accounts/


6. 新型HybridPetya勒索软件突破UEFI安全启动执行攻击


9月12日 ，网络安全公司ESET近日在VirusTotal平台发现名为HybridPetya的新型勒索软件样本 ，该恶意软件可绕过UEFI安全启动职能 ，在EFI系统分区部署恶意法式。HybridPetya显著受2016-2017年Petya/NotPetya恶意软件启发 ，后者曾造玉成球大规模系统瘫痪且无复原选项 ，而HybridPetya则融合两者特点 ，既保留视觉风格和攻击链特点 ，又新增关键技术突破。钻研显示 ，HybridPetya利用CVE-2024-7344缝隙实现安全启动绕过 ，该缝隙存在于微软署名利用中 ，即便系统启用安全启动� ；と钥杀焕�。攻击时 ，恶意软件首先检测主机是否选取UEFI+GPT分区组合 ，随后将蕴含config、verify、counter等文件的启动工具包植入EFI系统分区。其中 ，config文件存储加密标志、密钥、随机数及受害者ID ，verify文件用于密钥验证 ，counter则跟踪加密进度。该软件会代替原始bootmgfw.efi为存在缝隙的reloader.efi ，并删除bootx64.efi ，同时备份原始疏导法式以便赎金支付后复原系统。攻击流程中 ，HybridPetya触发蓝屏谬误强造系统沉启 ，使恶意bootkit在启动阶段执行。随后使用Salsa20算法加密所有MFT集群 ，期间显示虚伪CHKDSK新闻误导用户。加密实现后再次沉启 ，向受害者索要1000美元比特币赎金 ，换取32字符密钥以复原疏导法式和解密数据。


https://www.bleepingcomputer.com/news/security/new-hybridpetya-ransomware-can-bypass-uefi-secure-boot/