BLACKBASTA 团伙声称对 SYNLAB ITALIA 攻击事务认真

宣布时间 2024-05-06

1. BLACKBASTA 团伙声称对 SYNLAB ITALIA 攻击事务认真


5月4日，近期医疗诊断服务提供商 Synlab Italia 一直因网络攻击而遭受中止。该公司最初将手艺问题列为导致盘算机和电话系统及相关服务暂时中止的缘故原由。Ransomfeed.it平台的研究职员透露，犯法组织Blackbasta声称对 Synlab 的勒索软件攻击认真。该组织声称偷窃了 1.5 TB 数据，包括公司数据、员工小我私家文档、客户小我私家数据、医学剖析（精子图、毒理学、剖解学……）等等。作为数据泄露的证据，该组织宣布了护照、身份证和医学剖析的图像。该组织宣布的其中一张图像列出了被窃取的文件夹，其中一些包括医疗检查的名称，而另一些则包括位于坎帕尼亚地区的中心名称，只管这次袭击影响了整个意大利的采样点。BlackBasta 勒索软件组织将于 2024 年 5 月 11 日宣布被盗数据。Black Basta 自 2022 年 4 月以来一直活跃，与其他勒索软件操作一样，它实验了双重勒索攻击模子。  2022 年 11 月，Sentinel Labs 研究职员报告称 ，他们发明了 Black Basta 勒索软件团伙与出于经济念头的黑客组织 FIN7 之间的联系的证据。


https://securityaffairs.com/162741/security/blackbasta-gang-claimed-responsibility-for-synlab-italia-attack.html


2. APT42使用社交工程攻击侵入西方和中东目的


5月4日，APT42首次被Mandiant于2022年9月纪录，报告称这些威胁行为者自2015年以来一直活跃，已在14个国家举行了至少30次操作。已被视察到针对非政府组织、媒体机构、教育机构、活感人士和执法服务。APT42的攻击依赖于社交工程和垂纶，其最终目的是通过定制的后门熏染目的装备，从而使威胁行为者获得对组织网络的初始会见权限。攻击从冒充记者、非政府组织代表或运动组织者的在线身份发送的电子邮件最先，这些电子邮件的域名“typosquat”（使用类似的URL）与正当组织的域名相似。攻击者与受害者举行足够的相同以建设信托后，会向受害者发送与聚会或新闻文章相关的文档链接，详细取决于所选的诱饵主题。点击这些链接会将目的重定向到模拟着名服务（如Google和Microsoft）或与受害者事情领域相关的专业平台的虚伪登录页面。APT42使用两个定制的后门恶意软件，划分命名为Nicecurl和Tamecat，每个后门都针对网络特工运动中的特定功效。Nicecurl是基于VBScript的后门，能够执行下令、下载和执行其他载荷，或在被熏染的主机上举行数据挖掘。Tamecat是一个更重大的PowerShell后门，可以执行恣意PS代码或C#剧本，使APT42在执行数据偷窃和普遍的系统操作时具有更大的操作无邪性。与Nicecurl相比，Tamecat使用base64混淆其C2通讯，可以动态更新其设置，并在外部执行之前评估被熏染的情形。


https://www.bleepingcomputer.com/news/security/iranian-hackers-pose-as-journalists-to-push-backdoor-malware/


3. 俄罗斯 APT28 使用 Outlook 误差攻击捷克和德国


5月4日，捷克和德国透露，它们是与俄罗斯有联系的民族国家组织APT28举行的恒久网络特工运动的目的，此举引起了欧盟 (EU)、北大西洋条约组织 (NATO) 的训斥。捷克共和外洋交部 (MFA) 在一份声明中体现，该国一些未透露姓名的实体因去年头曝光的 Microsoft Outlook 清静误差而遭到攻击。外交部体现针对政治实体、国家机构和要害基础设施的网络攻击不但对国家清静组成威胁，并且破损了我们自由社会所依赖的民主历程。所涉及的清静误差是CVE-2023-23397，这是 Outlook 中现已修补的一个要害权限升级误差，可能允许攻击者会见 Net-NTLMv2 哈希值，然后使用它们通过中继攻击来验证自己的身份。德国联邦政府（又名 Bundesregierung）将威胁行为者归罪于针对社会民主党执行委员会的网络攻击，该攻击在“相对较长的时间内”使用相同的 Outlook 误差，使其能够“危害大宗电子邮件帐户”。该运动针对的一些笔直行业包括位于德国、乌克兰和欧洲的物流、军备、航空航天工业、IT 服务、基金会和协会，联邦羁系机构还体现该组织加入了 2015 年对德国联邦议会（Bundestag）。APT28 经评估与俄罗斯联邦军事情报机构 GRU 的军事单位 26165 有联系，也被更普遍的网络清静社区以 BlueDelta、Fancy Bear、Forest Blizzard（以前称为 Strontium）、FROZENLAKE、Iron Twilight、Pawn Storm、 Sednit、Sofacy 和 TA422。


https://thehackernews.com/2024/05/microsoft-outlook-flaw-exploited-by.html


4. 乌克兰纪录俄罗斯黑客出于经济念头的攻击有所增添


5月3日，乌克兰政府报告称，与俄罗斯有关的先前身份不明的黑客出于经济念头提倡的网络攻击有所增添。凭证最近的一份报告，这些组织在 2023 年下半年在乌克兰网络中变得越发活跃，导致之前由克里姆林宫支持的著名黑客组织（如“Sandworm”和“Armageddon”）主导的一连网络战争爆发了转变。乌克兰盘算机应急响应小组 (CERT-UA) 认真人 Yevheniia Volivnyk 体现新加入者的泛起批注俄罗斯有意使其网络战武器库多样化。这些整体可能拥有奇异的手艺或专注于特定的运营目的。乌克兰网络研究职员体现，这些新组织通过使用经由深图远虑的网络垂纶攻击而脱颖而出。主要目的是分发恶意远程会见软件（例如RemcosRAT和 RemoteUtilities）或数据偷窃程序（包括 LummaStealer 和 MeduzaStealer）。在 CERT-UA 剖析时代，近 40% 的报告事务与金融偷窃有关。CERT-UA 体现，包括电信行业在内的乌克兰要害基础设施仍然是俄罗斯黑客的最优先目的，并且这种趋势可能会一连下去。俄罗斯针对乌克兰要害基础设施的许多行动被形貌为“混淆”行动。例如，乌克兰最大的移动运营商 Kyivstar（为 2500 万用户提供服务）遭到攻击，恰逢对乌克兰举行大规模导弹袭击。


https://therecord.media/ukraine-russia-increase-financially-motivated-cyberattacks?&web_view=true


5. Goldoon 僵尸网络使用 9 年前的误差瞄准 D-Link 装备


5月4日，Fortinet 的 FortiGuard 实验室的网络清静研究职员发明了一种名为“Goldoon”的新僵尸网络威胁，专门针对D-Link 路由器和网络附加存储 (NAS) 装备。该恶意软件使用CVE-2015-2051（CVSS评分：10.0）误差熏染装备，可能使用户数据和网络清静面临危害。值得注重的是， 2015 年 2 月发明的清静误差CVE-2015-2051已有近十年的历史。此误差主要影响报废装备。2022 年 9 月，Palo Alto Networks 的 Unit 42发明污名昭著的 Mirai 僵尸网络的变体（称为 MooBot）正在使用相同的误差，针对 D-Link 装备。D-Link 于 2015 年解决了该问题。凭证 Fortinet 报告，Goldoon 使用暴力攻击来获取对 D-Link 装备的会见权限。暴力攻击涉及系统地实验差别的用户名和密码组合，直到获得未经授权的会见。该报告批注，这些攻击使用了目的装备上较弱的默认凭证或过时的固件。


https://www.hackread.com/goldoon-botnet-targeting-d-link-devices/


6. LOCKBIT 宣布了从戛纳 SIMONE VEIL 医院窃取的数据


5月3日，LockBit 勒索软件运营商宣布了据称从戛纳 Simone Veil 医院窃取的敏感数据。4 月，戛纳 Simone Veil 医院(CHC-SV) 遭受网络攻击，迫使事情职员重新使用笔和纸。医院被迫关闭所有盘算机，但电话线未受影响。医院正在 ANSSI、Cert Santé、Orange Cyber Défense 和 GHT06 的资助下视察这一事务。戛纳西蒙娜·维尔医院是一家位于法国戛纳的公立医院。医院为外地社区及周边地区提供一系列医疗服务和保健设施。CHC-SV拥有2000多名员工，可容纳800多张床位。LockBit勒索软件组织声称对此次攻击认真，并在医院拒绝支付赎金后于 5 月 1 日宣布了被盗的神秘数据。戛纳西蒙娜·韦伊医院中心在其网站上揭晓声明，确认勒索软件组织宣布的数据属于其所有。已往，法国其他医院也是网络攻击的受害者。2022 年 12 月， 凡尔赛医院中心 遭受网络攻击 ，被迫作废运营并将部分患者转移到其他医院。


https://securityaffairs.com/162721/cyber-crime/lockbit-published-simone-veil-hospital-data.html