政府威胁情报
秘鲁政府遭遇Rhysida勒索软件攻击事件分析
Rhysida
事件概述:
2025年5月，秘鲁政府系统遭遇疑似勒索软件攻击，攻击者为Rhysida黑客组织，该组织要求支付约48.8万美元的赎金以释放被盗数据。尽管秘鲁官员否认发生网络攻击，但政府网站在攻击后无法访问。Rhysida以双重勒索策略著称，声称已从政府网络中窃取数据，并在其暗网博客上发布了部分样本文件。该组织自2023年5月成立以来，已声称攻击超过182个目标，涉及教育、医疗、制造和地方政府等多个领域。Rhysida的攻击手法包括利用网络钓鱼获取初始访问权限，并使用Cobalt Strike等工具寻找系统漏洞。该组织与Vice Society勒索软件组存在关联，可能通过类似的战术和技术进行合作。
秘鲁政府遭遇Rhysida勒索软件攻击事件分析
Rhysida
事件概述:
2025年5月，秘鲁政府系统遭遇疑似勒索软件攻击，攻击者为Rhysida黑客组织，该组织要求支付约48.8万美元的赎金以释放被盗数据。尽管秘鲁官员否认发生网络攻击，但政府网站在攻击后无法访问。Rhysida以双重勒索策略著称，声称已从政府网络中窃取数据，并在其暗网博客上发布了部分样本文件。该组织自2023年5月成立以来，已声称攻击超过182个目标，涉及教育、医疗、制造和地方政府等多个领域。Rhysida的攻击手法包括利用网络钓鱼获取初始访问权限，并使用Cobalt Strike等工具寻找系统漏洞。该组织与Vice Society勒索软件组存在关联，可能通过类似的战术和技术进行合作。
政府加密通讯应用安全漏洞及网络攻击态势分析报告
Pegasus
事件概述:
2025年5月，美国政府高级官员使用的加密通讯应用TM SGNL（由TeleMessage公司基于Signal改造）遭遇两次数据泄露事件，影响包括美国海关与边境保护局、Coinbase等机构。攻击者获取了TeleMessage后台访问权限及部分消息内容，暴露了政府通讯安全隐患。TM SGNL设计缺陷导致消息明文存储于公司服务器，增加了被窃风险。TeleMessage随后暂停服务。该应用被多家美国政府机构采购使用，存在安全风险。相比之下，AWS Wickr被认为是更安全的政府批准加密通讯工具。此外，美国财政部对东南亚诈骗集团及相关网络犯罪组织实施制裁，NSO集团因Pegasus间谍软件被判赔偿WhatsApp巨额罚款。另有黑客利用六年前植入Magento插件的后门，近期激活攻击近千家在线商店。微软宣布新账户默认启用无密码登录，提升账户安全。整体反映出美国政府及企业面临多重网络安全挑战，涉及恶意软件、后门利用及通讯工具安全漏洞等多方面威胁。
Pegasus
事件概述:
2025年5月，美国政府高级官员使用的加密通讯应用TM SGNL（由TeleMessage公司基于Signal改造）遭遇两次数据泄露事件，影响包括美国海关与边境保护局、Coinbase等机构。攻击者获取了TeleMessage后台访问权限及部分消息内容，暴露了政府通讯安全隐患。TM SGNL设计缺陷导致消息明文存储于公司服务器，增加了被窃风险。TeleMessage随后暂停服务。该应用被多家美国政府机构采购使用，存在安全风险。相比之下，AWS Wickr被认为是更安全的政府批准加密通讯工具。此外，美国财政部对东南亚诈骗集团及相关网络犯罪组织实施制裁，NSO集团因Pegasus间谍软件被判赔偿WhatsApp巨额罚款。另有黑客利用六年前植入Magento插件的后门，近期激活攻击近千家在线商店。微软宣布新账户默认启用无密码登录，提升账户安全。整体反映出美国政府及企业面临多重网络安全挑战，涉及恶意软件、后门利用及通讯工具安全漏洞等多方面威胁。
能源威胁情报
针对美国石油和天然气基础设施的网络攻击警报分析
事件概述:
2025年5月，美国多个政府机构，包括CISA、FBI、EPA和能源部，发布警报，警告针对美国石油和天然气基础设施的网络攻击。这些攻击主要涉及基本的入侵技术，且由于网络安全措施不当，可能导致重大干扰或物理损害。受影响的对象为美国关键基础设施系统，尤其是工业控制系统（ICS）和SCADA系统。观察到的大多数攻击使用简单的技术，通常利用暴露在互联网的系统，且存在默认或弱密码。建议组织增强网络安全，确保OT系统安全，禁用直接互联网访问，并实施强有力的远程访问控制。推荐措施包括更换默认密码、应用网络分段以及确保关键系统的手动操作能力。关键基础设施实体应与第三方供应商合作，解决配置错误并改善系统安全。各机构建议利用可用资源减少攻击面，采用安全设计原则，并实施抵御网络钓鱼的多因素认证。与系统集成商保持持续沟通和严格的网络安全实践是防止被利用的关键。
针对美国石油和天然气基础设施的网络攻击警报分析
事件概述:
2025年5月，美国多个政府机构，包括CISA、FBI、EPA和能源部，发布警报，警告针对美国石油和天然气基础设施的网络攻击。这些攻击主要涉及基本的入侵技术，且由于网络安全措施不当，可能导致重大干扰或物理损害。受影响的对象为美国关键基础设施系统，尤其是工业控制系统（ICS）和SCADA系统。观察到的大多数攻击使用简单的技术，通常利用暴露在互联网的系统，且存在默认或弱密码。建议组织增强网络安全，确保OT系统安全，禁用直接互联网访问，并实施强有力的远程访问控制。推荐措施包括更换默认密码、应用网络分段以及确保关键系统的手动操作能力。关键基础设施实体应与第三方供应商合作，解决配置错误并改善系统安全。各机构建议利用可用资源减少攻击面，采用安全设计原则，并实施抵御网络钓鱼的多因素认证。与系统集成商保持持续沟通和严格的网络安全实践是防止被利用的关键。
工业控制系统与SCADA系统面临的网络安全威胁分析
Sector 16, Z-Pentest
事件概述:
2025年5月，网络安全当局警告称，技术水平较低的黑客频繁针对关键行业的工业控制系统（ICS）和监控与数据采集系统（SCADA），这可能导致运营中断和物理损害。受影响的对象包括能源和交通领域的关键基础设施系统。报告指出，与俄罗斯相关的黑客组织如Z-Pentest和Sector 16已被发现入侵OT控制面板，甚至声称干扰美国能源系统。此外，某些黑客组织被认为已渗透美国关键基础设施，可能是为地缘政治行动做准备。CISA、FBI、EPA和DOE建议关键基础设施组织采取措施降低攻击风险，包括将OT系统从公共互联网中移除、修改默认密码、使用VPN保护远程访问、网络分段以及保持手动操作能力以便在攻击后快速恢复。定期与系统提供商沟通和测试备份及故障安全系统对于增强网络安全韧性至关重要。
Sector 16, Z-Pentest
事件概述:
2025年5月，网络安全当局警告称，技术水平较低的黑客频繁针对关键行业的工业控制系统（ICS）和监控与数据采集系统（SCADA），这可能导致运营中断和物理损害。受影响的对象包括能源和交通领域的关键基础设施系统。报告指出，与俄罗斯相关的黑客组织如Z-Pentest和Sector 16已被发现入侵OT控制面板，甚至声称干扰美国能源系统。此外，某些黑客组织被认为已渗透美国关键基础设施，可能是为地缘政治行动做准备。CISA、FBI、EPA和DOE建议关键基础设施组织采取措施降低攻击风险，包括将OT系统从公共互联网中移除、修改默认密码、使用VPN保护远程访问、网络分段以及保持手动操作能力以便在攻击后快速恢复。定期与系统提供商沟通和测试备份及故障安全系统对于增强网络安全韧性至关重要。
❤1
LNK文件
LNK文件执行powershell代码
去混淆后代码如下，从LNK文件中提取出诱饵文档和CAB文件的数据。与Konni组织之前LNK攻击样本略有不同的是，提取文件数据时增加了单字节异或解密的步骤。
释放的诱饵文档与LNK文件同名，打开后迷惑受害者
同时LNK文件还会暗中释放CAB文件，解压到”%PUBLIC%\\documents”目录后执行其中的start.vbs脚本。CAB文件包含的内容如下
LNK文件执行powershell代码
去混淆后代码如下，从LNK文件中提取出诱饵文档和CAB文件的数据。与Konni组织之前LNK攻击样本略有不同的是，提取文件数据时增加了单字节异或解密的步骤。
释放的诱饵文档与LNK文件同名，打开后迷惑受害者
同时LNK文件还会暗中释放CAB文件，解压到”%PUBLIC%\\documents”目录后执行其中的start.vbs脚本。CAB文件包含的内容如下
当36980785.bat脚本的第三个参数不为”0”时，对URL参数（字符”?”后的内容）进行RC4加密，使用的key为当前时间戳对应的字符串。95060869.bat和42736915.bat调用该脚本时，均使用加密模式，因此在实际网络流量中看不到脚本代码中出现的明文参数
14886621.bat同样以当前时间戳对应的字符串为key，对上传文件的数据和文件名进行RC4加密。如果上传操作成功则删除原文件，并留下upok.txt文件作为标记
14886621.bat同样以当前时间戳对应的字符串为key，对上传文件的数据和文件名进行RC4加密。如果上传操作成功则删除原文件，并留下upok.txt文件作为标记
AutoIt恶意软件
攻击者通过hxxp://settlors[.]com/get.php继续向受害者设备投递带有AutoIt恶意脚本的ZIP压缩包。根据压缩包中的文件修改时间，恶意脚本cdp.au3很可能在2023年12月就已经投入使用。
95060869.bat在解压ZIP压缩包后，先执行其中的1.bat脚本
攻击者通过hxxp://settlors[.]com/get.php继续向受害者设备投递带有AutoIt恶意脚本的ZIP压缩包。根据压缩包中的文件修改时间，恶意脚本cdp.au3很可能在2023年12月就已经投入使用。
95060869.bat在解压ZIP压缩包后，先执行其中的1.bat脚本
cdp.au3脚本与C&C服务器的通信数据格式如下，由于服务器下发的后续指令为空，因此暂时无法进一步分析攻击者接下来的行为
溯源关联
根据LNK文件特征，我们关联到Konni组织此次攻击活动所用的其他样本
两个样本释放的诱饵文档相似，内容均为“个人信息收集和使用协议”，但分别模仿了韩国虚拟货币行业的两家企业（coinone和UPbit）。其中第二个样本也在安全厂商Genians不久前的报告中披露
Konni组织此次攻击活动使用的AutoIt恶意软件在韩国安全厂商Ahnlab去年12月发布的报告中有提及，为AutoIt版本的Amadey恶意软件。该安全厂商将Konni组织合并为Kimsuky组织进行追踪
溯源关联
根据LNK文件特征，我们关联到Konni组织此次攻击活动所用的其他样本
两个样本释放的诱饵文档相似，内容均为“个人信息收集和使用协议”，但分别模仿了韩国虚拟货币行业的两家企业（coinone和UPbit）。其中第二个样本也在安全厂商Genians不久前的报告中披露
Konni组织此次攻击活动使用的AutoIt恶意软件在韩国安全厂商Ahnlab去年12月发布的报告中有提及，为AutoIt版本的Amadey恶意软件。该安全厂商将Konni组织合并为Kimsuky组织进行追踪