SK Telecom 2700万用户数据泄露 ，恶意软件埋伏近三年

颁布功夫 2025-05-21

1. SK Telecom 2700万用户数据泄露 ，恶意软件埋伏近三年


5月20日 ，SK Telecom是韩国最大的移动网络运营商 ，占据约一半市场份额。该公司近日披露 ，2025年4月19日在其网络上检测到恶意软件 ，并隔离疑似被黑客入侵的设备。这次事务最早可追忆至2022年 ，最终导致2700万用户的USIM数据泄露。攻击者窃取了蕴含IMSI、USIM认证密钥、网络使用数据及存储在SIM卡中的短信和联系人等数据 ，增长了SIM卡互换攻击的风险。为此 ，SK Telecom决定为所有效户发放SIM卡代替件 ，并加强安全措施以预防未经授权的号码移植。2025年5月8日 ，当局委员会颁发恶意软件习染危及25种数据类型。其时SK Telecom颁发终场接受新用户以应对后果。SK Telecom最新新闻称将很快通知2695万受影响的客户其敏感数据泄露。该公司提到在23台受习染服务器中发现25种分歧恶意软件类型 ，入侵水平超出最初预期。与此同时 ，公私结合调查幼组对SK Telecom的30000台Linux服务器查抄后称 ，最初Web Shell习染产生在2022年6月15日 ，意味着恶意软件在近三年功夫里未被发现 ，攻击者在23台服务器上植入多个有效载荷。调查宣称15台受习染服务器含幼我客户信息 ，蕴含291831个IMEI号码 ，但SK Telecom否定。调查幼组还指出 ，SK Telecom于2024年12月3日才起头纪录受影响服务器活动 ，因而此前可能产生的数据泄露无法被检测到。


https://www.bleepingcomputer.com/news/security/sk-telecom-says-malware-breach-lasted-3-years-impacted-27-million-numbers/


2. Hazy Hawk团伙利用DNS配置谬误劫持受信赖域名


5月20日 ，被追踪为“Hazy Hawk”的威胁行为者正利用被忘却的DNS CNAME纪录执行网络攻击。该威胁行为者劫持指向拔除云服务的CNAME纪录 ，收受当局、大学和财富500强公司等机构的受信赖子域 ，用于分发诳骗、虚伪利用法式和恶意告白。Infoblox钻研人员指出 ，Hazy Hawk首先扫描CNAME纪录指向拔除云端点的域 ，并通过被动DNS数据验证确定这些域 ，而后注册与拔除CNAME中名称一样的新云资源 ，使原始域的子域解析到威胁行为者的新云托管站点。借助这一技术 ，Hazy Hawk劫持了多个驰名域名 ，如美国疾病节造与预防中心的cdc.gov、跨国企业集团honeywell.com等�＝谠熳佑蛎� ，威胁行为者天生数百个恶意URL ，因父域名信赖度高 ，这些URL在搜索引擎中看似合法。受害者点击URL后 ，会被沉定向到多层域名和TDS基础设施 ，这些设施会凭据设备类型、IP地址等信息分析受害者身份。Infoblox汇报称 ，这些网站被用于技术支扯嗫骗、虚伪防病毒警报、虚伪流媒体/色情网站和网络垂钓页面。此表 ，受骗用户即便脱离诳骗网站 ，仍会因允许浏览器推送通知而收到持续警报 ，为Hazy Hawk带来可观收入。


https://www.bleepingcomputer.com/news/security/hazy-hawk-gang-exploits-dns-misconfigs-to-hijack-trusted-domains/


3. RVTools遭逢供给链攻击 ，传布Bumblebee恶意软件


5月20日 ，近日 ，RVTools VMware治理工具遭逢供给链攻击 ，该工具最初由Robware开发 ，现归戴尔所有 ，是VMware治理员常用工具。攻击事务引发宽泛关注 ，戴尔于2025年5月20日颁布申明 ，称恶意RVTools装置法式并非从其官方网站分发 ，而是来自虚伪域名 ，同时其治理的Robware.net和RVTools.com网站因遭逢DDoS攻击而下线。此前 ，ZeroDay Labs钻研员Aidan Leon在Reddit上发帖称 ，从RVTools网站下载的文件被植入Bumblebee恶意软件加载器 ，文件哈希值与现实下载的不匹配 ，下载版本显著更大且蕴含恶意文件。经进一措施查 ，这一攻击行为被证实。Bumblebee是一种通过SEO中毒、恶意告白和网络垂钓攻击推广的恶意软件加载器 ，装置后会在受习染设备高低载并执行其他恶意有效负载 ，如Cobalt Strike信标、信息窃取法式和勒索软件等 ，且与Conti勒索软件行动有关。网络安全公司Arctic Wolf也汇报发现被木马习染的RVTools装置法式通过恶意域名抢注传布 ，该域名与合法域名类似 ，仅顶级域名分歧。此表 ，还有针对RVTools品牌的SEO中毒和恶意告白活动 ，旨在诱骗用户下载恶意装置法式。


https://www.bleepingcomputer.com/news/security/rvtools-hit-in-supply-chain-attack-to-deliver-bumblebee-malware/


4. 俄亥俄州凯特琳健康中心遭网络攻击导致系统中断


5月21日 ，俄亥俄州凯特琳健康中心旗下医院与医疗设施近日遭逢网络攻击 ，导致整系统技术中断�？亓战】抵行淖猿剖且桓龌谛叛龅幕礁戳侔裁呷栈嵯低� ，重要在代顿地域运营多个医疗中心和诊所 ，每年处置大量脊仫室就诊。该非投机性医院网络讲话人暗示 ，目前在经历因未经授权接见而引发的网络安全事务 ，事务始于周二早上 ，限度了工作人员接见部门患者护理系统的能力�？亓找搅浦行囊巡扇〈胧┒粼旎汉徒獯死嗷疃� ，并积极调查和监测情况 ，同时取缔并沉新铺排了周二的住院和门诊择期手术。这次攻击还导致该医院网络的呼叫中心瘫痪。不外 ，所有脊仫室和诊所仍维持盛开 ，持续接受患者诊治。讲话人未就医院网络是否遭逢勒索软件攻击的问题作出回应 ，但据CNN报路 ，医院网络IT工作人员发现一张据称来自Interlock勒索软件团伙的勒索信。该团伙上个月曾关关透析医治公司DaVita的网络 ，此前还攻击过德克萨斯理工大学健康科学中心及其埃尔帕索分校。


https://therecord.media/kettering-health-system-ohio-cyberattack


5. Cellcom确认网络攻击是造成长功夫中断的原因


5月20日 ，威斯康星州无线服务提供商Cellcom已确认 ，2025年5月14日晚起头的大面积服务中断是由网络攻击导致的。这次事务影响了威斯康星州和密歇根州北部地域的客户 ，导致他们的语音和短折服务中断 ，无法拨打电话或发送短信。Cellcom首席执行官Brighid Riordan在近日证实了网络攻击的事实 ，并暗示公司已造订应对此类情况的规程和打算。事务产生后 ，Cellcom严格遵循打算 ，蕴含礼聘表部网络安全专家、通知联国调查局和威斯康星州官员 ，并全力以赴确保系统安全复原上线。Cellcom强调 ，这次攻击产生在公司网络的一个区域 ，与存储用户敏感信息的区域分歧 ，且没有证据批注用户幼我信息受到影响。最初 ，Cellcom宣称中断是由技术问题引起的 ，并暗示部门数据服务仍在运行。然而 ，由于平台出现问题 ，用户对服务中断和无法移植号码感应沮丧。5月19日 ，Cellcom起头复原部门服务 ，蕴含短信以及拨打和接听其他Cellcom用户的电话。只管无法保障何时全面复原服务 ，但公司正致力在本周末前实现这一指标。


https://www.bleepingcomputer.com/news/security/mobile-carrier-cellcom-confirms-cyberattack-behind-extended-outages/


6. SideWinder APT组织精准攻击南亚多国当局机构


5月20日 ，斯里兰卡、孟加拉国与巴基斯坦的高级别当局机构近期成为APT组织SideWinder新一轮攻击的沉点。攻击者使用鱼叉式垂钓邮件结合地理围栏技术 ，确保恶意载荷仅针对特定国度指标。攻击链通过钓饵文档激活 ，最终部署StealerBot恶意软件 ，手法与SideWinder此前活动特点相符。这次攻击对准南亚多国关键部门 ，如孟加拉国电信监管委员会、国防部、财政部 ，巴基斯坦本土技术发展局 ，以及斯里兰卡表债治理局、国防部、中央银行等。攻击者利用微软Office中的汗青缝隙CVE-2017-0199与CVE-2017-11882作为初始攻击媒介 ，部署具备悠久化接见能力的恶意法式。恶意文档触发CVE-2017-0199缝隙后 ，通过DLL侧载技术开释后续载荷 ，而地理围栏技术则确保仅预设国度领域内的受害者会收到现实恶意RTF文件 ，该文件利用公式编纂器缝隙CVE-2017-11882触发内存粉碎 ，执行基于shellcode的加载器以运行StealerBot。StealerBot作为�？榛踩敕ㄊ� ，可能窃取屏幕截图、键盘纪录、密码、文件等敏感数据。


https://thehackernews.com/2025/05/south-asian-ministries-hit-by.html