国际“断电行动”重挫DDoS攻击，，超七万用户遭忠告

颁布功夫 2026-04-17

1. 国际“断电行动”重挫DDoS攻击，，超七万用户遭忠告


4月16日，，在国际法律行动“断电行动”的最新阶段中，，全球21个国度协同发力，，对散布式回绝服务（DDoS）攻击产业链进行了深度进攻。。这次行动由欧洲刑警组织支持，，已向超过75,000名使用有关平台提议犯法攻击的小我发送了忠告邮件或函件。。行动期间，，法律部门扣留了四名嫌疑人，，查封了53个涉事域名，，并执行了25份搜查令。。参加国度涵盖多个欧盟成员国，，以及澳大利亚、、泰国、、美国、、英国、、日本和巴西，，展示了全球结合进攻网络犯罪的刻意。�！！！岸系缧卸贝饲耙巡鸪舜罅抗丶∩枋�，，并查获了蕴含逾300万个犯罪账户的数据库。。在最新阶段，，行动重点转向预防与震慑。。列国专家在“行动周”前发展了系列冲刺行动，，聚焦于DDoS攻击平台的高价值指标用户，，同时提升公家对这类活动犯法性的认知。。法律机构不仅捣毁了犯法攻击服务的技术设施，，还对“Booter服务”进行了系统性算帐。。只管部门运营者以“合法压力测试”为幌子粉饰其真实主张，，但由于平台不足对攻击指标所有权的验证，，这些服务现实上持久被用于犯法攻击。。


https://www.bleepingcomputer.com/news/security/operation-poweroff-identifies-75k-ddos-users-takes-down-53-domains/


2. 新型恶意软件ZionSiphon对准以色列水设施


4月16日，，一款名为ZionSiphon的新型恶意软件专门针对运营技术领域，，尤其以水处置和海水淡化环境为攻击指标，，试图通过调节液压和将氯含量提升至危险水平来粉碎关键基础设施。。该软件由人为智能网络安全公司Darktrace发现，，其IP定位及嵌入字符串中的政治信息显示，，它似乎专一于攻击位于以色列的指标。。部署后，，ZionSiphon会查抄主机IP是否在以色列领域内，，并确认系统是否蕴含与水或运营技术有关的软件及文件，，以确保其运行于水处置或海水淡化系统中。。若前提满足，，它会通过名为“IncreaseChlorineLevel()”的函数，，在现有配置文件中增长文本块，，在工厂机械系统物理支持领域内最大限度提高氯的剂量和流量，，同时开启氯泵、、阀门并将反渗入压力调至80。。此外，，该恶意软件还会扫描本地子网中的Modbus、、DNP3和S7comm等工业节制通讯和谈，，意图与工业节制系统直接交互。。ZionSiphon还具备USB传布机制，，可将自身复制到可移动驱动器并以暗藏的“svchost.exe”过程运行，，同时创建恶意快捷方式文件。。由于治理关键职能的推算机通常处于物理隔离状态，，不直接衔接互联网，，USB成为此类攻击的重要传布蹊径。。


https://www.bleepingcomputer.com/news/security/zionsiphon-malware-designed-to-sabotage-water-treatment-systems/


3. 新僵尸网络PowMix以捷克劳动力为指标


4月16日，，网络安全钻研人员发现，，一场针对捷克共和国劳动力的恶意攻击活动正在持续进行，，其使用一个名为PowMix的此前未被纪录的僵尸网络，，至少从2025年12月起头活跃。。据Cisco Talos钻研员Chetan Raghuprasad汇报，，PowMix选取随机的号令与节制（C2）信标距离，，而非与C2服务器维持持续衔接，，以此躲避网络署名检测。。该恶意软件将加密的心跳数据及受害者机械的唯一标识符嵌入C2 URL蹊径中，，仿照合法的REST API URL，，并可能远程动态地将新的C2域名更新到僵尸网络配置文件中。。攻击链始于一个恶意ZIP文件，，该文件激活多阶段习染链，，最终开释PowMix。。习染链涉及一个Windows快捷方式（LNK），，用于启动PowerShell加载器，，后者提取嵌入在压缩包中的恶意软件，，解密后在内存中运行。。这种新型僵尸网络旨在实现远程接见、、窥伺和远程代码执行，，通过按时工作成立悠久性，，并验证过程树以预防统一主机上运行多个恶意软件实例。。与此同时，，攻击者还会打开以合规为主题的钓饵文件，，提及Edeka等合法品牌并蕴含薪酬数据及司法律规参考，，以分散把稳力并加强糊弄性。。


https://thehackernews.com/2026/04/newly-discovered-powmix-botnet-hits.html


4. Rhysida攻击致美医疗中心33.7万人数据泄露


4月16日，，田纳西州库克维尔地域医疗中心（CRMC）于2025年7月遭逢Rhysida勒索软件组织攻击，，导致约33.7万人的小我及医疗信息泄露。。该中心于7月14日检测到可疑活动后，，迅速结合法律部门及法证公司发展调查，，确认在7月11日至14日期间，，有未经授权的第三方接见了医院网络，，可能查看或窃取了大量敏感文件。。经全面审查受影响文件后，，CRMC确认泄露信息因小我情况而异，，可能蕴含姓名、、地址、、诞生日期、、社会安全号码、、驾驶牌照号码、、银行账号、、医疗信息、、病历号及健康保险单信息。。医院正在通过邮件向占有有效地址的受影响小我寄送通知信，，建议收信人遵循信中指引�；；；ぷ陨砣ɡ�。。只管目前尚未证实已产生数据滥用，，CRMC仍为受影响者提供免费的身份偷窃�；；；し�，，并督促公家亲昵关注账户和信誉汇报，，实时举报可疑活动，，必要时联系有关部门。。医院还引用了联邦业务委员会的资源，，为公家提供诓骗警报及信誉�；；；さ挠泄靥嵝�。。2025年8月，，Rhysida勒索软件组织将该医疗中心增长至其Tor数据泄露站点，，宣称窃取了538GB数据。。由于无人采办这些被盗数据，，该组织最终将其免费公开泄露。。


https://securityaffairs.com/190898/cyber-crime/cookeville-regional-medical-center-hospital-data-breach-impacts-337917-people.html


5. ATHR平台4000美元销售，，全自动语音垂钓窃取凭证


4月16日，，一种名为ATHR的新型网络犯罪平台正以4000美元的价值在地下论坛销售，，并收取10%的利润佣金。。该平台可能通过全自动语音网络垂钓攻击窃取蕴含Google、、Microsoft、、Coinbase在内的多项服务登录凭证，，其社会工程阶段同时使用人类操作员和人为智能代理。。据云电子邮件安全公司Abnormal的钻研人员分析，，ATHR是一个齐全的网络垂钓与语音垂钓攻击天生器，，提供品牌特定的电子邮件模板、、针对每个指标的定制职能以及糊弄机制，，使邮件看似来自可信发件人。。目前该平台支持八项在线服务：：Google、、Microsoft、、Coinbase、、Binance、、Gemini、、Crypto.com、、Yahoo和AOL。。攻击链始于受害者收到一封精心设计的电子邮件，，内容通常为虚伪的安全警报或帐户通知，，垂危水平足以促使用户拨打电话，，但又足够抽象以避开基于内容的过滤器。。拨打邮件中的电话号码后，，受害者会通过Asterisk和WebRTC衔接到AI语音代理，，这些代理依照多步骤剧本仿照安全事务。。平台仪表盘使操作员可能节制整个流程，，蕴含电子邮件分发、、电话治理和实时监控，，并接管蕴含被盗数据的日志。。


https://www.bleepingcomputer.com/news/security/new-athr-vishing-platform-uses-ai-voice-agents-for-automated-attacks/


6. 黑客利用Marimo缝隙部署NKAbuse新变种


4月16日，，黑客正在利用Marimo响应式Python notebook中的一个严重远程代码执行缝隙（CVE-2026-39987），，部署托管在Hugging Face Spaces平台上的NKAbuse恶意软件新变种。。据云安全公司Sysdig数据，，有关攻击在上周起头，，主张是窃取凭证，，而此时距离技术细节公开披露尚不到10小时。。Sysdig钻研人员还发现了其他攻击活动，，蕴含4月12日起头的一项行动，，该行动滥用Hugging Face Spaces平台，，该平台允许用户从Git仓库部署和共享交互式Web利用法式，，通常用于AI有关的演示与尝试。。在Sysdig观察到的攻击中，，攻击者创建了一个名为“vsccode-modetx”的空间，，其中托管了一个投放剧本和一个名为“kagent”的恶意软件二进制文件，，试图仿照合法的Kubernetes AI代理工具。。利用Marimo缝隙后，，攻击者运行curl号令从Hugging Face下载并执行剧本。。该投放剧本下载kagent二进制文件，，将其装置到本地，，并通过systemd、、cron或macOS LaunchAgent设置悠久性。。该有效载荷是此前未被纪录的DDoS攻击恶意软件NKAbuse的变种。。


https://www.bleepingcomputer.com/news/security/hackers-exploit-marimo-flaw-to-deploy-nkabuse-malware-from-hugging-face/