国际“断电行动”重挫DDoS攻击，，，超七万用户遭忠告

颁布功夫 2026-04-17

1. 国际“断电行动”重挫DDoS攻击，，，超七万用户遭忠告


4月16日，，，在国际法律行动“断电行动”的最新阶段中，，，全球21个国度协同发力，，，对散布式回绝服务（DDoS）攻击产业链进行了深度进攻。这次行动由欧洲刑警组织支持，，，已向超过75,000名使用有关平台提议犯法攻击的小我发送了忠告邮件或函件。行动期间，，，法律部门扣留了四名嫌疑人，，，查封了53个涉事域名，，，并执行了25份搜查令。参加国度涵盖多个欧盟成员国，，，以及澳大利亚、、泰国、、美国、、英国、、日本和巴西，，，展示了全球结合进攻网络犯罪的刻意�！！！岸系缧卸贝饲耙巡鸪舜罅抗丶∩枋�，，，并查获了蕴含逾300万个犯罪账户的数据库。在最新阶段，，，行动重点转向预防与震慑。列国专家在“行动周”前发展了系列冲刺行动，，，聚焦于DDoS攻击平台的高价值指标用户，，，同时提升公家对这类活动犯法性的认知。法律机构不仅捣毁了犯法攻击服务的技术设施，，，还对“Booter服务”进行了系统性算帐。只管部门运营者以“合法压力测试”为幌子粉饰其真实主张，，，但由于平台不足对攻击指标所有权的验证，，，这些服务现实上持久被用于犯法攻击。


https://www.bleepingcomputer.com/news/security/operation-poweroff-identifies-75k-ddos-users-takes-down-53-domains/


2. 新型恶意软件ZionSiphon对准以色列水设施


4月16日，，，一款名为ZionSiphon的新型恶意软件专门针对运营技术领域，，，尤其以水处置和海水淡化环境为攻击指标，，，试图通过调节液压和将氯含量提升至危险水平来粉碎关键基础设施。该软件由人为智能网络安全公司Darktrace发现，，，其IP定位及嵌入字符串中的政治信息显示，，，它似乎专一于攻击位于以色列的指标。部署后，，，ZionSiphon会查抄主机IP是否在以色列领域内，，，并确认系统是否蕴含与水或运营技术有关的软件及文件，，，以确保其运行于水处置或海水淡化系统中。若前提满足，，，它会通过名为“IncreaseChlorineLevel()”的函数，，，在现有配置文件中增长文本块，，，在工厂机械系统物理支持领域内最大限度提高氯的剂量和流量，，，同时开启氯泵、、阀门并将反渗入压力调至80。此外，，，该恶意软件还会扫描本地子网中的Modbus、、DNP3和S7comm等工业节制通讯和谈，，，意图与工业节制系统直接交互。ZionSiphon还具备USB传布机制，，，可将自身复制到可移动驱动器并以暗藏的“svchost.exe”过程运行，，，同时创建恶意快捷方式文件。由于治理关键职能的推算机通常处于物理隔离状态，，，不直接衔接互联网，，，USB成为此类攻击的重要传布蹊径。


https://www.bleepingcomputer.com/news/security/zionsiphon-malware-designed-to-sabotage-water-treatment-systems/


3. 新僵尸网络PowMix以捷克劳动力为指标


4月16日，，，网络安全钻研人员发现，，，一场针对捷克共和国劳动力的恶意攻击活动正在持续进行，，，其使用一个名为PowMix的此前未被纪录的僵尸网络，，，至少从2025年12月起头活跃。据Cisco Talos钻研员Chetan Raghuprasad汇报，，，PowMix选取随机的号令与节制（C2）信标距离，，，而非与C2服务器维持持续衔接，，，以此躲避网络署名检测。该恶意软件将加密的心跳数据及受害者机械的唯一标识符嵌入C2 URL蹊径中，，，仿照合法的REST API URL，，，并可能远程动态地将新的C2域名更新到僵尸网络配置文件中。攻击链始于一个恶意ZIP文件，，，该文件激活多阶段习染链，，，最终开释PowMix。习染链涉及一个Windows快捷方式（LNK），，，用于启动PowerShell加载器，，，后者提取嵌入在压缩包中的恶意软件，，，解密后在内存中运行。这种新型僵尸网络旨在实现远程接见、、窥伺和远程代码执行，，，通过按时工作成立悠久性，，，并验证过程树以预防统一主机上运行多个恶意软件实例。与此同时，，，攻击者还会打开以合规为主题的钓饵文件，，，提及Edeka等合法品牌并蕴含薪酬数据及司法律规参考，，，以分散把稳力并加强糊弄性。


https://thehackernews.com/2026/04/newly-discovered-powmix-botnet-hits.html


4. Rhysida攻击致美医疗中心33.7万人数据泄露


4月16日，，，田纳西州库克维尔地域医疗中心（CRMC）于2025年7月遭逢Rhysida勒索软件组织攻击，，，导致约33.7万人的小我及医疗信息泄露。该中心于7月14日检测到可疑活动后，，，迅速结合法律部门及法证公司发展调查，，，确认在7月11日至14日期间，，，有未经授权的第三方接见了医院网络，，，可能查看或窃取了大量敏感文件。经全面审查受影响文件后，，，CRMC确认泄露信息因小我情况而异，，，可能蕴含姓名、、地址、、诞生日期、、社会安全号码、、驾驶牌照号码、、银行账号、、医疗信息、、病历号及健康保险单信息。医院正在通过邮件向占有有效地址的受影响小我寄送通知信，，，建议收信人遵循信中指引�；；ぷ陨砣ɡ�。只管目前尚未证实已产生数据滥用，，，CRMC仍为受影响者提供免费的身份偷窃�；；し�，，，并督促公家亲昵关注账户和信誉汇报，，，实时举报可疑活动，，，必要时联系有关部门。医院还引用了联邦业务委员会的资源，，，为公家提供诓骗警报及信誉�；；さ挠泄靥嵝�。2025年8月，，，Rhysida勒索软件组织将该医疗中心增长至其Tor数据泄露站点，，，宣称窃取了538GB数据。由于无人采办这些被盗数据，，，该组织最终将其免费公开泄露。


https://securityaffairs.com/190898/cyber-crime/cookeville-regional-medical-center-hospital-data-breach-impacts-337917-people.html


5. ATHR平台4000美元销售，，，全自动语音垂钓窃取凭证


4月16日，，，一种名为ATHR的新型网络犯罪平台正以4000美元的价值在地下论坛销售，，，并收取10%的利润佣金。该平台可能通过全自动语音网络垂钓攻击窃取蕴含Google、、Microsoft、、Coinbase在内的多项服务登录凭证，，，其社会工程阶段同时使用人类操作员和人为智能代理。据云电子邮件安全公司Abnormal的钻研人员分析，，，ATHR是一个齐全的网络垂钓与语音垂钓攻击天生器，，，提供品牌特定的电子邮件模板、、针对每个指标的定制职能以及糊弄机制，，，使邮件看似来自可信发件人。目前该平台支持八项在线服务：：Google、、Microsoft、、Coinbase、、Binance、、Gemini、、Crypto.com、、Yahoo和AOL。攻击链始于受害者收到一封精心设计的电子邮件，，，内容通常为虚伪的安全警报或帐户通知，，，垂危水平足以促使用户拨打电话，，，但又足够抽象以避开基于内容的过滤器。拨打邮件中的电话号码后，，，受害者会通过Asterisk和WebRTC衔接到AI语音代理，，，这些代理依照多步骤剧本仿照安全事务。平台仪表盘使操作员可能节制整个流程，，，蕴含电子邮件分发、、电话治理和实时监控，，，并接管蕴含被盗数据的日志。


https://www.bleepingcomputer.com/news/security/new-athr-vishing-platform-uses-ai-voice-agents-for-automated-attacks/


6. 黑客利用Marimo缝隙部署NKAbuse新变种


4月16日，，，黑客正在利用Marimo响应式Python notebook中的一个严重远程代码执行缝隙（CVE-2026-39987），，，部署托管在Hugging Face Spaces平台上的NKAbuse恶意软件新变种。据云安全公司Sysdig数据，，，有关攻击在上周起头，，，主张是窃取凭证，，，而此时距离技术细节公开披露尚不到10小时。Sysdig钻研人员还发现了其他攻击活动，，，蕴含4月12日起头的一项行动，，，该行动滥用Hugging Face Spaces平台，，，该平台允许用户从Git仓库部署和共享交互式Web利用法式，，，通常用于AI有关的演示与尝试。在Sysdig观察到的攻击中，，，攻击者创建了一个名为“vsccode-modetx”的空间，，，其中托管了一个投放剧本和一个名为“kagent”的恶意软件二进制文件，，，试图仿照合法的Kubernetes AI代理工具。利用Marimo缝隙后，，，攻击者运行curl号令从Hugging Face下载并执行剧本。该投放剧本下载kagent二进制文件，，，将其装置到本地，，，并通过systemd、、cron或macOS LaunchAgent设置悠久性。该有效载荷是此前未被纪录的DDoS攻击恶意软件NKAbuse的变种。


https://www.bleepingcomputer.com/news/security/hackers-exploit-marimo-flaw-to-deploy-nkabuse-malware-from-hugging-face/