DriveSurge利用社会工程战术攻击数千网站

颁布功夫 2026-06-02

1.DriveSurge利用社会工程战术攻击数千网站


6月1日，，，网络安全公司Silent Push最新钻研发现，，，一个名为DriveSurge的威胁行为者正利用ClickFix和FakeUpdates两种社会工程技术，，，在数千个被入侵的网站上发展大规模恶意软件分发活动。DriveSurge重要表演初始接见代理的角色，，，选取按装置付费模式，，，为后续更严重的网络攻击铺路。在该攻击活动中，，，受害者接见被入侵的合法网站后，，，会被重定向到一个名为zTDS的开源流量分配系统。zTDS自2015年就已存在，，，而DriveSurge至少从2025年9月起头使用它。该系统会对每个接见者进行分析，，，动态判断是展示FakeUpdates钓饵还是ClickFix钓饵更为相宜。Silent Push指出，，，DriveSurge利用zTDS劫持了数千个诺言优良的网站，，，在网站所有者和接见者均不知情的情况下，，，悄然将流量导向恶意软件分发基础设施。FakeUpdates攻击通过伪造的浏览器更新提醒引诱受害者，，，覆盖Chrome、、、Firefox、、、Edge、、、Safari、、、Opera、、、Brave、、、Yandex、、、Vivaldi、、、三星浏览器及UC浏览器等主流浏览器。而ClickFix攻击则是一种盛行的社会工程战术，，，它诱骗受害者以解决技术问题为幌子，，，在系统上复制并执行恶意号令，，，从而导致习染。


https://www.bleepingcomputer.com/news/security/hackers-hijack-thousands-of-sites-for-clickfix-and-fakeupdate-attacks/


2. Red Hat npm遭入侵，，，“Miasma”窃取开发凭证


6月1日，，，近日，，，一路针对Red Hat的供给链攻击导致其“@redhat-cloud-services”定名空间下的30多个npm软件包被植入后门，，，传布名为“Miasma”的Shai-Hulud恶意软件新变种。据统计，，，这些被入侵的软件包每周下载量约达11.7万次。攻击者疑似通过入侵一名Red Hat员工的GitHub帐户，，，直接向多个存储库推送恶意提交。这些提交增长了GitHub Actions工作流及一个剧本，，，该剧本滥用npm的颁布机制，，，利用OIDC令牌通过npm的可信颁布端点进行身份验证，，，批量颁布带有后门的软件包版本。被入侵的软件包中蕴含恶意的“preinstall”剧本，，，开发者装置软件包时会自动执行一个高度混合的index.js文件（约4.2 MB），，，用于窃取GitHub Actions密钥、、、AWS及Google Cloud凭证、、、Azure服务主体凭证、、、HashiCorp Vault令牌、、、Kubernetes服务账户令牌、、、npm和PyPI颁布令牌、、、SSH密钥、、、Docker凭证、、、GPG密钥以及.env文件中的敏感信息。Red Hat已将受影响软件包从npm注册表中删除，，，并强调这次泄露仅限于内部开发工具，，，尚未发现客户或合作同伴环境及Red Hat出产系统受到任何影响，，，但未注明账户被入侵的具体原因。


https://www.bleepingcomputer.com/news/security/red-hat-npm-packages-compromised-to-steal-developer-credentials/


3. Dashlane遭暴力破解攻击，，，用户账户被自动锁定


6月1日，，，近日，，，多名Dashlane密码治理服务的用户遭逢账户被锁定事务，，，原因是攻击者发起了暴力破解攻击，，，试图从远距离地址和未知设备登录用户账户。Dashlane公司证实，，，这次账户暂停是其自动化安全响应机制的一部门，，，旨在预防账户被劫持。事务曝光源于多名用户在Reddit上发帖，，，称收到了来自国外的可疑接见要求通知邮件，，，其中蕴含用于注册新设备的验证码。很多用户感应猜疑，，，由于他们并未提议这些要求，，，一度疑惑这是针对Dashlane用户的网络垂钓攻击。随后，，，Dashlane在Reddit上回复称其系统是安全的，，，暴力破解攻击通过陆续尝试多个密码来获取账户接见权限，，，而平台会通过速度限度、、、验证码挑战和账户锁定等保�；ご胧�，，，在失败尝试次数达到阈值后自动阻止此类攻击。凭据Dashlane状态页面显示，，，对该事务的调查于5月31日15:19 UTC启动，，，至22:30 UTC被象征为“已解决”，，，宣称所有受影响账户已解封。6月1日07:32 UTC颁布的更新确认了同样情况，，，Dashlane保障团队正在监控并执行额外措施。


https://www.bleepingcomputer.com/news/security/dashlane-password-manager-users-locked-out-by-brute-force-attacks/


4. Steam评论藏恶意代码，，，近2000个WordPress网站习染


6月1日，，，近2000个WordPress网站习染了一种新型恶意软件，，，该恶意软件利用Steam社区小我资料评论中的不私见Unicode字符暗藏号令与节制（C2）数据。自2025年7月初次发现该攻击活动以来，，，GoDaddy的安全工程师已在约莫1980个WordPress网站上检测到该恶意软件。目前尚不明显黑客入侵这些网站的具体方式，，，钻研人员以为初始习染蹊径可能蕴含：：窃取治理员登录信息或泄露的FTP/SFTP痛处、、、利用存在缝隙的WordPress主题或插件，，，或者通过供给链攻击植入恶意代码。植入网站的第一阶段恶意软件利用WordPress页面加载来接见特定的Steam小我资料，，，并从看似无害的评论中提取文本。然而，，，这些文本中蕴含暗藏的Unicode字符，，，它们承载着现实恶意载荷，，，有时假装成ASCII艺术。解码器会忽略所有可见字符，，，将不私见字符映射为数字并转换为二进制，，，最终重建出字节。解码后的有效载荷用于构建一个hello-mywordl[.]info的URL，，，该URL提供假装成合法JavaScript库的恶意代码，，，并注入到每个WordPress前端页面中。攻击的最后阶段是植入一个后门，，，该后门会响应蕴含特定身份验证cookie的POST要求，，，通过POST参数接管base64编码的PHP代码。


https://www.bleepingcomputer.com/news/security/wordpress-malware-campaign-hides-payloads-in-steam-profiles/


5. Windows Netlogon严重缝隙遭活跃利用


6月1日，，，比利时网络安全中心（CCB）近日发出忠告，，，威胁行为者正在积极利用微软最近修复的一个Windows Netlogon严重缝隙（CVE-2026-41089）提议攻击。该缝隙是微软在2026年5月“补丁星期二”活动中修复的，，，被描述为Windows Netlogon服务中的基于仓库的缓冲区溢出缝隙，，，允许没有权限的攻击者在指标域节制器上获得远程代码执行权限。攻击者只需向充任域节制器的Windows服务器发送特制的网络要求，，，即可无需登录或事先获得接见权限，，，在受影响的系统上运行恶意代码。该缝隙影响所有当前受支持的Windows Server版本，，，蕴含最新版本Windows Server 2025，，，由微软内部的Windows攻击钻研与保�；ね哦臃⑾帧CB在周五颁布忠告称该缝隙目前已遭活跃利用，，，并督促治理员立即修补存在缝隙的服务器。CCB在推特上指出，，，该缝隙的CVSS 3.1评分为9.8，，，属于严重级别。然而，，，CCB并未提供有关这些持续攻击的具体细节，，，也没有回应媒体进一步信息的要求。微软尚未更新其安全布告，，，也未确认该缝隙是否已被活跃利用。


https://www.bleepingcomputer.com/news/microsoft/critical-windows-netlogon-remote-code-execution-flaw-now-exploited-in-attacks/


6. 朝鲜黑客借虚伪Zoom更新攻击加密钱币与Web3行业


6月1日，，，凭据SpiderLabs的最新汇报，，，一个被归罪于朝鲜黑客组织Sapphire Sleet的恶意软件攻击活动，，，正在专门针对加密钱币组织、、、风险投资公司和Web3开发人员。攻击流程始于黑客通过LinkedIn、、、Telegram、、、电子邮件或其他专业平台联系指标组织的成员，，，假意招聘人员、、、投资者或贸易同伴。一旦成立初步信赖关系，，，攻击者便会提议进行视频会议。然而在会议起头前，，，受害者会被批示装置一个所谓的“Zoom SDK更新”。现实下载的文件并非合法更新，，，而是一段恶意的AppleScript剧本，，，该剧本随即启动一个多阶段的习染链。�；竦贸跏冀蛹ㄏ藓�，，，恶意软件会批示受信赖的macOS组件下载额外的有效载荷，，，以实现悠久化接见并绕过安全节制措施。同时，，，它会定期与号令与节礼服务器通讯。接下来，，，一个名为systemupdate.app的虚伪利用法式会弹出一个看似macOS原生身份验证窗口的提醒，，，用于窃取用户的登录密码。在实现环境探测和权限获取后，，，恶意软件起头搜索受习染设备中有价值的信息，，，指标蕴含：：加密钱币软件钱包、、、本地浏览器扩大数据、、、Telegram会话信息、、、本地SSH密钥以及Apple Notes中的未加密纪录。所有这些被窃取的数据随后会被打包压缩，，，并发送到朝鲜节制的服务器。


https://cybernews.com/security/north-korean-hacker-macos-malware/