AryStinger僵尸网络入侵四千余台老旧路由器

颁布功夫 2026-06-23
1. AryStinger僵尸网络入侵四千余台老旧路由器


6月21日，，，网络安全钻研团队千信XLab近日披露了一个此前未被纪录的恶意软件僵尸网络AryStinger。该恶意软件已成功入侵超过4000台过期的路由器，，，将其转变为远程节制的“执行器”，，，用于代理恶意流量、执行扫描、隧道通讯及号令运行等操作。攻击者利用散布式设计，，，将大规模扫描工作拆分为多个小块，，，分发给分歧执行器并行执行，，，从而高效实现早期“足迹网络”，，，为后续深刻入侵奠定基础。更危险的是，，，AryStinger不仅能利用被控设备作为跳板，，，还能篡改DNS设置，，，劫持用户浏览活动，，，并静默监控甚至窃取所有入站和出站网络流量，，，对用户隐衷和网络安全组成严重威胁。该恶意软件重要利用CVE-2013-3307、CVE-2016-5681和CVE-2025-11837等较早缝隙，，，重点针对D-Link DIR-850L和DIR-818LW两款已停产的路由器型号，，，这两款设备此前也曾是AVrecon僵尸网络的攻击指标。XLab钻研人员发现了AryStinger的两个变种：基于C说话的版本重要针对老旧路由器，，，而基于Go说话的版本则专一于网络附加存储（NAS）系统。


https://www.bleepingcomputer.com/news/security/arystinger-botnet-infected-thousands-of-d-link-routers-worldwide/


2. 微软确认Sapphire Sleet主导Mastra AI供给链攻击


6月20日，，，微软近日正式将一路波及140余个npm软件包的大规模供给链攻击事务，，，归罪于朝鲜国度支持的黑客组织Sapphire Sleet（别名BlueNoroff）。据微软披露，，，攻击始于一名称作“ehindero”的npm守护者账户被攻破，，，该账户占有对@mastra作用域内软件包的颁布权限。攻击者利用此权限批量颁布了超过140个恶意更新版本，，，并在其中注入了一个名为“easy-day-js”的依赖项。一旦开发者装置被习染的包，，，恶意依赖项便会触发装置后钩子，，，执行一段混合的投递剧本，，，该剧本首先禁用传输层安全（TLS）证书验证，，，随后衔接至攻击者节制的号令与节制（C2）服务器，，，下载并执行第二阶段的有效载荷，，，且以分离的暗藏过程运行以躲避检测。第二阶段的有效载荷被确以为一款职能壮大的跨平台信息窃取法式，，，专门针对Windows、Linux和macOS系统。该法式会全面网络主机信息、浏览器汗青纪录、已装置利用法式和正在运行的过程，，，并重点扫描166种加密钱币钱包浏览器扩大。为实现悠久驻留，，，恶意软件凭据分歧操作系统部署了相应的自启动机制。


https://www.bleepingcomputer.com/news/security/microsoft-links-mastra-ai-supply-chain-attack-to-north-korean-hackers/


3. 得州敌灾数据泄露波及超300万驾照持有者


6月21日，，，美国得克萨斯州公园与野活泼物治理局（TPWD）近日披露一路重大数据泄露事务，，，因外部许可证系统供给商遭未授权接见，，，导致超过308万名狩猎及垂钓许可证持有者的小我信息露出。这次入侵由得州网络司令部率先发现并发展调查，，，确认社�：怕�、诞生日期及信誉卡等财政数据未受影响，，，但攻击者可能获取了多达3,087,721名客户的驾照信息、护照号码、电子邮箱、电话号码及住宅地址。TPWD强调，，，暂无证据批注18岁以下未成年人或特定群体被针对，，，但露出的敏感身份信息仍为后续网络垂钓、假意诳骗及恶意软件投递提供了可乘之机。该事务源于TPWD通过外部供给商发放许可证，，，而缝隙产生在供给商关联的许可证系统环境中。事发后，，，TPWD正与供给商亲昵合作，，，执行新的安全防护措施并加强监控服务，，，同时为受影响小我提供为期一年的免费信誉监控。官方建议用户定期核查信誉汇报和财政账单，，，思考设相信誉冻结或诓骗警报，，，并对垂钓邮件和假意行为维持警惕。


https://securityboulevard.com/2026/06/texas-government-data-breach-exposes-over-3-million-drivers-licenses/


4. Splunk Enterprise高危缝隙遭在野利用


6月19日，，，Splunk Enterprise近日曝出一个编号为CVE-2026-20253的严重安全缝隙，，，该缝隙在公开披露仅数日后便已遭在野利用。该缝隙CVSS评分为9.8分（高危），，，影响Splunk Enterprise 10.2.4之前的10.2版本以及10.0.7之前的10.0版本。缝隙本原在于Splunk Enterprise中PostgreSQL Sidecar Service的备份与复原端点不足身份认证节制。任何可能通过网络接见该服务的未经身份验证的攻击者，，，均可无需痛处直接挪用文件操作，，，创建或截断肆意文件。该缝隙的威胁远不止于文件操作。网络安全公司WatchTowr在缝隙公开两天后（6月12日）颁布了具体的技术分析和概念验证（PoC）代码，，，证实攻击者可通过链式利用实现未经身份验证的远程代码执行（RCE）。Splunk已于6月18日确认该缝隙已遭有限在野利用。美国网络安全与基础设施安全局（CISA）已于同日将该缝隙纳入已知已利用缝隙（KEV）目录，，，并要求联邦民用机构在6月21日前实现修复。


https://www.securityweek.com/splunk-enterprise-vulnerability-exploited-in-attacks-days-after-disclosure/


5. Icarus利用Klue缝隙，，，窃取多家客户Salesforce数据


6月19日，，，市场谍报平台Klue近日公开确认了一路安全事务，，，攻击者窃取了用于衔接客户Salesforce环境的OAuth令牌，，，并以此接见了多家客户环境中的数据。Klue首席执行官在申明中暗示，，，公司于6月12日发现影响部门集成基础设施的未授权活动，，，随即结合网络安全专家发展调查，，，同时支持客户并复原受影响的衔接。调查确定，，，攻击者通过一个与集成服务有关的已泄露的旧痛处获得接见权限，，，进而获取了用于衔接Klue与第三方平台（蕴含Salesforce）的OAuth令牌，，，随后接见了多个已衔接客户环境中的数据。目前尚无证据批注Klue平台内部直接存储的客户内容受到影响，，，事务仅限于第三方集成领域。Klue已立即撤销受影响的痛处和令牌、删除未授权代码、禁用受影响的集成、启动调查并通知法律部门，，，同时礼聘CrowdStrike协助应急响应。与此同时，，，Icarus组织在其数据泄露网站上公开宣称对这次攻击掌管，，，宣称已从Klue的多家合作同伴公司中窃取了Salesforce实例数据，，，并威胁受影响方通过Session即时通讯平台联系，，，以预防数据被公开泄露。


https://www.bleepingcomputer.com/news/security/klue-oauth-breach-victim-list-grows-as-icarus-hackers-claim-attack/


6. Gravity SMTP缝隙遭大规模利用，，，攻击超1700万次


6月19日，，，WordPress安全公司Defiant近日发出忠告，，，黑客正在积极利用Gravity SMTP插件中的一个未授权信息泄露缝隙（CVE-2026-4020）。该插件活跃于10万个网站，，，缝隙影响2.1.4及更早版本，，，已于3月17日颁布的2.1.5版本中修复。该缝隙源于插件露出的REST API端点/wp-json/gravitysmtp/v1/tests/mock-data，，，其permission_callback始终返回true，，，导致未经身份验证的攻击者可通过GET要求获取插件天生的齐全JSON体式“系统汇报”。固然该缝隙被评级为“中�！�，，，但露出的信息极为敏感，，，蕴含：配置邮件集成的API密钥、密钥和OAuth令牌；；；第三方邮件服务（如Amazon SES、Google、Mailjet、Resend、Zoho）的痛处；；；WordPress配置详情（已装置插件、主题及版本）；；；服务器和PHP环境信息；；；数据库配置（版本及表名）等。攻击者利用这些痛处可假意受害者接见第三方邮件服务，，，同时通过具体的系统汇报轻松把握网站软件栈，，，为后续定向攻击奠定基础。Defiant旗下Wordfence防火墙已拦截超过1700万次针对受�；；；た突У墓セ鞒⑹�。攻击活动于6月7日达到顶峰，，，当日单日拦截要求达400万次，，，随后数日持续有大量攻击纪录。


https://www.bleepingcomputer.com/news/security/hackers-exploit-info-disclosure-bug-in-gravity-smtp-wordpress-plugin/