国际“断电行动”沉挫DDoS攻击 ，超七万用户遭忠告

颁布功夫 2026-04-17

1. 国际“断电行动”沉挫DDoS攻击 ，超七万用户遭忠告


4月16日 ，在国际法律行动“断电行动”的最新阶段中 ，全球21个国度协同发力 ，对散布式回绝服务（DDoS）攻击产业链进行了深度进攻。这次行动由欧洲刑警组织支持 ，已向超过75,000名使用有关平台提议犯法攻击的幼我发送了忠告邮件或函件。行动期间 ，法律部门扣留了四名嫌疑人 ，查封了53个涉事域名 ，并执行了25份搜查令。参加国度涵盖多个欧盟成员国 ，以及澳大利亚、泰国、美国、英国、日本和巴西 ，展示了全球结合进攻网络犯罪的刻意。“断电行动”此前已拆除了大量关键基础设施 ，并查获了蕴含逾300万个犯罪账户的数据库。在最新阶段 ，行动沉点转向预防与震慑。列国专家在“行动周”前发展了系列冲刺行动 ，聚焦于DDoS攻击平台的高价值指标用户 ，同时提升公家对这类活动犯法性的认知。法律机构不仅捣毁了犯法攻击服务的技术设施 ，还对“Booter服务”进行了系统性算帐。只管部门运营者以“合法压力测试”为幌子粉饰其真实主张 ，但由于平台不足对攻击指标所有权的验证 ，这些服务现实上持久被用于犯法攻击。


https://www.bleepingcomputer.com/news/security/operation-poweroff-identifies-75k-ddos-users-takes-down-53-domains/


2. 新型恶意软件ZionSiphon对准以色列水设施


4月16日 ，一款名为ZionSiphon的新型恶意软件专门针对运营技术领域 ，尤其以水处置和海水淡化环境为攻击指标 ，试图通过调节液压和将氯含量提升至危险水平来粉碎关键基础设施。该软件由人为智能网络安全公司Darktrace发现 ，其IP定位及嵌入字符串中的政治信息显示 ，它似乎专一于攻击位于以色列的指标。部署后 ，ZionSiphon会查抄主机IP是否在以色列领域内 ，并确认系统是否蕴含与水或运营技术有关的软件及文件 ，以确保其运行于水处置或海水淡化系统中。若前提满足 ，它会通过名为“IncreaseChlorineLevel()”的函数 ，在现有配置文件中增长文本块 ，在工厂机械系统物理支持领域内最大限度提高氯的剂量和流量 ，同时开启氯泵、阀门并将反渗入压力调至80。此表 ，该恶意软件还会扫描本地子网中的Modbus、DNP3和S7comm等工业节造通讯和谈 ，意图与工业节造系统直接交互。ZionSiphon还具备USB传布机造 ，可将自身复造到可移动驱动器并以暗藏的“svchost.exe”过程运行 ，同时创建恶意快捷方式文件。由于治理关键职能的推算机通常处于物理隔离状态 ，不直接衔接互联网 ，USB成为此类攻击的沉要传布蹊径。


https://www.bleepingcomputer.com/news/security/zionsiphon-malware-designed-to-sabotage-water-treatment-systems/


3. 新僵尸网络PowMix以捷克劳动力为指标


4月16日 ，网络安全钻研人员发现 ，一场针对捷克共和国劳动力的恶意攻击活动在持续进行 ，其使用一个名为PowMix的此前未被纪录的僵尸网络 ，至少从2025年12月起头活跃。据Cisco Talos钻研员Chetan Raghuprasad汇报 ，PowMix选取随机的号令与节造（C2）信标距离 ，而非与C2服务器维持持续衔接 ，以此躲避网络署名检测。该恶意软件将加密的心跳数据及受害者机械的唯一标识符嵌入C2 URL蹊径中 ，模拟合法的REST API URL ，并可能远程动态地将新的C2域名更新到僵尸网络配置文件中。攻击链始于一个恶意ZIP文件 ，该文件激活多阶段习染链 ，最终开释PowMix。习染链涉及一个Windows快捷方式（LNK） ，用于启动PowerShell加载器 ，后者提取嵌入在压缩包中的恶意软件 ，解密后在内存中运行。这种新型僵尸网络旨在实现远程接见、窥伺和远程代码执行 ，通过按时工作成立悠久性 ，并验证过程树以预防统一主机上运行多个恶意软件事俘。与此同时 ，攻击者还会打开以合规为主题的钓饵文件 ，提及Edeka等合法品牌并蕴含薪酬数据及司法律规参考 ，以分散把稳力并加强糊弄性。


https://thehackernews.com/2026/04/newly-discovered-powmix-botnet-hits.html


4. Rhysida攻击致美医疗中心33.7万人数据泄露


4月16日 ，田纳西州库克维尔地域医疗中心（CRMC）于2025年7月遭逢Rhysida勒索软件组织攻击 ，导致约33.7万人的幼我及医疗信息泄露。该中心于7月14日检测到可疑活动后 ，迅快结合法律部门及法证公司发展调查 ，确认在7月11日至14日期间 ，有未经授权的第三方接见了医院网络 ，可能查看或窃取了大量敏感文件。经全面审查受影响文件后 ，CRMC确认泄露信息因幼我情况而异 ，可能蕴含姓名、地址、诞生日期、社会安全号码、驾驶牌照号码、银行账号、医疗信息、病历号及健全保险单信息。医院在通过邮件向占有有效地址的受影响幼我寄送通知信 ，建议收信人遵循信中指引�；ぷ陨砣ɡ�。只管目前尚未证实已产生数据滥用 ，CRMC仍为受影响者提供免费的身份偷窃�；し� ，并督促公家亲昵关注账户和信誉汇报 ，实时举报可疑活动 ，必要时联系有关部门。医院还引用了联国业务委员会的资源 ，为公家提供诓骗警报及信誉�；さ挠泄靥嵝�。2025年8月 ，Rhysida勒索软件组织将该医疗中心增长至其Tor数据泄露站点 ，宣称窃取了538GB数据。由于无人采办这些被盗数据 ，该组织最终将其免费公开泄露。


https://securityaffairs.com/190898/cyber-crime/cookeville-regional-medical-center-hospital-data-breach-impacts-337917-people.html


5. ATHR平台4000美元销售 ，全自动语音垂钓窃取凭证


4月16日 ，一种名为ATHR的新型网络犯罪平台正以4000美元的价值在地下论坛销售 ，并收取10%的利润佣金。该平台可能通过全自动语音网络垂钓攻击窃取蕴含Google、Microsoft、Coinbase在内的多项服务登录凭证 ，其社会工程阶段同时使用人类操作员和人为智能代理。据云电子邮件安全公司Abnormal的钻研人员分析 ，ATHR是一个齐全的网络垂钓与语音垂钓攻击天生器 ，提供品牌特定的电子邮件模板、针对每个指标的定造职能以及糊弄机造 ，使邮件看似来自可信发件人。目前该平台支持八项在线服务：Google、Microsoft、Coinbase、Binance、Gemini、Crypto.com、Yahoo和AOL。攻击链始于受害者收到一封精心设计的电子邮件 ，内容通常为虚伪的安全警报或帐户通知 ，垂危水平足以促使用户拨打电话 ，但又足够抽象以避开基于内容的过滤器。拨打邮件中的电话号码后 ，受害者会通过Asterisk和WebRTC衔接到AI语音代理 ，这些代理依照多步骤剧本模拟安全事务。平台仪表盘使操作员可能节造整个流程 ，蕴含电子邮件分发、电话治理和实时监控 ，并接管蕴含被盗数据的日志。


https://www.bleepingcomputer.com/news/security/new-athr-vishing-platform-uses-ai-voice-agents-for-automated-attacks/


6. 黑客利用Marimo缝隙部署NKAbuse新变种


4月16日 ，黑客在利用Marimo响应式Python notebook中的一个严沉远程代码执行缝隙（CVE-2026-39987） ，部署托管在Hugging Face Spaces平台上的NKAbuse恶意软件新变种。据云安全公司Sysdig数据 ，有关攻击在上周起头 ，主张是窃取凭证 ，而此时距离技术细节公开披露尚不到10幼时。Sysdig钻研人员还发现了其他攻击活动 ，蕴含4月12日起头的一项行动 ，该行动滥用Hugging Face Spaces平台 ，该平台允许用户从Git仓库部署和共享交互式Web利用法式 ，通常用于AI有关的演示与尝试。在Sysdig观察到的攻击中 ，攻击者创建了一个名为“vsccode-modetx”的空间 ，其中托管了一个投放剧本和一个名为“kagent”的恶意软件二进造文件 ，试图仿照合法的Kubernetes AI代理工具。利用Marimo缝隙后 ，攻击者运行curl号令从Hugging Face下载并执行剧本。该投放剧本下载kagent二进造文件 ，将其装置到本地 ，并通过systemd、cron或macOS LaunchAgent设置悠久性。该有效载荷是此前未被纪录的DDoS攻击恶意软件NKAbuse的变种。


https://www.bleepingcomputer.com/news/security/hackers-exploit-marimo-flaw-to-deploy-nkabuse-malware-from-hugging-face/