SK Telecom 2700万用户数据泄露，恶意软件埋伏近三年

颁布功夫 2025-05-21

1. SK Telecom 2700万用户数据泄露，恶意软件埋伏近三年


5月20日，SK Telecom是韩国最大的移动网络运营商，占据约一半市场份额。该公司近日披露，2025年4月19日在其网络上检测到恶意软件，并隔离疑似被黑客入侵的设备。这次事务最早可追忆至2022年，最终导致2700万用户的USIM数据泄露。攻击者窃取了蕴含IMSI、USIM认证密钥、网络使用数据及存储在SIM卡中的短信和联系人等数据，增长了SIM卡互换攻击的风险。为此，SK Telecom决定为所有效户发放SIM卡代替件，并加强安全措施以预防未经授权的号码移植。2025年5月8日，当局委员会颁发恶意软件习染危及25种数据类型。其时SK Telecom颁发终场接受新用户以应对后果。SK Telecom最新新闻称将很快通知2695万受影响的客户其敏感数据泄露。该公司提到在23台受习染服务器中发现25种分歧恶意软件类型，入侵水平超出最初预期。与此同时，公私结合调查幼组对SK Telecom的30000台Linux服务器查抄后称，最初Web Shell习染产生在2022年6月15日，意味着恶意软件在近三年功夫里未被发现，攻击者在23台服务器上植入多个有效载荷。调查宣称15台受习染服务器含幼我客户信息，蕴含291831个IMEI号码，但SK Telecom否定。调查幼组还指出，SK Telecom于2024年12月3日才起头纪录受影响服务器活动，因而此前可能产生的数据泄露无法被检测到。


https://www.bleepingcomputer.com/news/security/sk-telecom-says-malware-breach-lasted-3-years-impacted-27-million-numbers/


2. Hazy Hawk团伙利用DNS配置谬误劫持受信赖域名


5月20日，被追踪为“Hazy Hawk”的威胁行为者正利用被忘却的DNS CNAME纪录执行网络攻击。该威胁行为者劫持指向拔除云服务的CNAME纪录，收受当局、大学和财富500强公司等机构的受信赖子域，用于分发诳骗、虚伪利用法式和恶意告白。Infoblox钻研人员指出，Hazy Hawk首先扫描CNAME纪录指向拔除云端点的域，并通过被动DNS数据验证确定这些域，而后注册与拔除CNAME中名称一样的新云资源，使原始域的子域解析到威胁行为者的新云托管站点。借助这一技术，Hazy Hawk劫持了多个驰名域名，如美国疾病节造与预防中心的cdc.gov、跨国企业集团honeywell.com等�＝谠熳佑蛎�，威胁行为者天生数百个恶意URL，因父域名信赖度高，这些URL在搜索引擎中看似合法。受害者点击URL后，会被沉定向到多层域名和TDS基础设施，这些设施会凭据设备类型、IP地址等信息分析受害者身份。Infoblox汇报称，这些网站被用于技术支扯嗫骗、虚伪防病毒警报、虚伪流媒体/色情网站和网络垂钓页面。此表，受骗用户即便脱离诳骗网站，仍会因允许浏览器推送通知而收到持续警报，为Hazy Hawk带来可观收入。


https://www.bleepingcomputer.com/news/security/hazy-hawk-gang-exploits-dns-misconfigs-to-hijack-trusted-domains/


3. RVTools遭逢供给链攻击，传布Bumblebee恶意软件


5月20日，近日，RVTools VMware治理工具遭逢供给链攻击，该工具最初由Robware开发，现归戴尔所有，是VMware治理员常用工具。攻击事务引发宽泛关注，戴尔于2025年5月20日颁布申明，称恶意RVTools装置法式并非从其官方网站分发，而是来自虚伪域名，同时其治理的Robware.net和RVTools.com网站因遭逢DDoS攻击而下线。此前，ZeroDay Labs钻研员Aidan Leon在Reddit上发帖称，从RVTools网站下载的文件被植入Bumblebee恶意软件加载器，文件哈希值与现实下载的不匹配，下载版本显著更大且蕴含恶意文件。经进一措施查，这一攻击行为被证实。Bumblebee是一种通过SEO中毒、恶意告白和网络垂钓攻击推广的恶意软件加载器，装置后会在受习染设备高低载并执行其他恶意有效负载，如Cobalt Strike信标、信息窃取法式和勒索软件等，且与Conti勒索软件行动有关。网络安全公司Arctic Wolf也汇报发现被木马习染的RVTools装置法式通过恶意域名抢注传布，该域名与合法域名类似，仅顶级域名分歧。此表，还有针对RVTools品牌的SEO中毒和恶意告白活动，旨在诱骗用户下载恶意装置法式。


https://www.bleepingcomputer.com/news/security/rvtools-hit-in-supply-chain-attack-to-deliver-bumblebee-malware/


4. 俄亥俄州凯特琳健全中心遭网络攻击导致系统中断


5月21日，俄亥俄州凯特琳健全中心旗下医院与医疗设施近日遭逢网络攻击，导致整系统技术中断�？亓战∪行淖猿剖且桓龌谛叛龅幕礁戳侔裁呷栈嵯低�，重要在代顿地域运营多个医疗中心和诊所，每年处置大量脊仫室就诊。该非投机性医院网络讲话人暗示，目前在经历因未经授权接见而引发的网络安全事务，事务始于周二早上，限度了工作人员接见部门患者护理系统的能力�？亓找搅浦行囊巡扇〈胧┒粼旎汉徒獯死嗷疃�，并积极调查和监测情况，同时取缔并沉新铺排了周二的住院和门诊择期手术。这次攻击还导致该医院网络的呼叫中心瘫痪。不外，所有脊仫室和诊所仍维持盛开，持续接受患者诊治。讲话人未就医院网络是否遭逢勒索软件攻击的问题作出回应，但据CNN报路，医院网络IT工作人员发现一张据称来自Interlock勒索软件团伙的勒索信。该团伙上个月曾关关透析医治公司DaVita的网络，此前还攻击过德克萨斯理工大学健全科学中心及其埃尔帕索分校。


https://therecord.media/kettering-health-system-ohio-cyberattack


5. Cellcom确认网络攻击是造成长功夫中断的原因


5月20日，威斯康星州无线服务提供商Cellcom已确认，2025年5月14日晚起头的大面积服务中断是由网络攻击导致的。这次事务影响了威斯康星州和密歇根州北部地域的客户，导致他们的语音和短折服务中断，无法拨打电话或发送短信。Cellcom首席执行官Brighid Riordan在近日证实了网络攻击的事实，并暗示公司已造订应对此类情况的规程和打算。事务产生后，Cellcom严格遵循打算，蕴含礼聘表部网络安全专家、通知联国调查局和威斯康星州官员，并全力以赴确保系统安全复原上线。Cellcom强调，这次攻击产生在公司网络的一个区域，与存储用户敏感信息的区域分歧，且没有证据批注用户幼我信息受到影响。最初，Cellcom宣称中断是由技术问题引起的，并暗示部门数据服务仍在运行。然而，由于平台出现问题，用户对服务中断和无法移植号码感应沮丧。5月19日，Cellcom起头复原部门服务，蕴含短信以及拨打和接听其他Cellcom用户的电话。只管无法保障何时全面复原服务，但公司正致力在本周末前实现这一指标。


https://www.bleepingcomputer.com/news/security/mobile-carrier-cellcom-confirms-cyberattack-behind-extended-outages/


6. SideWinder APT组织精准攻击南亚多国当局机构


5月20日，斯里兰卡、孟加拉国与巴基斯坦的高级别当局机构近期成为APT组织SideWinder新一轮攻击的沉点。攻击者使用鱼叉式垂钓邮件结合地理围栏技术，确保恶意载荷仅针对特定国度指标。攻击链通过钓饵文档激活，最终部署StealerBot恶意软件，手法与SideWinder此前活动特点相符。这次攻击对准南亚多国关键部门，如孟加拉国电信监管委员会、国防部、财政部，巴基斯坦本土技术发展局，以及斯里兰卡表债治理局、国防部、中央银行等。攻击者利用微软Office中的汗青缝隙CVE-2017-0199与CVE-2017-11882作为初始攻击媒介，部署具备悠久化接见能力的恶意法式。恶意文档触发CVE-2017-0199缝隙后，通过DLL侧载技术开释后续载荷，而地理围栏技术则确保仅预设国度领域内的受害者会收到现实恶意RTF文件，该文件利用公式编纂器缝隙CVE-2017-11882触发内存粉碎，执行基于shellcode的加载器以运行StealerBot。StealerBot作为�？榛踩敕ㄊ�，可能窃取屏幕截图、键盘纪录、密码、文件等敏感数据。


https://thehackernews.com/2025/05/south-asian-ministries-hit-by.html