【CybersecurityNews网站4月16日报道】网络安全公司Cyble最新研究显示，黑客活动分子正从传统的DDoS攻击转向更具破坏性的勒索软件攻击，目标直指能源、水务等关键基础设施。2025年第一季度，针对工业控制系统(ICS)的攻击激增50%，其中亲俄组织NoName057(16)和Hacktivist Sandworm最为活跃。研究披露，与乌克兰结盟的BO Team组织近期对俄罗斯国防制造商发起复杂攻击，利用SQL注入漏洞植入多态勒索软件，成功加密300TB数据并索得5万美元比特币赎金。攻击采用包括时间戳操纵、内存流混淆等反检测技术（如上示PowerShell脚本片段），其命令控制服务器均设在俄罗斯境外。专家警告，这种将意识形态动机与犯罪手段结合的新模式，标志着网络冲突进入更危险阶段，建议关键设施运营商立即修补遗留系统漏洞，并部署行为检测型安全方案。

【CybersecurityNews网站4月16日报道】网络安全公司Imperva最新报告显示，2024年AI驱动的恶意机器人流量首次超越人类，占据互联网总流量的51%。其中37%为恶意机器人（较2023年上升5个百分点），14%为搜索引擎爬虫等良性机器人。报告指出，以ByteSpider（占比54%）、AppleBot（26%）为代表的恶意机器人正采用住宅代理和浏览器模拟技术（如示例代码所示），使得46%的攻击流量能完美伪装成Chrome浏览器访问。这些AI机器人主要针对API端点（占高级攻击流量的44%），金融、医疗等行业成重灾区。Imperva监测显示，攻击者已形成"攻击-分析-优化"的AI闭环学习模式，2024年平均每日拦截200万次AI攻击。专家建议企业采用行为分析结合上下文验证的多层防御策略，应对日益复杂的机器人威胁。随着生成式AI工具普及，预计恶意机器人复杂度将持续攀升。

【InfoSecurity Magazine网站4月16日报道】Zimperium最新研究报告显示，在对17,333个企业级移动应用（含6,037个Android应用和11,626个iOS应用）的检测中，92%存在加密方法缺陷。其中83个Android应用存在云存储配置错误，10个应用暴露AWS凭证，更有5款Google Play百强应用携带硬编码密钥等高风险漏洞。安全专家指出，使用MD2等过时算法及不安全随机数生成器的应用，即使加密数据也可能被破解。2024年全球因数据泄露造成的经济损失达2800亿美元。报告建议企业立即采取修复云存储配置、轮换暴露凭证、验证加密算法等措施。Apono公司CEO强调，在BYOD普及的当下，必须实施深度防御策略，严格遵循最小权限原则。

18. 41%的攻击绕过传统防御，对抗暴露验证（AEV）可有效提升防护能力

【BleepingComputer 4月16日报道】Picus Security最新研究显示，尽管企业部署了多层次安全防护措施，但仍有41%的网络攻击能够成功绕过防火墙、端点检测与响应（EDR）等防御系统。传统渗透测试和漏洞扫描因缺乏连续性、实时性及实际攻击场景模拟，导致企业在面对快速演变的威胁时存在严重盲区。研究指出，40%的企业环境中存在可导致域管理员权限沦陷的攻击路径。为应对这一挑战，对抗暴露验证（AEV）通过结合突破和攻击模拟（BAS）与自动化渗透测试（APT），持续验证防御体系有效性。BAS模拟真实攻击行为（如勒索软件、网络钓鱼），实时检测防护缺口；APT则揭示攻击者横向移动路径，优先修复高风险漏洞。数据显示，采用AEV的团队可在90天内将威胁拦截率提升一倍。Picus安全平台整合超3万个战术技术流程（TTP），提供可操作的修复建议，帮助企业在攻击发生前主动消除隐患。

【TheRecord网站4月17日报道】美国网络安全和基础设施安全局（CISA）发布紧急警告称，黑客利用甲骨文（Oracle）遗留系统漏洞窃取了大量客户凭证数据，包括加密密码、身份验证令牌和密钥文件等敏感信息。此次事件源于1月份的系统入侵，近期因黑客在网络犯罪论坛兜售数据并威胁客户付费删除而曝光。CISA指出，泄露的凭证可能被用于权限提升、云系统入侵、网络钓鱼攻击等恶意活动，建议受影响企业立即重置密码、检查源代码漏洞并加强日志监控。至少三家甲骨文云客户确认其信息出现在泄露数据中，但甲骨文公司尚未就事件置评。此次事件再次凸显了遗留系统安全风险及凭证保护的紧迫性。

恶意软件

【CybersecurityNews网站4月16日报道】网络安全专家发现一种名为BRICKSTORM的复杂后门恶意软件，被黑客部署用于攻击具有战略重要性的欧洲产业。该恶意软件与China-nexus威胁集群UNC5221有关，之前仅针对Linux vCenter服务器，现在也影响Windows环境，这表明威胁行为者的能力和影响范围显著扩大。这些后门样本被认为是至少自2022年以来长期存在的网络间谍活动的一部分。攻击者利用低噪声后门以及以前未知的漏洞。NVISO研究人员发现了两种基于Windows的BRICKSTORM新变种，它们扩展了其之前的Linux版本。该恶意软件为攻击者提供了文件管理器和网络隧道功能，攻击者可以浏览文件系统、创建或删除任意文件和文件夹，以及建立隧道网络连接以进行横向移动。Windows样本采用Go 1.13.5编写，依赖计划任务等持久性机制来执行。BRICKSTORM的独特之处在于其多层、复杂的命令和控制基础设施，旨在规避常见的网络级安全解决方案。该恶意软件通过DoH（DNS over HTTPS）解析其命令和控制服务器，隐藏DNS查找。它利用多个公共DoH提供商，包括Quad9、NextDNS、Cloudflare和Google。BRICKSTORM采用三层TLS加密方案，突破多层级监控。其第一层基础设施托管在合法的云服务上，难以与正常流量区分。由于BRICKSTORM使用合法服务和多层加密，检测它面临巨大挑战。建议组织在其网络上阻止DoH提供商，监控可疑的长期运行进程，并实施TLS检查以检测嵌套的TLS会话。

往期推荐