洞·见 | 20250630

美国国土安全部（DHS）近日发布《国家恐怖主义预警系统公告》，警告伊朗支持的黑客组织及亲伊朗黑客行动主义者正加剧对美国境内网络的攻击行为，随着中东局势升温，美国正面临“日益加剧的威胁环境”。公告指出，当前以色列与伊朗的持续冲突正激发本土极端分子的潜在暴力行为风险，若伊朗高层发布宗教指令号召报复，可能促使部分人走向激进行动。同时，近期多起美国本土恐袭事件与反犹或反以情绪有关，该情绪亦可能借由网络空间进一步蔓延。DHS强调，亲伊朗黑客过往曾多次对美国弱防护网络发动攻击，目标涉及医疗、政府、信息技术、工程及能源等行业，攻击手段包括暴力破解、密码喷洒、多因素身份验证疲劳攻击（即“推送轰炸”）等。尽管此次公告未直接提及，但分析人士普遍认为，DHS发出警告的背景很可能与美军于6月15日空袭伊朗福尔多、纳坦兹、伊斯法罕等关键核设施有关，此前6月13日以色列亦空袭多处伊朗目标。对此，伊朗外长已表态称将“采取一切必要手段捍卫国家利益”，并警告袭击将带来“永久性后果”。

资料来源：

在与以色列冲突持续升级之际，伊朗政府首次证实，其于本周实施全国范围的网络中断，旨在应对来自以色列的持续网络攻击威胁。此前，伊朗多个关键基础设施遭受网络攻击，包括国有银行和加密货币交易平台，引发政府出于“国家安全”理由采取断网措施。伊朗政府发言人莫哈杰拉尼在电视采访中表示，当前局势下，许多敌方无人机依靠互联网进行操控，同时网络也是信息交换的关键手段之一。政府担忧网络攻击将进一步危及国家安全、银行系统及民众生活，故决定启用“国家互联网”，限制全球网络访问。知名黑客组织“掠食性麻雀”（Predatory Sparrow）已宣称对多起攻击事件负责，包括入侵伊朗最大加密平台Nobitex并将资金转入无法使用的钱包，以及摧毁国有银行Bank Sepah的数据，称其与伊朗伊斯兰革命卫队有关。相关追踪机构Elliptic与TRM Labs也确认了加密资金被盗事件。尽管伊朗断网之举引发国内外通信困难，但政府坚称该措施是为了防范更严重的基础设施瘫痪和金融风险。此次事件反映出当前中东冲突中网络空间对抗日趋激烈，断网已成为某些国家应急响应的一部分。

资料来源：

https://securityaffairs.com/179199/cyber-warfare-2/iran-confirmed-it-shut-down-internet-to-protect-the-country-against-cyberattacks.html

资料来源：

https://securityaffairs.com/179372/apt/apt42-impersonates-cyber-professionals-to-phish-israeli-academics-and-journalists.html

Socket安全研究团队披露，朝鲜黑客组织“Contagious Interview”近期再度发动供应链攻击，投放35个恶意npm软件包，并利用LinkedIn冒充招聘人员诱导开发者执行多阶段恶意代码。这一行动与早前披露的“Contagious Interview”社工攻击活动相一致，目标为正在求职的开发者群体。此次攻击中，黑客通过24个npm账号上传带有HexEval加载器的恶意包，并成功诱骗部分开发者在本地运行这些包含恶意依赖的“作业任务”。HexEval加载器在安装时悄悄收集主机信息，并在触发条件下拉取并执行第二阶段信息窃取程序BeaverTail。BeaverTail专门搜索浏览器缓存、加密货币钱包数据、系统密钥链等敏感信息，并视平台环境加载特定窃密逻辑。进一步，它还能下载第三阶段后门程序InvisibleFerret，实现更持久的系统控制。研究人员指出，攻击者将模块名和C2地址编码为十六进制以绕过静态分析，同时构建跨平台键盘记录器增强监控能力。部分软件包中嵌入了基于操作系统的本地钩子组件，可实时捕捉按键数据，进一步暴露受害者隐私。

资料来源：

https://socket.dev/blog/north-korean-contagious-interview-campaign-drops-35-new-malicious-npm-packages

资料来源：

https://www.bleepingcomputer.com/news/security/filefix-attack-weaponizes-windows-file-explorer-for-stealthy-powershell-commands/

据谷歌旗下Mandiant与Palo Alto Networks的Unit 42联合警告，臭名昭著的网络犯罪团伙“Scattered Spider”近期将攻击目标扩大至航空与交通运输行业。该团伙由主要讲英语的年轻黑客组成，以高频次使用社交工程、钓鱼邮件以及对客服施压等手段获取企业内部访问权限著称，背后动机多为勒索与数据盗窃牟利。6月已有两家航空公司遭遇入侵：夏威夷航空已确认其系统受到攻击，正展开恢复；加拿大第二大航空公司西捷航空也在6月13日报告遭遇网络攻击，目前事件尚未解决，媒体报道称此次攻击与Scattered Spider有关。此次攻击潮紧随该团伙对英国零售业与保险业的入侵行动。过去，Scattered Spider曾渗透酒店集团、赌场及科技巨头网络，显示其行动范围广泛、技术手段成熟。

资料来源：

https://techcrunch.com/2025/06/27/prolific-cybercrime-gang-now-targeting-airlines-and-the-transportation-sector/

英国牛津市议会近日披露，因一起网络安全事件导致其部分历史系统被非法访问，涉及时间跨度达20年的敏感信息外泄。初步调查显示，受影响数据涉及2001年至2022年间在选举工作中担任过角色的人员，如投票站工作人员与计票员的个人信息。事件还造成市议会信息与通信技术服务中断，虽多数系统已恢复运行，但仍存在部分积压问题，可能影响服务进度。市议会在声明中指出，目前尚无证据表明公民信息被泄露，也未发现攻击者将数据进一步传播或大规模窃取的迹象。牛津市议会已启动对确认受影响人员的单独通知程序，并同步通报相关政府监管机构与执法机关。为防止此类事件再次发生，市议会表示将加固系统安全措施，并加强对历史数据系统的管理与审计。作为服务15万居民的地方政府，牛津市议会此次事件凸显出老旧系统在信息保护方面的脆弱性，也再次提醒公共机构需重视对历史数据资产的安全防护。

资料来源：

https://www.bleepingcomputer.com/news/security/oxford-city-council-suffers-breach-exposing-two-decades-of-data/