本周热点事件威胁情报
1、XWorm恶意软件新变种带有勒索软件？楹统35个插件
近期网络安全公司Trellix报告称 ，XWorm远控木马在经历开发者XCoder去年放弃项目后再次活跃 ，最新版本6.0、6.4与6.5正被多方威胁行为者用于钓鱼攻击传播。新版XWorm拥有超过35个插件 ，功能涵盖数据窃取、远程控制、文件加解密等多种恶意操作 ，并新增勒索？椤癛ansomware.dll” ，可加密用户文档并显示赎金要求。研究发现 ，该？橛2021年出现的NoCry勒索软件在加密算法及反分析机制上存在高度相似性。此外 ，XWorm的传播方式也更加多样 ，除传统邮件与LNK文件外 ，还利用伪装为合法应用的可执行文件、恶意JavaScript脚本以及AI主题钓鱼文档实现感染链扩展 ，显示其在网络犯罪圈的再度活跃与演化趋势。
参考链接：
https://www.trellix.com/blogs/research/xworms-evolving-infection-chain-from-predictable-to-deceptive/
2、GoAnywhere关键漏洞遭勒索软件攻击
微软近日确认 ，网络犯罪团伙Storm-1175正在利用GoAnywhere MFT文件传输工具的高危漏洞CVE-2025-10035发起Medusa勒索攻击。该漏洞源于License Servlet组件的反序列化缺陷 ，可被远程低复杂度攻击利用 ，无需用户交互。研究显示 ，攻击者自9月11日起即滥用此漏洞获取初始访问权限 ，并通过远程监控工具SimpleHelp与MeshAgent维持持久控制 ，随后利用Netscan进行横向移动和系统侦察 ，最终部署Medusa勒索程序加密受害者数据。微软指出 ，相关活动已波及多家机构 ，且与此前利用VMware ESXi漏洞的攻击手法相似。为防御此类威胁 ，微软与Fortra均建议管理员立即升级至最新版GoAnywhere ，并检查日志中是否出现SignedObject.getObject堆栈错误以确认系统是否遭入侵。
参考链接：
https://www.microsoft.com/en-us/security/blog/2025/10/06/investigating-active-exploitation-of-cve-2025-10035-goanywhere-managed-file-transfer-vulnerability/
3、LockBit、Qilin和DragonForce联手主宰勒索软件生态系统
ReliaQuest报告显示 ，LockBit、Qilin与DragonForce三大勒索组织近日宣布结成联盟 ，意图整合资源、共享基础设施 ，以提升攻击效率并巩固在勒索生态中的主导地位。此次合作紧随LockBit在2024年被取缔后重返网络之际 ，被视为其重建声誉、恢复与加盟者信任的重要举措。分析指出 ，联盟可能引发针对关键基础设施的新一轮攻击潮 ，扩大威胁范围。Qilin在2025年第三季度单季攻击超200起 ，成为最活跃的勒索组织 ；LockBit亦发布可攻击Windows、Linux与ESXi系统的5.0版本。安全研究者警告 ，此次联盟或预示勒索生态进一步专业化与全球扩张趋势 ，尤其针对北美及新兴市场国家的攻击风险上升。
参考链接：
https://reliaquest.com/blog/threat-spotlight-ransomware-and-cyber-extortion-in-q3-2025
4、Salesforce拒绝向黑客支付数据勒索赎金
客户关系管理巨头Salesforce证实 ，将不会与黑客组织“Scattered Lapsus$ Hunters”谈判或支付任何赎金。该组织此前通过社会工程与OAuth滥用发动多轮攻击 ，从Salesforce客户实例中窃取近10亿条数据 ，并在数据泄露站上勒索包括谷歌、迪士尼、丰田、万豪、麦当劳等39家知名企业。攻击活动分两阶段进行：一是冒充IT人员诱骗员工授权恶意OAuth应用 ，二是利用被盗的SalesLoft Drift令牌访问客户CRM系统并外泄数据。Salesforce表示 ，尽管威胁情报显示攻击者计划公开泄露数据 ，但公司将坚持拒绝支付赎金。当前泄露站点已被关闭 ，疑似由FBI接管。
参考链接：
https://www.bloomberg.com/news/articles/2025-10-07/salesforce-tells-clients-it-won-t-pay-hackers-for-data-extortion
浙公网安备 33010502006954号
浙ICP备12021012号-1
