安全快报 | 伊朗“波斯王子”APT组织首次在美国本土基础设施托管恶意软件并从事间谍活动

天懋信息

2026年10月29日 16:38
广东

去阅读

本周安全事件速览

10月22日-10月28日

01

伊朗“波斯王子”APT组织首次在美国本土基础设施托管恶意软件并从事间谍活动

简要介绍

伊朗国家支持的APT组织“波斯王子”（Prince of Persia，又名Infy）在暂停约三个月后，于2026年5月恢复间谍活动，并将一个Tornado恶意软件的命令与控制（C2）服务器托管在美国本土的Namecheap共享主机上。这是该组织自2016年以来首次在美国境内托管C2基础设施。安全公司Semperis的研究显示，该组织自2010年起活跃近二十年，主要针对伊朗异见人士以及美国、欧洲和中东的政府与私营机构。恢复活动一周内，其Tonnerre恶意软件就从单一受害者处窃取了超过1800个文件。研究人员指出，利用美国云基础设施隐藏C2对国家支持的黑客组织并不罕见，但对“波斯王子”而言却是重大策略转变，该组织此前长期使用虚拟专用服务器（VPS），此次转而依托共享主机以混入合法流量。

文章来源：Info Security-Magazine

02

朝鲜Lazarus组织针对韩国建筑、软件及有线通信设备制造公司持续发起网络间谍活动

简要介绍

与朝鲜关联的Lazarus组织发起代号“Operation FlashHole”的间谍活动，针对韩国建筑、软件及有线通信设备制造等至少三家机构持续发起网络间谍活动。该活动至少自2025年7月活跃至今，被视为2025年“Operation SyncHole”的延续。黑客通过鱼叉式钓鱼邮件，诱导目标访问托管在GitHub Pages上的恶意网站。该网站利用韩国强制安装的金融安全软件INISAFE CrossWeb EX触发感染链：启动合法Windows二进制文件fsquirt.exe，通过DLL侧加载执行恶意DLL TechHub。后续载荷TouchHub、TOUCHSHIFT、ClientHub、LPEClient及插件框架Cubridge依次在内存中执行，形成高度隐蔽的投递链。最显著的特点是，最新版恶意软件使用ML-KEM-1024后量子加密算法与黑客服务器建立加密连接，再下载并内存执行后续载荷。

文章来源：The Hacker News

03

英国威尔士地方政府数据库被黑客攻破，数千个家庭及儿童个人信息被窃取

简要介绍

英国信息专员办公室（ICO）的一项调查显示，威尔士数千名儿童及其家庭的个人信息被泄露，勒索软件攻击者攻破了一个由“Password1”密码保护的账户。威尔士地方政府数据单位（Data Cymru）由威尔士政府资助，负责帮助地方议会及其他组织有效查找、收集、分析和呈现数据。黑客通过一个名为“Test 2”的被攻破测试账户，最初进入了Data Cymru的网络，该账户已存在超过12年，它完全由密码“Password1”保护。该账户的访问使黑客能够渗透Data Cymru的网络，加密存储在文件服务器和内部数据库（SQL）服务器上的182.7GB数据。在部署勒索软件之前，黑客从主域控制器、文件服务器和SQL服务器中窃取了42GB的数据。这些信息涉及两个支持威尔士儿童和家庭的项目，其中包括3300人的个人数据，其中大多数是儿童。

文章来源：Info Security-Magazine

04

美国新墨西哥州唯一一级创伤中心遭网络攻击导致医疗IT系统和住院系统瘫痪

简要介绍

美国新墨西哥州唯一学术医疗中心及唯一一级创伤中心网络安全事件导致其临床交付IT系统受影响。位于阿尔伯克基的618张床位UNM医院被迫将所有救护车分流至其他医院，限制新患者入院，并取消所有诊所及设施的患者预约数小时；拥有65张床位的Sandoval区域医疗中心也受波及。事件发生后，黑客向医院员工电脑发送语音信息，声称掌握学生及员工数据、个人身份信息、社会安全号码等，威胁称不联系将面临“停运、诉讼及关闭风险”。勒索组织Byod已在暗网宣称其窃取员工信息、患者信息、研究数据、学生记录、薪资数据、内部邮件及Cerner电子健康记录名册等，并称入侵了3.6万台机器。

文章来源：Bank Info Security

05

美国医学检测巨头Quest Diagnostics业务系统遭网络入侵，部分医护和患者记录或遭泄露

简要介绍

美国医学检测巨头Quest Diagnostics向SEC报告，其供医疗机构下单及查询结果的Quanum Lab Services Manager（LSM）系统遭未授权访问，部分患者记录可能已泄露。公司已暂停LSM访问以展开调查，并通报联邦执法机构；通过直接客户LIS接口或EMR下单的渠道未受影响，业务运营与患者服务也未受实质性干扰。据悉，攻击者瞄准存放检测订单与结果的患者端门户，访问了患者记录却未扰乱运营，特征更接近数据窃取与勒索，而非传统勒索软件。专家提醒，检测实验室掌握姓名、出生日期、保险信息及检测结果等高价值数据，且门户保存的医护与患者凭证可能被用于进一步入侵，建议实施抗钓鱼多因素认证，并监控认证后的异常批量检索行为。

文章来源：Bank Info Security

06

丹麦哥本哈根大学因测试环境漏洞遭网络入侵，逾52万人敏感信息被泄露

简要介绍

丹麦哥本哈根大学（UCPH）于2026年10月20日检测到一起网络攻击事件，并于23日公开披露。攻击者通过访问该校一个测试环境，导致约52.5万人的敏感个人数据面临泄露风险。泄露信息包括全名、国家身份证号、工作及家庭电话、个人邮箱地址；后续更新还确认约20万名教职员工及学生的物理门禁PIN码也被泄露。校方称事件已得到控制，并已向丹麦数据保护机构报告，该事件被认为属于GDPR管辖范围。尽管最初声称日常运营未受影响，但校方随后承认包括文档管理平台Workzone和预算工具Nimbus在内的多个行政系统出现中断，并出于预防目的进行了受控关闭。校方还限制了部分关键校区的物理访问权限，并重置了泄露的PIN码。截至报道时，尚无任何黑客公开宣称对此负责。

文章来源：Info Security-Magazine

07

日本游戏巨头卡普空确认其会员服务系统遭未经授权入侵，约1177万个注册邮箱地址外泄

简要介绍

日本游戏巨头卡普空（Capcom）确认其在线会员服务“CAPCOM ID”遭第三方未授权访问，全球约1177万个注册邮箱地址被泄露。CAPCOM ID是卡普空运营的统一账户，玩家可在线游玩卡普空授权的游戏，并访问各种网络服务。该公司于2026年10月19日检测到可疑活动，20日确认信息泄露（例如账户创建日期和时间、最后登录日期和时间、登录次数、最后登录时使用的客户端IP地址）。除海量邮箱外，196个账户的密码被攻击者篡改，43个账户的额外个人信息（包括出生日期、性别、国家/地区和昵称）也遭暴露。卡普空强调，信用卡等支付信息未受影响，并已采取措施阻断访问、重置受影响账户密码，同时就事件致歉并承诺加强安全防护。

文章来源：Info Security-Magazine

08

澳大利亚信号局切断Amadey恶意软件后端，逾18万台受感染电脑获解脱

简要介绍

澳大利亚信号局（ASD）表示，使用Amadey恶意软件的犯罪分子将无法访问或窃取全球18万台受感染计算机的数据，其中包括澳大利亚的部分数据。该机构的操作员获得了犯罪分子后台的访问权限，并将其与这些计算机切断了联系。ASD是澳大利亚的外国信号情报和网络安全机构。其进攻性网络行动需要澳大利亚政府的明确批准，并通过瘫痪其基础设施来干扰海外网络犯罪分子。Amadey自2018年起作为“恶意软件即服务”在地下论坛出售，每个买家运行独立控制面板，核心功能是安装StealC等后续窃密软件、窃取凭证并授予远程访问权限。其常见传播途径包括虚假软件更新与破解版安装程序。ESET追踪发现至少53个互不共享基础设施的独立Amadey僵尸网络，此次切断仅针对其中之一。

文章来源：The Hacker News

往期回顾：