每日安全简讯(20250803)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Secret Blizzard APT组织攻击驻莫斯科外国使馆

微软揭露，俄罗斯关联APT组织“Secret Blizzard”（又名Turla、Snake等）自2024年起针对驻莫斯科外国使馆发动网络间谍行动。攻击者利用ISP级“中间人”技术（AiTM），通过伪造的登录页面诱骗受害者下载定制恶意程序ApolloShadow。该程序伪装成卡巴斯基安装器，诱导用户安装伪造的根证书，从而拦截加密通信、窃取凭证，并添加隐藏账户以实现长期控制。该行动暴露出俄方具备在本地网络服务层面进行深度监控的能力，外交人员若使用俄罗斯本地电信服务，极可能成为攻击目标。

https://www.microsoft.com/en-us/security/blog/2025/07/31/frozen-in-transit-secret-blizzards-aitm-campaign-against-diplomats/

---

2 朝鲜黑客利用虚假招聘诱骗窃取加密资产

谷歌云报告披露，朝鲜国家支持的APT组织UNC4899（又名TraderTraitor）通过LinkedIn和Telegram伪装成招聘软件开发者，引诱受害者执行恶意Docker容器，进而入侵其云账户。攻击者利用社交工程、恶意npm包及云平台命令行工具远程访问Google Cloud与AWS，部署恶意程序GLASSCANNON并植入PLOTTWIST与MAZEWIRE后门，实现数据窃取与持久控制。尽管多因素认证一度阻止攻击，但黑客通过禁用并重启MFA机制绕过防护。UNC4899曾涉及Axie Infinity等数起数亿美元级加密货币盗窃事件。

https://services.google.com/fh/files/misc/cloud_threat_horizons_report_h22025.pdf

---

3 Everest勒索团体声称入侵Mailchimp平台

Everest 勒索软件组织在其暗网站点宣布入侵邮件营销平台Mailchimp，并泄露一份包含94万余行数据的数据库样本。虽然泄露规模相对较小（767 MB），但包含企业邮箱、联系方式、社交链接及使用的技术栈信息，疑似源自CRM或营销导出记录，而非Mailchimp核心系统。Everest自2020年活跃以来多次使用“双重勒索”策略，此前曾攻击可口可乐。

https://hackread.com/everest-ransomware-claims-mailchimp-small-breach/

---

4 Epsilon Red伪装验证页传播勒索软件

CloudSEK报告发现，Epsilon Red勒索软件正通过伪装成Discord、Twitch与OnlyFans的验证页面进行传播。攻击者使用带有恶意脚本的.HTA文件和ActiveX技术，诱骗用户执行命令，后台静默下载并运行勒索程序。伪页面还展示拼写错误的“Verificatification”提示，混淆受害者判断。该活动基础设施涵盖多个伪造域名及IP，另发现Quasar RAT远控程序。

https://hackread.com/onlyfans-discord-clickfix-pages-epsilon-red-ransomware/

---

5 新型钓鱼利用多层重定向技术窃取微软账号

Cloudflare揭示，一场新型钓鱼活动正滥用Proofpoint和Intermedia的链接重写服务，通过多层重定向引导受害者至伪造的Microsoft 365登录页，窃取凭证。攻击者先利用Bitly缩短恶意链接，再经已启用安全服务的被控邮箱发送，使链接被二次包装为可信格式（如urldefense.proofpoint）。伪装内容包括语音留言或Teams未读信息通知，引导用户点击链接。

https://www.cloudflare.com/zh-cn/threat-intelligence/research/report/attackers-abusing-proofpoint-intermedia-link-wrapping-to-deliver-phishing-payloads/

---

6 WordPress Alone曝严重漏洞遭大规模攻击

研究人员发现，攻击者正大规模利用WordPress“Alone”中的高危漏洞（CVE-2025-5394，CVSS 9.8）入侵网站。该漏洞允许未认证用户通过伪造请求上传任意文件，进而远程执行代码，实现整站接管。漏洞影响7.8.3及以下版本，7月14日公开前即已被零日利用。尽管6月16日发布的7.8.5版本已修复漏洞，但Wordfence已拦截逾12万次攻击尝试，恶意IP频繁上传带后门的ZIP文件，部署隐藏账户和远程控制组件，危害极大。

https://www.wordfence.com/blog/2025/07/attackers-actively-exploiting-critical-vulnerability-in-alone-theme/

---