每日安全简讯（20251208）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 APT组织MuddyWater使用新型后门进行攻击

安全研究人员发现，伊朗背景APT组织MuddyWater针对土耳其、以色列、阿塞拜疆政府及军工目标发动鱼叉邮件攻击，投放名为“UDPGangster”的UDP协议后门。附件文档伪装成北塞浦路斯外交部选举研讨会通知，启用宏后释放SystemProc.exe，驻留%AppData%并监听UDP 1269端口，可远程执行命令、窃密以及更新C2等。

https://cybersecuritynews.com/muddywater-hackers-using-udpgangster-backdoor/

---

2 攻击者通过USB在内网传播挖矿木马

安全研究人员发现，攻击者正利用U盘在韩国内网扩散“PrintMiner”挖矿木马。该行动通过伪装为快捷方式诱导点击，在系统目录释放恶意DLL文件并利用系统程序printui.exe加载，随后注册DcomLaunch服务实现持久化。该木马运行后会关闭睡眠模式，根据配置启动XMRig挖门罗币，但系统CPU占用上限超过50%时，监测Task Manager、Process Explorer等工具。

https://cybersecuritynews.com/threat-actors-deploying-coinminer-malware/

---

3 Android银行木马FVNCBot伪装波兰银行App

安全研究人员发现，全新Android银行木马FVNCBot伪造波兰银行安全应用进行传播。该木马11月25日首次出现，采用全新代码库，安装后滥用辅助功能服务记录按键、注入钓鱼页面，并启用屏幕流与HVNC实时操控，同步通过Firebase Cloud Messaging下发指令、借Fast Reverse Proxy维持WebSocket长连，实现近实时欺诈。目前仅针对波兰用户，已投递数百次。

https://cybersecuritynews.com/fvncbot-android-banking-attacking/

---

4 LockBit 5.0服务器裸奔

安全研究人员发现，LockBit 5.0新泄露站核心基础设施裸奔，访问页面直接弹出“LOCKBITS.5.0” DDoS防护横幅，确认其隶属该勒索组织运营。此次暴露其后台位置与SSL证书，为执法与ISP级封堵提供精准目标。

https://cybersecuritynews.com/lockbit-5-0-infrastructure-exposed/#google_vignette

---

5 全球GlobalProtect遭撞库

安全研究人员发现，一场撞库行动正集中轰炸暴露于公网的Palo Alto Networks GlobalProtect VPN门户。攻击者利用数十万条失陷凭证，在24小时内对北美、欧洲及亚太逾千家企业发起每秒超五千次登录尝试，意图突破远程办公入口并横向移动。受害日志显示，请求均携带伪造的PAN-OS 10.x User-Agent，并轮换AWS、OVH等云主机IP以绕过频率限制，若登录成功，立即创建本地账户并启用RDP隧道。

https://www.bleepingcomputer.com/news/security/new-wave-of-vpn-login-attempts-targets-palo-alto-globalprotect-portals/

---

6 间谍软件供应商Intellexa曾利用iOS 0day漏洞攻击埃及目标

安全研究人员发现间谍软件供应商Intellexa曾利用一个完整的iOS零日漏洞利用链攻击埃及目标。攻击者先借Safari WebKit内存破坏获取沙箱内代码执行，再提权至内核并植入“LandCrab”后门，实现GPS、通话及Signal/WhatsApp语音录音回传。研究人员确认该攻击链与2021年“ForcedEntry”相似，但换用了全新内核漏洞，且全程无交互、无弹窗。苹果已在 iOS 18.2修补，建议用户立即升级并开启锁定模式。

https://thecyberexpress.com/ios-zero-day-exploit-chain-egypt/

---