每日安全简讯(20260406)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 安全厂商披露针对韩国企业的网络间谍活动

研究人员发现针对韩国企业的高危间谍活动，朝鲜黑客使用LNK文件、隐藏PowerShell脚本和合法GitHub仓库规避检测并从Windows用户窃取敏感系统数据。攻击可追溯至2024年，研究人员发现黑客最近更新了方法使其更加隐蔽，主要目标是Microsoft Windows用户，对企业环境构成风险。攻击者使用标准的双重用途工具如PowerShell和Git，利用合法的GitHub仓库托管恶意载荷，大大降低了被检测的风险。

https://hackread.com/north-korean-hackers-github-spy-south-korean-firms/

---

2 研究人员发现设备代码钓鱼攻击激增37倍

滥用OAuth 2.0设备授权流程的设备代码钓鱼攻击今年激增超过37倍。攻击者向服务提供商发送设备授权请求获取代码，以各种借口发送给受害者，诱导其在合法登录页面输入代码，从而授权攻击者设备通过有效的访问和刷新令牌访问账户。该流程原本用于简化没有便捷输入选项的设备连接，如IoT设备、打印机、流媒体设备和智能电视。研究人员观察到此类攻击被网络犯罪分子广泛采用，EvilTokens钓鱼即服务平台成为最突出的攻击工具包。

https://pushsecurity.com/blog/device-code-phishing/

---

3 研究人员曝光伪造门罗币安装程序挖矿行动

研究人员近日披露代号为REF1695的长期活跃攻击活动。该活动自2023年底起通过伪造门罗币安装程序部署远程访问木马（RAT）、加密货币挖矿程序及定制XMRig加载器，并采用CPA欺诈手段将感染流量变现。攻击者采用Themida/WinLicense与.NET Reactor组合打包技术保护恶意载荷，利用ISO文件作为初始入侵媒介，通过社会工程诱导用户绕过Microsoft Defender SmartScreen防护。最新发现的"CNB Bot"植入程序具备RSA-2048签名任务验证机制，支持远程载荷执行、自我更新及痕迹清理功能。

https://www.elastic.co/security-labs/fake-installers-to-monero

---

4 虚假ChatGPT广告拦截扩展监视用户

研究人员发现名为ChatGPT Ad Blocker的恶意Chrome扩展在官方Chrome Web Store上可供下载。当用户打开ChatGPT时，扩展执行DOM克隆过程，创建页面所有内容的副本，然后过滤掉图像和样式以专注于文本用户的私人提示和AI的回答。扩展标记任何超过150个字符的文本并将整个对话发送到Discord私有频道。虽然用户以为只是在阻止广告显示，扩展实际上一直在监视他们与ChatGPT AI聊天机器人的对话。该扩展已于2026年2月10日从商店下架，但已安装的用户可能仍受影响。

https://hackread.com/fake-chatgpt-ad-blocker-chrome-extension-spy-users/

---

5 AI公司Mercor确认泄露4TB数据

AI公司Mercor确认遭受与开源工具LiteLLM供应链攻击相关的安全事件。攻击者发布了两个恶意版本的LiteLLM PyPI包（版本1.82.7和1.82.8），虽然被感染包仅存在约40分钟，但影响窗口巨大。TeamPCP和Lapsus组织声称窃取了4TB敏感数据和内部系统访问权限。Mercor确认事件正在处理中，该攻击是影响全球数千家组织的大规模供应链攻击的一部分。

https://hackread.com/ai-firm-mercor-breach-hackers-4tb-data/

---

6 史赛克遭伊朗黑客数据擦除攻击后全面恢复运营

医疗技术巨头史赛克遭伊朗关联黑客组织"Handala"攻击，近8万台设备数据被清除，系统瘫痪三周。攻击者通过攻破Windows域管理员账户实施入侵，声称窃取50TB数据。CISA与微软随后发布安全加固指南，FBI查封了该组织两个网站。经调查，攻击者利用恶意文件隐藏活动痕迹。4月初，史赛克宣布全球制造网络全面恢复，生产正稳步回升，产品供应正常。目前公司正联合安全机构持续调查，强化医疗生态系统防护。

https://www.bleepingcomputer.com/news/security/medtech-giant-stryker-fully-operational-after-data-wiping-attack/

---