每日安全简讯(20260430)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 LofyGang团伙借Minecraft外挂传播窃密木马

巴西黑客团伙LofyGang在沉寂三年后再次活跃，针对Minecraft玩家发起新型窃取活动。该组织将名为LofyStealer的信息窃取木马伪装成Slinky游戏外挂，利用年轻玩家对游戏场景的信任心理诱导下载执行。当受害者启动伪造外挂时，JavaScript加载器会部署chromelevator.exe载荷，从Chrome、Edge、Firefox等多款浏览器中窃取Cookie、密码、Token、银行卡和IBAN信息，回传至C2服务器。该组织已从供应链攻击转向恶意软件即服务模式，提供免费和付费层级服务。

https://zenox.ai/en/lofystealer-malware-mirando-jogadores-de-minecraft/

---

2 VECT勒索软件因加密缺陷变数据擦除器

研究人员发现VECT 2.0勒索软件在处理加密随机数时存在严重逻辑缺陷，使其实际上成为数据擦除器而非传统勒索软件。该软件将大于128KB的文件分块加密，但所有块共用同一内存缓冲区输出nonce，导致仅最后25%文件可解密，前75%数据永久丢失。更危险的是丢失的nonce未传输给攻击者，即使受害者支付赎金，攻击者也无法提供解密工具。该缺陷存在于Windows、Linux和ESXi所有版本中，影响几乎所有企业环境中的关键文件。

https://research.checkpoint.com/2026/vect-ransomware-by-design-wiper-by-accident/

---

3 研究人员披露新型DHL钓鱼骗局

研究人员披露，一起冒充DHL的网络钓鱼活动采用了多达11个步骤的攻击链，目标是窃取用户密码等凭证信息。该骗局利用伪造的一次性密码（OTP）代码提升欺骗性，并借助EmailJS等服务收集受害者提交的数据。除账号凭证外，攻击者还会获取设备遥测信息，用于识别受害环境并优化后续攻击流程。此类攻击通过分阶段设计增强了隐蔽性和可信度，使受害者更容易在看似正常的交互中泄露敏感信息。研究人员提醒用户警惕以物流通知为名的邮件或页面，核实发件来源与链接真实性，避免随意输入登录信息和验证码。

https://www.forcepoint.com/blog/x-labs/fake-dhl-phishing-campaign-credential-theft

---

4 Linux曝高危权限提升漏洞Copy Fail

研究团队披露CVE-2026-31431漏洞（命名“复制失败”），该漏洞存在于Linux内核身份验证加密模板，属逻辑缺陷。非特权本地用户可通过732字节Python脚本，利用AF_ALG与splice()函数链式调用，在Ubuntu、Amazon Linux等主流发行版上获取root权限。漏洞隐蔽性极强，仅修改页面缓存未改动磁盘文件，且可跨容器影响，相关补丁已提交主线内核，建议用户及时更新内核或采取缓解措施。

https://xint.io/blog/copy-fail-linux-distributions

---

5 LiteLLM预认证SQL注入漏洞遭活跃利用

开源LLM网关LiteLLM存在关键预认证SQL注入漏洞CVE-2026-42208，攻击者通过向API路由发送特制Authorization请求头即可注入恶意SQL语句，窃取代理数据库中存储的API密钥、虚拟密钥、主密钥及各AI提供商凭证。安全人员监测显示该漏洞在公开披露后约36小时即遭到有针对性的活跃利用，攻击者两阶段攻击手法专业且目标明确。LiteLLM已在1.83.7版本中通过参数化查询修复此漏洞，建议所有暴露实例视为已遭入侵并立即轮换全部凭证。

https://www.bleepingcomputer.com/news/security/hackers-are-exploiting-a-critical-litellm-pre-auth-sqli-flaw/

---

6 微软确认Windows Shell漏洞遭积极利用

微软确认Windows Shell欺骗漏洞CVE-2026-32202已在野外被主动利用。该漏洞源于CVE-2026-21510补丁不完整，攻击者通过恶意LNK文件触发受害者机器自动解析UNC路径并发起SMB连接，在无需用户交互的情况下窃取Net-NTLMv2哈希，用于后续中继攻击。微软已于4月14日发布补丁，4月27日更新公告确认该漏洞已被利用。安全专家建议警惕来源不明的LNK文件，监控异常SMB出站连接。

https://thehackernews.com/2026/04/microsoft-confirms-active-exploitation.html

---