德克萨斯州糖城遭网络攻击致服务中断
发布时间 2025-10-131. 德克萨斯州糖城遭网络攻击致服务中断
10月11日，德克萨斯州糖城官员通报称，该市遭遇网络攻击导致多项在线服务中断，包括311联络中心、公用事业计费、许可检查安排及许可证付款等功能受阻。尽管关键基础设施如警察、消防和医疗服务仍通过911保持运作，但账单支付等部分在线服务已受影响。市府已启动应急机制，为非紧急情况提供备用联系方式，并联合州、联邦执法部门展开调查，重点排查内部网络基础设施受损情况。糖城事件再次暴露地方政府在网络安全防护中的脆弱性。尽管市府强调“关键系统未受影响”，但服务中断已对居民日常事务处理造成实质性阻碍。此次事件并非孤例。据统计，2025年以来，德克萨斯州多地频发网络安全事件：三周前，尤瓦尔迪市公立学区因勒索软件攻击被迫停课一周，“麒麟”团伙已宣称对此负责；马塔哥达县、米申、拉伯克及阿比林等城市亦报告类似事件。今年6月，州交通部账户遭黑客入侵，近30万份包含姓名、地址、驾照号码、车牌及保险信息的交通事故报告被非法下载，引发公众对个人信息安全的担忧。
https://therecord.media/houston-suburb-cyberattack-services
2. 黑客利用Gladinet文件共享软件的零日漏洞
10月10日，近日，Gladinet公司的CentreStack和Triofox文件共享及远程访问解决方案被曝存在严重零日漏洞CVE-2025-11371，该漏洞为本地文件包含（LFI）漏洞，允许未经身份验证的攻击者访问系统文件。目前至少有三家企业因此遭受攻击，且所有版本产品均受影响，包括最新版本16.7.10368.56560。漏洞利用链显示，攻击者首先通过LFI读取Web.config文件提取机器密钥，随后结合此前已知的反序列化漏洞CVE-2025-30406（源于硬编码机器密钥），最终通过ViewState实现远程代码执行（RCE）。Huntress研究人员于9月27日首次发现该漏洞，并确认威胁行为者已成功利用此漏洞获取机器密钥并执行恶意代码。Gladinet公司已确认漏洞存在，并表示正在通知客户采取临时缓解措施，直至补丁发布。CentreStack产品声称已被49个国家的数千家企业使用，而此次事件再次暴露了企业级存储解决方案的安全风险。
https://www.bleepingcomputer.com/news/security/hackers-exploiting-zero-day-in-gladinet-file-sharing-software/
3. Service Finder主题高危漏洞遭大规模利用
10月10日，Service Finder WordPress主题及其捆绑的Bookings插件存在严重安全漏洞CVE-2025-5947，该漏洞被评分为9.8分，属于高危身份认证绕过漏洞。攻击者可无需密码直接通过伪造Cookie冒充管理员登录，进而完全控制网站，注入恶意代码、劫持流量或部署恶意软件。漏洞源于插件对账户切换功能的错误处理，未验证Cookie数据的真实性，导致任意用户（包括无账户者）可冒充管理员身份。该漏洞影响所有6.0及以下版本，主题维护方于2025年7月17日发布6.1版本修复补丁，但攻击者自8月1日起已发起超13,800次利用尝试。目前，超6000名购买该主题的客户中仍有大量网站未更新，面临持续风险。安全公司Wordfence通过漏洞赏金计划协助披露了该漏洞，其防火墙可拦截部分攻击（识别恶意Cookie数据），但官方强调更新至6.1或更高版本才是根本防御措施。
https://hackread.com/auth-bypass-service-finder-wordpress-plugin-exploit/
4. Stealit恶意软件借Node.js SEA功能隐蔽传播
10月10日，Fortinet FortiGuard实验室近日警告，一种名为Stealit的危险数据窃取恶意软件正通过MaaS（恶意软件即服务）模式活跃传播。该恶意软件针对Windows用户，采用中等严重程度攻击，通过Node.js的"单可执行应用程序（SEA）"功能将所有恶意文件打包成单一程序，无需预装Node.js即可运行，显著提升隐蔽性。其代码经过重度混淆并嵌入反分析检查，可自动规避调试器、虚拟环境等安全检测。Stealit的核心功能包括远程文件提取、勒索软件部署、实时屏幕监控、网络摄像头控制及系统管理，并可推送虚假警报信息。攻击者将其包装为"专业数据提取解决方案"，通过订阅计划售卖，Windows版定价约500美元，Android版高达2000美元。为逃避追踪，其C2服务器已从stealituptaded.lol迁移至iloveanimals.shop。传播策略方面，恶意软件伪装成热门游戏和VPN安装程序，通过Mediafire、Discord等平台分发。游戏玩家因频繁安装第三方软件成为主要目标群体。
https://hackread.com/stealit-malware-node-js-fake-game-vpn-installers/
5. 纽约州警民联合打击“通胀退税”钓鱼诈骗
10月12日，近期，纽约州发生一起以“通货膨胀退款”为幌子的短信网络钓鱼诈骗，目标直指纽约居民。诈骗分子冒充纽约税务和财政部，通过短信、邮件及直邮方式，谎称提供“通胀退款”并诱导受害者点击链接输入个人信息。该诈骗利用了纽约州真实存在的通胀退税政策，符合条件的纳税人无需申请即可自动收到退税支票，政策涵盖已提交纳税申报、达到收入门槛且未被申报为受抚养人的居民。诈骗短信声称“退款请求已处理并批准”，要求收件人在2025年9月29日前提交付款信息，否则将永久丧失退款资格，并援引《纽约修订法规》第5747.11条施压。点击链接后，受害者会被引导至伪造的官方页面，被要求输入姓名、地址、电话、社会安全号码等敏感信息，这些信息可被用于身份盗窃和金融诈骗。纽约州政府迅速采取行动。9月28日，州长凯西·霍楚尔办公室发布警告，强调“除资格要求外，纽约人无需做任何事即可获得退税支票”，并明确“税务部门不会通过电话、短信或邮件索要个人信息”。纽约税务和财政部同步提醒，机构绝不会通过电子通讯联系纳税人处理退税事宜。
https://www.bleepingcomputer.com/news/security/fake-inflation-refund-texts-target-new-yorkers-in-new-scam/
6. 西班牙捣毁跨国网络犯罪平台GXC Team
10月11日，西班牙国民警卫队近期成功摧毁名为“GXC Team”的跨国网络犯罪组织，逮捕其25岁巴西籍头目“GoogleXcoder”及多名同伙。该组织运营“犯罪即服务”（CaaS）平台，通过Telegram和俄语黑客论坛向全球客户提供定制化网络攻击工具，包括人工智能钓鱼工具包、Android恶意软件及语音诈骗工具，形成专业级高收益犯罪生态。据调查，GXC Team主要针对西班牙、斯洛伐克、英国、美国和巴西的银行、运输及电子商务实体实施攻击。其钓鱼工具包精准复制数十家国际机构网站，支撑至少250个钓鱼网站运行；开发的9种Android恶意软件可拦截短信和一次性密码（OTP），用于劫持账户及验证欺诈交易。该组织还提供技术支持和活动定制服务，形成完整犯罪产业链。5月20日，西班牙警方在坎塔布里亚、巴塞罗那等多地展开协调突击搜查，查获包含钓鱼工具包源代码、客户通信记录及财务数据的电子设备，追回被盗加密货币，并关闭名为“从祖母那里偷走一切”的诈骗推广Telegram频道。此次行动基于对“GoogleXcoder”设备及加密货币交易的持续一年多的取证分析，成功重建犯罪网络并锁定6名关联人员。
https://www.bleepingcomputer.com/news/security/spain-dismantles-gxc-team-cybercrime-syndicate-arrests-leader/
京公网安备11010802024551号