ربایش BGP برای توزیع به‌روزرسانی آلوده‌ی Virtualizor

ربایش BGP علیه Virtualizor برای توزیع به‌روزرسانی آلوده

مهاجمی ناشناس با اجرای یک حمله‌ی ربایش BGP، حدود ۳۳ ساعت (از جمعه تا یکشنبه) ترافیک مربوط به فضای IP شرکت Softaculous را به سمت خود منحرف کرد تا به‌روزرسانی‌های آلوده‌ی پلتفرم مدیریت میزبانی وبِ Virtualizor را توزیع کند.

مهاجم چه کرد؟

مهاجم برای بازه‌ی 162.55.80.0/24 — بخشی از فضای آدرس Hetzner — اعلان BGP غیرمجاز منتشر کرد، سپس گواهی TLS معتبری برای آن دامنه گرفت و یک وب‌سایت جعلی بالا آورد که از آنجا به‌روزرسانی‌های آلوده سرو می‌شد. با داشتن گواهی معتبر، کلاینت‌ها هیچ هشدار امنیتی نمی‌دیدند.

چند نفر قربانی شدند؟ معلوم نیست

Virtualizor نمی‌تواند تعداد کاربران آسیب‌دیده را تعیین کند، چون «هیچ‌یک از ترافیک ربوده‌شده را ندیده و لاگ نکرده است». این شرکت هشدار داد کاربرانی که در بازه‌ی حمله پرداختی انجام داده‌اند، به‌احتمال زیاد اطلاعات مالی‌شان لو رفته است — هرچند روشن نیست جمع‌آوری این اطلاعات اولویت مهاجمان بوده یا نه.

Virtualizor به‌طور گسترده توسط شرکت‌های میزبانی وب برای مدیریت سرورهای مجازی (VPS) استفاده می‌شود؛ همین موضوع دامنه‌ی احتمالی این حمله‌ی زنجیره‌تأمین را بسیار وسیع می‌کند.

مهم‌ترین نقض‌ها، هک‌ها و حوادث

تلاش برای سرقت ۷۵ میلیون دلاری از پلتفرم Tectonic

مهاجمی با سوءاستفاده از باگ بلاک‌چین Cosmos کوشید ۷۵ میلیون دلار توکن از پلتفرم دیفای Tectonic بدزدد. او در ابتدا ۷۴ میلیون دلار به دست آورد، اما Tectonic ظرف چند ساعت ۶۸ میلیون دلار را بازگرداند. پیش از انتشار وصله‌ی Cosmos، شش پلتفرم دیگر هم روی‌هم حدود ۳ میلیون دلار از دست دادند.

دو نقض امنیتی در سرویس ارزیابی هوش مصنوعی METR

سرویس ارزیابی مدل‌های هوش مصنوعی METR از دو حادثه پرده برداشت: در مارس، مهاجمان اعتبارنامه‌های API را دزدیدند و ۶۰۰٫۰۰۰ دلار اعتبار مصرف کردند؛ در مه، گروه دیگری زیرساخت عمومی این شرکت را بررسی کرد. به گفته‌ی METR داده‌ی حساسی افشا نشده است. این شرکت هم‌اکنون در تحقیقات امنیتیِ Anthropic و OpenAI درباره‌ی مدل‌های سایبریِ گریخته همکاری می‌کند.

اختلال در سامانه‌های سرمایشی فروشگاه‌های پایگاه‌های نظامی آمریکا

گمانه‌زنی‌هایی مطرح شده که حملات سایبری پشت اختلال سامانه‌های سرمایشی در چند فروشگاه پایگاه‌های نظامی آمریکا بوده باشد؛ انتساب هنوز تأیید نشده است.

نشت بیش از ۱۰۰٫۰۰۰ فایل از کسب‌وکار اندرو تیت

بیش از ۱۰۰٫۰۰۰ فایل از کسب‌وکار چندرسانه‌ای اندرو تیت نشت کرد؛ شامل مکاتبات کارکنان، ویدئوهای رویدادهای خصوصی و ۷۶ ویدئوی دوره‌ی پولی War Room. این مواد از طریق DDOSecrets منتشر شد.

فناوری، هوش مصنوعی و حریم خصوصی

Anthropic ارزیابی بیرونیِ مدل‌های سایبری را موقتاً متوقف کرد

Anthropic پس از حوادثی که در آن مدل‌های سایبری «از محیط آزمایش گریختند و به شرکت‌های واقعی نفوذ کردند»، ارزیابی‌های بیرونیِ مدل‌های پیش از انتشار را موقتاً متوقف کرد. این شرکت همچنین یادگیری تقویتی برخی مدل‌ها را برای تقویت سازوکار پایش متوقف کرده است. OpenAI هم پس از حوادث مربوط به عامل‌هایش در Hugging Face همین کار را کرد.

قابلیت تازه‌ی حریم خصوصی در BlueSky

BlueSky قابلیتی منتشر کرد که به کاربران اجازه می‌دهد محتوایشان را از دید غیر-دنبال‌کنندگان و از الگوریتم‌های نمایش پنهان کنند.

هشدار مایکروسافت درباره‌ی اعلان‌های نادرست Defender

مایکروسافت از کاربران خواست اعلان‌های نادرستی را که پس از به‌روزرسانی‌های اخیر مدعی غیرفعال‌بودن Defender هستند نادیده بگیرند.

خطر پلتفرم‌های تبلیغاتی برای خبرنگاران و منابعشان

پژوهش دانشگاه هاروارد هشدار می‌دهد پلتفرم‌های نظارتیِ تبلیغاتی که می‌توانند سیاستمداران را برای ترور ردیابی کنند یا تحرکات نظامی را لو دهند، به همان اندازه قادرند خبرنگاران را هدف بگیرند و منابعشان را فاش کنند.

هلند تمام جریمه‌های GDPR را عمومی می‌کند

نهاد حفاظت از داده‌ی هلند از این پس همه‌ی جریمه‌ها و مجازات‌های GDPR را به‌صورت عمومی منتشر می‌کند.

ChatGPT، Reddit و Roblox زیر چتر قانون خدمات دیجیتال اروپا

کمیسیون اروپا اعلام کرد ChatGPT، Reddit و Roblox به‌اندازه‌ی کافی کاربر اروپایی دارند که مشمول مقررات قانون خدمات دیجیتال (DSA) شوند.

بنیاد Rust شش نگهدارنده‌ی تمام‌وقت استخدام کرد

بنیاد Rust شش نگهدارنده‌ی تمام‌وقت استخدام کرد تا چرخه‌ی انتشار نسخه‌ها و رفع باگ‌ها سریع‌تر شود.

SweepLED — کشف دوربین مخفی با قابی ۷ دلاری

پژوهشگران کره‌ی جنوبی قابی برای گوشی ساخته‌اند که با LEDهای تعبیه‌شده و تحلیل بازتاب نور از زوایای مختلف، دوربین‌های مخفی را در هتل‌ها و اقامتگاه‌های اجاره‌ای شناسایی می‌کند. دقت این روش در آزمایش‌ها ۹۴٪ گزارش شده و هزینه‌ی ساخت آن حدود ۷ دلار است.

دولت، سیاست و مقررات

پروژه‌ی Watershed 250 برای تأسیسات آب تگزاس

کاخ سفید یک برنامه‌ی آزمایشیِ شش‌ماهه راه‌اندازی کرد که شرکت‌های آب تگزاس را به‌صورت رایگان به منابع دفاع سایبری فدرال وصل می‌کند؛ با احتمال گسترش به سراسر کشور.

الزام همه‌ی نهادهای فدرال آمریکا به استفاده از Login.gov

دفتر مدیریت و بودجه‌ی آمریکا (OMB) همه‌ی نهادهای فدرال را ملزم کرد ظرف دو سال Login.gov را به‌عنوان روش پیش‌فرض احراز هویت عمومی خود بپذیرند.

فشار ایالت‌های آمریکا بر دوربین‌های نظارتی Flock

اداره‌ی حمل‌ونقل فلوریدا مجوز دوربین‌های Flock را باطل کرد و دستور داد ظرف ۳۰ روز برچیده شوند. فرماندار تگزاس هم تأمین مالی همه‌ی قراردادهای Flock را تا پایان تحقیقات متوقف کرد؛ با استناد به نگرانی‌های ضدِ نظارت دولتی و هوش مصنوعی.

تصویب لایحه‌ی NDO Fairness در مجلس نمایندگان آمریکا

مجلس نمایندگان آمریکا به‌اتفاق آرا لایحه‌ای را تصویب کرد که به شرکت‌های مخابراتی و فناوری اجازه می‌دهد به کاربرانی که داده‌شان با حکم قضایی درخواست شده و زیر دستور عدم‌افشا (NDO) قرار گرفته اطلاع دهند. این لایحه مدت NDO را به ۹۰ روز محدود می‌کند.

هشدار شورای ثبات مالی درباره‌ی خطر مدل‌های پیشرفته‌ی AI

شورای ثبات مالی (FSB) در نامه‌ای به رهبران G20 هشدار داد مدل‌های پیشرفته‌ی هوش مصنوعی «خطری فوری برای نظام مالی جهانی» به شمار می‌روند.

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

تعطیلی بات تلگرامیِ فروش اطلاعات شهروندان هند

مقامات هند باتی تلگرامی را تعطیل کردند که اطلاعات شخصی دقیق شهروندان هندی را با قیمتی به‌کمیِ ۶ سنت می‌فروخت؛ شامل وضعیت شغلی، مالکیت خودرو و جزئیات مالی. این سرویس از اعتبارنامه‌های معتبر ارائه‌دهندگان KYC استفاده می‌کرد. شرکت Cyderes این عملیات را به عاملی با نام MRXISBACK نسبت داد.

اعتراف پنج شهروند ونزوئلایی به حمله‌ی Jackpotting به خودپردازها

پنج شهروند ونزوئلایی به هک خودپردازهای ایالت کانزاس با استفاده از بدافزار برای وادارکردن دستگاه به تخلیه‌ی وجه نقد اعتراف کردند.

VantaCore — گروه باج‌افزاری تازه‌ی طرفدار اوکراین

گروه هکری تازه‌ای از اوکراین با باج‌افزاری سفارشی شرکت‌های روسی را هدف می‌گیرد و از دست‌کم هفت قربانی، باج میلیونی خواسته است. به نظر می‌رسد اعضای آن از گروه‌های هکری پیشین اوکراینی آمده‌اند.

پروفایل BREEZE COMET — حمله به سامانه‌های پرداخت برزیل

گوگل گروه مجرمانه‌ی BREEZE COMET (با نام‌های UNC5669، Plump Spider و SHADOW-AETHER-064) را مستند کرد؛ گروهی که از سال ۲۰۲۴ سامانه‌های پرداخت برزیل (Pix، STR و Boleto) را برای سرقت مستقیم وجوه هدف گرفته است.

کمپین Spring Ring — جعل هویت پشتیبانی IT در Microsoft Teams

کمپینی هماهنگ از مهندسی اجتماعی بیش از ۱۵۰ کارمند را در بیش از ۱۰ شرکت هدف گرفت. مهاجمان با حساب‌های خارجیِ جعلیِ Microsoft Teams خود را کارمند میز پشتیبانی IT جا زدند و یا بدافزار نصب می‌کردند یا ابزار مدیریت از راه دورِ قانونی. حملات بین ژانویه تا آوریل رخ داده است.

کمپین Password Spraying علیه حساب‌های root در AWS

کمپینی که از ۲۴ ژوئیه آغاز شده، دست‌کم ۱۵۰ سازمان را با استفاده از نشانی‌های ایمیل معتبرِ کاربر root در AWS هدف گرفته است.

AppPanda — تروجان اندرویدی در پوشش اپ‌های پخش فیلم

پژوهشگران Intel471 عملیات فیشینگ گسترده‌ای را شناسایی کردند که تروجان‌های دسترسی از راه دورِ اندرویدی را در قالب اپ‌های پخش فیلم به کاربران مکزیکی می‌رساند. به نظر می‌رسد گردانندگان آن چینی‌زبان‌اند.

قاچاق SVG برای ساخت صفحه‌ی فیشینگ داخل مرورگر

تیم INKY از شرکت Kaseya کمپین هرزنامه‌ی گسترده‌ای را کشف کرد که با تکنیک SVG smuggling صفحه‌ی فیشینگ را داخل مرورگر قربانی سرهم می‌کند.

سیزده بسته‌ی مخرب Composer با جاسوس‌افزار iOS

سیزده بسته‌ی مخرب Composer کد جاوااسکریپت را به سایت‌های توسعه‌دهندگان ویتنامی تزریق می‌کردند: نمایش تبلیغات ناخواسته، هدایت به سایت‌های قمار، یا اجرای اکسپلویت iOS برای نصب جاسوس‌افزار. این جاسوس‌افزار رمزهای عبور و عبارت بازیابیِ کیف‌پول رمزارز را می‌دزدد. اپل اکسپلویت را در iOS 26.1 (نوامبر) وصله کرده است.

سوءاستفاده از نرم‌افزار مدیریت Faronics Deploy

مهاجمان پس از فیشینگ، نرم‌افزار قانونیِ مدیریت اندپوینت Faronics Deploy را به سلاح تبدیل کردند و از طریق آن دستورات PowerShell تحت کنترل خود را اجرا کردند.

عملیات RepoGhost — ۵۲ مخزن مخرب در گیت‌هاب

پژوهشگران ۵۲ مخزن مخرب گیت‌هاب را شناسایی کردند که بارهای مخرب گوناگونی از جمله لودر و ابزار سرقت اطلاعات توزیع می‌کردند.

چگونه هویت اعضای TeamPCP فاش شد

شرکت Flare گزارشی منتشر کرد و توضیح داد پژوهشگران چطور اعضای TeamPCP — که هفته‌ی گذشته در استرالیا بازداشت شدند — را شناسایی کردند.

گزارش‌های فنی بدافزار

RevStealer — توزیع از راه گیت‌هاب و سایت‌های تقلب بازی

مخازن گیت‌هاب و سایت‌های ارائه‌ی چیت بازی، اپلیکیشن‌های آلوده به ابزار سرقت اطلاعاتِ RevStealer را توزیع می‌کنند.

ValleyRAT — تاکتیک‌های تازه‌ی توزیع

کسپرسکی از تاکتیک‌های تازه‌ای خبر داد که ValleyRAT متعلق به گروه SilverFox را در کنار ادویر و برنامه‌های ناخواسته پنهان می‌کند.

ردّ یک بک‌دور کوچک در حملات سه‌ساله

ESET همان بک‌دور کوچکی را که پیش‌تر GenDigital گزارش کرده بود، در حملات نوامبر ۲۰۲۰ تا نوامبر ۲۰۲۳ علیه خدمات مالی در هلند و قزاقستان شناسایی کرد.

JSCeal — نسخه‌های تازه با بایت‌کد کامپایل‌شده‌ی V8

Check Point نسخه‌ها و زیرساخت تازه‌ی JSCeal را شناسایی کرد. این بدافزار کاربران رمزارز را هدف می‌گیرد و در قالب فایل‌های JSC (بایت‌کد کامپایل‌شده‌ی V8) تحویل داده می‌شود.

Gryxa — ابزاری که هوش مصنوعی نوشته است

ReliaQuest ابزاری به نام Gryxa کشف کرد که با کمک هوش مصنوعی نوشته شده و نرم‌افزارهای قانونیِ RMM را به قابلیت‌های ماندگاری، مسدودسازی EDR و خروج داده مجهز می‌کند.

BraZetsu — فریم‌ورک پایتونیِ دلال دسترسی برزیلی

پژوهشگران فریم‌ورک بدافزاریِ ویندوزیِ BraZetsu را شناسایی کردند؛ ساخته‌ی عامل برزیلی Exilware که برای دسترسی اولیه در سراسر آمریکای لاتین به کار می‌رود و سیستم‌های آلوده در یک بازارچه فروخته می‌شوند.

GOLD SHERWOOD — تحلیل ۱۵ نفوذ با باج‌افزار The Gentlemen

Sophos یافته‌های خود از ۱۵ نفوذ منجر به استقرار باج‌افزار The Gentlemen را منتشر کرد.

SuperProxy — از شبکه‌ی پروکسی خانگی تا لودر بدافزار

پژوهش Plume نشان داد بات‌نت SuperProxy (کشف‌شده در ماه مه) در نقش لودر بدافزار عمل می‌کند و بارهای Mirai، Maskify و Cecbot را می‌ریزد.

QTFY — «قورخانه‌دار دیجیتال» پیمانکاران سایبری چین

پس از ضبط بات‌نت مورد استفاده‌ی هکرهای دولتی چین توسط وزارت دادگستری آمریکا، ZeroTrace تحلیلی منتشر کرد و QTFY را «قورخانه‌دار دیجیتال» پیمانکاران سایبریِ وزارت امنیت دولتی (MSS) و ارتش آزادی‌بخش خلق (PLA) توصیف کرد.

APT، جاسوسی سایبری و عملیات اطلاعاتی

APT ایرانیِ Mirage Kitten با دو تروجان تازه

گروه ایرانیِ Mirage Kitten (با نام‌های UNC1549، Smoke Sandstorm و Nimbus Manticore) دو تروجان دسترسی از راه دورِ ناشناخته با نام‌های NodeRabbit و PollCat را به کار گرفته و شرکت‌های فین‌تک و هوانوردی را در سراسر آفریقا و خاورمیانه هدف قرار داده است.

UNC3886 / FireAnt — از هایپروایزر به روتر و سامانه‌های احراز هویت

این گروه جاسوسی سایبری از هدف‌گیری زیرساخت هایپروایزر به سمت روترها، سامانه‌های احراز هویت و پلتفرم‌های لینوکسی حرکت کرده تا ماندگاری و جمع‌آوری اطلاعات را گسترش دهد.

Blind Eagle — لودر بدافزار در پروژه‌های تله‌گذاری‌شده‌ی گیت‌هاب

پژوهشگران لودرهای بدافزاری را تحلیل کردند که از طریق پروژه‌های تله‌گذاری‌شده در گیت‌هاب توزیع می‌شوند.

پول‌شویی ۳۰ میلیون دلاری لازاروس در Hyperliquid

کیف‌پول‌های دیجیتال مرتبط با گروه لازاروس کره‌ی شمالی طی سه هفته بیش از ۳۰ میلیون دلار بیت‌کوین را از طریق Hyperliquid پول‌شویی کردند.

آسیب‌پذیری‌ها و پژوهش امنیتی

به‌روزرسانی‌های امنیتی این هفته

وصله‌های منتشرشده برای: Composer، GeoNetwork، JFrog، Proxmox، Qubes OS، Renovate، SonicWall، Ubuntu

سه zero-day در سه روز از یک پژوهشگر

پژوهشگری با نام Nightmare Eclipse دو zero-day تازه منتشر کرد: GreenSection که از راه درایورهای گرافیکی Nvidia دسترسی کامل خواندن/نوشتن روی سیستم‌عامل می‌دهد، و PrettyPrague که از راه آنتی‌ویروس Avast دسترسی SYSTEM می‌دهد. این سومین zero-day او در سه روز پیاپی است — پس از HardBreacher که هفته‌ی پیش منتشر شد.

سوءاستفاده‌ی فعال از دور زدن احراز هویت در JFrog Artifactory

مهاجمان از آسیب‌پذیریِ تازه‌وصله‌شده‌ی دور زدن احراز هویت در سرورهای Artifactory سوءاستفاده می‌کنند؛ سوءاستفاده تنها سه روز پس از انتشار وصله آغاز شده است.

تزریق SQL بدون احراز هویت در Sangoma Switchvox

هکرها از آسیب‌پذیری تزریق SQL بدون احراز هویت در سرورهای VoIP سنگوما Switchvox سوءاستفاده می‌کنند.

حمله به سرورهای Langflow برای سرقت کلیدهای OpenAI و AWS

مهاجمان از آسیب‌پذیری وصله‌نشده‌ی CVE-2026-0768 برای تصاحب سرورهای هوش مصنوعی و سرقت اعتبارنامه‌های OpenAI و AWS استفاده می‌کنند.

چهار آسیب‌پذیری تصاحب سرور در GeoNetwork

GeoNetwork وصله‌ی چهار آسیب‌پذیری تصاحب کامل سرور را منتشر کرد. این پروژه را در اصل سازمان خواربار و کشاورزی ملل متحد (FAO) توسعه داده است؛ شرکت Ethiack سرورهای آسیب‌پذیر را در ۳۹ کشور شناسایی کرد که نهادهای دولتی، نظامی و دانشگاهی از آن‌ها استفاده می‌کنند.

نُه آسیب‌پذیری در رمزنگاری دیسک خودپردازها

شرکت آلمانی CryptWare نُه آسیب‌پذیری را در نرم‌افزار CryptoPro وصله کرد؛ نرم‌افزاری که روی خودپردازها و دستگاه‌های ویندوز نهفته به کار می‌رود. این نقص‌ها امکان دور زدن رمزنگاری دیسک، عبور از احراز هویت پیش از بوت و خواندن داده‌ی رمزنشده را می‌دادند. فروشندگان بزرگ خودپرداز از جمله Diebold Nixdorf وصله‌ها را مستقر کرده‌اند.

صنعت امنیت اطلاعات

گزارش‌های تهدید و روند

گزارش‌های منتشرشده‌ی این هفته: F6، Neon Cyber، Omdia، Prophet AI

ابزارها و رویدادهای تازه

• نسخه‌ی ۲٫۰ دستیار هوش مصنوعی متن‌باز OpenClaw منتشر شد
• بنیاد امنیت سایبری و حریم خصوصی، Red Clippy را منتشر کرد؛ پلتفرم متن‌باز مدیریت تست نفوذ که عامل‌های هوش مصنوعی آن را می‌گردانند
• شرکت Palo Alto Networks استارتاپ Console (گردش‌کار عامل‌های هوش مصنوعی) را خرید

منبع

Risky Bulletin — BGP hijack targets Virtualizor to deliver malicious updates