TeamPCP针对伊朗系统安排擦除恶意软件

宣布时间 2026-03-25

1. TeamPCP针对伊朗系统安排擦除恶意软件


3月23日，，，，，应用清静公司Aikido克日发明TeamPCP黑客组织针对Kubernetes集群发动攻击，，，，，使用恶意剧本在检测到伊朗设置系统时擦除所有机械 。。。恶意软件设计用于摧毁匹配伊朗时区和语言情形的任何机械，，，，，无论是否保存Kubernetes 。。。若是两个条件都知足，，，，，剧本会在kube-system中安排名为Host-provisioner-iran的DaemonSet，，，，，使用特权容器并将主机根文件系统挂载到/mnt/host 。。。每个pod运行名为kamikaze的Alpine容器，，，，，删除主机文件系统上的所有顶级目录，，，，，然后强制主机重启 。。。若是保存Kubernetes但系统被识别为非伊朗系统，，，，，恶意软件会安排名为host-provisioner-std的DaemonSet，，，，，使用特权容器挂载主机文件系统 。。。每个pod将Python后门写入主机文件系统并装置为systemd效劳以在每个节点上长期化 。。。在没有Kubernetes的伊朗系统上，，，，，恶意软件删除机械上的所有文件，，，，，包括系统数据 。。。


https://www.bleepingcomputer.com/news/security/teampcp-deploys-iran-targeted-wiper-in-kubernetes-attacks/


2. Tycoon2FA 垂纶平台被捣毁后迅速恢复运营


3月23日，，，，，欧洲刑警组织和相助同伴于3月4日捣毁的Tycoon2FA垂纶即效劳（PhaaS）平台已恢复至此前视察到的活动水平 。。。微软向导了此次手艺捣毁行动，，，，，缴获了330个属于Tycoon2FA主干基础设施的域名，，，，，包括用于攻击的控制面板和垂纶页面 。。。欧洲刑警组织和相助同伴于3月4日捣毁的Tycoon2FA垂纶即效劳（PhaaS）平台已恢复至此前视察到的活动水平 。。。微软向导了此次手艺捣毁行动，，，，，缴获了330个属于Tycoon2FA主干基础设施的域名，，，，，包括用于攻击的控制面板和垂纶页面 。。。Tycoon2FA由Sekoia约两年前首次纪录，，，，，作为专门针对Microsoft365和Gmail账户的PhaaS平台上线，，，，，具有中心人攻击机制，，，，，可绕过双因素身份验证（2FA）�；；；� 。。。一个月后，，，，，Trustwave报告Tycoon2FA运营者起劲刷新平台，，，，，添加新的高级功效，，，，，吸引更多网络罪犯购置会见权限 。。。Tycoon2FA是垂纶领域的主要加入者，，，，，微软报告其每月天生3000万封垂纶邮件，，，，，占该科技公司阻挡的所有邮件的62% 。。。


https://www.bleepingcomputer.com/news/security/tycoon2fa-phishing-platform-returns-after-recent-police-disruption/


3. 马自达遭网络攻击692条员工和相助同伴数据泄露


3月23日，，，，，日本汽车制造商马自达公司克日宣布，，，，，在去年12月发明的一起清静事务中，，，，，其员工和营业相助同伴的信息被袒露 。。。马自达是日本最大的汽车制造商之一，，，，，年产量120万辆汽车，，，，，收入近240亿美元 。。。公司体现攻击者使用了与泰国采购零件客栈治理系统相关的误差 。。。该系统不包括任何客户数据 。。。泄露仅限于692条纪录 。。。马自达在通告中体现："马自达公司已识别到与泰国采购零件客栈运营相关的治理系统保存未经授权外部会见的痕迹 。。。发明后，，，，，公司连忙向小我私家信息�；；；の被幔ㄈ毡灸诟蟾獠炕梗┍ǜ妫�，并与外部专业组织相助实验适当清静步伐并举行视察 。。。"视察显示，，，，，可能袒露的信息包括用户ID、全名、电子邮件地点、公司名称和营业相助同伴ID 。。。只管马自达体现未检测到该信息的滥用，，，，，但公司建议受影响小我私家坚持小心，，，，，由于针对他们的垂纶攻击和诈骗危害显著 。。。除通知政府外，，，，，马自达还对其IT系统实验了特殊清静步伐，，，，，包括镌汰互联网袒露、应用清静补丁、增添对可疑活动的监控以及引入更严酷的会见战略 。。。阻止现在，，，，，尚无勒索软件组织果真声称对此次攻击认真 。。。


https://www.bleepingcomputer.com/news/security/mazda-discloses-security-breach-exposing-employee-and-partner-data/


4. 朝鲜Team 8使用VSCode撒播StoatWaffle恶意软件


3月24日，，，，，NTT Security克日发明，，，，，与朝鲜相关的威胁行为者Team 8在"Contagious Interview"活动中通过恶意Microsoft Visual Studio Code项目撒播StoatWaffle恶意软件 。。。在此活动中，，，，，Team 8主要使用OtterCookie 。。。从2025年12月左右最先，，，，，Team 8最先使用新恶意软件，，，，，我们将其命名为StoatWaffle 。。。Team 8使用与区块链相关的项目作为诱饵 。。。该恶意客栈包括.vscode目录，，，，，其中包括tasks.json文件 。。。若是用户使用VSCode翻开并信任此恶意客栈，，，，，它会读取此tasks.json文件 。。。"该使命从Vercel下载有用载荷并通过cmd.exe运行，，，，，从简朴下载器最先 。。。然后装置Node.js并获取特殊文件，，，，，实现跨操作系统的进一步恶意软件执行 。。。StoatWaffle恶意软件使用多阶段熏染链 。。。从Node.js加载器最先，，，，，重复毗连下令控制（C2）效劳器并执行吸收到的任何代码 。。。然后安排第二个下载器，，，，，继续此通讯并快速转达特殊恶意软件�？？？？？� 。。。


https://securityaffairs.com/189880/security/north-korea-linked-threat-actors-abuse-vs-code-auto-run-to-spread-stoatwaffle-malware.html


5. QualDerm Partners数据泄露影响310万患者信息


3月24日，，，，，医疗保健治理效劳提供商QualDerm Partners克日通知凌驾310万人，，，，，其小我私家、医疗和康健包管信息在2025年12月的数据泄露中被窃取 。。。该公司体现，，，，，事务于12月24日发明，，，，，涉及攻击者未经授权会见其网络两天 。。。在此时代，，，，，攻击者从被攻陷的"有限数目系统"中外泄了某些信息 。。。被盗信息包括姓名、地点、出生日期、电子邮件地点、病历号、医生姓名、治疗和诊断信息、康健包管信息、殒命日期，，，，，以及在某些情形下的政府签发身份证件信息 。。。QualDerm体现对数据泄露的视察仍在继续，，，，，已决议通知迄今已识别的祸者 。。。作为对攻击的响应，，，，，公司连忙激活响应妄想，，，，，接纳步伐控制未经授权的活动，，，，，评估系统清静性，，，，，并通知执法部分和羁系机构 。。。QualDerm向美国卫生与公众效劳部报告，，，，，3,117,874人受攻击影响 。。。该事务于上月报告，，，，，但本周才被添加到HHS的泄露门户 。。。公司正向受影响小我私家提供12个月的免费身份偷窃和信用监控效劳 。。。


https://www.securityweek.com/3-1-million-impacted-by-qualderm-data-breach/


6. Infinite Campus遭ShinyHunters攻击威胁泄露数据


3月24日，，，，，普遍使用的K-12学生信息系统Infinite Campus克日忠言客户，，，，，在威胁行为者勒索妄想后爆发数据泄露 。。。在发送给客户的通知中，，，，，Infinite Campus体现黑客会见了员工的Salesforce账户，，，，，袒露了大部分可果真获取的信息 。。。该公司未宣布官方声明，，，，，但客户在种种果真平台报告了事务 。。。通知宣布前不久，，，，，数据勒索组织ShinyHunters声称发动了攻击，，，，，并在其暗网网站宣布"最后忠言"，，，，，威胁泄露据称从Infinite Campus窃取的所有数据 。。。黑客给予公司阻止3月25日的时间联系并协商赎金以避免数据泄露，，，，，但Infinite Campus体现不会与攻击者接触 。。。Infinite Campus体现，，，，，凭证视察，，，，，客户数据库未被会见 。。。袒露数据包括学校员工的姓名和联系详情，，，，，以及通�？？？？？晒婊袢〉男畔� 。。。作为响应，，，，，公司已对无IP地点限制的用户禁用某些面向客户的效劳，，，，，以最大限度降低敏感数据潜在袒露危害 。。。同时正在扫描所有可能受损的Salesforce数据，，，，，并联系可能受影响的学区提供指导 。。。


https://www.bleepingcomputer.com/news/security/infinite-campus-warns-of-breach-after-shinyhunters-claims-data-theft/