← 返回安全博客

医院勒索软件致36家诊所关闭 + 可蠕虫传播的XMRig通过气隙传播

密西西比医院系统在勒索软件攻击后关闭全部36家诊所。可蠕虫传播的XMRig加密挖矿程序通过USB传播至气隙系统。PayPal数据泄露暴露社会安全号长达6个月。数百台FortiGate防火墙被AI辅助攻击。恶意npm供应链蠕虫针对AI编程助手。

---

严重警报:勒索软件致整个医院系统瘫痪

这是今年最具影响力的医疗保健勒索软件事件之一。此次攻击表明,勒索软件运营者仍在毫不犹豫地针对关键医疗保健基础设施。

医疗保健组织应确保:

• 离线备份系统已经过测试并准备就绪
• 网络分段隔离临床系统
• 事件响应计划包含患者转移程序
• EDR覆盖范围扩展至所有医疗设备终端

---

可蠕虫传播的XMRig活动突破气隙隔离

关键技术细节:

• 通过盗版软件捆绑包作为社会工程诱饵进行传播
• 使用自带易受攻击驱动程序(BYOVD)获取内核级访问权限
• 部署基于时间的逻辑炸弹以逃避沙箱分析
• 多阶段感染最大化挖矿哈希率,通常导致受害者系统不稳定
• 通过USB进行蠕虫式传播,能够穿越气隙隔离

拥有气隙隔离网络的组织应执行严格的可移动介质策略,并监控异常的CPU消耗模式。

---

数百台FortiGate防火墙遭AI辅助攻击

攻击向量	缓解措施
暴露的管理界面	限制为仅内部/VPN访问
默认/弱凭证	强制实施MFA + 强密码策略
AI自动化侦察	限速并监控认证尝试

这是继上周报道的一名俄语黑客入侵600多台FortiGate设备之后 — 该活动显然正在扩大。

---

npm供应链蠕虫针对AI编程助手

此波攻击的新功能:

• GitHub API数据外泄,具有DNS回退机制
• 开发环境中的基于钩子的持久化
• 用于横向移动的SSH传播回退机制
• MCP服务器注入,带有针对AI编程工具的嵌入式提示注入
• 从环境变量中窃取LLM API密钥

使用AI编程助手(Copilot、Cursor等)的开发人员应立即审计其npm依赖项并检查MCP服务器配置。

---

PayPal数据泄露:社会安全号暴露6个月

长时间的暴露窗口令人担忧。受影响的用户应:

• 在主要信用局设置欺诈警报或信用冻结
• 监控金融账户的未经授权活动
• 更改PayPal凭证并启用基于硬件的MFA

---

更多头条新闻

医疗诊断公司数据泄露 — 14万人受影响

美国医疗保健公司Vikor Scientific(现为Vanta Diagnostics)确认数据泄露影响14万人。Everest勒索软件组织声称对此负责。

心理健康应用:1470万次下载,零安全性

Google Play上多个心理健康应用的总安装量达1470万次,被发现包含严重安全漏洞,可能暴露用户的敏感医疗信息。

Grandstream电话远程代码执行漏洞 — CVE-2026-2329

Grandstream VoIP电话中的关键漏洞允许未经身份验证的远程代码执行,具有root权限。通话可被拦截。请立即修补。

西班牙逮捕黑客活动组织

西班牙当局逮捕了Anonymous Fenix的四名涉嫌成员,罪名是对政府部门、政党和公共机构发动DDoS攻击。

乌克兰人因朝鲜IT欺诈被判刑

Oleksandr Didenko因向朝鲜特工出售被盗的美国身份信息,使他们能够在自由职业平台上受雇,被判处美国监狱5年。

---

漏洞观察

产品	问题	状态
BeyondTrust (CVE-2026-1731)	RCE在勒索软件攻击中被利用	🔴 正在被利用
RoundCube Webmail	通过SVG动画标签的XSS	🔴 正在被利用
Grandstream Phones (CVE-2026-2329)	未经身份验证的RCE,具有root权限	🟡 补丁可用
FortiGate防火墙	AI辅助凭证攻击	🔴 大规模利用

---

数据泄露与勒索软件

目标	影响	行为者
密西西比大学医学中心	36家诊所关闭,手术取消	勒索软件(待定)
Vanta Diagnostics (Vikor)	14万人受影响	Everest
PayPal	社会安全号暴露6个月,发生欺诈	应用程序错误
Optimizely	通过语音钓鱼攻击的客户数据	社会工程

执法胜利:罗马尼亚黑客Catalin Dragomir承认出售俄勒冈州政府网络访问权限。FBI报告称,2025年使用Ploutus恶意软件的700次ATM劫持攻击造成2000万美元损失。

---

今日数据

指标	数值
医院诊所关闭数	36
风险心理健康应用安装量	1470万
PayPal社会安全号暴露时长	约6个月
恶意npm包(SANDWORM_MODE)	19+
FortiGate设备被入侵数量	数百台
ATM劫持损失(2025年)	2000万美元

---

今日优先事项

1. 修补: BeyondTrust CVE-2026-1731 + RoundCube + Grandstream电话
2. 加固: FortiGate管理界面 — 立即禁用外部访问
3. 审计: npm依赖项中的SANDWORM_MODE指标;检查MCP服务器配置
4. 监控: 医疗保健行业 — 预期密西西比事件后的模仿攻击
5. 审查: 气隙隔离环境的可移动介质策略(XMRig蠕虫)