1、"Power Parasites"钓鱼攻击瞄准全球能源巨头

https://cybersecuritynews.com/new-power-parasites-phishing-attack/

2025年4月26日，研究人员披露名为“Power Parasites”的长期钓鱼攻击活动，该活动自2024年起持续针对西门子能源、施耐德电气、EDF能源等全球能源巨头及知名品牌。攻击者注册了150多个仿冒域名，通过虚假投资平台和高薪职位诱骗受害者，主要覆盖亚洲多国（孟加拉、尼泊尔、印度等），并采用多语言提升欺骗性。投资诈骗以“高回报能源项目”为饵，而招聘诈骗则伪造名企职位，诱骗受害者提交银行账户、身份证件等敏感信息。

2、Ruby服务器组件漏洞可致数据泄露

https://thehackernews.com/2025/04/researchers-identify-rackstatic.html

2025年4月25日，研究人员披露了Ruby服务器接口Rack::Static中的三个高危漏洞（CVE-2025-27610、CVE-2025-27111、CVE-2025-25184），攻击者可利用这些漏洞窃取敏感文件、注入恶意数据并篡改日志。其中最严重的CVE-2025-27610允许未授权攻击者通过路径遍历访问服务器根目录下的任意文件，包括配置文件、凭证等机密数据。另外两个漏洞涉及CRLF注入，可被用于伪造日志记录或植入恶意代码，掩盖攻击痕迹。若漏洞遭利用，攻击者可能进一步渗透目标系统，甚至引发数据泄露事件。

3、黑客利用SAP NetWeaver漏洞实现远程代码执行

https://thehackernews.com/2025/04/sap-confirms-critical-netweaver-flaw.html

2025年4月25日，研究人员证实，黑客正在利用SAP NetWeaver中新发现的漏洞（CVE-2025-31324）上传恶意JSP WebShell，来实现未授权的文件上传和远程代码执行。该漏洞最初被怀疑是远程文件包含（RFI）问题，但经确认，实为无限制文件上传漏洞，允许攻击者绕过认证直接向系统上传恶意文件。研究人员在4月22日的调查报告中首次披露了相关恶意活动，并观察到攻击者利用该漏洞部署了Brute Ratel框架等高级攻击工具。

4、Plant工业交换机存在可被控制设备的漏洞

2025年4月26日，研究人员披露了普莱德科技多款工业交换机和网络管理系统的高危漏洞，攻击者可利用这些漏洞完全控制设备。此次调查起因是美国网络安全与基础设施安全局（CISA）在2024年12月发布的漏洞预警。研究团队通过分析WGS-80HPT-V2和WGS-4215-8T2S等型号设备的固件，发现除CISA已通报的漏洞外，还存在多个未公开的严重缺陷。这些漏洞涉及设备远程管理接口，可能允许攻击者绕过认证、执行任意代码或窃取敏感数据。

https://hackread.com/planet-technology-industrial-switch-flaws-full-takeover/

5、RustoBot僵尸网络恶意软件威胁网络安全

https://www.anquanke.com/post/id/306930

一种使用 Rust 编程语言编写的复杂新型僵尸网络恶意软件已被发现，其目标是全球范围内存在漏洞的路由器设备。由于该恶意软件是基于 Rust 语言编写的，因此被命名为 “RustoBot”。它利用了 TOTOLINK 和 DrayTek 路由器型号中的严重漏洞来执行远程命令注入，这有可能影响到日本、越南和墨西哥的科技产业。

6、SonicWall SSLVPN高危漏洞无需认证即可致防火墙崩溃

https://www.anquanke.com/post/id/306910

SonicWall 已披露其 SSL 虚拟专用网络（SSLVPN）服务中存在一个严重的安全漏洞，该漏洞允许未经身份验证的远程攻击者使受影响的防火墙设备崩溃，这有可能对企业网络造成重大干扰。该漏洞编号为 CVE-2025-32818，通用漏洞评分系统（CVSS）评分为 7.5，属于高严重性等级，影响运行特定固件版本的众多 SonicWall 防火墙型号。

7、MITRE ATT&CK v17.0发布 新增ESXi攻击战术

https://attack.mitre.org/resources/updates/updates-april-2025/

MITRE发布了ATT&CK框架最新版本v17.0，新增专门针对VMware ESXi虚拟化平台的攻击战术、技术与程序（TTPs）矩阵。该矩阵详细梳理了攻击者针对ESXi管理程序的典型攻击手法。

8、蚂蚁集团等16家互联网平台签署网络数据安全自律公约

https://www.freebuf.com/news/428930.html

近日，在第二届武汉网络安全创新论坛的个人信息保护分论坛上，在中国网络空间安全协会的组织下，蚂蚁集团、阿里巴巴、美团、腾讯、微博、京东、百度、滴滴出行、拼多多、科大讯飞等16家平台型企业共同签署了《网信企业网络数据安全自律公约》，旨在积极落实数据安全和个人信息保护责任，提升网络数据安全风险管理水平。

9、新型越狱攻击可突破ChatGPT、Gemini等主流AI服务防护

https://www.freebuf.com/news/428850.html

研究人员最新发现的两项越狱技术暴露了当前主流生成式AI服务的安全防护存在系统性漏洞，受影响平台包括OpenAI的ChatGPT、谷歌的Gemini、微软的Copilot、深度求索（DeepSeek）、Anthropic的Claude、X平台的Grok、MetaAI以及MistralAI。

10、朝鲜Lazarus APT组织利用"one-day漏洞"攻击全球机构

https://www.freebuf.com/articles/ics-articles/428802.html

网络安全专家发现，朝鲜政府支持的Lazarus APT（高级持续性威胁）组织正在对全球关键基础设施和金融机构发起复杂攻击活动。该组织改变策略，利用企业尚未及时修复的"一日漏洞"（one-day vulnerabilities）实施攻击。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。