<p>微软表示，一个被追踪为 Storm-2561 的网络犯罪团伙正在利用来自 CheckPoint、Cisco、Fortinet、Ivanti 和其他供应商的假企业 VPN 客户端来窃取用户凭证。</p>
<p>Storm-2561 是一个相对较新的犯罪团伙（&#34;Storm&#34; 后面跟着数字是微软追踪仍在发展的团体的方式），自 2025 年 5 月以来一直存在，通常利用搜索引擎优化和供应商冒充来传播恶意软件。这个从 1 月中旬开始的活动也不例外。</p>
<p>该团伙通过操纵搜索结果获得受害者的初始访问权限，并将伪装成企业 VPN 更新的恶意网站推到搜索结果的顶部。因此，当用户搜索 &#34;Pulse VPN 下载&#34; 或 &#34;Pulse Secure 客户端&#34; 时，顶部结果指向一个模仿真实供应商页面的伪造网站。这些网站包括来自 SonicWall、Sophos 和 WatchGuard 的产品，以及上述列出的 VPN 供应商。</p>
<p>点击链接会将用户重定向到一个恶意的 GitHub 仓库，该仓库托管伪装成 Microsoft Windows 安装程序 (MSI) 文件的假 VPN 客户端。</p>
<p>&#34;微软观察到各种 VPN 软件品牌的伪造，并在以下两个域名上观察到 GitHub 链接：vpn-fortinet[.] com 和 ivanti-vpn[.] org，&#34; 红蒙德的威胁情报团队在周四的博客中表示。这些 GitHub 仓库已经被删除。（请阅读博客的最后部分以获取一长串妥协指标。）</p>
<p>安装程序在安装过程中侧载恶意动态链接库 (DLL) 文件 dwmapi.dll 和 inspector.dll，假 VPN 软件提示用户输入凭证。这会捕获用户名和密码，然后将其发送到攻击者控制的指挥与控制服务器，同时看起来像一个合法的客户端应用程序。</p>
<p>该 MSI 文件和恶意 DLL 使用来自太原丽华近信息技术有限公司的有效 - 但现在已被撤销 - 数字证书进行签名。</p>
<ul>
<li>微软发现 ClickFix 活动让用户在 Windows Terminal 上自我攻击</li>
<li>关键的 Microsoft Excel 漏洞利用 Copilot Agent 进行零点击信息泄露攻击</li>
<li>与伊朗相关的网络团队表示他们攻击了美国医疗技术公司</li>
<li>闪电行动摧毁了 SocksEscort 代理网络，该网络被指责造成数千万的欺诈</li>
</ul>
<p>然后是最棘手的部分：用户在假登录页面输入凭证后，应用程序会显示一条错误消息，称安装失败，然后指示受害者从供应商的官方网站下载合法的 VPN 客户端。在某些情况下，该应用程序甚至会打开用户的浏览器以访问合法网站。</p>
<p>&#34;如果用户随后成功安装并使用合法的 VPN 软件，并且 VPN 连接按预期工作，则最终用户没有妥协的迹象，&#34; 博客中提到。&#34;用户可能会将初始安装失败归因于技术问题，而不是恶意软件。&#34;</p>
<p>毫不奇怪，由于这是微软的威胁情报报告，这家软件巨头建议其产品和服务以防止凭证被窃取。但我们想强调几个关键的（且与供应商无关的）安全建议。</p>
<p>首先 - 我们不能强调这一点 - 在所有账户上强制实施多因素认证 (MFA)。确保删除不在 MFA 范围内的用户，并要求所有设备在任何地方、任何时间都必须使用 MFA。</p>
<p>第二：提醒员工不要将工作凭证存储在浏览器或使用个人凭证保护的密码库中。®</p>

MSFO

CSCL

CISO

<p>一个名为 Storm-2561 的网络犯罪团伙正在使用来自多个供应商（包括思科和飞塔信息）的假 VPN 客户端来窃取用户凭据。他们操纵搜索结果，将用户引导至看似合法的仿冒网站。一旦用户下载了恶意软件，该软件就会捕获他们的凭据并将其发送到攻击者控制的服务器。微软建议实施多因素身份验证，并建议不要将工作场所凭据存储在个人密码保险库中，以降低风险</p>

<p>A group of cybercriminals tracked as Storm-2561 is using fake enterprise VPN clients from CheckPoint, Cisco, Fortinet, Ivanti, and other vendors to steal users' credentials, according to Microsoft.</p>
<div class="lb-trans"><p>微软表示，一个被追踪为 Storm-2561 的网络犯罪团伙正在利用来自 CheckPoint、Cisco、Fortinet、Ivanti 和其他供应商的假企业 VPN 客户端来窃取用户凭证。</p>
</div><p>Storm-2561 is a newish criminal gang (&#34;Storm&#34; followed by a number is how Microsoft tracks groups still in development) that has been around since May 2025, and typically uses SEO positioning and vendor impersonation to distribute malware. This campaign, which started in mid-January, is no different.</p>
<div class="lb-trans"><p>Storm-2561 是一个相对较新的犯罪团伙（&#34;Storm&#34; 后面跟着数字是微软追踪仍在发展的团体的方式），自 2025 年 5 月以来一直存在，通常利用搜索引擎优化和供应商冒充来传播恶意软件。这个从 1 月中旬开始的活动也不例外。</p>
</div><p>The crew gains initial access to victims by manipulating search results and pushes malicious websites masquerading as enterprise VPN updates to the top of the list. So when a user searches for a VPN client such as &#34;Pulse VPN download&#34; or &#34;Pulse Secure client,&#34; the top results point to a spoofed website mimicking the real vendor's page. These include products from SonicWall, Sophos, and WatchGuard, in addition to the VPN vendors listed above.</p>
<div class="lb-trans"><p>该团伙通过操纵搜索结果获得受害者的初始访问权限，并将伪装成企业 VPN 更新的恶意网站推到搜索结果的顶部。因此，当用户搜索 &#34;Pulse VPN 下载&#34; 或 &#34;Pulse Secure 客户端&#34; 时，顶部结果指向一个模仿真实供应商页面的伪造网站。这些网站包括来自 SonicWall、Sophos 和 WatchGuard 的产品，以及上述列出的 VPN 供应商。</p>
</div><p>Clicking on the link redirects users to a malicious GitHub repository that hosts the fake VPN clients disguised as Microsoft Windows Installer (MSI) files.</p>
<div class="lb-trans"><p>点击链接会将用户重定向到一个恶意的 GitHub 仓库，该仓库托管伪装成 Microsoft Windows 安装程序 (MSI) 文件的假 VPN 客户端。</p>
</div><p>&#34;Microsoft has observed spoofing of various VPN software brands and has observed the GitHub link at the following two domains: vpn-fortinet[.] com and ivanti-vpn[.] org,&#34; Redmond's threat intelligence team said in a Thursday blog. The GitHub repos have since been taken down. (Read the blog to the end for a long list of indicators of compromise.)</p>
<div class="lb-trans"><p>&#34;微软观察到各种 VPN 软件品牌的伪造，并在以下两个域名上观察到 GitHub 链接：vpn-fortinet[.] com 和 ivanti-vpn[.] org，&#34; 红蒙德的威胁情报团队在周四的博客中表示。这些 GitHub 仓库已经被删除。（请阅读博客的最后部分以获取一长串妥协指标。）</p>
</div><p>The installer sideloads malicious dynamic link library (DLL) files, dwmapi.dll and inspector.dll, during installation, and the phony VPN software prompts the user to enter their credentials. This captures the usernames and passwords, and then sends them to an attacker-controlled command-and-control server, all the while appearing to be a legitimate client application.</p>
<div class="lb-trans"><p>安装程序在安装过程中侧载恶意动态链接库 (DLL) 文件 dwmapi.dll 和 inspector.dll，假 VPN 软件提示用户输入凭证。这会捕获用户名和密码，然后将其发送到攻击者控制的指挥与控制服务器，同时看起来像一个合法的客户端应用程序。</p>
</div><p>The MSI file and malicious DLLs are signed with a valid - and now revoked - digital certificate from Taiyuan Lihua Near Information Technology Co., Ltd.</p>
<div class="lb-trans"><p>该 MSI 文件和恶意 DLL 使用来自太原丽华近信息技术有限公司的有效 - 但现在已被撤销 - 数字证书进行签名。</p>
</div><ul>
<li>Microsoft spots ClickFix campaign getting users to self-pwn on Windows Terminal</li>
<li>Critical Microsoft Excel bug weaponizes Copilot Agent for zero-click information disclosure attack</li>
<li>Iran-linked cyber crew says they hit US med-tech firm</li>
<li>Operation Lightning takes down SocksEscort proxy network blamed for tens of millions in fraud</li>
</ul>
<div class="lb-trans"><ul>
<li>微软发现 ClickFix 活动让用户在 Windows Terminal 上自我攻击</li>
<li>关键的 Microsoft Excel 漏洞利用 Copilot Agent 进行零点击信息泄露攻击</li>
<li>与伊朗相关的网络团队表示他们攻击了美国医疗技术公司</li>
<li>闪电行动摧毁了 SocksEscort 代理网络，该网络被指责造成数千万的欺诈</li>
</ul>
</div><p>Then comes the trickiest part: Immediately after a user enters their credentials into the fake sign-in page, the application displays an error message saying the installation failed, and then instructs the victim to download the legitimate VPN client from the vendor's official website. In some cases, the app even opens the user's browser to the legitimate site.</p>
<div class="lb-trans"><p>然后是最棘手的部分：用户在假登录页面输入凭证后，应用程序会显示一条错误消息，称安装失败，然后指示受害者从供应商的官方网站下载合法的 VPN 客户端。在某些情况下，该应用程序甚至会打开用户的浏览器以访问合法网站。</p>
</div><p>&#34;If users successfully install and use legitimate VPN software afterward, and the VPN connection works as expected, there are no indications of compromise to the end user,&#34; according to the blog. &#34;Users are likely to attribute the initial installation failure to technical issues, not malware.&#34;</p>
<div class="lb-trans"><p>&#34;如果用户随后成功安装并使用合法的 VPN 软件，并且 VPN 连接按预期工作，则最终用户没有妥协的迹象，&#34; 博客中提到。&#34;用户可能会将初始安装失败归因于技术问题，而不是恶意软件。&#34;</p>
</div><p>Unsurprisingly, since it's a Microsoft threat-intel report, the software giant recommends its products and services to prevent credential theft. But there are couple key (and vendor-neutral) security suggestions that we want to highlight.</p>
<div class="lb-trans"><p>毫不奇怪，由于这是微软的威胁情报报告，这家软件巨头建议其产品和服务以防止凭证被窃取。但我们想强调几个关键的（且与供应商无关的）安全建议。</p>
</div><p>First - and we cannot stress this enough - enforce multi-factor authentication (MFA) on all accounts. Make sure to remove users excluded from MFA, and require MFA from all devices, everywhere, at all times.</p>
<div class="lb-trans"><p>首先 - 我们不能强调这一点 - 在所有账户上强制实施多因素认证 (MFA)。确保删除不在 MFA 范围内的用户，并要求所有设备在任何地方、任何时间都必须使用 MFA。</p>
</div><p>Second: remind employees NOT to store workplace credentials in browsers or password vaults secured with personal credentials. ®</p>
<div class="lb-trans"><p>第二：提醒员工不要将工作凭证存储在浏览器或使用个人凭证保护的密码库中。®</p>
</div>

窃取凭证的团伙伪装成思科、飞塔信息等公司的 VPN 客户端