<p>微軟表示，一個被追蹤為 Storm-2561 的網絡犯罪團伙正在利用來自 CheckPoint、Cisco、Fortinet、Ivanti 和其他供應商的假企業 VPN 客户端來竊取用户憑證。</p>
<p>Storm-2561 是一個相對較新的犯罪團伙（&#34;Storm&#34; 後面跟着數字是微軟追蹤仍在發展的團體的方式），自 2025 年 5 月以來一直存在，通常利用搜索引擎優化和供應商冒充來傳播惡意軟件。這個從 1 月中旬開始的活動也不例外。</p>
<p>該團伙通過操縱搜索結果獲得受害者的初始訪問權限，並將偽裝成企業 VPN 更新的惡意網站推到搜索結果的頂部。因此，當用户搜索 &#34;Pulse VPN 下載&#34; 或 &#34;Pulse Secure 客户端&#34; 時，頂部結果指向一個模仿真實供應商頁面的偽造網站。這些網站包括來自 SonicWall、Sophos 和 WatchGuard 的產品，以及上述列出的 VPN 供應商。</p>
<p>點擊鏈接會將用户重定向到一個惡意的 GitHub 倉庫，該倉庫託管偽裝成 Microsoft Windows 安裝程序 (MSI) 文件的假 VPN 客户端。</p>
<p>&#34;微軟觀察到各種 VPN 軟件品牌的偽造，並在以下兩個域名上觀察到 GitHub 鏈接：vpn-fortinet[.] com 和 ivanti-vpn[.] org，&#34; 紅蒙德的威脅情報團隊在週四的博客中表示。這些 GitHub 倉庫已經被刪除。（請閲讀博客的最後部分以獲取一長串妥協指標。）</p>
<p>安裝程序在安裝過程中側載惡意動態鏈接庫 (DLL) 文件 dwmapi.dll 和 inspector.dll，假 VPN 軟件提示用户輸入憑證。這會捕獲用户名和密碼，然後將其發送到攻擊者控制的指揮與控制服務器，同時看起來像一個合法的客户端應用程序。</p>
<p>該 MSI 文件和惡意 DLL 使用來自太原麗華近信息技術有限公司的有效 - 但現在已被撤銷 - 數字證書進行簽名。</p>
<ul>
<li>微軟發現 ClickFix 活動讓用户在 Windows Terminal 上自我攻擊</li>
<li>關鍵的 Microsoft Excel 漏洞利用 Copilot Agent 進行零點擊信息泄露攻擊</li>
<li>與伊朗相關的網絡團隊表示他們攻擊了美國醫療技術公司</li>
<li>閃電行動摧毀了 SocksEscort 代理網絡，該網絡被指責造成數千萬的欺詐</li>
</ul>
<p>然後是最棘手的部分：用户在假登錄頁面輸入憑證後，應用程序會顯示一條錯誤消息，稱安裝失敗，然後指示受害者從供應商的官方網站下載合法的 VPN 客户端。在某些情況下，該應用程序甚至會打開用户的瀏覽器以訪問合法網站。</p>
<p>&#34;如果用户隨後成功安裝並使用合法的 VPN 軟件，並且 VPN 連接按預期工作，則最終用户沒有妥協的跡象，&#34; 博客中提到。&#34;用户可能會將初始安裝失敗歸因於技術問題，而不是惡意軟件。&#34;</p>
<p>毫不奇怪，由於這是微軟的威脅情報報告，這家軟件巨頭建議其產品和服務以防止憑證被竊取。但我們想強調幾個關鍵的（且與供應商無關的）安全建議。</p>
<p>首先 - 我們不能強調這一點 - 在所有賬户上強制實施多因素認證 (MFA)。確保刪除不在 MFA 範圍內的用户，並要求所有設備在任何地方、任何時間都必須使用 MFA。</p>
<p>第二：提醒員工不要將工作憑證存儲在瀏覽器或使用個人憑證保護的密碼庫中。®</p>

MSFO

CSCL

CISO

<p>一個名為 Storm-2561 的網絡犯罪團伙正在使用來自多個供應商（包括思科和飛塔信息）的假 VPN 客户端來竊取用户憑據。他們操縱搜索結果，將用户引導至看似合法的仿冒網站。一旦用户下載了惡意軟件，該軟件就會捕獲他們的憑據並將其發送到攻擊者控制的服務器。微軟建議實施多因素身份驗證，並建議不要將工作場所憑據存儲在個人密碼保險庫中，以降低風險</p>

<p>A group of cybercriminals tracked as Storm-2561 is using fake enterprise VPN clients from CheckPoint, Cisco, Fortinet, Ivanti, and other vendors to steal users' credentials, according to Microsoft.</p>
<div class="lb-trans"><p>微軟表示，一個被追蹤為 Storm-2561 的網絡犯罪團伙正在利用來自 CheckPoint、Cisco、Fortinet、Ivanti 和其他供應商的假企業 VPN 客户端來竊取用户憑證。</p>
</div><p>Storm-2561 is a newish criminal gang (&#34;Storm&#34; followed by a number is how Microsoft tracks groups still in development) that has been around since May 2025, and typically uses SEO positioning and vendor impersonation to distribute malware. This campaign, which started in mid-January, is no different.</p>
<div class="lb-trans"><p>Storm-2561 是一個相對較新的犯罪團伙（&#34;Storm&#34; 後面跟着數字是微軟追蹤仍在發展的團體的方式），自 2025 年 5 月以來一直存在，通常利用搜索引擎優化和供應商冒充來傳播惡意軟件。這個從 1 月中旬開始的活動也不例外。</p>
</div><p>The crew gains initial access to victims by manipulating search results and pushes malicious websites masquerading as enterprise VPN updates to the top of the list. So when a user searches for a VPN client such as &#34;Pulse VPN download&#34; or &#34;Pulse Secure client,&#34; the top results point to a spoofed website mimicking the real vendor's page. These include products from SonicWall, Sophos, and WatchGuard, in addition to the VPN vendors listed above.</p>
<div class="lb-trans"><p>該團伙通過操縱搜索結果獲得受害者的初始訪問權限，並將偽裝成企業 VPN 更新的惡意網站推到搜索結果的頂部。因此，當用户搜索 &#34;Pulse VPN 下載&#34; 或 &#34;Pulse Secure 客户端&#34; 時，頂部結果指向一個模仿真實供應商頁面的偽造網站。這些網站包括來自 SonicWall、Sophos 和 WatchGuard 的產品，以及上述列出的 VPN 供應商。</p>
</div><p>Clicking on the link redirects users to a malicious GitHub repository that hosts the fake VPN clients disguised as Microsoft Windows Installer (MSI) files.</p>
<div class="lb-trans"><p>點擊鏈接會將用户重定向到一個惡意的 GitHub 倉庫，該倉庫託管偽裝成 Microsoft Windows 安裝程序 (MSI) 文件的假 VPN 客户端。</p>
</div><p>&#34;Microsoft has observed spoofing of various VPN software brands and has observed the GitHub link at the following two domains: vpn-fortinet[.] com and ivanti-vpn[.] org,&#34; Redmond's threat intelligence team said in a Thursday blog. The GitHub repos have since been taken down. (Read the blog to the end for a long list of indicators of compromise.)</p>
<div class="lb-trans"><p>&#34;微軟觀察到各種 VPN 軟件品牌的偽造，並在以下兩個域名上觀察到 GitHub 鏈接：vpn-fortinet[.] com 和 ivanti-vpn[.] org，&#34; 紅蒙德的威脅情報團隊在週四的博客中表示。這些 GitHub 倉庫已經被刪除。（請閲讀博客的最後部分以獲取一長串妥協指標。）</p>
</div><p>The installer sideloads malicious dynamic link library (DLL) files, dwmapi.dll and inspector.dll, during installation, and the phony VPN software prompts the user to enter their credentials. This captures the usernames and passwords, and then sends them to an attacker-controlled command-and-control server, all the while appearing to be a legitimate client application.</p>
<div class="lb-trans"><p>安裝程序在安裝過程中側載惡意動態鏈接庫 (DLL) 文件 dwmapi.dll 和 inspector.dll，假 VPN 軟件提示用户輸入憑證。這會捕獲用户名和密碼，然後將其發送到攻擊者控制的指揮與控制服務器，同時看起來像一個合法的客户端應用程序。</p>
</div><p>The MSI file and malicious DLLs are signed with a valid - and now revoked - digital certificate from Taiyuan Lihua Near Information Technology Co., Ltd.</p>
<div class="lb-trans"><p>該 MSI 文件和惡意 DLL 使用來自太原麗華近信息技術有限公司的有效 - 但現在已被撤銷 - 數字證書進行簽名。</p>
</div><ul>
<li>Microsoft spots ClickFix campaign getting users to self-pwn on Windows Terminal</li>
<li>Critical Microsoft Excel bug weaponizes Copilot Agent for zero-click information disclosure attack</li>
<li>Iran-linked cyber crew says they hit US med-tech firm</li>
<li>Operation Lightning takes down SocksEscort proxy network blamed for tens of millions in fraud</li>
</ul>
<div class="lb-trans"><ul>
<li>微軟發現 ClickFix 活動讓用户在 Windows Terminal 上自我攻擊</li>
<li>關鍵的 Microsoft Excel 漏洞利用 Copilot Agent 進行零點擊信息泄露攻擊</li>
<li>與伊朗相關的網絡團隊表示他們攻擊了美國醫療技術公司</li>
<li>閃電行動摧毀了 SocksEscort 代理網絡，該網絡被指責造成數千萬的欺詐</li>
</ul>
</div><p>Then comes the trickiest part: Immediately after a user enters their credentials into the fake sign-in page, the application displays an error message saying the installation failed, and then instructs the victim to download the legitimate VPN client from the vendor's official website. In some cases, the app even opens the user's browser to the legitimate site.</p>
<div class="lb-trans"><p>然後是最棘手的部分：用户在假登錄頁面輸入憑證後，應用程序會顯示一條錯誤消息，稱安裝失敗，然後指示受害者從供應商的官方網站下載合法的 VPN 客户端。在某些情況下，該應用程序甚至會打開用户的瀏覽器以訪問合法網站。</p>
</div><p>&#34;If users successfully install and use legitimate VPN software afterward, and the VPN connection works as expected, there are no indications of compromise to the end user,&#34; according to the blog. &#34;Users are likely to attribute the initial installation failure to technical issues, not malware.&#34;</p>
<div class="lb-trans"><p>&#34;如果用户隨後成功安裝並使用合法的 VPN 軟件，並且 VPN 連接按預期工作，則最終用户沒有妥協的跡象，&#34; 博客中提到。&#34;用户可能會將初始安裝失敗歸因於技術問題，而不是惡意軟件。&#34;</p>
</div><p>Unsurprisingly, since it's a Microsoft threat-intel report, the software giant recommends its products and services to prevent credential theft. But there are couple key (and vendor-neutral) security suggestions that we want to highlight.</p>
<div class="lb-trans"><p>毫不奇怪，由於這是微軟的威脅情報報告，這家軟件巨頭建議其產品和服務以防止憑證被竊取。但我們想強調幾個關鍵的（且與供應商無關的）安全建議。</p>
</div><p>First - and we cannot stress this enough - enforce multi-factor authentication (MFA) on all accounts. Make sure to remove users excluded from MFA, and require MFA from all devices, everywhere, at all times.</p>
<div class="lb-trans"><p>首先 - 我們不能強調這一點 - 在所有賬户上強制實施多因素認證 (MFA)。確保刪除不在 MFA 範圍內的用户，並要求所有設備在任何地方、任何時間都必須使用 MFA。</p>
</div><p>Second: remind employees NOT to store workplace credentials in browsers or password vaults secured with personal credentials. ®</p>
<div class="lb-trans"><p>第二：提醒員工不要將工作憑證存儲在瀏覽器或使用個人憑證保護的密碼庫中。®</p>
</div>

竊取憑證的團伙偽裝成思科、飛塔信息等公司的 VPN 客户端