LiteLLM PyPI skadevare stjeler sky-, krypto-, Slack- og Discord nøkler. Falske jobbtilbud via Google Forms sprer PureHVNC malware. APT-angrep retter seg mot RDP servere for vedvarende tilgang.
LiteLLM PyPI skadevare stjeler sky-, krypto-, Slack- og Discord nøkler
LiteLLM ble nylig kompromittert etter at en angriper tok over en vedlikeholders konto og lastet opp to ondsinnede versjoner (1.82.7 og 1.82.8) på PyPi. Disse versjonene inneholder en infostealer som forsøker å hente AWS-, GCP- og GitHub-nøkler, SSH-nøkler, kryptolommebøker og en rekke andre sensitive data. Skadelig programvare samlet inn og krypterte informasjon før den blir sendt til en ekstern C2-server, og inneholdt også en tredje nyttelast designet for vedvarende tilgang. Brukere som installerte LiteLLM i dette tidsrommet uten versjonspinning, risikerer å være rammet. Det anbefales å rotere alle nøkler umiddelbart og alltid pinne avhengigheter for å forhindre automatisk installasjon av kompromitterte versjoner.
Falske jobbtilbud via Google Forms sprer PureHVNC malware
En pågående kampanje misbruker Google Forms til å spre PureHVNC Remote Access Trojan via falske jobbtilbud, prosjektforespørsler og forretningsdokumenter. Angrepet starter ved at brukere mottar en lenke til et troverdig Google Form, ofte distribuert via LinkedIn, hvor de blir bedt om å laste ned en ZIP-fil. Denne filen inneholder legitime dokumenter kombinert med ondsinnede filer som utnytter DLL hijacking for å starte en flertrinns infeksjonskjede som til slutt installerer PureHVNC.
Malwaren gir angripere full fjernkontroll over systemet, inkludert mulighet til å hente systeminformasjon, stjele data fra nettlesere, kryptolommebøker og applikasjoner som Telegram, samt installere ytterligere moduler og opprettholde vedvarende tilgang. Kampanjen skiller seg ut ved å bruke legitime tjenester som Google Forms, Dropbox og URL-forkortere for å omgå sikkerhetsmekanismer og øke troverdigheten.
APT-angrep retter seg mot RDP servere for vedvarende tilgang
Avanserte trusselaktører (APT-grupper) gjennomfører målrettede angrep mot RDP-servere ved å utnytte svake passord, feilkonfigurasjoner og manglende sikring av eksterne tilkoblinger. Angriperne bruker ofte brute force og credential stuffing for å få tilgang, før de etablerer vedvarende kontroll gjennom bakdører og legitime administrasjonsverktøy. Etter innlogging utføres rekognosering, lateral bevegelse i nettverket og installasjon av ytterligere malware eller ransomware.
Angrepene kjennetegnes ved bruk av stealth teknikker som legitime Windows verktøy, skjult trafikk og minimal synlig aktivitet for å unngå deteksjon. RDP fungerer som en kritisk inngangsport, og kompromitterte systemer brukes ofte videre til datatyveri eller som del av større angrepskampanjer.
