7月21日威胁情报报告

发布日期：2025年7月21日
报告链接： https://research.checkpoint.com/2025/21st-july-threat-intelligence-report/

获取7月21日当周最新网络研究成果，请下载我们的威胁情报公报。

顶级攻击与数据泄露

路易威登遭遇网络攻击，导致英国、韩国、土耳其、意大利和瑞典客户的个人数据被窃取。攻击者通过未授权访问系统获取数据，但未涉及支付信息。据称此次事件源于第三方供应商数据库泄露，勒索组织ShinyHunters被认为是幕后黑手。
英国零售巨头Co-op正式披露4月的大规模网络攻击导致650万客户个人数据被盗，造成系统关闭和门店食品短缺。泄露数据包含客户联系信息，但不含财务或交易数据。疑似部署DragonForce勒索软件的Scattered Spider威胁组织涉嫌参与攻击。
俄罗斯烈酒生产商NovaBev集团遭受勒索软件攻击，关键IT基础设施暂时中断。攻击严重影响集团及其子公司WineLab的运营，导致2000多家门店服务瘫痪。攻击采用绕过现有安全协议的高级技术，目前尚无威胁组织宣称负责。
泰国劳工部遭遇网络攻击，网站被篡改并声称300GB敏感数据被盗。影响包括2000台笔记本电脑和数十台服务器被加密，公民数据、外国访客信息及所谓机密文件可能泄露。与DragonForce恶意软件家族相关的Devman勒索组织宣称负责，并索要1500万美元赎金。
新加坡关键基础设施遭受网络攻击，针对国防、科技和电信等 essential 服务系统进行定向渗透。持续攻击可能危及国家安全并 disrupt 商业运营和供应链，但尚无具体数据泄露或受影响用户数量的信息。中国关联的间谍组织UNC3886被确认为攻击源。
俄罗斯军用无人机供应商Gaskar集团确认遭遇网络攻击，超过250个系统被毁，57TB数据及备份被清除，员工个人信息暴露。乌克兰黑客组织BO Team、Ukrainian Cyber Alliance和乌克兰军事情报部门宣称负责。

漏洞与补丁

Microsoft SharePoint零日漏洞（代号"ToolShell"，CVE-2025-53770，认证绕过漏洞CVE-2025-49706的变种）披露后，Check Point Research发布 advisory 披露关键发现。研究团队于7月7日首次发现利用迹象，北美和西欧政府、电信和软件行业出现数十次入侵尝试。

Check Point IPS 提供针对此威胁的保护（Microsoft SharePoint Server不安全反序列化 (CVE-2025-53770)，Microsoft SharePoint Server认证绕过 (CVE-2025-49706)）

Chrome高危漏洞CVE-2025-6558（CVSS 8.8）已发布补丁，该漏洞被野外主动利用，允许远程攻击者通过ANGLE和GPU组件的输入验证不足逃逸浏览器沙箱。此零日漏洞影响138.0.7204.157之前版本的Chrome，可通过特制HTML页面在GPU进程中执行任意代码。
VMware修复ESXi、Workstation、Fusion和Tools中的四个零日漏洞（CVE-2025-41236至CVE-2025-41239），这些漏洞在Pwn2Own Berlin 2025中被利用。三个临界漏洞（评分9.3）允许客户机到主机代码执行，一个高危问题（7.1）影响VMware Tools。

威胁情报报告

Check Point Research报告显示，2025年第二季度全球每周每个组织遭受的网络攻击同比激增21%，达到1984次攻击。教育行业成为最受攻击目标，欧洲地区增长率最高达22%。约1600起勒索软件事件被披露，主要影响商业服务、制造业和建筑业。北美和欧洲分别占勒索软件案件的53%和25%。
Check Point Research发现威胁行为体正积极测试FileFix社会工程方法，该方法从恶意网站打开文件资源管理器并将隐藏的PowerShell命令复制到剪贴板。将其粘贴到地址栏即可执行恶意软件，无需利用软件漏洞。

Check Point Harmony Endpoint 提供针对此威胁的保护

研究人员发现威胁行为体滥用Microsoft Teams呼叫冒充IT支持人员，通过Quick Assist投递Matanbuchus 3.0。PowerShell脚本使用DLL侧加载部署恶意软件，支持内存执行、混淆和数据窃取。

Check Point Threat Emulation 和 Harmony Endpoint 提供针对此威胁的保护（Trojan-Downloader.Wins.Matanbuchus.ta.*; Trojan-Downloader.Win.Matanbuchus）

欧美当局捣毁了亲俄黑客组织**NoName057(16)**的运营，该组织以对乌克兰及其盟友发动大规模DDoS攻击而闻名。“东木行动"摧毁了100多台服务器，取缔了该组织的核心基础设施。已发出7张逮捕令，并通知1000多名疑似支持者可能面临法律后果。