【安全圈】黑客滥用 ViPNet 软件攻击俄罗斯政府机构
安全圈
2026年7月20日 19:00
江苏
在小说阅读器读本章
去阅读
关键词
黑客
一个高级威胁行为者正在滥用 ViPNet 私有网络产品套件的更新机制，以攻击俄罗斯组织，包括政府机构。
该行动被命名为 HelloNet，至少从 5 月开始活跃，部署了一个恶意 payload，充当代理和加载器以投放更多恶意软件。
根据 Kaspersky 研究人员的说法，HelloNet 已影响到政府、能源、交通、教育和物流领域的组织。
ViPNet 更新滥用
ViPNet 是由 InfoTeCS 开发的俄罗斯信息安全产品系列，提供 VPN、端点和网络访问保护、防火墙、证书管理、集中管理以及安全消息和文件传输。
该工具在俄罗斯广泛使用，并已获得当局认证，可用于政府和其他受监管环境。
由于其在俄罗斯的市场覆盖范围，尤其是在高价值组织中，它经常成为黑客的攻击目标。2025 年 4 月，Kaspersky 报告称，威胁行为者在攻击中冒充了 ViPNet 更新。
在最新的行动中，攻击者将恶意文件（wtsapi32.dll，命名为 HelloInjector）放置在本地 ViPNet 更新系统目录中，以便在系统启动时通过合法的 itcsrvup64.exe 进行 DLL 侧加载。
该 DLL 是一阶段加载器，会注入到 svchost.exe 进程中，从而为后续阶段的 payload 提供 Windows 上的提升权限，并在重启后保持持久性。
Kaspersky 没有具体描述攻击者是如何获得初始访问权限以执行此文件更改的，也没有声称 ViPNet 的更新基础设施本身已被攻陷。
恶意工具集
HelloInjector 在内存中运行其嵌入的 payload（Kaspersky 将其命名为 HelloProxy），并联系命令与控制（C2）服务器以接收其他模块。
其中一个模块是 HelloExecutor，这是一个后门，可以执行命令并在主机上进行网络侦察。
第二个模块是 HelloCleaner，这是一个用于删除 ViPNet 日志数据以隐藏恶意活动的工具。
另一个名为 HelloBackdoor 的植入程序基于 Rust，支持上传和下载文件以及执行命令。
END
阅读推荐
安全圈
←扫码关注我们
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论