Proofpoint 报告：生成式 AI 正抹去行为特征，削弱纯行为检测
Proofpoint 在 Protect 2026 大会上指出，生成式 AI 让恶意邮件变得流畅、个性化且针对每位收件人定制，邮件过滤器长期依赖的行为信号正因此失效。过去靠措辞笨拙、通用借口和复用模板暴露的邮件已不复存在。
#厂商研究
威胁情报The Hacker NewsAI 评分4242
威胁情报The Hacker NewsAI 评分5858 黑客利用新型 ROMULUS ClickFix 平台投递 LegionLoader 等恶意软件
Forescout Research - Vedere Labs 披露了名为 ROMULUS 的 ClickFix 投递平台，该平台被用于分发 Legion Loader 等恶意软件。ROMULUS 类似恶意软件投递服务，通过虚假落地页上的 ClickFix 式诱饵，诱骗用户自行运行恶意命令并感染设备。
威胁情报Palo Alto Networks Unit 42AI 评分5252 Unit 42 总结 2026 年 9 月五类主要初始访问途径
Unit 42 发布 2026 年 9 月观察到的五类主要初始访问威胁途径，其中边缘设备漏洞利用排在首位，其后是凭据滥用和钓鱼攻击。该文为摘要，未展开各类途径的具体案例与数据。
威胁情报Palo Alto Networks Unit 42AI 评分6262 Unit 42 披露针对政府 Linux 基础设施的 AI 驱动间谍活动
Palo Alto Networks Unit 42 分析了一起针对政府 Linux 基础设施的 AI 驱动间谍活动，攻击中使用定制恶意软件、Web Shell 和高级凭据窃取手段。该分析由 Roey Porat 和 Tom Fakterman 撰写，目前公开内容仅为摘要。
威胁情报The Hacker NewsAI 评分6868 Citizen Lab 称 Al Jazeera 遭 Candiru 零点击间谍软件攻击，通过定向在线广告感染
Citizen Lab 研究人员周四称，以色列间谍软件厂商 Candiru 通过普通在线广告感染了半岛电视台（Al Jazeera）的设备，攻击无需用户点击或任何操作。隐藏的攻击代码在广告加载到屏幕上的瞬间即执行，部分情况下广告在后台不可见处加载。Candiru 是向政府出售间谍软件的厂商。
威胁情报Mandiant Threat Intelligence精选AI 评分7878 Mandiant 披露 ARMORY CASTLE 利用 BeyondTrust 漏洞 CVE-2026-102764 的入侵活动
Mandiant 称在事件响应中发现，疑似中国背景的间谍组织 ARMORY CASTLE（原编号 UNC5221）在 2026 年 8 月下旬将 BeyondTrust Remote Support 的漏洞 CVE-2026-102764 作为零日漏洞利用，该漏洞可导致任意文件上传。
推荐理由：Mandiant 披露 ARMORY CASTLE 利用 BeyondTrust 零日漏洞的入侵证据，可了解该组织在设备内部提权与持久化的手法。
威胁情报Mandiant Threat Intelligence精选AI 评分7878 Mandiant 披露 AOMEI 更新服务器遭 UNC7017 短窗口篡改
Google Threat Intelligence Group 与 Mandiant 调查了 2026 年 4 月至 7 月针对 AOMEI Technology 更新基础设施的软件供应链攻击，攻击者反复对 AOMEI 源服务器做短时配置篡改，每次篡改窗口仅持续五到十分钟便恢复为真实版本。
推荐理由：披露一种仅持续五到十分钟的供应链篡改手法，为防守方理解短窗口投毒与基础设施封堵难点提供参考。
威胁情报The Hacker NewsAI 评分7272 低价安卓手机固件预装恶意软件，被用于住宅代理与广告欺诈
Bitdefender 披露名为 Midnight Mimosa 的活动，多款基于 MediaTek 平台的低价安卓手机在固件中预装恶意软件 com.android.system.lite，以系统级权限远程加载载荷，进行广告欺诈、静默安装应用并把设备变成住宅代理节点。
威胁情报The Hacker News精选AI 评分7878 法国数百家超市冷藏控制器被劫持，冰柜被加热至50°C
10月11日夜间，攻击者远程控制法国数百家超市的Danfoss冷藏控制器，将冰柜置于除霜模式并加热至最高50°C，导致门店丢弃食品。CERT-FR于10月12日发布警报，称已知悉影响Danfoss AK-SM和AK-SC两个控制器系列的多起入侵，要求运营方断开控制器或过滤其访问，ANSSI负责人Vincent Strubel称应尽快将这两个系列从互联网下线。
推荐理由：事件涉及已停产工控控制器被远程操控，读者可了解攻击面、受影响型号与官方处置建议。
威胁情报Palo Alto Networks Unit 42精选AI 评分7878 Unit 42 披露 PEERSTITCH 植入体：FortiManager 漏洞致 500 多台 FortiGate 受影响
Palo Alto Networks Unit 42 披露一起针对电信托管服务商的入侵，攻击者利用 CVE-2024-47575 攻陷 FortiManager，窃取含 500 多台 FortiGate 防火墙运行配置、凭据与拓扑的归档文件。
推荐理由：披露 FortiManager 被攻陷后波及 500 多台防火墙的完整链路，并给出内存驻留植入体的检测思路。
威胁情报BleepingComputerAI 评分6262 AhsayCBS 未修补漏洞被利用部署 webshell 并挖矿
攻击者利用 AhsayCBS 备份管理平台中一个认证绕过漏洞 CVE-2026-105133 和一个 OS 命令注入漏洞 CVE-2026-105134 部署 webshell 和加密货币挖矿程序，活动于 10 月 7 日被发现，至少针对五家组织。
威胁情报The Hacker NewsAI 评分5858 攻击者利用 AhsayCBS 漏洞部署伪装成 Microsoft Edge 的 XMRig 挖矿程序
攻击者利用 AhsayCBS 备份工具的两个漏洞 CVE-2026-105133（CVSS v4 5.5）和 CVE-2026-105134（CVSS v4 9.3）绕过认证并执行任意命令，部署 web shell 和伪装成 Microsoft Edge 的 XMRig 加密货币挖矿程序。
威胁情报BleepingComputerAI 评分6262 FakeGit 恶意活动回归，GitHub 上 17,610 个恶意仓库分发 SmartLoader
软件供应链安全平台 Apiiro 报告称，FakeGit 活动于 10 月 4 日重新活跃，在 GitHub 上使用 17,610 个仓库分发 SmartLoader，进而投放 StealC 等信息窃取程序。
威胁情报BleepingComputerAI 评分7272 低价安卓手机固件预装 Midnight Mimosa 恶意软件，波及 150 多国数千台设备
Bitdefender 发现名为 Midnight Mimosa 的恶意软件活动，预装在采用 MediaTek 芯片的低价安卓手机固件中，使其获得系统级权限，可静默安装应用、进行广告欺诈并将设备变为住宅代理。
威胁情报The Hacker NewsAI 评分6666 韩国金融机构遭 AI 渗透工具 ARTEX 攻击致数据外泄
CrowdStrike Intelligence 披露，2026 年 9 月底至 10 月初针对韩国金融机构的攻击活动使用开源 AI 智能体渗透测试工具 ARTEX 并造成数据外泄，该活动尚未归因于已知威胁组织，但证据指向疑似中文操作者且动机为经济获利。
威胁情报The Hacker NewsAI 评分6262 UAC-0099 用 ASHVEIN RAT 攻击乌克兰政府人员，将指令藏进 HTML
与俄罗斯关联的威胁组织 UAC-0099 被指使用此前未记录的 .NET 信息窃取与远程访问木马 ASHVEIN（内部称 TelemetryBrowser）攻击乌克兰政府人员。
威胁情报The Hacker NewsAI 评分4040 Wazza 钓鱼套件瞄准美欧澳银行、政府与制造业
ANY.RUN 发现新型钓鱼套件 Wazza，针对美国、欧洲和澳大利亚的银行、制造与政府机构，通过多阶段路由链筛选访客和自动化流量后再投放 Adobe 主题的 Device Code 钓鱼页面。
威胁情报The Hacker NewsAI 评分6262 八个恶意 npm 包被下载 40767 次，投递 Overlord RAT 与窃密程序
CloudSEK 与 Checkmarx 披露代号 MALFEX 的 npm 供应链恶意活动，12 个包中 8 个被标记为恶意，累计下载 40767 次，其中 function-flag 占 37419 次。
威胁情报The Hacker NewsAI 评分6767 PoeLLM 恶意软件感染 3400 多台服务器扩张挖矿僵尸网络
Lumen Black Lotus Labs 披露名为 Canto Incognito 的挖矿僵尸网络活动，其恶意软件 PoeLLM 已感染 3400 多台服务器，主要集中在美国和西欧。
威胁情报BleepingComputerAI 评分6868 PoeLLM 恶意软件感染暴露的 AI 服务器用于挖矿攻击
Lumen 旗下 Black Lotus Labs 披露，一个针对暴露 AI 服务的挖矿活动使用 PoeLLM 恶意软件，已感染超过 3400 台服务器，单日活跃受感染系统峰值达 800 台。
威胁情报BleepingComputerAI 评分3030 勒索软件转向攻击备份基础设施：ALPHV/BlackCat、BlackMatter、Gunra 案例与防护要点
勒索软件团伙正把备份基础设施作为首要攻击目标，先清除恢复点再加密数据以逼迫支付赎金。ALPHV/BlackCat 攻击 Change Healthcare 后 UnitedHealth 支付 2200 万美元赎金仍未拿回数据。
威胁情报Krebs on SecurityAI 评分7575 ShinyHunters 头目被捕前勒索波音剥离业务 Jeppesen ForeFlight
KrebsOnSecurity 报道，疑似 ShinyHunters 头目、约旦安曼青年 Saif Al-din Khader（黑客代号 Rey）已被拘留并据称配合 FBI 指认同伙，被捕时该团伙正勒索波音去年剥离的 Jeppesen ForeFlight 业务单元。
威胁情报Mandiant Threat Intelligence精选AI 评分9393 Mandiant 披露 Citrix NetScaler ADC 与 Gateway 零日漏洞在野利用活动
Mandiant Consulting 与 Google Threat Intelligence Group 在 2026 年 9 月下旬发现 Citrix NetScaler ADC 和 NetScaler Gateway 设备遭零日漏洞 CVE-2026-88772 的在野利用。
推荐理由：Mandiant 与 GTIG 披露 Citrix NetScaler ADC/Gateway 两个零日漏洞的在野利用活动，含攻击链、定制 PHP Web Shell（WHIPSHOT）与 Python 隧道工具（SLAPSHOT）分析，并给出狩猎、遏制与修复指引及 IOC、YARA 规则，对使用该设备的防守方有直接排查价值。
威胁情报Palo Alto Networks Unit 42精选AI 评分8080 Unit 42 披露 CL-CRI-1171 付费安装恶意软件分发活动，涉及 YouTube 与 SEO 投毒渠道
Palo Alto Networks Unit 42 披露一个被追踪为 CL-CRI-1171 的付费安装（PPI）恶意软件分发活动，该活动通过至少 11 个 YouTube 游戏优化频道和 SEO 投毒两条渠道，使用同一款名为 OfferLoader 的 Inno Setup 加载器分发恶意载荷。
推荐理由：Palo Alto Networks Unit 42 基于两起企业感染事件追踪出 CL-CRI-1171 付费安装（PPI）恶意软件分发活动，披露 OfferLoader 加载器及 Insomnia RAT、ARKTunnel、Docro Hijacker 三个载荷的技术细节，并给出完整 IOC 与域名清单，对安全团队排查同类感染和检测规则建设有直接参考价值。
威胁情报Mandiant Threat Intelligence精选AI 评分8888 Mandiant 披露 BREEZE COMET 针对巴西金融系统的攻击活动
Mandiant 自 2024 年起调查并跟踪名为 BREEZE COMET（原 UNC5669）的财务动机威胁组织，该组织针对巴西金融服务、零售和电商机构，通过操纵支付系统和银行软件实施欺诈转账。
推荐理由：Mandiant/GTIG 一手披露 BREEZE COMET 针对巴西金融系统的攻击活动，包含初始访问、提权、横向移动、持久化、C2 框架、IOC、YARA 规则和加固建议，信息完整且可核验，对金融、fintech、零售和政府部门的安全团队有直接排查与防御参考价值。
威胁情报Mandiant Threat Intelligence精选AI 评分8585 Google 披露三个疑似俄罗斯集群滥用合法认证流程钓鱼
Google Threat Intelligence Group（GTIG）披露正在追踪 UNC6293、UNC7005 和 UNC5976 三个疑似具有俄罗斯背景的网络间谍集群，它们滥用应用密码、OAuth、设备代码和 WhatsApp 设备关联等合法认证流程，针对欧洲及美国的学术、航空航天与国防、政府和智库人员实施钓鱼。
推荐理由：Google Threat Intelligence Group 以一手追踪视角披露三个疑似俄罗斯网络间谍集群滥用合法认证流程（应用密码、OAuth、设备代码、WhatsApp 设备关联）针对学术、航空航天与国防、政府及智库人员的活动，含具体域名、IP、样本哈希与缓解建议，可用于威胁狩猎与防御加固。