2026 年 5 月至 7 月，攻击者多次篡改 AOMEI Backupper 从厂商更新服务器拉取的文件，每次持续 5 至 10 分钟，在此期间检查更新的 Windows 备份程序会下载并运行后门。Google Threat Intelligence Group、Mandiant 与 ManageEngine 的威胁分析团队披露了这一情况。
推荐理由：材料披露攻击者利用厂商更新服务器短时篡改投递后门，读者可了解供应链更新环节的暴露窗口。
Mandiant 称在事件响应中发现，疑似中国背景的间谍组织 ARMORY CASTLE（原编号 UNC5221）在 2026 年 8 月下旬将 BeyondTrust Remote Support 的漏洞 CVE-2026-102764 作为零日漏洞利用，该漏洞可导致任意文件上传。
推荐理由：Mandiant 披露 ARMORY CASTLE 利用 BeyondTrust 零日漏洞的入侵证据，可了解该组织在设备内部提权与持久化的手法。
Google Threat Intelligence Group 与 Mandiant 调查了 2026 年 4 月至 7 月针对 AOMEI Technology 更新基础设施的软件供应链攻击，攻击者反复对 AOMEI 源服务器做短时配置篡改，每次篡改窗口仅持续五到十分钟便恢复为真实版本。
推荐理由：披露一种仅持续五到十分钟的供应链篡改手法，为防守方理解短窗口投毒与基础设施封堵难点提供参考。
KrebsOnSecurity 报道，疑似 ShinyHunters 头目、约旦安曼青年 Saif Al-din Khader（黑客代号 Rey）已被拘留并据称配合 FBI 指认同伙，被捕时该团伙正勒索波音去年剥离的 Jeppesen ForeFlight 业务单元。
Sophos X-Ops 在 2026 年 8 月起调查多起 MDR 案例，发现攻击者用 TerminalFix 诱饵（诱导打开 Windows Terminal 而非运行对话框的 ClickFix 变种）投递基于 Python 的隧道植入体，并将相关入侵归为自至少 3 月起活跃的 STAC4924 活动。
推荐理由：Sophos X-Ops 基于 MDR 案例披露 TerminalFix 诱饵与 Lorem Ipsum Loader 的完整感染链、DLL 侧载配对表及两阶段活动关联，并明确标注归因置信度与未观察到加密，便于安全团队对照排查。
Mandiant Consulting 与 Google Threat Intelligence Group 在 2026 年 9 月下旬发现 Citrix NetScaler ADC 和 NetScaler Gateway 设备遭零日漏洞 CVE-2026-88772 的在野利用。
推荐理由：Mandiant 与 GTIG 披露 Citrix NetScaler ADC/Gateway 两个零日漏洞的在野利用活动，含攻击链、定制 PHP Web Shell（WHIPSHOT）与 Python 隧道工具（SLAPSHOT）分析，并给出狩猎、遏制与修复指引及 IOC、YARA 规则，对使用该设备的防守方有直接排查价值。
荷兰警方本月逮捕一名24岁嫌疑人，据三名知情人士称此人为曾以“Umbreon”作案、2023年被定罪的前黑客Pepijn van der Stap，警方其后确认逮捕与ShinyHunters调查有关。
推荐理由：原文以荷兰警方逮捕一名24岁嫌疑人为线索，串联ShinyHunters对FBI招聘站点、Odido电信的数据窃取及对Cl0p的勒索，并给出CVE-2026-35273、PeopleSoft、Mandiant与GTIG报告等可核验要素，同时明确区分警方确认、媒体转述与组织自称，便于安全团队评估PeopleSoft漏洞暴露面与ShinyHunters活动态势。
Mandiant 与 Google Threat Intelligence Group 披露 UNC6240（ShinyHunters）对 Oracle PeopleSoft 的 CVE-2026-35273 发起新一轮大规模利用。
推荐理由：Mandiant 与 GTIG 以一手厂商研究披露 UNC6240（ShinyHunters）针对 Oracle PeopleSoft 的 CVE-2026-35273 新一轮大规模利用，给出 WAF 绕过手法、攻击链、后门样本、IOC 与修复建议，可核验细节充分，便于安全团队直接排查与加固。