微软周三披露，被其命名为 Storm-0940 的中国国家关联攻击者参与了近期 ConnectWise Cloud Backup 应用的供应链入侵。该组织在此次事件中使用基于 Go 的智能体 AI 渗透测试框架 ARTEX 加速扫描；ARTEX 此前因被用于攻击韩国金融机构而转为闭源。
推荐理由：微软将 ConnectWise 供应链攻击归因于 Storm-0940，并指出其借助 ARTEX 框架加速扫描，为观察 AI 工具进入攻击链提供线索。
安全研究人员警告，不明攻击者正滥用 ConnectWise Cloud Backup（原 SkyKick）一个遭泄露的 Microsoft 365 凭据，未授权访问客户的 M365 环境。ConnectWise Cloud Backup 是面向托管服务提供商（MSP）的云端备份与恢复服务，报道称受影响租户达 173 个。
ConnectWise 表示，在调查一起未知威胁行为者未经授权获取应用身份并入侵 Microsoft 365 租户的事件期间，已停用七个 ConnectWise 应用身份，其中包括 ConnectWise Cloud Backup（506e08f9-6e9a-4da4-942b-a099a03644ae）。该公司称调查仍在继续。
ConnectWise 在黑客访问应用身份并入侵 Microsoft 365 租户后，关闭了客户对其 Cloud Backup 服务（原 SkyKick Cloud Backup）的访问。报道将此次事件描述为一起供应链攻击，受影响租户的具体范围和入侵细节尚未在摘要中披露。
微软联合 Health-ISAC、JC3 及 Cloudflare、Oracle、Proofpoint、TRM Labs 等公司宣布捣毁 CoGUI（NX/FA）、Haozi（Phoenix）和 Iron Man System 三个钓鱼套件。
微软与日本警察厅等机构联合捣毁一个支撑超10亿封恶意邮件的网络犯罪生态，涉及150个国家、逾7.5万家组织。调查发现名为YAM Store（Storm-3119）的地下市场，关联CoGUI、Haozi和Iron Man System等钓鱼工具包（统称Storm-2990），其中Iron Man提供超2300个冒充银行、零售商和政府的模板。
推荐理由：微软与日本警方等联合捣毁一个支撑超十亿封钓鱼邮件的犯罪生态，披露了YAM Store与Iron Man等工具链的运作方式。
据恶魔论坛帖文说法，一个 45GB 的微软源代码档案正通过种子传播，内容涉及多代 Windows、Windows CE、Windows Embedded 及 Xbox 相关源代码。帖文未提供可确认的条数信息，该说法目前尚无独立证据核验。
Push Security 研究人员披露一种名为 Adception 的攻击手法，攻击者在 Google 搜索广告中使用合法的 Bing 搜索结果跳转链接作为点击 URL，将搜索 claude mac 的用户导向伪造的 Claude 安装页面。
微软威胁情报团队披露一种新型 ClickFix 攻击，被入侵网站把脚本载荷伪装成 PNG 预取进浏览器缓存，诱使用户粘贴命令后执行本地缓存内容，从而绕过 Windows Run 对话框约 260 字符的截断限制。
Sophos X-Ops 在 2026 年 8 月起调查多起 MDR 案例，发现攻击者用 TerminalFix 诱饵（诱导打开 Windows Terminal 而非运行对话框的 ClickFix 变种）投递基于 Python 的隧道植入体，并将相关入侵归为自至少 3 月起活跃的 STAC4924 活动。
推荐理由：Sophos X-Ops 基于 MDR 案例披露 TerminalFix 诱饵与 Lorem Ipsum Loader 的完整感染链、DLL 侧载配对表及两阶段活动关联，并明确标注归因置信度与未观察到加密，便于安全团队对照排查。
澳大利亚联邦警察（AFP）本周三上午在珀斯逮捕两名来自西澳大利亚的21岁和23岁男子，称其涉嫌参与一个“通过创建恶意开源软件窃取全球数千家企业”的网络犯罪集团，两人共面临14项网络犯罪指控，还押至9月18日再次出庭。
推荐理由：原文以记者调查和多方情报机构数据还原了TeamPCP成员被捕事件及其身份溯源过程，包含具体姓名、年龄、指控罪名、开庭时间与供应链攻击影响范围，便于安全团队了解该组织的运作方式和执法进展。
Google Threat Intelligence Group（GTIG）披露正在追踪 UNC6293、UNC7005 和 UNC5976 三个疑似具有俄罗斯背景的网络间谍集群，它们滥用应用密码、OAuth、设备代码和 WhatsApp 设备关联等合法认证流程，针对欧洲及美国的学术、航空航天与国防、政府和智库人员实施钓鱼。
推荐理由：Google Threat Intelligence Group 以一手追踪视角披露三个疑似俄罗斯网络间谍集群滥用合法认证流程（应用密码、OAuth、设备代码、WhatsApp 设备关联）针对学术、航空航天与国防、政府及智库人员的活动，含具体域名、IP、样本哈希与缓解建议，可用于威胁狩猎与防御加固。