CyberXero 借 Claude Code 发动攻击，窃取逾 62.8 万条乌克兰记录
SOCRadar 披露代号 CyberXero 的俄语初始访问经纪团伙，使用 Anthropic 的 Claude Code 与 51 个专用智能体集群，对 WordPress、电商平台和乌克兰关键基础设施发动双线攻击，已确认从四家乌克兰机构窃取逾 628,000 条记录，波兰、中国和荷兰也有确认入侵。
#威胁情报
威胁情报The Hacker NewsAI 评分7575 威胁情报元见威胁情报AI 评分3434 法国橄榄球联合会（ffr.fr）数据被声称泄露
2026年10月12日，暗黑论坛一名用户发帖声称法国橄榄球联合会（ffr.fr）相关数据已泄露，可在论坛获取，查看隐藏内容需回复或升级账户。帖子未说明具体数据类型、字段、条数或时间范围，该说法目前属公开来源自称，尚无独立证据核验。
威胁情报元见威胁情报AI 评分4040 论坛用户声称 Changelly API 存在交易漏洞，两天获利 12000 美元
2026年10月12日，暗黑论坛一名用户发帖声称发现加密货币兑换平台 Changelly 的 API 存在交易限制漏洞，可用于获取额外兑换收益，并称两天内获利 12000 美元。该帖称首次交易可获得额外 50% 的兑换收益。上述说法目前仅为论坛用户自称，尚无独立证据或官方确认。
威胁情报元见威胁情报AI 评分3838 菲律宾国会个人身份信息被声称泄露
2026年10月13日，暗黑论坛出现帖子声称存在菲律宾国会的个人身份信息泄露数据。帖子未公开具体数据内容、字段、数量及泄露时间，相关内容已被论坛隐藏。
威胁情报元见威胁情报AI 评分6262 土耳其ATM系统被声称入侵，数据库及敏感文件疑似泄露
2026年10月12日，BF论坛一名用户发帖声称已从土耳其ATM系统提取1.2GiB数据库，另有100+GiB文件仍在获取中，涉及犯罪记录证明、国民身份证、军事记录等。该用户称已将表名和列名翻译为英文、数据未改动，未提供具体记录条数，数据购买通过私信联系并以门罗币支付。上述内容为论坛用户单方声称，尚无独立证据证实。
威胁情报勒索情报 · 定时任务精选AI 评分8585 FBI 与美特勤局联合预警 FortiBleed：逾 8.6 万台 FortiGate 与 SSL VPN 网关失陷
FBI 与美国特勤局 10 月 6 日联合发布安全公告，确认凭证收割行动 FortiBleed 仍在攻击互联网暴露的 Fortinet FortiGate 防火墙与 SSL VPN 网关，并称已有 86,644 台设备在 194 个国家被确认攻陷。
推荐理由：FBI 与特勤局给出的失陷规模与凭证收割链条，说明补丁之外账号与会话才是当前暴露面。
威胁情报元见威胁情报AI 评分2222 伊朗沙里夫理工大学数据库数据被声称发布
2026年10月12日，暗黑论坛一名用户发帖声称提供伊朗沙里夫理工大学数据库泄露数据，具体内容和规模需回复或升级账户后查看。正文未公开数据类型、字段、数量或时间范围，该声称尚待核验。
威胁情报勒索情报 · 定时任务AI 评分6060 Rhysida 声称窃取美国县级政府与公共卫生机构 2.6TB 数据并限时拍卖
勒索组织 Rhysida 在泄露站点挂出多条指向美国县级政府与公共卫生机构的条目，宣称窃取约 2.6TB、超过 814,500 份文件，并设置七天限时拍卖窗口。
威胁情报元见威胁情报AI 评分4242 暗黑论坛用户声称将公开墨西哥总检察院（FGR）全部数据
2026年10月12日，暗黑论坛一名用户发帖声称将通过Telegram频道公开墨西哥总检察院（FGR）全部数据。帖子实际仅附一份FGR版权、编辑于2025年1月的犯罪受害者关注培训文档，涉及墨西哥《一般受害者法》与受害者权利等内容。目前仅见该培训文件样本，未提及具体数据条数或数据库字段。
威胁情报The Hacker NewsAI 评分7171 FBI 再逮捕一名 ShinyHunters 嫌疑人，涉 FBI 招聘门户数据泄露
FBI 局长 Kash Patel 10 月 9 日在 X 上表示，FBI 又逮捕了一名 ShinyHunters 疑似同谋，该嫌疑人未公布姓名，据《纽约时报》和 CBS News 援引匿名消息源称其为加拿大公民、在宾夕法尼亚州被捕。
威胁情报The Hacker News精选AI 评分8080 GhostAction 攻击向数万 GitHub 仓库植入窃取凭据的 Actions 工作流
StepSecurity 与 Socket 披露，GhostAction 供应链攻击活动通过两个开源维护者账号，将恶意 GitHub Actions 工作流推送到 340 多个仓库，Socket 称自 2026 年 10 月 7 日以来已有 500 多个 GitHub 账号向数万仓库提交该工作流。
推荐理由：梳理 GhostAction 供应链攻击的完整链路与受影响范围，可供开发者排查仓库与轮换凭据时参考。
威胁情报The Hacker NewsAI 评分7575 P7 DarkSword iOS 漏洞套件新增加密钱包窃取与远程命令
iVerify 披露 DarkSword iOS 漏洞套件的新变种 P7 DarkSword，相比常见变种减少了设备上的痕迹，新增设备端钥匙串与加密钱包数据窃取，并加入与攻击者基础设施的双向 C2 通信。
威胁情报BleepingComputerAI 评分6262 德国在引渡后逮捕涉嫌 Qilin 勒索团伙核心成员
德国在从日本引渡一名俄罗斯籍嫌疑人后将其逮捕，日方称该嫌疑人以游客身份入境后被临时拘留并移交德方。Qilin 是 2022 年 8 月以 Agenda 名义出现的勒索软件即服务（RaaS）团伙，采用先窃取数据再加密的双重勒索手法，已知攻击超过 62 个国家的 2350 多家机构，受害者包括日产、朝日啤酒、Lee Enterprises 和维多利亚州法院服务局。
威胁情报BleepingComputerAI 评分7272 FBI 在 FBIjobs.gov 入侵事件后再逮捕一名 ShinyHunters 嫌疑人
FBI 局长 Kash Patel 周五宣布，执法人员又逮捕了一名 ShinyHunters 勒索团伙的疑似同谋，该团伙被认为与近期 FBIjobs.gov 平台遭入侵有关。
威胁情报BleepingComputerAI 评分6262 AhsayCBS 未修补漏洞被利用部署 webshell 并挖矿
攻击者利用 AhsayCBS 备份管理平台中一个认证绕过漏洞 CVE-2026-105133 和一个 OS 命令注入漏洞 CVE-2026-105134 部署 webshell 和加密货币挖矿程序，活动于 10 月 7 日被发现，至少针对五家组织。
威胁情报BleepingComputerAI 评分5858 攻击者滥用 Google Ads 与 Bing 跳转推送假 Claude 安装程序 ClickFix 攻击
Push Security 研究人员披露一种名为 Adception 的攻击手法，攻击者在 Google 搜索广告中使用合法的 Bing 搜索结果跳转链接作为点击 URL，将搜索 claude mac 的用户导向伪造的 Claude 安装页面。
威胁情报BleepingComputer精选AI 评分8080 黑客用 ARTEX AI 与 Claude 智能体攻击韩国多家银行
一名中文使用者本月早些时候针对 Shinhan Bank、KB Kookmin Bank、Hana Bank 等韩国银行发动网络攻击，使用 ARTEX AI 渗透测试套件和 Claude 智能体，导致客户个人数据与信用卡信息泄露，部分系统中断，韩国政府召开紧急会议。
推荐理由：CrowdStrike 通过泄露的会话记录还原攻击者所用 AI 工具链，可观察智能体渗透测试套件在真实攻击中的落地方式。
威胁情报BleepingComputerAI 评分6262 日本第一兴商承包商 Nippon Columbia 感染恶意软件，870 万条卡拉OK客户记录受影响
日本娱乐系统厂商第一兴商（Daiichi Kosho）披露，其个人信息处理承包商 Nippon Columbia 集团（NCG）员工电脑感染恶意软件，可能暴露 93,000 名员工和 8,631,000 名客户的记录，涉及姓名、性别、出生日期、邮箱和电话。
行业The DecoderAI 评分6262 OpenAI 披露俄罗斯和伊朗影响行动，向正规媒体植入假新闻
OpenAI 披露并封禁了一个俄罗斯和一个伊朗影响行动所用的 ChatGPT 账号，两者均使用虚假身份向正规媒体植入内容，而非仅运营社交媒体账号。
威胁情报The Hacker NewsAI 评分5858 攻击者利用 AhsayCBS 漏洞部署伪装成 Microsoft Edge 的 XMRig 挖矿程序
攻击者利用 AhsayCBS 备份工具的两个漏洞 CVE-2026-105133（CVSS v4 5.5）和 CVE-2026-105134（CVSS v4 9.3）绕过认证并执行任意命令，部署 web shell 和伪装成 Microsoft Edge 的 XMRig 加密货币挖矿程序。
威胁情报The Hacker News精选AI 评分7878 FBI 查封 7 个域名，打击 Flax Typhoon 关键基础设施入侵工具
美国 FBI 与司法部宣布查封 7 个域名并阻断相关平台访问，这些平台被用于扫描乃至入侵美国关键基础设施，涉事域名包括 c0cc[.]cc、98aiblog[.]com、98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com 和 linkedinns[.]net。
推荐理由：材料给出被查封域名、C2 服务器与受害设备数量，可了解 Flax Typhoon 工具链与执法处置范围。
威胁情报The Hacker NewsAI 评分7575 日本 Web 数据泄露激增，JPCERT/CC 通报移动 API 滥用与 Metabase 攻击
JPCERT/CC 于 2026 年 10 月 8 日发布警报称，日本机构接连发生个人信息泄露，攻击者滥用移动应用 API 并利用已知软件漏洞，警报未点名任何攻击者或受害机构。
威胁情报The Hacker NewsAI 评分2222 ThreatsDay 汇总：勒索软件联盟成员背叛、WhatsApp RAT 与暴露的黑客工具等 12 则故事
Socket 发现 Visual Studio Marketplace 上两款伪装成配色的恶意 VS Code 主题（Coca-Cola Christmas、Aurora Borealis Studio Theme）。
威胁情报The Hacker News精选AI 评分7878 FBI 等七国机构通报：与中国关联的黑客运营可访问窃取邮件的门户
FBI 与另外 6 国机构 10 月 8 日发布联合通报，称与中国网络安全公司 Integrity Technology Group 关联的黑客自至少 2021 年 1 月中旬起入侵东南亚及美国等地政府、执法、医疗和宗教机构邮箱，并运营一个向第三方提供被盗邮件访问权限的 Web 应用。
推荐理由：联合通报披露了入侵手法、8 个被利用漏洞与 39 页 IOC，可据此排查同类痕迹。
威胁情报BleepingComputerAI 评分6262 FakeGit 恶意活动回归，GitHub 上 17,610 个恶意仓库分发 SmartLoader
软件供应链安全平台 Apiiro 报告称，FakeGit 活动于 10 月 4 日重新活跃，在 GitHub 上使用 17,610 个仓库分发 SmartLoader，进而投放 StealC 等信息窃取程序。
威胁情报BleepingComputerAI 评分7272 低价安卓手机固件预装 Midnight Mimosa 恶意软件，波及 150 多国数千台设备
Bitdefender 发现名为 Midnight Mimosa 的恶意软件活动，预装在采用 MediaTek 芯片的低价安卓手机固件中，使其获得系统级权限，可静默安装应用、进行广告欺诈并将设备变为住宅代理。
威胁情报BleepingComputerAI 评分7272 勒索攻击致日本 IDCF Cloud 东日本区域中断，495 家企业与地方政府受影响
日本云与数字基础设施公司 IDC Frontier 披露，其 IDCF Cloud 服务遭勒索攻击，导致服务日本东部地区的数据中心集群中断，公司于当地时间 10 月 7 日凌晨 3:40 关闭网络与系统。
威胁情报BleepingComputer精选AI 评分8080 FBI 查封 Flax Typhoon 使用的 MicroScan 与 FishHub 相关七个域名
FBI 查封了与中国政府关联黑客组织 Flax Typhoon 相关的七个域名，这些域名用于运营 MicroScan 和 FishHub 两款攻击工具，美方称其由 Integrity Technology Group 运营。
推荐理由：材料给出了被查封域名、受影响机构类型与八个被利用 CVE，可据此排查同类暴露面。
威胁情报The Hacker NewsAI 评分6666 韩国金融机构遭 AI 渗透工具 ARTEX 攻击致数据外泄
CrowdStrike Intelligence 披露，2026 年 9 月底至 10 月初针对韩国金融机构的攻击活动使用开源 AI 智能体渗透测试工具 ARTEX 并造成数据外泄，该活动尚未归因于已知威胁组织，但证据指向疑似中文操作者且动机为经济获利。
威胁情报The Hacker NewsAI 评分6262 UAC-0099 用 ASHVEIN RAT 攻击乌克兰政府人员，将指令藏进 HTML
与俄罗斯关联的威胁组织 UAC-0099 被指使用此前未记录的 .NET 信息窃取与远程访问木马 ASHVEIN（内部称 TelemetryBrowser）攻击乌克兰政府人员。
威胁情报The Hacker NewsAI 评分7575 Tensorlake npm 包被投毒，植入 Shai-Hulud 凭据窃取蠕虫
Tensorlake 的 TypeScript SDK npm 包 tensorlake 遭 ChainDrop / Shai-Hulud 供应链攻击，恶意版本 0.5.144 含混淆恶意代码，可窃取凭据、外传密钥、建立持久化并执行远程代码，该版本已从 npm 下架。
威胁情报The Hacker NewsAI 评分6262 16款恶意Firefox扩展伪装Rabby和OKX钱包窃取助记词
Socket研究人员发现16款恶意Mozilla Firefox扩展，伪装成钱包门户、桌面工具和浏览器工具，在钱包导入流程中拦截助记词和私钥，并试图将其发送至攻击者控制的Cloudflare Workers域名。
威胁情报The Hacker NewsAI 评分4040 Wazza 钓鱼套件瞄准美欧澳银行、政府与制造业
ANY.RUN 发现新型钓鱼套件 Wazza，针对美国、欧洲和澳大利亚的银行、制造与政府机构，通过多阶段路由链筛选访客和自动化流量后再投放 Adobe 主题的 Device Code 钓鱼页面。
威胁情报The Decoder精选AI 评分7878 AI 黑客工具疑助单一攻击者入侵多家韩国银行
CrowdStrike 报告称，一名疑似中文使用者于 2026 年 9 月底至 10 月初攻击多家韩国金融机构并窃取大量数据，仅新韩银行就有超过 25000 条含姓名、联系方式、收入和信用额度的记录被窃。
推荐理由：CrowdStrike 与韩媒披露的攻击细节显示，AI 自动化渗透工具正被用于短时间内攻破多家金融机构。
威胁情报BleepingComputerAI 评分6565 黑客入侵 ccTLD 注册局后劫持 Google 域名
攻击者通过入侵第三方运营商并修改 .GH、.SL、.AS 等国家顶级域名的权威 DNS 记录，为多个 Google 域名获取未授权 HTTPS 证书并实施域名劫持。
威胁情报BleepingComputerAI 评分7373 FBI 警告 FortiBleed 攻击持续，FortiGate VPN 管理员被锁出
FBI 警告 FortiBleed 攻击仍在持续，针对暴露的 Fortinet FortiGate 防火墙和 SSL VPN 网关，攻击者利用此前泄露的凭据、infostealer 日志、撞库和密码喷洒获取访问权限，并锁出合法管理员。
威胁情报The Hacker NewsAI 评分6868 攻击者劫持 .gh、.sl 和 .as 注册局，为 Google 域名获取未授权证书
Google 于 10 月 6 日称，攻击者劫持了 .gh（加纳）、.sl（塞拉利昂）和 .as（美属萨摩亚）三个国家代码顶级域名，并为多个 Google 域名获取了未授权 HTTPS 证书，Google 自身系统未被入侵。
威胁情报The Hacker NewsAI 评分6262 八个恶意 npm 包被下载 40767 次，投递 Overlord RAT 与窃密程序
CloudSEK 与 Checkmarx 披露代号 MALFEX 的 npm 供应链恶意活动，12 个包中 8 个被标记为恶意，累计下载 40767 次，其中 function-flag 占 37419 次。
威胁情报The Hacker NewsAI 评分6262 ClickFix 借浏览器缓存藏载荷，绕过 Windows Run 字符限制
微软威胁情报团队披露一种新型 ClickFix 攻击，被入侵网站把脚本载荷伪装成 PNG 预取进浏览器缓存，诱使用户粘贴命令后执行本地缓存内容，从而绕过 Windows Run 对话框约 260 字符的截断限制。
威胁情报The Hacker News精选AI 评分7878 丹麦称攻击者借企业账号访问880万人CPR数据
丹麦数字化部10月5日称，未经授权方通过一家丹麦私营企业的合法查询权限，访问了国家人口登记系统（CPR）中约880万人的姓名、地址和个人身份号码，涵盖在世居民、移居海外者及已故人员。
推荐理由：丹麦人口登记系统约880万人信息被越权查询，事件暴露企业查询权限与告警机制的缺口。