#威胁情报

推荐理由：梳理了 CVE-2026-21589 从 PoC 公开到蜜罐捕获利用尝试的时间线，并给出受影响产品与缓解措施。

推荐理由：原文披露了一个针对 AI 广告产品仿冒的钓鱼平台，包含 BitB 技术细节、Socket.IO 命令、域名与时间线，并明确区分了研究方披露与推测性归因，便于安全团队评估钓鱼风险与排查方向。

推荐理由：原文基于 Rapid7 的研究，披露了针对韩国和台湾电信与网络设备的 Linux 后门活动，包含样本命名伪装、C2 通信方式、命令码及防御建议等可核验细节，便于安全团队排查。

推荐理由：Unit 42 一手披露 CL-STA-1178 的 Blinder Tunnel 活动，给出完整攻击链、恶意样本哈希、C2 基础设施与归因证据，并明确标注归因置信度与未证实部分，便于安全团队排查与检测。

推荐理由：原文由 Unit 42 基于遥测与样本分析披露 NetScaler 两个零日漏洞的在野利用链，包含 CVE 编号、CVSS 分数、受影响实例数量、IOC 与哈希，并明确区分披露前与披露后活动，便于安全团队核验与排查。

推荐理由：Sophos X-Ops 基于 MDR 案例披露 TerminalFix 诱饵与 Lorem Ipsum Loader 的完整感染链、DLL 侧载配对表及两阶段活动关联，并明确标注归因置信度与未观察到加密，便于安全团队对照排查。

推荐理由：Mandiant 与 GTIG 披露 Citrix NetScaler ADC/Gateway 两个零日漏洞的在野利用活动，含攻击链、定制 PHP Web Shell（WHIPSHOT）与 Python 隧道工具（SLAPSHOT）分析，并给出狩猎、遏制与修复指引及 IOC、YARA 规则，对使用该设备的防守方有直接排查价值。

推荐理由：原文以荷兰警方逮捕一名24岁嫌疑人为线索，串联ShinyHunters对FBI招聘站点、Odido电信的数据窃取及对Cl0p的勒索，并给出CVE-2026-35273、PeopleSoft、Mandiant与GTIG报告等可核验要素，同时明确区分警方确认、媒体转述与组织自称，便于安全团队评估PeopleSoft漏洞暴露面与ShinyHunters活动态势。

推荐理由：CNCERT 与威胁治理联盟发布“银狐”木马专项打击行动阶段总结，给出情报库收录量、处置控制端与域名数量及被控端下降幅度等可核验数据，并公布线索报送渠道与用户防护建议，便于安全团队对照排查和跟进治理要求。

推荐理由：材料仅保留标题，正文抓取失败，无法核验报告中的攻击态势、样本、IOC 或处置建议，仅能确认 CNCERT 发布了针对“银狐”木马相关团伙的分析报告这一事实。

推荐理由：Mandiant 与 GTIG 以一手厂商研究披露 UNC6240（ShinyHunters）针对 Oracle PeopleSoft 的 CVE-2026-35273 新一轮大规模利用，给出 WAF 绕过手法、攻击链、后门样本、IOC 与修复建议，可核验细节充分，便于安全团队直接排查与加固。

推荐理由：CNCERT 以监管通报形式披露“银狐”木马专项打击行动中研判确认的 TOP 10 恶意网络资产，含 IP、域名、端口、归属地和日控制规模，并给出排查方法与处置建议，可直接用于 IOC 拦截和内部排查。

推荐理由：CNCERT 下属 CCTGA 发布的“银狐”木马专项通报，披露 TOP 10 恶意 IP、关联域名、端口、归属地和日控制规模，并给出排查方法与处置建议，可直接用于 IOC 更新和终端排查。

推荐理由：Palo Alto Networks Unit 42 基于两起企业感染事件追踪出 CL-CRI-1171 付费安装（PPI）恶意软件分发活动，披露 OfferLoader 加载器及 Insomnia RAT、ARKTunnel、Docro Hijacker 三个载荷的技术细节，并给出完整 IOC 与域名清单，对安全团队排查同类感染和检测规则建设有直接参考价值。

推荐理由：Palo Alto Networks Unit 42 基于自身遥测披露两起针对拉丁美洲的持续入侵与数据外泄活动，给出活动簇编号、时间线、基础设施、证书哈希与 IOC，并说明攻击者使用商业 LLM 与 NextChat 编排操作，同时指出其暴露的暂存目录等 OpSec 失误可供防御方利用。

推荐理由：原文以记者实测和多方交叉验证的方式，披露暗网身份盗用服务 Nexus 出售逾 1.53 亿份美加驾照扫描件，并给出 FBI 新奥尔良办事处立案、疑似数据来源 idscan.net 及后续声明的可核验线索，便于安全团队评估身份核验供应链风险。

推荐理由：Mandiant/GTIG 一手披露 BREEZE COMET 针对巴西金融系统的攻击活动，包含初始访问、提权、横向移动、持久化、C2 框架、IOC、YARA 规则和加固建议，信息完整且可核验，对金融、fintech、零售和政府部门的安全团队有直接排查与防御参考价值。

推荐理由：原文以记者调查和多方情报机构数据还原了TeamPCP成员被捕事件及其身份溯源过程，包含具体姓名、年龄、指控罪名、开庭时间与供应链攻击影响范围，便于安全团队了解该组织的运作方式和执法进展。

推荐理由：Google Threat Intelligence Group 以一手追踪视角披露三个疑似俄罗斯网络间谍集群滥用合法认证流程（应用密码、OAuth、设备代码、WhatsApp 设备关联）针对学术、航空航天与国防、政府及智库人员的活动，含具体域名、IP、样本哈希与缓解建议，可用于威胁狩猎与防御加固。

推荐理由：原文由 Google Threat Intelligence Group 发布，给出 UNC6671 多品牌勒索活动的共享基础设施、域名清单、IOC 与加固建议，并明确区分了组织自称与分析师评估，便于安全团队排查与加固。

推荐理由：CNCERT 发布的风险提示，披露 FakeSvc 挖矿组织的传播方式、攻击链和监测数据，含具体时间范围、感染规模和 C2 访问量，便于安全团队排查 Linux 服务器 SSH 弱口令风险。