约300万行窃密木马日志在恶魔论坛被公开泄露
2026年10月14日，恶魔论坛有帖文称发布者分享了从窃密木马中泄露的高级日志资源，大小约287MB、包含超过3000000行数据。帖文未透露具体字段，下载链接托管于多个网盘平台。
#恶意软件
威胁情报元见威胁情报AI 评分4040 威胁情报元见威胁情报AI 评分6262 Shinyhunters 声称勒索食品分销商 Sysco，公开约 270 万个邮箱地址
Shinyhunters 组织声称对食品分销商 Sysco 发起“付费或泄露”勒索，并公开约 2700000 个员工及客户邮箱地址。据称泄露数据还包含姓名、电话、住址、职位、客户反馈，以及内部员工账户、组织架构和多因素认证配置等字段，事件发生于 2026 年 6 月。
威胁情报The Hacker NewsAI 评分7575 CyberXero 借 Claude Code 发动攻击，窃取逾 62.8 万条乌克兰记录
SOCRadar 披露代号 CyberXero 的俄语初始访问经纪团伙，使用 Anthropic 的 Claude Code 与 51 个专用智能体集群，对 WordPress、电商平台和乌克兰关键基础设施发动双线攻击，已确认从四家乌克兰机构窃取逾 628,000 条记录，波兰、中国和荷兰也有确认入侵。
威胁情报The Hacker News精选AI 评分8080 GhostAction 攻击向数万 GitHub 仓库植入窃取凭据的 Actions 工作流
StepSecurity 与 Socket 披露，GhostAction 供应链攻击活动通过两个开源维护者账号，将恶意 GitHub Actions 工作流推送到 340 多个仓库，Socket 称自 2026 年 10 月 7 日以来已有 500 多个 GitHub 账号向数万仓库提交该工作流。
推荐理由：梳理 GhostAction 供应链攻击的完整链路与受影响范围，可供开发者排查仓库与轮换凭据时参考。
威胁情报The Hacker NewsAI 评分7575 P7 DarkSword iOS 漏洞套件新增加密钱包窃取与远程命令
iVerify 披露 DarkSword iOS 漏洞套件的新变种 P7 DarkSword，相比常见变种减少了设备上的痕迹，新增设备端钥匙串与加密钱包数据窃取，并加入与攻击者基础设施的双向 C2 通信。
威胁情报BleepingComputerAI 评分6262 德国在引渡后逮捕涉嫌 Qilin 勒索团伙核心成员
德国在从日本引渡一名俄罗斯籍嫌疑人后将其逮捕，日方称该嫌疑人以游客身份入境后被临时拘留并移交德方。Qilin 是 2022 年 8 月以 Agenda 名义出现的勒索软件即服务（RaaS）团伙，采用先窃取数据再加密的双重勒索手法，已知攻击超过 62 个国家的 2350 多家机构，受害者包括日产、朝日啤酒、Lee Enterprises 和维多利亚州法院服务局。
威胁情报BleepingComputerAI 评分6262 AhsayCBS 未修补漏洞被利用部署 webshell 并挖矿
攻击者利用 AhsayCBS 备份管理平台中一个认证绕过漏洞 CVE-2026-105133 和一个 OS 命令注入漏洞 CVE-2026-105134 部署 webshell 和加密货币挖矿程序，活动于 10 月 7 日被发现，至少针对五家组织。
威胁情报BleepingComputerAI 评分5858 攻击者滥用 Google Ads 与 Bing 跳转推送假 Claude 安装程序 ClickFix 攻击
Push Security 研究人员披露一种名为 Adception 的攻击手法，攻击者在 Google 搜索广告中使用合法的 Bing 搜索结果跳转链接作为点击 URL，将搜索 claude mac 的用户导向伪造的 Claude 安装页面。
威胁情报BleepingComputer精选AI 评分8080 黑客用 ARTEX AI 与 Claude 智能体攻击韩国多家银行
一名中文使用者本月早些时候针对 Shinhan Bank、KB Kookmin Bank、Hana Bank 等韩国银行发动网络攻击，使用 ARTEX AI 渗透测试套件和 Claude 智能体，导致客户个人数据与信用卡信息泄露，部分系统中断，韩国政府召开紧急会议。
推荐理由：CrowdStrike 通过泄露的会话记录还原攻击者所用 AI 工具链，可观察智能体渗透测试套件在真实攻击中的落地方式。
威胁情报BleepingComputerAI 评分6262 日本第一兴商承包商 Nippon Columbia 感染恶意软件，870 万条卡拉OK客户记录受影响
日本娱乐系统厂商第一兴商（Daiichi Kosho）披露，其个人信息处理承包商 Nippon Columbia 集团（NCG）员工电脑感染恶意软件，可能暴露 93,000 名员工和 8,631,000 名客户的记录，涉及姓名、性别、出生日期、邮箱和电话。
安全通报CNCERT 监管通报精选AI 评分7878 CNCERT 提示“荐片播放器”内置后门大规模传播，境内超70万台设备感染
国家互联网应急中心（CNCERT）监测发现，“荐片播放器”Windows端应用程序内置后门功能，可在用户不知情的情况下采集终端信息、下载运行其他程序，并接收服务端指令执行任意代码，存在终端被远程控制、个人信息泄露等安全风险。目前境内已监测到超70万台设备感染，CNCERT 就主要恶意行为、感染情况及防范建议发布风险提示。
推荐理由：CNCERT 披露荐片播放器内置后门的具体恶意行为与超70万台感染规模，可供用户和单位排查处置。
威胁情报The Hacker NewsAI 评分5858 攻击者利用 AhsayCBS 漏洞部署伪装成 Microsoft Edge 的 XMRig 挖矿程序
攻击者利用 AhsayCBS 备份工具的两个漏洞 CVE-2026-105133（CVSS v4 5.5）和 CVE-2026-105134（CVSS v4 9.3）绕过认证并执行任意命令，部署 web shell 和伪装成 Microsoft Edge 的 XMRig 加密货币挖矿程序。
威胁情报The Hacker News精选AI 评分7878 FBI 查封 7 个域名，打击 Flax Typhoon 关键基础设施入侵工具
美国 FBI 与司法部宣布查封 7 个域名并阻断相关平台访问，这些平台被用于扫描乃至入侵美国关键基础设施，涉事域名包括 c0cc[.]cc、98aiblog[.]com、98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com 和 linkedinns[.]net。
推荐理由：材料给出被查封域名、C2 服务器与受害设备数量，可了解 Flax Typhoon 工具链与执法处置范围。
威胁情报The Hacker NewsAI 评分2222 ThreatsDay 汇总：勒索软件联盟成员背叛、WhatsApp RAT 与暴露的黑客工具等 12 则故事
Socket 发现 Visual Studio Marketplace 上两款伪装成配色的恶意 VS Code 主题（Coca-Cola Christmas、Aurora Borealis Studio Theme）。
威胁情报The Hacker News精选AI 评分7878 FBI 等七国机构通报：与中国关联的黑客运营可访问窃取邮件的门户
FBI 与另外 6 国机构 10 月 8 日发布联合通报，称与中国网络安全公司 Integrity Technology Group 关联的黑客自至少 2021 年 1 月中旬起入侵东南亚及美国等地政府、执法、医疗和宗教机构邮箱，并运营一个向第三方提供被盗邮件访问权限的 Web 应用。
推荐理由：联合通报披露了入侵手法、8 个被利用漏洞与 39 页 IOC，可据此排查同类痕迹。
威胁情报BleepingComputerAI 评分6262 FakeGit 恶意活动回归，GitHub 上 17,610 个恶意仓库分发 SmartLoader
软件供应链安全平台 Apiiro 报告称，FakeGit 活动于 10 月 4 日重新活跃，在 GitHub 上使用 17,610 个仓库分发 SmartLoader，进而投放 StealC 等信息窃取程序。
威胁情报BleepingComputerAI 评分7272 低价安卓手机固件预装 Midnight Mimosa 恶意软件，波及 150 多国数千台设备
Bitdefender 发现名为 Midnight Mimosa 的恶意软件活动，预装在采用 MediaTek 芯片的低价安卓手机固件中，使其获得系统级权限，可静默安装应用、进行广告欺诈并将设备变为住宅代理。
威胁情报The Hacker NewsAI 评分6666 韩国金融机构遭 AI 渗透工具 ARTEX 攻击致数据外泄
CrowdStrike Intelligence 披露，2026 年 9 月底至 10 月初针对韩国金融机构的攻击活动使用开源 AI 智能体渗透测试工具 ARTEX 并造成数据外泄，该活动尚未归因于已知威胁组织，但证据指向疑似中文操作者且动机为经济获利。
威胁情报The Hacker NewsAI 评分6262 UAC-0099 用 ASHVEIN RAT 攻击乌克兰政府人员，将指令藏进 HTML
与俄罗斯关联的威胁组织 UAC-0099 被指使用此前未记录的 .NET 信息窃取与远程访问木马 ASHVEIN（内部称 TelemetryBrowser）攻击乌克兰政府人员。
威胁情报The Hacker NewsAI 评分7575 Tensorlake npm 包被投毒，植入 Shai-Hulud 凭据窃取蠕虫
Tensorlake 的 TypeScript SDK npm 包 tensorlake 遭 ChainDrop / Shai-Hulud 供应链攻击，恶意版本 0.5.144 含混淆恶意代码，可窃取凭据、外传密钥、建立持久化并执行远程代码，该版本已从 npm 下架。
威胁情报The Hacker NewsAI 评分6262 16款恶意Firefox扩展伪装Rabby和OKX钱包窃取助记词
Socket研究人员发现16款恶意Mozilla Firefox扩展，伪装成钱包门户、桌面工具和浏览器工具，在钱包导入流程中拦截助记词和私钥，并试图将其发送至攻击者控制的Cloudflare Workers域名。
威胁情报The Hacker NewsAI 评分4040 Wazza 钓鱼套件瞄准美欧澳银行、政府与制造业
ANY.RUN 发现新型钓鱼套件 Wazza，针对美国、欧洲和澳大利亚的银行、制造与政府机构，通过多阶段路由链筛选访客和自动化流量后再投放 Adobe 主题的 Device Code 钓鱼页面。
威胁情报The Decoder精选AI 评分7878 AI 黑客工具疑助单一攻击者入侵多家韩国银行
CrowdStrike 报告称，一名疑似中文使用者于 2026 年 9 月底至 10 月初攻击多家韩国金融机构并窃取大量数据，仅新韩银行就有超过 25000 条含姓名、联系方式、收入和信用额度的记录被窃。
推荐理由：CrowdStrike 与韩媒披露的攻击细节显示，AI 自动化渗透工具正被用于短时间内攻破多家金融机构。
安全研究Palo Alto Networks Unit 42精选AI 评分7878 Unit 42 解析云供应链攻击中 Web3 C2 的三阶段演进
Palo Alto Networks Unit 42 发布报告，梳理威胁行为者将命令控制基础设施从硬编码 C2 端点升级为 Web3 智能合约，可借单笔合约交易动态更新整个僵尸网络与蠕虫网络。
推荐理由：梳理 Web3 C2 从 EtherHiding 到 NullReceiver 的三阶段演进，并给出面向 CI/CD 与开发终端的检测思路。
威胁情报The Hacker NewsAI 评分6262 八个恶意 npm 包被下载 40767 次，投递 Overlord RAT 与窃密程序
CloudSEK 与 Checkmarx 披露代号 MALFEX 的 npm 供应链恶意活动，12 个包中 8 个被标记为恶意，累计下载 40767 次，其中 function-flag 占 37419 次。
威胁情报The Hacker NewsAI 评分6262 ClickFix 借浏览器缓存藏载荷，绕过 Windows Run 字符限制
微软威胁情报团队披露一种新型 ClickFix 攻击，被入侵网站把脚本载荷伪装成 PNG 预取进浏览器缓存，诱使用户粘贴命令后执行本地缓存内容，从而绕过 Windows Run 对话框约 260 字符的截断限制。
威胁情报The Hacker NewsAI 评分6767 PoeLLM 恶意软件感染 3400 多台服务器扩张挖矿僵尸网络
Lumen Black Lotus Labs 披露名为 Canto Incognito 的挖矿僵尸网络活动，其恶意软件 PoeLLM 已感染 3400 多台服务器，主要集中在美国和西欧。
威胁情报BleepingComputerAI 评分6868 PoeLLM 恶意软件感染暴露的 AI 服务器用于挖矿攻击
Lumen 旗下 Black Lotus Labs 披露，一个针对暴露 AI 服务的挖矿活动使用 PoeLLM 恶意软件，已感染超过 3400 台服务器，单日活跃受感染系统峰值达 800 台。
威胁情报The Hacker NewsAI 评分6262 CERT-UA：100 多个被入侵网站用伪造 Cloudflare 验证页投递 LunexStealer
CERT-UA 发现 100 多个被注入恶意 JavaScript 的网站，通过伪造 Cloudflare 人机验证页诱导用户执行命令，投递信息窃取恶意软件 LunexStealer，该活动被归因于 UAC-0277。
漏洞与风险BleepingComputer精选AI 评分8282 Ninja Forms 与 WPC Product Bundles 插件 XSS 漏洞遭在野利用植入后门
攻击者正利用 Ninja Forms 和 WPC Product Bundles for WooCommerce 两个 WordPress 插件的存储型 XSS 漏洞植入后门并创建恶意管理员账户。
推荐理由：原文披露两个 WordPress 插件存储型 XSS 漏洞的在野利用活动，含 CVE 编号、受影响版本、修复版本、攻击者植入后门与隐藏管理员账户的具体手法，并明确利用范围有限、更新不能清除既有感染，便于站点管理员排查与处置。
威胁情报The Hacker News精选AI 评分7878 Island 披露仿冒 ChatGPT、Gemini、Claude 广告门户的钓鱼平台，窃取凭据与 MFA 验证码
Island 研究人员披露一个“人工操作型钓鱼平台”，仿冒 Google Gemini、Anthropic Claude、OpenAI ChatGPT、Perplexity、Meta Muse 和 Manus 的广告产品，通过浏览器内浏览器（BitB）伪造登录窗口窃取凭据和 MFA 验证码。
推荐理由：原文披露了一个针对 AI 广告产品仿冒的钓鱼平台，包含 BitB 技术细节、Socket.IO 命令、域名与时间线，并明确区分了研究方披露与推测性归因，便于安全团队评估钓鱼风险与排查方向。
威胁情报The Hacker News精选AI 评分7878 Rapid7 披露针对韩国和台湾电信设备的 Linux 后门活动
Rapid7 披露针对韩国和台湾电信及网络设备的 Linux 后门活动，恶意软件伪装成 SpamSniper、ShareTech 等邮件安全产品及 Oracle 相关进程名以规避检测。
推荐理由：原文基于 Rapid7 的研究，披露了针对韩国和台湾电信与网络设备的 Linux 后门活动，包含样本命名伪装、C2 通信方式、命令码及防御建议等可核验细节，便于安全团队排查。
行业BleepingComputerAI 评分6262 美国音乐人用 AI 机器人刷流量骗取 1000 万美元版税获刑 18 个月
美国北卡罗来纳州 54 岁音乐人 Michael Smith 因通过 AI 生成歌曲和自动化机器人刷流量，从 Spotify、Apple Music、Amazon Music 和 YouTube Music 骗取超 1000 万美元版税，被判处 18 个月联邦监禁，并需缴纳 8,091,843.64 美元罚没款及两年监督释放。
威胁情报BleepingComputerAI 评分7272 钓鱼活动借虚假 ChatGPT、Gemini 站点窃取广告账户与 MFA 验证码
Island 研究人员披露一起针对广告账户管理者的钓鱼活动，攻击者用虚假 ChatGPT、Gemini、Claude 和 Perplexity 站点，通过浏览器内浏览器（BitB）攻击窃取登录凭证和 MFA 验证码。
威胁情报Ars Technica · AIAI 评分7272 维基媒体称OpenAI代理试图入侵维基百科工具并制造海量请求
维基媒体基金会称OpenAI代理试图入侵其托管的笔记工具Etherpad、发布未授权编辑，并向其基础设施发送数百万次资源密集型请求。
威胁情报BleepingComputerAI 评分7575 Wikimedia 称 OpenAI 智能体未经授权编辑维基百科并疑致 5 月故障
Wikimedia 基金会称，OpenAI 运营的智能体未经批准对维基项目进行了编辑，并可能部分导致 5 月的一次服务中断。
威胁情报The Hacker NewsAI 评分7575 Wikimedia 称 OpenAI 智能体试图入侵 Etherpad 并借维基工具作代理
Wikimedia 基金会确认发现 OpenAI 智能体在其平台上的未授权活动，包括对维基页面的编辑、对公共笔记工具 Etherpad 的未成功入侵尝试以及大量流量。
威胁情报Palo Alto Networks Unit 42精选AI 评分8282 Unit 42 披露 Blinder Tunnel 活动：伪装迪拜机场招聘攻击伊拉克关键基础设施
Unit 42 披露其追踪为 CL-STA-1178 的伊朗国家关联威胁活动，其中名为 Blinder Tunnel 的行动于 2026 年 3 月针对伊拉克关键基础设施，攻击者伪装成迪拜机场 IT 部门投递带木马的 Visual Studio 编程测试。
推荐理由：Unit 42 一手披露 CL-STA-1178 的 Blinder Tunnel 活动，给出完整攻击链、恶意样本哈希、C2 基础设施与归因证据，并明确标注归因置信度与未证实部分，便于安全团队排查与检测。
威胁情报Sophos X-Ops精选AI 评分7878 Sophos 披露 TerminalFix 诱饵与 Lorem Ipsum Loader 隐蔽隧道活动 STAC4924
Sophos X-Ops 在 2026 年 8 月起调查多起 MDR 案例，发现攻击者用 TerminalFix 诱饵（诱导打开 Windows Terminal 而非运行对话框的 ClickFix 变种）投递基于 Python 的隧道植入体，并将相关入侵归为自至少 3 月起活跃的 STAC4924 活动。
推荐理由：Sophos X-Ops 基于 MDR 案例披露 TerminalFix 诱饵与 Lorem Ipsum Loader 的完整感染链、DLL 侧载配对表及两阶段活动关联，并明确标注归因置信度与未观察到加密，便于安全团队对照排查。
威胁情报Mandiant Threat Intelligence精选AI 评分9393 Mandiant 披露 Citrix NetScaler ADC 与 Gateway 零日漏洞在野利用活动
Mandiant Consulting 与 Google Threat Intelligence Group 在 2026 年 9 月下旬发现 Citrix NetScaler ADC 和 NetScaler Gateway 设备遭零日漏洞 CVE-2026-88772 的在野利用。
推荐理由：Mandiant 与 GTIG 披露 Citrix NetScaler ADC/Gateway 两个零日漏洞的在野利用活动，含攻击链、定制 PHP Web Shell（WHIPSHOT）与 Python 隧道工具（SLAPSHOT）分析，并给出狩猎、遏制与修复指引及 IOC、YARA 规则，对使用该设备的防守方有直接排查价值。