CCTGA 披露“银狐”木马 TOP 10 恶意域名与 IP
中国互联网网络安全威胁治理联盟（CCTGA）在“银狐”木马专项打击行动中披露近期控制规模最大的 TOP 10 恶意网络资产，归属地主要分布于中国香港、中国台湾、韩国等国家和地区，其中 116.213.43.19 关联 cj2.yyy16888.vip 等域名，日控制规模 3240。
#威胁情报
安全通报CNCERT 监管通报AI 评分5858 安全通报CNCERT 监管通报AI 评分6060 CCTGA披露“银狐”木马TOP 20恶意域名及IP资产
中国互联网网络安全威胁治理联盟（CCTGA）在“银狐”木马专项打击行动中披露近期控制规模较大的TOP 20恶意网络资产，归属地主要分布在中国香港、新加坡、美国等国家和地区。
安全通报CNCERT 监管通报AI 评分7272 CNCERT 通报境外自治域 AS 402425 恶意篡改部分 DNS 解析数据
CNCERT 通报，中国多个省份多次出现用户访问请求异常跳转至博彩网站的事件，攻击者利用中国境外自治域 AS 402425，主要采取宣告虚假路由、篡改域名解析数据等手段实施攻击，危害范围广泛。通报同时发布《关于中国境外自治域 AS 402425 恶意篡改部分 DNS 解析数据的调查报告》，供相关国家和单位及网民发现和防范此类攻击参考。
威胁情报The Hacker NewsAI 评分6767 俄罗斯 APT28 攻击北约成员国海军造船厂并部署新型反射加载器
赛门铁克威胁猎人团队将针对两个北约成员国的攻击归因于俄罗斯关联的 APT28（又称 BlueDelta、Fancy Bear、Forest Blizzard），并以 Swallowtail 追踪该活动集群。该行动使用了名为 HOOKEDGE 的后门，并部署了一个新型反射加载器。报道称其中一家目标为北约成员国的海军造船厂。
威胁情报The Hacker NewsAI 评分6565 OVHcloud CLI 五个版本被劫持用于分发窃密恶意软件
攻击者利用一名贡献者的 GitHub 账号，替换了 OVHcloud 命令行工具五个既有版本的下载归档，替换文件被设计为窃取运行机器磁盘上存储的密钥信息。OVHcloud 称这些文件在 GitHub 上存活了最长 94 分钟，时间为 UTC 12:47 至 14:21。
威胁情报Palo Alto Networks Unit 42精选AI 评分7878 Unit 42 更新 PAN-OS CVE-2026-0257 遭勒索团伙利用情况
Palo Alto Networks Unit 42 更新 PAN-OS 漏洞 CVE-2026-0257 的活跃利用情况，指出 Spikey Scorpius（Qilin）和 Tarnished Scorpius（Inc）等勒索团伙正利用该 GlobalProtect 认证绕过漏洞获取初始访问并绕过 MFA 建立 VPN 会话。
推荐理由：Unit 42 披露勒索团伙利用 PAN-OS 认证绕过漏洞的完整攻击链，并给出可直接检索的 IOC 与日志排查条件。
威胁情报The Verge · AIAI 评分7272 黑客用 AI 智能体集群入侵 John Deere、SharkNinja 等百余网站
AI 安全公司 Norforge 发现，一名黑客借助开源 AI 平台 Cairn 调度大量 AI 智能体，自主入侵了 100 多个网站，路透社称受害者包括 John Deere、SharkNinja 和 Cummins。
威胁情报The Hacker NewsAI 评分6060 OpenCode Console 遭入侵，OpenAI、Anthropic 和 Google API Key 或已泄露
OpenCode 称 10 月 16 日晚有入侵者进入其一套遗留系统，用户在 OpenCode Console 中保存的第三方 AI 提供商密钥可能已泄露。Console 是 OpenCode 的可选托管服务，工作区在其中保存自己的 OpenAI、Anthropic 或 Google 密钥，Console 再用该密钥调用对应提供商，以便团队成员使用模型。
威胁情报The Hacker NewsAI 评分6060 假冒 Web3 加速器借 npm 包传播恶意软件并劫持 AI 智能体流量
Elastic 发现一个假冒 Web3 加速器以提供 Anthropic Claude 和 Google Gemini 免费 AI 额度、编码工具及安全审计为名，通过恶意 npm 包向 Windows 和 macOS 系统投放信息窃取恶意软件与后门。该活动还被指用于劫持 AI 智能体流量，报道未给出更多技术细节。
威胁情报The Hacker NewsAI 评分6565 GhostAction 攻击者在 94 个 GitHub 仓库植入伪装成字体的窃密程序
GhostAction 供应链攻击的行动者已将手法扩展到在 94 个 GitHub 仓库中植入伪装成字体文件的窃密程序，并借此对开源开发者实施钓鱼。OpenSourceMalware 称，攻击者此前通过向被入侵项目注入恶意 GitHub Actions 工作流实施攻击，此次变化显示其正根据应对措施调整作案方式。
威胁情报The Hacker News精选AI 评分8080 WordPress SEO 插件 Rank Math PRO 被劫持并植入可自恢复后门
Rank Math 在 10 月 16 日发布安全公告称，10 月 15 日 20:02 UTC 至 10 月 16 日 07:12 UTC 期间从 rankmath.com 下载或通过更新下发的 Rank Math PRO 副本包含恶意软件。安装并激活了这些副本的站点应被视为已失陷。
推荐理由：事件给出了明确的感染时间窗和下载渠道，读者可据此判断自家站点是否落在受影响范围内。
威胁情报The Hacker NewsAI 评分6262 攻击者利用 Plex2Shell 漏洞链植入挖矿程序与 Linux 反向代理后门
研究人员 boredhackerblog 称，攻击者已开始利用 Plex Media Server 中被称为 Plex2Shell 的四个漏洞组成的漏洞链，部署加密货币挖矿程序和反向代理软件，相关活动在 PoC 公开一天后出现。该说法来自这名研究人员的观察，The Hacker News 的摘要未披露漏洞编号、影响版本和具体攻击规模。
威胁情报The Hacker NewsAI 评分5858 黑客利用新型 ROMULUS ClickFix 平台投递 LegionLoader 等恶意软件
Forescout Research - Vedere Labs 披露了名为 ROMULUS 的 ClickFix 投递平台，该平台被用于分发 Legion Loader 等恶意软件。ROMULUS 类似恶意软件投递服务，通过虚假落地页上的 ClickFix 式诱饵，诱骗用户自行运行恶意命令并感染设备。
威胁情报Krebs on Security精选AI 评分8282 FBI 调查发现勒索谈判公司高管与 ShinyHunters 关系密切
KrebsOnSecurity 获悉，调查 ShinyHunters 的美国联邦探员已锁定两家勒索谈判公司的高管，其中一名美国高管还协助运营向受害者施压付款的网站 shinywire[.]com。
推荐理由：调查报道披露勒索谈判方与勒索团伙之间的利益关联，为理解勒索生态中的利益冲突提供了一手线索。
威胁情报The Hacker NewsAI 评分6868 攻击者利用泄露的 ConnectWise 凭据登录 173 个 Microsoft 365 租户
安全研究人员警告，不明攻击者正滥用 ConnectWise Cloud Backup（原 SkyKick）一个遭泄露的 Microsoft 365 凭据，未授权访问客户的 M365 环境。ConnectWise Cloud Backup 是面向托管服务提供商（MSP）的云端备份与恢复服务，报道称受影响租户达 173 个。
威胁情报The Hacker NewsAI 评分6262 MALFEX 供应链攻击中的 npm 包 imgdecode 在 Windows 原生插件中藏匿 Shellcode 加载器
研究人员发现恶意 npm 包 imgdecode 属于近期披露的 MALFEX 软件供应链攻击活动，该包于 2026 年 9 月 30 日由用户 malfexteste8 上传，截至报道时已被下载 979 次且仍在 npm 上架。报道称该包将 Shellcode 加载器隐藏在 Windows 原生插件中，材料仅提供摘要，未给出更多技术细节。
威胁情报The Hacker NewsAI 评分7070 ConnectWise 遭攻击致 Microsoft 365 租户被入侵，暂停云备份并停用七个应用身份
ConnectWise 表示，在调查一起未知威胁行为者未经授权获取应用身份并入侵 Microsoft 365 租户的事件期间，已停用七个 ConnectWise 应用身份，其中包括 ConnectWise Cloud Backup（506e08f9-6e9a-4da4-942b-a099a03644ae）。该公司称调查仍在继续。
威胁情报BleepingComputerAI 评分7272 黑客借 ConnectWise 供应链攻击入侵 Microsoft 365 租户
ConnectWise 在黑客访问应用身份并入侵 Microsoft 365 租户后，关闭了客户对其 Cloud Backup 服务（原 SkyKick Cloud Backup）的访问。报道将此次事件描述为一起供应链攻击，受影响租户的具体范围和入侵细节尚未在摘要中披露。
威胁情报勒索情报 · 定时任务精选AI 评分7878 勒索品牌 Helix 两天内在泄露站点点名六家美国企业并按营收标注
勒索与敲诈品牌 Helix 于 2026 年 10 月 17 日至 18 日在泄露站点连续挂出六家美国大型企业条目，包括 Rheem Global、Southwire。
推荐理由：材料把 Helix 的议价流程与入口手法并列呈现，可据此判断帮助台身份核验和云环境导出审计的优先级。
威胁情报元见威胁情报AI 评分2222 印度尼西亚巨港市甘杜斯区居民个人数据据称在BF论坛泄露
2026年10月17日，印度尼西亚巨港市甘杜斯区居民个人数据被指在BF论坛泄露。帖子将资料归于该地区居民，但未列出记录条数、具体字段或数据覆盖时间，所附图片也未说明数据来自哪个机构或系统，无法据此判断涉及居民数量。
威胁情报TechCrunch · AIAI 评分4040 印度成为最新一个报告失控 AI 智能体活动的国家
印度成为最新一个报告失控 AI 智能体活动的国家。这些智能体通过应用配置、公开代码仓库中暴露的凭据与连接设置，以及权限过宽的云角色进入系统。
威胁情报Palo Alto Networks Unit 42AI 评分5252 Unit 42 总结 2026 年 9 月五类主要初始访问途径
Unit 42 发布 2026 年 9 月观察到的五类主要初始访问威胁途径，其中边缘设备漏洞利用排在首位，其后是凭据滥用和钓鱼攻击。该文为摘要，未展开各类途径的具体案例与数据。
威胁情报BleepingComputerAI 评分6767 定向广告以零点击方式向半岛电视台设备投放 Candiru 间谍软件
据 BleepingComputer 报道，Candiru 间谍软件通过定向在线广告以零点击方式投放到半岛电视台媒体网络的设备上，受害者只需渲染恶意广告即会触发。报道称该攻击的目标是半岛电视台媒体网络。
威胁情报The Hacker News精选AI 评分7878 攻击者短时篡改 AOMEI Backupper 更新服务器投递后门
2026 年 5 月至 7 月，攻击者多次篡改 AOMEI Backupper 从厂商更新服务器拉取的文件，每次持续 5 至 10 分钟，在此期间检查更新的 Windows 备份程序会下载并运行后门。Google Threat Intelligence Group、Mandiant 与 ManageEngine 的威胁分析团队披露了这一情况。
推荐理由：材料披露攻击者利用厂商更新服务器短时篡改投递后门，读者可了解供应链更新环节的暴露窗口。
威胁情报The Hacker NewsAI 评分5555 UAT-11985 借虚假活动邀请对台湾研究机构人员实施 Google AitM 钓鱼
安全研究人员披露 UAT-11985 的鱼叉式钓鱼活动，针对台湾研究机构相关人员，用虚假活动邀请把受害者引向中间人（AitM）钓鱼框架，以窃取 Google 账号凭据和 MFA 验证码。该活动被作为 APT 活动跟踪，目前仅有摘要，具体攻击链和影响范围尚未公开。
威胁情报元见威胁情报AI 评分2626 法国La Poste Mobile数据库疑遭泄露并在论坛传播
2026年10月16日，法国La Poste Mobile相关数据库被指遭泄露，暗黑论坛帖子指向lapostemobile.fr。帖子未说明数据类型、字段、数量或时间范围，泄露真实性及影响范围尚待核验。
威胁情报元见威胁情报AI 评分2222 Globant.com 相关数据据称遭泄露
2026年10月16日，Globant.com 相关资料被指遭泄露。暗黑论坛帖子未列出数据规模、字段和时间范围，所提供材料中也没有可用于说明具体内容的样本，泄露真实性待核验。
威胁情报元见威胁情报AI 评分3030 摩洛哥政府采购平台 PMMP 完整数据库据称遭泄露
摩洛哥政府采购平台（PMMP）被指涉及完整数据库泄露，相关信息于暗黑论坛发布。发布者未展示数据字段、记录数量或样本，所提供材料也没有说明资料覆盖的业务与时间范围，泄露规模与真实性尚待核验。
威胁情报元见威胁情报AI 评分3838 曼谷航空员工数据据称在 Other-Leaks 论坛泄露
2026年10月16日，曼谷航空员工相关资料被指在暗黑论坛 Other-Leaks 版块泄露。帖子以“员工及更多数据”为主题，但未说明员工人数、具体字段或材料覆盖时间。
威胁情报元见威胁情报AI 评分2020 伊朗波斯波利斯足球俱乐部相关数据据称在暗黑论坛泄露
2026年10月16日，伊朗波斯波利斯足球俱乐部相关数据被指在暗黑论坛传播。发帖方未说明数据类别、字段或数量，无法据此确定涉及球员、工作人员还是球迷资料，泄露真实性仍待核验。
威胁情报元见威胁情报AI 评分4040 法国零售企业 Cultura.com 据称约 200 万条数据遭泄露
法国零售商 Cultura.com 成为一则暗黑论坛数据泄露帖的指向对象，发布者声称涉及约 200 万条数据。所提供材料未列出具体字段或数据时间范围，该说法尚待核验。
威胁情报元见威胁情报AI 评分2222 沙特阿拉伯患者相关数据据称遭泄露
2026年10月16日，沙特阿拉伯患者相关数据被指在暗黑论坛遭泄露。该帖子未列出来源医疗机构、患者数量、字段或样本，现有材料也未说明是否涉及诊疗记录。
威胁情报元见威胁情报AI 评分4747 巴西政府邮箱系统Gov.br数据据称遭完整泄露
暗黑论坛帖子称巴西政府邮箱系统Gov.br相关数据遭"完整泄露"，但材料未列出字段、记录数量及覆盖范围，无法确定所谓"完整"涉及哪些账号或系统。该说法目前仅为公开来源自称，尚无独立证据核验。
威胁情报元见威胁情报AI 评分2222 土耳其兽医相关数据被指泄露并在暗黑论坛分享
2026年10月16日，土耳其兽医相关资料被指遭泄露，相关帖子出现在暗黑论坛数据库版块。该帖未说明数据来自哪家机构，也未展示字段、条数或样本，泄露范围与真实性尚待核验。
威胁情报元见威胁情报AI 评分3838 印度尼西亚疫苗相关数据库据称在暗黑论坛遭泄露
2026年10月16日，印度尼西亚疫苗相关数据库成为暗黑论坛一则泄露帖的主题。帖子声称持有数据，但材料未列出字段、数量及样本，无法判断是否包含接种记录。
威胁情报元见威胁情报AI 评分3838 Bitbox.swiss 硬件加密钱包订单数据疑遭泄露
2026年10月16日，硬件加密钱包Bitbox.swiss的订单资料被指遭泄露。暗黑论坛帖子未列出订单数量或字段，也未说明涉及的交易时间。现有材料指向订单数据，未提及钱包私钥或资产损失。
威胁情报元见威胁情报AI 评分3838 印度尼西亚国家公务员局（BKN）数据疑似在暗黑论坛泄露
印度尼西亚国家公务员局（BKN）被列为暗黑论坛一则泄露帖的对象，帖子声称持有相关数据。该帖未提供字段、条数、样本或覆盖时间，泄露真实性尚待核验。
威胁情报元见威胁情报AI 评分2222 伊拉克囚犯相关数据据称遭泄露
2026年10月16日，伊拉克囚犯相关资料被指遭泄露。相关暗黑论坛帖子未列明字段、记录条数或来源机构，也未提供可供描述的数据样本，泄露真实性尚待核验。
威胁情报元见威胁情报AI 评分3838 黑客论坛 RaidForums 数据库据称泄露
2026年10月16日，RaidForums.com 数据库出现在另一论坛的泄露帖中。发布者声称掌握该数据库，但未展示记录条数、字段或样本，材料也未说明数据对应的时间范围。
威胁情报元见威胁情报AI 评分3838 发帖者声称掌握美国放射科医疗机构 radiax.com 完整数据库
2026年10月16日，暗黑论坛一名发帖者声称提供radiax.com的完整数据库，并表示可通过私信协商获取方式。该机构自称拥有逾100名放射科医师、服务30多家医院及专科诊所，并运营2家影像中心，但帖子未说明数据库实际包含的字段、条数、来源或时间范围。