Proofpoint 报告：生成式 AI 正抹去行为特征，削弱纯行为检测
Proofpoint 在 Protect 2026 大会上指出，生成式 AI 让恶意邮件变得流畅、个性化且针对每位收件人定制，邮件过滤器长期依赖的行为信号正因此失效。过去靠措辞笨拙、通用借口和复用模板暴露的邮件已不复存在。
#钓鱼攻击
威胁情报The Hacker NewsAI 评分4242 威胁情报元见威胁情报AI 评分3838 保加利亚KindyROO教育平台据称遭管理员权限入侵，家长及儿童相关数据受影响
2026年10月20日，有发帖者声称获取保加利亚教育平台KindyROO的管理员权限，可管理数据与销售信息，并查看含邮箱、电话号码、全名的收据。其还称可向家长发送邮件，可能被用于钓鱼攻击。声称受影响数据包括个人可识别信息、家长个人数据、报名与预约记录、课程安排与出勤数据、亲子关系记录及内部管理数据，未提供数据条数或时间范围。
安全通报CNCERT 监管通报AI 评分5858 CCTGA 披露“银狐”木马 TOP 10 恶意域名与 IP
中国互联网网络安全威胁治理联盟（CCTGA）在“银狐”木马专项打击行动中披露近期控制规模最大的 TOP 10 恶意网络资产，归属地主要分布于中国香港、中国台湾、韩国等国家和地区，其中 116.213.43.19 关联 cj2.yyy16888.vip 等域名，日控制规模 3240。
安全通报CNCERT 监管通报AI 评分6060 CCTGA披露“银狐”木马TOP 20恶意域名及IP资产
中国互联网网络安全威胁治理联盟（CCTGA）在“银狐”木马专项打击行动中披露近期控制规模较大的TOP 20恶意网络资产，归属地主要分布在中国香港、新加坡、美国等国家和地区。
威胁情报The Hacker NewsAI 评分6565 GhostAction 攻击者在 94 个 GitHub 仓库植入伪装成字体的窃密程序
GhostAction 供应链攻击的行动者已将手法扩展到在 94 个 GitHub 仓库中植入伪装成字体文件的窃密程序，并借此对开源开发者实施钓鱼。OpenSourceMalware 称，攻击者此前通过向被入侵项目注入恶意 GitHub Actions 工作流实施攻击，此次变化显示其正根据应对措施调整作案方式。
威胁情报The Hacker NewsAI 评分5858 黑客利用新型 ROMULUS ClickFix 平台投递 LegionLoader 等恶意软件
Forescout Research - Vedere Labs 披露了名为 ROMULUS 的 ClickFix 投递平台，该平台被用于分发 Legion Loader 等恶意软件。ROMULUS 类似恶意软件投递服务，通过虚假落地页上的 ClickFix 式诱饵，诱骗用户自行运行恶意命令并感染设备。
威胁情报勒索情报 · 定时任务精选AI 评分7878 勒索品牌 Helix 两天内在泄露站点点名六家美国企业并按营收标注
勒索与敲诈品牌 Helix 于 2026 年 10 月 17 日至 18 日在泄露站点连续挂出六家美国大型企业条目，包括 Rheem Global、Southwire。
推荐理由：材料把 Helix 的议价流程与入口手法并列呈现，可据此判断帮助台身份核验和云环境导出审计的优先级。
威胁情报Palo Alto Networks Unit 42AI 评分5252 Unit 42 总结 2026 年 9 月五类主要初始访问途径
Unit 42 发布 2026 年 9 月观察到的五类主要初始访问威胁途径，其中边缘设备漏洞利用排在首位，其后是凭据滥用和钓鱼攻击。该文为摘要，未展开各类途径的具体案例与数据。
威胁情报BleepingComputerAI 评分6767 定向广告以零点击方式向半岛电视台设备投放 Candiru 间谍软件
据 BleepingComputer 报道，Candiru 间谍软件通过定向在线广告以零点击方式投放到半岛电视台媒体网络的设备上，受害者只需渲染恶意广告即会触发。报道称该攻击的目标是半岛电视台媒体网络。
威胁情报The Hacker NewsAI 评分5555 UAT-11985 借虚假活动邀请对台湾研究机构人员实施 Google AitM 钓鱼
安全研究人员披露 UAT-11985 的鱼叉式钓鱼活动，针对台湾研究机构相关人员，用虚假活动邀请把受害者引向中间人（AitM）钓鱼框架，以窃取 Google 账号凭据和 MFA 验证码。该活动被作为 APT 活动跟踪，目前仅有摘要，具体攻击链和影响范围尚未公开。
安全通报CISA · Cybersecurity AdvisoriesAI 评分5555 CISA 与 FBI 发布公告，警告选举和竞选人员面临钓鱼威胁
CISA 与 FBI 发布公共服务公告，警告 2026 年美国中期选举期间选举和竞选官员面临网络威胁。公告称恶意攻击者可能通过钓鱼和短信钓鱼窃取登录凭证等敏感信息，或在目标设备上植入恶意软件。选举官员、候选人和政治组织因掌握选民登记数据、现任政府官员信息和敏感竞选信息而成为有吸引力的目标，相关钓鱼活动正越来越逼真地模仿合法通信，包括邮件、短信、音频和视频内容。
威胁情报The Hacker NewsAI 评分5555 攻击者冒充热门 AI 产品投递恶意软件，ANY.RUN 关联 1258 起沙箱分析
攻击者正冒充热门 AI 产品分发恶意软件、窃取浏览器会话并入侵企业账号。ANY.RUN 将 2026 年 4 月至 10 月间的 1258 起公开沙箱分析关联到这类假 AI 活动，其中美国企业占按国家归属目标的 16%，也给服务美国企业的 MSSP 带来更大处置压力。
威胁情报The Hacker NewsAI 评分6262 Hirudo 安卓木马用篡改版银行 App 绕过其内置安全校验
ThreatFabric 披露新型安卓银行木马 Hirudo，通过用专门篡改的银行 App 替换正版应用，从应用内部绕过签名、无障碍、截屏和 Play Integrity 校验。
安全实践The Hacker NewsAI 评分3838 如何在克隆语音打给团队前开展深度伪造应急演练
针对克隆语音与合成视频已出现在支付欺诈、帮助台重置和权限申请中的情况，安全团队可通过结构化演练在不承担真实风险的前提下找出身份验证的薄弱环节。Gartner 2025 年对 302 名网络安全负责人的调查显示，62% 的组织在过去 12 个月内遭遇过至少一次深度伪造攻击，43% 遇到过深度伪造音频通话。
威胁情报The Hacker NewsAI 评分7272 微软联合多方捣毁三个钓鱼套件，涉超 10 亿条诈骗信息
微软联合 Health-ISAC、JC3 及 Cloudflare、Oracle、Proofpoint、TRM Labs 等公司宣布捣毁 CoGUI（NX/FA）、Haozi（Phoenix）和 Iron Man System 三个钓鱼套件。
威胁情报BleepingComputer精选AI 评分7878 全球联合执法捣毁支撑10亿封钓鱼邮件的犯罪网络
微软与日本警察厅等机构联合捣毁一个支撑超10亿封恶意邮件的网络犯罪生态，涉及150个国家、逾7.5万家组织。调查发现名为YAM Store（Storm-3119）的地下市场，关联CoGUI、Haozi和Iron Man System等钓鱼工具包（统称Storm-2990），其中Iron Man提供超2300个冒充银行、零售商和政府的模板。
推荐理由：微软与日本警方等联合捣毁一个支撑超十亿封钓鱼邮件的犯罪生态，披露了YAM Store与Iron Man等工具链的运作方式。
威胁情报BleepingComputerAI 评分5858 攻击者滥用 Google Ads 与 Bing 跳转推送假 Claude 安装程序 ClickFix 攻击
Push Security 研究人员披露一种名为 Adception 的攻击手法，攻击者在 Google 搜索广告中使用合法的 Bing 搜索结果跳转链接作为点击 URL，将搜索 claude mac 的用户导向伪造的 Claude 安装页面。
威胁情报The Hacker NewsAI 评分2222 ThreatsDay 汇总：勒索软件联盟成员背叛、WhatsApp RAT 与暴露的黑客工具等 12 则故事
Socket 发现 Visual Studio Marketplace 上两款伪装成配色的恶意 VS Code 主题（Coca-Cola Christmas、Aurora Borealis Studio Theme）。
威胁情报The Hacker News精选AI 评分7878 FBI 等七国机构通报：与中国关联的黑客运营可访问窃取邮件的门户
FBI 与另外 6 国机构 10 月 8 日发布联合通报，称与中国网络安全公司 Integrity Technology Group 关联的黑客自至少 2021 年 1 月中旬起入侵东南亚及美国等地政府、执法、医疗和宗教机构邮箱，并运营一个向第三方提供被盗邮件访问权限的 Web 应用。
推荐理由：联合通报披露了入侵手法、8 个被利用漏洞与 39 页 IOC，可据此排查同类痕迹。
威胁情报The Hacker NewsAI 评分6262 UAC-0099 用 ASHVEIN RAT 攻击乌克兰政府人员，将指令藏进 HTML
与俄罗斯关联的威胁组织 UAC-0099 被指使用此前未记录的 .NET 信息窃取与远程访问木马 ASHVEIN（内部称 TelemetryBrowser）攻击乌克兰政府人员。
威胁情报The Hacker NewsAI 评分4040 Wazza 钓鱼套件瞄准美欧澳银行、政府与制造业
ANY.RUN 发现新型钓鱼套件 Wazza，针对美国、欧洲和澳大利亚的银行、制造与政府机构，通过多阶段路由链筛选访客和自动化流量后再投放 Adobe 主题的 Device Code 钓鱼页面。
威胁情报The Hacker NewsAI 评分6262 ClickFix 借浏览器缓存藏载荷，绕过 Windows Run 字符限制
微软威胁情报团队披露一种新型 ClickFix 攻击，被入侵网站把脚本载荷伪装成 PNG 预取进浏览器缓存，诱使用户粘贴命令后执行本地缓存内容，从而绕过 Windows Run 对话框约 260 字符的截断限制。
行业BleepingComputerAI 评分6060 ASOS 数据泄露源于社工攻击与员工凭据被盗
英国时尚零售商 ASOS 确认近期数据泄露由社会工程攻击导致，攻击者冒充可信联系人骗取一名员工登录凭据，并用其访问 ASOS 使用的部分第三方平台上的信息。ASOS 表示泄露信息包括全名、联系方式及部分非个人账户相关信息，未涉及支付卡信息和账户密码，网站与应用始终可安全使用。
威胁情报The Hacker NewsAI 评分6262 CERT-UA：100 多个被入侵网站用伪造 Cloudflare 验证页投递 LunexStealer
CERT-UA 发现 100 多个被注入恶意 JavaScript 的网站，通过伪造 Cloudflare 人机验证页诱导用户执行命令，投递信息窃取恶意软件 LunexStealer，该活动被归因于 UAC-0277。
威胁情报The Hacker News精选AI 评分7878 Island 披露仿冒 ChatGPT、Gemini、Claude 广告门户的钓鱼平台，窃取凭据与 MFA 验证码
Island 研究人员披露一个“人工操作型钓鱼平台”，仿冒 Google Gemini、Anthropic Claude、OpenAI ChatGPT、Perplexity、Meta Muse 和 Manus 的广告产品，通过浏览器内浏览器（BitB）伪造登录窗口窃取凭据和 MFA 验证码。
推荐理由：原文披露了一个针对 AI 广告产品仿冒的钓鱼平台，包含 BitB 技术细节、Socket.IO 命令、域名与时间线，并明确区分了研究方披露与推测性归因，便于安全团队评估钓鱼风险与排查方向。
威胁情报BleepingComputerAI 评分7272 钓鱼活动借虚假 ChatGPT、Gemini 站点窃取广告账户与 MFA 验证码
Island 研究人员披露一起针对广告账户管理者的钓鱼活动，攻击者用虚假 ChatGPT、Gemini、Claude 和 Perplexity 站点，通过浏览器内浏览器（BitB）攻击窃取登录凭证和 MFA 验证码。
威胁情报Palo Alto Networks Unit 42精选AI 评分8282 Unit 42 披露 Blinder Tunnel 活动：伪装迪拜机场招聘攻击伊拉克关键基础设施
Unit 42 披露其追踪为 CL-STA-1178 的伊朗国家关联威胁活动，其中名为 Blinder Tunnel 的行动于 2026 年 3 月针对伊拉克关键基础设施，攻击者伪装成迪拜机场 IT 部门投递带木马的 Visual Studio 编程测试。
推荐理由：Unit 42 一手披露 CL-STA-1178 的 Blinder Tunnel 活动，给出完整攻击链、恶意样本哈希、C2 基础设施与归因证据，并明确标注归因置信度与未证实部分，便于安全团队排查与检测。
威胁情报BleepingComputerAI 评分6060 日本经济新闻披露员工Google与Microsoft邮箱账号遭入侵
日本经济新闻（Nikkei）披露两名员工邮箱账号遭未知攻击者入侵，其中一名员工的Google Workspace账号于7月底被访问，可能泄露1,646名员工和业务伙伴的姓名与邮箱地址，公司在8月初收到Google通知后发现并修改密码。
威胁情报Sophos X-Ops精选AI 评分7878 Sophos 披露 TerminalFix 诱饵与 Lorem Ipsum Loader 隐蔽隧道活动 STAC4924
Sophos X-Ops 在 2026 年 8 月起调查多起 MDR 案例，发现攻击者用 TerminalFix 诱饵（诱导打开 Windows Terminal 而非运行对话框的 ClickFix 变种）投递基于 Python 的隧道植入体，并将相关入侵归为自至少 3 月起活跃的 STAC4924 活动。
推荐理由：Sophos X-Ops 基于 MDR 案例披露 TerminalFix 诱饵与 Lorem Ipsum Loader 的完整感染链、DLL 侧载配对表及两阶段活动关联，并明确标注归因置信度与未观察到加密，便于安全团队对照排查。
安全通报CNCERT 监管通报精选AI 评分6767 CNCERT 通报“银狐”木马专项打击行动阶段性成效
中国互联网网络安全威胁治理联盟9月23日在北京召开“银狐”木马专项打击行动阶段总结会，通报专项行动自7月29日启动以来的阶段性成效。当前专项情报库已收录威胁指标数据2.4万余条，累计处置控制端IP及端口2588个、控制域名8587个，监测显示境内被控端数量较前期下降约55%。
推荐理由：CNCERT 与威胁治理联盟发布“银狐”木马专项打击行动阶段总结，给出情报库收录量、处置控制端与域名数量及被控端下降幅度等可核验数据，并公布线索报送渠道与用户防护建议，便于安全团队对照排查和跟进治理要求。
安全通报CNCERT 监管通报精选AI 评分7878 CNCERT 披露“银狐”木马专项打击行动 TOP 10 恶意网络资产
中国互联网网络安全威胁治理联盟（CCTGA）近期启动“银狐”木马专项打击行动，本周研判确认并披露一批恶意网络资产，重点为近期控制规模较大的 TOP 10 恶意 IP、关联域名及端口，归属地主要分布于中国香港地区。
推荐理由：CNCERT 以监管通报形式披露“银狐”木马专项打击行动中研判确认的 TOP 10 恶意网络资产，含 IP、域名、端口、归属地和日控制规模，并给出排查方法与处置建议，可直接用于 IOC 拦截和内部排查。
安全通报CNCERT 监管通报精选AI 评分7878 CCTGA 披露“银狐”木马 TOP 10 恶意网络资产及排查处置建议
中国互联网网络安全威胁治理联盟（CCTGA）本周研判确认并披露“银狐”木马使用的 TOP 10 恶意网络资产，归属地主要分布于美国和中国香港等国家和地区，日控制规模从 1049 至 3417 不等。
推荐理由：CNCERT 下属 CCTGA 发布的“银狐”木马专项通报，披露 TOP 10 恶意 IP、关联域名、端口、归属地和日控制规模，并给出排查方法与处置建议，可直接用于 IOC 更新和终端排查。
威胁情报Palo Alto Networks Unit 42精选AI 评分7575 Unit 42 披露两起针对拉美机构的 AI 辅助入侵活动
Palo Alto Networks Unit 42 披露两起持续的多阶段网络入侵与数据外泄活动，分别针对墨西哥交通机构及巴西金融行业，编号为 CL-CRI-1131 和 CL-CRI-1163。
推荐理由：Palo Alto Networks Unit 42 基于自身遥测披露两起针对拉丁美洲的持续入侵与数据外泄活动，给出活动簇编号、时间线、基础设施、证书哈希与 IOC，并说明攻击者使用商业 LLM 与 NextChat 编排操作，同时指出其暴露的暂存目录等 OpSec 失误可供防御方利用。
威胁情报Mandiant Threat Intelligence精选AI 评分8888 Mandiant 披露 BREEZE COMET 针对巴西金融系统的攻击活动
Mandiant 自 2024 年起调查并跟踪名为 BREEZE COMET（原 UNC5669）的财务动机威胁组织，该组织针对巴西金融服务、零售和电商机构，通过操纵支付系统和银行软件实施欺诈转账。
推荐理由：Mandiant/GTIG 一手披露 BREEZE COMET 针对巴西金融系统的攻击活动，包含初始访问、提权、横向移动、持久化、C2 框架、IOC、YARA 规则和加固建议，信息完整且可核验，对金融、fintech、零售和政府部门的安全团队有直接排查与防御参考价值。
威胁情报Mandiant Threat Intelligence精选AI 评分8585 Google 披露三个疑似俄罗斯集群滥用合法认证流程钓鱼
Google Threat Intelligence Group（GTIG）披露正在追踪 UNC6293、UNC7005 和 UNC5976 三个疑似具有俄罗斯背景的网络间谍集群，它们滥用应用密码、OAuth、设备代码和 WhatsApp 设备关联等合法认证流程，针对欧洲及美国的学术、航空航天与国防、政府和智库人员实施钓鱼。
推荐理由：Google Threat Intelligence Group 以一手追踪视角披露三个疑似俄罗斯网络间谍集群滥用合法认证流程（应用密码、OAuth、设备代码、WhatsApp 设备关联）针对学术、航空航天与国防、政府及智库人员的活动，含具体域名、IP、样本哈希与缓解建议，可用于威胁狩猎与防御加固。
威胁情报Mandiant Threat Intelligence精选AI 评分8282 Mandiant 披露 UNC6671 多品牌语音钓鱼勒索活动，波及金融与企业云环境
Google Threat Intelligence Group（GTIG）披露，UNC6671 在 BlackFile 勒索品牌于 2026 年 5 月宣称停止后并未解散。
推荐理由：原文由 Google Threat Intelligence Group 发布，给出 UNC6671 多品牌勒索活动的共享基础设施、域名清单、IOC 与加固建议，并明确区分了组织自称与分析师评估，便于安全团队排查与加固。
安全通报CNCERT 监管通报精选AI 评分8282 CNCERT发布家用路由器DNS被恶意篡改导致异常跳转风险的提示
CNCERT近期发现部分家庭用户连接家用路由器Wi-Fi后访问正常网站或触发终端网络连通性检测时被异常跳转至色情、赌博等非法页面，经研判由家用路由器DNS服务器配置被篡改导致。
推荐理由：CNCERT发布的官方风险提示，含现场取证结论、影响规模数据和可操作的排查防范步骤及IOC清单，对家庭用户和路由器厂商均有直接处置价值。
安全通报CNCERT 监管通报精选AI 评分8585 CNCERT 发布黑产团伙批量搭建高仿真钓鱼网站传播银狐木马风险提示
CNCERT 近期监测发现，银狐远控木马通过批量生成的高仿真钓鱼网站大规模传播，样本落地后将 Shellcode 注入系统关键进程执行远控，并与境外 C2 服务器建立持久化连接。
推荐理由：CNCERT 发布的风险提示，披露银狐远控木马通过批量高仿真钓鱼网站传播的攻击链与域名特征，含具体时间范围、域名数量和占比，便于安全团队排查与防御。
安全通报CNCERT 监管通报精选AI 评分7878 CNCERT与微步在线联合发布“黑猫”团伙仿冒Notepad++传播远控后门风险提示
国家互联网应急中心（CNCERT）与北京微步在线科技有限公司（微步在线）联合发布风险提示，指出“黑猫”黑产团伙利用搜索引擎SEO技术将仿冒钓鱼网站推送到搜索结果前列，诱导用户下载捆绑恶意程序的仿冒Notepad++安装包，运行后植入后门木马窃取主机敏感数据。
推荐理由：CNCERT与微步在线联合发布的风险提示，披露“黑猫”黑产团伙利用搜索引擎SEO推送仿冒Notepad++下载页面传播远控后门，并梳理该团伙2022年以来的历史攻击活动，便于安全团队和普通用户识别仿冒下载风险。