https://gbhackers.com/xworm-malware-loader/
安全研究人员披露，一项针对哥伦比亚机构的西班牙语鱼叉钓鱼活动，以司法通知、纪律调查等主题邮件附件投递VBScript及JavaScript文件。脚本经过Base93、SM4-CBC及AES等多层编码加密后恢复PowerShell阶段，再通过自定义Base52、替换表及类似RC4的逻辑释放.NET加载器RSG_UnityApp和XWorm载荷。PowerShell通过反射调用加载器，把合法Windows RegAsm.exe路径及恶意载荷字节作为参数，在可信系统进程内运行木马。XWorm通过AES加密通信，收集操作系统、用户名、权限、摄像头与杀毒产品信息，支持远程命令、文件管理、截屏和插件加载。
https://www.huntress.com/blog/camera-management-software-compromise-malware
安全研究人员披露，在9月至10月多起与摄像头管理程序CMS.exe相关的入侵事件中，涉事程序位于C:\Program Files (x86)\CMS\CMS.exe。攻击者获取访问后在用户AppData目录投放rs.win32.exe反向Shell程序，再把Windows合法家长控制组件WpcMon.exe复制到异常位置并放置修改过的IPHLPAPI.DLL与samcli.dll，利用DLL搜索路径加载带通信功能的恶意代码。两种DLL保留部分zlib功能，同时周期性连接144.172.116[.]37。攻击者还通过注册表Run项在用户登录时重新启动WpcMon.exe，从而保持远程控制能力。
https://github.com/tianocore/edk2/security/advisories/GHSA-99cj-7hg9-mp4m
安全研究人员披露，TianoCore EDK II的NetworkPkg/UefiPxeBcDxe驱动存在CVE-2026-97631，网络引导时对IPv4及IPv6 ICMP错误数据处理不当。相关ICMP处理函数将远端提供的分片复制进固定504字节的Mode.IcmpError缓冲区，却未正确检查累计数据长度及目标指针偏移，导致越界写和相邻内存破坏。能够在设备PXE引导期间向其IP发送伪造ICMP错误报文的攻击者，可触发固件DXE阶段异常，研究公告还演示构造受控事件诱导CoreSignalEvent()执行攻击者代码。TianoCore于10月15日合并PR#13302加入边界检查和分片截断处理。
安全研究人员披露，Tailscale 1.104.2及自托管headscale 0.29.5环境中存在多项权限边界问题。当攻击者已控制一台获准访问目标的设备，且目标启用允许端口转发的Tailscale SSH时，可通过Unix Socket正向转发让以Root权限运行的tailscaled访问受保护套接字，也可利用反向转发替换Root拥有的套接字。研究还通过文件路径检查与使用之间的竞态绕过限制，在实验环境取得Root执行能力，并窃取设备注册凭据，在未启用Tailnet Lock的配置中把攻击者设备加入受信任网络。测试同时发现app connector可转发至未授权目的地址、headscale存在资源耗尽路径及serve接口存在本地管理API暴露问题。相关研究于10月25日公开。
https://pluto.security/blog/hugging-face-malware-campaign-load-mine/
安全研究人员披露，攻击者在Hugging Face利用7个账户发布31个恶意模型仓库，并以Qwen2测试模型为诱饵，针对Xinference、GPUStack等GPU环境投递挖矿程序和后门。启用trust_remote_code=True加载模型时，仓库Python代码会在初始化前运行，安装伪装成Linux内核线程的矿工、删除竞争矿工，并在部分版本植入SSH密钥或反向Shell。首批账号下架后数日内又发布19个仓库，并增加特权容器访问宿主机磁盘的脚本。关联模型累计下载超过3.2万次，主力模型截至10月28日下载28412次，相关钱包获约2276枚PRL。
https://sansec.io/research/convertr-plausible-supply-chain-attack
安全研究人员披露，攻击者于10月24日前后修改巴西电商服务商Convertr自行托管的Plausible分析脚本，使多个商户结算页面在加载合法追踪文件时同时执行恶意支付卡数据收集代码。Sansec于10月24日发现这起Magecart活动，关联一个自2024年7月活跃、专门攻击Magento、OpenCart与WooCommerce站点的巴西团伙。恶意JavaScript读取结算字段中的银行卡号、有效期、CVV、持卡人姓名及CPF纳税标识，再向攻击者控制的基础设施传送。10月26日攻击者升级脚本以精确适配Convertr付款接口字段名。攻击者将混淆代码附加在原Plausible脚本末尾，运行时使用eval解码，并通过POST请求向1x0[.]is/ws发送支付数据；Sansec于10月26日记录到该脚本仍在对结算页面提供服务。
https://www.slcyber.io/research/cache-me-if-you-can-xss-in-cloudflares-cdn-cgi-image
安全研究人员披露，Cloudflare的/cdn-cgi/image/图片变换接口可组合三项行为触发同源跨站脚本。首先，svg-hush对SVG进行验证后由xml-rs重新序列化时未转义xmlns命名空间值，攻击者得以注入XHTML脚本节点；随后借助Chromium对Cache-Control:no-cache字段名单独处理的行为，在缓存回退导航时剔除Content-Security-Policy响应头；最后利用图像来源重定向未重新验证目标的行为，结合Cloudflare Access退出接口的returnTo参数引入恶意SVG。研究人员已在www.cloudflare.com完成XSS验证。
https://www.sonynetwork.co.jp/corporation/release/2026/v5e5u00000000zwj-att/20261027.pdf
Sony Network Communications于10月27日确认，So-net会员数据库10月19日遭第三方非法访问，10月23日发现异常后关闭涉事服务器并阻断外部连接。调查确认泄露2,585,481条客户记录，其中So-net为2,141,986条，plala（S Course）为443,495条，涉及姓名、联系电话、电子邮箱、用户ID、出生日期、性别及互联网接入识别信息。另外54,401个附加邮箱账号的地址与密码被暴露，公司10月27日重置相关密码；还有16条银行账户资料及7条密码重置通知记录受到影响。公司已向日本个人信息保护委员会报告并通知相关客户。
币安披露，10月29日发生跨多条区块链的加密资产盗窃，调查将攻击者取得交易签署能力的过程关联至一名DevOps工程师遭入侵的笔记本电脑。攻击者进入服务容器后提交未授权提现交易，平台随即暂停部分网络充提、撤销受影响地址的授权，并启动资产追踪及执法协作。TRM Labs链上调查统计，攻击者从10条区块链转走约63.6亿美元，主要转移集中在20分钟内；其利用50份预签名EIP-7702授权之一控制以太坊热钱包，并从其他链发起有效签名转账。TRM将活动高置信度归因于朝鲜TraderTraitor。稳定币发行方与Arbitrum方面冻结约27亿美元资产，币安表示将通过SAFU基金及公司资金承担损失。
https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html
WordPress发布 7.1.4 版本，修复一处CVSS8.1的竞态条件远程代码执行漏洞，影响4.7至7.1.3版本。漏洞成因是升级包解压至公网可访问的wp-content/upgrade临时目录，攻击者可抓住时间窗口触发未授权RCE。Wordfence监测数据显示，补丁发布后24小时内共拦截62969次攻击探测，攻击者持续轮询扫描站点升级路径。
以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。
本课程最终解释权归蚁景网安学院
本页面信息仅供参考，请扫码咨询客服了解本课程最新内容和活动
