2026年11月3日，币安（Binance）公布一起重大安全事件的初步调查报告。攻击者通过多阶段社会工程攻击，先后入侵多名钱包开发人员的电脑。其中，一名员工通过搜索广告下载了被植入恶意代码的软件，另一名员工则在参与虚假招聘面试后，下载了伪装成合法项目的恶意代码仓库。攻击者随后利用被控制的设备、窃取的凭据以及内部AI工具，进一步进入钱包开发系统。2026年10月29日，攻击者在短短4分钟内，从5个热钱包转出约2.3346亿枚XRP，随后又转移SOL、OP、BTC等其他加密资产。币安称，此次事件约有63.4亿美元数字资产受到影响，其中约28.5亿美元已被冻结或拦截。美国FBI将攻击归因于朝鲜关联的TraderTraitor组织，币安承诺承担相关损失，并表示截至10月31日，98%的受影响代币资产已经补充。
Linux服务器安全防护软件cPGuard于2026年11月3日披露，攻击者入侵其开发商OPSSHIELD的计费和授权系统，盗取软件更新发布凭据，并通过正常更新渠道向用户推送恶意脚本。此次攻击发生于11月2日，受影响版本为5.88.12至5.88.19，恶意脚本以root权限运行，可读取Linux密码哈希、root SSH私钥、MySQL数据库密码、Shell历史记录，以及部分服务器上的云存储密钥。攻击者还部署了隐藏的root Shell后门。OPSSHIELD确认，约2950台客户服务器执行了恶意更新，约7900个计费门户账户的资料也可能受到影响。官方已撤销被盗发布密钥，并发布干净的5.88.26版本清除已知恶意组件。受影响用户除了升级，还必须轮换SSH密钥、数据库密码、云访问凭据及其他可能泄露的秘密信息。
开发者身份认证基础设施企业WorkOS于2026年11月2日公布安全事件，称攻击者于10月30日未经授权进入公司内部销售应用程序，并利用AI辅助渗透框架自动执行网络侦察和漏洞利用尝试。泄露信息包括客户姓名、电子邮箱、电话号码、职位、公司信息、账户历史，以及销售电话、客户支持沟通和部分Slack对话的摘要与内容片段。WorkOS表示，攻击者访问的是内部CRM和客户支持数据，目前没有证据表明其生产服务、客户应用数据或核心身份认证系统遭到入侵。公司已关闭受影响应用的外部访问，并聘请独立数字取证团队调查。WorkOS创始人将攻击所使用的框架指向ARTEX AI。此次事件尤其值得关注，因为攻击者获取的不仅是联系方式，还包括客户与供应商之间真实的沟通背景，这些信息可能被进一步用于高度定制化的钓鱼和商业欺诈。
Google威胁情报团队（GTIG）与Mandiant于2026年11月2日发布研究报告，披露针对大型语言模型基础设施的LLMjacking攻击正在扩大。攻击者通过扫描公网暴露的LLM服务、窃取企业API密钥、云身份凭据和GitHub访问令牌，获得未经授权的模型调用权限。与传统加密货币挖矿不同，攻击者利用被盗的AI访问权限调用昂贵的大模型服务，甚至将这些访问权限出售给地下市场中的LLM Mixer服务商，供其他犯罪分子使用。研究人员发现，部分受害企业单日产生超过10万美元的异常AI服务费用，累计损失甚至达到100万美元。其中一个攻击者在不到8小时内发起超过50万次模型API调用。攻击者还通过不断创建和删除短期服务账户来绕过调用限制，并利用反向代理转售被盗模型资源。Google建议企业严格保护AI API密钥，实施细粒度权限控制、调用配额、预算告警和异常请求监控，防止AI算力被当成可出租的犯罪资源。
https://www.vulncheck.io/blog/exploitation-targeting-node-red
安全研究公司VulnCheck于2026年11月2日披露，Node-RED存在严重漏洞CVE-2026-58115，CVSS评分达到10.0。该漏洞源于Node-RED管理HTTP接口缺少必要的身份验证，攻击者可以在不登录的情况下访问流程编程节点。由于Node-RED内置了可以执行系统命令的Exec节点，攻击者能够构造恶意流程，让系统自动下载并执行远程恶意程序。VulnCheck于10月30日在蜜罐中捕获到完整利用请求，攻击者部署恶意流程后下载Linux Bot程序；随后又观察到来自同一IP的16次相关攻击事件，载荷包括Linux恶意程序和持久化WebShell。Node-RED被广泛用于工业自动化、制造业、能源及物联网项目，相关漏洞也影响安装Node-RED的部分Siemens SIMATIC IoT2050 Advanced设备。西门子已在Industrial OS 4.3.4.1及更高版本中提供修复。建议管理员立即检查Node-RED管理接口是否暴露公网、启用adminAuth认证，并排查异常Exec节点和未经授权创建的流程。
https://nvd.nist.gov/vuln/detail/CVE-2026-11997
2026年11月3日，CISA将WordPress核心漏洞CVE-2026-119977加入已知遭实际利用漏洞目录（KEV）。该漏洞CVSS 3.1评分为8.1，影响WordPress 4.7至7.1.3版本。问题出在WordPress核心升级过程中，程序会创建用于解压和暂存更新文件的目录，但相关路径具有可预测性，并可能通过Web直接访问。攻击者可以在网站执行完整版本更新的短暂时间窗口内，利用竞态条件访问暂存目录中的安装程序文件，进而实现未经认证的远程代码执行。安全研究人员观察到，补丁发布后的短时间内，针对相关暂存安装路径的探测请求明显增加。WordPress已于10月28日发布7.1.4版本修复该问题，并向更早的维护分支回补安全更新。建议管理员升级到7.1.4或对应分支的修复版本，检查wp-content/upgrade目录及Web访问日志，并限制升级暂存目录的外部访问。
https://www.securityweek.com/androids-november-2026-updates-patch-over-200-vulnerabilities/
Google于2026年11月2日发布Android 2026年11月安全公告，共列出208项安全漏洞，其中23项达到Critical级别。最严重的问题为CVE-2026-58868，存在于Android Framework组件中，攻击者在满足相关条件时可能通过网络实现远程代码执行，而且不需要额外执行权限或用户交互。第一批安全更新对应2026-11-01补丁级别，共修复119项漏洞，涉及Android Runtime、Framework和System组件。第二批对应2026-11-05补丁级别，涉及另外97项漏洞，覆盖Linux内核、Arm、MediaTek、Unisoc、Qualcomm等芯片和底层组件，其中包括多项严重的权限提升、远程代码执行及拒绝服务问题。Google表示，安装2026-11-05或更高安全补丁级别的设备可以获得完整修复。由于各手机厂商推送时间不同，建议用户及时检查系统更新，并确认设备实际安装的安全补丁日期，而不是只看Android系统主版本号。
欧洲刑警组织（Europol）于2026年11月3日公布一项跨国网络犯罪执法行动。德国、阿尔巴尼亚、塞浦路斯、芬兰、科索沃和北马其顿等多个国家联合行动，逮捕7名嫌疑人，并查封100多台服务器，目标是一个涉嫌为网络诈骗团伙提供虚假投资交易网站和呼叫中心基础设施的犯罪服务商。调查人员认为，该犯罪网络至少影响50个国家的潜在受害者，涉案损失超过400万欧元。诈骗团伙通过虚假广告吸引受害者进入伪造的股票、外汇和加密货币交易平台，先让用户投入少量资金，再通过虚假的盈利页面制造投资成功的假象，诱骗受害者不断追加资金。当受害者申请提现时，诈骗人员则使用各种理由拖延，最终停止联系。调查还发现，犯罪团伙会将通过广告收集的个人信息出售给呼叫中心，用于后续精准诈骗。此次行动经过四年调查，并涉及2022年和2025年的前期执法行动，体现出欧洲执法机构正在从单独打击诈骗人员转向摧毁整个网络犯罪服务基础设施。
https://thehackernews.com/2026/11/darkblinders-compromises-israeli-target.html
安全研究人员披露，被评估与伊朗存在关联的威胁组织DarkBlinders发起网络间谍活动，成功攻陷以色列一名高价值个人目标，同时入侵伊拉克库尔德地区政府云环境。该组织自2024年9月开始活跃，主要依靠鱼叉钓鱼，包含凭据钓鱼仿冒域名、伪装StarkMeet视频会议软件、伪造迪拜机场招聘测评，交付Visual Studio项目压缩包。研究以中等置信度将该活动和UNC5795、Dust Specter聚类关联，判断属于APT34下属子集群；同期另一伊朗关联组织Prince of Persia十年来首次将第二阶段C2服务器部署在美国境内，服务器2026年7月搭建，下发Tonnerre变体恶意软件。
https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet/
安全研究机构披露，XCPE僵尸网络依托厂商预植入固件级后门，受影响设备超过130万台Android电视盒子，该后门以system权限运行，通过MQTT协议连接C2服务器，可下发各类恶意模块，将设备用作住宅代理、执行广告欺诈、部署远控Shell、屏幕捕获以及数据外传。该恶意组件预装于系统分区，程序包名为x.cpe与com.oemservice，设备开机后完成部署持久化。谷歌采取法律手段关停相关域名与C2服务器，切断十余类关联恶意家族控制链路，还波及另外约1000万台非XCPE途径感染的设备，包含机顶盒、卡拉OK设备、远程医疗硬件等非Android设备。
以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。
本课程最终解释权归蚁景网安学院
本页面信息仅供参考，请扫码咨询客服了解本课程最新内容和活动
