https://www.welivesecurity.com/en/eset-research/gorbag-orcs-border-harvesting-intelligence-ukraine/
安全研究人员披露，Gorbag威胁组织至少自2025年2月起持续开展攻击，攻击目标全部位于乌克兰，重点针对执法司法机构、前线地方行政部门以及国防与军事援助运输相关实体。该组织不部署长期驻留复杂植入程序，以一次性情报收集为目标，完成数据窃取后执行自删除，存在作为初始访问代理向其他威胁团伙分发窃取凭据的可能。2025年该团伙通过带宏Excel钓鱼附件投递BeautyStealer窃取程序，2026年初更新攻击链，该窃取程序可收集浏览器凭证、VPN配置、各类办公文档、密钥文件，窃取数据通过Telegram API或者FastAPI自建C2服务器进行外传。
https://opsshield.com/notice/cpguard-update-channel-compromise.html
OPSSHIELD发布安全公告，未公开身份攻击者凭借被盗凭据侵入cPGuard更新分发CDN基础设施，借助版本5.88.12‑5.88.19更新通道下发恶意脚本。厂商在更新投放12小时内检测到异常，恶意脚本会采集目标Linux 服务器 /etc/shadow、/etc/passwd、MariaDB/MySQL根配置、root Shell历史记录、SSH授权相关文件，将采集文件上传至被攻击者控制的厂商许可服务器，厂商确认攻击者已经取回部分采集数据。受影响服务器需要升级至5.88.25及以上版本清除后门文件，即便已经完成升级，仍需要轮换全部相关账号凭据、SSH私钥与数据库密钥，厂商暂不强制服务器整机重建，调查仍在确认受影响服务器总规模。
安全研究人员披露，3AM勒索软件附属团伙对英国一处校园资产开展攻击，从一台未受管控主机发起横向移动，共计对约37台主机完成文件加密，攻击过程观测到间隔40‑100秒重复微调执行命令的行为，研究人员推测攻击者使用AI生成指令与代理循环，但没有获取攻击者侧AI模型相关证据。攻击者利用修改后的公开PowerShell工具从三台Veeam备份服务器提取解密凭据，获取Chrome凭据库，投放Mimikatz与LSASS内存转储工具，新建名称为library、svc_bkpmon的域管理员后门账号，配置三个独立活动目录域双向信任扩大攻击范围。攻击者尝试卸载终端防护软件、删除系统状态备份，部署Rust编写的3AM加密器，同时窃取系统内财务数据。
Zyxel于2026年11月3日发布安全公告，修复GS1900系列交换机中的零日漏洞CVE-2026-107441。该漏洞属于越界写入（Out-of-Bounds Write），存在于设备Web管理接口，攻击者在具备网络访问条件的情况下，无需身份认证即可通过构造特殊HTTP请求执行操作系统命令。安全研究机构GreyNoise此前发现，攻击者从2026年8月17日左右开始利用该漏洞，涉及全球48个国家和地区的996台交换机。调查还发现，攻击者利用漏洞获取设备配置文件及敏感凭据，并部署JITTERLY后门和SIXZUT Rootkit。值得注意的是，Zyxel此前曾针对同一系列设备发布过CVE-2026-7273修复补丁，但攻击者通过不同的内存处理缺陷绕过了原有防护。官方已为10款GS1900型号发布修复固件，建议管理员立即升级并检查设备配置及登录凭据是否泄露。
韩国游戏开发商Shift Up旗下《胜利女神：妮姬》（Goddess of Victory: NIKKE）的PC启动器于2026年11月4日被发现遭第三方篡改。攻击者向游戏发行商Level Infinite官方CDN上的JavaScript文件植入恶意代码，玩家启动游戏时，启动器会自动加载这些脚本，并从攻击者控制的服务器下载远程控制恶意程序。独立研究人员发现，恶意程序可以执行系统命令、浏览和下载本地文件、截取屏幕、窃取游戏账户凭据和浏览器保存的信息，还具备进一步窃取MetaMask、Phantom等加密货币钱包扩展数据的能力。相关恶意文件据称最早于2026年9月27日被植入官方CDN。Level Infinite于11月4日凌晨紧急发布客户端修复更新，并表示正在调查实际影响范围。
安全公司Sekoia于2026年11月4日披露，一场名为Poisoned Source的网络间谍行动正在利用遭入侵的网站、仿冒域名及第三方Web分析服务，针对iOS和Android用户实施零点击攻击。研究人员以中高置信度将该活动归因于俄罗斯关联组织APT29（又称Midnight Blizzard）。攻击者首先通过植入JavaScript分析访问者的设备型号和浏览器版本，再根据目标系统推送相应的漏洞利用链，尝试窃取浏览器Cookie、即时通信应用数据库、Wi-Fi密码及其他设备数据。受到影响的网站涉及乌克兰能源企业、美国化工行业组织及保加利亚军事相关网站，攻击者还入侵了乌克兰Web分析服务Plerdy的SEO Tracker脚本。需要注意，此次使用的是已经公开并修复的N-day漏洞，而不是全部属于零日漏洞；未及时更新系统的设备才面临相应风险。建议iPhone和Android用户尽快安装系统安全更新，并避免访问来路不明的仿冒网站。
2026年11月4日，法国国家血液机构EFS确认，其三处血浆储存设施遭遇网络安全事件。攻击者并未直接入侵EFS核心IT系统，而是针对负责冷藏设备监控和管理的第三方供应商Coolworld实施攻击，通过远程监控软件修改冷藏室温度及除霜阈值，将其调整到异常高的水平，威胁血浆和生物样本的安全。Coolworld随后确认，其部分制冷设备受到影响，并指出漏洞位于第三方软件组件。EFS表示，内部温度监控和告警系统及时发现异常，工作人员迅速转移或保护相关血液制品，没有造成血浆损失或人员健康影响，采血和配送业务也没有中断。法国国家网络安全局和卫生主管部门已介入调查。
https://thehackernews.com/2026/11/sonicwall-wont-patch-eol-gms-flaws-that.html
SonicWall于2026年11月3日发布安全预警，披露旗下已经停止维护的Global Management System（GMS）存在两项漏洞，影响9.5.2及更早版本。第一项漏洞CVE-2026-109593为未认证文件读取漏洞，CVSS评分9.1，具有网络访问能力的攻击者可能读取内部GMS文件，获取敏感配置信息。第二项漏洞CVE-2026-109594为SQL注入漏洞，CVSS评分6.8，已经获得相应身份认证的攻击者可能读取或修改GMS数据库中的信息。GMS主要用于集中管理大量SonicWall安全设备，一旦管理平台遭到入侵，可能进一步暴露企业网络安全配置及设备管理信息。由于GMS已经达到产品生命周期终止（EOL）状态，SonicWall明确表示不会为这两项漏洞发布安全补丁，并建议用户迁移至新一代Network Security Manager（NSM）。使用旧版GMS的组织应尽快完成迁移，并在迁移前严格限制管理接口的网络访问。
密码管理软件mSecure的开发商mSeven Software于2026年11月3日向现有及历史用户发送安全事件通知，称发现与mSecure应用有关的可疑活动，并已启动调查及采取缓解措施。随后，部分客户分享了与官方客服的沟通记录，称攻击者可能窃取了mSecure Cloud中的加密密码数据库。受影响对象主要是使用mSecure Cloud进行跨设备同步的用户。mSecure采用AES-256加密和零知识架构，正常情况下，密码库内容在用户设备本地加密后才上传至服务器，服务商无法直接读取解密后的密码。但加密数据库一旦被攻击者获取，仍可能面临针对弱主密码的离线破解风险。mSeven建议现有和历史用户更改重要账户密码、重新注册双因素认证方式，并删除可能受到影响的Passkey。目前，公司没有公开确认具体受影响人数、数据库被盗的完整证据及攻击入口，也没有证据表明攻击者已经成功解密密码库。建议用户优先保护邮箱、金融账户和云服务等高价值账户。
https://www.freebuf.com/news/510732.html
Ruby on Rails存在一个高危漏洞，如果应用使用ImageMagick处理上传文件，未授权攻击者可以通过上传特制文件在应用服务器上写入任意文件。Rails项目在安全公告中披露了该漏洞，已在8.1.4.1和8.0.5.2版本中完成修复。漏洞存在于Rails负责处理文件上传的Active Storage组件中。部分应用使用Active Storage的Disk服务存储上传文件，这类服务会将文件直接存放在服务器磁盘上。针对这类应用，攻击者还可以读取应用进程有权限访问的任意文件。
以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。
本课程最终解释权归蚁景网安学院
本页面信息仅供参考，请扫码咨询客服了解本课程最新内容和活动
