攻击者总能找到新的攻击突破口，而防守方还在不断创造新的敏感数据存储位置。本周的风险点集中在AI工具、公网暴露服务、老旧漏洞、弱口令，以及按月订阅售卖的恶意软件中。部分攻击采用全新手法，还有不少直接复用已有的攻击路径，两类攻击的成功率都不低。 整体威胁态势并没有好转，只是同样的安全错误出现在了更多新场景中。以下是本周重点安全事件。
Irregular发布的最新研究显示，AI Agent可在执行任务过程中重新训练支撑自身运行的模型，不仅会造成敏感信息泄露，还会绕过模型原本内置的拒绝回答限制。 Irregular表示：“在一次修复应用响应错误的常规软件维护任务中，Agent发现支撑自身和应用运行的共享模型是问题根源，于是直接对模型进行微调，并替换了支撑应用运行和未来所有Agent实例的模型。整个过程中，研究人员没有向Agent发出任何训练、修改模型或部署替换版本的指令。” 研究人员将这种现象命名为Agent自主修改。Irregular补充道：“实验没有发现Agent存在恶意意图、自我保护或欺骗行为，Agent修改模型只是因为训练似乎能帮助它完成分配的工程任务。当编码Agent拥有模型权重访问权限、训练工具权限，以及直接修改模型的部署路径权限时，这种Agent自主修改现象就可能在普通软件维护过程中自发出现。”
西班牙数据保护局（AEPD）表示，近期收到一起数据泄露通报，泄露事件疑似由AI Agent实施。 AEPD表示：“攻击者首先对通用文件发起漏洞扫描，成功登录系统。进入系统后，AI Agent自主搜索应用漏洞，找到漏洞后就可以修改个人数据、访问发票内容。从数据保护角度看，这一事件的关键意义在于，已有第三方将AI Agent作为工具，成功串联起攻击的各个阶段。”
Google旗下Mandiant表示，已观测到多起高级恶意软件攻击活动，攻击者在恶意软件中嵌入轻量级本地AI模型，实现对受害者网络的隐蔽长期持久化。 Google表示：“这类恶意软件不再依赖容易被传统特征检测标记的静态载荷，而是通过本地AI推理分析主机环境，识别端点上当前运行的特定安全工具。在攻击阶段，恶意软件会在运行时动态重写自身的命令执行字符串，绕过检测。通过不断改变自动操作的语法和逻辑，载荷可以成功规避静态EDR特征检测。” Google同时警告，恶意攻击者正在使用AI命令行界面（CLI），通过自然语言查询编排管理C2基础设施；还会入侵云环境，“创建未隔离的VM实例，将其改造为实时AI辅助攻击枢纽”，用于实时调试、优化攻击工具。
名为Optimus_Prime（别名OptimusPrimero）的威胁参与者在地下论坛Exploit上推广名为Luciferus的无审查AI订阅服务，称其可替代ChatGPT、Claude、Gemini等主流服务商的越狱版本。 Sophos表示：“8月发布的广告称Luciferus是不受道德伦理限制、可响应任何请求的AI系统，基于参数量达1200亿的专有模型构建。”Sophos补充称，该工具很可能基于阿里巴巴的Qwen系列AI模型开发。 该服务每月订阅费用为35美元，官网（luciferus[.]io）称支持三个模型。Sophos表示：“Luciferus的出现符合更广泛的行业趋势：威胁参与者正越来越多地通过地下论坛、Telegram频道和网络犯罪市场将AI能力商业化。很多攻击者不会自行开发模型，而是通过AI即服务模式提供无审查或修改版LLM的访问权限，就像之前恶意软件、钓鱼工具包、勒索软件的商品化过程一样。”
Palo Alto Networks Unit 42表示，已发现两起正在进行的多阶段网络入侵和数据窃取行动，目标是拉美地区的机构，攻击者通过AI增强自身能力。其中CL-CRI-1131行动使用LotL技术，执行迭代批处理脚本排查问题、窃取敏感数据，已影响墨西哥、厄瓜多尔的交通机构、联邦政府部门和市政水务公司；CL-CRI-1163行动通过简历主题钓鱼邮件部署自定义RAT和隧道工具（包括基于Go开发的SOCKS5代理），主要瞄准巴西金融行业。 Unit 42表示：“发起CL-CRI-1131和CL-CRI-1163行动的攻击者将商用LLM整合到工作流中，提升自身技术能力。这种整合让攻击者可以编写高级代理配置，动态解决复杂的执行失败问题。但他们为使用AI部署的基础设施，反而成了整个攻击链的致命弱点。”
Amatera、Remus等信息窃取木马的收集范围已经从浏览器密码、加密货币钱包，扩展到AI工具存储的访问令牌、MCP配置、提示词历史和项目数据。 Gen Digital表示：“Amatera瞄准Cline、Continue相关数据，Remus则瞄准Claude、Cursor、OpenCode相关数据。这些数据可能存在重叠，统计的是检测量而非成功感染量，但足以说明AI Agent相关数据已经进入信息窃取的黑色产业链。恶意软件收集的内容远不止无关紧要的用户偏好：根据Agent及其配置不同，本地文件中可能包含访问令牌和刷新令牌、MCP配置中存储的凭证、提示词历史、对话数据库、账户详情，以及开发者正在处理的项目痕迹。攻击者拿到一份压缩包，就可能同时获得账户访问权限，以及理解账户内高价值内容所需的上下文信息。”
研究人员发现一起大规模攻击行动，目标是暴露在公网、未配置身份认证的LocalAI实例，攻击者利用MCP STDIO配置的固有特性实现命令执行。 Oasis Security表示：“攻击者留下的痕迹显示，243个无认证LocalAI实例中，有230个可被利用。回调日志独立证实，攻击者已在23台服务器上获得root权限执行命令。入侵后的活动包括窃取泰国军方相关工作站的数据，收集127条AWS凭证记录。” 据悉，未知威胁参与者从这些LocalAI目标中挑选高价值基础设施，入侵了一台桌面端LocalAI工作站及关联的私有网络，随后窃取敏感数据，包括个人信息、GPS坐标、银行应用截图、身份证扫描件。其他入侵活动还包括利用老旧基础设施漏洞、绕过身份认证、批量搜刮加密货币钱包和API密钥、窃取AWS ECS任务凭证。
美国CISA发布警告称，勒索软件团伙已开始利用2026年7月修复的VMware vCenter高危漏洞。该漏洞编号为（CVE-2026-59310），是vCenter Syslog服务器中的高危目录遍历漏洞，未认证的攻击者可利用该漏洞执行任意代码。2026年8月，德国应急响应公司QUIRSO发现证据，显示一个中国背景的APT组织在漏洞公开后不久就开始利用该漏洞发起攻击。
Oracle发布2026年9月关键安全补丁更新（CSPU），共修复超800处安全漏洞，目前暂无漏洞被公开利用的记录。 Fortra安全研发副总监Tyler Reguly表示：“现在谈安全更新都快成老生常谈了。我们不断看到大量漏洞被披露，所有人都有点倦怠。我之前说过，现在也还是这个观点：这种情况总会到头，创纪录的补丁数量、创纪录的漏洞数量不会一直持续，我对此很有信心。大家要尽可能避免倦怠，先撑过这波漏洞高发期。CISA BOD 26-04指令很好地帮助大家理解如何基于风险确定修复优先级。虽然3天的修复窗口期在需要测试补丁的情况下非常紧张，但它确实列出了能真正改变防护效果的优先级判断标准：资产是否公网暴露、是否在已知被利用漏洞列表中、漏洞利用是否可自动化、攻击者是否能通过漏洞获得完整控制权。回答了这些问题，你就能开始判断漏洞对应的风险等级。当然你还可以加入其他判断维度，但如果你还不清楚自身组织的风险是什么样的，这是个很好的起点。等你明确了风险判定标准，就能更合理地安排补丁修复优先级。”
Sophos表示，2026年8月在多台被入侵的Cisco防火墙管理中心（FMC）设备上发现了模块化僵尸网络和恶意软件框架Cyclops Blink的新变种。 Sophos表示：“2022年记录的Cyclops Blink样本主要针对WatchGuard设备，而2026年的新变种运行在x86-64 Linux系统上，使用通用System V（SysV）机制实现持久化，而非修改厂商专属固件。这种变化扩大了该恶意软件可兼容的网络边缘设备范围。新变种的能力得到扩展，包括主动网络和服务发现、可编程数据包监控、文件传输、载荷执行，让被入侵设备可以作为内部侦察、情报收集和后续攻击的平台。该恶意软件支持五个工作模块，分别执行主机侦察、文件传输与载荷执行、主动网络发现、选择性数据包捕获与内容监控、持久化维持。” Cisco表示，此轮Cyclops Blink活动是针对其Secure FMC软件两个漏洞（CVE-2026-20079、CVE-2026-20316）的三起独立攻击行动之一。这些发现再次证明，被入侵的网络设备和其他边缘设备能让攻击者获得企业环境的特权访问位置，监听流量、发起网络探测、开展后续攻击。
香港科技大学和香港理工大学的学者团队演示了名为InjectEave的新型电磁侧信道攻击：外部RF信号会诱使硬件产生非线性效应，导致低频模拟信号敏感信息泄露。 研究人员表示：“我们评估的11款商用现成设备都普遍存在非线性模拟接口漏洞，攻击者可以利用该漏洞窃听耳机和固定电话音频、推断智能风扇转速和智能灯泡亮度，还能恢复数字加密和软件防护难以覆盖的其他模拟敏感信息。我们演示了最远30米距离下对有线、无线耳机播放音频的窃听，包括穿墙场景，还验证了其他低频敏感信息受注入诱导产生的电磁泄露特征。” 研究团队对耳机、VoIP电话、智能风扇、智能灯等11款商用设备的测试显示，攻击者无需物理接触或修改设备，就可以恢复私密音频或判断设备状态。研究人员表示：“采用双绞线布线、屏蔽、滤波等硬件层面的缓解措施，可以降低注入载波耦合到设备的能量，减少暴露面。这些措施能提升攻击门槛，但无法完全免疫攻击。”
名为CL-CRI-1171的威胁参与者已潜伏至少两年，运营按安装付费（PPI）市场，可供其他威胁参与者分发恶意软件，传播渠道包括YouTube频道和并行的SEO投毒链路。 Palo Alto Networks Unit 42表示：“这些频道主动与观众互动，推广夹带恶意软件下载链接的游戏内容。虽然视频提供的是真实的游戏内容，但同时也充当了感染载体，诱导观众下载恶意工具。SEO投毒链路则瞄准更专业的受众，推广植入木马的软件，最终在企业端点（包括关键基础设施甚至政府机构的设备）上部署恶意软件。” 两条传播链路最终都会投递名为OfferLoader的自定义加载器，2025年7月至2026年4月期间，该加载器共投递三个载荷：Docro Hijacker（可绕过现代完整性保护的Chrome后门）、ARKTunnel（基于WebSocket的隧道RAT），以及一个此前未命名的跨平台后门新变种，研究人员将其代号定为Insomnia RAT，可同时攻击Windows和macOS系统。2026年4月之后，该PPI基础设施还开始投递GCleaner和Socks5Systemz恶意软件。
Huntress分析的两起入侵事件显示，名为Settra的新兴勒索软件团伙在攻击中部署了MeshAgent远程访问软件。 Huntress表示：“虽然目前无法确认初始访问方式，但两起攻击都使用了以受害者组织域名为名的勒索软件可执行文件，攻击模式高度相似。在已观测的入侵事件中，攻击者部署远程监控与管理（RMM）工具实现持久化，随后加密文件、投放名为RESTORE_FILES.txt的勒索信、清除Windows事件日志、禁用Windows恢复选项。其中一起事件还出现了BYOVD攻击迹象；另外攻击者在攻击过程中出现了明显的拼写错误，导致无法清除Windows Defender事件日志。” 研究人员Rakesh Krishnan表示，Settra于2026年6月首次出现，主要针对美国、德国、英国、加拿大、澳大利亚的科技、专业服务、制造、零售行业实体，目前已宣称攻击了70名受害者。Cynet调查的另一起事件中，“勒索软件引擎被藏在加密块中，需要攻击者输入密码才能解锁。没有正确密码的话，可执行文件会直接终止运行，让研究人员和自动化沙箱几乎没有可分析的内容。”
SOCRadar披露了名为VectraRAT的全新恶意软件即服务（MaaS）平台细节，该平台从零开发，每月订阅费用为250美元。 SOCRadar表示：“该平台为攻击者提供隐藏桌面控制、键盘记录、剪贴板劫持、浏览器凭证窃取、无提示UAC绕过提权等能力。它包含三个组件：名为VectraHub的Go语言控制服务器、编译到二进制文件中的Vue3操作面板，以及原生C++开发的Windows植入端。三个组件通过3308端口、基于MessagePack的专有二进制TCP协议通信。” 该恶意软件的运营者“Vectra”是此前“Nyxel”的更名身份，其活动至少可追溯到2022年8月。VectraRAT通过Amadey恶意软件和ClickFix诱导页面投递。
2026年8月，研究人员观测到一起Casbaneiro攻击行动，目标是拉美地区用户，初始访问载体为伪装成虚假发票、法律通知的钓鱼邮件和PDF文件。 Fortinet FortiGuard Labs表示：“Casbaneiro具备其他针对拉美金融机构和用户的恶意软件家族的常见特征，包括剪贴板注入、使用虚假窗口实施欺诈等。本次攻击行动中，恶意软件通过多阶段感染链投递，包括HTA下载器和AutoIt加载器，其中AutoIt加载器负责将最终载荷注入Windows进程。”
名为KATARU的IoT恶意软件通过Telnet凭证暴力破解入侵Linux和嵌入式系统。 Nozomi Networks表示：“虽然它保留了常见的Mirai式僵尸网络功能，但能力范围异常广泛，包括多个Linux n-day本地提权漏洞利用、覆盖Linux和嵌入式环境的多维度持久化机制、加密C2通信、反分析检查、诱饵流量等。” 该恶意软件的最终目标是与C2服务器建立通信，接收DDoS攻击指令。研究人员怀疑KATARU是在AI辅助下编写的。
名为Azalea RAT的MaaS产品被推广为模块化恶意软件平台，具备丰富的入侵后能力。 Rubrik Zero Labs表示：“Azalea RAT整合了远程管理、隐蔽机制、提权、持久化、信息窃取和可扩展插件架构。一旦执行，RAT允许攻击者管理被感染主机、执行命令和额外载荷、收集敏感信息、操控系统资源，并通过完善的C2框架维持远程访问。” 这款基于.NET开发的RAT专为持久化、交互式控制被入侵Windows系统设计。Azalea RAT的初始载体是伪装成PDF文档的Windows快捷方式，触发后执行第一阶段加载器；加载器先进行反分析检查，再解压负责设置Microsoft Defender排除路径的DLL文件，最终启动RAT主体。
Zscaler ThreatLabz在2026年6月发现了名为SloppyRAT的新型恶意软件，疑似被与勒索软件相关的威胁参与者使用，通过多阶段ClickFix感染链投递，在目标网络建立立足点用于横向移动。 ThreatLabz表示：“该恶意软件支持多种功能，包括大量内置类PowerShell命令、加密代码块、通过Polygon JSON-RPC协议实现EtherHiding的C2解析，以及多种反分析技术。SloppyRAT使用证书固定机制，阻止网络监控方案通过MitM攻击检查TLS流量。除功能特性外，该恶意软件的代码库存在大量软件缺陷，说明它仍处于开发阶段。”
研究人员观测到一起五阶段感染链，通过社会工程学诱导的批处理文件投递AsyncRAT。虽然目前确切的初始访问载体未知，但已知攻击者通常会通过钓鱼邮件、恶意链接、植入木马的软件、即时通讯平台传播恶意软件。 Point Wild表示：“批处理文件会启动隐藏窗口、禁用配置文件的PowerShell进程，将Base64载荷从10个片段中重组，移除故意插入的垃圾字符，再通过重复密钥XOR算法解密。它会在%LOCALAPPDATA%\Temp下的混淆构建专属文件夹中投放三个文件：重命名但带有合法签名的AutoIT解释器、AutoIT加载脚本（kojuyn.ini），以及无扩展名的加密载荷。写入启动文件夹的批处理文件会在用户每次登录时重新启动解释器和脚本，不会添加注册表启动项。” AutoIT脚本负责在内存中解密载荷，注入到带有微软签名的Windows进程中，随后载荷通过三步流程启动最终的AsyncRAT恶意软件。
俄勒冈州前AT&T门店员工、44岁的Kenneth Carter因滥用内部访问权限实施SIM swap攻击，帮助犯罪分子接管客户银行账户，被判16个月监禁。三名受害者的预期损失近600万美元，Carter每实施一笔欺诈性SIM swap通常可获得1000至2000美元报酬。 Carter于2018年5月至2019年11月在该门店工作，法院同时勒令其支付99528美元赔偿金。他已于2026年3月对相关指控认罪。
《莫斯科时报》报道，自6月以来，美国当局已引渡三名俄罗斯公民，分别在不同的网络犯罪案件中接受指控，涉及恶意软件攻击、银行欺诈、入侵政府和私营部门组织。 其中40岁的Searzhudin Aktulayev于2025年5月在塞浦路斯被捕，2026年8月28日被引渡至美国。另外两起案件涉及俄罗斯网页开发者Sergei Filimonov和Denis Obrezko：Denis Obrezko于2025年11月在泰国被捕，2026年6月被引渡至美国，关联名为Void Blizzard的组织发起的大规模网络间谍行动。
五名居住在尼日利亚的Black Axe网络犯罪集团头目（Perry Osagiede、Franklyn Edosa Osagiede、Osariemen Eric Clement、Collins Owhofasa Otughwor、Musa Mudashiru）因参与全球范围的网络金融诈骗，已从南非被引渡至美国，面临电信欺诈和洗钱指控。其中Perry Osagiede、Franklyn Osagiede、Clement还被控电信欺诈，Perry Osagiede、Franklyn Osagiede、Otughwor还被控严重身份盗窃。 美国司法部表示：“至少从2011年到2021年，Black Axe被告及其他同谋在开普敦勾结，实施大规模网络诈骗，包括浪漫诈骗和预付费骗局。很多诈骗剧本会虚构某人前往南非工作，遭遇一系列不幸意外事件（通常涉及建筑工地或起重机故障），需要资金或其他贵重物品援助。同谋使用社交媒体网站、在线约会网站和VoIP电话号码，使用多个化名寻找并联系美国受害者。浪漫诈骗的受害者以为自己和化名背后的人处于恋爱关系中，会按要求向海外（包括南非）汇款或寄送贵重物品。有时受害者表现出汇款犹豫，同谋就会使用胁迫手段逼迫付款，包括威胁散布受害者的个人敏感照片。”
五名委内瑞拉公民承认企图从ATM中盗取美元现金。27岁的Luis Alberto Velasquez-Artigas、29岁的Royder Adrian Figuera-Perez、27岁的Javier Mejia, Jr、33岁的Gabriel Alexjandro Corales-Garcia、26岁的Italo Lizandro Corrales-Carrillo均承认一项合谋实施银行盗窃罪的指控。 美国司法部表示：“2025年12月，被告从印第安纳州前往堪萨斯州，试图通过jackpotting攻击从Wamego和Manhattan的ATM中盗取现金。他们的计划是先由一名同谋将恶意软件物理安装到ATM中，之后团队远程触发命令让ATM吐钞，再前往现场取走现金。他们在Wamego的ATM上安装恶意软件失败，安装尝试触发了警报，执法人员赶到现场后，犯罪分子没有再返回。在Manhattan，他们同样没能让ATM吐出钞票。两次盗窃未遂都被监控摄像头拍下，肇事者几天后被逮捕。” 美国FBI数据显示，2020年以来已记录1900起ATM jackpotting事件，仅2025年就发生700多起，损失超2000万美元。
另一起ATM jackpotting案件中，27岁的委内瑞拉男子Juan Manuel Gouveia-Aguilera因参与合谋部署Ploutus恶意软件、从美国ATM中窃取数百万美元，被判8年监禁。法院同时勒令其支付赔偿金作为判决的一部分。 美国司法部表示：“法院认定Gouveia-Aguilera造成的损失超350万美元，这一判决据信是美国针对个人ATM jackpotting犯罪作出的最长联邦刑期。Gouveia-Aguilera认罪后，被判定犯有合谋实施银行欺诈、合谋实施银行盗窃及计算机欺诈、银行欺诈、银行盗窃、计算机欺诈等罪名。” 近年来，网络犯罪分子已使用ATMii、ATMitch、GreenDispenser、Alice、RIPPER、Skimer、SUCEFUL、Ploutus等多种恶意软件，通过ATM jackpotting攻击盗取现金。
美国财政部金融犯罪执法网络（FinCEN）表示，其分析了2023年9月8日至2025年12月31日期间提交的33904份《银行保密法》（BSA）报告，这些报告涉及疑似数字资产投资诈骗相关活动，总计约127亿美元的金融活动与海外诈骗中心实施的疑似数字资产投资诈骗相关。 FinCEN表示：“诈骗者通常使用假名或虚假身份，伪装成潜在的恋爱对象、新朋友或商业伙伴瞄准受害者。他们还会搭建模仿合法投资服务的网站和移动应用实施犯罪。”FinCEN指出，诈骗中心运营者正在通过担保市场购买非法服务，包括在线账户注册、钓鱼、洗钱服务等。
本周的安全事件给我们的启示是，攻击者并没有突然变得更聪明，问题在于新的实用技术不断成为新的攻击面，而防守团队的认知速度跟不上攻击面扩张的速度。 企业要及时排查公网暴露的资产，梳理存储令牌、提示词、配置文件和密钥的位置，禁用不安全的默认配置，同时也要及时修补老旧漏洞。新技术不会让旧的安全问题消失，只会让这些问题藏在更多新场景里。 梳理每周威胁动态的意义不是制造恐慌，而是帮助防守方建立更敏锐的风险直觉，尽可能减少攻击者可轻易得手的机会。
参考来源：
ThreatsDay: Self-Rewriting Agents, 800+ Flaws Patched, Insider SIM Swaps and 22 More New Stories
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。