安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，APT组织SideCopy正在针对印度机构开展鱼叉钓鱼活动，目标包括学术机构，并通过多阶段感染链部署ReverseRAT。攻击邮件携带ZIP压缩包，内部包含伪装LNK快捷方式和诱饵文档；执行后会从攻击者服务器下载混淆HTA文件，并利用mshta.exe运行，随后加载恶意DLL、批处理脚本和第二阶段HTA，同时通过注册表Run键建立持久化。后续脚本使用.NET反序列化和反射加载在内存中启动ReverseRAT，可远程执行命令、收集系统信息、截屏、窃取密码和剪贴板内容、操作文件并外传敏感数据。

安全研究人员披露，Plex Media Server的Plex2Shell漏洞链已出现实际利用。该链由CVE-2026-96652、CVE-2026-96654、CVE-2026-96655和CVE-2026-96656组成，可在受影响实例上实现未认证远程代码执行；技术细节于10月16日公开后，10月17日蜜罐即记录到来自多个IP的利用流量。攻击者从远程服务器下载并运行加密货币挖矿载荷，后续还投递名为myawesomeproxy的Linux后门与反向代理程序以及XMRig进程。相关漏洞此前于7月27日报告，并已在8月3日发布的Plex Media Server 1.43.3.10861中修复。

安全研究人员披露，Broadcom专有802.11/WPS解析实现中的一项长期漏洞可在无线范围内被远程触发，攻击者无需知道Wi-Fi网络密钥，也无需完成正常WPS注册，即可造成受控信息泄露并执行任意代码。问题至少可追溯至2010年的SDK，2018年的修复并不完整；研究人员已在Proximus、VOO和Orange Belgium使用的多款Broadcom网关上验证无认证代码执行，并演示取得Root Shell。受影响范围包括部分eCos平台BCM3380/3383/33834及可能仍使用旧实现的Linux平台芯片，截至10月15日测试到的设备仍未获得补丁，漏洞尚未分配CVE编号。

Siemens披露，Software Center的CVE-2026-110936 DLL侧载漏洞已出现实际利用。攻击者并未修改Siemens程序本身，而是将带有效数字签名的正版Software Center与恶意DLL文件一起打包分发，利用3.5.8.7等旧版本会从程序所在目录加载辅助DLL且不进行充分校验的行为执行恶意代码。官方确认该活动属于Romulus多平台ClickFix活动，恶意软件包AllMyBasic.msi曾通过2.27.248[.]127分发，并连接96.62.218[.]59和wizardexpensive[.]com。漏洞已在4.0.9.8版本修复，相关安全公告于10月15日发布，10月19日确认在野利用。

加州教育部门披露，承包商Educational Testing Service于9月25日发现用于与州教育部门交换全州评估信息的SFTP站点存在未授权活动。调查确认，攻击者使用一个已泄露的登录凭据，在5月22日至9月18日期间多次访问该站点并复制包含加州学生信息的文件，涉及至少前三个学年在校的全部学生以及其他当前和往届学生。不同个人涉及字段不一，可包括姓名、州学生标识符、出生日期、地址、人口统计信息、残障及项目参与信息和全州测试数据。ETS于10月16日起向学生和家庭发送数据泄露通知。

美国联邦司法机构披露，BAE Systems为联邦法院运营的Bankruptcy Noticing Center相关IT系统和网站遭遇网络安全事件，导致全美破产法院通知业务中断。受影响设施包括bnc.uscourts.gov、bankruptcynotices.uscourts.gov、notices.uscourts.gov以及National Creditor Registration Service，相关网站和系统均一度无法访问。BNC负责为美国各地联邦破产法院制作和传输破产通知，此次事件同时停止了通知文件的生产与分发。美国法院行政办公室正与受影响法院及BAE Systems协调，BAE Systems继续调查并恢复相关系统。