安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

研究人员发现了一场全新的网络钓鱼攻击活动，该活动与一个此前未知的APT组织相关联。研究人员将该组织命名为“Armored Likho”（根据间接证据，该组织也被称为“Eagle Werewolf”）。这场定向攻击活动主要将目标集中在政府机构和电力部门，涉及俄罗斯、巴西和哈萨克斯坦，表明该组织已发展为一个全球性的攻击组织。该组织的武器库拥有经过混淆的模块化远控木马和专为绕过动态分析而设计的窃密木马。除此之外，他们还利用了Go2Tunnel这样的工具来实现远程访问和网络隧道化。

研究人员发现了一款macOS窃密木马。该程序以编译后的AppleScript（.scpt）文件形式进行分发，并伪装成一款合法的开源剪贴板管理器“Maccy”。鉴于该恶意软件的核心行为之一是在搜刮受害者登录密码之前，先通过macOS的可插拔认证模块对其进行本地验证，研究人员将其命名为PamStealer。

谷歌与美国联邦调查局、Lumen等机构及公司展开联合行动，对NetNut住宅代理网络（也被称为Popa）采取了打击措施。作为本次打击行动的一部分，谷歌采取了以下措施：封禁谷歌账户及相关服务、共享技术情报、利用Google Play Protect实施防护。通过各方的协同打击，已经对NetNut的代理网络及其业务运营造成了重大破坏，使该代理运营商可利用的设备池缩减了数百万台。

研究人员发现并分析了一个此前未见记录的恶意软件框架（现被命名为Avalon）。该框架通过一个旨在规避传统安全防御的多阶段钓鱼链进行投递。攻击始于一封伪造的法律文件电子邮件，引导收件人访问Proton Drive上一个受密码保护的压缩包。恶意内容被嵌入在ISO镜像内部，而不是直接作为附件发送，从而降低了在邮件层被检出的可能性。此外，Avalon表现出强烈的AI辅助开发痕迹。

研究人员近日披露了FatFs中的7个安全漏洞。FatFs是一个微型文件系统库，可让各类设备对USB闪存盘和SD卡上使用的FAT及exFAT格式进行读取和写入。在受影响最严重的系统上，攻击者只要将一个经过精心伪造的恶意USB闪存盘、SD卡或固件更新文件插入设备，就能够破坏其内存并执行自定义的恶意代码。这7个漏洞的核心工作原理基本相同：当设备尝试读取一个被刻意破坏畸变的存储卷或固件镜像时，FatFs无法正确处理这些恶意数据。

在整个2026年期间，研究人员调查了多起Anubis勒索软件入侵事件。尽管攻击者的手法在不同入侵事件中有所差异，但几个核心主题已经浮出水面：滥用VPN基础设施、通过使用远程监控和管理软件来融入合法活动，以及在受害者设备上利用其他合法的二进制文件。研究人员在这篇研究报告中针对Anubis勒索软件案例中的初始访问技术提供了全新见解，包括对CitrixBleed 2（CVE-2025-5777）漏洞的利用。同时，研究人员还报告了攻击者如何隐蔽地使用RMM工具以混淆正常的IT活动，以及用于绕过受害者环境安全防御的其他各种技术。